W jednym zdaniu. Artykuł 5 RODO ustanawia siedem podstawowych zasad przetwarzania danych osobowych, których naruszenie jest podstawą najwyższych sankcji administracyjnych w skali do 20 mln EUR lub 4% obrotu globalnego.
Najważniejsze punkty
- 7 zasad: zgodność z prawem, ograniczenie celu, minimalizacja, prawidłowość, ograniczenie przechowywania, integralność i poufność, rozliczalność.
- Naruszenie art. 5 — wyższa kategoria sankcji (art. 83 ust. 5 lit. a RODO).
- Każda zasada musi być udokumentowana — rozliczalność jest “metazasadą”.
- W ocenie bezpieczeństwa trzeba wykazać dobór środków do ryzyka i ich rzeczywiste stosowanie, nie tylko samą politykę.
- Minimalizacja oznacza również adekwatność i ograniczenie do celu.
- Prawidłowość wymaga procedury aktualizacji i sprostowania danych.
1. Zgodność z prawem, rzetelność i przejrzystość
Art. 5 ust. 1 lit. a wymaga, aby dane były przetwarzane “zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą”. Zgodność z prawem wymaga odpowiedniej podstawy z art. 6; gdy chodzi o szczególne kategorie danych, potrzebny jest ponadto właściwy warunek z art. 9 ust. 2. Przejrzystość oznacza klauzulę informacyjną zgodną z art. 13-14 — krótką, zrozumiałą, łatwo dostępną.
2. Ograniczenie celu
Dane zbiera się “w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami” (art. 5 ust. 1 lit. b). Dalsze przetwarzanie dla celów archiwalnych w interesie publicznym, badań naukowych, historycznych lub statystycznych nie jest uznawane za niezgodne. Każda nowa operacja na danych wymaga oceny zgodności z pierwotnym celem.
3. Minimalizacja danych
Dane muszą być “adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów” (art. 5 ust. 1 lit. c). Zbieranie numeru PESEL do zwykłego newslettera, kopiowanie całego dowodu przy prostej rezerwacji albo żądanie danych majątkowych bez związku z rekrutacją wymagałoby szczególnie przekonującego uzasadnienia celu i niezbędności. Minimalizacja jest egzaminem racjonalności każdego pola formularza.
4. Prawidłowość danych
Art. 5 ust. 1 lit. d wymaga “podejmowania wszelkich rozsądnych działań, aby dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, zostały niezwłocznie usunięte lub sprostowane”. Administrator musi mieć procedurę aktualizacji, mechanizm sprostowań powiązany z prawem dostępu z art. 15, oraz, w pewnych przypadkach, weryfikację źródeł danych.
5. Ograniczenie przechowywania
Dane przechowuje się “przez okres nie dłuższy niż jest to niezbędne do celów” (art. 5 ust. 1 lit. e). Wymóg: matryca retencji w RCP, automatyczne usuwanie lub anonimizacja, polityka archiwizacji. Polskie szczegółowe okresy retencji wynikają z przepisów: konkretne okresy zależą od rodzaju dokumentu, daty, podstawy prawnej i zdarzenia rozpoczynającego bieg terminu. Dla monitoringu pracowniczego właściwy przepis Kodeksu pracy należy sprawdzić razem z wyjątkiem dotyczącym materiału dowodowego.
6. Integralność i poufność
Art. 5 ust. 1 lit. f wymaga “odpowiedniego bezpieczeństwa danych, w tym ochrony przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą”. Ta zasada jest operacjonalizowana w art. 32. W razie incydentu należy oddzielnie ocenić samą zasadę integralności i poufności oraz konkretne środki bezpieczeństwa z art. 32.
7. Rozliczalność (accountability)
Art. 5 ust. 2 jest “metazasadą” — administrator musi udowodnić zgodność z zasadami z ust. 1. Art. 5 ust. 2 nakłada na administratora odpowiedzialność i obowiązek wykazania przestrzegania zasad z ust. 1. Rodzaj dowodu zależy od konkretnego przetwarzania: może nim być rejestr czynności, ocena ryzyka, decyzja o okresie retencji lub log wykonania żądania, a nie jeden obowiązkowy komplet dokumentów dla każdego podmiotu.
8. Analiza naruszenia zamiast listy niezweryfikowanych decyzji
Przy ocenie sprawy należy odczytać pełną decyzję UODO i ustalić, który punkt art. 5 wskazano w sentencji, jakie były fakty oraz czy rozstrzygnięcie jest prawomocne. Sama nazwa przedsiębiorcy lub numer postępowania bez tych elementów nie stanowi użytecznej wskazówki. W poniższej procedurze skupiamy się na ustaleniu dowodu dla własnego procesu, a nie na uogólnianiu z niesprawdzonych kwot kar.
9. Sankcje za naruszenie art. 5
Art. 83 ust. 5 lit. a RODO przewiduje za naruszenie podstawowych zasad przetwarzania (w tym art. 5) karę do 20 mln EUR lub 4% rocznego obrotu globalnego — najwyższą kategorię sankcji. W konkretnej sprawie mogą wystąpić także naruszenia innych przepisów, ale wysokość kary ustala się według zasad art. 83; nie należy automatycznie dodawać maksymalnych kwot.
10. Wdrożenie zasad — checklista praktyczna
- Każda operacja przetwarzania ma cel zapisany w RCP.
- Klauzula informacyjna w prostym języku, krótkie i długie wersje.
- Formularze ograniczone do pól niezbędnych.
- Matryca retencji z automatycznym usuwaniem.
- Procedura sprostowania z terminem odpowiedzi wynikającym z art. 12 RODO.
- Środki bezpieczeństwa dobrane do ryzyka i sprawdzane w praktyce.
- Dokumentacja: kto, kiedy, na jakiej podstawie.
11. Rozliczalność a audyt
Częstotliwość audytu należy powiązać z ryzykiem i zmianami procesu. Zmiana celu, kategorii danych, dostawcy albo uprawnienia dostępu powinna wywołać przegląd wcześniej niż arbitralna data roczna. Dobrą praktyką jest zachowanie wersji decyzji: kto ocenił podstawę, jakie dane były niezbędne i kiedy warunki się zmieniły.
12. Art. 5 w sektorach wrażliwych
W służbie zdrowia, oświacie, finansach i u operatorów telekomunikacyjnych zasady art. 5 są weryfikowane szczególnie restrykcyjnie. Przykład: w bankowości scoring kredytowy musi spełniać minimalizację (tylko relewantne cechy), prawidłowość (aktualne dane BIK) oraz przejrzystość (informacja o logice automatycznej decyzji art. 22). Zobacz też praktyczną ocenę podstaw prawnych.
13. Tekst artykułu 5 RODO
“1. Dane osobowe muszą być: a) przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą („zgodność z prawem, rzetelność i przejrzystość”); b) zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami („ograniczenie celu"); c) adekwatne, stosowne oraz ograniczone do tego, co niezbędne („minimalizacja danych"); d) prawidłowe i w razie potrzeby uaktualniane („prawidłowość"); e) przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne („ograniczenie przechowywania"); f) przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo („integralność i poufność"). 2. Administrator jest odpowiedzialny za przestrzeganie ust. 1 i musi być w stanie wykazać ich przestrzeganie („rozliczalność")."
Polskie tłumaczenie ustanawia uniwersalny szkielet zgodności. Motywy 39, 50 i 74 preambuły RODO dostarczają wskazówek interpretacyjnych. Krajowym uzupełnieniem jest Ustawa o ochronie danych osobowych z 10 maja 2018 r. (Dz.U. 2018 poz. 1000), która w art. 1-3 potwierdza bezpośrednie stosowanie RODO w Polsce.
14. Orzecznictwo TSUE wpływające na art. 5
Najważniejsze wyroki: C-131/12 Google Spain (prawo do bycia zapomnianym jako konsekwencja zasady ograniczenia przechowywania), C-311/18 Schrems II (zgodność z prawem transferów do USA), C-184/20 Vyriausioji tarnybinės etikos komisija (minimalizacja przy publikacji oświadczeń majątkowych — TSUE uznał za nieproporcjonalne publikowanie szczegółowych danych członków rodziny urzędników), C-634/21 SCHUFA (kwalifikacja zautomatyzowanej decyzji scoringowej na tle art. 22), C-340/21 (ocena odpowiedniości środków bezpieczeństwa po naruszeniu). Wytyczne EROD 05/2020 dotyczą zgody, a 07/2020 rozróżnienia administratora i procesora; przed cytowaniem innych wytycznych należy sprawdzić ich ostateczny numer i status. Patrz Kary UODO 2025 oraz umowa powierzenia wzór.
Przykład mapowania zasad na jeden formularz
Załóżmy, że sklep internetowy chce dodać pole „data urodzenia” przy zakupie zwykłego produktu. Zespół produktu tłumaczy to przyszłą personalizacją oferty, a dział obsługi potrzebuje jedynie adresu dostawy i kontaktu. Pierwsza decyzja dotyczy celu: realizacja zamówienia i marketing są różnymi operacjami. Druga dotyczy podstawy prawnej każdej operacji; nie można uznać, że niezbędność do umowy automatycznie obejmuje dane potrzebne do przyszłej kampanii. Trzecia dotyczy minimalizacji: czy rok urodzenia wystarczy, czy pole w ogóle można pominąć i czy oferta może być przygotowana bez identyfikacji osoby.
Jeżeli pole zostaje, treść klauzuli powinna wprost wyjaśniać dodatkowy cel, podstawę, okres przechowywania i odbiorców. Projektant formularza powinien sprawdzić także ustawienie domyślne oraz to, czy odmowa podania daty nie blokuje zakupu, gdy dane nie są do niego niezbędne. Po uruchomieniu procesu trzeba zmierzyć, czy zebrane daty są używane zgodnie z deklarowanym celem. Zbieranie „na wszelki wypadek” łamie sens minimalizacji i ograniczenia celu z art. 5, nawet jeśli baza jest poprawnie zaszyfrowana.
Ten sam przegląd można powtórzyć dla numeru telefonu, nazwy firmy czy zgody na SMS. Dla każdego pola zapisujemy właściciela decyzji, konieczny cel, czas retencji oraz regułę usunięcia. Podstawa prawna z art. 6 i zasady art. 5 są osobnymi pytaniami: posiadanie podstawy prawnej nie zwalnia z minimalizacji, prawidłowości i bezpieczeństwa.
Matryca retencji, którą można wykonać technicznie
Tabela okresów bez zdarzenia startowego i właściciela systemu pozostaje deklaracją. Dla faktury potrzebny jest przepis i sposób obliczenia początku biegu terminu; dla danych konta — zdarzenie zamknięcia lub bezczynności, połączone z oceną roszczeń; dla kampanii — stan zgody i data wycofania. Następnie należy wskazać system źródłowy, kopie, eksporty do procesorów oraz mechanizm usunięcia. Jeżeli usunięcie następuje cyklicznie, zapisz częstotliwość i dowód ostatniego wykonania zadania.
Gdy jedna osoba ma jednocześnie fakturę i zgodę marketingową, usunięcie marketingu nie może skasować obowiązkowego dokumentu księgowego. Podobnie zgoda na pliki cookies wymaga osobnego śledzenia wyboru i technicznego zatrzymania właściwych identyfikatorów. Z drugiej strony pozostawienie faktury nie uprawnia do dalszego wysyłania ofert. Oddzielne uprawnienia i etykiety celów pomagają wykazać, że wyjątek retencyjny nie stał się furtką do dowolnego wykorzystania danych. Procedura obsługi żądania usunięcia danych powinna korzystać z tej samej matrycy zamiast ręcznie szukać reguł przy każdym wniosku.
Dla kopii zapasowych trzeba opisać odtwarzanie: co stanie się z rekordem skasowanym z produkcji, gdy przywrócimy wczorajszą kopię. Techniczna blokada, ponowne wykonanie listy usunięć albo inne skuteczne rozwiązanie musi być sprawdzone w teście. RODO nie narzuca jednolitego okresu rotacji backupu; okres i dostęp należy ocenić pod kątem rzeczywistego ryzyka.
Rejestr decyzji przy zmianie celu
Przed wykorzystaniem istniejącej bazy do nowego celu zespół powinien opisać związek celu pierwotnego i nowego, kontekst zbierania danych, rodzaj danych, możliwe skutki dla osób i planowane zabezpieczenia. To elementy testu zgodności z art. 6 ust. 4 RODO; nie wolno sprowadzać go do pytania, czy dział marketingu ma techniczny dostęp do tabeli. Osobno trzeba ustalić, czy wymagana jest nowa podstawa prawna, aktualizacja informacji i ograniczenie dostępu do danych.
Przykład: dane adresowe pozyskane do dostawy zamówienia mają zostać użyte do modelowania zamożności gospodarstw domowych. Cel jest jakościowo inny, może mieć istotne konsekwencje, a osoba nie musiała go oczekiwać. Zanim ktokolwiek uruchomi eksport, należy zatrzymać zadanie, wykonać ocenę kompatybilności i rozważyć ocenę skutków dla ochrony danych, jeśli ryzyko jest wysokie. Wynik „niezgodny” jest decyzją operacyjną: nowego wykorzystania nie uruchamia się na bazie samej pierwotnej umowy.
Dowody rozliczalności, które odpowiadają na pytanie kontrolne
Dobrze prowadzony rejestr czynności opisuje cel, kategorie, odbiorców, transfery i planowane terminy usunięcia; sama lista aplikacji nie wystarczy. Dowód wdrożenia zasady minimalizacji to wersja formularza przed i po zmianie oraz uzasadnienie usuniętych pól. Dowód prawidłowości to procedura sprostowania, właściciel źródła i potwierdzenie aktualizacji w systemach zależnych. Dowód bezpieczeństwa to ocena ryzyka, wybór środków i wynik weryfikacji ich działania — nie ogólne hasło „stosujemy szyfrowanie”.
EROD opisuje rozliczalność jako zdolność do wykazania zgodności, ale nie publikuje jednego obowiązkowego zestawu dokumentów na każdą organizację. Właściciel procesu powinien więc zacząć od pytania „jak udowodnimy tę konkretną decyzję?”, a dopiero potem dobrać narzędzie. Jeżeli dowód jest rozproszony w korespondencji, trzeba przynajmniej wskazać osobę, wersję i miejsce przechowywania, aby można było go odtworzyć bez zgadywania.
Prawidłowość danych w obiegu między systemami
Sprostowanie w systemie głównym może nie naprawić danych przekazanych wcześniej do działu sprzedaży, księgowości albo procesora. Administrator powinien wiedzieć, która aplikacja jest źródłem danej wartości i jakie systemy ją kopiują. Po przyjęciu wniosku osoby o dostęp lub sprostowanie nie wystarczy zmienić widocznego profilu, jeżeli stary adres nadal zasila automatyczne powiadomienia. Warto mieć mapę przepływu pól krytycznych oraz potwierdzenie synchronizacji po zmianie.
Prawidłowość zależy od celu. Dawny adres zamieszkania może być poprawnym elementem historycznej faktury, choć nie nadaje się już do wysyłki nowego zamówienia. Zmiana w jednej bazie nie musi więc oznaczać nadpisania każdego archiwalnego dokumentu. Decyzja powinna wskazać, które dane muszą być aktualne operacyjnie, które są zapisem historycznym i jak wyjaśnić osobie różnicę. Taki sposób pracy ogranicza zarówno błędne odmowy, jak i nieuprawnione przerabianie dokumentacji źródłowej.
Przegląd uprawnień jako wspólny dowód kilku zasad
Uprawnienia do danych nie są wyłącznie technicznym środkiem z art. 32. Ich zakres wpływa też na ograniczenie celu, minimalizację i poufność z art. 5. Przykładowo konsultant odpowiedzialny za zwrot towaru może potrzebować numeru zamówienia i informacji o płatności, ale nie całej historii marketingowej klienta. Zobacz odrębną ocenę RODO w marketingu bezpośrednim dla danych wykorzystywanych do ofert. Właściciel procesu powinien opisać rolę, dozwolone pola, powód dostępu i moment odebrania uprawnienia. W przeglądzie trzeba porównać tę listę z faktycznymi kontami, także kontami usługowymi i dostępem zewnętrznych dostawców.
Dowodem nie jest samo zaznaczenie pola „review complete”. Przydatny wynik przeglądu to lista odstępstw, decyzji o odebraniu dostępu, odpowiedzialnych osób i daty wykonania. Jeżeli firma odkryje, że zbyt szeroki dostęp trwał długo, musi ocenić również ryzyko naruszenia ochrony danych. Ta ocena powinna uwzględniać logi i rodzaj danych, a nie zakładać automatycznie, że sam nadmiar uprawnień oznacza ujawnienie każdej informacji.
FAQ
Czy art. 5 ma zastosowanie do danych zanonimizowanych?
Nie. Dane zanonimizowane (niemożliwe do ponownej identyfikacji) wychodzą poza zakres RODO. Pseudonimizacja nie jest anonimizacją — dane pseudonimizowane nadal podlegają wszystkim zasadom z art. 5.
Jakie są terminy retencji dla danych klientów e-commerce?
Nie ma jednego okresu dla całego „klienta e-commerce”. Dla każdej kategorii należy wskazać cel, przepis lub uzasadniony okres i zdarzenie rozpoczynające jego bieg. Faktury, reklamacje, konto i marketing to odrębne procesy; sam brak aktywności nie tworzy uniwersalnego terminu 12–36 miesięcy.
Czy mogę wykorzystać dane z jednego celu do innego?
Dalsze przetwarzanie wymaga odrębnej oceny. Jeżeli nowy cel jest zgodny z pierwotnym, stosuje się test z art. 6 ust. 4 obejmujący związek celów, kontekst, charakter danych, konsekwencje i zabezpieczenia. Gdy cele są niezgodne, podstawę może stanowić nowa zgoda osoby albo przepis prawa Unii lub państwa członkowskiego spełniający warunki art. 6 ust. 4. Nie wolno jednak domniemywać takiej podstawy z samej użyteczności danych.
Jak udokumentować zasadę minimalizacji?
Zestaw pola z celem i uzasadnij jego konieczność w projekcie formularza. Przegląd uruchamiaj przy zmianie produktu lub procesu. Pole opcjonalne nie jest automatycznie zakazane, ale także wymaga celu, podstawy i informacji dla osoby.
Czy IOD jest odpowiedzialny za przestrzeganie art. 5?
Nie. Odpowiedzialność za art. 5 spoczywa zawsze na administratorze (art. 5 ust. 2). IOD monitoruje i doradza, ale nie ponosi odpowiedzialności prawnej za zgodność. Art. 38 ust. 3 RODO chroni IOD przed odwołaniem z powodu wykonywania zadań — co potwierdził TSUE w wyroku C-453/21 X-FAB.
Jak wykazać przestrzeganie zasady rozliczalności w praktyce?
Przygotuj pakiet dokumentów: aktualny RCP (art. 30), polityki ochrony danych zatwierdzone przez zarząd, rejestr DPIA, rejestr zgód z timestampem i wersją regulaminu, dziennik incydentów (art. 33), protokoły szkoleń z listą obecności, raporty audytów wewnętrznych i zewnętrznych, ewidencja umów powierzenia. Te artefakty pozwalają udowodnić zgodność niezależnie od podpisanych deklaracji. Warto móc odtworzyć datę decyzji, odpowiedzialną osobę i wersję dowodu; wymagane artefakty zależą od sprawy.
Czy minimalizacja oznacza, że nie mogę zbierać “na zapas”?
Tak. Zbieranie pól “może się przyda” jest klasyczne naruszenie art. 5 ust. 1 lit. c. Przykład żądania numeru PESEL do samej wysyłki newslettera byłby trudny do uzasadnienia; nie przypisujmy mu jednak konkretnej kary bez tekstu decyzji organu. Test: gdyby UODO zapytał “po co Państwo zbierają to pole”, czy jest gotowa konkretna odpowiedź z uzasadnieniem celu i wskazaniem podstawy prawnej? Jeśli nie, pole należy usunąć.