Najczęstsze błędy w klauzulach informacyjnych – sprawdź, czy Twoja strona ich nie zawiera

Klauzula informacyjna stanowi podstawowy element realizacji obowiązku informacyjnego wobec osób, których dane są przetwarzane, a wynika ona przede wszystkim z art. 13 oraz 14 RODO. Jest ona głównym komunikatem z zakresu przetwarzania danych osobowych, który administrator kieruje do osoby, której dane są przetwarzane, a jego zawartość powinna w pełni wypełniać wymogi określone w przepisach. Pomimo tego, że zawartość klauzul RODO reguluje w taki sam sposób dla wszystkich, to kopiowanie takiego dokumentu z innych stron nie jest najlepszym pomysłem. Taka praktyka często prowadzi do błędów formalnych lub niezgodności z rzeczywistym sposobem przetwarzania danych w określonej firmie – najlepszym rozwiązaniem będzie stworzenie jej samodzielnie z uwzględnieniem specyfiki swojego przedsiębiorstwa. Należy pamiętać, że wymogi RODO są ogólne, a każdy administrator musi przedstawić szczegółowe informacje odnośnie jego działalności.

Jakich błędów zatem wystrzegać się w szczególności i o czym pamiętać?

Brak wskazania administratora danych

Zgodnie z art. 13 RODO użytkownik ma prawo znać dokładne dane podmiotu, która zbiera jego dane. Administrator musi podać swoją tożsamość i dane kontaktowe oraz, gdy ma to zastosowanie, tożsamość i dane kontaktowe swojego przedstawiciela.

Najczęściej zdarza się, że strona nie podaje pełnej nazwy administratora danych lub jego danych kontaktowych. Często w przypadku jednoosobowych działalności gospodarczych przedsiębiorca podaje jedynie firmę, pomijając własne imię i nazwisko, co nie jest poprawne z punktu widzenia art. 13 RODO.

Nieprecyzyjne cele przetwarzania danych

Dokładne podanie celów przetwarzania stanowi kluczową podstawę umożliwiającą legalne przetwarzanie danych osobowych. Cele przetwarzania muszą być jasno określone i powiązane z konkretnym działaniem, np. obsługą zamówienia, a właśnie najczęstsze błędy wiążą się z nieprecyzyjnym, zbyt ogólnym sformułowaniem. Zdarza się także, że administrator pomija niektóre cele przetwarzania i nie informuje o nich w klauzuli.

Brak podstawy prawnej przetwarzania

Określenie podstawy prawnej przetwarzania danych wynika wprost z określonych celów i jest obowiązkiem każdego administratora. Podstawą prawną do wskazania ich jest art. 6 RODO, przy czym musi zostać spełniony przynajmniej jeden z warunków:

wyrażona zgoda przez użytkownika;
przetwarzanie jest niezbędne do wykonania umowy;
przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;
przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą;
przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym;
przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią.

Najczęstszym błędem nie jest zupełny brak podstawy prawnej, ale jej błędne wyznaczenie.

Brak informacji o odbiorcach danych

Użytkownik ma prawo wiedzieć, do kogo trafiają jego dane, więc jeśli są one przekazywane podmiotom trzecim (np. firmom kurierskim, operatorom płatności czy dostawcom usług IT), z tego względu brak takich danych w klauzuli informacyjnej będzie istotnym błędem ze strony administratora.

Brak informacji o okresie przechowywania danych

Zbierając dane od użytkowników musisz pamiętać, że przechowywanie w formie umożliwiającej identyfikację osoby, której dane dotyczą, jest możliwe jedynie przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane (art. 5 ust. 1 lit. e RODO). Administrator ma obowiązek określić konkretny okres przechowywania danych i takie informacje zawrzeć np. właśnie w klauzuli informacyjnej. Każda kategoria danych musi mieć przypisany odpowiedni okres retencji, ponieważ czas przechowywania np. danych marketingowych będzie się różnić od danych z dokumentacji księgowej.

Pomijanie praw użytkowników

W klauzuli informacyjnej musisz zawrzeć prawa użytkowników, których dane dotyczą (mówią o tym art. 15-21 RODO). A zatem konieczne jest poinformowanie o prawie:

dostępu do danych;
do sprostowania danych;
do usunięcia danych;
do ograniczenia przetwarzania;
do przenoszenia danych;
do sprzeciwu;
do niepodlegania zautomatyzowanym decyzjom;
do wycofania zgody.

Błędy w formie klauzuli informacyjnej

Klauzula informacyjna powinna być w pełni zrozumiała dla użytkowników, dlatego musi być napisana jasnym i prostym językiem. Błędem będzie zatem nadmierne stosowanie terminologii czy zbyt długa i skomplikowana treść. Za inne nieprawidłowe działanie można by uznać ukrycie klauzuli w trudno dostępnym miejscu na stronie. Ponadto należy również pamiętać, że przy każdym formularzu, w którym administrator pozyskuje dane użytkownika, powinna znajdować się klauzula informacyjna (zgodnie z art. 13 RODO) albo krótka, tzw. „warstwowa” informacja, która przekieruje do takiej klauzuli.

Źródło: https://paluckiszkutnik.pl/rodo-w-firmie-jaka-dokumentacje-powinien-posiadac-przedsiebiorca/