eRODO.pl -wdrożenie RODO, ochrona danych osobowych w firmach

Artykuł 13

 

1.   Jeżeli dane osobowe osoby, której dane dotyczą, zbierane są od tej osoby, administrator podczas pozyskiwania danych osobowych podaje jej wszystkie następujące informacje: a) swoją tożsamość i dane kontaktowe oraz, gdy ma to zastosowanie, tożsamość i dane kontaktowe swojego przedstawiciela;b) gdy ma to zastosowanie – dane kontaktowe inspektora ochrony danych;c) cele przetwarzania danych osobowych, oraz podstawę prawną przetwarzania;d) jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. f) – prawnie uzasadnione interesy realizowane przez administratora lub przez stronę trzecią; e) informacje o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją; f) gdy ma to zastosowanie – informacje o zamiarze przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej oraz o stwierdzeniu lub braku stwierdzenia przez Komisję odpowiedniego stopnia ochrony lub w przypadku przekazania, o którym mowa w art. 46, art. 47 lub art. 49 ust. 1 akapit drugi, wzmiankę o odpowiednich lub właściwych zabezpieczeniach oraz informację o sposobach uzyskania kopii tych zabezpieczeń lub o miejscu ich udostępnienia. 2.   Poza informacjami, o których mowa w ust. 1, podczas pozyskiwania danych osobowych administrator podaje osobie, której dane dotyczą, następujące inne informacje niezbędne do zapewnienia rzetelności i przejrzystości przetwarzania: a) okres, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteria ustalania tego okresu; b) informacje o prawie do żądania od administratora dostępu do danych osobowych dotyczących osoby, której dane dotyczą, ich sprostowania, usunięcia lub ograniczenia przetwarzania lub o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych; c) jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. a) lub art. 9 ust. 2 lit. a) – informacje o prawie do cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem; d) informacje o prawie wniesienia skargi do organu nadzorczego; e) informację, czy podanie danych osobowych jest wymogiem ustawowym lub umownym lub warunkiem zawarcia umowy oraz czy osoba, której dane dotyczą, jest zobowiązana do ich podania i jakie są ewentualne konsekwencje niepodania danych; f) informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, o którym mowa w art. 22 ust. 1 i 4, oraz – przynajmniej w tych przypadkach – istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą. 3.   Jeżeli administrator planuje dalej przetwarzać dane osobowe w celu innym niż cel, w którym dane osobowe zostały zebrane, przed takim dalszym przetwarzaniem informuje on osobę, której dane dotyczą, o tym innym celu oraz udziela jej wszelkich innych stosownych informacji, o których mowa w ust. 2. 4.   Ust. 1, 2 i 3 nie mają zastosowania, gdy – i w zakresie, w jakim – osoba, której dane dotyczą, dysponuje już tymi informacjami.

1.   Where personal data relating to a data subject are collected from the data subject, the controller shall, at the time when personal data are obtained, provide the data subject with all of the following information: (a) the identity and the contact details of the controller and, where applicable, of the controller’s representative;(b) the contact details of the data protection officer, where applicable;(c) the purposes of the processing for which the personal data are intended as well as the legal basis for the processing;(d) where the processing is based on point (f) of Article 6(1), the legitimate interests pursued by the controller or by a third party; (e) the recipients or categories of recipients of the personal data, if any; (f) where applicable, the fact that the controller intends to transfer personal data to a third country or international organisation and the existence or absence of an adequacy decision by the Commission, or in the case of transfers referred to in Article 46 or 47, or the second subparagraph of Article 49(1), reference to the appropriate or suitable safeguards and the means by which to obtain a copy of them or where they have been made available. 2.   In addition to the information referred to in paragraph 1, the controller shall, at the time when personal data are obtained, provide the data subject with the following further information necessary to ensure fair and transparent processing: (a) the period for which the personal data will be stored, or if that is not possible, the criteria used to determine that period; (b) the existence of the right to request from the controller access to and rectification or erasure of personal data or restriction of processing concerning the data subject or to object to processing as well as the right to data portability; (c) where the processing is based on point (a) of Article 6(1) or point (a) of Article 9(2), the existence of the right to withdraw consent at any time, without affecting the lawfulness of processing based on consent before its withdrawal; (d) the right to lodge a complaint with a supervisory authority; (e) whether the provision of personal data is a statutory or contractual requirement, or a requirement necessary to enter into a contract, as well as whether the data subject is obliged to provide the personal data and of the possible consequences of failure to provide such data; (f) the existence of automated decision-making, including profiling, referred to in Article 22(1) and (4) and, at least in those cases, meaningful information about the logic involved, as well as the significance and the envisaged consequences of such processing for the data subject. 3.   Where the controller intends to further process the personal data for a purpose other than that for which the personal data were collected, the controller shall provide the data subject prior to that further processing with information on that other purpose and with any relevant further information as referred to in paragraph 2. 4.   Paragraphs 1, 2 and 3 shall not apply where and insofar as the data subject already has the information.

 

Motywy

 

(61) Informacje o przetwarzaniu danych osobowych dotyczących osoby, której dane dotyczą, należy przekazać tej osobie w momencie zbierania danych, a jeżeli danych nie uzyskuje się od osoby, której dane dotyczą, lecz z innego źródła – w rozsądnym terminie, zależnie od okoliczności. Jeżeli dane osobowe można zgodnie z prawem ujawnić innemu odbiorcy, należy poinformować o tym osobę, której dane dotyczą, w momencie pierwszorazowego ujawnienia danych temu odbiorcy. Jeżeli administrator planuje przetwarzać dane osobowe w celu innym niż cel, w których dane osobowe zostały zebrane, powinien on przed takim dalszym przetwarzaniem poinformować osobę, której dane dotyczą, o tym innym celu oraz dostarczyć jej innych niezbędnych informacji. Jeżeli osobie, której dane dotyczą, nie można podać pochodzenia danych osobowych, ponieważ korzystano z różnych źródeł, informacje należy przedstawić w sposób ogólny.(62) Nałożenie obowiązku udzielenia informacji nie jest jednak konieczne, jeżeli osoba, której dane dotyczą, dysponuje już tymi informacjami, jeżeli utrwalenie lub ujawnienie danych są wyraźnie przewidziane prawem, lub jeżeli poinformowanie osoby, której dane dotyczą, okazuje się niemożliwe lub wymagałoby niewspółmiernie dużego wysiłku. Sytuacja braku możliwości lub niewspółmiernie dużego wysiłku może zachodzić w szczególności przypadku, gdy przetwarzanie służy celom archiwalnym w interesie publicznym, celom badań naukowych lub historycznych lub celom statystycznym. Uwzględnić przy tym należy liczbę osób, których dane dotyczą, okres przechowywania danych oraz wszelkie przyjęte odpowiednie zabezpieczenia.

(61) The information in relation to the processing of personal data relating to the data subject should be given to him or her at the time of collection from the data subject, or, where the personal data are obtained from another source, within a reasonable period, depending on the circumstances of the case. Where personal data can be legitimately disclosed to another recipient, the data subject should be informed when the personal data are first disclosed to the recipient. Where the controller intends to process the personal data for a purpose other than that for which they were collected, the controller should provide the data subject prior to that further processing with information on that other purpose and other necessary information. Where the origin of the personal data cannot be provided to the data subject because various sources have been used, general information should be provided.(62) However, it is not necessary to impose the obligation to provide information where the data subject already possesses the information, where the recording or disclosure of the personal data is expressly laid down by law or where the provision of information to the data subject proves to be impossible or would involve a disproportionate effort. The latter could in particular be the case where processing is carried out for archiving purposes in the public interest, scientific or historical research purposes or statistical purposes. In that regard, the number of data subjects, the age of the data and any appropriate safeguards adopted should be taken into consideration.

 

Komentarz do art. 13 RODO

Art. 13 RODO określa, jakie informacje administrator musi przekazać osobie, od której zbiera dane osobowe, już przy ich pozyskiwaniu. Przepis ten urealnia zasadę rzetelności i przejrzystości w zakresie przetwarzania. Osoba powinna wiedzieć, kto przetwarza jej dane, w jakim celu, na jakiej podstawie, komu są przekazywane, jak długo będą przechowywane oraz jakie ma prawa.

 

---

 

Cel przepisu i zakres stosowania

Celem art. 13 jest to, by osoba, której dane dotyczą, nie była zaskoczona sposobem ich wykorzystania i mogła wcześniej ocenić zakres oraz skutki przetwarzania. Obowiązek informacyjny z art. 13 obejmuje każdą sytuację, gdy dane są zbierane bezpośrednio od osoby – nie tylko przez formularz, ale także poprzez obserwację, na przykład monitoring wizyjny, rejestrowanie zdarzeń sieciowych lub użycie sensorów.

W przypadkach, gdy dane pochodzą z innych źródeł (np. z rejestrów publicznych, od kontrahentów, z systemów partnerskich), stosuje się art. 14 RODO, który przewiduje oddzielny katalog informacji oraz odrębne zasady realizacji obowiązku informacyjnego.

 

---

 

Zasada przejrzystości jako punkt odniesienia

Wytyczne Grupy Roboczej art. 29 (WP29), obecnie zatwierdzone przez EROD, podkreślają, że przejrzystość to kluczowy obowiązek, który należy stosować zarówno podczas informowania, jak i w całym procesie komunikacji z osobą, której dane dotyczą. Oznacza to, że:

 

• • informacje muszą być łatwo dostępne,
  • zrozumiałe dla przeciętnego przedstawiciela grupy docelowej,
  • wyraźnie odróżnione od innych treści (np. regulaminów, warunków umowy),
  • podane jasnym, prostym językiem, bez prawniczych zawiłości i ogólnikowych sformułowań.

W praktyce zaleca się stosowanie podejścia warstwowego: przy miejscu zbierania danych powinna być krótka informacja (pierwsza warstwa), a pełna klauzula, zawierająca wszystkie elementy z art. 13 ust. 1–2 powinna być dostępna pod linkiem lub w osobnym dokumencie (druga warstwa).

 

---

 

Tożsamość i dane kontaktowe administratora oraz przedstawiciela

Pierwszym elementem klauzuli jest jasne wskazanie, kto jest administratorem danych, czyli podmiotem decydującym o celach i sposobach przetwarzania. W praktyce należy podać:

 

• • pełną nazwę administratora (np. spółki, organu),
  • formę prawną,
  • zasadniczą lokalizację (adres siedziby lub głównego miejsca prowadzenia działalności),
  • dane kontaktowe (np. adres e‑mail, numer telefonu, adres do korespondencji).

Jeśli administrator nie ma jednostki organizacyjnej w UE i wyznacza przedstawiciela zgodnie z art. 27 RODO, w klauzuli należy również podać tożsamość i dane kontaktowe przedstawiciela. Dzięki temu osoba będzie wiedziała, gdzie kierować zapytania i żądania dotyczące przetwarzania.

 

---

 

Dane kontaktowe inspektora ochrony danych (IOD)

Jeżeli administrator wyznaczył inspektora ochrony danych, zgodnie z art. 37 RODO: musi podać jego dane kontaktowe w klauzuli. W praktyce najczęściej wskazuje się:

 

• • dedykowany adres e‑mail (np. iod@firma.pl),
  • numer telefonu lub adres korespondencyjny,
  • ewentualnie imię i nazwisko, choć RODO nie wymaga podawania imienia i nazwiska w treści klauzuli.

Ważne, by nie mylić IOD z innymi funkcjami. Jeśli w organizacji jest specjalista ds. ochrony danych, ale nie pełni on formalnej roli IOD zgodnie z RODO. Nie należy oznaczać go w klauzuli jako „inspektora ochrony danych”.

 

---

 

Cele przetwarzania danych osobowych

„Cele przetwarzania” to odpowiedź na pytanie, po co przetwarzasz dane tej osoby i jaki konkretny rezultat chcesz osiągnąć.

Cele muszą być:

 

• • konkretne i wyraźnie określone (zgodnie z zasadą ograniczenia celu),
  • zgodne z prawem,
  • opisane językiem, który przeciętny odbiorca rozumie bez prawniczej terminologii.

Zamiast ogólnych stwierdzeń, takich jak „cele biznesowe” czy „zarządzanie relacjami z klientem”, w klauzuli warto podać bardziej opisowe cele, na przykład:

 

• • zawarcie i wykonanie umowy sprzedaży,
  • prowadzenie rekrutacji na dane stanowisko,
  • obsługa zgłoszeń i reklamacji,
  • prowadzenie działań marketingu bezpośredniego (newsletter, SMS z ofertami).

Jeśli dane będą wykorzystywane także w innych celach, na przykład analitycznych, statystycznych czy do opracowywania modeli ryzyka, administrator musi wskazać te cele. Gdy są one inne niż pierwotne, przed rozpoczęciem takiego przetwarzania należy poinformować osobę zgodnie z art. 13 ust. 3.

 

---

 

Podstawa prawna przetwarzania

Każdy cel przetwarzania musi mieć przypisaną konkretną podstawę prawną, czyli wyjaśnienie, dlaczego dane wolno przetwarzać w tym celu.

Najczęstsze podstawy z art. 6 RODO:

 

• • art. 6 ust. 1 lit. a – zgoda (np. dobrowolny marketing e‑mail/SMS, wykorzystywanie danych w dodatkowych akcjach promocyjnych).
  • art. 6 ust. 1 lit. b – wykonanie umowy (np. realizacja zamówienia, obsługa umowy o świadczenie usług),
  • art. 6 ust. 1 lit. c – obowiązek prawny (np. obowiązki podatkowe, archiwalne, branżowe),
  • art. 6 ust. 1 lit. f – prawnie uzasadniony interes (np. dochodzenie roszczeń, zabezpieczenie sieci, zapobieganie nadużyciom),

W klauzuli nie wystarczy napisać, że dane mają „podstawę w RODO”. Należy wskazać konkretny przepis i powiązać go z odpowiednim celem, na przykład:

 

• • „przetwarzanie danych kontaktowych w celu obsługi zapytań – podstawa prawna: art. 6 ust. 1 lit. f RODO (uzasadniony interes administratora – komunikacja z klientami)”,
  • „przetwarzanie danych rekrutacyjnych w celu zawarcia umowy – podstawa prawna: art. 6 ust. 1 lit. b RODO”.

Jeśli przetwarzane są dane szczególnych kategorii (np. zdrowotne, członkostwo związkowe), należy w praktyce wyjaśnić, na jakiej przesłance z art. 9 ust. 2 opiera się ich przetwarzanie (np. obowiązek wynikający z prawa pracy, zgoda, ważny interes publiczny).

 

---

 

Prawnie uzasadnione interesy administratora lub strony trzeciej

Jeżeli podstawą przetwarzania jest art. 6 ust. 1 lit. f RODO, administrator musi wskazać, jaki uzasadniony interes realizuje.

Wytyczne WP29 zalecają, aby:

 

• • interes był opisany w sposób konkretny (np. dochodzenie roszczeń, zapobieganie oszustwom, zapewnienie bezpieczeństwa sieci),
  • administrator przeprowadził test równowagi między swoim interesem a prawami i wolnościami osoby, której dane dotyczą,
  • w ramach przejrzystości poinformować, że wyniki tego testu są dostępne na żądanie osoby.

Nie wystarczy odwołać się do „interesu biznesowego” bez wyjaśnienia, na czym on polega i dlaczego jest uzasadniony w odniesieniu do ryzyk dla osoby.

 

---

 

Odbiorcy danych lub kategorie odbiorców

Art. 13 wymaga wskazania, komu oprócz administratora dane są powierzane lub udostępniane.

Można wymieniać konkretne podmioty (np. spółki z grupy) albo stosować kategorie odbiorców, ale wytyczne zalecają możliwie szczegółowy opis, np.:

 

• • dostawca hostingu i usług chmurowych,
  • biuro rachunkowe, kancelaria prawna,
  • firma kurierska dostarczająca przesyłki,
  • dostawca systemu mailingowego do wysyłki newslettera.

Ogólne sformułowania, takie jak „inne podmioty współpracujące z administratorem”, nie spełniają wymogu przejrzystości, ponieważ nie pozwalają osobie zrozumieć, kto faktycznie może mieć dostęp do jej danych.

 

---

 

Przekazywanie danych do państw trzecich i organizacji międzynarodowych

Jeżeli administrator przekazuje dane poza Europejski Obszar Gospodarczy lub do organizacji międzynarodowej, musi poinformować o tym fakcie oraz o zastosowanych zabezpieczeniach.

W szczególności klauzula powinna wskazywać:

 

• • do jakich państw lub organizacji dane są przekazywane,
  • czy istnieje decyzja Komisji o odpowiednim poziomie ochrony,
  • czy stosowane są standardowe klauzule umowne (SCC), wiążące reguły korporacyjne (BCR) lub inne mechanizmy,
  • w jaki sposób osoba może uzyskać kopię zabezpieczeń lub gdzie są one udostępnione (np. link do wzoru SCC).

Celem tej informacji jest umożliwienie osobie dokonania realnej oceny ryzyk związanych z przekazaniem danych poza EOG, a nie tylko odnotowanie tego jako szczegółu technicznego.

 

---

 

Okres przechowywania danych i kryteria ustalania

Administrator musi poinformować, jak długo będzie przechowywał dane albo według jakich kryteriów określa ten okres.

W praktyce zaleca się, aby:

 

• • unikać ogólnych formuł typu „tak długo, jak jest to konieczne do realizacji celów”,
  • wskazywać konkretne okresy (np. czas trwania umowy + 5 lat, okres przedawnienia roszczeń),
  • w sektorach regulowanych odwoływać się do właściwych przepisów (np. ustawa o rachunkowości, przepisy archiwalne, prawo oświatowe) określających okres retencji.

Tylko wtedy osoba może zrozumieć, czy jej dane będą przetwarzane przez krótki czy długi czas oraz jakie są rzeczywiste konsekwencje ich podania.

 

---

 

Prawa osoby, której dane dotyczą

Art. 13 wymaga poinformowania o prawach przysługujących osobie, której dane dotyczą, w szczególności o:

 

• • prawie dostępu do danych,
  • prawie ich sprostowania,
  • prawie usunięcia („bycia zapomnianym”) – w granicach art. 17,
  • prawie ograniczenia przetwarzania,
  • prawie sprzeciwu wobec przetwarzania (zwłaszcza na podstawie uzasadnionego interesu i dla celów marketingu bezpośredniego),
  • prawie do przenoszenia danych.

W klauzuli warto krótko opisać każde prawo i podać sposoby kontaktu w celu jego realizacji, na przykład adres e‑mail, formularz lub adres korespondencyjny, zamiast tylko wymieniać artykuły RODO. Wytyczne podkreślają, że prawo sprzeciwu powinno być szczególnie wyróżnione i jasno opisane, oddzielnie od innych praw.

 

---

 

Prawo do cofnięcia zgody

Jeżeli przetwarzanie danych opiera się na zgodzie (art. 6 ust. 1 lit. a lub art. 9 ust. 2 lit. a), osoba musi być poinformowana o możliwości cofnięcia zgody w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania przed jej cofnięciem.

Z doświadczenia wynika, że aby to prawo było realne, klauzula powinna wskazywać konkretny i prosty sposób wycofania zgody, na przykład:

 

• • link „wypisz się” w stopce e‑maila,
  • możliwość zmiany ustawień w panelu użytkownika,
  • wysłanie wiadomości na wskazany adres e‑mail.

 

---

 

Prawo wniesienia skargi do organu nadzorczego

Osoba powinna być poinformowana, że ma prawo złożyć skargę do organu nadzorczego, czyli w Polsce do Prezesa Urzędu Ochrony Danych Osobowych (UODO).

W praktyce najczęściej podaje się nazwę organu i link do jego strony internetowej, bez potrzeby zamieszczania pełnego adresu siedziby w klauzuli.

 

---

 

Wymóg podania danych i konsekwencje niepodania

Klauzula musi wyjaśniać, czy podanie danych jest obowiązkowe czy dobrowolne oraz jakie są konsekwencje ich niepodania.

Chodzi o rozróżnienie m.in.:

 

• • czy podanie danych jest wymogiem ustawowym,
  • czy wynika z umowy lub jest warunkiem jej zawarcia,
  • czy jest całkowicie dobrowolne (np. zgoda na działania marketingowe).

Warto jasno zaznaczyć, które pola formularza są obowiązkowe, a które nie, oraz opisać skutki niepodania danych, na przykład brak możliwości zawarcia umowy, brak odpowiedzi na zapytanie lub ograniczoną funkcjonalność konta.

 

Zaumatyzowane podejmowanie decyzji, w tym profilowanie

Jeżeli administrator stosuje zautomatyzowane podejmowanie decyzji (w tym profilowanie), które wywołuje wobec osoby skutki prawne lub w podobny sposób na nią istotnie wpływa, klauzula musi zawierać informację o:

 

• • istnieniu takiego przetwarzania,
  • zastosowanych zasadach (logice) podejmowania decyzji,
  • znaczeniu i przewidywanych konsekwencjach dla osoby.

Wytyczne uznają, że opis złożonych algorytmów prostym językiem jest trudny, ale należy przynajmniej wskazać rodzaje danych branych pod uwagę, ogólną logikę oceny (np. scoring ryzyka, segmentacja marketingowa) oraz to, czy i kiedy człowiek weryfikuje decyzję.

 

---

 

Dalsze przetwarzanie w innym celu

Jeżeli administrator planuje dalej przetwarzać dane w celu innym niż ten, dla którego zostały zebrane, art. 13 ust. 3 nakłada obowiązek uprzedniego poinformowania osoby o nowym celu oraz przekazania jej wszelkich innych stosownych informacji z ust. 2.

Nie wolno „po cichu” rozszerzać zakresu wykorzystania danych. Zmiany w celach należy komunikować w sposób jasny i widoczny, na przykład poprzez osobną informację, wyraźnie oznaczoną aktualizację polityki prywatności lub komunikat w panelu użytkownika.

 

---

 

Wyjątek: gdy osoba ma już informacje

Art. 13 ust. 4 przewiduje, że obowiązek informacyjny nie ma zastosowania „w zakresie, w jakim osoba, której dane dotyczą, dysponuje już tymi informacjami”.

Wytyczne jasno podkreślają, że:

 

• • to administrator musi być w stanie udokumentować, że osoba posiada komplet aktualnych informacji z art. 13 ust. 1–2,
  • wyjątek powinien być stosowany wąsko, a nie jako wygodny pretekst do rezygnacji z informowania.

Przykład: jeśli osoba już wcześniej otrzymała klauzulę informacyjną o danym procesie i od tego czasu nie doszło do zmian, nie trzeba ponownie przekazywać tych samych informacji przy każdej kolejnej interakcji. Administrator powinien jednak móc to wykazać w razie kontroli.

 

---

 

Wnioski praktyczne i checklist dla administratora

Art. 13 RODO to nie tylko „formalna tabelka”, którą można wypełnić raz i o niej zapomnieć. To ramy komunikacji dotyczącej prywatności z osobą, której dane dotyczą.

Przy projektowaniu klauzuli informacyjnej warto przejść następującą checklistę:

 

1. 1. Czy dane są zbierane bezpośrednio od osoby?
      Jeśli tak – stosujesz art. 13; jeśli dane pochodzą z innych źródeł, sprawdź art. 14.
   2. Czy przy każdym punkcie zbierania danych jest dostępna „pierwsza warstwa” informacji?
      Krótkie podsumowanie + odnośnik do pełnej klauzuli.
   3. Czy cele są opisane konkretnie i powiązane z podstawami prawnymi?
      Każdy cel ma przypisaną właściwą podstawę (art. 6, ewentualnie art. 9).
   4. Czy uzasadniony interes jest jasno opisany?
      Konkretny interes, sygnał o przeprowadzonym teście równowagi.
   5. Czy odbiorcy są opisani w sposób zrozumiały?
      Rodzaje odbiorców, branża, lokalizacja, zamiast ogólników.
   6. Czy okresy retencji są rzeczywiście informatywne?
      Konkretny czas albo jasne kryteria + odwołanie do przepisów, jeśli to one określają okres.
   7. Czy prawa osoby są opisane w prostym języku i czy wskazano kanały kontaktu?
      Szczególnie prawo sprzeciwu i prawo do skargi.
   8. Czy podanie danych jest jasno oznaczone jako obowiązkowe lub dobrowolne, z konsekwencjami niepodania?
   9. Czy opisano profilowanie i automatyczne decyzje, jeśli takie występują?
      Logika, konsekwencje, możliwość weryfikacji przez człowieka.
   10. Czy potrafisz wykazać spełnienie obowiązku informacyjnego?
       Wersjonowanie klauzul, dokumentowanie sposobu ich udostępniania, dowody komunikacji.

Taka praktyczna interpretacja art. 13 RODO pozwala traktować klauzulę informacyjną jako narzędzie budowania zaufania, a nie tylko jako wymóg formalny – co w dłuższej perspektywie działa na korzyść zarówno administratora, jak i osób, których dane dotyczą.