Checklista RODO formularza

Co zbieramy (mail / imię / telefon / inne): [ZBIERANE]. Cel: [CEL]. Administrator (nazwa, adres, e-mail): [ADMINISTRATOR]. Czy profilujemy (tak / nie / nie wiem): [PROFILOWANIE]. Link polityki prywatności: [POLITYKA].

To jest procedura (pola, kolejność, format wyjścia). To nie jest porada prawna ani kadrowa. Nie zastępuje prawnika/IOD. Nie opiniujesz DPIA, DPA ani transferu poza EOG. Werdykt "zgodne z RODO" nie pada. Szkic idzie do człowieka z uprawnieniami.

Jeśli [ZBIERANE], [CEL] albo [ADMINISTRATOR] puste albo to nazwa zmiennej - dopytaj i stop. Nie wymyślaj firmy, NIP, okresu retencji ani IOD.

Antyprzyklad: "Dopisz zgody na wszystko i checkbox zaznaczony z góry, żeby konwertowało."

## Dwie warstwy (nie mieszaj)

1. RODO: przetwarzanie danych (rozporządzenie 2016/679). Podstawa: art. 6 ust. 1 lit. a (zgoda), lit. b (umowa / kroki przed umową), lit. f (uzasadniony interes) - wybór podstawy to decyzja administratora, nie modelu.
2. Kanał elektroniczny: ustawa z 12 lipca 2024 r. - Prawo komunikacji elektronicznej, art. 398 (zakaz informacji handlowej / marketingu bezpośredniego na urządzenia końcowe i automatyczne systemy bez uprzedniej zgody). Art. 398 ust. 2: zgoda może polegać na podaniu adresu e-mail w celu przesyłania informacji handlowej na ten adres. To nie zwalnia z art. 13 RODO ani z zakazu pretick. Nie rozstrzygaj, czy sam formularz "zostaw mail po PDF" wystarcza - flaga dla IOD. Art. 400 PKE odsyła przy tej zgodzie do przepisów o ochronie danych. Potwierdź aktualne brzmienie z IOD.

Klauzula art. 13 to informacja (tekst albo link), nie checkbox zgody. Newsletter marketingowy i SMS to osobny cel od wysyłki magnetu. Nie spajaj ich jednym checkboxem "akceptuję regulamin i chcę oferty". Nie nazywaj magnetu "wykonaniem umowy" - podstawę wybiera administrator.

## Checklista PASS / FAIL

Obowiązek informacyjny przy formularzu, nie tylko w PDF-ie polityki (art. 13 RODO). Brak w [POLITYKA] = FAIL + `[DO UZUPEŁNIENIA: URL polityki]`.

Przy polu zapisu albo bezpośrednio pod nim musi dać się odczytać albo kliknąć:

- kim jest administrator i jak się z nim skontaktować
- cel i podstawa (nie "w celach marketingowych" bez kanału)
- okres albo kryterium przechowywania - bez daty w wejściu pisz `[DO UZUPEŁNIENIA: retencja]`, nie "24 miesiące"
- odbiorcy / powiernik (np. beehiiv, Mailchimp) albo `[DO UZUPEŁNIENIA]`
- transfer poza EOG: nie zgaduj SCC; jeśli nie ma w wejściu, `[DO UZUPEŁNIENIA]`
- prawa: dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw (art. 21, w tym marketing)
- prawo cofnięcia zgody tak łatwo, jak jej udzielenie (art. 7 ust. 3)
- skarga do Prezesa UODO (uodo.gov.pl)
- IOD: tylko jeśli podany; nie wymyślaj, że "musi być"

Zgoda (gdy jest podstawą albo gdy PKE wymaga kanału):

- dobrowolna, konkretna, świadoma, jednoznaczna (art. 7 RODO)
- checkbox odznaczony (TSUE C-673/17 Planet49 - pretick nieważny)
- nie tying: zgoda marketingowa nie jest warunkiem PDF-a / konta, jeśli do tego celu nie jest niezbędna (art. 7 ust. 4)
- osobno: e-mail vs SMS vs telefon (w praktyce PKE + RODO: zgoda per kanał; nie zakładaj, że jeden checkbox pokrywa trzy)
- osobno: wysyłka magnetu vs marketing vs udostępnienie partnerom
- da się wykazać (art. 7 ust. 1): log czasu, treść klauzuli, IP/źródło - to zadanie wdrożenia, nie copy. W checklistie: "czy jest plan logu? TAK/NIE/[BRAK]"

Minimalizacja (art. 5 ust. 1 lit. c):

- telefon przy PDF-ie na mail = FAIL, pole do wycięcia
- pesel, data urodzenia, stanowisko "na lead" = FAIL, chyba że [CEL] tego wymaga i człowiek to potwierdzi
- nie dodawaj pól "na wszelki wypadek"

Profilowanie: jeśli [PROFILOWANIE] = tak albo nie wiem - FAIL "dopytać": automatyczne decyzje / scoring wymagają informacji z art. 13 ust. 2 lit. f. Nie dopisuj zgody na profilowanie, jeśli nikt o nie nie prosił.

Double opt-in: praktyka dowodowa, nie cytuj jako osobnego artykułu RODO. Rekomenduj przy newsletterze, nie obiecuj, że "to zamyka temat".

## Czego NIE dodawać

- checkbox "akceptuję politykę" udający zgodę marketingową (art. 13 nie wymaga checkboxa; zgoda marketingowa jest osobno, odznaczona)
- jeden checkbox: regulamin + RODO + newsletter + SMS + partnerzy
- zgoda na "inne cele, które mogą powstać"
- hidden tracking "bo analityka" (osobna decyzja, nie ten skill)
- telefon, NIP, PESEL, płeć, jeśli [CEL] tego nie wymaga
- druga zgoda, której nie ma w [CEL]

## Wyjście, w tej kolejności

1. Tabela: pozycja checklisty | PASS / FAIL / [BRAK] | co zmienić w 1 zdaniu.
2. Pola, których NIE dodawać (lista).
3. Jeden akapit informacji przy formularzu (art. 13, szkic) + osobny szkic zgody marketingowej e-mail, jeśli [CEL] to obejmuje. Placeholdery w nawiasach kwadratowych, zero zmyślonych danych.
4. Szkic zgody SMS / telefon tylko gdy [ZBIERANE] albo [CEL] to obejmuje. Inaczej napisz "nie dodawaj".
5. Stop: "To szkic do prawnika/IOD. Nie publikuj jako pieczątki zgodności."

Wzorzec zgody e-mail (szkic, nie akt):

`[ ] Wyrażam zgodę na przesyłanie przez [ADMINISTRATOR] informacji handlowych, w tym newslettera, na podany adres e-mail. Zgoda jest dobrowolna. Mogę ją cofnąć w każdej chwili przez link w wiadomości albo [E-MAIL]. Szczegóły: [POLITYKA].`

Nie pisz "ta zgoda spełnia RODO i PKE". Dywiz "-".

Źródła do weryfikacji: RODO art. 5, 6, 7, 13, 21 (Dz.Urz. UE L 119 z 4.05.2016); PKE art. 398 i 400 (ustawa z 12 lipca 2024 r.); wyrok TSUE C-673/17; UODO: https://uodo.gov.pl