Żądanie kopii danych od administratora – jak wdrożyć procedurę krok po kroku

Założenia procedury

Żądanie kopii danych od administratora to uprawnienie wynikające z art. 15 RODO, charakteryzujące się prawem dostępu, obowiązkiem udzielenia odpowiedzi bez zbędnej zwłoki oraz terminem zasadniczo 1 miesiąca, z możliwością przedłużenia o kolejne 2 miesiące w sprawach złożonych (źródło: art. 12 ust. 3 RODO, 2016). Dla administratora danych, IOD i działów operacyjnych procedura art. 15 RODO nie jest dokumentem do segregatora, lecz instrukcją działania w CRM, HR, IT, obsłudze klienta i archiwum.

Po co procedura art. 15 RODO?

Procedura obsługi kopii danych to wewnętrzny schemat przyjmowania, weryfikowania, wyszukiwania, redagowania i przekazywania kopii danych osobowych, charakteryzujący się terminowością, kompletnością, bezpieczeństwem i rozliczalnością. Jej celem jest to, aby żądanie nie zginęło dlatego, że trafiło do sprzedawcy, recepcji, skrzynki social media albo lokalnego oddziału zamiast do IOD.

• Właściciel procesu odpowiada za decyzję, kto prowadzi sprawę i kiedy następuje eskalacja do działu prawnego.
• IOD lub osoba ds. ochrony danych ocenia podstawy RODO, zakres odpowiedzi i ryzyko ujawnienia danych osób trzecich.
• IT wyszukuje dane w systemach, kopiach roboczych, logach i repozytoriach, jeżeli są objęte żądaniem.
• HR sprawdza akta pracownicze, ewidencję czasu pracy, monitoring pracowniczy i dokumentację rekrutacyjną.
• Sprzedaż i obsługa klienta sprawdzają CRM, korespondencję, reklamacje, nagrania rozmów i historię zamówień.
• Dział prawny ocenia ograniczenia, tajemnicę przedsiębiorstwa, roszczenia oraz ryzyko kontroli Prezesa UODO.

Kto powinien uczestniczyć w procesie?

W małej firmie proces może prowadzić jedna osoba, ale i wtedy potrzebna jest zastępowalność. Przykład: w sklepie internetowym klient żąda kopii danych z ostatnich 24 miesięcy. Obsługa klienta rejestruje sprawę, IT eksportuje historię konta, księgowość sprawdza faktury, a osoba ds. RODO usuwa dane innych osób z wewnętrznych notatek. W organizacji zatrudniającej 100 osób brak takiego podziału zwykle kończy się chaotycznym wyszukiwaniem w ostatnim tygodniu terminu.

Jak procedura pomaga przy kontroli UODO?

RODO wymaga nie tylko działania zgodnego z prawem, ale także wykazania tego działania. Rejestr żądań RODO, notatka z wyszukiwania i dowód wysyłki pokazują, co administrator zrobił, kiedy i na jakiej podstawie. Z mojej praktyki przy analizie procedur RODO wynika, że podczas kontroli słabe są nie tyle same odpowiedzi, ile brak śladu decyzyjnego: kto sprawdził CRM, kto zatwierdził anonimizację i dlaczego odpowiedź wysłano danym kanałem.

„Administrator powinien ułatwiać wykonywanie praw osoby i odpowiadać bez zbędnej zwłoki, zasadniczo w terminie miesiąca.” – Parlament Europejski i Rada UE, RODO art. 12 ust. 2-3, 2016

Dla szerszego procesu pomocna jest osobna procedura obsługi praw osób RODO, bo żądanie kopii danych często łączy się z prawem do sprostowania, usunięcia, ograniczenia przetwarzania albo sprzeciwu.

Przyjęcie, rejestracja i termin

Przyjęcie żądania to pierwszy etap procedury, charakteryzujący się rozpoznaniem intencji osoby, nadaniem identyfikatora sprawy i uruchomieniem terminu z art. 12 RODO. Termin liczy się od otrzymania żądania przez administratora, a nie od chwili, gdy pismo trafi do właściwego działu (źródło: art. 12 ust. 3 RODO, 2016).

Jak przyjmować żądania z różnych kanałów?

Firma powinna zakładać, że osoba nie użyje idealnego formularza. Wystarczy, że z treści wynika żądanie dostępu lub kopii danych osobowych. Przykład: wiadomość „proszę o wszystkie dane, które o mnie macie” wysłana przez Facebook Messenger do profilu firmowego powinna zostać przekazana do rejestru, a nie potraktowana jako zwykły komentarz.

Kanał wpływu	Ryzyko	Minimalne działanie
E-mail	Żądanie może trafić do handlowca lub starej skrzynki kontaktowej.	Przekazanie do właściciela procesu i potwierdzenie daty wpływu.
Formularz WWW	Treść może być nieprecyzyjna lub technicznie ucięta.	Zapis pełnej treści formularza i identyfikatora zgłoszenia.
List tradycyjny	Data wpływu do organizacji może różnić się od daty dekretacji.	Skan pisma, data wpływu i wpis do rejestru żądań RODO.
Telefon lub infolinia	Trudniejsza weryfikacja tożsamości i treści żądania.	Notatka służbowa oraz prośba o potwierdzenie kanałem kontrolowanym.
Social media	Ryzyko ujawnienia danych w publicznym wątku.	Przeniesienie rozmowy do prywatnego, bezpiecznego kanału.

Jak rejestrować żądania i statusy?

Centralny rejestr jest prostym narzędziem kontroli. Może działać w systemie ticketowym, arkuszu z kontrolą dostępu albo module compliance, ale musi mieć jedną wersję prawdy. Gotowy wzór rejestru żądań RODO powinien obejmować co najmniej datę wpływu, osobę prowadzącą, termin, status, zakres, źródła danych i sposób odpowiedzi.

• Przyjęte oznacza, że żądanie zostało zauważone, wpisane do rejestru i ma nadany numer sprawy.
• Weryfikacja oznacza, że administrator sprawdza tożsamość osoby lub umocowanie pełnomocnika.
• Wyszukiwanie oznacza, że właściciele systemów CRM, HR, księgowości i poczty wykonują eksporty.
• Redakcja oznacza, że usuwane lub zasłaniane są dane osób trzecich, tajemnice i informacje nieobjęte żądaniem.
• Gotowe oznacza, że odpowiedź została zatwierdzona przez IOD, właściciela procesu albo dział prawny.
• Wysłane oznacza, że zachowano dowód doręczenia, datę wysyłki i użyty kanał przekazania danych.
• Zamknięte oznacza, że dokumentacja sprawy została zarchiwizowana zgodnie z polityką retencji.

Kiedy można przedłużyć termin o 2 miesiące?

Przedłużenie jest wyjątkiem, nie automatyczną rezerwą czasu. Można je rozważyć przy żądaniu obejmującym kilka systemów, wiele lat współpracy, dane z archiwów papierowych, korespondencję wielu pracowników lub dużą liczbę równoległych żądań. Administrator musi poinformować osobę o przedłużeniu w ciągu pierwszego miesiąca i wskazać przyczyny opóźnienia (źródło: art. 12 ust. 3 RODO, 2016).

Weryfikacja tożsamości i zakres żądania

Weryfikacja tożsamości to proporcjonalne potwierdzenie, że kopie danych osobowych trafią do osoby uprawnionej, charakteryzujące się minimalizacją danych, oceną ryzyka i dokumentowaniem czynności. Jeżeli administrator ma uzasadnione wątpliwości co do tożsamości osoby, może zażądać dodatkowych informacji niezbędnych do jej potwierdzenia (źródło: art. 12 ust. 6 RODO, 2016).

Jak sprawdzić tożsamość bez nadmiarowych danych?

Weryfikacja tożsamości nie polega na zbieraniu wszystkiego „na wszelki wypadek”. Jeżeli klient ma konto, najpierw należy użyć mechanizmów logowania, danych kontaktowych zapisanych w systemie albo potwierdzenia przez panel klienta. Przykład: bank nie powinien wysłać kopii danych na nowy prywatny e-mail tylko dlatego, że taka prośba przyszła w wiadomości, jeśli w systemie istnieje zweryfikowany kanał kontaktu.

• Panel klienta jest zwykle najbezpieczniejszy, bo osoba przechodzi logowanie i dodatkowe zabezpieczenia konta.
• Adres e-mail z konta może wystarczyć przy niskim ryzyku, jeżeli żądanie dotyczy zwykłej historii zakupów.
• Oddzwonienie na zapisany numer ogranicza ryzyko podszycia się, jeżeli żądanie przyszło z nowego kanału.
• ePUAP lub kwalifikowany podpis elektroniczny może być właściwy przy sprawach administracyjnych albo dokumentach wysokiego ryzyka.
• Weryfikacja osobista w punkcie obsługi powinna być odnotowana, ale bez kopiowania dowodu bez podstawy.

Czy można żądać skanu dowodu osobistego?

Skan dowodu osobistego to środek wysokiego ryzyka, bo zawiera dane, których zwykle nie potrzeba do obsługi art. 15 RODO. Można go rozważyć tylko wyjątkowo, gdy nie da się rozsądnie potwierdzić tożsamości inaczej, a zakres żądania obejmuje dane szczególnie wrażliwe albo ryzyko szkody jest realne. W takim przypadku należy żądać wersji z zasłoniętymi polami, np. zdjęciem, numerem dokumentu lub częścią numeru PESEL, jeśli nie są niezbędne. Nadmiarowa weryfikacja sama może naruszać zasadę minimalizacji danych (źródło: art. 5 ust. 1 lit. c RODO, 2016).

Jak obsłużyć pełnomocnika i doprecyzować zakres?

Pełnomocnik może działać w imieniu osoby, ale administrator powinien sprawdzić umocowanie. Nie zawsze oznacza to analizę rozbudowanego pełnomocnictwa procesowego. Przy sprawach zwykłych wystarczy dokument wskazujący mocodawcę, pełnomocnika i zakres działania; przy danych wrażliwych trzeba zachować większą ostrożność.

1. Ustal, czy osoba żąda wyłącznie kopii danych, czy także informacji o celach, odbiorcach, retencji i źródle danych z art. 15 ust. 1 RODO.
2. Sprawdź, czy żądanie dotyczy całej relacji, konkretnej umowy, reklamacji, rekrutacji, monitoringu albo korespondencji z określonego okresu.
3. Zweryfikuj pełnomocnictwo, jeżeli zgłoszenie składa adwokat, radca prawny, członek rodziny albo pracownik firmy zewnętrznej.
4. Odnotuj, jakie dane wykorzystano do weryfikacji, kto wykonał czynność i kiedy zamknięto ten etap.
5. Jeżeli zakres jest niejasny, zadaj pytanie doprecyzowujące, ale nie wstrzymuj bez potrzeby całej sprawy.

Wyszukanie, redakcja i przygotowanie kopii

Wyszukanie danych to operacyjne ustalenie, gdzie administrator przetwarza dane osoby, charakteryzujące się checklistą systemów, właścicielami danych, redakcją informacji osób trzecich i zatwierdzeniem kopii. EDPB w Wytycznych 01/2022 podkreśla, że prawo dostępu ma umożliwić osobie realną kontrolę przetwarzania, a nie otrzymanie przypadkowego, niezrozumiałego zrzutu z systemu (źródło: EDPB, 2023).

Gdzie szukać danych w CRM, HR i poczcie?

Najczęstszy błąd polega na sprawdzeniu tylko głównego systemu. W praktyce dane tej samej osoby bywają w fakturach, helpdesku, nagraniach, plikach Excel, korespondencji pracownika i archiwum papierowym. Przykład: kandydat do pracy żąda kopii danych po rekrutacji; HR musi sprawdzić CV, notatki z rozmowy, test kompetencyjny, e-mail rekrutera i system ATS, a nie tylko folder z aplikacjami.

• CRM zawiera historię kontaktu, segmentację, notatki handlowe, status leada i źródło pozyskania danych.
• System sprzedaży lub ERP zawiera zamówienia, faktury, reklamacje, rabaty i identyfikatory klienta.
• HR i ATS zawierają CV, oceny rekrutacyjne, umowy, ewidencję czasu pracy i dokumenty kadrowe.
• Poczta elektroniczna może zawierać dane osobowe w treści, załącznikach, stopkach i wewnętrznych ustaleniach.
• Helpdesk zawiera zgłoszenia, logi rozmów, załączniki, dane techniczne i historię eskalacji.
• Monitoring wizyjny może podlegać odrębnej retencji; w relacjach pracowniczych Kodeks pracy przewiduje co do zasady okres do 3 miesięcy, chyba że nagranie jest dowodem w postępowaniu (źródło: art. 22(2) Kodeksu pracy).
• Archiwa papierowe wymagają przeszukania według identyfikatora klienta, numeru sprawy, daty umowy albo lokalizacji oddziału.

Jak anonimizować dane osób trzecich?

Prawo do kopii nie może niekorzystnie wpływać na prawa i wolności innych osób (źródło: art. 15 ust. 4 RODO, 2016). Dlatego przed wysyłką trzeba sprawdzić, czy dokument zawiera dane współmałżonka, pracownika, lekarza, świadka, innego klienta albo wewnętrzne oceny ujawniające tajemnicę przedsiębiorstwa. Przykład: w korespondencji reklamacyjnej można przekazać treść dotyczącą klienta, ale należy zasłonić prywatny numer telefonu pracownika i dane innego klienta pojawiające się w tym samym wątku.

Redakcja powinna być trwała. Zamalowanie tekstu w edytorze, które da się usunąć, nie jest anonimizacją. Przy plikach PDF należy zastosować funkcję redakcji, usunąć metadane i sprawdzić wynik w oddzielnym pliku. Pomocny jest osobny standard opisujący anonimizacja danych osobowych, ponieważ ten sam problem pojawia się przy odpowiedziach na skargi, wezwaniach sądowych i wnioskach pracowniczych.

W jakim formacie przekazać kopię danych?

Format zależy od treści żądania i systemu źródłowego. Dane tabelaryczne mogą być czytelne w CSV albo XLSX, korespondencja w PDF, a większy pakiet w zaszyfrowanym ZIP. Nie należy jednak zastępować kopii danych niezrozumiałym eksportem technicznym, jeżeli osoba nie będzie mogła ustalić, co właściwie jest przetwarzane.

Format	Kiedy stosować	Ryzyko do kontroli
PDF	Umowy, pisma, korespondencja, zestawienia dla osoby fizycznej.	Sprawdź redakcję danych osób trzecich i metadane dokumentu.
CSV lub XLSX	Historia zamówień, logi, eksport CRM, dane tabelaryczne.	Dodaj opis kolumn, aby dane były zrozumiałe.
ZIP szyfrowany	Duży pakiet wielu dokumentów albo plików źródłowych.	Hasło wyślij osobnym kanałem, np. SMS lub telefonicznie.
Panel klienta	Dane konta, historia usług, pliki do pobrania po zalogowaniu.	Ustaw limit czasu dostępności, np. 7-14 dni.

„Prawo do kopii może wymagać wiernego i zrozumiałego odtworzenia danych, także z fragmentów dokumentów, jeżeli bez tego dane tracą sens.” – Trybunał Sprawiedliwości UE, C-487/21, 2023

Wysyłka, archiwizacja i doskonalenie procedury

Wysyłka kopii danych to końcowy etap procedury, charakteryzujący się doborem bezpiecznego kanału, dowodem doręczenia, archiwizacją decyzji i okresowym testowaniem procesu. Bezpieczne przekazanie danych powinno uwzględniać poufność, integralność i dostępność, czyli podstawowe wymogi bezpieczeństwa z art. 32 RODO (źródło: RODO, 2016).

Jak bezpiecznie przekazać kopię danych?

Kanał wysyłki powinien odpowiadać ryzyku. Inaczej wygląda przesłanie historii newslettera, a inaczej dokumentacji kadrowej, danych medycznych, danych finansowych albo materiału z monitoringu. Przykład: przy paczce dokumentów kadrowych rozsądne będzie szyfrowanie AES-256 w archiwum ZIP, hasło przekazane telefonicznie na zapisany numer oraz potwierdzenie odbioru.

1. Wybierz panel klienta, jeżeli osoba ma aktywne konto i można zapewnić logowanie oraz ograniczony czas pobrania pliku.
2. Użyj szyfrowanego pliku, jeżeli wysyłasz dokumenty e-mailem, a hasło przekaż innym kanałem niż sam plik.
3. Stosuj przesyłkę rejestrowaną, jeżeli osoba żąda formy papierowej albo nie ma bezpiecznego kanału elektronicznego.
4. Nie wysyłaj danych na nowy adres e-mail bez dodatkowej weryfikacji, jeżeli w systemie istnieje inny adres kontaktowy.
5. Zachowaj dowód wysłania, sumę kontrolną pliku albo identyfikator pobrania z panelu, jeżeli system to umożliwia.
6. Przy danych wysokiego ryzyka rozważ konsultację z IOD lub prawnikiem przed wysyłką.

Techniczne standardy warto opisać w instrukcji bezpieczna wysyłka danych osobowych, aby pracownicy nie ustalali za każdym razem innych haseł, terminów dostępności i kanałów doręczenia.

Jak długo trzymać dokumentację i dowód doręczenia?

RODO nie wskazuje jednego okresu retencji dokumentacji obsługi żądania. Administrator powinien przyjąć okres uzasadniony rozliczalnością, ryzykiem skargi do Prezesa UODO oraz ewentualną obroną przed roszczeniami, a następnie opisać go w polityce retencji. W wielu organizacjach praktycznym rozwiązaniem jest matryca 3-6 lat, ale nie należy kopiować takiego okresu bez analizy podstawy prawnej, kategorii danych i ryzyka sporu.

„Pierwsza kopia danych przetwarzanych przez administratora powinna być przekazana bezpłatnie, niezależnie od celu wniosku.” – Trybunał Sprawiedliwości UE, C-307/22, 2023

Pierwsza kopia danych jest co do zasady bezpłatna. Opłata może dotyczyć kolejnych kopii albo żądań oczywiście nieuzasadnionych lub nadmiernych, jeżeli administrator potrafi wykazać przesłanki i wysokość kosztów administracyjnych (źródło: art. 12 ust. 5 oraz art. 15 ust. 3 RODO, 2016).

Jak testować procedurę i szkolić pracowników?

Procedura działa dopiero wtedy, gdy zna ją pierwszy kontakt: recepcja, sprzedawca, konsultant, rekruter i osoba prowadząca social media. Test powinien sprawdzać nie tylko treść odpowiedzi, ale też to, czy żądanie zostanie rozpoznane w nietypowym kanale.

• Test kwartalny polega na symulowanym żądaniu wysłanym do przypadkowego kanału, np. formularza reklamacyjnego.
• Szkolenie onboardingowe powinno pokazywać 5 przykładów żądań, w tym e-mail, telefon, list, Messenger i rozmowę w punkcie obsługi.
• Checklisty systemowe muszą być aktualizowane po wdrożeniu nowego CRM, narzędzia HR albo platformy helpdesk.
• Kontrola losowej sprawy powinna obejmować termin, weryfikację tożsamości, zakres wyszukiwania i dowód wysyłki.
• Retencja dokumentacji wymaga okresowego przeglądu, bo przechowywanie akt żądań bez końca tworzy odrębne ryzyko RODO.
• Eskalacja prawna jest potrzebna przy danych dzieci, sporach sądowych, żądaniach masowych i danych szczególnych kategorii.

Czy artykuł zastępuje poradę prawnika?

Nie. Ten materiał ma charakter informacyjny i pokazuje typową procedurę obsługi prawa dostępu oraz kopii danych osobowych. Nie zastępuje konsultacji z prawnikiem, IOD ani doradcą ds. ochrony danych, zwłaszcza gdy sprawa dotyczy danych wrażliwych, tajemnicy zawodowej, sporu pracowniczego, postępowania sądowego albo kontroli Prezesa UODO.

Najczęściej zadawane pytania

Czy procedura kopii danych jest obowiązkowa?

RODO nie narzuca jednego wzoru procedury, ale administrator musi umieć wykazać prawidłową obsługę praw osób. W praktyce procedura, rejestr żądań RODO i dowody wysyłki są podstawowymi narzędziami rozliczalności. Bez nich trudno wykazać, że firma dochowała terminu i sprawdziła właściwe systemy.

Czy każde żądanie trzeba przyjąć na piśmie?

Nie, żądanie może wpłynąć różnymi kanałami, w tym e-mailem, telefonicznie, przez formularz, listem albo przez social media. Firma powinna mieć zasady rozpoznawania takich żądań i przekazywania ich do właściwej osoby. Dla celów dowodowych warto jednak utrwalić treść żądania w rejestrze.

Czy można żądać skanu dowodu osobistego?

Tylko wyjątkowo i proporcjonalnie, gdy tożsamości nie da się rozsądnie potwierdzić inaczej. Jeżeli wystarczy panel klienta, adres e-mail z konta albo oddzwonienie na zapisany numer, skan dowodu będzie zwykle środkiem nadmiarowym. Jeżeli skan jest konieczny, należy ograniczyć zakres widocznych danych.

Czy pierwsza kopia danych jest płatna?

Co do zasady pierwsza kopia powinna być bezpłatna. Potwierdził to także TSUE w sprawie C-307/22, wskazując na obowiązek bezpłatnego przekazania pierwszej kopii danych. Opłata może pojawić się przy kolejnych kopiach albo żądaniach oczywiście nieuzasadnionych lub nadmiernych.

Kto powinien zatwierdzać odpowiedź?

Zależy to od organizacji i kategorii danych. Zwykle proces powinien obejmować właściciela danych, osobę ds. RODO lub IOD oraz w razie potrzeby dział prawny. Przy danych wrażliwych, dokumentacji pracowniczej albo sporach zatwierdzenie powinno być szczególnie ostrożne.

Czy kopia danych oznacza kopię całych dokumentów?

Nie zawsze, ale czasem tak. TSUE w sprawie C-487/21 wskazał, że kopia powinna być wierna i zrozumiała, a w niektórych przypadkach może wymagać pokazania fragmentów dokumentów lub całych dokumentów. Jeżeli sam wyciąg tabelaryczny nie pozwala zrozumieć danych, administrator powinien rozważyć szerszy kontekst.

Co zrobić, gdy żądanie jest bardzo szerokie?

Najpierw należy ustalić, czy można je obsłużyć w rozsądnym zakresie i czy osoba chce doprecyzować okres, system albo rodzaj relacji. Szerokie żądanie samo w sobie nie uzasadnia odmowy. Może jednak uzasadniać przedłużenie terminu o maksymalnie 2 miesiące, jeżeli sprawa jest skomplikowana i osoba zostanie poinformowana w pierwszym miesiącu.

Źródła i literatura

1. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679, w szczególności art. 5, art. 12, art. 15 i art. 32 RODO, EUR-Lex.
2. Urząd Ochrony Danych Osobowych, materiały dotyczące praw osób, których dane dotyczą, uodo.gov.pl.
3. European Data Protection Board, Guidelines 01/2022 on data subject rights – Right of access, wersja 2.1, 17 kwietnia 2023 r.
4. Trybunał Sprawiedliwości Unii Europejskiej, wyrok z 4 maja 2023 r., C-487/21, Österreichische Datenschutzbehörde i CRIF.
5. Trybunał Sprawiedliwości Unii Europejskiej, wyrok z 26 października 2023 r., C-307/22, FT przeciwko DW.

Jak korzystać ze źródeł przy wdrożeniu?

Źródła należy traktować jako punkt wyjścia do własnej procedury, a nie gotowy wzór dla każdej organizacji. Inaczej projektuje się proces dla kancelarii, sklepu internetowego, placówki medycznej, szkoły, firmy produkcyjnej i spółki z rozproszonym CRM. Przed wdrożeniem trzeba zestawić art. 15 RODO z realnymi systemami, retencją, uprawnieniami pracowników i ryzykiem ujawnienia danych osób trzecich.