Klauzula RODO w umowie - co musi zawierać i gdzie łatwo o błąd

Potocznie mówi się o klauzuli RODO, ale w praktyce chodzi o klauzulę informacyjną, która ma jasno wyjaśnić, kto zbiera dane, po co je przetwarza i jakie prawa ma druga strona umowy. W umowach i zobowiązaniach ten zapis ma realne znaczenie, bo obejmuje nie tylko klienta czy kontrahenta, lecz także pełnomocników, pracowników, osoby kontaktowe i czasem osoby trzecie. Poniżej pokazuję, kiedy taki obowiązek powstaje, co powinno się w nim znaleźć i jak uniknąć błędów, które później psują całą dokumentację.

Dlaczego ta klauzula w ogóle trafia do umowy

Ja zwykle rozdzielam trzy rzeczy, które w obiegu prawnym są ze sobą mylone: podstawę przetwarzania danych, obowiązek informacyjny i ewentualną zgodę. To ważne, bo sama umowa nie zwalnia z obowiązków z RODO. Jeżeli przetwarzam dane po to, by zawrzeć albo wykonać umowę, opieram się najczęściej na art. 6 ust. 1 lit. b RODO, ale równolegle muszę jeszcze uczciwie opisać, co dzieje się z danymi.

W praktyce taka informacja pojawia się przy umowach sprzedaży, zlecenia, współpracy B2B, umowach o poufności, formularzach zamówień, regulaminach usług i w całej dokumentacji zobowiązaniowej. Nie chodzi wyłącznie o same strony umowy. Gdy kontrahent podaje dane swojego pracownika, pełnomocnika, księgowej albo osoby technicznej do kontaktu, wchodzimy już w obszar, który trzeba opisać osobno. To dlatego jeden uniwersalny zapis rzadko wystarcza na dłużej.

Ja patrzę na to prosto: jeśli ktoś przekazuje mi dane w związku z relacją prawną, powinien wiedzieć, kto je otrzymuje, na jakiej podstawie i jak długo będą potrzebne. Skoro to rozróżnienie jest jasne, można sprawdzić, co dokładnie musi znaleźć się w treści samej klauzuli.

Co musi zawierać poprawny zapis

RODO nie wymaga literackiej elegancji, tylko przejrzystości. Informacja ma być zwięzła, zrozumiała i łatwa do znalezienia. W praktyce oznacza to, że treść nie może być przeładowana, ale też nie może pomijać elementów, które realnie wpływają na decyzję osoby podpisującej umowę albo przekazującej dane.

Widać tu wyraźnie, że treść nie jest przypadkowym blokiem tekstu. Jeśli dane pochodzą bezpośrednio od osoby, stosuję art. 13 RODO. Jeśli pozyskuję je z innego źródła, wchodzi art. 14 i wtedy dochodzi jeszcze informacja o źródle danych. Jeżeli dane są zbierane od osoby, informację przekazuję przy pozyskiwaniu. Gdy pochodzą z innego źródła, robię to w rozsądnym terminie, zasadniczo najpóźniej w ciągu miesiąca. UODO zwraca przy tym uwagę, że w samej klauzuli nie trzeba podawać adresu siedziby organu nadzorczego, wystarczy jasno wskazać prawo do wniesienia skargi.

To jeszcze nie koniec, bo sama lista elementów wygląda inaczej, gdy dane zbiera się od strony umowy, a inaczej gdy pochodzą od kogoś trzeciego.

Jak wygląda to w umowach i zobowiązaniach w praktyce

W umowach najczęściej spotykam trzy scenariusze. Pierwszy to sytuacja, w której dane podaje sama osoba podpisująca dokument. Wtedy klauzula może iść razem z formularzem, ofertą albo samą umową, byle była dostępna przed albo w momencie przekazania danych. Drugi scenariusz to dane przekazane przez kontrahenta o jego pracownikach, pełnomocnikach lub osobach do kontaktu. Tu trzeba pamiętać o art. 14, bo informacja nie trafia bezpośrednio od tych osób.

Trzeci scenariusz jest bardziej podstępny: w jednej umowie dane są przetwarzane z kilku powodów naraz. Część służy wykonaniu zobowiązania, część rozliczeniom, część archiwizacji, a część ewentualnym roszczeniom. Wtedy nie wrzucam wszystkiego do jednego worka. Lepiej rozpisać cele osobno, niż używać jednego ogólnego hasła typu „realizacja umowy i cele marketingowe”. Takie skróty zwykle kończą się tym, że treść nie odpowiada rzeczywistemu procesowi.

Ja w praktyce rozróżniam też podstawę z art. 6 ust. 1 lit. b od podstawy opartej na prawnie uzasadnionym interesie. To ważne, bo przy wykonaniu umowy nie ma automatycznie miejsca na sprzeciw, a UODO wprost wskazuje, że w takiej sytuacji nie informuje się o prawie sprzeciwu. Jeśli jednak ktoś przetwarza dane na podstawie interesu prawnego, to obowiązek informacyjny wygląda inaczej i trzeba to opisać bez skrótów myślowych.

W dokumentach zobowiązaniowych szczególnie często pojawia się jeszcze jedno ryzyko: dane kontaktowe osób wskazanych przez drugą stronę umowy. Jeżeli kontrahent wpisuje w dokumentach imię, nazwisko, mail i numer telefonu swojego pracownika, nie chodzi już o dane samej spółki, tylko o dane konkretnej osoby fizycznej. Tę różnicę trzeba uwzględnić w treści i w obiegu dokumentów. Właśnie tu pojawiają się najczęstsze błędy, które warto wyłapać przed podpisaniem.

Najczęstsze błędy, które osłabiają dokument

Najwięcej problemów widzę wtedy, gdy ktoś traktuje klauzulę informacyjną jak ozdobny dodatek do umowy. To błąd. Taki zapis ma być funkcjonalny, a nie „na wszelki wypadek”.

• Mieszanie klauzuli ze zgodą - informacja o przetwarzaniu nie zastępuje zgody i nie legalizuje wszystkiego, co pojawia się w umowie.
• Jeden wzór do wszystkiego - ten sam tekst dla klientów, podwykonawców, pracowników kontrahenta i osób kontaktowych zwykle nie działa, bo inne są cele i źródła danych.
• Brak art. 14 przy danych od osoby trzeciej - jeśli dane nie pochodzą bezpośrednio od osoby, trzeba wskazać również źródło i zakres pozyskania.
• Zbyt ogólne cele - hasła typu „obsługa współpracy” albo „cele prawne” są za mało konkretne, jeśli nie da się z nich odczytać realnego zakresu przetwarzania.
• Automatyczne wpisywanie sprzeciwu - przy przetwarzaniu koniecznym do wykonania umowy to uprawnienie nie zawsze występuje, więc nie wolno go bezrefleksyjnie przepisywać.
• Brak aktualizacji - zmiana administratora, IOD, systemu księgowego, dostawcy chmury albo zakresu odbiorców od razu powinna wywołać korektę treści.
• Ukrywanie informacji w długim regulaminie - jeśli odbiorca nie jest w stanie szybko znaleźć kluczowych danych, zapis przegrywa z zasadą przejrzystości.

Najważniejsze jest to, że zły zapis nie naprawia złej praktyki. Jeżeli dane są przetwarzane szerzej niż powinny, sama klauzula nie rozwiązuje problemu. Jeśli natomiast proces jest poprawny, ale dokument napisany byle jak, ryzykujemy chaos przy kontroli, sporze albo zwykłym audycie wewnętrznym. Dlatego cały wzór najlepiej budować modułowo, a nie jako jeden sztywny blok.

Jak przygotować zapis, który naprawdę działa w codziennej obsłudze

Ja zwykle projektuję taki zapis od strony procesu, a nie od strony samego paragrafu. Najpierw sprawdzam, jakie kategorie osób pojawiają się w obiegu dokumentów, a dopiero potem dopasowuję tekst. To oszczędza czas i zmniejsza liczbę poprawek przy każdej nowej umowie.

1. Zidentyfikuj wszystkie grupy osób, których dane pojawiają się przy umowie: strona umowy, reprezentant, pełnomocnik, osoba kontaktowa, pracownik kontrahenta, osoba do fakturowania, osoba odbierająca usługę.
2. Przypisz każdej grupie właściwy cel przetwarzania i podstawę prawną.
3. Oddziel dane zbierane bezpośrednio od osoby od danych przekazywanych przez kontrahenta lub pozyskanych z rejestru.
4. Przygotuj osobną wersję art. 13 i art. 14, zamiast próbować dopisać wszystko do jednego wzoru.
5. Zostaw miejsca na zmienne pola: nazwę administratora, kontakt, IOD, odbiorców, okres retencji i ewentualny transfer poza EOG.
6. Sprawdź, czy zapis jest czytelny dla osoby spoza działu prawnego, bo właśnie ona ma go zrozumieć w praktyce.
7. Ustal rytm aktualizacji po zmianie dostawców, narzędzi, zakresu usług albo modelu współpracy.

Takie podejście działa lepiej niż jednorazowe „przygotowanie wzoru”, który potem przez lata krąży po firmie bez żadnej kontroli. Z mojej perspektywy dobra klauzula nie powinna być ani zbyt krótka, ani zbyt ciężka. Ma być wystarczająco precyzyjna, żeby człowiek wiedział, na co się zgadza w sensie informacyjnym, a jednocześnie na tyle elastyczna, by dało się ją aktualizować bez przepisywania całej umowy od nowa.

Ostatni przegląd przed podpisaniem wzoru

Jeżeli mam zamknąć temat w jednym praktycznym sprawdzeniu, to patrzę na pięć rzeczy: czy dane administratora są aktualne, czy cele odpowiadają rzeczywistej współpracy, czy źródło danych jest dobrze opisane, czy prawa osoby zgadzają się z podstawą prawną i czy treść nie udaje uniwersalnego wzoru do wszystkiego. To właśnie na tym etapie najłatwiej wychwycić błędy, które później wracają w sporze albo podczas audytu.

• Czy nazwa i dane kontaktowe administratora są zgodne z rzeczywistością?
• Czy osoba ma jasną informację, po co jej dane są przetwarzane w związku z umową?
• Czy rozróżniono dane zebrane bezpośrednio od danych przekazanych przez inną osobę?
• Czy opisano odbiorców danych i ewentualne przekazanie poza EOG?
• Czy okres przechowywania nie jest tylko pustą formułką, ale wynika z procesu i obowiązków prawnych?
• Czy w treści nie wpisano automatycznie praw, które w danym wariancie nie przysługują?
• Czy przy danych marketingowych, jeśli w ogóle występują, zastosowano osobną podstawę i osobny opis?

Dobrze przygotowana klauzula informacyjna nie ma straszyć językiem prawnym. Ma porządkować relację między stronami i upraszczać późniejszą obsługę dokumentów. Jeśli zapis odpowiada rzeczywistemu przepływowi danych, da się go obronić zarówno w codziennej praktyce, jak i przy bardziej formalnym sprawdzeniu. To właśnie wtedy zwykły fragment umowy zaczyna działać jak solidny element całej konstrukcji, a nie jak przypadkowy dodatek na końcu dokumentu.