Realizacja praw podmiotów danych - żądanie dostępu jako test wiedzy o własnych danych
Realizacja praw podmiotów danych zgodnie z RODO sprowadza się do jednej czynności, od której zależą wszystkie pozostałe: odnalezienia każdego miejsca, w którym firma przetwarza dane konkretnej osoby. Prawo dostępu, sprostowania, usunięcia czy przenoszenia można zrealizować tylko na danych, o których istnieniu administrator wie. Dlatego żądanie z art. 15 RODO jest w praktyce testem, który sprawdza nie procedurę, lecz wiedzę firmy o własnych systemach.
Przegląd samych uprawnień i przesłanek ich realizacji opisaliśmy w przewodniku po prawach osób w RODO. Ten tekst dotyczy strony operacyjnej: terminów, zakresu poszukiwań, konfliktu między usunięciem a obowiązkiem przechowywania oraz dowodu, że żądanie zostało wykonane.
Miesiąc biegnie od wpływu żądania, nie od chwili, gdy ktoś je zauważy
Art. 12 ust. 3 RODO wymaga udzielenia informacji bez zbędnej zwłoki, a w każdym razie w terminie miesiąca od otrzymania żądania. Przedłużenie o kolejne dwa miesiące jest dopuszczalne z uwagi na skomplikowany charakter żądania lub ich liczbę, ale osobę trzeba o nim poinformować - z podaniem przyczyn - jeszcze w pierwszym miesiącu. Dwa szczegóły regularnie zaskakują organizacje. Po pierwsze, termin liczy się od dnia, w którym żądanie dotarło do administratora dowolnym kanałem, a nie od dnia, w którym trafiło do IOD. Wiadomość wysłana na ogólny adres biura obsługi klienta, która przez dwa tygodnie czekała na przekierowanie, wykorzystała połowę terminu. Po drugie, przedłużenie nie jest rezerwą czasową na wypadek braku narzędzi. Wytyczne EROD w sprawie prawa dostępu oczekują, że administrator z góry zorganizuje się tak, by odpowiadać szybko i rzetelnie - a złożoność, która uzasadnia przedłużenie, ma wynikać z charakteru żądania, nie z niewiedzy lub bałaganu w systemach. Weryfikacja tożsamości (art. 12 ust. 6) jest uzasadniona przy rozsądnych wątpliwościach, ale nie powinna stawać się sposobem na wstrzymanie biegu sprawy żądaniem dokumentów, których firma wcześniej od tej osoby nie potrzebowała.
Żądanie dostępu pokazuje, czy administrator wie, gdzie są dane
Zakres żądania dostępu jest domyślnie pełny: obejmuje wszystkie dane dotyczące osoby, chyba że sama go zawęzi. Wytyczne EROD wskazują wprost, że administrator musi przeszukać wszystkie systemy informatyczne i zbiory poza nimi, stosując kryteria odpowiadające sposobowi, w jaki informacje są ustrukturyzowane - na przykład imię i nazwisko, numer klienta, numer pracownika. Tu zaczyna się problem. Rejestr czynności przetwarzania opisuje kategorie danych i cele, a nie to, w których tabelach i folderach dane jednej osoby faktycznie leżą. Odpowiedź przygotowana na podstawie rejestru i wiedzy właścicieli procesów obejmuje systemy, o których ktoś pamiętał. Pomija resztę: eksport do arkusza sprzed trzech lat, załącznik w skrzynce pocztowej handlowca, kolumnę „uwagi" w systemie zamówień, w której konsultanci zapisują numery telefonów. To jest shadow data w najbardziej praktycznej postaci. Taka odpowiedź jest niekompletna w sposób, którego organizacja nie potrafi wykluczyć - a to gorsze niż świadoma luka. Osoba, która następnie złoży skargę i pokaże dokument z danymi nieujętymi w odpowiedzi, podważa nie tylko tę jedną realizację, ale wiarygodność całego procesu.
Prawo do usunięcia a obowiązek przechowywania
Drugie miejsce, w którym realizacja praw się załamuje, to art. 17 RODO. Raport EROD ze skoordynowanej akcji kontrolnej z 2025 roku wskazał wśród siedmiu powtarzających się problemów trudności z określaniem okresów retencji, usuwaniem danych z kopii zapasowych oraz stosowaniem anonimizacji zamiast usunięcia danych. Organy zauważyły też, że wnioski potwierdzają ustalenia akcji z 2024 roku dotyczącej prawa dostępu do danych, zwłaszcza brak udokumentowanych procedur wewnętrznych. Obowiązek prawny wynikający z przepisów podatkowych, rachunkowych czy sektorowych może uzasadniać odmowę usunięcia danych. Problem w tym, że ten sam klient bywa jednocześnie objęty obowiązkiem usunięcia w systemie marketingowym i obowiązkiem archiwizacji w systemie finansowym. Organy wskazały jako dobrą praktykę macierz usuwania danych, która wiąże typy danych z podstawami prawnymi i okresami retencji. Bez niej decyzja zapada ad hoc, a dane zostają w całości, bo nikt nie potrafi wskazać, które pola wolno skasować. Dwie uwagi praktyczne. Zastąpienie usunięcia częściowym maskowaniem lub pseudonimizacją nie spełnia wymogów art. 17 - raport mówi o tym wprost, a granica między pseudonimizacją a anonimizacją jest tu rozstrzygająca. Kopie zapasowe wymagają z kolei udokumentowanej procedury, a nie milczącego założenia, że dane „kiedyś się nadpiszą".
Jak Detecto i Revelio wspierają realizację praw podmiotów danych
Narzędzia do wykrywania danych nie odpowiadają na żądanie za administratora. Rozwiązują problem, od którego odpowiedź zależy: dostarczają mapę miejsc, w których dane osobowe faktycznie występują, zamiast listy miejsc, w których powinny występować. Detecto łączy się z bazami danych (m.in. MySQL, Oracle, SQL Server, PostgreSQL, DB2), analizuje definicje struktur i próbki danych, a kolumny z danymi osobowymi klasyfikuje na podstawie reguł, wyrażeń regularnych, słowników i heurystyk. Wynikiem jest mapa wskazująca konkretne tabele i kolumny. W jednym z wdrożeń objęła ponad 8000 tabel w systemie rozwijanym od dwudziestu lat, w którym organizacja nie potrafiła wcześniej wskazać lokalizacji danych osobowych i finansowych. Dla realizacji praw kluczowe jest też wykrywanie zmian w schemacie: nowa kolumna z danymi osobowymi pojawia się na mapie, zanim wypadnie poza zakres kolejnego żądania. Revelio wykonuje tę samą pracę w danych nieustrukturyzowanych: folderach, repozytoriach, skrzynkach poczty elektronicznej i plikach w ponad 200 formatach, z OCR dla skanów. To ta część środowiska, której nie obejmuje żadna baza i o której rejestr czynności zwykle milczy. Mając mapę z obu narzędzi, zespół wyszukuje dane konkretnej osoby po jej identyfikatorach we wszystkich wskazanych lokalizacjach, a nie tylko w systemach, o których pamięta. W przypadku żądania usunięcia mapę wykorzystuje Oblivio, które wykonuje usunięcie lub anonimizację spójnie w wielu systemach - z różnymi podstawami prawnymi i okresami retencji - i rejestruje każdą operację.
Dowód realizacji jest częścią realizacji
Zasada rozliczalności z art. 5 ust. 2 RODO oznacza, że w postępowaniu przed organem firma nie przedstawia deklaracji, tylko dowody: datę wpływu żądania, przeszukane źródła, zastosowane kryteria, uzasadnienie ewentualnej odmowy wraz ze wskazaniem przepisu i potwierdzenie wykonania. Raport EROD z 2025 roku zaleca wprost dokumentowanie uzasadnienia odmów i angażowanie w nie zespołów prawnych lub zgodności. Raport z wykrywania danych pełni tu funkcję, której nie zastąpi żadna procedura: pokazuje, że zakres poszukiwań wynikał ze stanu faktycznego systemów, a nie z pamięci.
Najczęstsze pytania
Ile czasu ma administrator na realizację żądania podmiotu danych? Miesiąc od otrzymania żądania, z możliwością przedłużenia o dwa miesiące z uwagi na skomplikowany charakter lub liczbę żądań. O przedłużeniu i jego przyczynach trzeba poinformować osobę w ciągu pierwszego miesiąca. Czy żądanie dostępu wymaga przeszukania wszystkich systemów? Tak. Według wytycznych EROD administrator przeszukuje wszystkie systemy informatyczne i zbiory poza nimi, chyba że osoba sama zawęziła zakres żądania. Czy można odmówić usunięcia danych z powodu obowiązku przechowywania? Tak, jeśli przechowywanie jest niezbędne do wywiązania się z obowiązku prawnego (art. 17 ust. 3 lit. b RODO). Odmowa musi wskazywać konkretny przepis i obejmować wyłącznie dane, których ten obowiązek dotyczy - pozostałe dane podlegają usunięciu.