Obowiązek informacyjny RODO przy zbieraniu danych — art. 13, cele i terminy

Stan prawny: 17 października 2026 r. Analiza WILIŃSKI LEGAL dotycząca ochrony danych.

Odpowiedź w skrócie

Gdy administrator zbiera dane bezpośrednio od osoby, art. 13 RODO nakazuje przekazanie określonych informacji już w chwili ich pozyskiwania. Zakres obejmuje m.in. administratora, cele i podstawy, odbiorców, okres przechowywania oraz prawa osoby.

Informacje przed przekazaniem danych

Formularz internetowy, rekrutacja, umowa z klientem lub rejestracja na wydarzenie mogą prowadzić do zbierania danych bezpośrednio od osoby. Wtedy obowiązek z art. 13 powinien być zrealizowany przy pozyskiwaniu danych, a nie po zakończeniu procesu w nieznanym terminie. Informacja powinna być łatwo dostępna i zrozumiała, szczególnie gdy użytkownik podaje dane o szczególnym charakterze. Nie wystarczy odsyłać wyłącznie do ogólnego dokumentu o polityce firmy bez wskazania rzeczywistego celu.

Tożsamość administratora i dane kontaktowe

Osoba musi wiedzieć, kto odpowiada za jej dane i gdzie może kierować żądania. Art. 13 wskazuje tożsamość administratora, jego dane kontaktowe, a gdy to właściwe również dane przedstawiciela i inspektora ochrony danych. Nie należy mylić dostawcy formularza lub hostingu z administratorem. W relacjach wielopodmiotowych konieczne jest ustalenie ról, a nie automatyczne powielenie informacji od podwykonawcy.

Cele, podstawy i uzasadniony interes

Klauzula powinna identyfikować konkretny cel i właściwą podstawę z art. 6 RODO oraz w określonych przypadkach z art. 9. Jeśli administrator powołuje się na prawnie uzasadniony interes, należy podać informację o realizowanym interesie. Nie należy mieszać podstawy wykonania umowy z zgodą marketingową ani sugerować, że każda usługa wymaga zgody na przetwarzanie koniecznych danych kontraktowych.

Odbiorcy, transfery i retencja

W informacji wskazuje się odbiorców lub ich kategorie, a także odpowiednie informacje o transferach do państw trzecich. Należy podać okres przechowywania danych albo kryteria jego ustalenia. Puste sformułowanie „do końca działalności firmy” bywa nieadekwatne. Dla różnych celów mogą istnieć odmienne okresy retencji, np. ze względów rachunkowych lub dochodzenia roszczeń. Ważne jest, aby rzeczywiste ustawienia systemów odpowiadały treści klauzuli.

Prawa i decyzje automatyczne

Art. 13 wymaga też określonych informacji o prawach osób, możliwości skargi do organu nadzorczego i w stosownych przypadkach zautomatyzowanym podejmowaniu decyzji, w tym profilowaniu. Nie oznacza to konieczności zamieszczania identycznego, długiego katalogu niezależnie od charakteru przetwarzania. Informacja powinna być precyzyjna i praktyczna, a tam, gdzie odpowiednia jest zgoda, uwzględniać informację o prawie jej wycofania.

Wyjątek: osoba już posiada informacje

Art. 13 ust. 4 przewiduje brak obowiązku przekazywania określonych informacji w takim zakresie, w jakim osoba już nimi dysponuje. Nie daje to prawa do automatycznego pomijania klauzuli u wszystkich dotychczasowych klientów. Administrator musi móc wskazać, jakie informacje osoba otrzymała, czy były aktualne i czy nowe cele nie wymagają osobnego poinformowania. Warto zachować wersję klauzuli i datę jej udostępnienia.

Przykład kancelarii

Kancelaria zbiera imię, adres e-mail, telefon i opis sprawy przez formularz pierwszego kontaktu. Już na tym etapie powinna poinformować o tożsamości administratora, celu kontaktu, podstawie prawnej, odbiorcach i retencji. Nie powinna mieszać tej informacji z nieobowiązkową zgodą na newsletter. Przy możliwości przesyłania dokumentów szczególnie ważne jest ograniczenie zakresu danych i właściwe zabezpieczenie załączników.

Przejrzystość i dokumentacja decyzji

Administrator powinien umieć wykazać nie tylko to, że posiada politykę prywatności, ale również że rozpoznał własny cel przetwarzania i prawidłową podstawę ustawową. Każde odstępstwo od zasady wymaga udokumentowania konkretnych przesłanek. Warto określić osoby odpowiedzialne, terminy, źródła danych i procedury współpracy z podmiotami przetwarzającymi. Dla kontroli znaczenie mają faktycznie wdrożone mechanizmy, a nie same nazwy polityk i deklaracje marketingowe.

Skutki dla osoby, której dotyczą dane

Prawo do informacji i odpowiednio zorganizowane przetwarzanie mają umożliwiać osobie zrozumienie, jak jej dane są wykorzystywane. Jeśli administrator nie potrafi wyjaśnić tego procesu, utrudnia także późniejsze wykonywanie prawa dostępu, sprostowania, sprzeciwu lub usunięcia. Należy stosować język zrozumiały dla odbiorcy, a przy szczególnie złożonym systemie rozważyć warstwową strukturę komunikatów. Odrębnie ocenia się zagadnienia związane z dziećmi i osobami wymagającymi szczególnej ochrony.

Kontrargumenty i kontrola organu

W sporze podmiot może powoływać się na przepisy szczególne, interes publiczny albo wyjątki dotyczące określonego przetwarzania. Nie każda taka deklaracja jest jednak wystarczająca. Trzeba zidentyfikować konkretną normę i wskazać, w jakim zakresie ogranicza ona zwykłe obowiązki. Organ nadzorczy powinien otrzymać materiał umożliwiający ocenę ryzyka, a nie tylko oświadczenie o dobrej wierze. Nie można też automatycznie utożsamiać formalnego braku dokumentu z wystąpieniem każdej możliwej szkody.

Konkluzja

Właściwe stosowanie RODO wymaga odrębnego rozpoznania obowiązków informacyjnych, reguł organizacyjnych i mechanizmów kontroli ryzyka. Każdy przepis ma własne przesłanki, terminy i wyjątki. Najbezpieczniejszy model zakłada mapowanie procesów przed zbieraniem danych, dokumentowanie decyzji oraz okresowe sprawdzanie, czy rzeczywista działalność nadal odpowiada przyjętym założeniom. W przypadku zmian technologicznych należy zaktualizować ocenę, zamiast zakładać, że raz przygotowana klauzula pozostanie zawsze aktualna.

Klauzula warstwowa w serwisie internetowym

Pierwsza warstwa informacji może wskazywać tożsamość administratora, główne cele i sposób dotarcia do dalszych szczegółów. Pełna informacja musi jednak być łatwo dostępna i obejmować wszystkie elementy wymagane art. 13. Nie należy ukrywać ważnych zasad w trudno dostępnym pliku, którego użytkownik nie może przeczytać przed przesłaniem formularza. W aplikacji mobilnej warto zadbać o widoczny i działający odnośnik w odpowiednim momencie zbierania danych. Odrębnej analizy wymaga obowiązek informacji przy pozyskiwaniu danych przez telefon lub podczas osobistej wizyty. Zmiana celu przetwarzania może powodować kolejną potrzebę poinformowania osoby, zanim dane zostaną wykorzystane do nowego celu.

Informacja nie jest zgodą

Jednym z najczęstszych błędów jest obowiązkowy checkbox o treści „wyrażam zgodę na przetwarzanie danych w celu realizacji umowy”, gdy rzeczywistą podstawą jest niezbędność przetwarzania do wykonania umowy. Art. 13 określa obowiązki przejrzystości, a nie ustanawia ogólnego wymogu uzyskania zgody dla wszystkich operacji. Jeśli przetwarzanie opiera się na zgodzie, musi ona spełniać własne warunki dobrowolności i możliwości wycofania. Nie należy uzależniać świadczenia niezbędnej usługi od akceptacji niezwiązanych działań reklamowych. Administrator powinien dokumentować poszczególne podstawy i pozwalać użytkownikowi rozróżnić obowiązkowe operacje od dodatkowych celów.

Kontrola informacji po zmianie dostawcy

Po zmianie platformy formularzy, operatora chmury lub narzędzia analitycznego należy sprawdzić, czy aktualne informacje o odbiorcach i transferach nadal odpowiadają rzeczywistości. Nie każda zmiana techniczna wymaga od nowa pełnej komunikacji wszystkim użytkownikom, ale istotna modyfikacja zakresu przetwarzania może wymagać aktualizacji klauzul. W procesie audytu warto zestawić treść formularza, polityki prywatności i rzeczywiste przepływy danych. Jeżeli aplikacja przekazuje dane do usługodawcy poza EOG, konieczne jest dodatkowe zbadanie rozdziału V RODO i obowiązków informacyjnych.

Lista kontrolna

1. Ustal rolę administratora i konkretny cel.
2. Wskaż podstawę i zakres przetwarzania.
3. Sprawdź przesłanki, terminy i wyjątki.
4. Dokumentuj działania i stosowne zabezpieczenia.
5. Zadbaj o rzetelną komunikację z osobami i organami.

Źródło pierwotne

Rozporządzenie (UE) 2016/679, art. 13 i przepisy powiązane, EUR-Lex — tekst RODO.

Opracowanie informacyjne; nie stanowi porady w indywidualnej sprawie.