Dlaczego formularz kontaktowy wymaga klauzuli RODO?
Każdy formularz, w którym użytkownik wpisuje imię, email, telefon lub treść wiadomości, zbiera dane osobowe w rozumieniu RODO. Obowiązek informacyjny powstaje w momencie pozyskania danych — a więc przy samym wypełnieniu formularza. Nie wystarczy mieć politykę prywatności gdzieś w stopce — musisz zapewnić aktywne, czytelne poinformowanie użytkownika przed lub w momencie podania danych.
Podstawa prawna: art. 13 RODO — obowiązek informacyjny przy zbieraniu danych bezpośrednio od osoby, której dane dotyczą.
Co musi zawierać klauzula informacyjna?
Zgodnie z art. 13 ust. 1 i 2 RODO, klauzula musi informować o:
1. Administrator — pełna nazwa firmy / imię i nazwisko, adres, email
2. Inspektor Ochrony Danych — dane kontaktowe, jeśli wyznaczony (nie zawsze wymagany)
3. Cel przetwarzania — "odpowiedź na zapytanie złożone przez formularz kontaktowy"
4. Podstawa prawna — art. 6 ust. 1 lit. f RODO (uzasadniony interes administratora — odpowiedź na wiadomość) lub lit. b (wykonanie umowy, jeśli formularz jest wstępem do zlecenia)
5. Uzasadniony interes — jeśli podstawą jest lit. f, musisz wskazać, na czym polega
6. Odbiorcy danych — systemy CRM, helpdesk, email hosting (np. Google Workspace), itp.
7. Transfer do państw trzecich — jeśli używasz narzędzi poza UE (Gmail, HubSpot, Zendesk)
8. Okres przechowywania — np. "przez czas niezbędny do udzielenia odpowiedzi, nie dłużej niż 3 lata"
9. Prawa osoby — dostęp, sprostowanie, usunięcie, ograniczenie, sprzeciw, skarga do UODO
10. Prawo sprzeciwu — jeśli podstawą jest uzasadniony interes, musisz aktywnie poinformować o prawie sprzeciwu
Wzór klauzuli informacyjnej do formularza kontaktowego
Poniżej gotowy wzór do użycia — uzupełnij dane w nawiasach kwadratowych:
---
Klauzula informacyjna — formularz kontaktowy
Administratorem Twoich danych osobowych jest [Nazwa firmy], [adres], NIP: [NIP], email: [email kontaktowy].
Twoje dane (imię, adres email, treść wiadomości) przetwarzamy w celu udzielenia odpowiedzi na Twoje zapytanie na podstawie art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes administratora polegający na obsłudze korespondencji).
Dane mogą być przekazywane dostawcom usług IT (hosting, system pocztowy) wyłącznie w zakresie niezbędnym do świadczenia tych usług. Nie przekazujemy danych do państw spoza Europejskiego Obszaru Gospodarczego, chyba że korzystamy z narzędzi firm z USA — wtedy odbywa się to na podstawie standardowych klauzul umownych (SCC).
Dane przechowujemy przez czas niezbędny do obsługi Twojego zapytania i ewentualnych roszczeń, jednak nie dłużej niż 3 lata od ostatniego kontaktu.
Przysługuje Ci prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, a także prawo sprzeciwu wobec przetwarzania (przetwarzamy dane na podstawie uzasadnionego interesu). Możesz też złożyć skargę do Prezesa UODO (uodo.gov.pl).
Podanie danych jest dobrowolne, ale niezbędne do udzielenia odpowiedzi.
---
Jak technicznie umieścić klauzulę przy formularzu?
Opcja 1: Rozwijany tekst (najlepsza UX)
```html
<details>
<summary>Informacja o przetwarzaniu danych osobowych</summary>
<p>Administratorem Twoich danych jest...</p>
</details>
```
Użytkownik widzi podsumowanie i może rozwinąć pełną treść. Czytelne, nie zajmuje miejsca.
Opcja 2: Link do polityki prywatności z krótką notką
Pod przyciskiem "Wyślij" umieść:
*"Wysyłając formularz, akceptujesz przetwarzanie Twoich danych zgodnie z [polityką prywatności](/polityka-prywatnosci). Administrator: [Nazwa firmy]."*
To rozwiązanie jest akceptowalne, jeśli polityka prywatności zawiera pełną klauzulę dla formularza kontaktowego.
Opcja 3: Checkbox z zgodą (niekonieczny, ale spotykany)
Checkbox NIE jest wymagany, jeśli przetwarzanie opiera się na uzasadnionym interesie (lit. f). Jest wymagany tylko wtedy, gdy podstawą ma być zgoda (lit. a). Niepotrzebne checkboxy mogą powodować odwrotny efekt — sugerują, że bez zaznaczenia nie możesz przetworzyć danych, co może utrudnić odpowiedź.
Najczęstsze błędy przy klauzulach
1. Brak klauzuli przy formularzu — tylko w stopce
Umieszczenie polityki prywatności wyłącznie w stopce strony NIE spełnia wymogu art. 13 RODO. Informacja musi być dostępna w momencie zbierania danych — przy formularzu.
2. Zbyt ogólna podstawa prawna
"Twoje dane przetwarzamy zgodnie z RODO" to nie podstawa prawna. Musisz wskazać konkretny przepis: art. 6 ust. 1 lit. a/b/c/f.
3. Brak informacji o prawie sprzeciwu
Jeśli przetwarzasz na podstawie uzasadnionego interesu (lit. f), masz obowiązek aktywnie poinformować o prawie sprzeciwu — to wymóg art. 13 ust. 2 lit. b RODO. Samo odesłanie do polityki może być niewystarczające.
4. Nieprecyzyjny cel przetwarzania
"Obsługa klientów" to za mało. Cel powinien być konkretny: "udzielenie odpowiedzi na zapytanie złożone przez formularz kontaktowy" lub "nawiązanie kontaktu biznesowego".
5. Brak informacji o transferze danych do USA
Używasz Gmail, HubSpot, Zendesk, Intercom? Wszystkie te firmy są z USA — musisz poinformować o transferze i mechanizmie zabezpieczenia (SCC).
Formularz kontaktowy a newsletter — różne klauzule
Jeśli formularz kontaktowy służy jednocześnie do zapisu na newsletter, musisz wyraźnie oddzielić dwa cele przetwarzania:
1. Odpowiedź na zapytanie — podstawa: uzasadniony interes (lit. f)
2. Wysyłka newslettera — podstawa: zgoda (lit. a) — wymagany osobny checkbox
Jedna klauzula dla obu celów jest akceptowalna, ale musi jasno opisywać oba cele i ich odrębne podstawy prawne.
Klauzula a prawo do bycia zapomnianym
Jeśli użytkownik po wymianie wiadomości prosi o usunięcie danych — masz obowiązek je usunąć, o ile nie istnieje inna podstawa prawna do dalszego przechowywania (np. trwający spór, obowiązek podatkowy). Opisz w klauzuli, jak użytkownik może złożyć takie żądanie — np. przez email na adres kontaktowy.
Podsumowanie
Klauzula informacyjna przy formularzu kontaktowym to obowiązek wynikający z art. 13 RODO, którego nie można zignorować. Powinna być umieszczona bezpośrednio przy formularzu, zawierać wszystkie wymagane elementy i być napisana zrozumiałym językiem. Jeśli chcesz mieć pewność, że cała Twoja polityka prywatności jest kompletna i aktualna — wygeneruj ją w 5 minut na [regulaminrodo.pl](/generate).