Prawo do bycia zapomnianym: RODO art. 17

W jednym zdaniu. Prawo do usunięcia danych (art. 17 RODO), znane jako prawo do bycia zapomnianym, wymaga indywidualnej oceny przesłanek, wyjątków i zakresu danych; odpowiedź jest wymagana bez zbędnej zwłoki, zasadniczo w ciągu miesiąca.

Najważniejsze punkty

• Podstawa: art. 17 RODO + ustawa o ochronie danych osobowych.
• 6 przesłanek skutecznego wniosku (art. 17 ust. 1).
• Pięć grup wyjątków z art. 17 ust. 3 obejmuje m.in. zdrowie publiczne; każdy wymaga oceny niezbędności.
• Termin: bez zbędnej zwłoki i co do zasady w ciągu miesiąca; w razie potrzeby przedłużenie o dalsze dwa miesiące po terminowym poinformowaniu osoby.
• Wyrok TSUE C-131/12 Google Spain — początek “prawa do bycia zapomnianym”.
• Wyrok C-507/17 Google v CNIL — geograficzny zakres usunięcia.

1. Zakres prawa do usunięcia (art. 17 ust. 1)

Osoba może żądać usunięcia danych, jeśli zachodzi jedna z 6 przesłanek:

• Dane nie są już niezbędne do celów.
• Wycofanie zgody (i brak innej podstawy prawnej z art. 6).
• Sprzeciw skuteczny (art. 21).
• Dane przetwarzane niezgodnie z prawem.
• Obowiązek prawny usunięcia.
• Dane dotyczą dziecka i były zebrane w związku z usługami społeczeństwa informacyjnego.

2. Wyjątki (art. 17 ust. 3)

Administrator może odmówić usunięcia, jeśli przetwarzanie jest niezbędne do:

• Korzystania z wolności wypowiedzi i informacji.
• Wywiązania się z obowiązku prawnego (np. retencja podatkowa) albo wykonania zadania w interesie publicznym lub sprawowania powierzonej władzy publicznej.
• Względów interesu publicznego w dziedzinie zdrowia publicznego w warunkach art. 17 ust. 3 lit. c.
• Celów archiwalnych w interesie publicznym, badań naukowych lub historycznych albo celów statystycznych zgodnie z art. 89 ust. 1, gdy usunięcie uniemożliwiłoby lub poważnie utrudniło osiągnięcie tych celów.
• Ustalenia, dochodzenia lub obrony roszczeń.

3. Wyrok Google Spain (C-131/12)

Wyrok TSUE z 13 maja 2014 r. — początek “prawa do bycia zapomnianym” w prawie UE. Hiszpan Costeja González żądał usunięcia z wyników Google linków do starych ogłoszeń o licytacji jego nieruchomości. TSUE: wyszukiwarka jest administratorem, ma obowiązek dereferencji jeśli informacja jest nieadekwatna, nieistotna lub przedawniona w kontekście celu.

4. Google delisting w praktyce

Procedura usunięcia z wyników Google:

1. Formularz online (Search Removal Request).
2. Podanie URL, opis dlaczego, dokumenty.
3. Operator wyszukiwarki ocenia wniosek w świetle praw osoby i interesu publicznego.
4. Decyzja: usunięcie, częściowe, odmowa z uzasadnieniem.
5. Odwołanie do UODO (skarga).

Wyniku nie da się przewidzieć samą kategorią osoby: znaczenie mają dokładny adres wyniku, aktualność, źródło oraz interes publiczny w dostępie do informacji.

5. Zakres geograficzny (C-507/17)

Wyrok TSUE z 24 września 2019 r. Google v CNIL: prawo Unii nie nakłada samo przez się obowiązku globalnego usunięcia wyników. Wyszukiwarka powinna zastosować środki skutecznie zapobiegające dostępowi do wyników przez użytkowników z państw członkowskich; ocena konkretnego nakazu spoza tego minimum wymaga odrębnej podstawy prawnej.

6. Termin realizacji i procedura

Termin art. 12 ust. 3 RODO: bez zbędnej zwłoki, co do zasady w ciągu miesiąca od otrzymania wniosku. Jeżeli złożoność lub liczba żądań tego wymaga, administrator może przedłużyć termin o dalsze dwa miesiące, informując o przedłużeniu i przyczynach w ciągu pierwszego miesiąca. Brak odpowiedzi = naruszenie + ryzyko skargi do UODO. Forma odpowiedzi: pisemna lub elektroniczna (jak wniosek), z uzasadnieniem.

7. Skutki usunięcia

Administrator ustala zakres usunięcia osobno dla:

• Systemów produkcyjnych i aktywnych eksportów.
• Kopii zapasowych: ocenia możliwość selektywnego usunięcia, cykl rotacji oraz zabezpieczenie przed przywróceniem usuniętego rekordu.
• Logów zawierających dane osobowe: sprawdza ich własny cel, podstawę i okres przechowywania, zamiast usuwać je bez rozróżnienia.
• Archiwów: dokumentuje ewentualny obowiązek prawny lub inny wyjątek i ogranicza dalsze użycie.

Powiadomienie odbiorców (art. 19): jeśli dane były ujawnione, administrator informuje każdego odbiorcę o usunięciu danych dokonanym na podstawie art. 17 ust. 1, chyba że jest to niemożliwe lub wymaga niewspółmiernie dużego wysiłku.

8. Usunięcie w kopiach zapasowych

Kopia zapasowa wymaga osobnej oceny technicznej: czy można usunąć rekord selektywnie, kiedy kopia wygaśnie, kto może ją przywrócić i jak po przywróceniu ponownie wykonać usunięcie. Nie ma w RODO uniwersalnego okresu 30–90 dni ani automatycznej zgody organu na pozostawienie danych w backupie. Należy ograniczyć dostęp i udokumentować rzeczywisty plan wykonania.

9. Sytuacje typowe — analiza

10. Jak uzasadnić częściową odmowę

Zamiast ogólnego powołania się na „obowiązek archiwizacji” administrator powinien wskazać kategorię danych, cel dalszego przechowywania, właściwą podstawę i planowany termin przeglądu. Dla danych marketingowych i dokumentów księgowych mogą powstać różne decyzje w tym samym wniosku. Odpowiedź powinna informować o prawie wniesienia skargi do UODO i skorzystania ze środków ochrony prawnej zgodnie z art. 12 ust. 4 RODO.

11. Prawo do bycia zapomnianym a dziennikarstwo

Konflikt art. 17 RODO z wolnością prasy (art. 14 KPP). Wyjątek art. 17 ust. 3 lit. a chroni “korzystanie z wolności wypowiedzi i informacji”. Polskie sądy administracyjne i SN balansują: zawód publiczny vs sfera prywatna, czas (świeżość vs przedawnienie), aktualność informacji. Archiwa prasowe — zwykle chronione, ale możliwe częściowe ograniczenie (np. blokada indeksowania).

12. Procedura wewnętrzna administratora

Standard obsługi wniosku:

1. Rejestracja w systemie (z timestampem).
2. Weryfikacja tożsamości wnioskującego.
3. Analiza zakresu danych w systemach.
4. Ocena przesłanek i wyjątków.
5. Decyzja (pełne, częściowe, odmowa).
6. Wykonanie usunięcia (techniczne).
7. Odpowiedź pisemna z uzasadnieniem.
8. Powiadomienie odbiorców (art. 19).
9. Log w rejestrze wniosków RODO.

Analogiczna procedura obowiązuje przy wnioskach o dostęp do danych z art. 15.

13. Aktualna praktyka nadzorcza i ryzyko błędu

EROD w raporcie z działania koordynowanego dotyczącego prawa do usunięcia danych opisuje trudności z identyfikacją wszystkich systemów, oceną wyjątków i terminowym wykonaniem żądań. To uzasadnia mapę odbiorców, właścicieli systemów i przegląd procedury. Bez numeru decyzji i oficjalnego tekstu nie należy przedstawiać przykładowego scenariusza jako konkretnej kary UODO.

14. Orzecznictwo TSUE rozszerzające art. 17

Kluczowe wyroki: C-131/12 Google Spain (13.5.2014) — fundamentalne ustanowienie prawa do dereferencji wobec wyszukiwarek; C-507/17 Google v CNIL (24.9.2019) — geograficzny zakres usunięcia ograniczony do UE; C-136/17 GC i inni v CNIL (24.9.2019) — szczególna ochrona danych wrażliwych w wyszukiwarce; C-460/20 TU and RE v Google (8.12.2022) — wnioskodawca musi przedstawić elementy uzasadniające usunięcie, ale ciężar dowodu nie jest absolutny; C-129/21 Proximus (27.10.2022) — żądanie wycofania z książki telefonicznej obejmuje również wszystkich dystrybutorów. Konsekwencje dla polskich administratorów: większa elastyczność dla osób prywatnych, ostrzejsze wymogi dla podmiotów publicznych, obowiązek aktywnego kaskadowania żądań do dystrybutorów. Znaczenie każdego wyroku zależy od stanu faktycznego i rodzaju administratora. Patrz RODO Art. 5 zasady, UODO przewodnik, umowa powierzenia wzór.

Przykład decyzji: konto klienta, faktury i marketing

Osoba zamknęła konto w sklepie i prosi o „usunięcie wszystkiego”. W systemie konta są adres dostawy, historia zakupów, zgoda marketingowa oraz faktury. Nie wolno zamknąć sprawy jednym statusem „zrealizowano” ani odmówić w całości, powołując się na obowiązek podatkowy. Najpierw wyłączamy dostęp do konta i sprawdzamy, czy historia zakupów jest nadal potrzebna do obsługi reklamacji. Następnie osobno oceniamy dokumenty księgowe, dla których mogą obowiązywać wymogi przechowywania wynikające z właściwego przepisu. Zgoda na marketing po wycofaniu nie stanowi już podstawy dalszej wysyłki; należy usunąć lub odpowiednio odłączyć aktywny profil kampanii. Dla list sprzedażowych warto sprawdzić odrębną procedurę RODO w marketingu bezpośrednim.

Odpowiedź może brzmieć: „Usunęliśmy profil konta i wyłączyliśmy adres z kampanii. Dane na fakturach pozostają w ograniczonym archiwum wyłącznie w celu wykonania wskazanego obowiązku prawnego; podajemy przepis i sposób ustalenia okresu przechowywania. Zleciliśmy usunięcie danych u wskazanych podmiotów przetwarzających i odnotowaliśmy wyjątek dotyczący kopii zapasowych wraz z datą przeglądu”. To wzór logiki odpowiedzi, nie gotowa podstawa do kopiowania bez sprawdzenia konkretnego terminu.

Właściciel procesu powinien zapisać trzy decyzje: jaki zakres został skasowany, co pozostało i dlaczego oraz kiedy pozostałe dane będą ponownie ocenione. Zasady art. 5 RODO nadal ograniczają zakres danych pozostawionych na podstawie wyjątku. Wyjątek nie pozwala wykorzystywać archiwum podatkowego do nowego profilowania ani udostępniać go szerzej niż to konieczne.

Przekazanie żądania do procesorów i odbiorców

Administrator powinien odróżnić podmiot przetwarzający dane w jego imieniu od odrębnego odbiorcy. Procesor wykonuje uzgodnione instrukcje w ramach umowy powierzenia; administrator musi sprawdzić, czy instrukcja dotarła, jakie systemy objęła i czy potwierdzono wynik. Art. 19 RODO dotyczy poinformowania odbiorców, którym ujawniono dane, o sprostowaniu, usunięciu na podstawie art. 17 ust. 1 lub ograniczeniu przetwarzania już dokonanym, chyba że jest to niemożliwe lub wymaga niewspółmiernie dużego wysiłku. Art. 17 ust. 2 przewiduje dodatkowe rozsądne działania, gdy administrator wcześniej upublicznił dane. Te dwa mechanizmy nie są identyczne.

Przykład: profil był eksportowany do narzędzia do wysyłki poczty oraz do niezależnego partnera konkursu. Dla narzędzia pocztowego sprawdzamy wykonanie instrukcji i pozostałe kopie, a wobec partnera ustalamy, czy otrzymał dane jako samodzielny administrator i czy trzeba go zawiadomić. Lista nazw systemów bez informacji o rolach nie wystarczy. W rejestrze sprawy warto trzymać datę przekazania, zakres danych, adresata, podstawę odpowiedzi i osobę, która zweryfikowała zamknięcie.

Jak rozstrzygać sporny wyjątek

Każdy wyjątek z art. 17 ust. 3 ma własny cel i nie jest ogólną „licencją na retencję”. Dla roszczeń należy wskazać możliwy rodzaj roszczenia i niezbędny zakres dowodów, zamiast zachowywać cały profil klienta bez końca. Dla wolności wypowiedzi trzeba ocenić rolę osoby, temat publikacji, aktualność oraz szkodę wynikającą z usunięcia informacji. Dla zadania publicznego trzeba ustalić przepis wyznaczający to zadanie. Odpowiedź powinna wykazać związek między konkretnym wyjątkiem a konkretnymi danymi.

Jeżeli dowód jest niepełny, administrator może najpierw ograniczyć dostęp do spornych danych i szybko wyjaśnić podstawę, lecz nie powinien przedstawiać ograniczenia jako finalnego usunięcia. Osoba może równolegle skorzystać z prawa do sprzeciwu albo prawa dostępu, aby ustalić, jakie dane w ogóle pozostają. Gdy po analizie nie ma podstawy dalszego przetwarzania, decyzja powinna objąć także pochodne zestawy i eksporty, a nie tylko interfejs konta.

Lista kontrolna przed wysłaniem odpowiedzi

Przed podpisaniem odpowiedzi prawnik i właściciel systemu powinni wspólnie sprawdzić zakres wniosku, przesłankę z art. 17 ust. 1, ewentualny wyjątek z ust. 3, termin z art. 12, wykonanie techniczne i informację o skardze. Potwierdzenie tożsamości powinno być proporcjonalne do uzasadnionych wątpliwości; żądanie kopii dokumentu od każdego wnioskodawcy może samo naruszać minimalizację. Jeśli żądanie obejmuje kilka kont lub marek, trzeba sprawdzić identyfikatory i role poszczególnych administratorów.

Zamknięcie sprawy wymaga dowodu operacyjnego: identyfikatora zgłoszenia, daty wykonania, potwierdzeń procesorów, listy poinformowanych odbiorców i uzasadnienia wyjątków. Właściciel procedury powinien też zaplanować test odtworzenia kopii zapasowej: czy wcześniej usunięte rekordy nie wracają do aktywnego systemu. Raport EROD z działania koordynowanego w 2025 r. wskazuje właśnie operacyjne trudności jako powtarzające się źródło niezgodności.

Dereferencja nie jest usunięciem publikacji

Żądanie skierowane do wyszukiwarki dotyczy określonych wyników pojawiających się po wyszukaniu nazwiska. Nie usuwa automatycznie artykułu z serwisu wydawcy ani kopii publikacji w innych miejscach. Osoba, która chce zakwestionować sam materiał źródłowy, musi osobno ocenić podstawy działania wobec wydawcy. Takie rozdzielenie pomaga też uniknąć błędu w formularzu: należy podać dokładne adresy wyników i zapytania, których dotyczy skarga, a nie tylko nazwę strony internetowej.

W sprawie wyniku wyszukiwania znaczenie mają prawdziwość i aktualność informacji, czas od zdarzenia, publiczna rola osoby oraz interes odbiorców. Jeżeli wiadomość o dawnym postępowaniu pomija późniejsze uniewinnienie, warto dołączyć wiarygodny dokument potwierdzający zmianę stanu faktycznego. Nie trzeba jednak zakładać, że każda stara informacja powinna zniknąć: archiwum prasowe i wynik wyszukiwarki spełniają odmienne funkcje. W sprawie C-460/20 Trybunał odniósł się do dowodu oczywistej nieprawdziwości przy żądaniu dereferencji; tego wyroku nie należy zamieniać w automatyczny test dla wszystkich przypadków.

Administrator prowadzący własny serwis powinien z kolei sprawdzić, czy osoba żąda usunięcia treści, anonimizacji, korekty, ograniczenia indeksowania czy samego zaprzestania użycia danych w reklamie. Każde działanie ma inny skutek, dlatego w odpowiedzi warto nazwać konkretny wynik. Przy identyfikatorach internetowych pomocna jest też odrębna analiza zgody na pliki cookies pod RODO, bo samo zamknięcie konta nie wycofuje każdego wyboru w przeglądarce. „Usunęliśmy z Google” nie znaczy „usunęliśmy z bazy”, a „zamknęliśmy konto” nie znaczy „usunęliśmy dane z procesora”.

Wniosek nie wymaga urzędowego formularza

Osoba może zwrócić się do administratora przez zwykły kanał komunikacji, podając informacje pozwalające odnaleźć jej dane i określić żądanie. Administrator nie powinien odsyłać jej wyłącznie do jednego formularza, jeżeli otrzymał zrozumiałe żądanie inną drogą. Gdy istnieją uzasadnione wątpliwości co do tożsamości, art. 12 ust. 6 pozwala zażądać dodatkowych informacji koniecznych do potwierdzenia tożsamości. Rodzaj tych informacji powinien być adekwatny do ryzyka, aby weryfikacja nie tworzyła nowej, nadmiernej kopii dokumentu tożsamości.

W odpowiedzi na częściową odmowę trzeba jasno rozdzielić dane usunięte od pozostawionych. Osoba powinna wiedzieć, jaki przepis lub wyjątek zastosowano i jak może zakwestionować decyzję. Jeśli administrator w ogóle nie podejmuje działania, art. 12 ust. 4 wymaga poinformowania o powodach oraz możliwości wniesienia skargi do organu nadzorczego i skorzystania ze środka ochrony prawnej. To bardziej użyteczne niż automatyczne „odmowa z powodu przepisów”, które nie pozwala sprawdzić ani zakresu, ani terminu retencji.

FAQ

Czy mogę żądać usunięcia z Google?

Tak — przez formularz Google Search Removal Request. W razie odmowy — skarga do UODO. Skuteczność zależy od interesu publicznego osoby (urzędnik, polityk vs osoba prywatna).

Czy bank musi mnie zapomnieć?

Bank powinien rozdzielić dane, które nadal musi przechowywać na podstawie konkretnego przepisu, od danych używanych tylko do marketingu. Okres i jego początek zależą od kategorii dokumentu i właściwego reżimu; w odpowiedzi należy je wskazać, a nie podawać jeden termin dla całej relacji.

Co jeśli administrator nie odpowiada?

Gdy minie miesiąc bez odpowiedzi albo bez terminowego zawiadomienia o uzasadnionym przedłużeniu, osoba może złożyć skargę do UODO. Warto zachować kopię wniosku i dowód jego doręczenia; samo złożenie skargi nie przesądza o wyniku postępowania.

Czy mogę żądać usunięcia danych z LinkedIn?

Tak. LinkedIn jest administratorem. Wniosek przez ustawienia konta lub e-mail RODO. LinkedIn realizuje wnioski zgodnie z RODO. Pełne usunięcie konta — funkcja w panelu użytkownika.

Czy archiwum publiczne musi usunąć moje dane?

Zwykle nie. Cele archiwalne w interesie publicznym (art. 89 RODO + art. 17 ust. 3 lit. d) chronią dokumentację archiwalną. Możliwe ograniczenie dostępu lub anonimizacja w wersji publicznej.

Jak zgłosić żądanie usunięcia danych używanych w systemie AI?

Wniosek należy skierować do administratora konkretnej usługi i wskazać dane, konto, rozmowę lub wynik, którego dotyczy żądanie. Administrator powinien ustalić, które systemy i odbiorcy zawierają dane, rozważyć przesłanki i wyjątki z art. 17 oraz wyjaśnić wykonalny sposób realizacji. Samo zablokowanie wyświetlania odpowiedzi nie dowodzi usunięcia danych z każdej warstwy systemu; również twierdzenie, że zawsze konieczne jest ponowne trenowanie całego modelu, byłoby zbyt kategoryczne.

Czy mogę usunąć dane z systemu reklamacji u operatora telekomunikacyjnego?

Częściowo, zależnie od danych i obowiązujących podstaw. Operator powinien osobno ocenić dokumenty rozliczeniowe, roszczenia, dane transmisyjne i wybory marketingowe; nie mają jednego uniwersalnego terminu retencji. Odpowiedź powinna wskazywać zakres zachowanych informacji, podstawę i sposób obliczenia właściwego okresu. Termin odpowiedzi wynika z art. 12 RODO. Odmowa powinna odnosić się osobno do każdej zachowanej kategorii danych.

Czy mogę żądać usunięcia siebie z social media zmarłej osoby (rodzic, partner)?

Trzeba oddzielić dane zmarłej osoby od danych żyjącego wnioskodawcy. Motyw 27 RODO wyłącza dane osoby zmarłej z zakresu samego rozporządzenia; nie wyłącza jednak ochrony danych żyjącej osoby widocznych w profilu, komentarzu czy fotografii. Jeżeli żądasz usunięcia własnych danych, opisz dokładną treść i swoją relację z nią: administrator platformy powinien rozpatrzyć żądanie według RODO, a skarga do UODO może być właściwa w odniesieniu do twoich danych. Jeżeli chodzi o konto lub dane samej osoby zmarłej, sprawdź odrębne zasady platformy i ewentualne roszczenia wynikające z innych przepisów; samo pokrewieństwo nie tworzy automatycznie prawa do usunięcia całego konta na podstawie art. 17 RODO.

Podstawa prawna i źródła

• Rozporządzenie (UE) 2016/679 (RODO) — pełny tekst, EUR-Lex
• Zestawienie kar UODO — kontekst decyzji krajowych
• UODO: jakie prawa daje RODO, w tym usunięcie danych
• Urząd Ochrony Danych Osobowych (UODO)
• Europejska Rada Ochrony Danych (EROD) — wytyczne