Dostałeś klauzulę informacyjną. Masz 5 minut. Co sprawdzić żeby wiedzieć czy firma Cię szanuje.

Klauzula informacyjna to jedyny dokument który firma ma prawny obowiązek Ci dać i w którym musi powiedzieć prawdę o tym co robi z Twoimi danymi. Większość ludzi go nie czyta. Ci którzy wiedzą co szukać – czytają pięć minut i wiedzą o firmie więcej niż po godzinie na jej stronie "O nas."

Dostałeś klauzulę informacyjną.

Może przy zakupie w sklepie internetowym. Może przy podpisaniu umowy. Może przy aplikowaniu o pracę. Może przy rejestracji w jakimś serwisie.

Odruchowo przewijasz w dół. Szukasz przycisku "akceptuj" albo miejsca na podpis. Tekst gdzieś znika.

Rozumiem. Klauzule informacyjne są zazwyczaj napisane tak żeby nikt ich nie czytał. Długie, prawnicze, z odniesieniami do artykułów których nie znasz.

Ale jest pięć rzeczy które możesz sprawdzić w pięć minut. I każda z nich powie Ci coś ważnego o tym jak firma naprawdę traktuje Twoje dane – i Ciebie.

1. Czy wiesz kto jest administratorem Twoich danych?

Pierwsze zdanie klauzuli powinno mówić Ci wprost: kto zbiera Twoje dane, jaka to firma, gdzie ma siedzibę i jak się z nią skontaktować.

Dobra klauzula: "Administratorem Twoich danych osobowych jest XYZ Sp. z o.o. z siedzibą w Warszawie przy ul. Przykładowej 1, kontakt: dane@xyz.pl"

Zła klauzula: "Administratorem danych osobowych jest podmiot świadczący usługi w ramach niniejszego serwisu."

Jeśli po przeczytaniu pierwszego akapitu nie wiesz z czyjej firmy masz klauzulę – to jest sygnał. Firma ukrywa się za ogólnikami albo klauzula jest skopiowana z szablonu i nikt nie zadał sobie trudu żeby wpisać własną nazwę.

Brzmi absurdalnie ale wciąż się zdarza - szczególnie przy dużych grupach kapitałowych gdzie odpowiedzialność się rozmywa

2. Czy wiedzą po co zbierają Twoje dane?

Art. 13 RODO wymaga żeby firma poinformowała Cię o celach przetwarzania. I tu jest test który natychmiast odróżnia firmy które rozumieją co robią od tych które wklejają szablony.

Dobry cel: "Przetwarzamy Twoje dane w celu realizacji zamówienia, obsługi reklamacji i wystawiania dokumentów księgowych."

Zły cel: "Przetwarzamy Twoje dane w celu świadczenia usług."

To drugie zdanie nic nie mówi. Jakich usług? W jakim zakresie? Które dane są potrzebne do której usługi?

Jeśli cele przetwarzania są napisane tak ogólnie że pasują do każdej firmy na świecie – firma albo nie wie po co zbiera Twoje dane, albo celowo nie chce Ci tego powiedzieć żeby mieć wolną rękę.

Obie opcje są złe.

3. Na jakiej podstawie prawnej przetwarzają Twoje dane?

To jest element który większość ludzi pomija bo brzmi technicznie. Ale jest jednym z najważniejszych.

RODO wymaga żeby każde przetwarzanie danych miało podstawę prawną. Są ich sześć. Najczęściej spotkasz trzy: zgoda, umowa i uzasadniony interes administratora.

Na co zwrócić uwagę?

Jeśli firma przetwarza Twoje dane na podstawie zgody – masz prawo tę zgodę wycofać w każdej chwili i firma musi przestać przetwarzać dane.

Jeśli firma przetwarza dane na podstawie uzasadnionego interesu – powinna w klauzuli napisać jaki to interes. "Uzasadniony interes administratora" bez wyjaśnienia co to za interes to pusta formuła. To tak jakby ktoś powiedział "mam powód" bez powiedzenia jaki.

4. Jak długo będą trzymać Twoje dane?

Art. 13 wymaga podania okresu przechowywania danych lub kryteriów jego ustalenia.

Przetłumaczmy to na ludzki język: firma powinna Ci powiedzieć jak długo Twoje dane będą w jej systemach.

Dobry zapis: "Dane przetwarzamy przez czas trwania umowy a po jej zakończeniu przez 5 lat z uwagi na przepisy podatkowe."

Zły zapis: "Dane przetwarzamy przez czas niezbędny do realizacji celów przetwarzania."

To drugie zdanie nie mówi absolutnie niczego. "Czas niezbędny" to nie jest okres przechowywania. To jest tautologia – dane przetwarzamy dopóki je przetwarzamy.

Firma która nie potrafi powiedzieć jak długo trzyma Twoje dane albo nie wie tego sama – albo celowo ukrywa że trzyma je w nieskończoność.

Sprawdź to zdanie. Jeśli widzisz "przez czas niezbędny" bez żadnego doprecyzowania – wiesz że ktoś wkleił szablon i nie myślał.

5. Czy wiedzą że masz prawa?

Ostatnia rzecz i dla wielu najbardziej zaskakująca.

RODO daje Ci konkretne prawa wobec firm które przetwarzają Twoje dane. Prawo dostępu – możesz poprosić o kopię swoich danych. Prawo sprostowania – możesz poprosić o korektę błędnych danych. Prawo usunięcia – możesz w określonych sytuacjach poprosić o usunięcie danych. Prawo sprzeciwu – możesz sprzeciwić się przetwarzaniu na podstawie uzasadnionego interesu. Prawo do skargi – możesz poskarżyć się do UODO jeśli firma narusza przepisy.

Klauzula informacyjna musi Cię o tych prawach poinformować.

Dobry zapis wymienia te prawa konkretnie i mówi jak z nich skorzystać – do kogo się zwrócić, w jakim terminie możesz spodziewać się odpowiedzi.

Zły zapis: "Przysługują Państwu wszelkie prawa przewidziane przepisami prawa."

To ostatnie zdanie jest prawniczo poprawne i absolutnie bezużyteczne. Jakie prawa? Jak je wykonać? Do kogo napisać? Ile czekać?

Firma która nie potrafi napisać jakie masz prawa i jak je wykonać – prawdopodobnie nie ma procedury obsługi tych praw. Co oznacza że gdy wyślesz wniosek o dostęp do danych – zaczniesz testować czy w ogóle ktoś wie co z nim zrobić.

Bonus

Są firmy które mają technicznie poprawną klauzulę – wszystkie pięć punktów odhaczonych – ale dodają na końcu jedno zdanie które kasuje całą resztę.

"Podanie danych jest dobrowolne, jednak niezbędne do korzystania z usług."

To zdanie jest wewnętrznie sprzeczne. Albo podanie danych jest dobrowolne – i możesz odmówić bez konsekwencji. Albo jest niezbędne do usług – i odmowa oznacza brak usługi.

Jedno i drugie jednocześnie nie istnieje.

To zdanie pojawia się w tysiącach polskich klauzul  a czemu? Bo trzeba podać czy podanie danych jest dobrowolne, a wpisywanie że jest konieczne słabo brzmi. Tak powstała dobrowolna konieczność. Potworek

Co zrobić z tym co znalazłeś

Jeśli klauzula przeszła wszystkie pięć punktów – masz do czynienia z firmą która przemyślała swoją dokumentację. To nie gwarantuje że jest idealna. Ale znaczy że ktoś się postarał.

Jeśli klauzula oblała dwa lub więcej punktów – wiesz że firma traktuje obowiązek informacyjny jako formalność a nie jako komunikację z człowiekiem.

Co możesz z tym zrobić?

Jako klient: świadomie zdecydujesz czy chcesz powierzać dane tej firmie.

Jako pracownik który dostał taką klauzulę od swojego pracodawcy: wiesz że warto zapytać co faktycznie dzieje się z Twoimi danymi.

Jako właściciel firmy który właśnie sprawdził własną klauzulę i zobaczył że oblewa te testy: masz listę rzeczy do naprawy.

Pięć minut. Pięć pytań.

Tyle wystarczy żeby wiedzieć czy firma traktuje Twoje dane jako zasób do eksploatowania czy jako zaufanie które chce utrzymać.

Artykuł powstał przy wsparciu AI. Weryfikacja merytoryczna i redakcja: Damian Bielecki, Typ od RODO.