Informacja RODO dla klienta — kiedy ją przekazać?

Informacja RODO dla klienta, nazywana też klauzulą informacyjną, wyjaśnia osobie, co dzieje się z jej danymi osobowymi. W tym artykule sprawdzisz, co powinna zawierać i jak przekazywać ją podczas obsługi w CRM oraz na infolinii. Liczy się również moment przekazania: zgodnie z art. 13 ust. 1 RODO klient powinien otrzymać informacje wtedy, gdy firma pozyskuje od niego dane.

Czym jest informacja RODO dla klienta w systemie CRM?

Informacja RODO dla klienta w systemie CRM służy wypełnieniu obowiązku informacyjnego firmy. Klient dowiaduje się z niej, kto odpowiada za jego dane osobowe i po co używa ich w sprzedaży lub obsłudze. Treść musi opisywać rzeczywiste działania na danych, nie sam fakt korzystania z CRM. Art. 13 ust. 1 lit. a RODO wymaga wskazania tożsamości i danych kontaktowych firmy, która jest administratorem.

Administrator danych decyduje o celach i sposobach przetwarzania danych osobowych. Firma używająca CRM musi więc opisać własne procesy, choćby obsługę zapytań i realizację usług. Dostawca platformy nie zostaje administratorem danych klientów tylko dlatego, że przechowuje je w systemie. Potwierdza to definicja z art. 4 pkt 7 RODO: administrator ustala cele i sposoby przetwarzania sam albo wspólnie z innymi.

Podmiot przetwarzający wykonuje czynności na zlecenie administratora, w granicach ustalonych w umowie. Operator Chmury Krajowej Sp. z o.o. wskazuje, że pełni tę rolę przy usługach obejmujących przetwarzanie danych w imieniu klienta. Szczegółowe warunki określa wtedy umowa z klientem. Rozróżnienie ról pozwala ustalić, czyje działania opisuje klauzula; wymagania dotyczące umowy lub innego instrumentu prawnego zawiera art. 28 ust. 3 RODO.

O treści informacji decydują role i faktyczne procesy, nie nazwa systemu.

Jakie informacje o przetwarzaniu danych powinna otrzymać osoba korzystająca z usług firmy?

Klient powinien wiedzieć, kto używa jego danych, w jakim celu i z jakich praw może skorzystać. Opis ma dotyczyć sytuacji, w których firma zbiera i wykorzystuje informacje o nim. Samo wpisanie „obsługa w CRM” nie wyjaśnia, co firma robi z danymi. Klient musi też odróżnić obsługę swojej sprawy od innych działań; art. 13 ust. 2 lit. b RODO wymaga poinformowania go między innymi o prawie dostępu do danych, ich sprostowania i usunięcia.

Jasne nazwy czynności pomagają zrozumieć klauzulę. „Obsługa reklamacji” mówi klientowi więcej niż techniczny opis zapisu zgłoszenia w systemie. Zakres informacji zależy z kolei od źródła danych oraz procesów, w których firma je wykorzystuje. Źródło: Urząd Ochrony Danych Osobowych, „Jakie prawa daje Ci RODO?”, uodo.gov.pl – uodo.gov.pl/pl/493/2256.

Jak dopasować klauzulę informacyjną do danych i procesów obsługiwanych w CRM?

Klauzulę dla CRM dopasuj do tego, skąd firma bierze dane i co z nimi robi. TMP IT GROUP sp. z o.o. wymienia w informacji dla klientów przygotowanie oferty, realizację zamówień, obsługę reklamacji oraz rozliczenia. Taki opis nazywa konkretne procesy, zamiast ograniczać się do nazwy systemu. Art. 13 ust. 1 lit. c RODO wymaga wskazania celu i podstawy prawnej przetwarzania, także przy realizacji zamówień.

• Źródła danych w CRM to między innymi formularz kontaktowy, rozmowa z handlowcem i zamówienie. Ustal je oddzielnie, aby opis odpowiadał temu, jak informacje o kliencie trafiły do firmy.
• Procesy obsługi klienta obejmują ofertowanie, realizację usług i sprawy posprzedażowe. Sprawdź, jakich danych firma używa w każdym z nich, i nie wpisuj celu, którego nie realizuje.
• Role firm korzystających z danych zależą od ich działań oraz zawartych umów. Przejrzyj umowy z dostawcą CRM i innymi usługodawcami; oddziel działania administratora od czynności wykonywanych na jego zlecenie.
• Treść klauzuli porównaj z formularzami, polami i automatyzacjami aktywnymi w CRM. Popraw dokument, jeśli system używa danych w procesie, którego opis nie obejmuje. Źródło: Urząd Ochrony Danych Osobowych, wskazówki dotyczące weryfikacji klauzul i sposobów przetwarzania, uodo.gov.pl – uodo.gov.pl/pl/138/3278.

Klauzula dopasowana do CRM pokazuje, jak firma naprawdę wykorzystuje dane klienta i za co odpowiada. Nie wystarczy jednak dobrze opisać procesu. Zasada rozliczalności z art. 5 ust. 2 RODO wymaga od administratora przestrzegania zasad przetwarzania oraz umiejętności wykazania tego.

Co musi zawierać klauzula dla klienta zgodna z art. 13 RODO?

Klauzula z art. 13 RODO ma powiedzieć klientowi, kto przetwarza jego dane, po co i na jakiej podstawie prawnej. Powinna też wskazywać odbiorców danych oraz prawa klienta. Jej treść musi odpowiadać działaniom firmy również wtedy, gdy informacje trafiają do CRM; sam wykaz przepisów tego nie zastąpi. Art. 13 ust. 1 lit. e RODO wymaga podania odbiorców danych lub ich kategorii, jeżeli występują.

Kiedy stosuje się klauzulę z art. 13 RODO?

Klauzula z art. 13 RODO dotyczy danych pozyskiwanych bezpośrednio od osoby, której dotyczą. Tak dzieje się przy formularzu, w korespondencji i podczas rozmowy z pracownikiem. Gdy dane pochodzą z innego źródła, trzeba ocenić obowiązek według art. 14 RODO, zamiast automatycznie używać tej samej klauzuli. Przy pośrednim pozyskaniu art. 14 ust. 3 RODO przewiduje termin do miesiąca, lecz wcześniejszy kontakt lub ujawnienie danych wymaga przekazania informacji już wtedy.

Zgoda nie jest potrzebna do przekazania klauzuli informacyjnej. Firma informuje klienta również wtedy, gdy wykorzystuje dane w związku z umową albo na innej podstawie prawnej. Przetwarzanie niezbędne do wykonania umowy ma własną podstawę w art. 6 ust. 1 lit. b RODO.

Jakie informacje wymienia art. 13 ust. 1 RODO?

Art. 13 ust. 1 RODO wymaga podania administratora i jego danych kontaktowych, celów oraz podstaw prawnych przetwarzania. Klauzula obejmuje też odbiorców danych i planowane przekazanie ich do państwa trzeciego lub organizacji międzynarodowej. Jeśli firma wyznaczyła inspektora ochrony danych, musi podać również jego dane kontaktowe. Wprost wskazuje na to art. 13 ust. 1 lit. b RODO.

Tabela zestawia obszary informacji z art. 13 ust. 1 RODO oraz warunki ich podania; art. 13 ust. 1 RODO obejmuje sześć punktów oznaczonych literami a–f, a część informacji dotyczy tylko określonych sytuacji.

Opis celu powinien nazywać czynność wykonywaną na danych klienta, nie ogólne „prowadzenie działalności”. Podstawa prawna przetwarzania musi do tej czynności pasować. Jeśli firma działa na podstawie umowy, nie powinna przedstawiać zgody jako podstawy tego samego działania. Przy przetwarzaniu niezbędnym do wykonania umowy rozważ art. 6 ust. 1 lit. b RODO zamiast automatycznie wskazywać zgodę.

Jak opisać prawa klienta, okres przechowywania danych i zautomatyzowane przetwarzanie zgodnie z art. 13 ust. 2 RODO?

Art. 13 ust. 2 RODO wymaga informacji, dzięki którym klient oceni czas i skutki przetwarzania swoich danych. Klauzula ma mu również pomóc skorzystać z przysługujących praw. Odnieś te kwestie do procesów rzeczywiście prowadzonych przez firmę. Art. 13 ust. 2 lit. a RODO nakazuje podać okres przechowywania danych, a jeśli nie da się go określić – kryteria jego ustalania.

• Okres przechowywania danych określa, jak długo firma wykorzystuje je w danym celu. Podaj ten czas albo kryteria jego ustalenia. Kancelaria Prawnicza ARGOS informuje klientów, że przechowuje dane przez 5 lat od zakończenia umowy o usługi prawne, ale nie krócej niż do przedawnienia roszczeń z tej umowy. Źródło: Klauzula informacyjna dla klientów Kancelarii Prawniczej ARGOS, lubelscy.pl – lubelscy.pl/klauzula-informacyjna-rodo.
• Prawa osoby, której dane dotyczą opisz tak, by klient wiedział, z jakim żądaniem może zwrócić się do administratora. Uwzględnij także prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych.
• Cofnięcie zgody omów, jeśli firma opiera na niej przetwarzanie. Wyjaśnij, że cofnięcie nie zmienia oceny zgodności z prawem działań wykonanych wcześniej.
• Obowiązek podania danych przedstaw jako wymóg ustawowy, umowny albo warunek zawarcia umowy – zależnie od sytuacji. Wskaż też, co się stanie, jeśli klient nie poda wymaganych informacji.
• Zautomatyzowane podejmowanie decyzji opisz, jeśli firma stosuje je wobec klienta. Dotyczy to również profilowania, czyli automatycznej oceny jego cech lub zachowań. Wyjaśnij zasady działania procesu, jego znaczenie i przewidywane skutki dla klienta.

Pełna klauzula łączy opis działań firmy z informacją o prawach klienta i skutkach wykorzystania danych. Klient powinien też wiedzieć, że może wnieść skargę do organu nadzorczego. Wymaga tego art. 13 ust. 2 lit. d RODO.

Klient powinien móc powiązać opis procesu ze swoimi prawami.

Jak sprawdzić, czy informacja RODO dla klienta jest aktualna, kompletna i prawidłowo przekazywana w CRM?

Informację RODO dla klienta sprawdź, porównując ją z procesami firmy i sposobem jej udostępniania w CRM. Tekst powinien być zwięzły, zrozumiały i łatwo dostępny. Musi też zgadzać się z tym, co firma rzeczywiście robi z danymi.

• Aktualność klauzuli oceń na tle aktywnych formularzy, integracji i automatyzacji CRM. Zaznacz procesy uruchomione po ostatniej zmianie dokumentu.
• Kompletność informacji sprawdź według wymagań właściwych dla źródła danych. Zapisz, które fragmenty trzeba uzupełnić lub doprecyzować.
• Zrozumiałość treści przetestuj z osobą, która nie zna firmowych nazw pól ani etapów sprzedaży. Niezrozumiałe określenia zastąp opisem czynności wykonywanej na danych klienta.
• Dostępność klauzuli sprawdź wszędzie tam, gdzie pracownik może rozpocząć obsługę klienta w CRM. Otwórz dokument z używanego formularza lub widoku; samo przechowywanie go w wewnętrznym archiwum nie wystarczy.
• Potwierdzenie przekazania zweryfikuj w historii kontaktu CRM. Sprawdź, czy zapis wskazuje wersję klauzuli udostępnioną klientowi, ale nie traktuj go jako zgody na przetwarzanie.

Wynik kontroli zapisz jako listę poprawek i przypisz właściciela do każdego zadania. Dzięki temu zmiana procesu w CRM pociągnie za sobą sprawdzenie klauzuli. Źródło: „Plan audytu RODO: gotowy harmonogram i lista dowodów”, część o macierzy niezgodności i działaniach naprawczych, przewodnikporodo.pl – przewodnikporodo.pl/szablony-i-narzedzia/plan-audytu-rodo-2.

Kontrola musi obejmować miejsca, w których pracownicy naprawdę obsługują klientów.

Jak przekazać informację RODO dla klienta podczas rozmowy na infolinii?

Informację RODO dla klienta na infolinii przekaż, gdy zaczynasz zbierać jego dane. Najważniejsze kwestie przedstaw ustnie, a pełną klauzulę udostępnij do przeczytania. Ten warstwowy sposób informowania pozwala rozmówcy od razu poznać podstawy i później sprawdzić szczegóły. Sama wzmianka o klauzuli na stronie firmy nie mówi mu jeszcze, gdzie ma jej szukać.

• Administratora i cel rozmowy wskaż w krótkim komunikacie ustnym. Powiedz klientowi, która firma zbiera dane i jak wykorzysta informacje podane podczas połączenia.
• Nagrywanie rozmowy zapowiedz, jeśli infolinia zapisuje połączenia. Wyjaśnij, gdzie klient znajdzie informacje o przetwarzaniu nagrania.
• Pełną klauzulę udostępnij w sposób przydatny dla rozmówcy. Podaj dokładny adres strony albo zaproponuj przesłanie treści kanałem używanym do obsługi jego sprawy.
• Przekazanie informacji odnotuj w historii kontaktu CRM. Zapisz sposób udostępnienia i wersję klauzuli, aby firma mogła odtworzyć przebieg obsługi.

Okres przechowywania nagrań musi odpowiadać zasadom danej infolinii. Kancelaria de Ostoja-Starzewski, Petka i Wspólnicy informuje, że przechowuje nagrania zawierające dane osobowe przez 5 lat. Firma prowadząca infolinię powinna podać klientowi własny okres, nie kopiować zasad innego podmiotu. Źródło: Klauzula RODO dotycząca infolinii kancelarii de Ostoja-Starzewski, Petka i Wspólnicy, kancelaria-ostoja.pl – kancelaria-ostoja.pl/klauzula-rodo-infolinia.

Klient infolinii powinien usłyszeć podstawowe informacje. Musi też dostać konkretną wskazówkę, jak dotrzeć do pełnej klauzuli.

Kiedy i jak przekazać klauzulę RODO przy zbieraniu lub aktualizowaniu danych klienta w CRM?

Klauzulę RODO przekaż klientowi przy pozyskaniu danych bezpośrednio od niego, zgodnie z art. 13 RODO. Jeśli dane trafiają do CRM z innego źródła, zastosuj art. 14 RODO. Termin przekazania informacji ustal wtedy według planowanego wykorzystania danych. Przy aktualizacji rekordu sprawdź przede wszystkim, czy zmienia się cel przetwarzania, a nie tylko zawartość pola kontaktowego.

Tabela porównuje termin przekazania i zakres informacji w zależności od źródła danych klienta.

Klauzula z art. 14 RODO dotyczy danych, których klient sam nie przekazał firmie. Adres e-mail od kontrahenta i adres znaleziony w publicznym rejestrze wymagają wskazania odpowiedniego źródła. Czy wystarczy wpisać je do CRM? Nie – klient nadal musi otrzymać informację.

• Formularz zamówienia powinien zapewniać czytelny dostęp do informacji o danych używanych przy zakupie. Umieść odnośnik do klauzuli obok pól, w których klient podaje dane.
• Rejestracja konta klienta wymaga opisu czynności wykonywanych na danych konta. Dopasuj do nich klauzulę; samo podanie adresu przy rejestracji nie jest podstawą do wysyłania newslettera.
• Zapis na newsletter jest odrębnym procesem. Opisz osobno wykorzystanie adresu do wysyłki wiadomości i oddziel je od informacji dotyczących konta lub zamówienia.
• Aktualizacja danych w CRM wymaga sprawdzenia dotychczasowego celu ich wykorzystania. Porównaj go z planowanym działaniem. Jeśli firma chce użyć danych w innym celu, poinformuj klienta, zanim rozpocznie dalsze przetwarzanie.

Termin przekazania klauzuli zależy od źródła danych. Firma musi też uprzedzić klienta, zanim zacznie wykorzystywać je w nowym celu.

Źródło danych i planowany cel decydują o treści informacji oraz chwili jej przekazania.

Najczęściej zadawane pytania

Czy samo przekazanie klauzuli informacyjnej oznacza zgodę klienta na przetwarzanie danych?

Nie. Klauzula informuje o przetwarzaniu, a jej przekazanie nie jest zgodą na nie.

Czy do obsługi zamówienia trzeba wskazać zgodę jako podstawę przetwarzania?

Nie, jeśli przetwarzanie jest niezbędne do wykonania umowy, właściwą podstawą może być art. 6 ust. 1 lit. b RODO. Nie należy przedstawiać zgody jako podstawy tego samego działania.

Czy trzeba podawać dane inspektora ochrony danych, jeśli firma go nie wyznaczyła?

Nie. Dane kontaktowe inspektora podaje się, jeśli został wyznaczony.

Czy firma musi opisać prawnie uzasadniony interes, gdy nie opiera na nim przetwarzania?

Nie. Konkretny interes administratora lub strony trzeciej opisuje się wtedy, gdy jest podstawą przetwarzania.

Czy klient może cofnąć zgodę bez wpływu na wcześniejsze przetwarzanie?

Tak. Cofnięcie zgody nie zmienia oceny zgodności z prawem działań wykonanych przed jej cofnięciem.

Źródła

• EUR-Lex, tekst RODO — eur-lex.europa.eu/legal-content/PL/TXT/HTML/?uri=CELEX:02016R0679-20160504

Ceny i warunki sprawdzone u źródeł: październik 2026.

Wojciech MatułaWydawca CRMexpert.pl · SEO i marketing afiliacyjny

Wydawca serwisu CRMexpert.pl (Wojciech Matuła LINKJUICE). Zajmuje się SEO i marketingiem afiliacyjnym, prowadzi też wojciechmatula.com z recenzjami oprogramowania dla firm. Zasady ocen opisuje metodologia.

Zobacz pełne bio →

Powiązane wpisy

Poradnik CRMProgram CRM a RODO — jakie dane wpisywać do kartoteki?Poradnik CRMCRM co to za skrót? Zarządzanie relacjami z klientamiPoradnik CRMWdrażanie CRM: jak uporządkować dane klientów?Poradnik CRMJak wygląda praca w systemie CRM? Dane, zadania, raportyPoradnik CRMCRM operacyjny — 3 obszary, które porządkuje w firmiePoradnik CRMJak wygląda obsługa systemu CRM? 28,5% firm korzystaPoradnik CRMCRM definicje — strategia czy system dla firmy?Poradnik CRMCRM call center — jak sprawdzić integrację z telefonią?Poradnik SprzedażowyTelefoniczna obsługa klienta — kto przejmuje sprawę w CRM?Poradnik CRMModuły CRM: sprzedaż, marketing czy obsługa klienta?Poradnik CRMCRM dla biura rachunkowego — 55% firm już korzystaPoradnik SprzedażowyUtrzymanie klienta zaczyna się po sprzedaży — co mierzyć?Poradnik SprzedażowyZarządzanie klientami program — jak ogarnąć rozproszony CRM?Poradnik CRMCRM dla biur nieruchomości: kiedy oferta znika z portali?Poradnik CRMCo to są narzędzia CRM i jak działają: 5–7 obszarów