Prawo dostępu do danych w firmie: kopia, odmowa i kara za milczenie

Były pracownik, kandydat, który nie dostał pracy, klient sprzed trzech lat. Każdy z nich może napisać do Twojej firmy i zapytać, jakie ma o nim dane. Prawo dostępu do danych z art. 15 RODO nie wymaga uzasadnienia ani formularza, a odpowiedź ma przyjść w ciągu miesiąca.

Brzmi jak formalność, dopóki żądań od osób nie przychodzą setki rocznie, a część z nich zostaje bez odpowiedzi. Tak było we francuskiej spółce EXTIA: 265 żądań usunięcia danych w jeden rok, ponad trzy czwarte załatwionych źle albo wcale. Francuski urząd nałożył za to 300 tys. euro kary.

Poniżej opisuję tę sprawę, a potem to, co przy prawie dostępu najważniejsze dla Twojej firmy: co wydać w kopii, kiedy cały dokument, co zrobić z danymi innych osób i jak odmówić, żeby odmowa się obroniła.

Żądania osób bez odpowiedzi - 300 tys. euro kary dla EXTIA

EXTIA działa w IT i inżynierii: rekrutuje specjalistów i wysyła ich do projektów u klientów. W 2024 r. wpłynęło do niej 265 żądań usunięcia danych, w większości od kandydatów, a w części od byłych pracowników. Kilku byłych pracowników i kandydatów poskarżyło się do francuskiego urzędu ochrony danych (CNIL).

Po kontroli z kwietnia 2025 r. wyszło, że ponad trzy czwarte żądań załatwiono w sposób niezadowalający albo wcale:

• dwanaście w ogóle nie zostało rozpatrzonych,
• 166 osób nie dostało żadnej informacji, co spółka zrobiła z ich prośbą,
• 27 osób dostało odpowiedź po miesiącu, w części przypadków po kilku miesiącach.

Argument spółki, że dane wielu kandydatów i tak usunął system automatycznie, nie przekonał urzędu. Wykonanie żądania, nawet automatyczne, nie zwalnia z poinformowania osoby, co się z jej żądaniem stało.

Zaległości spółka nadrobiła dopiero w trakcie postępowania. CNIL nałożył karę 21 lipca 2026 r. za naruszenie art. 12 i art. 17 RODO. Na niekorzyść spółki urząd policzył liczbę poszkodowanych i to, że spółce już dwukrotnie wcześniej przypominano o jej obowiązkach.

Szczegóły: omówienie w Biuletynie Urzędu Ochrony Danych Osobowych (UODO) i komunikat CNIL.

Chodziło o prawo do usunięcia danych, ale reguły odpowiadania na żądania są wspólne dla wszystkich praw z RODO, także dla prawa dostępu.

Kara za złamanie RODO w Polsce: te same przepisy, ta sama skala

RODO jest rozporządzeniem unijnym i obowiązuje bezpośrednio w każdym państwie Unii. Polska firma podlega więc tym samym art. 12, 15 i 17, a Prezes UODO wymierza kary na tej samej podstawie, czyli z art. 83 RODO.

Przy naruszeniu praw osób górna granica to 20 mln euro albo, gdy chodzi o przedsiębiorstwo, 4% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, zależnie od tego, która wartość jest wyższa (art. 83 ust. 5 RODO). Ile realnie, zależy od okoliczności z art. 83 ust. 2 RODO, m.in. liczby osób, których sprawa dotyczy, czasu trwania naruszenia, współpracy z urzędem i tego, czy firma wcześniej naruszała przepisy.

Niższe limity (100 tys. zł, dla instytucji kultury 10 tys. zł) ustawa przewiduje tylko dla części podmiotów publicznych, np. dla samodzielnego publicznego zakładu opieki zdrowotnej (SPZOZ), ale już nie dla szpitala działającego jako spółka (art. 102 ustawy o ochronie danych osobowych). Firma prywatna płaci według skali z RODO.

Co dokładnie wydajesz w ramach prawa dostępu

Osoba ma prawo usłyszeć, czy w ogóle przetwarzasz jej dane. Jeśli tak, dostaje dwie rzeczy. Pierwsza to informacje z art. 15 ust. 1 RODO, m.in. o celach, kategoriach danych, odbiorcach, okresie przechowywania, źródle danych, zautomatyzowanym podejmowaniu decyzji i swoich prawach. Druga to kopia danych z art. 15 ust. 3 RODO, bezpłatna za pierwszym razem.

W kopii nie chodzi o streszczenie. Trybunał Sprawiedliwości Unii Europejskiej (TSUE) orzekł w sprawie C-487/21 (wyrok z 4 maja 2023 r.), że kopia to wierne i zrozumiałe odwzorowanie wszystkich danych osoby, a ogólny opis albo lista kategorii kopią nie jest.

Pamiętaj też, że „dane osobowe” to więcej niż imię i adres. W wyroku C-434/16 Trybunał uznał za dane osobowe zdającego jego odpowiedzi z egzaminu i komentarze egzaminatora. Zanim uznasz, że jakiś dokument nie wchodzi do odpowiedzi, sprawdź, czy nie dotyczy tej osoby.

Kiedy wydajesz cały dokument albo maila

Jeśli bez całości dane są niezrozumiałe, wydajesz całość. Tak to ujął Prezes UODO w artykule o realizacji prawa dostępu: chodzi o kopie całych dokumentów, wiadomości e-mail, wyciągów i logów systemowych, a nie tylko ich wykaz.

Dostęp do danych osobowych a prawa innych osób

Prezes UODO opisał w tym samym artykule pytanie inspektora ochrony danych z poradni psychologiczno-pedagogicznej. Dorosła już osoba zażądała kopii całej teczki z czasów, gdy była dzieckiem. W teczce były informacje o jej matce i rodzinie oraz testy chronione prawem autorskim. Prezes UODO nie rozstrzygnął tego przypadku, ale wskazał, jak go analizować.

Art. 15 ust. 4 RODO zastrzega, że kopia nie może niekorzystnie wpływać na prawa i wolności innych. Według Europejskiej Rady Ochrony Danych (wytyczne 01/2022) ochrona innych osób nie może jednak kończyć się odmową wydania wszystkiego.

Najpierw oceniasz, czy wydanie danych komuś realnie zaszkodzi. Jeśli tak, szukasz sposobu, żeby pogodzić oba prawa, na przykład czynisz nieczytelnymi dane innych osób. Dopiero gdy się nie da, decydujesz, czyje prawo ma pierwszeństwo.

W decyzji DS.523.4826.2020 z 19 października 2022 r. Prezes UODO ocenił spółkę, która nie chciała wydać nagrania rozmowy telefonicznej, powołując się m.in. na prawa innych osób. Urząd uznał, że ryzyko dla osób trzecich zobowiązuje do usunięcia ich danych z kopii, a nie do pozbawienia wnioskodawcy kopii.

Wśród „innych” jest też Twoja firma, np. jej tajemnica handlowa albo prawa autorskie. Ograniczyć kopię możesz wtedy tylko w zakresie, w jakim wydanie danych naprawdę ujawniłoby tajemnicę, a resztę wydajesz. Pamiętaj, że to Ty musisz wykazać, że czyjeś prawa faktycznie by ucierpiały. Ogólne „ze względu na prawa osób trzecich” nie wystarczy.

Termin i odmowa: miesiąc na odpowiedź

Art. 12 ust. 3 RODO każe odpowiedzieć bez zbędnej zwłoki, najpóźniej w ciągu miesiąca od otrzymania żądania. Wydanie danych możesz przesunąć o dwa miesiące, gdy żądanie jest skomplikowane albo żądań jest wiele, ale informację o przedłużeniu, z podaniem przyczyny, wysyłasz jeszcze przed upływem pierwszego miesiąca.

Odmowy przesunąć nie możesz. Według art. 12 ust. 4 RODO przekazujesz ją niezwłocznie, najpóźniej w ciągu miesiąca: podajesz powody i informujesz, że osoba może złożyć skargę do Prezesa UODO i skorzystać z drogi sądowej. Europejska Rada Ochrony Danych dodaje, że powody mają dotyczyć konkretnej sprawy. Te same zasady obejmują odmowę częściową.

Po takiej skardze urząd może poprosić Twoją firmę o wyjaśnienia. Jak przeczytać takie pismo, w jakim terminie odpowiedzieć i jakie dokumenty dołączyć, opisujemy we wpisie Kontrola UODO i pismo z urzędu - jak odpowiedzieć krok po kroku.

Poza ograniczeniem kopii z powodu praw innych osób odmówić działania możesz m.in. wtedy, gdy wykażesz, że w danych, które masz, nie jesteś w stanie zidentyfikować tej osoby (art. 12 ust. 2 w związku z art. 11 ust. 2 RODO), albo gdy żądanie jest ewidentnie nieuzasadnione lub nadmierne, np. uporczywie powtarzane. W tym drugim przypadku zamiast odmowy możesz też pobrać rozsądną opłatę (art. 12 ust. 5 RODO). Ograniczenia może przewidywać również ustawa szczególna (art. 23 RODO).

Najczęstsze pytania o prawo dostępu do danych

Obsługa żądań opisana w procedurze

Żeby żądanie nie utknęło w czyjejś skrzynce, pomaga pięć rzeczy:

Jeśli nie wiesz, gdzie w firmie są dane, od których zacząć, pomoże rejestr czynności przetwarzania. A jeśli masz tylko politykę prywatności, przeczytaj, dlaczego polityka prywatności to nie jest całe RODO.

Procedurę obsługi żądań z wzorami odpowiedzi przygotujemy w ramach dokumentacji RODO. Napisz do mnie, doradzę Ci, od czego zacząć.