RODO do wydruku: jak przygotować wniosek albo oświadczenie?

W dobie powszechnej cyfryzacji, gdy większość spraw urzędowych i prywatnych załatwiamy za pośrednictwem internetu, tradycyjna forma papierowa wciąż zachowuje swoją niezwykle silną pozycję. Dotyczy to również realizacji uprawnień wynikających z ogólnego rozporządzenia o ochronie danych (RODO). Przygotowanie wniosku lub oświadczenia w formie RODO do wydruku to dla wielu osób najpewniejszy sposób na formalne skontaktowanie się z administratorem danych osobowych. Tradycyjne pismo, opatrzone własnoręcznym podpisem i wysłane listem poleconym, stanowi niepodważalny dowód w ewentualnym sporze przed Prezesem Urzędu Ochrony Danych Osobowych (PUODO) lub przed sądem. W tym kompleksowym poradniku wyjaśniamy, jak samodzielnie przygotować taki dokument, jakie elementy musi on zawierać, aby był w pełni skuteczny, oraz jakich błędów unikać podczas jego redagowania.

Dlaczego tradycyjna forma papierowa wniosku RODO wciąż ma znaczenie?

Wielu użytkowników zadaje sobie pytanie, dlaczego w erze e-maili i formularzy kontaktowych warto poświęcać czas na przygotowanie dokumentu do wydruku. Odpowiedź tkwi w przepisach prawa dowodowego oraz w praktyce funkcjonowania organów nadzorczych. Wysłanie wiadomości e-mail nie zawsze gwarantuje, że dotrze ona do właściwej osoby lub nie zostanie zakwalifikowana jako spam. Co więcej, w przypadku sporu to na osobie, której dane dotyczą, spoczywa ciężar udowodnienia, że wniosek został skutecznie doręczony administratorowi.

Wybierając formę papierową i wysyłając ją listem poleconym za zwrotnym potwierdzeniem odbioru (tzw. „żółta zwrotka”), uzyskujemy twardy dowód nadania i doręczenia pisma. Taki dokument ma kluczowe znaczenie, jeśli administrator zignoruje nasze żądanie, a my będziemy zmuszeni skierować sprawę do PUODO. Ponadto, własnoręczny podpis na wydrukowanym wniosku jednoznacznie potwierdza naszą tożsamość i wolę wywołania określonych skutków prawnych, co ogranicza możliwość odmowy realizacji żądania przez administratora z powodu wątpliwości co do tożsamości wnioskodawcy.

Podstawowe prawa wynikające z RODO – o co możemy wnioskować?

Zanim przystąpimy do pisania dokumentu, musimy precyzyjnie określić, z jakiego uprawnienia chcemy skorzystać. Ogólne rozporządzenie o ochronie danych osobowych przyznaje nam szereg praw, które możemy realizować za pomocą pisemnego wniosku. Do najważniejszych z nich należą:

Prawo dostępu do danych (art. 15 RODO): Pozwala na uzyskanie od administratora potwierdzenia, czy przetwarza on nasze dane osobowe, a jeśli tak – na uzyskanie dostępu do nich oraz szczegółowych informacji o celach przetwarzania, kategoriach danych, odbiorcach czy planowanym okresie ich przechowywania. Możemy również zażądać bezpłatnej kopii naszych danych.
Prawo do sprostowania danych (art. 16 RODO): Umożliwia żądanie niezwłocznego sprostowania nieprawidłowych danych osobowych lub uzupełnienia danych niekompletnych.
Prawo do usunięcia danych, czyli prawo do bycia zapomnianym (art. 17 RODO): Daje możliwość żądania usunięcia naszych danych osobowych w określonych przypadkach, np. gdy dane nie są już niezbędne do celów, w których zostały zebrane, lub gdy wycofaliśmy zgodę na ich przetwarzanie, a nie ma innej podstawy prawnej do ich dalszego przetwarzania.
Prawo do ograniczenia przetwarzania (art. 18 RODO): Pozwala na wstrzymanie operacji na naszych danych w określonych sytuacjach, np. gdy kwestionujemy prawidłowość danych lub gdy wnieśliśmy sprzeciw wobec ich przetwarzania – do czasu wyjaśnienia sprawy.
Prawo do przenoszenia danych (art. 20 RODO): Umożliwia otrzymanie danych osobowych w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego oraz przesłanie ich innemu administratorowi.
Prawo do sprzeciwu (art. 21 RODO): Pozwala na wniesienie sprzeciwu wobec przetwarzania danych opartego na prawnie uzasadnionym interesie administratora lub na potrzeby marketingu bezpośredniego.

Jak przygotować wniosek RODO do wydruku – niezbędne elementy formalne

Aby nasz wniosek wywołał zamierzone skutki prawne i nie został odrzucony przez administratora z powodów formalnych, musi spełniać określone standardy konstrukcyjne. Każde pismo kierowane do podmiotu przetwarzającego dane powinno składać się z następujących części:

1. Miejscowość i data

W prawym górnym rogu dokumentu należy umieścić datę oraz miejscowość sporządzenia pisma. Jest to kluczowe dla ustalenia biegu terminów, w jakich administrator ma obowiązek odpowiedzieć na nasze żądanie.

2. Dane wnioskodawcy (osoby, której dane dotyczą)

W lewym górnym rogu podajemy swoje pełne dane identyfikacyjne. Powinny to być: imię i nazwisko, adres zamieszkania oraz opcjonalnie numer telefonu lub adres e-mail, co ułatwi kontakt. Warto również podać dodatkowe dane ułatwiające identyfikację w systemie administratora, np. numer klienta, numer umowy, PESEL lub login użytkownika. Ułatwi to podmiotowi szybkie odnalezienie naszych danych i zapobiegnie konieczności wysyłania wezwań do uzupełnienia wniosku.

3. Dane adresata (administratora danych osobowych)

Poniżej danych wnioskodawcy, po prawej stronie, należy precyzyjnie wskazać adresata. Musi to być pełna nazwa firmy lub instytucji wraz z jej adresem siedziby. Jeśli podmiot wyznaczył Inspektora Ochrony Danych (IOD), warto skierować pismo bezpośrednio do niego, dopisując na kopercie i w nagłówku: Inspektor Ochrony Danych.

4. Tytuł pisma

Tytuł powinien być jasny i niebudzący wątpliwości. Przykładowo: „Wniosek o realizację praw na podstawie art. 17 RODO (żądanie usunięcia danych)” lub „Wniosek o dostęp do danych osobowych na podstawie art. 15 RODO”. Wyraźny tytuł pozwala na szybką klasyfikację pisma w kancelarii lub sekretariacie odbiorcy.

5. Treść żądania

W tej części precyzyjnie i zwięźle opisujemy, czego oczekujemy od administratora. Należy unikać sformułowań potocznych i niejasnych. Jeśli żądamy usunięcia danych, wskażmy dokładnie, o jakie dane chodzi (np. numer telefonu, adres e-mail) lub zaznaczmy, że żądamy usunięcia wszelkich posiadanych przez administratora danych osobowych, o ile nie zachodzą przesłanki prawne wyłączające to prawo.

6. Uzasadnienie wniosku

Choć w wielu przypadkach (np. przy marketingu bezpośrednim) nie mamy obowiązku uzasadniania swojego żądania, to w niektórych sytuacjach krótkie wyjaśnienie może przyspieszyć procedurę. Przykładowo, przy prawie do sprostowania warto wskazać, które dane są błędne i jak brzmią poprawne informacje.

7. Własnoręczny podpis

To absolutnie kluczowy element każdego dokumentu do wydruku. Brak podpisu może skutkować uznaniem pisma za niespełniające wymogów formalnych, a administrator może odmówić jego realizacji do czasu uzupełnienia braku. Podpis powinien być czytelny i własnoręczny.

Oświadczenie o wycofaniu zgody na przetwarzanie danych – jak je sformułować?

Odrębną kategorią dokumentów jest oświadczenie o wycofaniu uprzednio udzielonej zgody na przetwarzanie danych osobowych. Zgodnie z art. 7 ust. 3 RODO, osoba, której dane dotyczą, ma prawo w dowolnym momencie wycofać zgodę. Co istotne, wycofanie zgody musi być tak samo łatwe jak jej wyrażenie. Jeśli jednak decydujemy się na formę papierową do wydruku, oświadczenie to powinno zawierać jasną deklarację.

Przykładowa formuła takiego oświadczenia może brzmieć: „Niniejszym wycofuję wszelkie uprzednio udzielone zgody na przetwarzanie moich danych osobowych w celach marketingowych, w tym na przesyłanie informacji handlowych drogą elektroniczną oraz kontakt telefoniczny. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem”.

Warto pamiętać, że wycofanie zgody obliguje administratora do natychmiastowego zaprzestania przetwarzania danych w tym konkretnym celu. Jeśli dane były przetwarzane wyłącznie na podstawie tej zgody, administrator ma również obowiązek ich trwałego usunięcia.

Obowiązki administratora i ustawowe terminy

Po otrzymaniu naszego podpisanego i wydrukowanego wniosku, administrator danych osobowych zostaje objęty ścisłymi rygorami prawnymi dotyczącymi czasu i sposobu reakcji. Zgodnie z art. 12 ust. 3 RODO, administrator ma obowiązek udzielić informacji o działaniach podjętych w związku z wnioskiem bez zbędnej zwłoki, a w każdym razie w terminie miesiąca od otrzymania żądania.

W wyjątkowych sytuacjach, ze względu na skomplikowany charakter żądania lub liczbę wniosków, termin ten może zostać przedłużony o kolejne dwa miesiące. Jednak w takim przypadku administrator musi w terminie miesiąca od otrzymania wniosku poinformować nas o takim przedłużeniu, podając jednocześnie konkretne przyczyny opóźnienia. Brak jakiejkolwiek odpowiedzi w ciągu miesiąca jest uznawany za bezczynność administratora i stanowi bezpośrednią podstawę do wniesienia skargi do organu nadzorczego.

Co do zasady, wszelka komunikacja i działania podejmowane na mocy RODO są wolne od opłat. Administrator nie może żądać od nas zapłaty za realizację przysługujących nam praw. Wyjątek stanowią sytuacje, w których żądania są ewidentnie nieuzasadnione lub nadmierne (np. mają charakter ustawiczny, polegający na wysyłaniu tego samego wniosku co kilka dni). Wówczas administrator może pobrać rozsądną opłatę uwzględniającą koszty administracyjne lub odmówić podjęcia działań.

Najczęstsze błędy przy sporządzaniu wniosków RODO

Przygotowując dokument do wydruku samodzielnie, łatwo popełnić błędy, które mogą opóźnić realizację naszych praw lub wręcz uniemożliwić ich wyegzekwowanie. Oto najczęstsze z nich:

Brak precyzyjnej identyfikacji: Jeśli napiszemy jedynie „Chcę usunąć moje dane”, a podpiszemy się jako Jan Kowalski bez podania adresu, numeru telefonu czy innych danych identyfikacyjnych, administrator nie będzie w stanie zweryfikować, o którego Jana Kowalskiego chodzi. Ze względów bezpieczeństwa odmówi on realizacji wniosku do czasu jednoznacznego potwierdzenia tożsamości.
Brak własnoręcznego podpisu: Wydrukowanie pisma i wysłanie go bez podpisu czyni dokument nieważnym z punktu widzenia formalnego. Administrator ma prawo zignorować takie pismo lub wezwać do jego podpisania, co wydłuża cały proces.
Żądanie usunięcia danych przetwarzanych na podstawie przepisów prawa: Często wnioskujemy o usunięcie danych z banku, urzędu skarbowego czy od ubezpieczyciela, powołując się na prawo do bycia zapomnianym. Należy jednak pamiętać, że prawo to nie ma zastosowania, gdy przetwarzanie jest niezbędne do wywiązania się z prawnego obowiązku wymagającego przetwarzania na mocy prawa Unii lub prawa państwa członkowskiego (np. przepisy o rachunkowości, ordynacja podatkowa, przepisy prawa pracy).
Wysyłanie wniosku do podmiotu przetwarzającego zamiast administratora: Pismo należy kierować do podmiotu, który decyduje o celach i sposobach przetwarzania danych (administratora), a nie do firmy, która jedynie technicznie przetwarza dane na jego zlecenie (procesora, np. zewnętrznej firmy hostingowej czy kurierskiej).

Praktyczny przykład (case study) – usunięcie danych z bazy marketingowej

Aby lepiej zobrazować cały proces, posłużmy się praktycznym przykładem. Pan Tomasz przez wiele miesięcy otrzymywał uciążliwe wiadomości SMS oraz telefony z ofertami handlowymi od firmy zajmującej się sprzedażą paneli fotowoltaicznych (nazwijmy ją Eko-Energia Sp. z o.o.). Postanowił on ukrócić ten proceder za pomocą formalnego pisma.

Pan Tomasz pobrał ogólne wytyczne dotyczące przygotowania wniosku, otworzył edytor tekstu i sporządził pismo zatytułowane „Oświadczenie o wycofaniu zgody na przetwarzanie danych osobowych oraz wniosek o usunięcie danych”. W treści podał swoje imię, nazwisko, adres zamieszkania oraz numer telefonu, na który otrzymywał połączenia. Jako adresata wskazał pełne dane rejestrowe spółki Eko-Energia Sp. z o.o. w Warszawie.

W treści dokumentu napisał: „Na podstawie art. 7 ust. 3 RODO niniejszym wycofuję wszelkie zgody na przetwarzanie moich danych osobowych w celach marketingowych. Jednocześnie, na podstawie art. 17 RODO, żądam niezwłocznego usunięcia mojego numeru telefonu oraz wszelkich powiązanych danych osobowych z Państwa baz danych marketingowych”. Pan Tomasz wydrukował dokument, podpisał go czytelnie imieniem i nazwiskiem, a następnie udał się na pocztę i wysłał pismo listem poleconym za potwierdzeniem odbioru.

Spółka Eko-Energia otrzymała pismo po trzech dniach. Ponieważ żądanie było precyzyjne, a tożsamość nadawcy nie budziła wątpliwości (numer telefonu zgadzał się z bazą klientów), dział prawny spółki niezwłocznie usunął dane Pana Tomasza z systemów marketingowych. W ciągu dwóch tygodni Pan Tomasz otrzymał pisemne potwierdzenie realizacji jego wniosku, a uciążliwe telefony i wiadomości ustały raz na zawsze.

Co zrobić w przypadku odmowy lub braku reakcji? Rola PUODO

Jeżeli administrator danych osobowych nie odpowie na nasz wniosek w ustawowym terminie jednego miesiąca, bądź też wyda decyzję odmowną, z którą się nie zgadzamy, nie jesteśmy bezbronni. Kolejnym krokiem prawnym jest złożenie oficjalnej skargi do Prezesa Urzędu Ochrony Danych Osobowych (PUODO).

W skardze należy dokładnie opisać zaistniałą sytuację, wskazać dane administratora oraz opisać, jakich naruszeń się dopuścił. Kluczowe znaczenie ma tutaj załączenie dowodów. W tym miejscu ujawnia się największa zaleta przygotowania wniosku RODO do wydruku: do skargi dołączamy kopię wysłanego przez nas pisma wraz z kserokopią dowodu nadania listu poleconego oraz ewentualnym żółtym potwierdzeniem odbioru. Dla PUODO jest to jednoznaczny dowód na to, że podjęliśmy próbę polubownego załatwienia sprawy, a administrator zignorował swoje ustawowe obowiązki. Organ nadzorczy po przeprowadzeniu postępowania może nakazać administratorowi spełnienie naszego żądania, a w skrajnych przypadkach nałożyć na niego dotkliwą karę finansową.

Podsumowanie

Przygotowanie wniosku lub oświadczenia RODO do wydruku to sprawdzona, bezpieczna i wysoce skuteczna metoda na odzyskanie kontroli nad własnymi danymi osobowymi. Choć wymaga ona nieco więcej wysiłku niż wysłanie szybkiej wiadomości e-mail, to korzyści w postaci niepodważalnego dowodu nadania oraz formalnego charakteru pisma są nie do przecenienia. Pamiętając o podstawowych elementach struktury dokumentu, takich jak dokładne dane identyfikacyjne, jasne żądanie oraz własnoręczny podpis, możemy sprawnie i bezpłatnie wyegzekwować swoje prawa przed każdym administratorem danych.