Najważniejsze dla IOD
Klauzula informacyjna to dokument, który mają wszyscy i którego prawie nikt nie czyta ponownie. W 2026 r. to właśnie na niego spojrzą jednocześnie wszystkie europejskie organy. Jeśli prowadzisz portfel klientów, to jest rok, w którym warto przeczytać je wszystkie - i nie we wrześniu.
Jak działa skoordynowana akcja
Od 2022 r. EROD wybiera jeden temat rocznie, a organy krajowe sprawdzają go równolegle: jedne wysyłają ankiety, inne wszczynają formalne kontrole, jeszcze inne postępowania. Ustalenia trafiają do europejskiego raportu, który staje się punktem odniesienia w kolejnych latach. Poprzednie edycje dotyczyły roli IOD, prawa dostępu i usunięcia danych. Rok 2026 to przejrzystość.
Praktyczny wniosek: nie trzeba być w centrum uwagi, żeby trafić do próby. Organy wybierają administratorów każdej wielkości, a dla wielu pierwszą wiadomością jest ankieta z terminem odpowiedzi.
Na co naprawdę patrzą
Art. 12 nie wymaga, aby klauzula istniała: wymaga, aby była zwięzła, przejrzysta, zrozumiała, łatwo dostępna i sformułowana jasnym i prostym językiem. To pięć przymiotników, a każdy z nich to możliwy zarzut. Klauzula kompletna, lecz nieczytelna, narusza art. 12 dokładnie tak samo, jak niekompletna narusza art. 13.
Art. 14 to prawdziwy słaby punkt
Gdy dane nie pochodzą od osoby, której dotyczą, lecz z innego źródła - zakupiona lista, baza przejęta wraz z firmą, dostawca, który je przekazuje - obowiązek informacyjny nadal istnieje, trzeba go wykonać w ciągu miesiąca i wskazać, SKĄD dane pochodzą. W praktyce to najczęściej pomijany obowiązek, bo nikt nie ma procesu, który uruchamia się, gdy dane wpływają kanałem pośrednim.
Pytania do każdego klienta
- Czy klauzula odpowiada temu, co klient robi DZIŚ, czy opisuje firmę sprzed trzech lat?
- Czy cele i podstawy prawne pokrywają się z tymi z rejestru czynności z art. 30? Rozjeżdżają się częściej, niż się sądzi, a organ je porównuje.
- Czy tam, gdzie dane przychodzą od podmiotów trzecich, istnieje klauzula z art. 14 i czy ktoś ją naprawdę wysyła w ciągu miesiąca?
- Czy okresy przechowywania podano według kryterium, czy formułą „przez czas niezbędny”, która nikogo nie informuje?
- Czy klauzula jest osiągalna w mniej niż dwóch kliknięciach od miejsca zbierania danych?
Co zrobić teraz, w praktyce
1) Zrób inwentaryzację klauzul wszystkich klientów wraz z datą ostatniego przeglądu: te starsze niż dwa lata załatw w pierwszej kolejności. 2) Dla każdego klienta zestaw cele z klauzuli z celami z rejestru art. 30 i zapisz rozbieżności - to pierwsza kontrola organu, bo nic nie kosztuje. 3) Poszukaj przepływów pośrednich: listy, partnerzy, przejęcia, dostawcy przekazujący bazy. Każdy wymaga klauzuli z art. 14 ze wskazaniem źródła. 4) Wpisz przegląd klauzul do planu rocznego z datą, a nie jako działanie ciągłe: działań ciągłych nigdy się nie wykonuje.
Szukasz narzędzia do codziennej pracy inspektora ochrony danych?
DPO Workspace został zbudowany przez certyfikowanego IOD. 30 dni bezpłatnie.
Zacznij bezpłatnie
