Klauzula informacyjna newsletter — wzór i omówienie RODO

Tworzysz formularz zapisu na newsletter i nie wiesz, co dokładnie wpisać w klauzulę informacyjną? Nie jesteś sam — to jedno z najczęściej zadawanych pytań przez właścicieli firm i marketerów w Polsce. W tym artykule znajdziesz gotowy wzór klauzuli informacyjnej zgodnej z RODO, wyjaśnienie każdego jej elementu oraz odpowiedzi na pytania, które pojawiają się najczęściej w praktyce.

Czym jest klauzula informacyjna i dlaczego jest obowiązkowa?

Klauzula informacyjna to zestaw informacji, które administrator danych osobowych musi przekazać osobie, od której zbiera dane — zanim lub w momencie ich pozyskania. Obowiązek ten wynika z art. 13 RODO (Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679). Dotyczy każdej sytuacji, w której zbierasz dane bezpośrednio od osoby fizycznej — w tym właśnie zapisu na newsletter.

Brak klauzuli lub jej niekompletność to realne ryzyko: Urząd Ochrony Danych Osobowych (UODO) może nałożyć karę administracyjną nawet do 20 milionów euro lub 4% rocznego światowego obrotu firmy (art. 83 ust. 5 RODO). W praktyce kary dla polskich firm sięgały już setek tysięcy złotych — m.in. za nieprawidłowe wypełnienie obowiązku informacyjnego.

Co musi zawierać klauzula informacyjna? (art. 13 RODO)

Przepis art. 13 RODO wskazuje konkretny katalog informacji. Poniższa tabela porządkuje, co jest obowiązkowe, a co zalecane jako dobra praktyka:

Wzór klauzuli informacyjnej do formularza zapisu na newsletter

Poniżej znajdziesz gotowy wzór klauzuli informacyjnej, który możesz dostosować do swojej firmy. Fragmenty w nawiasach kwadratowych zastąp własnymi danymi.

Klauzula informacyjna — newsletter

Administratorem Twoich danych osobowych jest [Nazwa firmy], z siedzibą przy [adres], NIP: [NIP], e-mail: [adres e-mail kontaktowy]. [Jeśli powołano IOD:] Inspektor Ochrony Danych jest dostępny pod adresem: [e-mail IOD].

Twoje dane (adres e-mail [oraz imię, jeśli zbierasz]) będą przetwarzane w celu wysyłki newslettera, tj. informacji handlowych i marketingowych dotyczących naszych produktów i usług. Podstawą prawną przetwarzania jest Twoja zgoda (art. 6 ust. 1 lit. a RODO).

Dane będą przechowywane do czasu cofnięcia zgody. Masz prawo do: dostępu do swoich danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych oraz cofnięcia zgody w dowolnym momencie — bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem. Możesz to zrobić, klikając link „wypisz się" w każdej wiadomości lub pisząc na [adres e-mail].

Masz prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).

[Jeśli korzystasz z zewnętrznych narzędzi do wysyłki, np. serwerów SMTP lub platform e-mail:] Twoje dane mogą być powierzone podmiotom świadczącym usługi techniczne (np. dostawcom infrastruktury e-mail), z którymi zawarliśmy umowy powierzenia przetwarzania danych zgodnie z art. 28 RODO. [Jeśli serwery są poza EOG, dodaj informację o przekazaniu do państwa trzeciego i zastosowanych zabezpieczeniach.]

Podanie danych jest dobrowolne, ale niezbędne do otrzymywania newslettera.

Jak skrócić klauzulę bez naruszania przepisów?

RODO nie narzuca konkretnej formy ani długości klauzuli — wymaga jednak, by informacje były zwięzłe, przejrzyste i zrozumiałe (art. 12 ust. 1 RODO). W praktyce możesz zastosować model warstwowy: w formularzu umieść skróconą wersję z najważniejszymi informacjami (administrator, cel, podstawa prawna, prawa), a pełną klauzulę — w polityce prywatności, do której prowadzi link. UODO akceptuje takie podejście, pod warunkiem że link jest wyraźnie widoczny i dostępny przed zaznaczeniem zgody.

Najczęściej zadawane pytania (FAQ)

Czy zgoda i klauzula informacyjna to to samo?

Nie — to dwa odrębne elementy. Zgoda to oświadczenie woli osoby, która wyraża zgodę na przetwarzanie danych w określonym celu (np. „Chcę otrzymywać newsletter"). Klauzula informacyjna to zestaw informacji, które musisz przekazać niezależnie od tego, czy podstawą przetwarzania jest zgoda, umowa czy inny tytuł prawny. Oba elementy muszą być obecne w formularzu zapisu na newsletter, ale nie wolno ich łączyć w jedno pole wyboru.

Czy checkbox ze zgodą musi być odznaczony domyślnie?

Tak — bezwzględnie. Zgodnie z art. 4 pkt 11 RODO zgoda musi być dobrowolna, konkretna, świadoma i jednoznaczna. Wstępnie zaznaczone pole wyboru (pre-checked checkbox) nie spełnia tych warunków i jest traktowane jako brak ważnej zgody. Potwierdziło to wielokrotnie UODO oraz Europejska Rada Ochrony Danych (wytyczne 05/2020 dotyczące zgody).

Czy jedna zgoda wystarczy do wysyłki newslettera i innych działań marketingowych?

Nie zawsze. Zgoda powinna być konkretna — oznacza to, że powinna obejmować wyraźnie określony cel. Jeśli planujesz wysyłać newsletter, ale też np. dzwonić do subskrybentów w celach telemarketingowych, potrzebujesz osobnych zgód na każdy kanał komunikacji. Łączenie kilku celów w jednym checkboxie jest niezgodne z RODO.

Co z ustawą o świadczeniu usług drogą elektroniczną?

Oprócz RODO, wysyłka newslettera wymaga również zgody na podstawie art. 10 ustawy o świadczeniu usług drogą elektroniczną (Dz.U. 2002 nr 144 poz. 1204 ze zm.) — na przesyłanie informacji handlowej drogą elektroniczną. W praktyce wiele firm łączy obie zgody w jednym checkboxie, co jest dopuszczalne, o ile treść jest precyzyjna i jednoznaczna. Przykład poprawnego sformułowania: „Wyrażam zgodę na przesyłanie przez [Firma] informacji handlowych drogą elektroniczną na podany adres e-mail, zgodnie z ustawą o świadczeniu usług drogą elektroniczną."

Jak długo można przechowywać dane subskrybentów?

Dane subskrybentów newslettera przetwarzane na podstawie zgody powinny być przechowywane do czasu cofnięcia zgody. Po wypisaniu się z listy dane mogą być jednak przechowywane przez pewien czas w celach dowodowych (aby udowodnić, że zgoda była udzielona i kiedy została cofnięta) — zwykle przyjmuje się okres przedawnienia roszczeń, czyli 3 lata od cofnięcia zgody, choć RODO nie podaje konkretnej liczby. Warto opisać to wprost w klauzuli lub polityce prywatności.

Czy klauzula informacyjna musi być widoczna w formularzu, czy wystarczy link do polityki prywatności?

Zgodnie z art. 12 RODO informacje muszą być dostarczone w łatwo dostępnej formie. Sam link do polityki prywatności bez żadnej informacji w formularzu jest ryzykowny — UODO może uznać, że obowiązek informacyjny nie został spełniony w sposób przejrzysty. Bezpieczne rozwiązanie to skrócona klauzula bezpośrednio przy formularzu (administrator, cel, podstawa prawna, prawa) + link do pełnej polityki prywatności z pozostałymi informacjami.

Co jeśli korzystam z zewnętrznej platformy do wysyłki newslettera?

Jeśli wysyłasz maile przez zewnętrzne narzędzie — czy to platformę SaaS, czy własny serwer SMTP obsługiwany przez dostawcę — musisz zawrzeć z tym podmiotem umowę powierzenia przetwarzania danych osobowych (art. 28 RODO). Bez takiej umowy przekazywanie danych subskrybentów do zewnętrznego systemu jest niezgodne z RODO. W klauzuli informacyjnej powinieneś wspomnieć o kategoriach odbiorców danych (np. „dostawcy usług IT i infrastruktury e-mail"). Narzędzia takie jak MailerPRO, oparte na własnych skrzynkach SMTP, pozwalają zachować większą kontrolę nad przepływem danych — warto jednak zawsze sprawdzić, gdzie fizycznie przetwarzane są dane i czy dostawca oferuje stosowną umowę powierzenia.

Czy muszę informować subskrybentów o profilowaniu?

Jeśli segmentujesz listę mailingową lub personalizujesz treści na podstawie zachowań odbiorców (np. kliknięć, otwarć, historii zakupów), a efekty tego profilowania wywołują skutki prawne lub w podobny sposób istotnie wpływają na odbiorców — masz obowiązek poinformować o tym w klauzuli (art. 13 ust. 2 lit. f RODO). W typowym newsletterze, gdzie personalizacja ogranicza się do imienia w nagłówku, ten obowiązek zwykle nie ma zastosowania.

Najczęstsze błędy w klauzulach informacyjnych do newslettera

• Brak informacji o podstawie prawnej przetwarzania — samo napisanie „przetwarzamy Twoje dane" bez wskazania art. 6 RODO to za mało.
• Ogólnikowe określenie celu — „cele marketingowe" to zbyt szeroki cel; powinno być: „wysyłka newslettera zawierającego informacje o produktach i promocjach [Firmy]".
• Brak informacji o odbiorcach danych — jeśli korzystasz z zewnętrznych narzędzi, musisz o tym poinformować.
• Brak wskazania okresu przechowywania — „przez niezbędny czas" to sformułowanie nieakceptowane przez UODO.
• Połączenie zgody z klauzulą w jednym checkboxie — zgoda i potwierdzenie zapoznania się z klauzulą to dwie różne czynności.
• Brak informacji o prawie do skargi do UODO — to obowiązkowy element, często pomijany.
• Klauzula napisana prawniczym żargonem — RODO wymaga języka zrozumiałego dla przeciętnego odbiorcy.

Formularz zapisu na newsletter a RODO — praktyczna checklista

1. Klauzula informacyjna zawiera wszystkie elementy z art. 13 RODO.
2. Checkbox zgody jest odznaczony domyślnie i ma jednoznaczną treść.
3. Zgoda na newsletter jest oddzielona od ewentualnych innych zgód (np. telemarketing).
4. W formularzu lub bezpośrednio pod nim jest link do pełnej polityki prywatności.
5. Z dostawcą systemu mailingowego podpisano umowę powierzenia przetwarzania danych.
6. Subskrybent ma łatwy sposób na wypisanie się z listy (link w każdym mailu).
7. Rejestr czynności przetwarzania (art. 30 RODO) zawiera wpis dotyczący newslettera.

Klauzula informacyjna w formularzu zapisu na newsletter to nie formalność — to fundament zgodnego z prawem e-mail marketingu. Dobrze skonstruowana klauzula chroni zarówno Twoich subskrybentów, jak i Ciebie przed ryzykiem prawnym. Skorzystaj z powyższego wzoru, dostosuj go do swojej firmy i regularnie weryfikuj jego aktualność — przepisy i wytyczne organów nadzorczych mogą się zmieniać. Jeśli masz wątpliwości co do konkretnych zapisów, skonsultuj się z prawnikiem specjalizującym się w ochronie danych osobowych.