Oświadczenie RODO

Ktoś prosi Cię o oświadczenie RODO i nie do końca wiadomo, co ma być w środku? Pod tą nazwą kryją się dwie różne rzeczy: zgoda na przetwarzanie Twoich danych albo potwierdzenie, że zapoznałeś się z informacją administratora. Zanim cokolwiek podpiszesz, warto rozpoznać, którą z nich składasz.

Ten artykuł ma charakter informacyjny i nie stanowi porady prawnej. Dotyczy prawa polskiego.

Napisz oświadczenie RODO

Kiedy piszesz oświadczenie RODO

Najczęściej przy rekrutacji, marketingu i umowach. Kandydat dopisuje do CV zgodę, żeby pracodawca mógł przetwarzać jego dane na potrzeby naboru. Zapisujesz się do newslettera i zaznaczasz zgodę na kontakt marketingowy. Podpisujesz umowę z firmą, a ona wręcza Ci klauzulę informacyjną i prosi o potwierdzenie, że ją przeczytałeś.

Za tą samą nazwą stoją więc dwa różne pisma. Jedno to Twoja zgoda, czyli aktywna decyzja, żeby ktoś użył Twoich danych do konkretnego celu. Drugie to potwierdzenie, że dostałeś i przeczytałeś informację o tym, jak administrator obchodzi się z danymi. Ta strona pokazuje, jak je odróżnić, i wśród innych oświadczeń trzyma się tego jednego tematu.

Podstawa prawna: zgoda czy klauzula informacyjna

Zgoda opiera się na art. 6 ust. 1 lit. a rozporządzenia 2016/679, czyli RODO, w połączeniu z art. 7. Żeby była ważna, musi spełniać definicję z art. 4 pkt 11: być dobrowolna, konkretna, świadoma i jednoznaczna. Konkretna znaczy, że dotyczy wskazanego celu, a nie wszystkiego naraz. Przy danych szczególnych, na przykład o zdrowiu, RODO wymaga zgody wyraźnej (art. 9 ust. 2 lit. a).

Klauzula informacyjna działa inaczej. To wykonanie obowiązku informacyjnego administratora z art. 13 RODO, gdy zbiera dane wprost od Ciebie, albo z art. 14, gdy pozyskał je skądinąd. Twoje oświadczenie jest tu potwierdzeniem odbioru tej informacji, nic więcej.

Całość uzupełnia krajowa ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych. Dostosowuje ona polskie przepisy do rozporządzenia i obowiązuje obok niego.

Wycofanie zgody i kiedy jest nieważna

Zgody nie podpisujesz raz na zawsze. Art. 7 ust. 3 RODO daje Ci prawo wycofać ją w dowolnym momencie, i to równie łatwo, jak jej udzieliłeś. Wycofanie działa na przyszłość: przetwarzanie, które odbyło się zgodnie z prawem, zanim cofnąłeś zgodę, zostaje ważne. O tym prawie administrator ma Cię poinformować, zanim zgodę wyrazisz.

Bywa też, że zgoda jest nieważna od początku. Zgoda obejmująca wszystko naraz, bez wskazania celu, nie spełnia warunku konkretności. Zgoda uzależniona od zawarcia umowy, choć dane nie są do niej potrzebne, przestaje być dobrowolna (art. 7 ust. 4). Taka klauzula, podpisana pod presją, prawnie nie wiąże.

Komu i jak przekazujesz oświadczenie

Zgodę albo potwierdzenie kierujesz do administratora danych, czyli podmiotu, który je przetwarza: pracodawcy, firmy, sklepu internetowego, przychodni czy uczelni. Formy bywają różne: papier z podpisem, okienko do zaznaczenia w formularzu, klauzula pod CV, potwierdzenie mailem. Nie ma jednego urzędowego druku ani jednego terminu, bo oświadczenie RODO trafia nie do urzędu, tylko do tego, kto Twoje dane trzyma.

Zachowaj kopię tego, co podpisałeś, razem z treścią klauzuli informacyjnej. Gdy zechcesz wycofać zgodę, wystarczy wiadomość do administratora, bez uzasadnienia. Jak zaktualizować dane, które już się zmieniły, opisuje osobne oświadczenie o zmianie danych osobowych.

Co powinno zawierać oświadczenie RODO

• Twoje dane: imię i nazwisko oraz kontakt, po którym administrator Cię rozpozna.
• Wskazanie administratora: nazwę, adres i dane kontaktowe podmiotu, który będzie przetwarzał dane.
• Cel przetwarzania, konkretny, na przykład udział w rekrutacji albo wysyłka newslettera.
• Zakres danych objętych zgodą.
• Podstawę: art. 6 ust. 1 lit. a RODO przy zgodzie, a przy danych szczególnych art. 9 ust. 2 lit. a.
• Informację o prawie do wycofania zgody w dowolnym momencie (art. 7 ust. 3).
• Przy klauzuli informacyjnej: potwierdzenie, że zapoznałeś się z informacją administratora (art. 13).
• Datę i własnoręczny podpis.

Najczęstsze błędy

• Mylenie zgody z klauzulą informacyjną. Potwierdzenie, że przeczytałeś informację, nie zastępuje zgody na konkretny cel.
• Zgoda na wszystko naraz. Bez wskazania celu jest zbyt ogólna i nie spełnia warunku konkretności z art. 4 pkt 11.
• Zgoda wymuszona. Uzależnianie jej od umowy, gdy dane nie są do niej potrzebne, łamie zasadę dobrowolności (art. 7 ust. 4).
• Powołanie starej ustawy. Podstawą jest dziś RODO oraz ustawa z 10 maja 2018 r., a nie uchylona ustawa z 1997 r. i jej art. 23.
• Brak informacji o wycofaniu. Administrator ma o tym prawie poinformować, zanim wyrazisz zgodę.
• Zgoda schowana w regulaminie. Powinna być wyróżniona i napisana jasnym językiem (art. 7 ust. 2).

Oświadczenie ułoży za Ciebie generator

Zamiast zgadywać, czy potrzebujesz zgody, czy potwierdzenia klauzuli, odpowiedz w Prawomacie na kilka pytań. Dostaniesz gotowe oświadczenie RODO z Twoimi danymi, wskazaniem administratora, konkretnym celem i powołaniem właściwej podstawy prawnej, gotowe do podpisu.