Prawo dostępu (art. 15 RODO): wniosek i procedura

W jednym zdaniu. Prawo dostępu do danych osobowych (art. 15 RODO) pozwala uzyskać informacje o przetwarzaniu oraz pierwszą bezpłatną kopię danych. Administrator powinien odpowiedzieć bez zbędnej zwłoki, co do zasady najpóźniej w ciągu jednego miesiąca od otrzymania wniosku.

Najważniejsze punkty

• Podstawa: art. 15 RODO + art. 12 (procedura).
• 9 kategorii informacji do udostępnienia.
• Kopia pierwsza — bezpłatna. Kolejne — opłata “rozsądna”.
• Termin: jeden miesiąc; w razie złożoności lub liczby wniosków można go przedłużyć o dwa miesiące, informując o tym w pierwszym miesiącu.
• Wyjątki: prawa osób trzecich, tajemnice (handlowa, zawodowa, państwowa).
• Wyroki TSUE C-487/21 i C-307/22 wyjaśniają zakres kopii danych oraz bezpłatność pierwszej kopii.

1. Treść prawa dostępu

Art. 15 ust. 1 RODO daje osobie dwa uprawnienia:

• Potwierdzenie, czy administrator przetwarza jej dane.
• Dostęp do informacji o przetwarzaniu (9 kategorii) i kopii danych.

Art. 15 ust. 3 — kopia danych podlegających przetwarzaniu. Wyrok TSUE C-487/21 wyjaśnia, że kopia ma wiernie i zrozumiale odtwarzać dane, a fragment lub cały dokument może być potrzebny do ich zrozumienia. Wyrok C-307/22 dotyczył pierwszej bezpłatnej kopii dokumentacji medycznej.

2. Dziewięć kategorii informacji

Administrator udostępnia (art. 15 ust. 1):

• Cele przetwarzania.
• Kategorie danych.
• Odbiorcy lub kategorie odbiorców.
• Planowany okres przechowywania lub kryteria.
• Prawa osoby (sprostowanie, usunięcie danych, ograniczenie, sprzeciw).
• Prawo do skargi do UODO.
• Źródło danych (jeśli nie od osoby).
• Informacje o zautomatyzowanym podejmowaniu decyzji, w tym profilowaniu, o którym mowa w art. 22, oraz istotne informacje o zasadach tych decyzji.
• Transfery do państw trzecich z mechanizmem.

3. Forma wniosku

Brak wymogu formy. Akceptowane: e-mail, formularz na stronie, list polecony, ustnie do protokołu. Administrator nie może wymagać szczególnej formy. Wymóg podania PESEL lub kopii dowodu — nadmiarowy (chyba że uzasadnione weryfikacją tożsamości). Wytyczne EROD 01/2022 zalecają proporcjonalność weryfikacji.

4. Weryfikacja tożsamości

Art. 12 ust. 6: w razie uzasadnionych wątpliwości administrator może żądać dodatkowych informacji w celu potwierdzenia tożsamości. Praktyka: dla osób z kontem (e-commerce) — logowanie wystarcza. Dla osób bez konta — dodatkowe informacje tylko wtedy, gdy istnieją uzasadnione wątpliwości co do tożsamości. Niedopuszczalne: skan dowodu tożsamości jako standard.

5. Termin realizacji

Bez zbędnej zwłoki, najpóźniej w ciągu miesiąca od otrzymania wniosku (art. 12 ust. 3). Jeżeli przemawia za tym złożoność lub liczba wniosków, termin można przedłużyć o kolejne dwa miesiące, lecz w pierwszym miesiącu trzeba poinformować osobę o przedłużeniu i przyczynach. Nie ma ustawowego terminu „30 dni” dla każdego miesiąca ani dowodu na jedną średnią obsługi wszystkich polskich firm.

6. Forma odpowiedzi

Pisemna lub elektroniczna w zależności od formy wniosku. Jeśli wniosek elektroniczny — odpowiedź elektroniczna (chyba że osoba zażąda innej). Treść: pełna informacja z 9 kategorii + kopia danych. Format kopii: czytelny (PDF, CSV, JSON). Nie mieszaj prawa dostępu z przenoszeniem danych z art. 20: tam wymóg ustrukturyzowanego, powszechnie używanego formatu do odczytu maszynowego ma odrębne przesłanki.

7. Kopia danych — co to znaczy

Wyrok C-487/21 (4 maja 2023 r.): kopia obejmuje wszystkie dane osobowe, nie tylko listę kategorii. Może obejmować fragmenty dokumentów (e-maile, notatki, decyzje), jeśli niezbędne do realizacji praw osoby. Nie wyklucza ochrony interesów osób trzecich i tajemnic. Przygotowanie kopii: ekstrakcja z systemów, anonimizacja danych osób trzecich.

8. Wyjątki — kiedy odmówić

Jeżeli administrator nie podejmuje działań, powinien w ciągu miesiąca poinformować osobę o powodach oraz możliwości wniesienia skargi do UODO i skorzystania ze środka ochrony prawnej (art. 12 ust. 4 RODO). Informacja może być przekazana także elektronicznie zgodnie z art. 12 ust. 1; nie ma ogólnego wymogu papierowego pisma.

9. Opłaty za kopię

Pierwsza kopia — bezpłatna (art. 15 ust. 3). Kolejne kopie — administrator może pobrać opłatę “rozsądną wynikającą z kosztów administracyjnych”. RODO nie ustala cennika w złotych; ewentualna opłata musi odpowiadać kosztom administracyjnym i warunkom ustawowym. Wnioski “ewidentnie nieuzasadnione lub nadmierne” (powtarzalne) — odmowa lub opłata (art. 12 ust. 5).

10. Wniosek pracownika

Pracownik ma pełne prawo dostępu do akt osobowych (RODO art. 15 + KP). HR powinien zmieścić się w terminie wynikającym z art. 12 ust. 3 RODO. Zakres: umowa, aneksy, zaświadczenia, kary porządkowe, ocena pracownicza, korespondencja kadrowa. Notatki i oceny także mogą zawierać dane osobowe pracownika; prawa innych osób wymagają oceny i w razie potrzeby ograniczenia zakresu ujawnienia, a nie automatycznej odmowy. Zasady przetwarzania danych pracowników przez pracodawcę opisujemy w osobnym przewodniku.

11. Wniosek klienta bankowego

Bank powinien ustalić, które dane klienta przetwarza: dane podstawowe, historię transakcji, korespondencję, dane wykorzystane w ocenie kredytowej i wynik scoringu, jeśli odnoszą się do tej osoby. Informacje o istotnej logice, znaczeniu i przewidywanych konsekwencjach są wymagane na podstawie art. 15 ust. 1 lit. h wtedy, gdy zachodzi zautomatyzowane podejmowanie decyzji w rozumieniu art. 22 ust. 1 lub 4. Nie każda ocena kredytowa automatycznie spełnia ten warunek. Tajemnica handlowa wymaga konkretnej oceny, a nie ogólnej odmowy. Więcej o obowiązkach instytucji finansowych w przewodniku RODO w sektorze bankowym.

12. Procedura wewnętrzna obsługi SAR

Subject Access Request (SAR) — standard procedury:

1. Rejestracja wniosku.
2. Weryfikacja tożsamości.
3. Inwentaryzacja danych w systemach.
4. Ekstrakcja danych z każdego systemu.
5. Ocena wyjątków i anonimizacja stron trzecich.
6. Przygotowanie kopii w formacie odpowiednim.
7. Sporządzenie pisma z 9 kategoriami informacji.
8. Wysyłka odpowiedzi.
9. Log w rejestrze wniosków.

13. Odpowiedź na skargę i dowód wykonania

Nie przywołuj nieweryfikowalnych tabel domniemanych kar. Po skardze do UODO administrator powinien móc wykazać datę wpływu wniosku, przeprowadzoną identyfikację, zakres przeszukanych systemów, odpowiedź i sposób jej doręczenia. Sama wiadomość „zajmiemy się tym” nie jest wykonaniem prawa dostępu. Wytyczne EROD 01/2022 wyjaśniają, że wniosek nie wymaga szczególnej formy, a administrator ma ułatwiać wykonanie prawa. Przewodnik po UODO pomaga ustalić właściwą drogę skargi, jeśli osoba kwestionuje odpowiedź.

14. Orzecznictwo TSUE rozszerzające art. 15

C-307/22 FT (26.10.2023) — pierwsza kopia dokumentacji medycznej jest bezpłatna, nawet gdy pacjent zamierza wykorzystać ją w sporze; C-579/21 Pankki S (22.6.2023) — informacje o operacjach dostępu do danych klienta, w tym daty i cele, mogą być objęte prawem dostępu, natomiast tożsamość pracownika wymaga odrębnej oceny; C-487/21 F.F. v Österreichische Datenschutzbehörde (4.5.2023) — kopia musi wiernie i zrozumiale odtwarzać dane; C-154/21 RW v Österreichische Post (12.1.2023) — co do zasady trzeba podać konkretnych odbiorców danych, gdy osoba tego żąda, z wyjątkami wskazanymi przez Trybunał. C-634/21 SCHUFA dotyczy tego, kiedy scoring jest zautomatyzowaną decyzją w rozumieniu art. 22. C-203/22 Dun & Bradstreet Austria wyjaśnia natomiast zakres sensownej informacji o logice w art. 15 ust. 1 lit. h. Dla administratora oznacza to najpierw ocenę, czy art. 22 ma zastosowanie, a następnie opis rzeczywistej procedury i zasad użytych do uzyskania wyniku, który osoba może zrozumieć i zakwestionować. Patrz RODO Art. 5 zasady, umowa powierzenia wzór.

FAQ

Czy administrator może żądać uzasadnienia wniosku?

Nie. Prawo dostępu nie wymaga podania celu ani uzasadnienia, choć stosuje się ustawowe granice i wyjątki. Administrator nie może pytać “po co” ani odmówić z braku uzasadnienia.

Czy mogę uzyskać dostęp do nagrań CCTV ze mną?

Tak, w zakresie nagrań ze mną, anonimizując pozostałe osoby. Administrator powinien rozważyć możliwość wyodrębnienia odpowiedniego fragmentu i ochrony osób trzecich; sam brak wygodnej funkcji eksportu nie usuwa prawa do kopii.

Czy mogę otrzymać kopię e-maili o mnie?

Tak, jeśli zawierają moje dane osobowe. Administrator musi anonimizować dane osób trzecich. Wewnętrzny charakter notatki nie wyklucza dostępu do danych osobowych; konkretne prawa innych osób należy chronić proporcjonalnie.

Co jeśli odpowiedź jest niepełna?

Można wskazać administratorowi brakujące dane i poprosić o uzupełnienie. Jeśli nadal niepełna — skarga do UODO. UODO ma kompetencję do nakazania pełnej realizacji wniosku.

Czy mogę żądać kopii moich rozmów z BOK?

Tak, jeśli były nagrywane. Administrator musi mieć podstawę prawną nagrywania z art. 6 (zgoda, interes uzasadniony) i informację w klauzuli. Forma kopii musi wiernie i zrozumiale przekazywać dane; sposób udostępnienia zależy od tego, co jest potrzebne w danej sprawie.

Czy mogę żądać kopii moich danych z systemu AI lub modelu predykcyjnego?

Prawo dostępu obejmuje dane osobowe wykorzystane lub wytworzone w takim systemie. Informacje o zautomatyzowanym podejmowaniu decyzji, w tym profilowaniu, oraz istotnych zasadach podejmowania decyzji wynikają z art. 15 ust. 1 lit. h, gdy zastosowanie ma art. 22 ust. 1 lub 4. Samo użycie narzędzia AI nie oznacza automatycznie, że wszystkie te przepisy znajdują zastosowanie. Nie ma też ogólnego prawa do kodu źródłowego ani danych innych osób. Najpierw ustal rodzaj decyzji i rolę systemu, potem przygotuj informacje odpowiadające rzeczywistemu procesowi.

Jakie są konsekwencje braku odpowiedzi w terminie?

Brak działania w ustawowym terminie może prowadzić do skargi i środków nadzorczych. Naruszenie praw osób z art. 12–22 należy do wyższego progu art. 83 ust. 5 lit. b RODO: do 20 mln EUR albo 4% światowego rocznego obrotu, zależnie od tego, która kwota jest wyższa. To maksimum, nie typowa kara za jedno spóźnienie; zestawienie kar UODO trzeba czytać przez pryzmat faktów każdej decyzji. Wewnętrznie prowadź rejestr wniosków z datą wpływu, wyznacz osobę odpowiedzialną i zastępstwo oraz stosuj wcześniejsze terminy robocze na identyfikację i przeszukanie systemów.

Czy mogę żądać kopii danych w imieniu innej osoby (np. rodzica)?

Można działać przez należycie umocowanego pełnomocnika albo przedstawiciela ustawowego, jeżeli prawo przyznaje mu taką rolę. Opiekun prawny osoby całkowicie ubezwłasnowolnionej działa jako przedstawiciel ustawowy, a nie na podstawie pełnomocnictwa od tej osoby. Kurator osoby częściowo ubezwłasnowolnionej może ją reprezentować tylko w zakresie określonym przez sąd. Administrator powinien sprawdzić podstawę i zakres umocowania bez gromadzenia zbędnych danych. Po śmierci osoby RODO co do zasady nie chroni jej danych, lecz przepisy szczególne mogą regulować dostęp do dokumentacji medycznej lub bankowej; nie należy z samego pokrewieństwa wywodzić pełnego dostępu do wszystkich danych. RODO nie ustanawia powszechnego wymogu notarialnego poświadczenia podpisu dla wniosku z art. 15.

Rozpoznanie wniosku w praktyce

Prośba „chcę wiedzieć, jakie dane o mnie macie” jest wnioskiem o dostęp nawet bez powołania art. 15. Pracownik obsługi nie powinien odsyłać osoby do formularza wyłącznie dlatego, że wiadomość przyszła zwykłym e-mailem. Najpierw zapisuje datę wpływu i identyfikator sprawy. Następnie sprawdza, czy organizacja w ogóle jest administratorem danych, których dotyczy żądanie. Gdy działa tylko jako podmiot przetwarzający na rzecz klienta, przekazuje informację zgodnie z umową i instrukcjami; nie powinien samodzielnie ujawniać danych, do których nie ma roli administratora.

Zespół powinien ustalić zakres: konto klienta, korespondencja, dane z infolinii, logi, decyzje, dane pozyskane od pośredników. Nie należy ograniczać odpowiedzi do bazy, którą obsługuje osoba przyjmująca wniosek. Dla każdego systemu wskaż właściciela, termin przeszukania i sposób przekazania wyników. Rejestr czynności przetwarzania pomaga odnaleźć procesy i odbiorców, ale nie jest gotową kopią danych osoby. Przed wysyłką warto porównać listę systemów z odpowiedzią i zaznaczyć, dlaczego niektóre źródła nie zawierały danych tej osoby.

Identyfikacja bez tworzenia nowego ryzyka

Jeżeli osoba pisze z adresu przypisanego do aktywnego konta, organizacja może skorzystać z bezpiecznej ścieżki konta. Jeżeli wniosek przychodzi z nieznanego adresu i dotyczy wrażliwych danych, istnieją uzasadnione wątpliwości i można poprosić o dodatkową informację niezbędną do potwierdzenia tożsamości. Nie chodzi o automatyczne kopiowanie dowodu osobistego: taki dokument tworzy nowe ryzyko i może ujawnić znacznie więcej danych, niż trzeba. Rozważ potwierdzenie przez wcześniej znany kanał, ograniczone pytanie o szczegół usługi lub bezpieczny portal. Zapisz, dlaczego wybrano daną metodę.

Termin odpowiedzi liczony jest od otrzymania wniosku. Dodatkowa weryfikacja nie powinna stać się sposobem sztucznego opóźniania. Jeżeli żądanie jest szerokie, można poprosić o doprecyzowanie, lecz samo pytanie nie znosi wszystkich obowiązków ani nie zmienia automatycznie daty wpływu. W komunikacji z osobą podaj, czego potrzeba i dlaczego. W razie przedłużenia z powodu złożoności lub liczby wniosków poinformuj ją w ciągu pierwszego miesiąca oraz podaj powody. Wewnętrzny wzór klauzuli informacyjnej nie powinien zastępować takiej indywidualnej odpowiedzi.

Jak sporządzić kopię, którą można zrozumieć

Wydruk surowych identyfikatorów bez objaśnień może nie pozwalać osobie zrozumieć, jakie dane są o niej przetwarzane. Z drugiej strony żądanie kopii nie daje automatycznie prawa do całej dokumentacji firmy. Przygotuj wierną reprodukcję danych osobowych w zrozumiałym kontekście. Jeżeli znaczenie danych zależy od fragmentu e-maila, wyniku oceny lub zapisów dokumentacji medycznej, odpowiedni fragment albo całość dokumentu mogą być konieczne. Gdy dokument zawiera dane innych osób, rozważ zasłonięcie tych części lub inną metodę ochrony; nie odrzucaj całego wniosku tylko dlatego, że wymaga pracy.

Odbiorcy to także kwestia jakości odpowiedzi. Jeżeli dane ujawniono konkretnym podmiotom i osoba pyta o nich, wyrok TSUE C-154/21 wymaga co do zasady informacji o rzeczywistych odbiorcach, a nie tylko szerokiej kategorii, chyba że identyfikacja jest niemożliwa lub wniosek jest ewidentnie nieuzasadniony albo nadmierny. W odpowiedzi określ też źródło danych, gdy nie pochodzą od osoby. To pozwala jej wykryć błąd i skorzystać z prawa do sprostowania.

Pracownik, klient banku i nagranie rozmowy

Wniosek pracownika może obejmować ocenę, korespondencję i dane w systemie rekrutacji. Nie ma ogólnego wyjątku dla „notatek wewnętrznych”. Jednocześnie kopia powinna chronić dane innych pracowników i tajemnice tam, gdzie art. 15 ust. 4 oraz właściwe przepisy wyznaczają granice. W banku odpowiedź może objąć dane transakcyjne, historię kontaktów i informacje o decyzjach zautomatyzowanych, jeśli spełniają przesłanki art. 15 ust. 1 lit. h. Nie oznacza to automatycznego prawa do kodu źródłowego modelu. Chodzi o informację pozwalającą zrozumieć istotną logikę, znaczenie i przewidywane konsekwencje stosowania takiej decyzji.

Przy nagraniu rozmowy z infolinią sprawdź, czy zapis wciąż istnieje i które fragmenty dotyczą osoby. Sama możliwość wysłania transkrypcji nie rozstrzyga, czy wiernie oddaje wszystkie istotne dane z nagrania. Przy monitoringu wizyjnym krótki okres retencji wymaga szybkiego zabezpieczenia właściwego fragmentu; równocześnie trzeba chronić wizerunki innych osób. Dokumentuj decyzję o zakresie, bo różne nośniki mogą prowadzić do różnych sposobów wykonania tego samego prawa.

Odpowiedź negatywna i granice odmowy

Jeżeli po rzetelnym przeszukaniu organizacja nie przetwarza danych osoby, odpowiada negatywnie. Jeżeli ogranicza prawo, powinna wskazać konkretną podstawę i zakres, a nie ogólne „tajemnica firmy”. Art. 12 ust. 5 pozwala odmówić lub pobrać rozsądną opłatę za wniosek ewidentnie nieuzasadniony lub nadmierny, zwłaszcza powtarzalny, ale ciężar wykazania tego charakteru spoczywa na administratorze. Sam fakt, że osoba toczy spór z firmą, nie czyni wniosku nadużyciem. W razie odmowy należy poinformować o powodach, możliwości skargi do UODO i środku ochrony prawnej.

Przed zamknięciem sprawy sprawdź pięć rzeczy: datę odpowiedzi, zakres systemów, kompletność kopii, ochronę osób trzecich oraz bezpieczny kanał przekazania. Zachowaj ślad, jakie kategorie informacji z art. 15 ust. 1 przekazano. Uczyń z tego listę kontrolną, a nie długi automatyczny szablon. Osoba potrzebuje odpowiedzi o swoich danych, nie kopii polityki prywatności bez odniesienia do swojej sprawy.

Kontrola jakości przed wysłaniem odpowiedzi

Przykładowy przegląd można wykonać na fikcyjnym wniosku klienta, który korzystał z aplikacji, pisał do obsługi i złożył reklamację. Zespół powinien odnaleźć dane w każdym z trzech procesów, ustalić odbiorców, podstawę retencji i bezpieczny sposób przekazania kopii. Osoba sprawdzająca odpowiedź powinna móc odtworzyć, dlaczego pewne fragmenty zostały zasłonięte i czy mimo tego klient rozumie własne dane. Jeśli ujawnienie przez zwykły e-mail byłoby ryzykowne, zaproponuj portal lub inny bezpieczny kanał, nie pozostawiając sprawy bez odpowiedzi. Odnotuj moment wysłania, wersję pakietu i ewentualne późniejsze uzupełnienie. Ta próba pokazuje, czy procedura działa poza pojedynczym systemem CRM i czy pracownicy rozpoznają wniosek nawet bez sformułowania „art. 15”.

Podstawa prawna i źródła

• Rozporządzenie (UE) 2016/679 (RODO) — pełny tekst, EUR-Lex
• Urząd Ochrony Danych Osobowych (UODO)
• Europejska Rada Ochrony Danych (EROD) — wytyczne