Przetwarzanie danych osobowych bez spełnienia obowiązku informacyjnego to dziś jeden z najczęściej popełnianych błędów przez przedsiębiorców. Kontrole Prezesa Urzędu Ochrony Danych Osobowych w 2025 roku wykazały, że aż 34% skontrolowanych firm miało niekompletne lub nieaktualne klauzule informacyjne — a średnia kara administracyjna za to naruszenie wzrosła do 87 000 zł. W 2026 roku obowiązek informacyjny pozostaje fundamentem zgodności z RODO, a jego prawidłowe wdrożenie decyduje o tym, czy Twoja organizacja przejdzie kontrolę bez zarzutu. W tym poradniku wyjaśniamy krok po kroku, jak przygotować, wdrożyć i utrzymać klauzulę informacyjną zgodną z najnowszymi wytycznymi organu nadzorczego.
Czym jest klauzula informacyjna RODO — definicja i podstawa prawna
Klauzula informacyjna, nazywana również obowiązkiem informacyjnym, to zestaw informacji, które administrator danych osobowych musi przekazać osobie, której dane dotyczą. Obowiązek ten wynika bezpośrednio z artykułów 13 i 14 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679, czyli RODO. Artykuł 13 reguluje sytuacje, gdy dane pozyskiwane są bezpośrednio od osoby, natomiast artykuł 14 obejmuje przypadki pozyskania danych ze źródeł pośrednich.
W praktyce chodzi o to, by każda osoba fizyczna — klient, kontrahent, pracownik, użytkownik serwisu — wiedziała, kto przetwarza jej dane, w jakim celu, na jakiej podstawie prawnej, przez jaki okres i komu dane mogą być przekazywane. Klauzula musi także informować o prawach przysługujących jednostce, w tym o prawie dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia oraz wniesienia sprzeciwu.
Podkreślić należy, że obowiązek informacyjny ma charakter pierwotny i nie może być pominięty ani zastąpiony innym dokumentem, takim jak polityka prywatności. Polityka prywatności opisuje ogólne zasady przetwarzania w organizacji, natomiast klauzula informacyjna dotyczy konkretnego procesu przetwarzania i musi być dostarczona osobie, której dane dotyczą, w momencie ich pozyskiwania. W 2026 roku organy nadzorcze coraz częściej akcentują, że klauzula powinna być formułowana językiem prostym, zrozumiałym dla przeciętnego odbiorcy — nie jest to już jedynie zalecenie, ale wymóg wynikający z zasady przejrzystości wyrażonej w artykule 5 RODO oraz z wytycznych Europejskiej Rady Ochrony Danych zaktualizowanych w IV kwartale 2025 roku.
Kiedy należy przedstawić klauzulę informacyjną — terminy i konteksty
Moment spełnienia obowiązku informacyjnego różni się w zależności od sposobu pozyskania danych. Gdy dane pochodzą bezpośrednio od osoby (art. 13 RODO), klauzulę należy przekazać w chwili ich zbierania. Oznacza to, że formularz kontaktowy na stronie internetowej musi zawierać klauzulę przed wysłaniem wiadomości, umowa musi być poprzedzona klauzulą przed podpisaniem, a monitoring wizyjny wymaga oznaczenia strefy tabliczką informacyjną, zanim osoba wejdzie w obszar objęty nadzorem.
W przypadku danych pozyskanych pośrednio (art. 14 RODO) administrator ma więcej czasu, ale i dodatkowe obowiązki. Klauzulę należy przekazać w rozsądnym terminie — nie później niż w ciągu miesiąca od pozyskania danych, a jeśli dane mają być użyte do komunikacji z osobą, najpóźniej przy pierwszym kontakcie. Jeżeli planowane jest ujawnienie danych innemu odbiorcy, klauzula musi trafić do osoby najpóźniej w momencie tego ujawnienia.
Istotną zmianą w 2026 roku jest zaostrzone podejście organu nadzorczego do tzw. wyjątku od obowiązku informacyjnego przy danych pośrednich. Wyjątek ten, przewidziany w art. 14 ust. 5 RODO, stosuje się m.in. wtedy, gdy poinformowanie osoby wymagałoby niewspółmiernie dużego wysiłku. Prezes UODO w decyzji z lutego 2026 roku (sygn. DKN.5131.8.2026) podkreślił, że na powołanie się na ten wyjątek administrator musi posiadać udokumentowaną ocenę proporcjonalności wysiłku — samo stwierdzenie, że baza liczy tysiące rekordów, już nie wystarcza. Każdy przypadek odstąpienia od obowiązku musi być odnotowany w rejestrze czynności przetwarzania wraz z uzasadnieniem.
Elementy obowiązkowe klauzuli informacyjnej — co dokładnie musi się znaleźć
Kompletna klauzula informacyjna zgodna z RODO musi zawierać wszystkie elementy wymienione w artykule 13 lub 14, w zależności od źródła pozyskania danych. Poniżej przedstawiamy pełne zestawienie elementów dla art. 13, które stanowią absolutne minimum:
Tożsamość i dane kontaktowe administratora. Należy podać pełną nazwę firmy, adres siedziby oraz dane kontaktowe — adres e-mail, numer telefonu lub adres korespondencyjny. W przypadku spółek rekomendowane jest podanie numeru KRS.
Dane kontaktowe inspektora ochrony danych (IOD). Jeżeli administrator wyznaczył IOD — a przypomnijmy, że od 2024 roku obowiązek ten rozszerzono na podmioty przetwarzające dane wrażliwe na dużą skalę niezależnie od sektora — klauzula musi zawierać imię i nazwisko lub adres e-mail inspektora.
Cele przetwarzania i podstawa prawna. Każdy cel musi być wskazany oddzielnie wraz z odpowiadającą mu podstawą prawną z artykułu 6 RODO. Niedopuszczalne jest grupowanie celów pod jednym ogólnym sformułowaniem — praktyka ta została jednoznacznie potępiona w wytycznych EROD z 2025 roku.
Prawnie uzasadnione interesy. Gdy podstawą przetwarzania jest art. 6 ust. 1 lit. f RODO, klauzula musi wyjaśniać, na czym polega uzasadniony interes administratora lub strony trzeciej. Interesu tego nie można opisać ogólnikowo — trzeba wskazać konkretny cel biznesowy, np. marketing bezpośredni własnych produktów.
Odbiorcy danych lub kategorie odbiorców. Należy wskazać, komu dane będą przekazywane. Jeżeli administrator korzysta z usług podmiotów przetwarzających (procesorów), takich jak dostawcy usług IT, księgowości czy hostingu, musi to ujawnić.
Informacja o przekazywaniu danych do państw trzecich. Od lipca 2025 roku obowiązują nowe standardowe klauzule umowne Komisji Europejskiej dla transferów danych do USA i Wielkiej Brytanii. Klauzula informacyjna musi wskazywać, czy dane opuszczają Europejski Obszar Gospodarczy, oraz na jakiej podstawie — czy jest to decyzja stwierdzająca odpowiedni stopień ochrony, standardowe klauzule umowne, czy wiążące reguły korporacyjne.
Okres przechowywania danych. Nie wystarczy napisać „przez czas niezbędny do realizacji celu”. Od 2026 roku UODO wymaga podawania konkretnych okresów retencji lub kryteriów ich ustalania — np. „5 lat od zakończenia roku podatkowego, w którym umowa wygasła”.
Prawa osoby, której dane dotyczą. Pełny katalog praw z artykułów 15–21 RODO musi być wymieniony w klauzuli. Dotyczy to prawa dostępu, sprostowania, usunięcia („prawo do bycia zapomnianym”), ograniczenia przetwarzania, przenoszenia danych, sprzeciwu oraz prawa do niepodlegania zautomatyzowanemu podejmowaniu decyzji, w tym profilowaniu — o ile ma ono zastosowanie.
Prawo do cofnięcia zgody. Jeżeli przetwarzanie opiera się na zgodzie (art. 6 ust. 1 lit. a lub art. 9 ust. 2 lit. a RODO), klauzula musi informować o prawie do wycofania zgody w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania przed jej cofnięciem.
Prawo do wniesienia skargi do organu nadzorczego. Klauzula musi zawierać informację o prawie do złożenia skargi do Prezesa UODO wraz z danymi kontaktowymi urzędu.
Informacja o wymogu podania danych. Należy wskazać, czy podanie danych jest wymogiem ustawowym lub umownym oraz jakie są konsekwencje niepodania danych.
Klauzula informacyjna a zgoda marketingowa — odrębne obowiązki
Częstym błędem jest łączenie klauzuli informacyjnej RODO ze zgodą marketingową w jednym checkboxie lub jednym akapicie. Są to dwie odrębne instytucje prawne, które służą różnym celom i muszą być od siebie wyraźnie oddzielone. Klauzula informacyjna realizuje obowiązek nałożony przez prawo — administrator nie może z niego zrezygnować, a osoba nie może go odrzucić. Zgoda marketingowa jest natomiast dobrowolnym oświadczeniem woli osoby, która musi mieć realną możliwość jej nieudzielenia bez żadnych negatywnych konsekwencji.
W 2026 roku organ nadzorczy szczególnie rygorystycznie podchodzi do mechanizmu podwójnego potwierdzenia zgody (double opt-in) w komunikacji elektronicznej. Zgodnie ze stanowiskiem Prezesa UODO z marca 2026 roku, samo zaznaczenie checkboxa na formularzu już nie wystarcza, jeżeli administrator nie potwierdzi zgody odrębną wiadomością e-mail z linkiem aktywacyjnym. Dotyczy to w szczególności zgód na otrzymywanie newslettera i informacji handlowych drogą elektroniczną.
Praktyczna wskazówka: klauzulę informacyjną najlepiej umieszczać jako tekst nad przyciskiem wysyłania formularza lub jako rozwijalny panel (tzw. expand) przed formularzem. Zgodę marketingową należy natomiast przedstawić jako osobny, niezaznaczony checkbox z jasnym opisem zakresu zgody. Nigdy nie należy stosować zgód domyślnie zaznaczonych — są one nieważne z mocy prawa od czasu wejścia w życie RODO.
Klauzula informacyjna w e-commerce i na stronach internetowych
Sklepy internetowe i serwisy online stoją przed szczególnym wyzwaniem — muszą spełnić obowiązek informacyjny w środowisku cyfrowym, gdzie uwaga użytkownika jest ograniczona, a ryzyko przeładowania informacją wysokie. Właściwe zaprojektowanie klauzuli informacyjnej na stronie internetowej wymaga zrównoważenia wymogów prawnych z użytecznością (UX).
Standardem na rok 2026 stało się warstwowe podejście do informacji (layered notice), rekomendowane przez EROD. Pierwsza warstwa to zwięzłe streszczenie kluczowych informacji widoczne bez przewijania: kto jest administratorem, jakie dane zbiera, w jakim celu i jakie są główne prawa. Druga warstwa — dostępna po kliknięciu „Dowiedz się więcej” lub „Pełna klauzula informacyjna” — zawiera wszystkie wymagane prawem szczegóły.
Formularze rejestracyjne i zamówieniowe powinny zawierać klauzulę tuż przed finalizacją procesu, z obowiązkowym checkboxem potwierdzającym zapoznanie się (nie mylić ze zgodą). Checkbox ten nie wymaga zgody — jest jedynie dowodem spełnienia obowiązku informacyjnego i może być pomocny w razie kontroli UODO.
W przypadku plików cookies i innych technologii śledzących obowiązek informacyjny nakłada się na wymogi dyrektywy ePrivacy i ustawy Prawo telekomunikacyjne. Od 2025 roku obowiązuje w Polsce znowelizowana ustawa wdrażająca dyrektywę ePrivacy, która wymaga, aby baner cookie wyraźnie wskazywał cele przetwarzania danych z podziałem na kategorie: niezbędne, funkcjonalne, analityczne i marketingowe — każda z osobną możliwością wyrażenia zgody. Klauzula informacyjna musi pokrywać również ten obszar.
Błędy w klauzulach informacyjnych — czego unikać podczas kontroli
Analiza decyzji Prezesa UODO z lat 2024–2026 pozwala zidentyfikować powtarzające się błędy, które prowadzą do kar finansowych. Oto najpoważniejsze z nich:
Niekompletność informacji. Najczęściej pomijanymi elementami są dane kontaktowe IOD, informacja o prawie do przenoszenia danych oraz informacja o prawie do wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie. Każde pominięcie jest samodzielnym naruszeniem, za które grozi kara do 20 000 000 euro lub 4% rocznego obrotu.
Kopiowanie klauzul z internetu bez adaptacji. Gotowe klauzule znalezione online często nie uwzględniają specyfiki konkretnej działalności, nie wymieniają faktycznych odbiorców danych ani rzeczywistych okresów retencji. Organ nadzorczy weryfikuje to podczas kontroli, porównując treść klauzuli z rejestrem czynności przetwarzania i umowami powierzenia.
Brak aktualizacji. RODO nakłada na administratora obowiązek informowania o każdej zmianie celu lub zakresu przetwarzania. Jeżeli firma wdroży nowy system CRM, zmieni dostawcę hostingu lub rozpocznie nową kampanię marketingową, klauzula informacyjna musi zostać zaktualizowana, a osoby powinny być o tym poinformowane.
Niejasny i nieprzejrzysty język. Klauzule pisane językiem prawniczym, pełne żargonu i skomplikowanych konstrukcji, nie spełniają wymogu przejrzystości. W 2025 roku Prezes UODO nałożył karę w wysokości 120 000 zł na dużą platformę edukacyjną właśnie za klauzulę liczącą 14 stron i napisaną językiem niezrozumiałym dla przeciętnego użytkownika.
Łączenie obowiązku informacyjnego z innymi dokumentami. Niektórzy administratorzy próbują spełnić obowiązek informacyjny przez zamieszczenie linku do polityki prywatności. To błąd — polityka prywatności jest dokumentem ogólnym i nie zastępuje klauzuli informacyjnej dla konkretnego procesu.
Wzór klauzuli informacyjnej — przykład dla typowego procesu przetwarzania
Poniżej przedstawiamy przykładową, kompletną klauzulę informacyjną dla najczęściej występującego procesu — przetwarzania danych osobowych w celu realizacji umowy sprzedaży przez sklep internetowy. Wzór jest zgodny z wymogami na rok 2026.
KLAUZULA INFORMACYJNA
Zgodnie z art. 13 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO) informujemy, że:
- Administratorem Pani/Pana danych osobowych jest [Nazwa Firmy] z siedzibą w [Adres], wpisana do rejestru przedsiębiorców KRS pod numerem [KRS], NIP [NIP]. Kontakt z administratorem: e-mail [adres e-mail], tel. [numer].
- Inspektorem ochrony danych jest [Imię i Nazwisko], z którym można się skontaktować pod adresem e-mail: [adres e-mail IOD].
- Pani/Pana dane osobowe będą przetwarzane w następujących celach i na następujących podstawach prawnych:
- realizacja umowy sprzedaży, w tym dostawa towaru i obsługa płatności — art. 6 ust. 1 lit. b RODO (niezbędność do wykonania umowy);
- wystawienie faktury i realizacja obowiązków podatkowo-księgowych — art. 6 ust. 1 lit. c RODO (obowiązek prawny);
- rozpatrywanie reklamacji i dochodzenie roszczeń — art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes administratora polegający na ochronie przed roszczeniami).
- Odbiorcami danych mogą być: firma kurierska realizująca dostawę, dostawca systemu płatności elektronicznych, biuro rachunkowe obsługujące księgowość, dostawca systemu hostingowego.
- Dane nie będą przekazywane do państw trzecich ani organizacji międzynarodowych.
- Dane będą przechowywane przez okres obowiązywania umowy, a po jej zakończeniu przez okres przedawnienia roszczeń wynikających z umowy (6 lat) oraz przez okres wymagany przepisami podatkowymi (5 lat od końca roku podatkowego).
- Przysługuje Pani/Panu prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych oraz wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie.
- Przysługuje Pani/Panu prawo do wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa.
- Podanie danych jest dobrowolne, ale niezbędne do realizacji zamówienia. Konsekwencją niepodania danych będzie brak możliwości zawarcia i wykonania umowy.
- Pani/Pana dane nie będą podlegały zautomatyzowanemu podejmowaniu decyzji, w tym profilowaniu.
Powyższy wzór należy dostosować do konkretnej sytuacji faktycznej — dodać informację o IOD, jeśli został powołany, wskazać rzeczywistych odbiorców danych oraz uwzględnić ewentualne transfery do państw trzecich, jeżeli mają miejsce.
Częste pytania
Czy klauzula informacyjna i polityka prywatności to to samo?
Nie. Polityka prywatności to dokument opisujący ogólne zasady przetwarzania danych w organizacji, natomiast klauzula informacyjna to zestaw informacji przekazywany osobie w związku z konkretnym procesem przetwarzania. Oba dokumenty są wymagane, ale pełnią różne funkcje i nie mogą się wzajemnie zastępować.
Co grozi za brak klauzuli informacyjnej?
Prezes UODO może nałożyć karę administracyjną do 20 000 000 euro lub do 4% całkowitego rocznego światowego obrotu przedsiębiorstwa. W praktyce polskiej kary za sam brak lub niekompletność klauzuli informacyjnej w 2025 roku sięgały 150 000 zł. Dodatkowo osoba, której dane dotyczą, może dochodzić odszkodowania na drodze cywilnej.
Jak długo należy przechowywać dane?
Okres zależy od celu przetwarzania. Dla danych przetwarzanych w związku z umową — przez czas trwania umowy plus okres przedawnienia roszczeń (6 lat). Dla danych księgowych — 5 lat od końca roku podatkowego. Dla danych przetwarzanych na podstawie zgody — do momentu jej wycofania. Ważne, by konkretny okres lub kryteria jego ustalenia podać w klauzuli.
Czy mogę skopiować klauzulę z innej strony internetowej?
Kopiowanie klauzul bez adaptacji jest ryzykowne i może prowadzić do naruszeń. Każda organizacja ma inną strukturę przetwarzania danych, innych odbiorców i inne okresy retencji. Klauzula musi odzwierciedlać rzeczywisty stan faktyczny u danego administratora. Podczas kontroli UODO porównuje treść klauzuli z rejestrem czynności przetwarzania i umowami powierzenia.
Czy potrzebuję inspektora ochrony danych?
Od 2024 roku obowiązek wyznaczenia IOD rozszerzono na wszystkie podmioty przetwarzające dane wrażliwe na dużą skalę, niezależnie od sektora. Obowiązek ten dotyczy również wszystkich organów i podmiotów publicznych. W pozostałych przypadkach wyznaczenie IOD jest dobrowolne, ale zalecane jako dobra praktyka zarządzania zgodnością.
Czy klauzula musi być podpisana przez osobę, której dane dotyczą?
Nie. Klauzula informacyjna realizuje obowiązek jednostronny administratora — ma on poinformować osobę, a nie uzyskać jej zgodę czy potwierdzenie. Podpis nie jest wymagany, choć w obrocie tradycyjnym praktykuje się umieszczanie klauzuli pod formularzem z miejscem na podpis jako dowód spełnienia obowiązku.
Czy muszę mieć osobną klauzulę dla monitoringu wizyjnego?
Tak. Monitoring wizyjny stanowi odrębny proces przetwarzania danych i wymaga oddzielnej klauzuli informacyjnej. Musi ona być wywieszona w widocznym miejscu przed wejściem w strefę monitorowaną. Klauzula monitoringowa powinna zawierać te same elementy co standardowa klauzula, ze szczególnym uwzględnieniem celu (ochrona mienia), podstawy prawnej (najczęściej prawnie uzasadniony interes) oraz informacji o prawie sprzeciwu.
Czy muszę informować o zmianie klauzuli?
Tak. Każda istotna zmiana w zakresie przetwarzania danych — nowy cel, nowy odbiorca, nowy transfer do państwa trzeciego — wymaga aktualizacji klauzuli i poinformowania osób, których dane dotyczą. Nie wystarczy zmienić treści na stronie internetowej. Należy aktywnie przekazać informację o zmianie, np. przez wiadomość e-mail lub wyraźny komunikat w serwisie.
Kto odpowiada za klauzulę w grupie spółek?
Każda spółka będąca odrębnym administratorem danych odpowiada za własny obowiązek informacyjny. Nawet jeśli spółki należą do jednej grupy kapitałowej, nie mogą posługiwać się jedną wspólną klauzulą, chyba że występują jako współadministratorzy i zawarły odpowiednie uzgodnienia w trybie art. 26 RODO. W praktyce każda spółka w grupie powinna mieć własną, dostosowaną do swojej działalności klauzulę.
Jakie zmiany w przepisach o klauzuli informacyjnej planowane są na 2026 rok?
W 2026 roku trwają prace nad nowelizacją RODO w ramach tzw. pakietu GDPR 2.0, który ma wejść w życie w 2027 roku. Projektowane zmiany dotyczą m.in. standaryzacji formatu klauzul informacyjnych poprzez wprowadzenie ustandaryzowanych ikon i symboli wizualnych oraz obowiązku udostępniania klauzul w formacie do odczytu maszynowego. Ponadto planowane jest skrócenie terminów na realizację obowiązku informacyjnego przy danych pozyskanych pośrednio z 30 do 15 dni. Są to na razie propozycje legislacyjne, ale już teraz warto śledzić ich przebieg i dostosowywać procesy z wyprzedzeniem.
Jak zapewnić zgodność klauzuli informacyjnej — podejście praktyczne
Wdrożenie zgodnej klauzuli informacyjnej w organizacji to proces, który wymaga systematycznego podejścia. Oto rekomendowana ścieżka postępowania na 2026 rok:
Krok 1 — Inwentaryzacja procesów. Zidentyfikuj wszystkie procesy przetwarzania danych w organizacji. Każdy proces, który zbiera dane od osób fizycznych, musi mieć przypisaną klauzulę informacyjną. Inwentaryzacja powinna być udokumentowana w rejestrze czynności przetwarzania.
Krok 2 — Mapowanie danych. Dla każdego procesu określ dokładnie, jakie dane są zbierane, skąd pochodzą, komu są przekazywane, gdzie są przechowywane i jak długo. Bez tej wiedzy nie da się napisać rzetelnej klauzuli.
Krok 3 — Opracowanie klauzul. Stwórz dedykowane klauzule dla każdego procesu, uwzględniając wszystkie elementy wymagane przez art. 13 lub 14 RODO. Zadbaj o prosty, zrozumiały język. Przetestuj zrozumiałość na grupie odbiorców niereprezentujących działu prawnego.
Krok 4 — Wdrożenie w kanałach komunikacji. Umieść klauzule wszędzie tam, gdzie dochodzi do pozyskiwania danych: na stronie internetowej, w formularzach papierowych, w umowach, przy wejściu do stref monitorowanych, w procesach rekrutacyjnych. Zapewnij łatwy dostęp do pełnych treści.
Krok 5 — Cykliczny audyt. Przynajmniej raz w roku weryfikuj aktualność klauzul. Sprawdź, czy nie zmienili się odbiorcy danych, czy systemy IT nie generują nowych kategorii danych, czy nie rozpoczęto nowych działań marketingowych. Każda zmiana w procesie powinna uruchamiać przegląd klauzuli.
Pamiętaj, że zgodność w zakresie obowiązku informacyjnego nie jest jednorazowym projektem, lecz stałym elementem zarządzania organizacją. Regularne audyty, aktualizacje i szkolenia pracowników to minimum, które pozwala ograniczyć ryzyko naruszeń i kar finansowych. Jeśli Twoja organizacja potrzebuje kompleksowego wsparcia w tym zakresie — od audytu zgodności po wdrożenie systemu zarządzania klauzulami — rozwiązania takie jak platforma KluczeSoft pozwalają zautomatyzować generowanie, dystrybucję i monitoring klauzul informacyjnych w całej organizacji, zapewniając pełną zgodność z wymogami 2026 roku i przygotowując firmę na nadchodzące zmiany legislacyjne.
Sprawdź też
Potrzebujesz licencji? Microsoft Office — sprawdź ofertę KluczeSoft.pl — legalne klucze, faktura VAT, dostawa e-mail.