brak klauzuli informacyjnej

Brak klauzuli informacyjnej to naruszenie zasady RODO wymagającej przekazania odbiorcy podstawowych informacji o przetwarzaniu danych.

Brak klauzuli informacyjnej – czym jest to uchybienie

Brak klauzuli informacyjnej oznacza sytuację, w której osoba, której dane są pozyskiwane, nie otrzymuje wymaganych informacji o tym, kto korzysta z danych, w jakim celu są one zbierane, na jakiej podstawie prawnej odbywa się przetwarzanie oraz jakie prawa przysługują osobie, której dane dotyczą. Nie chodzi wyłącznie o brak osobnego dokumentu zatytułowanego „klauzula informacyjna”. Naruszenie może wystąpić także wtedy, gdy informacje zostały przekazane w sposób niepełny, nieczytelny, zbyt ogólny albo dopiero po czasie, gdy osoba podejmowała już decyzję o przekazaniu danych.

W praktyce obowiązek informacyjny może dotyczyć danych podawanych przez formularz kontaktowy, podczas zgłoszenia sprzętu do serwisu, przy tworzeniu konta użytkownika, w korespondencji elektronicznej, przez telefon lub w trakcie zawierania umowy. Jeżeli dane są zbierane bezpośrednio od osoby, informacje powinny zostać przekazane co do zasady w momencie ich pozyskiwania. Gdy dane pochodzą z innego źródła, sposób i termin realizacji obowiązku mogą wyglądać inaczej, jednak nie oznacza to możliwości całkowitego pominięcia informacji.

Klauzula powinna być napisana językiem zrozumiałym dla odbiorcy. Nie wystarcza odwołanie do ogólnego stwierdzenia, że dane są przetwarzane zgodnie z przepisami. Potrzebne jest wskazanie administratora danych, danych kontaktowych, celu i podstawy przetwarzania, okresu przechowywania albo kryteriów ustalenia tego okresu, odbiorców danych oraz praw przysługujących osobie. Zakres informacji zależy od konkretnego procesu, dlatego treść przygotowana dla formularza zapytania może nie odpowiadać sytuacji związanej z przyjęciem urządzenia do naprawy.

Klauzula informacyjna w kontekście technicznym i dokumentacji serwisowej

W środowisku serwisu komputerowego dane osobowe mogą pojawiać się w wielu miejscach, nawet gdy głównym przedmiotem obsługi jest urządzenie. Imię i nazwisko, numer telefonu, adres poczty elektronicznej, opis usterki, dane z protokołu przyjęcia, informacje o sposobie odbioru oraz treść korespondencji mogą pozwalać na identyfikację konkretnej osoby. Czasami w opisie problemu znajduje się także nazwa użytkownika, fragment ścieżki pliku, nazwa konta albo fotografia ekranu. Każdy taki element powinien zostać oceniony pod kątem tego, czy stanowi dane osobowe i czy wiąże się z określonym celem przetwarzania.

Ważne jest odróżnienie klauzuli informacyjnej od zgody. Klauzula przekazuje wiedzę o przetwarzaniu danych i co do zasady nie jest prośbą o pozwolenie. Zgoda może być potrzebna tylko w określonych sytuacjach, na przykład przy wybranych działaniach marketingowych, i powinna dotyczyć jasno określonego celu. Samo zaznaczenie pola przy formularzu nie zastępuje informacji o administratorze, podstawie prawnej, czasie przechowywania ani prawach osoby. Podobnie polityka prywatności może zawierać szerokie wyjaśnienia, lecz należy sprawdzić, czy rzeczywiście obejmuje proces, w którym dane są pozyskiwane.

W dokumentacji technicznej warto rozdzielić informacje potrzebne do wykonania usługi od informacji dotyczących ochrony danych. Opis awarii powinien służyć diagnozie i naprawie, natomiast dane kontaktowe powinny być wykorzystywane tylko w zakresie związanym z obsługą zgłoszenia. Nie powinno się kopiować nadmiarowych danych z urządzenia, jeżeli nie są potrzebne do wykonania czynności. Przy przekazywaniu sprzętu można wskazać, jakie informacje są wymagane do kontaktu, jakie mogą zostać zapisane w protokole oraz jak należy zabezpieczyć prywatne pliki przed oddaniem urządzenia.

Warto także porównać trzy różne sytuacje: brak jakiejkolwiek informacji, informację częściową oraz informację formalnie obecną, ale niezrozumiałą. W pierwszym przypadku odbiorca nie wie, kto i po co przetwarza dane. W drugim zna tylko fragment procesu, na przykład cel kontaktu, ale nie zna okresu przechowywania ani swoich praw. W trzecim przypadku tekst może znajdować się na stronie, lecz być ukryty w długim dokumencie, napisany specjalistycznym językiem albo niedopasowany do danego formularza. Każdy z tych wariantów wymaga osobnej oceny.

Brak informacji – typowe problemy i ich skutki

Jednym z częstych problemów jest umieszczenie ogólnej informacji na stronie głównej, bez powiązania jej z konkretnym formularzem lub procesem. Osoba podająca numer telefonu może nie otrzymać tych samych informacji co osoba wysyłająca wiadomość elektroniczną. Inny błąd polega na pozostawieniu starej treści po zmianie dostawcy narzędzia do kontaktu, systemu rezerwacji albo sposobu archiwizowania zgłoszeń. Wtedy dokument może nie odpowiadać faktycznemu obiegowi danych.

Problematyczne bywa również niewskazanie wszystkich celów przetwarzania. Obsługa zgłoszenia, kontakt w sprawie statusu usługi, rozliczenie, obrona przed roszczeniami oraz działania promocyjne mogą wymagać rozdzielenia. Nie powinno się opisywać ich jednym nieprecyzyjnym hasłem, takim jak „realizacja usług i inne cele”. Każdy cel powinien być możliwy do zrozumienia, a podstawa prawna powinna odpowiadać rzeczywistemu działaniu.

Skutkiem braku klauzuli informacyjnej może być konieczność uzupełnienia dokumentacji, zmiana formularzy, aktualizacja procedur oraz przygotowanie odpowiedzi na pytania osoby, której dane dotyczą. W zależności od okoliczności może pojawić się także ryzyko skargi do organu nadzorczego, żądanie wyjaśnień albo zarzut niewłaściwej realizacji obowiązków związanych z ochroną danych. Samo naruszenie informacyjne nie przesądza automatycznie o każdym dalszym skutku prawnym, ale nie powinno być bagatelizowane.

Trudność może powstać także wtedy, gdy dane są pozyskiwane przez pracownika ustnie. Brak dokumentu nie zawsze oznacza brak możliwości przekazania informacji, lecz sposób wykonania obowiązku powinien pozwalać wykazać, co zostało przedstawione i kiedy. Przydatne jest stosowanie krótkiej informacji ustnej uzupełnionej wskazaniem pełnej treści w dokumencie lub na stronie internetowej. Należy przy tym zadbać, aby odbiorca mógł realnie zapoznać się z treścią, a nie tylko usłyszeć ogólną formułę.

Obowiązek informacyjny – praktyczne wskazówki porządkowania treści

Pierwszym krokiem jest sporządzenie mapy procesów, w których dane są zbierane. Należy uwzględnić formularze, pocztę elektroniczną, rozmowy telefoniczne, protokoły, dokumenty przekazywane przy odbiorze sprzętu oraz systemy służące do obsługi zgłoszeń. Przy każdym procesie warto zapisać, jakie dane są wymagane, skąd pochodzą, do czego są potrzebne, kto może uzyskać do nich dostęp i jak długo pozostają w dokumentacji.

Następnie powinno się przygotować treść w warstwach. Krótkie podsumowanie może pojawić się bezpośrednio przy polu formularza, natomiast pełna informacja powinna być dostępna pod wyraźnym odnośnikiem lub w dokumencie. Takie rozwiązanie ułatwia szybkie zapoznanie się z najważniejszymi elementami, a jednocześnie pozwala przedstawić szczegóły bez przeciążania pierwszego widoku. Tekst powinien mieć logiczne śródtytuły, krótkie akapity i jednoznaczne określenia.

Przy przeglądzie dokumentu należy sprawdzić, czy nazwa administratora jest aktualna, czy podano odpowiedni kanał kontaktu, czy opisano wszystkie cele oraz czy wskazano właściwe podstawy przetwarzania. Warto zweryfikować również informacje o odbiorcach danych, przekazywaniu danych poza Europejski Obszar Gospodarczy, prawie dostępu, sprostowania, usunięcia, ograniczenia przetwarzania, sprzeciwu i wniesienia skargi. Nie każde prawo ma zastosowanie w identycznym zakresie, dlatego nie powinno się kopiować całych katalogów bez dopasowania do procesu.

Dobrym rozwiązaniem jest ustanowienie przeglądu po każdej istotnej zmianie organizacyjnej lub technicznej. Aktualizacji może wymagać zmiana narzędzia kontaktowego, podmiotu obsługującego pocztę, sposobu przechowywania dokumentów albo zakresu danych wymaganych od klienta. Należy również zachować informację o wersji dokumentu i dacie jej wdrożenia. Pozwala to łatwiej odtworzyć, jaka treść obowiązywała w danym czasie.

Zgłoszenie braku klauzuli informacyjnej – kiedy potrzebna jest konsultacja

Do konsultacji warto przystąpić, gdy formularz lub dokument nie zawiera żadnej informacji o przetwarzaniu danych, gdy treść jest wyraźnie nieaktualna albo gdy nie da się ustalić, kto jest administratorem. Sygnałem ostrzegawczym jest również sytuacja, w której dane są pobierane w jednym celu, a później wykorzystywane do innego działania bez jasnego wyjaśnienia. Szczególnej uwagi wymaga łączenie danych kontaktowych z informacjami zapisanymi na urządzeniu, ponieważ zakres niezbędny do obsługi zgłoszenia powinien być ograniczony do rzeczywistych potrzeb.

W serwisie komputerowym można rozpocząć od zebrania kopii formularza, protokołu, korespondencji oraz informacji wyświetlanych osobie przy przekazywaniu danych. Warto opisać, kiedy i w jaki sposób dane zostały przekazane, a także czy pojawiła się możliwość zapoznania się z pełną treścią. Takie materiały ułatwiają ocenę, czy problem dotyczy całkowitego pominięcia informacji, braku pojedynczego elementu, czy niedopasowania klauzuli do konkretnej usługi.

W sprawach związanych z dokumentacją przyjęcia sprzętu i ochroną danych można zwrócić się do Warszawskiego Pogotowia Komputerowego 24/7, gdzie naprawy są z reguły realizowane do 3 dni roboczych. Przy kontakcie warto precyzyjnie opisać, jaki formularz lub dokument budzi wątpliwości i w jakim momencie dane zostały przekazane. Sama konsultacja techniczna nie zastępuje analizy prawnej, jeżeli sprawa obejmuje skargę, postępowanie lub złożone procesy przetwarzania, jednak może pomóc uporządkować informacje dotyczące urządzenia, dokumentacji i przebiegu zgłoszenia.

Najważniejsze jest, aby nie traktować klauzuli jako dodatku umieszczanego wyłącznie na stronie internetowej. Powinna być związana z konkretnym momentem pozyskania danych i odpowiadać rzeczywistemu sposobowi ich wykorzystywania. Regularne sprawdzanie formularzy, protokołów i komunikatów pozwala szybciej wykryć luki, ograniczyć zakres zbieranych informacji oraz zapewnić odbiorcom jasny obraz tego, co dzieje się z ich danymi.