Wniosek o usunięcie danych i inne żądania z RODO

Miesiąc — od kiedy i do kiedy

Art. 12 ust. 3 RODO nakazuje udzielić informacji o działaniach podjętych w związku z żądaniem bez zbędnej zwłoki, a w każdym razie w terminie miesiąca od otrzymania żądania. Dwa słowa z tego przepisu rozstrzygają najwięcej sporów.

Pierwsze to „miesiąca”. Nie trzydziestu dni — termin kończy się w dniu odpowiadającym dniowi wpływu, więc żądanie z 31 stycznia ma termin 28 albo 29 lutego, a żądanie z 15 marca — 15 kwietnia. Przy liczeniu „30 dni” część spraw wychodzi po terminie i nikt tego nie zauważa.

Drugie to „od otrzymania”. Termin biegnie od chwili, w której żądanie wpłynęło do administratora — czyli do jednostki, a nie do komórki, która się nim zajmie. Dni stracone na wędrówkę pisma od sekretariatu do właściwego wydziału są dniami z terminu. To samo dotyczy żądania wysłanego na dowolny adres jednostki, wrzuconego do skrzynki podawczej albo zgłoszonego ustnie przy okienku.

Przedłużenie jest możliwe, ale warunkowe: o dwa miesiące, z uwagi na skomplikowany charakter żądania lub liczbę żądań. Warunek, o który najłatwiej się potknąć, brzmi: zawiadomienie o przedłużeniu wraz z przyczynami musi wyjść w ciągu pierwszego miesiąca. Zawiadomienie wysłane w trzydziestym piątym dniu nie przedłuża terminu — jest tylko odnotowanym przyznaniem się do uchybienia.

Warto też powiedzieć wprost, co nie jest oczywiste w urzędach: żądanie z RODO nie jest wnioskiem w rozumieniu Kodeksu postępowania administracyjnego. Nie kończy się decyzją, nie ma pouczenia o odwołaniu i nie stosuje się do niego terminów KPA. Odpowiedź jest pismem administratora danych, a środkiem ochrony jest skarga do Prezesa UODO i droga sądowa.

Zanim odpowiesz: czyje to żądanie

Wysłanie kompletu danych osobowych do niewłaściwej osoby jest naruszeniem ochrony danych i bywa dotkliwsze niż uchybienie terminowi. Dlatego pierwszym krokiem nie jest kompletowanie danych, tylko ustalenie, kto pisze i w czyjej sprawie.

Art. 12 ust. 6 pozwala żądać dodatkowych informacji, gdy zachodzą uzasadnione wątpliwości co do tożsamości. Przepis jest jednak wąski w obie strony. Nie wolno z niego robić rutyny i przy każdym żądaniu prosić o skan dowodu osobistego — jeżeli osoba pisze z adresu e-mail, który od lat widnieje w aktach sprawy, wątpliwości nie ma. Nie wolno też sytuacji odwrotnej: uznać za oczywiste, że wiadomość od „rodziny” dotyczy osoby, która o nic nie prosiła.

Trzy sytuacje, w których warto zatrzymać się na dłużej: żądanie przedstawiciela ustawowego dotyczące dziecka (trzeba ustalić, czy nadal nim jest), żądanie pełnomocnika (potrzebny dokument umocowania obejmujący tę czynność) oraz żądanie dotyczące osoby zmarłej — RODO do danych osób zmarłych się nie stosuje, co nie znaczy, że pismo zostaje bez odpowiedzi; znaczy tylko, że odpowiedź opiera się na innych przepisach.

Rzecz, którą trzeba zaplanować, a nie odkryć w praktyce: prośba o potwierdzenie tożsamości nie zatrzymuje biegu terminu. Jeżeli identyfikacja zajmie trzy tygodnie, na wszystko inne zostanie tydzień. Dlatego ten krok robi się w pierwszych dniach, a nie po skompletowaniu materiału.

Z czym ludzie przychodzą i czego te prawa nie obejmują

Pisma rzadko powołują artykuł. Zwykle brzmią „proszę o usunięcie moich danych” albo „proszę o informację, co o mnie macie” — i to administrator musi zakwalifikować żądanie, czasem jako kilka naraz. Najczęstsze i ich granice:

• Dostęp i kopia (art. 15) — osoba ma prawo wiedzieć, czy jej dane są przetwarzane, w jakim celu, komu są ujawniane i jak długo będą przechowywane, oraz otrzymać ich kopię. Pierwsza kopia jest bezpłatna. Kopia danych to nie to samo co kopia akt sprawy — obowiązek dotyczy danych osobowych, a nie każdego dokumentu, w którym osoba występuje.
• Sprostowanie i uzupełnienie (art. 16) — dane nieprawidłowe poprawia się niezwłocznie. Uwaga: sprostowanie dotyczy faktów, a nie ocen. Nie da się nim zmienić treści rozstrzygnięcia ani opinii.
• Usunięcie (art. 17) — potocznie „prawo do bycia zapomnianym”, obwarowane wyjątkami opisanymi niżej.
• Ograniczenie przetwarzania (art. 18) — rozwiązanie na czas sporu: dane zostają, ale wolno je tylko przechowywać. Bywa właściwą odpowiedzią wtedy, gdy usunąć nie można, a osoba kwestionuje prawidłowość danych.
• Informacja o odbiorcach (art. 19) — komu administrator przekazał sprostowanie, usunięcie lub ograniczenie. Powiadomienie odbiorców jest przy tym obowiązkiem administratora z urzędu, nie na żądanie.
• Przenoszenie danych (art. 20) — najwęższe z praw i najczęściej mylone z dostępem. Działa tylko wtedy, gdy podstawą jest zgoda albo umowa oraz przetwarzanie odbywa się w sposób zautomatyzowany. Przetwarzania w ramach zadania publicznego albo władzy publicznej nie obejmuje w ogóle.
• Sprzeciw (art. 21) — wobec przetwarzania opartego na zadaniu publicznym lub prawnie uzasadnionym interesie. Administrator może przetwarzać dalej tylko wtedy, gdy wykaże ważne prawnie uzasadnione podstawy nadrzędne wobec praw osoby albo podstawy do ustalenia lub obrony roszczeń.
• Sprzeciw wobec marketingu bezpośredniego (art. 21 ust. 2–3) — jedyny sprzeciw bezwzględny. Nie ma tu żadnego ważenia interesów: od tej chwili danych nie wolno przetwarzać w tym celu.
• Decyzje zautomatyzowane (art. 22) — prawo do tego, by nie podlegać rozstrzygnięciu opartemu wyłącznie na automatycznym przetwarzaniu, jeżeli wywołuje skutki prawne lub podobnie istotne.

Osobno traktuje się wycofanie zgody (art. 7 ust. 3). Formalnie nie jest to żądanie z rozdziału III, ale przychodzi tą samą drogą, wymaga reakcji i tak samo trzeba je udokumentować — więc w praktyce trafia do tego samego rejestru.

Wniosek o usunięcie danych — kiedy spełnić go nie wolno

To najczęstsze żądanie i najczęstsze nieporozumienie. „Prawo do bycia zapomnianym” nie jest prawem do usunięcia wszystkiego na życzenie: art. 17 ust. 1 wymienia sześć sytuacji, w których usunięcie się należy (m.in. gdy dane nie są już niezbędne do celu, gdy zgoda została wycofana i nie ma innej podstawy, gdy przetwarzanie było niezgodne z prawem), a art. 17 ust. 3 wymienia przypadki, w których usunąć nie wolno.

Dla jednostek publicznych rozstrzygający jest wyjątek z lit. b: przetwarzanie niezbędne do wywiązania się z obowiązku prawnego albo do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej. Mieszkaniec żądający usunięcia danych z akt sprawy, z ewidencji prowadzonej na podstawie ustawy albo z dokumentacji podlegającej archiwizacji dostaje więc odmowę — i nie jest to uznaniowość urzędu, tylko brak kompetencji do usunięcia.

W firmach najczęściej działa lit. e: ustalenie, dochodzenie lub obrona roszczeń. Powołanie się na nią wymaga jednak wskazania konkretnego roszczenia i okresu, a nie ogólnego „możemy mieć spór”. Deklaracja bez terminu zamienia wyjątek w przechowywanie bezterminowe, czego art. 5 ust. 1 lit. e zabrania.

Praktyczna konsekwencja: odpowiedź na wniosek o usunięcie prawie nigdy nie jest zerojedynkowa. Zwykle część danych trzeba usunąć (np. te przetwarzane na podstawie zgody albo na potrzeby kontaktu), a część zostaje wraz ze wskazaniem podstawy i okresu. Pismo, które tego nie rozdziela, jest albo nieprawdziwe, albo niezrozumiałe.

Odmowa, opłata i pouczenie

Art. 12 ust. 4 opisuje sytuację, w której administrator nie podejmuje działań: informuje o tym niezwłocznie, najpóźniej w terminie miesiąca, podając przyczyny oraz pouczając o możliwości wniesienia skargi do organu nadzorczego i skorzystania ze środków ochrony prawnej przed sądem. Brak tego pouczenia jest samodzielnym uchybieniem — i akurat tym, które w skardze do UODO widać od razu.

Odmowa musi być uzasadniona konkretnie. „Brak podstaw do uwzględnienia wniosku” nie jest uzasadnieniem. Uzasadnieniem jest wskazanie przepisu, z którego wynika niemożność usunięcia, przetwarzanej kategorii danych i okresu, po którym dane zostaną usunięte mimo wszystko.

Co do opłat zasada jest jedna: komunikacja i działania są wolne od opłat (art. 12 ust. 5). Wyjątki są trzy i wszystkie są wąskie — kolejna kopia danych poza pierwszą (art. 15 ust. 3), żądanie ewidentnie nieuzasadnione oraz żądanie nadmierne, w szczególności ze względu na ustawiczny charakter. W dwóch ostatnich przypadkach ciężar wykazania takiego charakteru spoczywa na administratorze, więc opłata pobrana „dla zasady” kończy się jej zwrotem i skargą.

Forma odpowiedzi i bezpieczeństwo wysyłki

Art. 12 ust. 1 wymaga formy zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej, napisanej jasnym i prostym językiem. To nie jest postulat stylistyczny: odpowiedź zbudowana z cytatów z rozporządzenia nie realizuje obowiązku, bo osoba nie dowiaduje się z niej, co administrator zrobił.

Odpowiedzi udziela się zasadniczo tym samym kanałem, którym przyszło żądanie — jeżeli osoba pisała elektronicznie, odpowiedź także może być elektroniczna, chyba że zażądała innej formy. Problem zaczyna się przy załączniku: kopia danych wysłana zwykłym e-mailem bywa naruszeniem, zanim jeszcze dotrze. Jeżeli przesyłka zawiera komplet danych osoby, dokumentację zdrowotną albo dane szczególnych kategorii, stosuje się zaszyfrowany załącznik z hasłem przekazanym osobnym kanałem, ePUAP albo odbiór osobisty.

Data wysyłki jest tą, którą się liczy i którą trzeba umieć wykazać. W praktyce oznacza to odnotowanie znaku pisma, formy i dnia wysłania — bo przy skardze pytanie brzmi „kiedy wysłano”, a nie „kiedy przygotowano”.

Po co rejestr żądań

RODO nie nakazuje wprost prowadzenia rejestru żądań — w odróżnieniu od rejestru czynności z art. 30 i dokumentacji naruszeń z art. 33 ust. 5. Obowiązek wynika jednak z zasady rozliczalności z art. 5 ust. 2: administrator musi być w stanie wykazać, że prawa osób realizuje, a wykazać można tylko to, co zostało zapisane.

Wykazać trzeba przy tym rzeczy, których nikt nie odtworzy z pamięci po roku: kiedy żądanie wpłynęło, jak potwierdzono tożsamość, co dokładnie było przedmiotem żądania, co zrobiono z każdą jego częścią, czy termin przedłużono i kiedy o tym zawiadomiono, kiedy i jak wysłano odpowiedź, a przy odmowie — na jakiej podstawie i czy pouczono o skardze.

Jest jeszcze powód mniej formalny, za to widoczny szybciej. Rejestr jest jedynym miejscem, w którym widać wzór: że wnioski o usunięcie przychodzą zawsze z jednego programu, że sprzeciwy dotyczą jednej czynności przetwarzania, że trzy podobne pisma w miesiącu oznaczają błąd w klauzuli informacyjnej, a nie trzy niezależne sprawy. Pojedyncze pismo w segregatorze tego nie pokaże.

Najczęstsze pytania

W praktyce

Jak wygląda rejestr żądań w SZODO

Wpis zakłada się w dniu wpływu, a termin aplikacja liczy sama — jako miesiąc od daty otrzymania, nie jako trzydzieści dni. Ile dni zostało, widać na liście i na Pulpicie; sprawy po terminie są wyróżnione osobno, bo to jedyna informacja, której nie da się nadrobić później. Przedłużenie o dwa miesiące odnotowuje się razem z przyczyną i datą zawiadomienia osoby — jeżeli zawiadomienie wyszło po upływie pierwszego miesiąca, wpis to pokazuje, zamiast po cichu przesunąć termin.

Jedno pismo może zawierać kilka żądań, więc każde ma własny wynik: w trakcie, zrealizowano albo odmówiono. Dzięki temu sprawa może zakończyć się stanem „zrealizowano częściowo”, który przy wnioskach o usunięcie jest regułą, a nie wyjątkiem. Do wyboru jest piętnaście rodzajów żądań — łącznie z wycofaniem zgody i sprzeciwem wobec marketingu, które przychodzą tą samą drogą.

Osobno odnotowuje się to, o co pyta się przy skardze: sposób potwierdzenia tożsamości (dziesięć wariantów, od okazania dokumentu przez profil zaufany po adres e-mail znany administratorowi), kanał wpływu, formę odpowiedzi wraz z wysyłką zaszyfrowaną i ePUAP, udział inspektora ochrony danych, a przy odmowie — podstawę z katalogu dziesięciu, uzasadnienie i zaznaczenie, czy pouczono o skardze do Prezesa UODO. Opłatę można odnotować tylko na jednej z trzech podstaw, które dopuszcza RODO.

Z wpisu powstają cztery dokumenty: potwierdzenie wpływu, zawiadomienie o przedłużeniu terminu, odpowiedź na żądanie i klauzula informacyjna — każdy można zapisać przy sprawie jako załącznik, więc akta zostają w jednym miejscu. Żądanie da się powiązać z konkretną czynnością z rejestru czynności przetwarzania i z komórką organizacyjną, a wycofanie zgody — z wpisem w rejestrze zgód.

Asystent AI pomaga napisać pismo, nie rozstrzyga sprawy

Asystent AI, jeżeli organizacja go podłączy, przygotuje projekt odpowiedzi do osoby — a więc tę część pracy, która zajmuje najwięcej czasu i musi być napisana prostym językiem. Nie rozstrzyga natomiast, czy żądanie uwzględnić, nie kwalifikuje podstawy odmowy i nie ocenia, czy zachodzi wyjątek z art. 17 ust. 3. Nic nie zapisuje się samo, a pól wypełnionych przez człowieka Asystent nie zmienia.