Polityka haseł w firmie: podstawa prawna, zasady z Biuletynu UODO i dowody na kontrolę
czytaj więcej
Klient Twojego sklepu pisze: „chcę wiedzieć, jakie dane o mnie macie, i proszę o ich kopię”. Bez formularza, bez podpisu, zwykłym mailem. To wniosek o udostępnienie danych osobowych z art. 15 RODO i od dnia, w którym trafił do Twojej skrzynki, biegnie termin.
Taki mail łatwo odłożyć na później. We Francji nieodpowiadanie na żądania usunięcia danych, składane przez kandydatów i byłych pracowników, kosztowało jedną firmę 300 tys. euro kary. Wniosek o kopię podlega tym samym zasadom odpowiedzi. Zobacz, co trzeba wysłać klientowi, ile masz czasu i w jakich sytuacjach możesz odmówić.
Spis treści
Brak odpowiedzi na żądanie z RODO - kara 300 tys. euro dla EXTIA
Do francuskiego urzędu ochrony danych (CNIL) trafiło kilka skarg od byłych pracowników i kandydatów spółki EXTIA: mieli kłopot z usunięciem swoich danych.
Kontrola z kwietnia 2025 r. pokazała skalę. Z 265 żądań usunięcia danych, które firma dostała w 2024 r., ponad trzy czwarte obsłużono źle albo wcale.
Dwanaście żądań w ogóle nie rozpatrzono, 166 osób nie usłyszało, co się stało z ich prośbą, a 27 dostało odpowiedź dopiero po miesięcznym terminie, czasem kilka miesięcy później. Spółka nadrobiła zaległości dopiero w trakcie postępowania przed CNIL.
Spółka tłumaczyła, że duża część wniosków dotyczyła kandydatów, których dane system i tak usunął automatycznie. Nie pomogło. Według CNIL samo usunięcie danych, nawet automatyczne, nie zastępuje odpowiedzi do osoby, która o nie prosiła.
21 lipca 2026 r. zapadła kara: 300 tys. euro za naruszenie art. 12 i art. 17 RODO. Na jej wysokość wpłynęły m.in. liczba poszkodowanych i to, że firmę już dwa razy wcześniej informowano o jej obowiązkach. Na plus zaliczono jej naprawę w trakcie postępowania. Sprawę po polsku opisał Biuletyn Urzędu Ochrony Danych Osobowych (UODO), a pełny komunikat jest na stronie CNIL.
W tej sprawie chodziło o usuwanie danych. Wniosek o kopię podlega jednak dokładnie tym samym zasadom odpowiedzi, bo oba prawa obsługuje ten sam art. 12 RODO.
Kara za nieprzestrzeganie RODO w polskim sklepie
Polski sklep stosuje to samo RODO co francuska spółka, a Prezes UODO karze według tego samego art. 83. Za naruszenie praw klientów z art. 12-22 górna granica wynosi 20 mln euro albo 4% całkowitego rocznego światowego obrotu firmy z poprzedniego roku obrotowego, w zależności od tego, która kwota jest wyższa (art. 83 ust. 5 RODO).
Tyle mówi przepis. W praktyce urząd liczy, ile osób poszkodowano, jak długo to trwało, czy firma współpracowała i czy miała już wcześniej podobne wpadki (art. 83 ust. 2 RODO). Jedna przegapiona prośba to coś innego niż stały brak odpowiedzi, jak u EXTIA.
Niższe limity ma tylko część sektora publicznego, m.in. urzędy, szpitale działające jako SPZOZ (samodzielne publiczne zakłady opieki zdrowotnej) i publiczne uczelnie: do 100 tys. zł, a państwowe i samorządowe instytucje kultury do 10 tys. zł, zgodnie z art. 102 ustawy o ochronie danych osobowych. Spółek, także komunalnych, sklepów ani firm usługowych to nie dotyczy.
Co wysyłasz klientowi, czyli zakres kopii z art. 15 RODO
Odpowiedź ma dwie części. Pierwsza to informacje z art. 15 ust. 1 RODO: w jakich celach przetwarzasz dane, jakie to kategorie danych, komu je przekazujesz (np. firmie kurierskiej czy biuru rachunkowemu), jak długo je przechowujesz, skąd je masz, jeśli nie od klienta, czy podejmujesz wobec niego decyzje automatycznie (np. profilowanie) i jakie prawa mu przysługują, łącznie z prawem skargi do Prezesa UODO. Jeśli wysyłasz dane poza Europejski Obszar Gospodarczy, opisujesz też, jak je zabezpieczasz (art. 15 ust. 2 RODO).
Druga część to sama kopia danych. Tu łatwo o błąd, czyli o odesłanie tabelki „imię, nazwisko, adres, telefon”. Trybunał Sprawiedliwości UE w wyroku C-487/21 z 4 maja 2023 r. wyjaśnił, że kopia ma być wiernym i zrozumiałym odwzorowaniem danych, a nie ich opisem ani listą kategorii.
W sklepie internetowym to zwykle historia zamówień z danymi do wysyłki, dane konta, korespondencja z obsługą klienta, reklamacje i zwroty, a jeśli nagrywasz rozmowy na infolinii, także nagrania. Pierwszą kopię wydajesz za darmo. Opłatę, w rozsądnej wysokości wynikającej z kosztów, możesz pobrać dopiero za kolejne kopie (art. 15 ust. 3 RODO).
Cały mail czy tylko wyciąg?
To zależy od tego, czy wyciąg da się zrozumieć. Prezes UODO, powołując się na wspomniany wyrok, napisał w artykule o prawie dostępu, że gdy jest to konieczne do zrozumienia danych, firma przekazuje kopie całych dokumentów, maili, wyciągów i logów, a nie samą ich listę.
Przykład: klient reklamował towar i wymieniłeś z nim dziesięć wiadomości. Zdanie „w korespondencji przetwarzamy Pana adres e-mail i treść reklamacji” nic mu nie daje. Kopia tej korespondencji pokazuje, co faktycznie o nim zapisano.
Dane innych osób i tajemnica firmy w kopii
Art. 15 ust. 4 RODO zastrzega, że kopia nie może szkodzić prawom i wolnościom innych. Nie znaczy to, że dokument z cudzymi danymi w ogóle nie wychodzi. Prezes UODO w decyzji DS.523.4826.2020 z 19 października 2022 r. ocenił firmę, która odmówiła wydania nagrania rozmowy telefonicznej. Wniosek urzędu: jeśli w kopii są informacje szkodliwe dla osób trzecich, usuwasz właśnie je, a resztę wydajesz.
W praktyce zaczerniasz nazwisko innego klienta w wątku mailowym albo wyciszasz w nagraniu głos innej osoby. Anonimizację głosu innych osób na nagraniu wskazał w tej decyzji sam Prezes UODO. Tak podpowiada też Europejska Rada Ochrony Danych w wytycznych 01/2022 o prawie dostępu: najpierw ocena, czy wydanie naprawdę komuś zaszkodzi, potem próba pogodzenia praw, a rozstrzyganie, które prawo wygrywa, dopiero na końcu.
Chronić możesz również własną tajemnicę handlową. W przykładzie z tych wytycznych sklep z wyposażeniem medycznym mierzył klientce nogi autorską metodą, a ona chciała wyniki, żeby kupić tańsze pończochy gdzie indziej. Sklep mógł ograniczyć dostęp tylko wtedy, gdyby udowodnił, że metoda jest tajemnicą handlową i że wyników nie da się podać bez jej ujawnienia. Nawet wtedy wyniki musiałby wydać w takim zakresie, w jakim tajemnicy nie zdradzają, choćby w zmienionej postaci.
Ciężar dowodu jest po Twojej stronie: musisz wykazać, że czyjeś prawa faktycznie by ucierpiały.
Odmowa udostępnienia danych osobowych i termin odpowiedzi
Odpowiadasz bez zbędnej zwłoki, najpóźniej w ciągu miesiąca od otrzymania wniosku (art. 12 ust. 3 RODO). Gdy wniosek jest skomplikowany albo wniosków jest dużo, wydanie danych możesz przesunąć o dwa kolejne miesiące, ale klient musi się o tym dowiedzieć jeszcze w pierwszym miesiącu, razem z powodem opóźnienia.
Odmowy, w całości albo w części, przesunąć nie możesz. Według art. 12 ust. 4 RODO przekazujesz ją niezwłocznie, najpóźniej w ciągu miesiąca: piszesz, dlaczego odmawiasz, i informujesz o możliwości skargi do Prezesa UODO oraz drogi sądowej. Europejska Rada Ochrony Danych wskazuje w wytycznych 01/2022, że uzasadnienie ma dotyczyć tej konkretnej sprawy, więc „odmawiamy ze względu na ochronę praw osób trzecich” bez szczegółów to za mało.
Odmówić możesz też wtedy, gdy żądanie jest ewidentnie nieuzasadnione lub nadmierne, np. ta sama prośba ponawiana w kółko (art. 12 ust. 5 RODO), albo gdy wykażesz, że z danych, które masz, nie da się ustalić, której osoby dotyczą (art. 12 ust. 2 w związku z art. 11 ust. 2 RODO). Sama wątpliwość, kto pisze, nie jest powodem do odmowy, tylko do prośby o potwierdzenie tożsamości (art. 12 ust. 6 RODO). Przy żądaniu nadmiernym zamiast odmowy możesz pobrać rozsądną opłatę, ale to Ty musisz wykazać, że żądanie jest nadmierne.
Co sprawdzić przed wysłaniem odpowiedzi
Data wpływu wniosku zapisana Tożsamość klienta potwierdzona, jeśli były wątpliwości Dane zebrane ze sklepu, poczty, księgowości i infolinii Informacje z art. 15 ust. 1 i 2: cele, kategorie, odbiorcy, okres, źródło, decyzje automatyczne, prawa, transfer poza EOG Dane innych osób zaczernione Pierwsza kopia bez opłaty Przy odmowie: powód i pouczenie o skardze i sądzie
Najczęstsze pytania o wniosek o udostępnienie danych
Czy wniosek o udostępnienie danych osobowych musi mieć określoną formę?+
Nie. RODO nie przewiduje obowiązkowego formularza, więc wniosek może przyjść zwykłym mailem. Jeśli masz uzasadnione wątpliwości, czy pisze właściwa osoba, możesz poprosić o informacje, które to potwierdzą (art. 12 ust. 6 RODO).
Ile czasu ma sklep na odpowiedź na wniosek z art. 15 RODO?+
Bez zbędnej zwłoki, najpóźniej miesiąc od otrzymania wniosku. Przedłużenie o dwa miesiące jest możliwe tylko przy skomplikowanym wniosku albo wielu wnioskach i tylko wtedy, gdy klient dowie się o nim, razem z powodem, w ciągu pierwszego miesiąca.
Czy mogę wziąć opłatę za kopię danych?+
Za pierwszą kopię nie. Za każdą kolejną, o którą poprosi ta sama osoba, możesz pobrać rozsądną opłatę pokrywającą koszty.
Co odpisać, jeśli nie mam już danych klienta?+
Napisz to wprost. Klient ma prawo wiedzieć, czy jego dane są przetwarzane, a sprawa EXTIA pokazuje, że brak odpowiedzi jest naruszeniem nawet wtedy, gdy danych już nie ma.
Odpowiedź na wniosek warto mieć przygotowaną wcześniej
Nie musisz wymyślać odpowiedzi od zera przy każdym wniosku. Wystarczy prosty wzór i jedna osoba, która pilnuje terminu. Jeśli prowadzisz sklep, przeczytaj też wpis RODO a sklep internetowy, który pokazuje, czym regulamin zgodny z RODO różni się od RODO w firmie, oraz jak działa udostępnianie danych osobowych innym firmom, bo to zupełnie inna sprawa niż wniosek klienta.
Wzór odpowiedzi na wniosek z art. 15 RODO i procedurę obsługi żądań przygotujemy razem z całą dokumentacją RODO dla Twojej firmy. Napisz do mnie, jeśli chcesz to mieć z głowy.
