RODO 17: jak przygotować wniosek albo oświadczenie?

Rozporządzenie o Ochronie Danych Osobowych (RODO) zrewolucjonizowało podejście do prywatności w świecie cyfrowym. Jednym z najbardziej medialnych i jednocześnie kluczowych uprawnień przyznanych obywatelom jest prawo do usunięcia danych, powszechnie znane jako "prawo do bycia zapomnianym". Zostało ono uregulowane w artykule 17 RODO. Choć brzmi ono kategorycznie, w praktyce realizacja tego prawa bywa skomplikowana i napotyka na liczne bariery prawne oraz interpretacyjne. Aby skutecznie wyegzekwować usunięcie swoich danych przez bank, sklep internetowy, byłego pracodawcę czy portal społecznościowy, należy precyzyjnie sformułować swoje żądanie. W tym artykule szczegółowo analizujemy strukturę prawną artykułu 17 RODO, wskazujemy, jak krok po kroku przygotować profesjonalny wniosek lub oświadczenie, oraz wyjaśniamy, jakie obowiązki ciążą na administratorze danych i jak reagować na jego bezczynność bądź odmowę.

Czym jest prawo do bycia zapomnianym?

Prawo do bycia zapomnianym nie jest prawem o charakterze absolutnym ani nieograniczonym. Oznacza to, że nie w każdej sytuacji i nie wobec każdego podmiotu możemy skutecznie zażądać natychmiastowego wykasowania wszelkich informacji na nasz temat. Artykuł 17 RODO konstruuje to uprawnienie jako prawo do żądania od administratora niezwłocznego usunięcia dotyczących nas danych osobowych, o ile zachodzi jedna z określonych w tym przepisie okoliczności. Jednocześnie administrator ma obowiązek bez zbędnej zwłoki, a najpóźniej w terminie miesiąca, dane te usunąć, chyba że zachodzą ustawowe wyłączenia. Istotą tego prawa jest zapewnienie jednostce kontroli nad jej własnym wizerunkiem i informacjami, które jej dotyczą, zwłaszcza w sytuacji, gdy ustał pierwotny cel ich przetwarzania lub gdy dane są przetwarzane bez ważnej podstawy prawnej. Warto pamiętać, że prawo to zyskało na znaczeniu po słynnym wyroku Trybunału Sprawiedliwości Unii Europejskiej w sprawie Google Spain, który zapoczątkował debatę nad koniecznością usuwania nieaktualnych linków z wyników wyszukiwania.

Przesłanki uzasadniające żądanie usunięcia danych

Aby wniosek oparty na art. 17 RODO był skuteczny, musi zaistnieć co najmniej jedna z sześciu przesłanek wymienionych w ustępie 1 tego artykułu. Przygotowując pismo, warto wprost powołać się na konkretną z nich, co ułatwi administratorowi procedowanie sprawy i skróci czas oczekiwania na odpowiedź:

Brak niezbędności danych (art. 17 ust. 1 lit. a RODO): Dane osobowe nie są już niezbędne do celów, w których zostały zebrane lub w inny sposób przetwarzane. Przykładem może być sytuacja, w której zakończyła się umowa najmu lokalu, wszelkie rozliczenia finansowe zostały sfinalizowane, a okres przedawnienia ewentualnych roszczeń cywilnoprawnych minął, jednak wynajmujący nadal przechowuje nasz numer telefonu, adres e-mail oraz skan dowodu osobistego.
Cofnięcie zgody (art. 17 ust. 1 lit. b RODO): Osoba, której dane dotyczą, cofnęła zgodę, na której opierało się przetwarzanie (zgodnie z art. 6 ust. 1 lit. a lub art. 9 ust. 2 lit. a RODO), i nie ma innej podstawy prawnej przetwarzania. Jest to najczęściej spotykana sytuacja w przypadku działań marketingowych, subskrypcji newsletterów, programów lojalnościowych czy udziału w jednorazowych konkursach promocyjnych.
Sprzeciw wobec przetwarzania (art. 17 ust. 1 lit. c RODO): Osoba, której dane dotyczą, wnosi sprzeciw na mocy art. 21 ust. 1 wobec przetwarzania i nie występują nadrzędne prawnie uzasadnione podstawy przetwarzania, lub wnosi sprzeciw na mocy art. 21 ust. 2 wobec przetwarzania na potrzeby marketingu bezpośredniego. W przypadku marketingu bezpośredniego sprzeciw ma charakter bezwzględny – administrator musi natychmiast zaprzestać przetwarzania danych w tym celu i nie może powoływać się na swój ważny interes.
Niezgodność z prawem (art. 17 ust. 1 lit. d RODO): Dane osobowe były przetwarzane niezgodnie z prawem. Dotyczy to sytuacji, gdy administrator przetrawiał dane bez jakiejkolwiek podstawy prawnej, nie dopełnił wobec nas obowiązków informacyjnych z art. 13 lub 14 RODO, lub przetwarzał dane w sposób rażąco naruszający zasady adekwatności i minimalizacji danych.
Obowiązek prawny usunięcia (art. 17 ust. 1 lit. e RODO): Dane osobowe muszą zostać usunięte w celu wywiązania się z obowiązku prawnego przewidzianego w prawie Unii lub prawie państwa członkowskiego, któremu podlega administrator. Może to wynikać np. z przepisów sektorowych nakazujących usunięcie określonych rejestrów po upływie wskazanego czasu.
Dane dziecka zebrane w usługach społeczeństwa informacyjnego (art. 17 ust. 1 lit. f RODO): Dane osobowe zostały zebrane w związku z oferowaniem usług społeczeństwa informacyjnego bezpośrednio dzieciom. Dotyczy to m.in. aplikacji mobilnych, gier online, portali społecznościowych, gdzie zgoda rodzica jest wymagana do określonego wieku, a dane zostały zebrane bez takiej weryfikacji lub zgoda ta została wycofana.

Kiedy administrator może odmówić realizacji wniosku?

Projektując oświadczenie o usunięciu danych, musimy mieć świadomość, że administrator ma pełne prawo odmówić naszej prośbie, powołując się na art. 17 ust. 3 RODO. Wyłączenia te chronią inne istotne wartości społeczne, prawne i gospodarcze. Administrator nie ma obowiązku usunięcia danych, jeżeli ich dalsze przetwarzanie jest niezbędne do:

Korzystania z prawa do wolności wypowiedzi i informacji (np. w działalności dziennikarskiej, publicystycznej czy naukowej).
Wywiązania się z prawnego obowiązku wymagającego przetwarzania na mocy prawa Unii lub prawa krajowego, któremu podlega administrator (np. przepisy podatkowe nakazujące przechowywanie faktur i dokumentacji księgowej przez 5 lat od końca roku podatkowego, przepisy o rachunkowości, prawo pracy nakazujące wieloletnie przechowywanie akt osobowych pracownika).
Z przyczyn związanych z interesem publicznym w dziedzinie zdrowia publicznego (np. prowadzenie dokumentacji medycznej przez placówki ochrony zdrowia).
Do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych bądź do celów statystycznych, o ile uprawnienie to uniemożliwi lub rażąco utrudni realizację celów takiego przetwarzania.
Do ustalenia, dochodzenia lub obrony roszczeń. Jest to najczęściej stosowana przez przedsiębiorców przesłanka odmowna. Jeśli istnieje spór prawny, niezapłacona faktura lub potencjalne roszczenie reklamacyjne (np. okres rękojmi za zakupiony towar jeszcze nie minął), przedsiębiorca ma pełne prawo zachować dane niezbędne do obrony swoich praw przed sądem powszechnym.

Różnica między sprzeciwem a żądaniem usunięcia danych

Wielu użytkowników myli prawo do sprzeciwu (art. 21 RODO) z prawem do usunięcia danych (art. 17 RODO). Choć są to pojęcia powiązane, wywołują inne skutki prawne. Sprzeciw dotyczy sytuacji, gdy dane są przetwarzane na podstawie prawnie uzasadnionego interesu administratora (art. 6 ust. 1 lit. f RODO) lub w celu wykonania zadania realizowanego w interesie publicznym. Wniesienie sprzeciwu obliguje administratora do zaprzestania przetwarzania danych w tym konkretnym celu, chyba że wykaże on istnienie ważnych, prawnie uzasadnionych podstaw do przetwarzania, nadrzędnych wobec interesów osoby. Z kolei żądanie usunięcia danych idzie o krok dalej – zmierza do całkowitego i bezpowrotnego wykasowania danych z systemów administratora. Bardzo często skuteczne wniesienie sprzeciwu (np. wobec marketingu) staje się bezpośrednią przesłanką do złożenia wniosku o usunięcie danych na podstawie art. 17 ust. 1 lit. c RODO.

Jak przygotować wniosek o usunięcie danych? Krok po kroku

Wniosek o usunięcie danych (oświadczenie o skorzystaniu z prawa do bycia zapomnianym) nie posiada jednego, urzędowo narzuconego wzoru formularza. Może być sporządzony samodzielnie, pod warunkiem że zawiera wszystkie niezbędne elementy pozwalające administratorowi na jednoznaczną identyfikację wnioskodawcy oraz precyzyjne określenie przedmiotu żądania. Poniżej przedstawiamy kluczowe elementy, które powinny znaleźć się w takim dokumencie:

1. Dane identyfikacyjne wnioskodawcy

Musisz podać swoje imię, nazwisko oraz dane kontaktowe (adres zamieszkania, adres e-mail, numer telefonu). Bardzo ważne jest, aby podać te same dane, którymi posługiwałeś się w relacji z administratorem (np. adres e-mail powiązany z kontem w sklepie internetowym, numer klienta, PESEL czy numer umowy). Jeśli administrator nie będzie w stanie potwierdzić Twojej tożsamości na podstawie przesłanego wniosku, ma prawo zażądać dodatkowych informacji uwierzytelniających, co wydłuży całą procedurę i może odsunąć termin realizacji żądania.

2. Dane administratora danych osobowych

Wskaż dokładnie, do kogo kierujesz wniosek. Moopy to być pełna nazwa firmy, jej adres siedziby, numer NIP lub KRS. Jeśli firma powołała Inspektora Ochrony Danych (IOD), warto skierować pismo bezpośrednio do niego – przyspieszy to obieg dokumentów i zminimalizuje ryzyko, że wniosek trafi do nieodpowiedniego działu.

3. Tytuł pisma

Użyj jasnego i czytelnego tytułu, na przykład: "Wniosek o usunięcie danych osobowych na podstawie art. 17 RODO" lub "Oświadczenie o wycofaniu zgody na przetwarzanie danych i żądanie ich usunięcia".

4. Treść żądania i uzasadnienie prawne

W treści pisma sformułuj jednoznaczne żądanie. Napisz na przykład: "Na podstawie art. 17 ust. 1 RODO niniejszym żądam niezwłocznego usunięcia wszystkich moich danych osobowych przetwarzanych przez Państwa firmę". Następnie wskaż przesłankę – np. "Dane te nie są już niezbędne do celów, dla których zostały zebrane, ponieważ umowa o świadczenie usług została rozwiązana w dniu..." lub "Niniejszym cofam moją zgodę na przetwarzanie danych w celach marketingowych". Jeśli żądanie dotyczy tylko określonych danych, dokładnie je wskaż (np. usunięcie numeru telefonu z bazy marketingowej przy zachowaniu adresu e-mail do kontaktu transakcyjnego).

5. Podpis i forma wniesienia

Wniosek można złożyć w formie papierowej (własnoręcznie podpisany) lub elektronicznej. W przypadku drogi elektronicznej najlepiej wysłać go z adresu e-mail, który jest zarejestrowany w systemie administratora, bądź skorzystać z podpisu zaufanego (ePUAP) lub podpisu kwalifikowanego. W przypadku wysyłki tradycyjnej zaleca się skorzystanie z listu poleconego za potwierdzeniem odbioru, co stanowi kluczowy dowód w ewentualnym postępowaniu przed organem nadzorczym.

Format oświadczenia – pisemnie czy elektronicznie?

RODO nie narzuca formy, w jakiej należy złożyć wniosek. Oznacza to, że administrator ma obowiązek przyjąć zgłoszenie wysłane drogą mailową, złożone osobiście w siedzibie, przesłane listownie, a nawet zgłoszone telefonicznie (choć forma ustna jest najtrudniejsza do udowodnienia). Wiele nowoczesnych firm udostępnia specjalne formularze kontaktowe lub dedykowane panele w zakładkach dotyczących prywatności. Skorzystanie z nich jest zazwyczaj najszybszą ścieżką, ponieważ system automatycznie przypisuje wniosek do odpowiedniego konta użytkownika i weryfikuje jego tożsamość. Jeśli jednak decydujesz się na tradycyjną wysyłkę listowną, zadbaj o zachowanie kopii pisma oraz dowodu nadania.

Obowiązki administratora po otrzymaniu wniosku

Po otrzymaniu wniosku na podstawie art. 17 RODO, administrator nie może pozostać bierny. Ciążą na nim konkretne obowiązki proceduralne. Przede wszystkim ma on termin jednego miesiąca na udzielenie odpowiedzi o działaniach podjętych w związku z żądaniem. W sprawach szczególnie skomplikowanych termin ten może zostać przedłużony o kolejne dwa miesiące, jednak administrator musi poinformować o tym wnioskodawcę w ciągu pierwszego miesiąca, podając konkretne przyczyny opóźnienia. Co ważne, realizacja tego prawa jest co do zasady całkowicie bezpłatna. Administrator nie może żądać opłat za usunięcie danych, chyba że wykaże, iż żądania są ewidentnie nieuzasadnione lub nadmierne (np. mają charakter uporczywy i powtarzalny).

Kolejnym, niezwykle istotnym obowiązkiem administratora jest tzw. łańcuch zapomnienia uregulowany w art. 17 ust. 2 RODO. Jeśli administrator upublicznił dane osobowe (np. opublikował je na stronie internetowej, w wyszukiwarce czy w mediach społecznościowych), a ma obowiązek je usunąć, musi podjąć rozsądne działania (w tym środki techniczne), by poinformować innych administratorów przetwarzających te dane, że osoba, której dane dotyczą, żąda usunięcia wszelkich łączy do tych danych, ich kopii lub replik. To kluczowy mechanizm chroniący prywatność w dobie powszechnego powielania informacji w sieci.

Co zrobić w przypadku odmowy lub braku odpowiedzi? Rola organu nadzorczego

Jeśli administrator zignoruje Twój wniosek, nie odpowie w ustawowym terminie miesiąca lub bezprawnie odmówi usunięcia danych, przysługuje Ci prawo do obrony swoich praw. Pierwszym krokiem powinno być wezwanie administratora do wyjaśnienia sytuacji i wskazania podstawy prawnej odmowy. Jeśli to nie przyniesie pożądanego skutku, kolejnym etapem jest złożenie oficjalnej skargi do organu nadzorczego. W Polsce organem tym jest Prezes Urzędu Ochrony Danych Osobowych (PUODO). W skardze należy szczegółowo opisać stan faktyczny, załączyć kopię wysłanego wniosku wraz z dowodem jego doręczenia administratorowi oraz ewentualną korespondencję odmowną. Postępowanie przed PUODO może zakończyć się wydaniem decyzji administracyjnej nakazującej administratorowi usunięcie danych osobowych pod rygorem dotkliwych administracyjnych kar finansowych.

Najczęstsze błędy przy sporządzaniu wniosku z art. 17 RODO

Podczas przygotowywania oświadczeń o usunięcie danych obywatele popełniają kilka powtarzających się błędów, które dają administratorom legalną podstawę do opóźnienia procedury lub odmowy. Do najczęstszych należą:

Brak precyzji w identyfikacji: Wysyłanie ogólnych żądań typu "usuńcie moje dane" z anonimowego adresu e-mail, bez podania danych umożliwiających identyfikację (np. loginu, numeru klienta, adresu e-mail powiązanego z usługą).
Żądanie usunięcia danych objętych obowiązkiem ustawowym: Próba usunięcia danych z historii kredytowej w Biurze Informacji Kredytowej (BIK) przed upływem terminów ustawowych, żądanie usunięcia danych z ksiąg rachunkowych tuż po zakupie towaru, czy żądanie usunięcia danych pracowniczych przed upływem okresu przechowywania akt osobowych.
Niewłaściwa forma komunikacji: Wysyłanie wniosków na przypadkowe adresy e-mail firmy (np. ogólny kontakt, pomoc techniczna, marketing) zamiast do wyznaczonego Inspektora Ochrony Danych (IOD) lub na dedykowany adres wskazany w polityce prywatności.

Praktyczny przykład zastosowania art. 17 RODO

Wyobraźmy sobie sytuację, w której Jan Kowalski założył konto w sklepie internetowym z odzieżą w 2021 roku. Dokonał jednego zakupu, po czym przestał korzystać z serwisu. W 2023 roku postanowił usunąć konto. Skorzystał z opcji "usuń konto" w panelu użytkownika, jednak w 2024 roku nadal otrzymuje na swój adres e-mail newsletter reklamowy oraz spersonalizowane oferty marketingowe. W tym przypadku Jan Kowalski powinien skierować do właściciela sklepu oficjalny wniosek na podstawie art. 17 RODO. W treści pisma powinien wskazać, że cofa wszelkie zgody marketingowe oraz że dane nie są już niezbędne do celów, w których zostały zebrane (sklep zrealizował zamówienie, konto zostało zamknięte, a okres ewentualnych roszczeń z tytułu rękojmi za zakupioną w 2021 roku odzież już wygasł). Sklep ma obowiązek niezwłocznie usunąć adres e-mail Jana ze wszystkich baz marketingowych oraz potwierdzić ten fakt w terminie miesiąca. Jeśli sklep odmówi, tłumacząc to koniecznością archiwizacji, Jan może złożyć skargę do PUODO, ponieważ cel archiwizacji celów podatkowych nie uzasadnia dalszego wysyłania newslettera marketingowego.

Podsumowanie

Prawo do bycia zapomnianym z art. 17 RODO to potężny instrument w rękach konsumentów i obywateli, pozwalający na skuteczną walkę z nadmiernym gromadzeniem danych osobowych. Przygotowanie wniosku nie jest trudne, ale wymaga rzetelności i zrozumienia, że usunięcie danych nie zawsze jest możliwe od ręki. Kluczem do sukcesu jest prawidłowa identyfikacja administratora, jasne określenie zakresu żądanych do usunięcia danych oraz powołanie się na właściwą przesłankę prawną. Pamiętaj, że w przypadku oporu ze strony firm, zawsze masz za sobą wsparcie w postaci Urzędu Ochrony Danych Osobowych, który stoi na straży przestrzegania przepisów RODO i może przymusić niesfornego administratora do respektowania Twoich praw.