Informacja ma być dostępna, gdy zbierasz dane
Gdy osoba wpisuje adres e-mail i wiadomość w formularzu, administrator pozyskuje dane bezpośrednio od niej. Art. 13 RODO wymaga wtedy przekazania określonych informacji w czasie pozyskiwania danych. Można zastosować układ warstwowy: krótka informacja przy formularzu i wyraźny link do pełnych szczegółów.
Nie chodzi o checkbox „akceptuję politykę”. Polityka jest informacją, nie umową. Checkbox zgody jest potrzebny tylko wtedy, gdy konkretny proces rzeczywiście opiera się na zgodzie; zwykła obsługa wiadomości może mieć inną podstawę.
Najpierw ustal cel i podstawę
Podstawa nie wynika z samego faktu użycia formularza:
- gdy osoba prosi o ofertę lub podjęcie działań przed zawarciem umowy, w odpowiednim zakresie może mieć zastosowanie art. 6 ust. 1 lit. b RODO;
- dla zwykłej korespondencji administrator może rozważyć art. 6 ust. 1 lit. f RODO i opisać konkretny uzasadniony interes, na przykład obsługę przychodzących zapytań;
- osobny zapis marketingowy nie powinien być ukrywany w formularzu kontaktowym i wymaga odrębnej oceny zgody.
Te podstawy nie są zamienne. Jeżeli jedna wiadomość przechodzi później w relację umowną lub spór, cel i czas przechowywania mogą się zmienić. Trzeba opisać rzeczywistą sekwencję, a nie wybierać podstawę „na zapas”.
Elementy wymagane przez art. 13 RODO
Pełna warstwa informacyjna powinna, odpowiednio do procesu, obejmować:
- tożsamość i dane kontaktowe administratora;
- dane kontaktowe IOD, jeżeli został wyznaczony;
- konkretny cel i podstawę prawną;
- uzasadniony interes, jeżeli podstawą jest art. 6 ust. 1 lit. f;
- odbiorców albo kategorie odbiorców;
- zamiar przekazania danych poza EOG oraz właściwe informacje o podstawie i zabezpieczeniach, jeżeli transfer występuje;
- okres przechowywania albo kryteria jego ustalania;
- adekwatny zestaw praw: dostęp, sprostowanie, usunięcie, ograniczenie, sprzeciw i przenoszenie danych zależnie od podstawy i okoliczności;
- prawo wniesienia skargi do organu nadzorczego;
- prawo wycofania zgody, jeśli proces opiera się na zgodzie;
- informację, czy podanie danych jest wymogiem i jakie są konsekwencje niepodania;
- informacje o zautomatyzowanym podejmowaniu decyzji, jeśli rzeczywiście występuje.
Nie obiecuj, że każde żądanie usunięcia zostanie zawsze wykonane. Art. 17 RODO przewiduje przesłanki i wyjątki. Opisz prostą drogę złożenia żądania, a decyzję podejmuj wobec konkretnego procesu.
Krótka warstwa przy formularzu
Przy przycisku wysyłki pokaż zwięźle:
- kto jest administratorem;
- po co przetwarza adres i treść wiadomości;
- jaka jest podstawa tego procesu;
- jak długo wiadomość będzie potrzebna albo według jakiego kryterium ustalisz termin;
- link do pełnej informacji z odbiorcami, transferami i prawami.
Tekst powinien być czytelny bez otwierania regulaminu. Szczegóły mogą znaleźć się pod zwykłym linkiem lub w dostępnej sekcji rozwijanej. Nie ukrywaj kluczowej informacji wyłącznie w stopce.
Minimalizacja i bezpieczny projekt
Dla prostego formularza firmowego zwykle wystarczą adres zwrotny, temat i wiadomość. Imię może być opcjonalne. Telefon, NIP, nazwa pracodawcy i załączniki dodawaj dopiero, gdy są potrzebne dla jasno określonego celu.
Warto także:
- ustawić limit długości i typu danych;
- ostrzec, aby nie przesyłać danych szczególnych kategorii;
- nie zapisywać roboczej treści z danymi w trwałym localStorage bez jasnego celu i retencji;
- ustalić retencję wiadomości w skrzynce, systemie wysyłkowym, kopiach zapasowych i logach;
- opisać faktycznych dostawców hostingu oraz poczty po sprawdzeniu ich roli i transferów;
- zabezpieczyć endpoint limitami, walidacją i ochroną antyspamową, która sama nie tworzy nieujawnionego śledzenia.
Newsletter musi pozostać oddzielny
Zgłoszenie pytania nie jest zgodą na marketing. Jeśli obok formularza proponujesz newsletter, pokaż osobną, dobrowolną kontrolę i nie uzależniaj odpowiedzi od jej zaznaczenia. Dla przesyłania informacji handlowej lub marketingu bezpośredniego przez urządzenie końcowe uwzględnij art. 398 Prawa komunikacji elektronicznej.
Zapisuj treść i wersję zgody, zakres, czas, źródło oraz późniejsze wycofanie. Link rezygnacji powinien działać bez logowania. Potwierdzenie double opt-in nie jest nazwanym obowiązkiem w RODO, ale pomaga zweryfikować adres i udokumentować zapis.
Test przed uruchomieniem
Wyślij formularz klawiaturą i z telefonu, a potem sprawdź:
- czy każde pole ma etykietę i komunikat błędu;
- czy krótka informacja jest widoczna przed wysyłką;
- czy pełny link działa i opisuje tych samych dostawców oraz retencję;
- czy e-mail nie trafia do analityki, adresu URL ani logów zdarzeń;
- czy odmowa newslettera nie blokuje kontaktu;
- czy procedura usunięcia lub sprzeciwu ma rzeczywistego odbiorcę.
Site Starter dotyczy prostego formularza polskiej strony firmowej. Nie obejmuje danych szczególnych kategorii, dzieci, kont użytkowników, sektorów regulowanych ani nietypowych transferów.
Metryka redakcyjna
- Autor i redakcja: Redakcja regulaminrodo.pl
- Metoda źródłowa: Zakres informacji i różnice między podstawami sprawdzono bezpośrednio w art. 5, 6, 12, 13, 17 i 21 RODO; zasady marketingu elektronicznego porównano z art. 398 PKE oraz materiałami UODO o zgodzie.
- Data przeglądu: 7 sierpnia 2026 r.
- Zakres: prosty formularz kontaktowy polskiej strony firmowej, bez kont i sprzedaży.
- Ograniczenie: materiał ma charakter edukacyjny i nie jest indywidualną opinią prawną; podstawa i retencja zależą od celu wiadomości oraz faktycznych systemów.