RODO po ludzku: twoje prawa do danych osobowych

Dostajesz maila z prośbą o zgodę na „przetwarzanie danych w celach marketingowych”, formularz w przychodni, regulamin sklepu na kilkanaście stron. Za każdym razem w tle działa to samo rozporządzenie: RODO. Ten poradnik wyjaśnia je prostym językiem: czym są dane osobowe, kto za nie odpowiada i jakie prawa masz wobec firm i instytucji. Pokazujemy też, jak złożyć żądanie i co zrobić, gdy ktoś je zignoruje.

Opieramy się na tekście rozporządzenia w polskiej wersji językowej (EUR-Lex) oraz na stronach Urzędu Ochrony Danych Osobowych. Gdy źródła czegoś nie mówią, piszemy to wprost. To informacja ogólna, nie porada prawna dla twojej sprawy.

Co zrobić, jeśli chcesz skorzystać z praw

Zacznij od krótkiej listy. Szczegóły każdego kroku znajdziesz niżej.

1. Ustal, kto jest administratorem. To firma lub instytucja, która decyduje, po co i jak przetwarza twoje dane. Jej dane kontaktowe powinny być w polityce prywatności.
2. Napisz konkretne żądanie. Wskaż, czego chcesz: kopii danych, ich poprawienia, usunięcia, zaprzestania marketingu. Podaj informacje, które pozwolą cię odnaleźć w systemie.
3. Zachowaj dowód wysłania. Przyda się, jeśli sprawa trafi do UODO.
4. Odczekaj miesiąc. Tyle ma administrator na odpowiedź, z możliwością przedłużenia o dwa miesiące przy skomplikowanych lub licznych żądaniach.
5. Gdy odpowiedź nie przychodzi lub jest odmowna, rozważ skargę do Prezesa UODO. UODO podkreśla, że najpierw trzeba zwrócić się do administratora.

Chcesz wiedzieć, u kogo twoje dane w ogóle się znajdują? Bezpłatna analiza Remove Me może być punktem wyjścia, bez zakładania konta. Przeszukuje widoczne publicznie wyniki wyszukiwania, znane wycieki danych (Have I Been Pwned) i rejestr brokerów danych, po czym pokazuje, co znalazła. Raport otwierasz sześciocyfrowym kodem wysłanym e-mailem. Remove Me nie wysyła na razie za ciebie wniosków o usunięcie danych.

Rozpocznij bezpłatną analizę

Czym jest RODO

RODO to potoczna nazwa rozporządzenia (UE) 2016/679, czyli aktu prawa Unii Europejskiej. Reguluje ochronę osób fizycznych w związku z przetwarzaniem danych osobowych. W praktyce z jego zasadami spotkasz się u sklepów, przychodni, urzędów i serwisów internetowych.

Rozporządzenie robi dwie rzeczy. Po pierwsze, nakłada na podmioty przetwarzające dane obowiązki: muszą mieć podstawę prawną, informować osoby, których dane dotyczą, i szanować ich żądania. Po drugie, przyznaje ci prawa, z których możesz skorzystać samodzielnie, bez adwokata i bez opłat. O tych prawach jest ten poradnik.

W tekście rozporządzenia osobę, której dane dotyczą, nazywa się „osobą, której dane dotyczą”. W tym poradniku piszemy po prostu o tobie.

Czym są dane osobowe

Definicja znajduje się w art. 4 pkt 1 RODO. Dane osobowe to informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Możliwa do zidentyfikowania osoba to taka, którą można zidentyfikować bezpośrednio lub pośrednio, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających jej tożsamość.

W praktyce oznacza to, że danymi osobowymi mogą być nie tylko imię, nazwisko i adres. Liczą się też numer identyfikacyjny (na przykład PESEL), dane o lokalizacji i identyfikator internetowy. Kluczowe jest to, czy na podstawie informacji można ustalić, o kogo chodzi, nawet pośrednio.

Z tej definicji wynika też coś ważnego dla ochrony prywatności w sieci. Jedna informacja często niewiele mówi, ale zestawienie kilku (nazwisko, miasto, numer telefonu, miejsce pracy) pozwala dotrzeć do konkretnej osoby. Dlatego tak istotne jest, kto zbiera i łączy takie dane.

Kto jest administratorem twoich danych

Prawa z RODO kierujesz do administratora. To podmiot, który decyduje o celach i sposobach przetwarzania twoich danych. Dla sklepu internetowego będzie to sklep, dla przychodni przychodnia, dla serwisu społecznościowego jego operator.

Skąd wiesz, kto nim jest? Gdy administrator zbiera dane bezpośrednio od ciebie, art. 13 RODO każe mu podać ci przy pozyskiwaniu danych między innymi: swoją tożsamość i dane kontaktowe, dane kontaktowe inspektora ochrony danych (jeśli został wyznaczony), cele przetwarzania i jego podstawę prawną oraz informacje o odbiorcach danych. Zwykle znajdziesz to w polityce prywatności lub klauzuli informacyjnej.

Sytuacja jest trudniejsza, gdy twoje dane trafiły do firmy, z którą nigdy nie było kontaktu: do bazy marketingowej, katalogu firm albo rejestru online. Wtedy sam fakt, że ktoś cię „zna”, bywa zaskoczeniem. Prawo dostępu opisane niżej pozwala zapytać, skąd firma ma twoje dane.

Na jakiej podstawie firma może przetwarzać twoje dane

Nie każde przetwarzanie wymaga twojej zgody. Art. 6 ust. 1 RODO wymienia sześć podstaw, z których wystarczy spełnienie jednej:

• Zgoda na przetwarzanie danych w jednym lub większej liczbie określonych celów.
• Umowa: przetwarzanie jest niezbędne do jej wykonania albo do działań podejmowanych na twoje żądanie przed jej zawarciem.
• Obowiązek prawny ciążący na administratorze.
• Ochrona żywotnych interesów Twoich lub innej osoby.
• Zadanie realizowane w interesie publicznym lub w ramach władzy publicznej powierzonej administratorowi.
• Prawnie uzasadniony interes administratora lub strony trzeciej. Nie działa on, gdy nadrzędne są twoje interesy lub podstawowe prawa i wolności, zwłaszcza gdy jesteś dzieckiem. Organy publiczne nie mogą powoływać się na tę podstawę przy realizacji swoich zadań.

To rozróżnienie ma znaczenie praktyczne. Od podstawy zależy, które prawa możesz wykorzystać i jak. Na przykład prawo do przenoszenia danych dotyczy przetwarzania opartego na zgodzie lub umowie. Prawo sprzeciwu z art. 21 ust. 1 dotyczy przetwarzania opartego na interesie publicznym lub prawnie uzasadnionym interesie. Wycofanie zgody ma sens tam, gdzie przetwarzanie opiera się na zgodzie.

Zgoda i jej wycofanie

Jeśli przetwarzanie opiera się na zgodzie, administrator musi umieć wykazać, że została wyrażona (art. 7 ust. 1 RODO). Gdy prosi o nią w dokumencie dotyczącym także innych spraw, prośba ma być wyraźnie odróżniona, napisana zrozumiale i jasnym, prostym językiem.

Zgodę możesz wycofać w dowolnym momencie. Wycofanie nie wpływa na zgodność z prawem przetwarzania, którego dokonano przed nim. O tym prawie administrator ma cię poinformować, zanim wyrazisz zgodę, a wycofanie ma być równie łatwe jak wyrażenie (art. 7 ust. 3). Zwraca na to uwagę także UODO: możliwość wycofania zgody powinna być równie łatwa jak jej udzielenie.

Przy ocenie, czy zgoda jest dobrowolna, bierze się pod uwagę między innymi to, czy wykonanie umowy lub świadczenie usługi nie zostało od niej uzależnione, choć przetwarzanie nie jest do tego potrzebne (art. 7 ust. 4). Innymi słowy: sklep nie powinien warunkować sprzedaży koszulki zgodą na reklamy partnerów, jeśli nie są mu do tego potrzebne twoje dane.

Prawo dostępu do danych (art. 15)

To podstawowe prawo i dobry pierwszy krok. Masz prawo uzyskać od administratora potwierdzenie, czy przetwarza twoje dane osobowe. Jeśli tak, możesz uzyskać dostęp do nich oraz do informacji o:

• celach przetwarzania,
• kategoriach przetwarzanych danych,
• odbiorcach lub kategoriach odbiorców, którym dane ujawniono lub ujawni się,
• planowanym okresie przechowywania danych (lub kryteriach jego ustalenia),
• prawie do sprostowania, usunięcia, ograniczenia przetwarzania i sprzeciwu oraz do wniesienia skargi do organu nadzorczego,
• źródle danych, jeśli administrator nie zebrał ich od ciebie,
• zautomatyzowanym podejmowaniu decyzji, w tym profilowaniu.

Dodatkowo administrator dostarcza ci kopię przetwarzanych danych (art. 15 ust. 3). Za kolejne kopie, o które poprosisz, może pobrać opłatę w rozsądnej wysokości wynikającej z kosztów administracyjnych. Jeśli prosisz o kopię drogą elektroniczną i nie zaznaczysz inaczej, informacji udziela się powszechnie stosowaną drogą elektroniczną. Prawo do kopii nie może niekorzystnie wpływać na prawa i wolności innych osób.

To prawo świetnie sprawdza się wtedy, gdy nie wiesz, skąd firma ma twój numer telefonu. Pytanie o źródło danych jest wprost przewidziane w art. 15 ust. 1 lit. g.

Prawo do sprostowania danych (art. 16)

Jeśli dane są nieprawidłowe, możesz żądać ich niezwłocznego sprostowania. Możesz też żądać uzupełnienia danych niekompletnych, w tym przez przedstawienie dodatkowego oświadczenia, z uwzględnieniem celów przetwarzania.

To prawo przydaje się przy błędnych adresach, nieaktualnych nazwiskach czy pomyłkach w danych zdrowotnych lub rozliczeniowych. Opisz, które informacje są błędne, i podaj prawidłowe.

Prawo do usunięcia danych (art. 17)

Potocznie nazywane „prawem do bycia zapomnianym”. Możesz żądać od administratora niezwłocznego usunięcia danych, a administrator ma obowiązek usunąć je bez zbędnej zwłoki, jeśli zachodzi jedna z okoliczności z art. 17 ust. 1:

• dane nie są już niezbędne do celów, w których je zebrano lub przetwarzano,
• zgoda, na której opiera się przetwarzanie, została cofnięta i nie ma innej podstawy prawnej,
• wniesiono sprzeciw na podstawie art. 21 ust. 1 i nie ma nadrzędnych prawnie uzasadnionych podstaw przetwarzania albo sprzeciw wniesiono na podstawie art. 21 ust. 2 (marketing bezpośredni),
• dane były przetwarzane niezgodnie z prawem,
• dane muszą zostać usunięte w celu wywiązania się z obowiązku prawnego z prawa UE lub prawa państwa członkowskiego,
• dane zebrano w związku z oferowaniem usług społeczeństwa informacyjnego dziecku (art. 8 ust. 1).

Jeśli administrator upublicznił dane, a ma obowiązek je usunąć, to biorąc pod uwagę dostępną technologię i koszt, podejmuje rozsądne działania, by poinformować innych administratorów przetwarzających te dane, że żądasz usunięcia łączy do nich, kopii i replikacji (art. 17 ust. 2).

Kiedy prawo do usunięcia nie działa

To prawo nie jest bezwzględne. Art. 17 ust. 3 wymienia wyjątki: ust. 1 i 2 nie mają zastosowania w zakresie, w jakim przetwarzanie jest niezbędne:

• do korzystania z prawa do wolności wypowiedzi i informacji,
• do wywiązania się z prawnego obowiązku wymagającego przetwarzania lub do wykonania zadania w interesie publicznym albo w ramach władzy publicznej,
• ze względu na interes publiczny w dziedzinie zdrowia publicznego,
• do celów archiwalnych w interesie publicznym, badań naukowych lub historycznych albo statystycznych, jeśli prawo do usunięcia uniemożliwiłoby lub poważnie utrudniło ich realizację,
• do ustalenia, dochodzenia lub obrony roszczeń.

Przykładowo firma, która musi przechowywać faktury na mocy przepisów, może odmówić usunięcia danych z tych faktur. Dlatego w żądaniu warto wskazać, o jakie dane i jaki cel chodzi, a w odpowiedzi czytać uzasadnienie odmowy. Samo „nie” bez wyjaśnienia nie spełnia wymogów: według art. 12 ust. 4 administrator, który nie podejmuje działań, informuje cię o powodach oraz o możliwości wniesienia skargi do organu nadzorczego i skorzystania ze środków ochrony prawnej przed sądem.

Prawo do ograniczenia przetwarzania (art. 18)

To prawo „pośrednie”: nie usuwasz danych, ale prosisz, by administrator ich nie wykorzystywał. Możesz go zażądać w czterech przypadkach z art. 18 ust. 1:

• kwestionujesz prawidłowość danych, na czas pozwalający administratorowi ją sprawdzić,
• przetwarzanie jest niezgodne z prawem, a ty sprzeciwiasz się usunięciu i żądasz w zamian ograniczenia,
• administrator nie potrzebuje już danych, ale ty potrzebujesz ich do ustalenia, dochodzenia lub obrony roszczeń,
• wniesiono sprzeciw na podstawie art. 21 ust. 1, do czasu stwierdzenia, czy podstawy po stronie administratora są nadrzędne.

Ograniczone dane można, poza przechowywaniem, przetwarzać tylko za twoją zgodą albo w kilku ściśle wskazanych celach (art. 18 ust. 2), na przykład dla ustalenia lub obrony roszczeń. Przed uchyleniem ograniczenia administrator informuje cię o tym (art. 18 ust. 3).

Prawo do przenoszenia danych (art. 20)

Masz prawo otrzymać dane, które cię dotyczą i zostały dostarczone administratorowi, w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego, i przesłać je innemu administratorowi. Warunki z art. 20 ust. 1 są dwa łącznie: przetwarzanie opiera się na zgodzie lub na umowie oraz odbywa się w sposób zautomatyzowany.

Możesz też żądać, by administrator przesłał dane bezpośrednio innemu administratorowi, o ile jest to technicznie możliwe (ust. 2). Prawo to nie ma zastosowania do przetwarzania niezbędnego do wykonania zadania w interesie publicznym lub w ramach władzy publicznej i nie może niekorzystnie wpływać na prawa i wolności innych osób. Wykonanie tego prawa pozostaje bez uszczerbku dla prawa do usunięcia danych.

Przykład z życia: zmieniasz dostawcę usługi i chcesz zabrać dane z dotychczasowego konta w pliku, który da się wczytać u nowego.

Prawo sprzeciwu (art. 21)

Sprzeciw to twoje najmocniejsze narzędzie wobec przetwarzania, na które się nie zgadzasz. Rozporządzenie przewiduje dwa warianty.

Sprzeciw z powodu szczególnej sytuacji (ust. 1). W dowolnym momencie możesz wnieść sprzeciw, z przyczyn związanych z twoją szczególną sytuacją, wobec przetwarzania opartego na interesie publicznym lub prawnie uzasadnionym interesie (art. 6 ust. 1 lit. e lub f), w tym profilowania. Administratorowi nie wolno już przetwarzać tych danych, chyba że wykaże ważne prawnie uzasadnione podstawy nadrzędne wobec twoich interesów, praw i wolności albo podstawy do ustalenia, dochodzenia lub obrony roszczeń.

Sprzeciw wobec marketingu bezpośredniego (ust. 2 i 3). Jeśli dane są przetwarzane na potrzeby marketingu bezpośredniego, możesz w dowolnym momencie wnieść sprzeciw wobec takiego przetwarzania, w tym profilowania, w zakresie związanym z tym marketingiem. Po sprzeciwie danych nie wolno już przetwarzać do tych celów. W tym wariancie tekst art. 21 nie przewiduje wyjątku na rzecz administratora ani wymogu wykazywania szczególnej sytuacji.

Art. 21 ust. 4 dodaje, że najpóźniej przy pierwszej komunikacji administrator ma wyraźnie poinformować cię o tym prawie, jasno i odrębnie od innych informacji. Jeśli prawo sprzeciwu dotyczy usług społeczeństwa informacyjnego, możesz je wykonać także za pomocą zautomatyzowanych środków wykorzystujących specyfikacje techniczne (ust. 5).

Jak złożyć żądanie

RODO nie narzuca formularza ani konkretnej formy żądania. Zasady odpowiedzi opisuje art. 12:

• Termin. Administrator udziela informacji o działaniach podjętych w związku z żądaniem bez zbędnej zwłoki, w każdym razie w terminie miesiąca od jego otrzymania. W razie potrzeby można go przedłużyć o kolejne dwa miesiące z uwagi na skomplikowany charakter żądania lub liczbę żądań. O przedłużeniu administrator informuje cię w ciągu miesiąca, podając przyczyny (art. 12 ust. 3).
• Forma odpowiedzi. Informacji udziela się na piśmie lub w inny sposób, w tym elektronicznie. Jeśli żądanie złożono elektronicznie, w miarę możliwości odpowiedź także otrzymasz elektronicznie, chyba że zażądasz innej formy. Na twoje żądanie informacji można udzielić ustnie, o ile innymi sposobami potwierdzi się twoją tożsamość (art. 12 ust. 1 i 3).
• Opłaty. Informacje i działania na podstawie art. 15–22 są wolne od opłat. Jeśli żądania są ewidentnie nieuzasadnione lub nadmierne, w szczególności ze względu na ich ustawiczny charakter, administrator może pobrać rozsądną opłatę albo odmówić działania. Obowiązek wykazania, że żądanie takie jest, spoczywa na administratorze (art. 12 ust. 5).
• Potwierdzenie tożsamości. Jeśli administrator ma uzasadnione wątpliwości co do twojej tożsamości, może zażądać dodatkowych informacji niezbędnych do jej potwierdzenia (art. 12 ust. 6). Podawaj wtedy tylko to, co jest rzeczywiście potrzebne.
• Ułatwienie. Administrator ma ułatwiać ci wykonywanie praw (art. 12 ust. 2).

Co napisać w żądaniu

RODO nie podaje wzoru, więc poniższe wskazówki to praktyczna rada, nie wymóg prawny. Dobre żądanie zawiera:

1. dane, które pozwolą cię zidentyfikować (imię, nazwisko, adres e-mail lub numer telefonu, pod którym firma może cię mieć w bazie),
2. wskazanie, którego prawa dotyczy: dostępu, sprostowania, usunięcia, ograniczenia, przeniesienia lub sprzeciwu,
3. zakres: wszystkie dane, czy tylko określona kategoria, na przykład dane marketingowe,
4. prośbę o odpowiedź w wybranej formie, na przykład e-mailem,
5. datę i podpis.

Wyślij je na adres administratora lub inspektora ochrony danych wskazany w polityce prywatności. Zachowaj kopię i dowód wysłania. W jednym piśmie nie łącz żądań, które się wykluczają. To uwaga z instrukcji UODO dotyczącej skargi: nie można jednocześnie żądać wypełnienia obowiązku informacyjnego i usunięcia danych. Warto stosować tę zasadę także wobec żądań kierowanych do firmy.

Co zrobić, gdy administrator milczy lub odmawia

Jeśli miesiąc minął i nie ma odpowiedzi albo przyszła odmowa, która nie wydaje się zgodna z RODO, masz kilka dróg.

Skarga do Prezesa UODO (art. 77). Każda osoba, której dane dotyczą, ma prawo wnieść skargę do organu nadzorczego, jeśli sądzi, że przetwarzanie jej danych narusza rozporządzenie. W Polsce organem jest Prezes Urzędu Ochrony Danych Osobowych. UODO zaznacza, że najpierw trzeba zwrócić się do administratora z żądaniem usunięcia uchybień. Po przeprowadzeniu postępowania Prezes UODO może nakazać spełnienie twojego żądania, w drodze decyzji administracyjnej.

Skargę złożysz w formie pisemnej (także ustnie do protokołu w siedzibie urzędu po umówieniu się) albo za pomocą e-doręczeń, z kwalifikowanym podpisem elektronicznym, podpisem zaufanym lub podpisem osobistym. Zwykły e-mail nie służy do składania skarg: UODO zapowiada, że taką skargę zostawi bez rozpoznania. To samo dotyczy skarg bez twojego imienia, nazwiska i adresu. Wymogi opisujemy dokładniej w osobnym poradniku Skarga do UODO: jak ją złożyć.

Droga sądowa (art. 79). Niezależnie od skargi masz prawo do skutecznego środka ochrony prawnej przed sądem, jeśli uznasz, że twoje prawa zostały naruszone. UODO przypomina, że niezależnie od jego postępowania możesz pozwać administratora lub podmiot przetwarzający przed sądem cywilnym.

Odszkodowanie (art. 82). Osoba, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia RODO, ma prawo do odszkodowania od administratora lub podmiotu przetwarzającego. UODO zaznacza, że o odszkodowaniu rozstrzyga wyłącznie sąd powszechny. W postępowaniu przed Prezesem UODO nie można go dochodzić.

Pamiętaj o różnicy: UODO sprawdza, czy przetwarzanie było zgodne z prawem, i może nakazać administratorowi spełnienie żądania. Pieniędzy za doznaną szkodę nie przyzna.

Czego UODO nie zrobi

Strona UODO „Wyciek danych – co dalej?” opisuje kilka ograniczeń, które warto znać, zanim złożysz skargę.

• Kara nie jest nakładana na twój wniosek. Decyzję o karze finansowej podejmuje Prezes UODO, analizując każdy przypadek. Według tej strony kary są ostatecznością: najpierw stosuje się inne środki, takie jak ostrzeżenie, upomnienie albo nakaz dostosowania działań do przepisów.
• UODO nie jest organem ścigania. Według UODO nie jest to Policja ani Prokuratura. Jego celem jest zapewnienie zgodnego z prawem przetwarzania danych przez wskazany podmiot, dlatego skarga musi precyzyjnie wskazywać administratora.
• Sam numer telefonu może nie wystarczyć. Urząd pisze, że nie zawsze ma prawne lub techniczne możliwości, by ustalić tożsamość nieokreślonego administratora. Numer telefonu, niezidentyfikowany serwer czy dokumenty bez źródła pochodzenia danych to za mało.
• Skarga i zawiadomienie to co innego. Skarga dotyczy twoich danych i twoich praw. Zawiadomienie dotyczy sytuacji, gdy administrator narusza ogólne zasady przetwarzania, ale nie chodzi o twoje dane. UODO może wtedy działać z urzędu, jednak nie jesteś stroną postępowania i nie dostaniesz informacji o jego etapach.

RODO a wycieki danych

Prawa z RODO nie zapobiegają wyciekowi, ale pomagają po nim. Jeśli dowiesz się, że twoje dane wyciekły, możesz zapytać administratora, jakie dane o tobie przetwarzał (prawo dostępu), a gdy nie są mu już potrzebne, poprosić o ich usunięcie.

UODO przypomina, że obowiązek powiadomienia osób, których dane wyciekły, spoczywa na administratorach. Na sam wyciek często nie masz wpływu, ale możesz ograniczyć skutki, na przykład zastrzegając numer PESEL i zachowując ostrożność przy wiadomościach SMS i e-mail. Pełny poradnik znajdziesz w artykule Wyciek danych: co zrobić, gdy twoje dane wyciekły. Jeśli po wycieku dostajesz podejrzane wiadomości, pomoże ci przewodnik o phishingu.

Jak chronić dane na co dzień

Prawa to jedno, ale najłatwiej chronić dane, zanim trafią w niewłaściwe miejsce. UODO w poradniku na swojej stronie zwraca uwagę na kilka nawyków:

• Uważaj na to, co udostępniasz w internecie. Publiczny profil w mediach społecznościowych zwiększa ryzyko wykorzystania danych wbrew twojej woli.
• Nie oddawaj w zastaw dowodu osobistego, paszportu ani prawa jazdy i nie zgadzaj się bez podstawy prawnej na kopiowanie dowodu osobistego. Pytaj o podstawę takiego żądania.
• Nie podawaj danych przez telefon, zwłaszcza gdy rozmowę rozpoczęła druga strona. Zweryfikuj rozmówcę, oddzwaniając pod znany numer.
• Czytaj formularze, ankiety i regulaminy. Podawaj tylko dane niezbędne do usługi. Zgody nie powinny być zaznaczone domyślnie, a zgody na marketing partnerów mają być dobrowolne.
• Niszcz dokumenty i dane na nośnikach. Zwykłe skasowanie plików nie wystarcza. Przed sprzedażą urządzenia użyj odpowiedniego oprogramowania i przywróć ustawienia fabryczne.
• Zmieniaj hasła i używaj różnych haseł do różnych usług.

Każdy z tych kroków zmniejsza ilość danych, które mogą wyciec lub zostać wykorzystane. Żaden nie daje pewności, ale razem utrudniają życie oszustom.

Czego źródła nie mówią

• Tekst RODO i strony UODO nie podają, jak szybko UODO rozpatruje skargi. Nie podajemy więc takiego terminu.
• Rozporządzenie nie określa wzoru żądania ani formy, w jakiej administrator musi je przyjąć. Zalecenia o treści żądania w tym poradniku to rada praktyczna.
• Nie opisujemy w tym poradniku przepisów krajowych uzupełniających RODO, bo nie czytaliśmy ich w oficjalnym źródle [À VÉRIFIER].
• Żadna z użytych stron nie wskazuje, czy konkretna firma lub rejestr internetowy usunie twoje dane po żądaniu. To zależy od podstawy prawnej przetwarzania i od wyjątków z art. 17 ust. 3.

Masz wątpliwości co do konkretnej sprawy? Skontaktuj się z infolinią UODO (606-950-000, w dni robocze w godzinach 10:00–14:00) albo z prawnikiem.

Źródła

Wszystkie źródła zostały odczytane 31 października 2026.

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), polska wersja językowa, EUR-Lex: https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32016R0679 (art. 4, 6, 7, 12, 13, 15, 16, 17, 18, 20, 21, 77, 79, 82)
• UODO, Składanie skarg: https://uodo.gov.pl/pl/492/2464
• UODO, Składanie skargi w formie tradycyjnej, w tym do protokołu: https://uodo.gov.pl/pl/504/2247
• UODO, Składanie skarg za pomocą e-doręczeń: https://uodo.gov.pl/pl/504/2246
• UODO, Formularz skargi: https://uodo.gov.pl/pl/501/2271
• UODO, Wyciek danych – co dalej?: https://uodo.gov.pl/pl/138/4539