RODO 15: termin na pismo i skutki zwłoki w praktyce prawnej

Ogólne rozporządzenie o ochronie danych (RODO) zrewolucjonizowało podejście do prywatności i ochrony informacji osobowych w całej Unii Europejskiej. Jednym z najważniejszych i najczęściej wykorzystywanych przez obywateli uprawnień jest prawo dostępu do danych, uregulowane w artykule 15 RODO. Daje ono osobom fizycznym realną kontrolę nad tym, kto, w jakim celu i w jaki sposób przetwarza ich dane osobowe. Jednak dla administratorów danych osobowych (ADO) realizacja tego prawa wiąże się z koniecznością spełnienia rygorystycznych wymogów formalnych i czasowych. W praktyce prawnej to właśnie kwestia terminów oraz skutków ich niedotrzymania budzi najwięcej kontrowersji i generuje największe ryzyko prawne oraz finansowe. Niniejsza publikacja szczegółowo analizuje procedurę obsługi wniosków z art. 15 RODO, zasady obliczania terminów, możliwości ich przedłużenia oraz surowe konsekwencje, jakie grożą za zwłokę.

Istota prawa dostępu do danych na podstawie art. 15 RODO

Aby właściwie zarządzać procesem obsługi wniosków, administrator musi najpierw dokładnie zrozumieć, czego może domagać się osoba składająca wniosek na podstawie art. 15 RODO. Uprawnienie to nie ogranicza się wyłącznie do prostego potwierdzenia, czy dane są przetwarzane. Osoba, której dane dotyczą, ma prawo uzyskać od administratora potwierdzenie tego faktu, a jeśli ma to miejsce, jest uprawniona do uzyskania dostępu do nich oraz do następujących informacji: celów przetwarzania, kategorii odnośnych danych, odbiorców lub kategorii odbiorców (szczególnie w państwach trzecich), planowanego okresu przechowywania danych, prawa do żądania sprostowania, usunięcia lub ograniczenia przetwarzania, prawa do wniesienia sprzeciwu, prawa do wniesienia skargi do organu nadzorczego, źródła danych (jeśli nie zostały zebrane bezpośrednio od tej osoby) oraz informacji o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu.

Co niezwykle istotne, art. 15 ust. 3 RODO nakłada na administratora obowiązek dostarczenia osobie, której dane dotyczą, kopii danych osobowych podlegających przetwarzaniu. Przez długi czas w doktrynie i praktyce istniał spór co do tego, jak należy rozumieć pojęcie "kopii danych". Część administratorów stała na stanowisku, że wystarczy przedstawić wykaz danych w formie tabeli lub zestawienia tekstowego. Kwestię tę ostatecznie doprecyzował Trybunał Sprawiedliwości Unii Europejskiej (TSUE) w przełomowym wyroku z dnia 4 maja 2023 r. w sprawie C-487/21 (Österreichische Datenschutzbehörde). TSUE orzekł, że prawo do otrzymania kopii oznacza, iż osobie, której dane dotyczą, należy przekazać wierną i zrozumiałą kopię wszystkich jej danych osobowych. Może to wymagać dostarczenia wyciągów z dokumentów, całych dokumentów, a nawet nagrań czy logów systemowych, jeśli jest to niezbędne do tego, by osoba ta mogła skutecznie zweryfikować prawidłowość danych i wykonywać inne prawa gwarantowane przez RODO. To orzeczenie znacznie podniosło poprzeczkę dla administratorów, wydłużając czas potrzebny na przygotowanie odpowiedzi.

Termin na odpowiedź na wniosek – zasada ogólna

Zgodnie z art. 12 ust. 3 RODO, administrator ma obowiązek udzielić osobie, której dane dotyczą, informacji o działaniach podjętych w związku z realizacją jej wniosku bez zbędnej zwłoki, a w każdym razie w terminie miesiąca od otrzymania wniosku. Jest to podstawowy termin, który dyscyplinuje administratorów i zmusza ich do sprawnego działania. W praktyce prawnej kluczowe jest precyzyjne ustalenie, kiedy ten termin się rozpoczyna i kiedy upływa.

Bieg terminu rozpoczyna się w dniu otrzymania wniosku przez administratora. Nie ma znaczenia, czy wniosek wpłynął w dni robocze, czy w weekend – dzień wpływu jest dniem zerowym. Do obliczania tego terminu stosuje się autonomiczne zasady prawa unijnego, które w polskiej praktyce interpretuje się analogicznie do przepisów Kodeksu cywilnego dotyczących terminów wyrażonych w miesiącach. Oznacza to, że termin upływa z dniem, który nazwą lub datą odpowiada dniowi, w którym wniosek wpłynął. Jeśli wniosek wpłynął 12 stycznia, termin na odpowiedź upływa 12 lutego. Jeżeli w danym miesiącu nie ma takiego dnia (np. wniosek złożono 31 sierpnia, a wrzesień ma tylko 30 dni), termin upływa w ostatnim dniu tego miesiąca, czyli 30 września. Należy bezwzględnie pamiętać, że termin ten obejmuje dni kalendarzowe. Jeśli jego koniec przypada na sobotę lub dzień ustawowo wolny od pracy, zaleca się wysłanie odpowiedzi najpóźniej w ostatnim dniu roboczym poprzedzającym ten dzień, aby uniknąć jakichkolwiek zarzutów o uchybienie terminowi ze strony organu nadzorczego lub wnioskodawcy.

Przedłużenie terminu – kiedy i na jakich zasadach jest możliwe?

Ustawodawca unijny zdawał sobie sprawę, że w skomplikowanych stanach faktycznych lub przy dużej skali działalności dotrzymanie miesięcznego terminu może okazać się niewykonalne. Dlatego w art. 12 ust. 3 RODO przewidziano możliwość przedłużenia tego terminu o kolejne dwa miesiące. Maksymalny czas na udzielenie odpowiedzi może więc wynieść łącznie trzy miesiące od dnia otrzymania wniosku. Przedłużenie to nie ma jednak charakteru uznaniowego i wymaga spełnienia konkretnych warunków prawnych.

Po pierwsze, przedłużenie terminu musi być uzasadnione skomplikowanym charakterem wniosku lub liczbą wniosków. Europejska Rada Ochrony Danych (EROD) w swoich wytycznych wskazuje, że skomplikowany charakter może wynikać z konieczności przeszukania wielu różnych systemów IT, potrzeby dokonania zaawansowanej anonimizacji danych innych osób (np. na nagraniach z monitoringu wizyjnego, gdzie w kadrze znajduje się wielu klientów), czy też konieczności zasięgnięcia opinii wyspecjalizowanych podmiotów przetwarzających (procesorów). Liczba wniosków odnosi się natomiast do sytuacji, gdy ten sam wnioskodawca składa wiele zapytań jednocześnie lub gdy administrator w tym samym okresie mierzy się z nagłym, masowym napływem wniosków od wielu osób (np. w wyniku kampanii społecznej lub wycieku danych).

Po drugie, administrator musi poinformować osobę, której dane dotyczą, o przedłużeniu terminu w ciągu miesiąca od otrzymania wniosku. Jest to warunek bezwzględny. Jeśli administrator wyśle informację o przedłużeniu choćby jeden dzień po upływie pierwotnego terminu miesięcznego, dopuści się naruszenia RODO, nawet jeśli przyczyny opóźnienia były w pełni uzasadnione. W piśmie tym należy obowiązkowo podać przyczyny opóźnienia. Uzasadnienie musi być konkretne i odnosić się do rzeczywistej sytuacji. Ogólne formułki, takie jak "z przyczyn technicznych" czy "z powodu dużej ilości pracy", są regularnie kwestionowane przez Prezesa Urzędu Ochrony Danych Osobowych (PUODO) jako niewystarczające i naruszające obowiązek przejrzystego informowania.

Procedura obsługi wniosku krok po kroku

Aby zminimalizować ryzyko uchybienia terminom, każdy administrator powinien wdrożyć i stosować sformalizowaną procedurę obsługi wniosków z art. 15 RODO. Poniżej przedstawiamy kluczowe etapy tej procedury:

Krok 1: Identyfikacja i rejestracja wniosku

Wnioski mogą wpływać do organizacji różnymi kanałami: tradycyjną pocztą, e-mailem, przez formularze kontaktowe, media społecznościowe, a nawet ustnie. Kluczowe jest przeszkolenie personelu pierwszej linii (np. biura obsługi klienta, sekretariatu), aby potrafił natychmiast rozpoznać wniosek dotyczący praw osób i przekazać go do Inspektora Ochrony Danych (IOD) lub działu prawnego. Każdy wniosek musi zostać zarejestrowany z dokładną datą i godziną wpływu, co pozwala na precyzyjne monitorowanie biegu terminu.

Krok 2: Weryfikacja tożsamości wnioskodawcy

Przed udostępnieniem jakichkolwiek danych administrator musi mieć pewność, że wnioskodawca jest osobą, za którą się podaje. Udostępnienie danych osobie nieuprawnionej (np. w wyniku ataku socjotechnicznego) stanowi poważne naruszenie ochrony danych osobowych. RODO pozwala administratorowi zażądać dodatkowych informacji niezbędnych do potwierdzenia tożsamości. Jeśli zachodzi taka konieczność, należy wevwać wnioskodawcę do uwierzytelnienia się niezwłocznie. Czas oczekiwania na odpowiedź wnioskodawcy wstrzymuje bieg terminu na realizację wniosku, pod warunkiem że wezwanie zostało wysłane bez zbędnej zwłoki.

Krok 3: Analiza zakresu wniosku i zbieranie danych

Należy dokładnie przeanalizować, jakich informacji i jakich danych domaga się wnioskodawca. Następnie wyznaczone osoby w strukturze organizacyjnej przystępują do wyszukiwania i gromadzenia danych we wszystkich systemach IT, bazach danych, segregatorach papierowych oraz archiwach. Warto pamiętać, że obowiązek ten obejmuje również dane przetwarzane przez podmioty zewnętrzne, którym administrator powierzył przetwarzanie (np. biuro rachunkowe, zewnętrzny dostawca usług hostingowych).

Krok 4: Ocena terminu i ewentualne przedłużenie

Na tym etapie (najpóźniej w drugim tygodniu od wpływu wniosku) należy ocenić, czy zebranie danych i przygotowanie odpowiedzi będzie możliwe w ciągu miesiąca. Jeśli proces ten wymaga skomplikowanych analiz prawnych lub technicznych, należy sporządzić i wysłać pismo o przedłużeniu terminu o kolejne dwa miesiące, wskazując precyzyjne i merytoryczne powody.

Krok 5: Przygotowanie odpowiedzi i wysyłka

Odpowiedź musi zawierać kompletną kopię danych osobowych oraz wszystkie informacje wymagane przez art. 15 ust. 1 RODO. Pierwsza kopia musi zostać przekazana bezpłatnie. Odpowiedź powinna być sformułowana jasnym, prostym i zrozumiałym językiem, a także przekazana w bezpieczny sposób (np. zaszyfrowanym plikiem ZIP, przesyłką poleconą za potwierdzeniem odbioru).

Skutki zwłoki i bezczynności administratora

Nieterminowa realizacja wniosku z art. 15 RODO lub całkowity brak reakcji na pismo wnioskodawcy niesie za sobą bardzo poważne konsekwencje prawne, finansowe oraz wizerunkowe dla administratora.

Postępowanie przed Prezesem UODO

Osoba, której prawa zostały naruszone poprzez brak terminowej odpowiedzi, może wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych. Organ nadzorczy wszczyna wówczas formalne postępowanie administracyjne. W jego toku PUODO bada, czy administrator dopełnił swoich obowiązków. Jeśli organ stwierdzi naruszenie, wydaje decyzję administracyjną nakazującą spełnienie żądania w określonym terminie. Postępowanie przed PUODO wiąże się dla administratora z koniecznością składania wyjaśnień, przedkładania dowodów i angażowania zasobów prawnych, co generuje dodatkowe koszty i stres organizacyjny.

Administracyjne kary pieniężne

Zgodnie z art. 83 ust. 5 lit. b RODO, naruszenie praw osób, których dane dotyczą (w tym prawa dostępu do danych), podlega administracyjnej karze pieniężnej w wysokości do 20 000 000 EUR, a w przypadku przedsiębiorstwa – w wysokości do 4% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego. Choć maksymalne kary nakładane są rzadko, to jednak kary rzędu kilku, kilkunastu czy kilkudziesięciu tysięcy złotych za nieterminowość lub ignorowanie wniosków są w Polsce codziennością. PUODO przy ustalaniu wysokości kary bierze pod uwagę m.in. czas trwania naruszenia, stopień winy administratora oraz liczbę poszkodowanych osób.

Odpowiedzialność cywilna i odszkodowania

Niezależnie od sankcji administracyjnych, osoba poszkodowana bezczynnością administratora ma prawo wytoczyć powództwo przed sądem powszechnym na podstawie art. 82 RODO. Przepis ten przewiduje prawo do uzyskania odszkodowania za szkodę majątkową lub niemajątkową (krzywdę) wynikłą z naruszenia przepisów rozporządzenia. W polskim orzecznictwie sądowym coraz częściej zasądza się zadośćuczynienie za naruszenie dóbr osobistych (w tym prawa do prywatności i ochrony danych osobowych) w sytuacjach, gdy administrator w sposób rażący ignorował wnioski obywateli, wywołując u nich poczucie bezsilności i utraty kontroli nad własnymi informacjami.

Najczęstsze błędy administratorów w praktyce

Praktyka pokazuje, że administratorzy danych osobowych popełniają szereg powtarzających się błędów, które prowadzą do sporów prawnych i kar nakładanych przez PUODO. Do najczęstszych należą:

Ignorowanie wniosków od byłych klientów lub pracowników: Często pokutuje błędne przekonanie, że jeśli umowa została rozwiązana, to administrator nie ma już żadnych obowiązków wobec danej osoby. Jest wręcz przeciwnie – były klient ma pełne prawo wiedzieć, jakie jego dane są nadal przetwarzane (np. w celach podatkowych czy obrony przed roszczeniami) i jak długo będą przechowywane.
Żądanie nadmiarowych dokumentów tożsamości: Niektórzy administratorzy automatycznie żądają przesłania skanu dowodu osobistego od każdego wnioskodawcy. Jest to działanie nieproporcjonalne i naruszające zasadę minimalizacji danych. Skan dowodu można żądać jedynie w skrajnych przypadkach, gdy tożsamości nie da się zweryfikować w żaden inny, mniej inwazyjny sposób.
Brak odpowiedzi w przypadku braku przetwarzania danych: Jeśli administrator nie przetwarza danych osoby składającej wniosek, również ma obowiązek udzielić odpowiedzi w terminie miesiąca, informując o tym fakcie. Milczenie w takiej sytuacji jest traktowane jako bezczynność i naruszenie art. 12 ust. 3 RODO.
Pobieranie opłat za pierwszą kopię danych: RODO gwarantuje, że pierwsza kopia danych jest bezpłatna. Próby obciążania wnioskodawców kosztami pracy personelu, nośników pendrive czy wysyłki pocztowej są niezgodne z prawem i natychmiast piętnowane przez organ nadzorczy.

Praktyczny przykład (Case Study)

Aby zilustrować omawiane zagadnienia, przeanalizujmy realistyczny przypadek z polskiego rynku. Spółka "Alfa Sp. z o.o.", prowadząca sklep internetowy, otrzymała 15 maja wniosek od pani Anny o udostępnienie kopii jej danych osobowych oraz historii zakupów. Wniosek został wysłany na ogólny adres e-mail biura obsługi klienta. Pracownik BOK, nieposiadający odpowiedniego przeszkolenia z zakresu RODO, uznał, że mail nie wymaga pilnej odpowiedzi, ponieważ pani Anna nie miała żadnych aktywnych zamówień. Wiadomość została zarchiwizowana.

Pani Anna, nie otrzymawszy żadnej odpowiedzi, 20 czerwca złożyła skargę do Prezesa UODO. Dopiero po otrzymaniu pisma z Urzędu informującego o wszczęciu postępowania, zarząd spółki dowiedział się o istnieniu wniosku. Spółka natychmiast przygotowała i wysłała pani Annie żądane dane, tłumacząc przed organem, że opóźnienie wynikało z błędu ludzkiego i braku intencji naruszenia prawa. Prezes UODO w wydanej decyzji uznał, że spółka dopuściła się bezczynności. Organ podkreślił, że profesjonalny podmiot ma obowiązek tak zorganizować procesy wewnętrzne, aby każdy wniosek RODO był sprawnie identyfikowany i obsługiwany. Fakt, że spółka ostatecznie odpowiedziała na wniosek, został uznany jedynie za okoliczność łagodzącą. PUODO nałożył na spółkę "Alfa" administracyjną karę pieniężną w wysokości 8 000 złotych oraz udzielił upomnienia. Spółka musiała również pokryć koszty obsługi prawnej postępowania.

Podsumowanie i rekomendacje dla administratorów

Prawidłowa i terminowa realizacja wniosków z art. 15 RODO to nie tylko obowiązek prawny, ale również element budowania zaufania i pozytywnego wizerunku każdej organizacji. Uchybienie terminom, brak reakcji czy bezprawne przedłużanie procedur generuje ogromne ryzyko finansowe i prawne. Aby skutecznie zabezpieczyć swoją organizację przed negatywnymi skutkami zwłoki, zaleca się:

wdrożenie szczegółowej, wewnętrznej procedury obsługi wniosków z art. 12 i 15 RODO, określającej jasne role i odpowiedzialność poszczególnych działów;
prowadzenie rzetelnego rejestru wniosków, który pozwala na bieżąco monitorować terminy i zapobiegać ich przegapieniu;
regularne szkolenie pracowników wszystkich szczebli w zakresie ochrony danych osobowych, ze szczególnym uwzględnieniem identyfikacji żądań klientów;
przygotowanie sprawdzonych szablonów odpowiedzi oraz pism informujących o przedłużeniu terminu, co znacznie skraca czas reakcji;
ścisłą współpracę z Inspektorem Ochrony Danych (IOD), który powinien nadzorować cały proces i służyć wsparciem merytorycznym w skomplikowanych sprawach.

Dzięki wdrożeniu tych rekomendacji, administratorzy mogą nie tylko uniknąć dotkliwych kar finansowych ze strony PUODO, ale przede wszystkim zapewnić wysoki standard ochrony praw osób, których dane dotyczą, co stanowi fundament nowoczesnego i odpowiedzialnego biznesu.