CRU JSFP, a obowiązek informacyjny RODO przy zakupach mailowych, internetowych i przez marketplace

Od 1 lipca 2026 r. jednostki sektora finansów publicznych muszą mierzyć się nie tylko z obowiązkiem udostępniania informacji o umowach w Centralnym Rejestrze Umów JSFP, ale również z praktycznym pytaniem: jak poinformować osoby fizyczne, których dane są przetwarzane w związku z zawarciem, realizacją, rozliczeniem albo publikacją informacji o umowie?

Problem szczególnie dobrze widać przy drobnych zakupach: korespondencji mailowej, zakupach w sklepach internetowych, zakupach na Allegro, przez formularze elektroniczne albo w innych szybkich kanałach zakupowych. W takich sytuacjach nie ma klasycznej umowy papierowej, nie ma spotkania z kontrahentem i często nie ma naturalnego momentu na przekazanie pełnej klauzuli informacyjnej.

To jednak nie oznacza, że obowiązku informacyjnego nie da się zrealizować. Trzeba go zorganizować inaczej: krótko, kanałowo i dowodowo.

Najważniejsze rozróżnienie: zakup albo zamówienie to proces, ale do CRU JSFP trafiają informacje o umowie

W praktyce pracownicy jednostek często mówią: „zamówienie mailowe”, „zamówienie internetowe”, „zamówienie na Allegro”, „drobny zakup”. To naturalny język organizacyjny. Nie można go jednak bezrefleksyjnie przenosić na CRU JSFP.

Przedmiotem udostępnienia w CRU JSFP nie jest każde potocznie rozumiane zamówienie ani każde kliknięcie „kup teraz”. Przedmiotem udostępnienia są informacje o umowie, która została zawarta i spełnia przesłanki określone w przepisach dotyczących CRU JSFP.

Ministerstwo Finansów wskazuje, że CRU JSFP jest zestawieniem wybranych informacji o umowach zawartych przez jednostki tworzące sektor finansów publicznych lub na ich rzecz, a głównym celem rejestru jest realizacja zasady jawności gospodarowania środkami publicznymi. Każdemu ma zostać zapewniony dostęp do informacji o umowach opublikowanych w tym narzędziu.

MF wskazuje również, że od 1 lipca 2026 r. chodzi o umowy zawarte od tej daty, spełniające definicję zamówienia w rozumieniu art. 7 pkt 32 Prawa zamówień publicznych oraz zawarte w formie pisemnej, elektronicznej, dokumentowej albo innej formie szczególnej w rozumieniu Kodeksu cywilnego. W tym samym komunikacie MF wyjaśnia praktycznie, że na koncie danej JSFP powinny być rejestrowane tylko te umowy, które obciążą plan finansowy albo budżet danej jednostki - w przypadku odpłatności pieniężnej - albo stanowią inną formę kosztu jednostki, np. przy odpłatności barterowej.

Dlatego w tym artykule słowo „zakup” albo „zamówienie” oznacza praktyczny proces zakupowy, np. wymianę maili, złożenie zamówienia w sklepie internetowym albo zakup przez marketplace. Natomiast tam, gdzie mowa o CRU JSFP, chodzi o informacje o umowie zawartej w wyniku tego procesu, jeżeli taka umowa spełnia przesłanki ujawnienia.

To rozróżnienie ma znaczenie praktyczne. W e-commerce „zamówienie” bywa tylko etapem technicznym poprzedzającym zawarcie umowy, a czas zawarcia umowy może wynikać z regulaminu sklepu, przyjęcia oferty, potwierdzenia zamówienia albo innego mechanizmu. Pracownik nie powinien więc zakładać automatycznie, że każdy numer zamówienia jest już samodzielnym przedmiotem wpisu do CRU JSFP. Powinien ustalić, czy i kiedy doszło do zawarcia umowy oraz czy ta umowa spełnia przesłanki ujawnienia.

CRU JSFP i RODO to dwa różne obowiązki

Obowiązek publikacji informacji o umowie w CRU JSFP wynika z przepisów o jawności gospodarowania środkami publicznymi. Ministerstwo Finansów wskazuje, że jednostki mają 30 dni na udostępnienie informacji o umowach od daty zawarcia umowy albo od daty zaistnienia przyczyny aktualizacji.

RODO działa w innym porządku. Nie rozstrzyga, czy umowę trzeba opublikować w CRU JSFP, tylko określa zasady przetwarzania danych osobowych. Jeżeli jednostka przetwarza dane osoby fizycznej, musi mieć podstawę prawną przetwarzania i zrealizować obowiązek informacyjny, o ile nie zachodzi szczególna podstawa zwolnienia.

Obowiązek informacyjny został uregulowany w art. 13 i art. 14 RODO. UODO wskazuje, że obowiązek informacyjny jest związany z prawem osoby do bycia poinformowaną o fakcie i okolicznościach przetwarzania danych, ale jednocześnie podkreśla, że obowiązek ten nie ma charakteru bezwzględnego i podlega ograniczeniom.

Te dwa obowiązki trzeba rozdzielić. Brak klauzuli informacyjnej nie oznacza, że jednostka może zrezygnować z publikacji informacji o umowie w CRU JSFP, jeżeli umowa podlega publikacji. Publikacja nie opiera się na zgodzie kontrahenta, lecz na obowiązku prawnym. Jednocześnie brak albo spóźnione przekazanie informacji RODO może być problemem po stronie jednostki, ponieważ narusza zasadę przejrzystości przetwarzania.

Najpierw trzeba ustalić, kogo dotyczy obowiązek informacyjny

Obowiązek informacyjny RODO nie dotyczy każdego kontrahenta w taki sam sposób.

RODO chroni osoby fizyczne. UODO wskazuje, że RODO nie dotyczy przetwarzania danych dotyczących osób prawnych, w tym danych o firmie, formie prawnej i danych kontaktowych osoby prawnej. Jednocześnie dane osób fizycznych działających przy osobie prawnej, np. członków zarządu, pełnomocników, pracowników lub osób kontaktowych, mogą być danymi osobowymi.

Dlatego trzeba rozróżnić kilka sytuacji:

W praktyce najmocniejszy komunikat o możliwym udostępnieniu danych w CRU JSFP powinien być stosowany przede wszystkim wtedy, gdy stroną umowy albo wykonawcą jest osoba fizyczna, JDG albo wspólnik spółki cywilnej.

Jeżeli kontrahentem jest spółka z o.o., fundacja albo inna osoba prawna, nie należy automatycznie pisać do osoby kontaktowej tak, jakby jej dane osobowe miały zostać opublikowane w CRU JSFP. W takim przypadku właściwsze jest wskazanie, że dane tej osoby są przetwarzane w celu kontaktu, obsługi procesu zakupowego, realizacji umowy, rozliczenia i archiwizacji, a informacje o samej umowie mogą podlegać publikacji w CRU JSFP, jeżeli spełnione są przesłanki ustawowe.

Błąd, którego trzeba uniknąć: robienie z klauzuli nowego obiegu akceptacyjnego

Najgorszym rozwiązaniem byłoby stworzenie procedury, w której każdy zakup internetowy wymaga osobnego formularza, osobnego potwierdzenia odbioru klauzuli i ręcznej konsultacji z IOD. Taki model szybko sparaliżuje drobne zakupy, a pracownicy zaczną go omijać.

Celem nie powinno być zbieranie podpisów pod klauzulą. Celem jest wykazanie, że jednostka przekazała osobie fizycznej jasną informację o przetwarzaniu danych, a w odpowiednich przypadkach także o możliwym udostępnieniu informacji o umowie w CRU JSFP.

Dlatego praktyczny model powinien wyglądać następująco:

1. jednostka publikuje pełną klauzulę informacyjną dla kontrahentów, wykonawców, reprezentantów i osób kontaktowych na stronie internetowej albo w BIP;
2. pracownik w kanale zakupowym przekazuje krótką informację z linkiem do pełnej klauzuli;
3. treść krótkiej informacji jest różnicowana w zależności od tego, czy kontrahentem jest osoba fizyczna/JDG, czy osoba prawna;
4. dokumentacja pozwala ustalić nie tylko fakt przekazania informacji, ale również treść albo wersję przekazanego komunikatu;
5. nie wymaga się zgody kontrahenta na publikację informacji o umowie w CRU JSFP;
6. nie blokuje się publikacji w CRU JSFP wyłącznie dlatego, że wcześniej zapomniano o klauzuli - zaległość należy uzupełnić i udokumentować.

Zasada podstawowa: krótka informacja w kanale zakupu, pełna klauzula pod linkiem

RODO nie wymaga, aby pełna klauzula była za każdym razem wklejana do treści maila albo do wiadomości na platformie zakupowej. W praktyce dobrze działa model warstwowy: krótka informacja w miejscu kontaktu oraz link do pełnej klauzuli.

Krótka informacja dla kontrahenta będącego osobą fizyczną, JDG albo wspólnikiem spółki cywilnej powinna zawierać co najmniej:

• kto jest administratorem danych;
• że dane są przetwarzane w celu obsługi procesu zakupowego, zawarcia, realizacji, rozliczenia i archiwizacji umowy;
• że podstawą przetwarzania są obowiązki prawne jednostki oraz, zależnie od sytuacji, wykonanie umowy albo podjęcie działań przed jej zawarciem;
• że jeżeli w wyniku procesu zakupowego dojdzie do zawarcia umowy spełniającej przesłanki ustawowe, informacje o tej umowie mogą zostać udostępnione w CRU JSFP;
• link do pełnej klauzuli informacyjnej.

Krótka informacja dla osoby kontaktowej, pełnomocnika albo reprezentanta po stronie osoby prawnej powinna być ostrożniejsza. Nie należy sugerować, że jej dane osobowe automatycznie trafią do CRU JSFP. Wystarczy wskazać, że jej dane są przetwarzane w celu kontaktu, obsługi procesu zakupowego, realizacji, rozliczenia i archiwizacji umowy, a informacje o samej umowie mogą podlegać publikacji w CRU JSFP, jeżeli spełnione są przesłanki ustawowe.

Nie należy pisać: „prosimy o zgodę na przekazanie danych do CRU JSFP”. To błąd. W przypadku CRU JSFP nie chodzi o zgodę kontrahenta, lecz o realizację obowiązku prawnego przez jednostkę.

Zakupy mailowe

Przy zakupach mailowych najprościej wprowadzić obowiązkowy fragment tekstu do szablonu zapytania, zamówienia, akceptacji oferty albo potwierdzenia warunków.

Jeżeli kontrahentem jest osoba fizyczna, JDG albo wspólnik spółki cywilnej, można użyć następującej treści:

Jeżeli kontrahentem jest osoba prawna, np. spółka z o.o., a kontakt odbywa się z jej pracownikiem lub pełnomocnikiem, właściwsza będzie łagodniejsza wersja:

Taki tekst nie musi być długi. Ważne, aby był przekazany w konkretnym procesie i aby można było wykazać, co zostało przekazane. Sam numer sprawy albo ogólny status „RODO przekazano” może być za słaby, jeżeli nie da się ustalić treści albo wersji komunikatu.

Sklepy internetowe

Przy zakupach w sklepach internetowych trzeba przyjąć procedurę zależną od możliwości technicznych sklepu.

Jeżeli sklep ma pole „uwagi do zamówienia”, pracownik może wkleić tam krótką informację z linkiem do pełnej klauzuli. Jeżeli sklep nie ma takiego pola, informację można wysłać po złożeniu zamówienia na adres e-mail sprzedawcy, najlepiej w odpowiedzi na potwierdzenie zamówienia albo osobną wiadomością z numerem sprawy lub numerem zamówienia.

Przy kontrahencie będącym osobą fizyczną albo JDG przykładowa treść wiadomości po zakupie może brzmieć:

Nie ma potrzeby blokować zakupu tylko dlatego, że sklep nie pozwala wkleić klauzuli przed kliknięciem zamówienia. Trzeba jednak mieć procedurę, która przewiduje przekazanie informacji w najwcześniejszym realnym momencie, zgodnie z art. 13 albo art. 14 RODO.

Allegro i inne marketplace’y

Przy Allegro i podobnych platformach trzeba pamiętać o jednej rzeczy: platforma realizuje własne obowiązki informacyjne, ale nie realizuje automatycznie obowiązku informacyjnego jednostki sektora finansów publicznych w zakresie jej własnych celów przetwarzania danych.

Jeżeli sprzedawcą jest osoba fizyczna albo JDG, jednostka powinna przyjąć bezpieczniejszy standard organizacyjny polegający na przekazaniu informacji o przetwarzaniu danych przez jednostkę, o ile kanał komunikacji na platformie na to pozwala. Najprościej zrobić to przez wiadomość do sprzedającego.

Przykładowa treść:

Jeżeli sprzedawcą jest spółka lub inna osoba prawna, komunikat powinien być sformułowany ostrożniej:

Dowodem przekazania informacji może być zapis wiadomości w platformie, PDF, zrzut ekranu albo zapis w systemie, ale dowód powinien pozwalać ustalić nie tylko fakt wysłania wiadomości, lecz także jej treść albo wersję użytego wzoru.

Art. 13 RODO, art. 14 RODO i wyjątki - nie upraszczać za bardzo

Jeżeli dane są zbierane bezpośrednio od osoby, zastosowanie ma art. 13 RODO. Typowy przykład to wymiana mailowa z wykonawcą, przesłanie oferty przez osobę fizyczną albo zawarcie umowy z JDG. Art. 13 RODO wymaga przekazania informacji w momencie pozyskiwania danych.

Jeżeli dane są pozyskiwane z innego źródła, np. z platformy zakupowej, publicznego rejestru albo od osoby prawnej, może pojawić się art. 14 RODO. Art. 14 obejmuje m.in. obowiązek wskazania kategorii danych osobowych oraz źródła ich pochodzenia, a terminy są inne: zasadniczo rozsądny termin, najpóźniej miesiąc, przy pierwszej komunikacji z osobą albo przy pierwszym ujawnieniu danych innemu odbiorcy - zależnie od konkretnej sytuacji.

Jednocześnie nie wolno pisać, że wysłanie odrębnej informacji jest zawsze bezwzględnym obowiązkiem w każdym wariancie. UODO wskazuje, że art. 14 ust. 5 lit. c RODO przewiduje zwolnienie m.in. w sytuacji, gdy pozyskiwanie lub ujawnianie danych jest wyraźnie uregulowane prawem, pod warunkiem spełnienia wymogów wskazanych w tym przepisie. UODO podkreśla również, że zwolnienie to dotyczy danych pozyskiwanych z innych źródeł, a nie danych zbieranych bezpośrednio od osoby.

Dlatego procedura wewnętrzna powinna być uczciwa: przekazanie krótkiej informacji w kanale zakupowym należy opisywać jako bezpieczniejszy standard organizacyjny, a nie jako bezwzględny obowiązek identyczny w każdej sytuacji.

Praktyczna zasada może brzmieć tak:

To nie paraliżuje pracy, a jednocześnie nie tworzy fałszywego wrażenia, że art. 14 RODO zawsze wymaga wysyłki osobnej wiadomości.

Kiedy przekazać informację?

Termin przekazania informacji trzeba opisać ostrożnie, bo różni się w zależności od podstawy obowiązku informacyjnego.

Jeżeli dane są zbierane bezpośrednio od osoby, informację należy przekazać przy pozyskiwaniu danych. To jest punkt wyjścia dla art. 13 RODO.

Jeżeli dane nie zostały pozyskane bezpośrednio od osoby, zastosowanie może mieć art. 14 RODO. Wtedy informację przekazuje się w terminach określonych w tym przepisie: w rozsądnym terminie, najpóźniej w ciągu miesiąca, przy pierwszej komunikacji z osobą albo przy pierwszym ujawnieniu danych innemu odbiorcy - zależnie od sytuacji.

Z perspektywy organizacyjnej jednostka powinna dążyć do tego, aby informacja została przekazana jak najwcześniej w procesie zakupowym:

1. przy pierwszym kontakcie mailowym - jeżeli dane są zbierane bezpośrednio;
2. w polu uwag do zamówienia - jeżeli sklep albo platforma daje taką możliwość;
3. w wiadomości po zakupie - jeżeli wcześniej technicznie nie dało się tego zrobić;
4. przed ewentualnym publicznym udostępnieniem informacji o umowie w CRU JSFP - jako minimalny standard kontroli ryzyka, a nie jako samodzielny termin wynikający z RODO.

Ostatni punkt wymaga podkreślenia. „Najpóźniej przed publikacją w CRU JSFP” nie jest ogólnym terminem z RODO. To tylko praktyczny bezpiecznik organizacyjny. Jeżeli art. 13 RODO wymagał przekazania informacji wcześniej, to późniejsze przekazanie informacji przed publikacją w CRU JSFP może ograniczać ryzyko, ale nie zmienia faktu, że obowiązek informacyjny mógł zostać wykonany z opóźnieniem.

Co powinna zawierać pełna klauzula informacyjna?

Pełna klauzula informacyjna dla kontrahentów, wykonawców, reprezentantów i osób kontaktowych powinna być dostosowana do tego, czy dane pozyskano bezpośrednio od osoby, czy z innego źródła.

Jeżeli dane są pozyskiwane bezpośrednio od osoby, zastosowanie ma art. 13 RODO. W takim przypadku informacja przekazywana osobie powinna obejmować co najmniej:

• nazwę i dane administratora;
• dane kontaktowe inspektora ochrony danych, jeżeli został wyznaczony;
• cele przetwarzania danych;
• podstawy prawne przetwarzania;
• informację o odbiorcach albo kategoriach odbiorców danych;
• okres przechowywania danych albo kryteria jego ustalenia;
• prawa osoby, której dane dotyczą;
• informację o prawie wniesienia skargi do organu nadzorczego;
• informację, czy podanie danych jest wymogiem ustawowym, umownym albo warunkiem zawarcia umowy;
• informację o możliwości udostępnienia informacji o umowie w CRU JSFP, jeżeli umowa spełnia przesłanki ustawowe.

Jeżeli dane nie zostały pozyskane bezpośrednio od osoby, zastosowanie może mieć art. 14 RODO. W takim przypadku informacja przekazywana osobie powinna obejmować zasadniczo podobny zakres jak przy art. 13 RODO, a dodatkowo:

• kategorie przetwarzanych danych osobowych;
• źródło pochodzenia danych osobowych;
• informację, czy dane pochodzą ze źródeł publicznie dostępnych.

W części dotyczącej CRU JSFP warto unikać kategorycznego stwierdzenia, że „każda umowa będzie opublikowana”. Lepsze jest sformułowanie:

Takie sformułowanie jest bezpieczniejsze, ponieważ nie każda czynność zakupowa i nie każda umowa automatycznie podlega publikacji w CRU JSFP.

Osobno, poza samą treścią klauzuli, jednostka powinna wykonać wewnętrzną ocenę organizacyjną. W szczególności powinna ustalić:

• czy dane zostały pozyskane bezpośrednio od osoby, czy z innego źródła;
• czy zastosowanie ma art. 13 RODO, art. 14 RODO, czy szczególna podstawa ograniczająca obowiązek informacyjny;
• kiedy obowiązek informacyjny powinien zostać wykonany;
• czy w przypadku art. 14 RODO może mieć zastosowanie jeden z wyjątków przewidzianych w art. 14 ust. 5 RODO;
• jak udokumentować przekazanie informacji albo podstawę odstąpienia od jej przekazania.

Tych elementów nie trzeba wpisywać do samej klauzuli jako komunikatu dla osoby. Powinny natomiast znaleźć odzwierciedlenie w procedurze, notatce wewnętrznej, systemie ewidencyjnym albo dokumentacji rozliczalności administratora.

Minimalna kontrolka w procesie zakupowym

Aby nie paraliżować pracy, kontrola powinna być krótka. W karcie procesu zakupowego, systemie ewidencji umów albo checkliście drobnego zakupu wystarczą pola:

• typ kontrahenta: osoba fizyczna / JDG / spółka cywilna / osoba prawna / inna jednostka organizacyjna;
• czy w procesie występują dane osoby fizycznej;
• czy w wyniku procesu doszło albo może dojść do zawarcia umowy;
• czy umowa może podlegać ujawnieniu w CRU JSFP;
• czy przekazano informację RODO;
• czy informacja obejmowała fragment dotyczący CRU JSFP;
• data przekazania informacji;
• sposób przekazania: e-mail / pole uwagi / wiadomość marketplace / inny kanał;
• identyfikator wzoru albo wersji klauzuli;
• dowód przekazania: wiadomość / PDF / screenshot / zapis systemowy zawierający wersję komunikatu;
• uwagi, jeżeli przekazanie informacji nie było technicznie możliwe w pierwszym kontakcie.

Nie powinno się wymagać od pracowników opisów prawniczych przy każdym zakupie. Pracownik ma wykonać prostą czynność: użyć właściwego szablonu, wkleić link do pełnej klauzuli, zapisać sposób przekazania i zachować ślad pozwalający ustalić treść komunikatu.

Model dowodowy: nie wystarczy sam numer sprawy

W poprzednich latach wiele procedur RODO opierało się na ogólnym statusie: „klauzula przekazana”. Przy CRU JSFP taki model może być za słaby, bo publikacja informacji o umowie ma charakter publiczny, a kontrahent może realnie zapytać: kiedy i jak poinformowano go o możliwości ujawnienia informacji o umowie?

RODO opiera się m.in. na zasadzie rozliczalności: administrator odpowiada za przestrzeganie zasad przetwarzania i musi być w stanie wykazać ich przestrzeganie.

Dlatego dowód przekazania informacji powinien pozwalać ustalić co najmniej:

• datę przekazania informacji;
• kanał przekazania;
• adresata albo typ adresata;
• treść przekazanej informacji albo wersję wzoru obowiązującą w danym dniu;
• link do pełnej klauzuli albo identyfikator jej wersji;
• osobę lub jednostkę organizacyjną, która przekazała informację.

Samo zapisanie numeru sprawy może być pomocne, ale nie wystarczy, jeżeli z dokumentacji nie wynika, jaka informacja została faktycznie przekazana.

Co zrobić, jeżeli klauzula informacyjna nie została przekazana?

W praktyce może się zdarzyć, że po 1 lipca 2026 r. jednostka zawarła umowę z osobą fizyczną, JDG albo wspólnikiem spółki cywilnej, ale nie przekazała informacji RODO obejmującej możliwość udostępnienia informacji o tej umowie w CRU JSFP.

Taka sytuacja nie powinna być ignorowana, ale nie oznacza automatycznie, że jednostka może odstąpić od publikacji informacji w CRU JSFP. Jeżeli umowa spełnia przesłanki publikacji, obowiązek udostępnienia informacji w CRU JSFP nadal istnieje. Brak albo spóźnione przekazanie klauzuli informacyjnej jest przede wszystkim problemem w zakresie realizacji obowiązku informacyjnego RODO, a nie podstawą do zaniechania publikacji.

W takim przypadku jednostka powinna:

1. ustalić, których procesów zakupowych i umów dotyczy brak przekazania informacji;
2. sprawdzić, czy kontrahentem była osoba fizyczna, JDG albo wspólnik spółki cywilnej;
3. sprawdzić, czy w procesie występowały osoby fizyczne po stronie osoby prawnej, np. reprezentanci, pełnomocnicy, pracownicy albo osoby kontaktowe;
4. ustalić, czy dane były pozyskane bezpośrednio od osoby, czy z innego źródła;
5. ocenić, czy zastosowanie ma art. 13 RODO, art. 14 RODO albo ewentualny wyjątek z art. 14 ust. 5 RODO;
6. przekazać uzupełniającą informację RODO niezwłocznie po stwierdzeniu braku, jeżeli jest to zasadne;
7. odnotować datę, sposób i zakres przekazania informacji;
8. zachować dowód przekazania, w tym treść albo wersję komunikatu;
9. poprawić szablony maili, formularzy, procedur i instrukcji, aby problem nie powtarzał się przy kolejnych zakupach.

Przykładowa treść informacji uzupełniającej dla kontrahenta będącego osobą fizyczną, JDG albo wspólnikiem spółki cywilnej:

Jeżeli kontrahentem była osoba prawna, np. spółka z o.o., a jednostka przetwarza dane osoby kontaktowej, pełnomocnika albo reprezentanta, informacja uzupełniająca powinna być ostrożniejsza. Nie należy automatycznie sugerować, że dane tej osoby zostaną opublikowane w CRU JSFP. Właściwsze jest wskazanie, że jej dane są przetwarzane w celu kontaktu, obsługi, realizacji, rozliczenia i archiwizacji umowy, a informacje o samej umowie mogą podlegać publikacji w CRU JSFP, jeżeli spełnione są przesłanki ustawowe.

Przykładowa treść:

Nie należy formułować takiej wiadomości jako prośby o zgodę. W przypadku CRU JSFP podstawą działania jednostki jest obowiązek prawny, a nie zgoda kontrahenta. Informacja uzupełniająca służy wykonaniu albo uzupełnieniu obowiązku przejrzystości wobec osoby, której dane dotyczą.

Warto też zachować notatkę wewnętrzną, np.:

Taka notatka nie usuwa faktu opóźnienia, ale pokazuje, że jednostka zidentyfikowała problem, podjęła działanie naprawcze i ograniczyła ryzyko powtórzenia błędu.

Czego nie robić?

Nie należy wymagać zgody kontrahenta na publikację informacji o umowie w CRU JSFP. Jeżeli umowa podlega publikacji, podstawą działania jednostki jest obowiązek prawny, a nie zgoda.

Nie należy pisać, że „zamówienie trafi do CRU JSFP”. Bezpieczniej pisać, że „informacje o umowie zawartej w wyniku procesu zakupowego mogą zostać udostępnione w CRU JSFP”, jeżeli umowa spełnia przesłanki ustawowe.

Nie należy blokować procesu zakupowego do czasu podpisania osobnego potwierdzenia odbioru klauzuli. To nadmiarowa biurokracja, która w praktyce będzie obchodzona.

Nie należy zakładać, że sama ogólna polityka prywatności na stronie jednostki zawsze wystarczy. Publiczna klauzula jest ważna, ale powinna być powiązana z konkretnym procesem zakupowym przez link albo komunikat.

Nie należy pomijać JDG tylko dlatego, że dane przedsiębiorcy są widoczne w CEIDG albo na platformie sprzedażowej. Dane osoby fizycznej prowadzącej działalność gospodarczą nadal mogą być danymi osobowymi.

Nie należy pisać do każdej osoby kontaktowej po stronie spółki tak, jakby jej dane osobowe automatycznie miały zostać opublikowane w CRU JSFP. To może być nieprecyzyjne i niepotrzebnie alarmujące.

Nie należy publikować w CRU JSFP danych „na zapas” ani wpisywać do rejestru danych, których przepisy nie wymagają. Rozporządzenie Ministra Finansów i Gospodarki z 30 marca 2026 r. w sprawie CRU JSFP określa szczegółowe zasady obowiązujące w ramach CRU JSFP; zgodnie z komunikatem MF jego celem jest m.in. zapewnienie kompletności, jednolitości i przejrzystości informacji o umowach udostępnianych i aktualizowanych w ramach CRU JSFP.

Jak to można zorganizować w systemie ewidencyjnym?

W praktyce zgodność z przepisami nie powinna zależeć od pamięci pojedynczego pracownika. Dlatego w lokalnym systemie obsługi umów i zakupów warto przewidzieć:

• słownik typu kontrahenta;
• oznaczenie, czy kontrahent jest osobą fizyczną, JDG albo spółką cywilną;
• oznaczenie, czy w procesie występują osoby kontaktowe albo reprezentanci po stronie osoby prawnej;
• pole „informacja RODO przekazana”;
• pole „informacja obejmuje CRU JSFP”;
• pole „tryb obowiązku informacyjnego”: art. 13 / art. 14 / wyjątek / nie dotyczy;
• datę i sposób przekazania informacji;
• identyfikator wzoru klauzuli;
• możliwość podpięcia dowodu przekazania;
• ostrzeżenie przed publikacją w CRU JSFP, jeżeli kontrahentem jest osoba fizyczna/JDG/spółka cywilna, a brak informacji o przekazaniu klauzuli;
• raport zaległości dla osób odpowiedzialnych za kontrolę procesu.

Przy wdrożonym systemie Ewidencja Umów JSFP taki obowiązek można potraktować jako element procesu, a nie jako dodatkową tabelę prowadzoną ręcznie. To istotne, bo przy większej liczbie drobnych zakupów ręczne pilnowanie klauzul w mailach, plikach PDF i zrzutach ekranu szybko stanie się niewydolne.

Proponowany zapis do procedury wewnętrznej

W procedurze można przyjąć następujący zapis:

Podsumowanie

Obowiązek informacyjny RODO przy CRU JSFP nie musi paraliżować pracy jednostki. Nie trzeba tworzyć osobnego, ciężkiego procesu dla każdego zakupu internetowego. Trzeba natomiast zadbać o cztery rzeczy: pełną klauzulę, krótką informację w kanale zakupowym, dowód przekazania oraz prostą kontrolkę w procesie prowadzącym do zawarcia umowy.

Najważniejsze doprecyzowanie jest takie: zakup, zamówienie mailowe albo transakcja przez marketplace to praktyczny kanał działania, ale w CRU JSFP udostępnia się informacje o umowie spełniającej przesłanki ustawowe. Dlatego komunikaty RODO powinny mówić o możliwości publikacji informacji o umowie zawartej w wyniku procesu zakupowego, a nie o automatycznym publikowaniu każdego „zamówienia”.

Drugie ważne doprecyzowanie dotyczy osób. RODO dotyczy osób fizycznych, ale w procesie zakupowym osobą fizyczną może być nie tylko kontrahent. Może to być również reprezentant, pełnomocnik, pracownik albo osoba kontaktowa po stronie osoby prawnej. Nie każdej z tych osób należy jednak komunikować ryzyko publikacji jej danych w CRU JSFP w taki sam sposób.

Jeżeli klauzula informacyjna nie została przekazana, nie należy z tego robić podstawy do wstrzymania publikacji w CRU JSFP, o ile umowa podlega obowiązkowi udostępnienia. Należy natomiast ocenić sytuację z perspektywy art. 13 albo art. 14 RODO, uzupełnić obowiązek informacyjny, jeżeli jest to zasadne, udokumentować działanie naprawcze i poprawić procedurę na przyszłość.

Najbezpieczniejszy model to nie „więcej papieru”, ale lepszy proces. Pracownik realizujący zakup powinien mieć gotowy tekst, gotowy link i jasną zasadę, kiedy go użyć. Osoba odpowiedzialna za CRU JSFP powinna natomiast mieć możliwość sprawdzenia, czy przed publikacją informacji o umowie zachowano podstawowe wymogi przejrzystości wobec osób fizycznych, których dane są przetwarzane w związku z daną umową.

Źródła i podstawy prawne

1. Ustawa z dnia 27 sierpnia 2009 r. o finansach publicznych - tekst jednolity Dz.U. 2025 poz. 1483 - w szczególności art. 34a-34d, jako podstawa obowiązków dotyczących CRU JSFP.
2. Ustawa z dnia 4 grudnia 2025 r. - Dz.U. 2025 poz. 1844 - źródło aktualnego modelu publikacji informacji o umowach od 1 lipca 2026 r.
3. Rozporządzenie Ministra Finansów i Gospodarki z dnia 30 marca 2026 r. w sprawie Centralnego Rejestru Umów Jednostek Sektora Finansów Publicznych - Dz.U. 2026 poz. 440 - zakres danych, sposób oznaczania stron i zasady aktualizacji wpisów.
4. Ustawa z dnia 11 września 2019 r. - Prawo zamówień publicznych - w szczególności art. 7 pkt 32 definiujący zamówienie, do którego odwołują się przepisy CRU JSFP.
5. Ustawa z dnia 23 kwietnia 1964 r. - Kodeks cywilny - w zakresie formy czynności prawnych, sposobu zawierania umów i momentu ich skutecznego zawarcia.
6. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - w szczególności art. 13 i art. 14 dotyczące obowiązku informacyjnego oraz zasada przejrzystości i rozliczalności.