Klauzula informacyjna RODO - Jak ją pisać w urzędzie i szkole?

W dokumentach urzędowych i szkolnych obowiązek informacyjny RODO pojawia się częściej, niż wielu autorów formularzy zakłada. Dobrze przygotowana klauzula informacyjna nie jest ozdobnikiem, tylko narzędziem, które mówi człowiekowi, kto przetwarza dane, po co to robi, na jakiej podstawie i jak długo je przechowuje. W tym tekście pokazuję, co musi się w niej znaleźć, gdzie ją umieścić w formularzu oraz jak uniknąć błędów, które potem najtrudniej poprawić.

Czym jest obowiązek informacyjny w dokumentach urzędowych

W praktyce chodzi o to, by osoba wiedziała, co dzieje się z jej danymi zanim albo w momencie, gdy je przekazuje. W urzędzie, szkole, bibliotece, jednostce samorządu czy innej instytucji publicznej taki obowiązek pojawia się przy wniosku, formularzu, zaproszeniu, rejestracji na wydarzenie, monitoringu albo obiegu korespondencji. Właśnie dlatego dobrze napisana klauzula informacyjna jest częścią procesu, a nie dodatkiem do dokumentu.

W sprawach urzędowych dochodzi jeszcze jedna rzecz: dokumenty często krążą między komórkami, systemami i innymi podmiotami. To oznacza, że trzeba rozróżnić sytuację, w której dane podaje sam interesant, od tej, w której urząd dostaje je z innego źródła. UODO od lat podkreśla, że zasada przejrzystości wymaga języka prostego, a nie prawniczego labiryntu. To dobry punkt wyjścia, bo od niego zależy, jak zbudujesz całą treść.

W szkołach temat wygląda podobnie, tylko skala jest bardziej codzienna: zgłoszenia na zajęcia, zebrania, konkursy, wycieczki, monitoring czy rekrutacja pracowników. Jeżeli formularz zbiera dane, trzeba od razu zaplanować, gdzie i w jakiej formie pokażesz informację o przetwarzaniu. To prowadzi do pytania, co właściwie musi się tam znaleźć.

Co musi zawierać klauzula informacyjna rodo

Najkrócej: komplet informacji ma pozwolić odbiorcy zrozumieć, kto przetwarza dane, dlaczego to robi, na jakiej podstawie, komu je przekazuje i jak długo je przechowuje. W pełnej wersji pojawiają się też prawa osoby oraz informacja o tym, czy podanie danych jest obowiązkowe. Jeśli dane nie pochodzą bezpośrednio od osoby, dochodzi jeszcze źródło danych.

• Tożsamość i dane kontaktowe administratora - bez tego odbiorca nie wie, kto odpowiada za dane.
• Dane kontaktowe inspektora ochrony danych, jeśli został wyznaczony.
• Cele przetwarzania i podstawa prawna - np. obowiązek prawny, zadanie publiczne albo uzasadniony interes.
• Odbiorcy danych lub kategorie odbiorców, jeśli dane mogą do nich trafić.
• Informacja o transferze poza EOG, gdy taki transfer rzeczywiście występuje.
• Okres przechowywania danych albo kryteria jego ustalenia.
• Prawa osoby - dostępu, sprostowania, usunięcia, ograniczenia, sprzeciwu i przenoszenia, a przy niektórych podstawach także wycofania zgody.
• Prawo wniesienia skargi do organu nadzorczego.
• Informacja o obowiązku podania danych i skutkach ich niepodania, jeśli dane są wymagane.
• Źródło danych, gdy administrator nie otrzymał ich bezpośrednio od osoby.
• Informacja o profilowaniu lub decyzjach automatycznych, jeśli są stosowane.

W praktyce to nie jest przypadkowa lista, tylko mapa całego procesu przetwarzania. Ja zwykle zaczynam od pytania: czy ten dokument naprawdę odpowiada na wszystkie sytuacje, w których dane są zbierane, czy tylko na jedną z nich. To rozróżnienie prowadzi prosto do miejsca, w którym klauzulę najlepiej umieścić.

Gdzie umieścić ją w formularzu, piśmie albo systemie online

W dokumentach papierowych najlepiej działa krótka pierwsza warstwa na samym formularzu, a pełna treść w załączniku, na odwrocie albo pod czytelnym odwołaniem. W wersji online sensowny jest układ, w którym użytkownik widzi skróconą informację jeszcze przed wysłaniem danych, a pełna klauzula otwiera się po kliknięciu w link albo po rozwinięciu sekcji. Sama „ukryta” podstrona bez jasnego odwołania to za mało.

Ja w formularzach papierowych wolę prosty układ: kilka najważniejszych informacji w miejscu, gdzie człowiek rzeczywiście patrzy, a nie na końcu piętnastej strony. Przy krótkich zgłoszeniach szkolnych albo urzędowych wystarczy czasem sekcja tuż nad podpisem lub pod polem z danymi. Przy dłuższych procedurach lepiej działa model warstwowy, bo nie rozpycha dokumentu i nie gubi użytkownika.

• Na samym formularzu - gdy treść jest krótka i czytelna.
• Pod podpisem lub checkboxem - gdy użytkownik potwierdza zapoznanie się z informacją.
• W załączniku - gdy dokument jest rozbudowany i zawiera wiele procesów przetwarzania.
• Na stronie internetowej lub w systemie - gdy rejestracja odbywa się elektronicznie.
• Przy monitoringu - jako widoczna informacja w terenie, ale z odwołaniem do pełnej treści.

UODO zwraca uwagę, że sama ikonka albo sam piktogram nie wystarczą, jeśli obowiązek informacyjny ma być realnie wykonany. Odbiorca musi mieć możliwość dotarcia do treści, a nie tylko domyślania się, że coś zostało powieszane obok wejścia. To szczególnie ważne w urzędach i szkołach, gdzie dokumentów jest dużo, a użytkownik ma mało czasu.

Czym różni się art. 13 od art. 14 i dlaczego termin ma znaczenie

Rozróżnienie między art. 13 i art. 14 RODO jest kluczowe, bo decyduje zarówno o treści, jak i o momencie przekazania informacji. W dużym skrócie: art. 13 stosujesz wtedy, gdy dane zbierasz bezpośrednio od osoby, a art. 14 wtedy, gdy dostajesz je z innego źródła. To nie jest detal dla prawników, tylko praktyczna różnica, która wpływa na każdy formularz i każdą procedurę administracyjną.

W dokumentach urzędowych to rozróżnienie bywa krytyczne, bo dane nie zawsze pochodzą wprost od interesanta. Czasem urząd otrzymuje je z innej jednostki, czasem z rejestru, a czasem z pisma procesowego albo zgłoszenia przekazanego przez pośrednika. W takich sytuacjach termin ma realne znaczenie, a nie tylko formalne. UODO przypomina też, że organ publiczny może korzystać z przewidzianych prawem wyłączeń, ale nie powinien traktować ich jako domyślnej ścieżki dla każdej sprawy.

Klauzula informacyjna to nie zgoda na przetwarzanie danych

To jeden z najczęstszych błędów, jaki widzę w praktyce. Klauzula informacyjna ma wyjaśnić przetwarzanie danych, a zgoda ma - jeśli jest podstawą - uprawniać do przetwarzania. To dwa różne elementy, które czasem występują obok siebie, ale nigdy nie są tym samym.

W wielu dokumentach urzędowych i szkolnych podstawą przetwarzania nie jest zgoda, tylko obowiązek prawny albo zadanie realizowane w interesie publicznym. Wtedy nie trzeba udawać, że formularz działa na zasadzie dobrowolnego przyzwolenia. Trzeba za to jasno wskazać, które dane są obowiązkowe, a które podaje się dobrowolnie, i powiedzieć, co się stanie, jeśli ktoś nie uzupełni wymaganych pól. To prostsze i uczciwsze niż mieszanie kilku podstaw w jednym akapicie.

Jeśli jednak podstawą jest zgoda - na przykład przy dodatkowej komunikacji, publikacji wizerunku, newsletterze szkoły albo udziale w działaniach, które nie wynikają z obowiązku publicznego - klauzula nadal jest potrzebna. Wtedy trzeba też pamiętać o możliwości jej wycofania i o tym, że cofnięcie zgody nie może działać wstecz. To właśnie tu najłatwiej widać, czy dokument jest naprawdę przemyślany.

Najczęstsze błędy w dokumentach urzędowych i szkolnych

Największy problem rzadko polega na tym, że klauzula w ogóle nie istnieje. Częściej chodzi o to, że jest niedopasowana do realnego procesu albo tak napisana, że nikt nie chce jej czytać. W urzędach i szkołach powtarzają się te same potknięcia, a większość z nich da się wyłapać jeszcze przed publikacją.

• Zbyt ogólna treść - jedna uniwersalna klauzula do wszystkich formularzy, choć procesy są różne.
• Brak aktualizacji - zmienia się cel, odbiorcy albo IOD, a dokument zostaje stary.
• Za późne przekazanie informacji - klauzula trafia do osoby dopiero po zebraniu danych, choć powinna być dostępna wcześniej.
• Pomijanie okresu przechowywania - bez tego informacja jest niepełna i mało użyteczna.
• Wpisywanie adresu UODO jako obowiązkowego elementu - wystarczy informacja o prawie wniesienia skargi; UODO wskazał, że adres nie musi być częścią klauzuli.
• Ukrywanie treści - dokument jest tak schowany, że odbiorca praktycznie nie ma do niego dostępu.
• Brak rozróżnienia między obowiązkiem a zgodą - to psuje logikę całej informacji.

W szkołach szczególnie często widać to przy konkursach, wycieczkach i zgodach organizacyjnych, gdzie obok obowiązku informacyjnego ktoś próbuje zmieścić wszystko naraz: zgodę, regulamin, odpowiedzialność i klauzulę. To rzadko działa dobrze. Lepiej rozdzielić dokumenty, niż liczyć, że jeden blok tekstu wytrzyma cały ciężar procesu.

Jak przygotować ją tak, by działała w urzędzie i w szkole bez zbędnej biurokracji

Najlepsza klauzula nie jest najdłuższa, tylko najlepiej dopasowana do procesu. Dlatego ja zaczynam od prostego schematu: najpierw mapuję, skąd biorą się dane, kto je dostaje, jak długo są przechowywane i czy w ogóle występuje transfer poza EOG. Dopiero potem układam treść. Dzięki temu dokument nie brzmi jak kopia z innej instytucji, tylko jak odpowiedź na konkretną sytuację.

1. Opisz proces - ustal, kto zbiera dane, od kogo i w jakim celu.
2. Rozdziel źródła danych - osobno potraktuj art. 13 i art. 14.
3. Zastosuj układ warstwowy - krótka informacja na formularzu, pełna treść w załączniku albo pod linkiem.
4. Sprawdź zgodność z praktyką - czy to, co jest w klauzuli, naprawdę odpowiada temu, co robi urząd albo szkoła.
5. Aktualizuj przy każdej zmianie - nowy cel, nowy odbiorca, nowy system albo nowy IOD oznaczają korektę tekstu.

Jeżeli klauzula ma służyć ludziom, a nie tylko „odhaczyć” obowiązek, musi być zwięzła w pierwszej warstwie, kompletna w drugiej i zgodna z rzeczywistym obiegiem danych. To właśnie ten kompromis najlepiej sprawdza się w dokumentach urzędowych i szkolnych: mniej dekoracji, więcej precyzji, a przy tym język, który da się przeczytać bez dodatkowego szkolenia.