Prawa osób RODO to jeden z tych obszarów, który w teorii wygląda prosto — a w praktyce generuje najwięcej chaosu organizacyjnego. Mail z żądaniem usunięcia danych trafia na skrzynkę przypadkowego pracownika. Ktoś przekazuje go dalej. Ktoś zapomina. Termin biegnie. Administrator nie jest w stanie wykazać, co zrobił i kiedy.

To właśnie brak procesu obsługi wniosków RODO jest jednym z najczęstszych naruszeń stwierdzanych podczas kontroli UODO. Nie dlatego, że administratorzy ignorują żądania — ale dlatego, że nie mają systemu, który zapewniałby rejestrację, przypisanie odpowiedzialności i kontrolę terminów.

W tym artykule omawiamy wszystkie prawa przysługujące osobom fizycznym na gruncie RODO, procedurę ich obsługi i najczęstsze błędy.

Jakie prawa przysługują osobom fizycznym na gruncie RODO

RODO przyznaje osobom fizycznym szeroki katalog praw wobec administratorów danych. Każde z nich może zostać wykonane w formie wniosku — niezależnie od tego, czy zostanie złożony pisemnie, mailowo, telefonicznie czy przez formularz kontaktowy. Forma wniosku nie zwalnia administratora z obowiązku reakcji.

Prawo dostępu do danych (art. 15 RODO)

Osoba może zażądać informacji o tym, czy jej dane są przetwarzane, a jeśli tak — jakie dane, w jakim celu, na jakiej podstawie, przez jak długo i komu są przekazywane. Administrator musi dostarczyć kopię przetwarzanych danych osobowych.

To jedno z najczęściej wykonywanych praw — i jedno z najtrudniejszych w realizacji, bo wymaga zebrania danych z wszystkich systemów, w których dana osoba może figurować.

Prawo do sprostowania danych (art. 16 RODO)

Osoba może żądać poprawienia nieprawidłowych danych lub uzupełnienia danych niekompletnych. Administrator musi dokonać sprostowania bez zbędnej zwłoki.

Prawo do usunięcia danych — „prawo do bycia zapomnianym” (art. 17 RODO)

Osoba może żądać usunięcia swoich danych, jeśli: dane nie są już niezbędne do celów, dla których zostały zebrane, zgoda została wycofana i nie ma innej podstawy prawnej, osoba wniosła skuteczny sprzeciw wobec przetwarzania, dane były przetwarzane niezgodnie z prawem.

Administrator nie ma obowiązku usunięcia danych, jeśli przetwarzanie jest niezbędne do wywiązania się z obowiązku prawnego lub do ustalenia, dochodzenia lub obrony roszczeń.

Prawo do ograniczenia przetwarzania (art. 18 RODO)

Osoba może żądać ograniczenia przetwarzania jej danych w określonych sytuacjach — np. gdy kwestionuje prawidłowość danych lub wniosła sprzeciw. W czasie ograniczenia administrator może dane jedynie przechowywać.

Prawo do przenoszenia danych (art. 20 RODO)

Osoba może żądać otrzymania swoich danych w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego — oraz przesłania ich innemu administratorowi. Prawo to dotyczy wyłącznie danych przetwarzanych na podstawie zgody lub umowy i w sposób zautomatyzowany.

Prawo do sprzeciwu (art. 21 RODO)

Osoba może wnieść sprzeciw wobec przetwarzania jej danych na podstawie uzasadnionego interesu administratora lub w celach marketingu bezpośredniego. W przypadku sprzeciwu wobec marketingu bezpośredniego — administrator musi natychmiast zaprzestać przetwarzania. Brak wyjątków.

Prawo do niepodlegania zautomatyzowanemu podejmowaniu decyzji (art. 22 RODO)

Osoba może żądać, żeby decyzje mające wobec niej skutki prawne lub podobnie istotne nie były podejmowane wyłącznie w sposób zautomatyzowany, w tym przez profilowanie.

Ile czasu ma administrator na odpowiedź

Termin odpowiedzi na wniosek RODO to jeden miesiąc od daty otrzymania żądania. W przypadku skomplikowanych lub licznych wniosków termin może zostać przedłużony o kolejne dwa miesiące — ale administrator musi poinformować osobę o przedłużeniu i jego przyczynach w ciągu pierwszego miesiąca.

Brak odpowiedzi w terminie to naruszenie RODO — nawet jeśli wniosek został zrealizowany, ale bez formalnego potwierdzenia. Termin biegnie od dnia otrzymania wniosku, niezależnie od jego formy.

Procedura obsługi wniosku RODO krok po kroku

Krok 1 — Rejestracja wniosku

Każdy wniosek — niezależnie od formy (mail, formularz, rozmowa telefoniczna, wiadomość w mediach społecznościowych) — musi być zarejestrowany z datą otrzymania. Data rejestracji uruchamia bieg terminu.

Krok 2 — Weryfikacja tożsamości wnioskodawcy

Administrator musi upewnić się, że osoba składająca wniosek jest tą, za którą się podaje. Jeśli są wątpliwości co do tożsamości — można zażądać dodatkowych informacji, ale nie wolno żądać dokumentów tożsamości bez uzasadnionej potrzeby.

Przy weryfikacji tożsamości administrator sam nie może przetwarzać nadmiernej ilości danych — zasada minimalizacji obowiązuje też w tym kontekście.

Krok 3 — Analiza wniosku

Oceń, czy wniosek może zostać zrealizowany i czy nie zachodzą przesłanki odmowy lub ograniczenia. Typowe powody odmowy: przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego, trwa postępowanie sądowe lub administracyjne, dane są niezbędne do ustalenia lub obrony roszczeń.

Odmowa musi być uzasadniona i przekazana osobie w terminie.

Krok 4 — Realizacja

Wykonaj działania wymagane wnioskiem — usunięcie, sprostowanie, przygotowanie kopii danych, ograniczenie przetwarzania. Pamiętaj, że dane mogą znajdować się w wielu systemach, u podprocesorów i w archiwach. Realizacja musi być spójna we wszystkich miejscach.

Krok 5 — Odpowiedź dla wnioskodawcy

Udziel odpowiedzi w terminie jednego miesiąca — pisemnie lub elektronicznie, w zrozumiałej formie. Odpowiedź powinna potwierdzać wykonanie działań lub wyjaśniać przyczyny odmowy i pouczać o prawie do skargi do UODO.

Krok 6 — Archiwizacja

Zachowaj dokumentację całego procesu — datę wpłynięcia wniosku, podjęte działania, datę odpowiedzi. To kluczowy dowód na wypadek kontroli UODO lub skargi osoby fizycznej.

Najczęstsze błędy w obsłudze wniosków RODO

Brak rejestru wniosków. Administrator nie jest w stanie wykazać, że wniosek wpłynął i jak został obsłużony. Podczas kontroli UODO może zapytać o konkretne przypadki.

Przekroczenie terminu. Wniosek „gubi się” w skrzynkach mailowych lub jest przekazywany między pracownikami bez wyznaczonego właściciela. Termin mija niezauważony.

Niepełna realizacja. Dane usunięto z jednego systemu, ale pozostały w innych — skrzynce mailowej, systemie backupu, u podprocesora. Realizacja musi obejmować wszystkie miejsca przechowywania.

Nieuzasadniona odmowa. Administrator odmawia bez podstawy prawnej lub nie informuje o możliwości wniesienia skargi do UODO.

Żądanie nadmiernych danych przy weryfikacji tożsamości. Administrator prosi o skan dowodu osobistego tam, gdzie wystarczyłoby potwierdzenie adresu e-mail.

Ignorowanie wniosków złożonych nieformalnie. Mail z treścią „proszę usunąć moje dane” to żądanie RODO — niezależnie od tego, czy użyto słowa „wniosek” i czy trafił na właściwą skrzynkę.

Obsługa wniosków RODO w iGDPR — pełny workflow, nic nie zginie

iGDPR posiada dedykowany moduł obsługi żądań podmiotów danych, w którym cały proces obsługi wniosku jest zaimplementowany jako workflow — od momentu wpłynięcia żądania aż po archiwizację dokumentacji.

W praktyce oznacza to, że każdy wniosek:

• jest rejestrowany z datą wpłynięcia, która automatycznie uruchamia licznik terminu,
• otrzymuje przypisanego właściciela — wiadomo, kto odpowiada za realizację,
• przechodzi przez kolejne etapy procesu: rejestracja → weryfikacja → analiza → realizacja → odpowiedź → archiwizacja,
• generuje powiadomienia o zbliżającym się terminie — żaden wniosek nie zostanie przeoczony,
• zachowuje pełną historię działań — każda zmiana statusu, każda notatka, każde działanie jest odnotowane.

Po zakończeniu obsługi system generuje dokumentację potwierdzającą przebieg procesu — gotową do okazania podczas kontroli UODO. Nie ma możliwości, żeby wniosek zaginął w skrzynce mailowej, przepadł przy zmianie pracownika lub przekroczył termin bez sygnału alarmowego.

To podejście zamienia chaotyczną obsługę e-maili w uporządkowany, mierzalny i w pełni udokumentowany proces — zgodny z zasadą rozliczalności RODO.

Podsumowanie

Prawa osób RODO to codzienna praktyka każdej organizacji przetwarzającej dane. Kluczem nie jest znajomość przepisów — ale posiadanie procesu, który zapewnia rejestrację, terminowość i możliwość wykazania podjętych działań.

Kluczowe zasady:

• każdy wniosek — niezależnie od formy — uruchamia obowiązki po stronie administratora,
• termin odpowiedzi to jeden miesiąc od daty otrzymania żądania,
• odmowa musi być uzasadniona i zawierać pouczenie o prawie do skargi do UODO,
• realizacja musi obejmować wszystkie systemy i miejsca przechowywania danych,
• dokumentacja obsługi wniosku musi być archiwizowana.

Często zadawane pytania o prawa osób RODO