RODO
„Żądam natychmiastowego usunięcia wszystkich moich danych osobowych. W przeciwnym razie zgłoszę sprawę do UODO!” – taką wiadomość może otrzymać praktycznie każdy przedsiębiorca. Czy klient rzeczywiście może zażądać usunięcia wszystkich informacji na swój temat? A jeśli firma nadal potrzebuje tych danych do rozliczeń, windykacji lub obrony przed roszczeniami?
Prawo do bycia zapomnianym jest jednym z uprawnień przewidzianych przez RODO. Nie ma jednak charakteru bezwzględnego. W niektórych przypadkach przedsiębiorca ma obowiązek usunąć dane, a w innych może, albo nawet musi, nadal je przechowywać.
Natalia KrzesajStan prawny na 9 listopada 2026 r.Czas czytania: 7 minut
Najważniejsze informacje
Zgodnie z art. 17 RODO osoba, której dane dotyczą, może żądać ich usunięcia, gdy zachodzi jedna z przesłanek określonych w Rozporządzeniu.
Dotyczy to w szczególności sytuacji, gdy:
Ważne
wycofanie zgody nie zawsze oznacza obowiązek usunięcia wszystkich danych. Jeżeli przedsiębiorca przetwarza je również na innej podstawie prawnej, musi ocenić, czy dalsze przetwarzanie pozostaje uzasadnione.
Wyobraźmy sobie przedsiębiorcę prowadzącego sklep internetowy. Klient kupił produkt, otrzymał fakturę, a następnie zażądał usunięcia wszystkich swoich danych, w tym historii zakupów. Czy w takiej sytuacji sklep musi spełnić żądanie? Tak, ale nie w pełnym zakresie. Art. 17 ust. 3 lit. b RODO przewiduje wyjątek dotyczący danych niezbędnych do wykonania obowiązku prawnego. Jeżeli określone informacje muszą być przechowywane na podstawie przepisów podatkowych, przedsiębiorca nie powinien ich usuwać wyłącznie dlatego, że klient tego zażądał.
Potwierdza to decyzja Prezesa UODO nr ZKE.440.46.2019, dotycząca odmowy usunięcia danych zawartych na fakturze. Organ uznał, że dalsze przechowywanie tych danych było uzasadnione obowiązkami podatkowymi przedsiębiorcy.
Nie oznacza to jednak możliwości bezterminowego przechowywania całej historii współpracy. Dla każdego zbioru danych należy ustalić cel oraz odpowiedni okres przechowywania.
Kolejny przykład: klient nie zapłacił za wykonaną usługę, po czym żąda usunięcia swoich danych osobowych.
Czy firma musi je usunąć i zrezygnować z dochodzenia należności?
Nie. Art. 17 ust. 3 lit. e RODO dopuszcza dalsze przetwarzanie danych, jeżeli jest ono niezbędne do ustalenia, dochodzenia lub obrony roszczeń.
Przedsiębiorca może zatem zachować informacje potrzebne do dochodzenia rzeczywiście istniejącej należności, np. dane identyfikacyjne dłużnika, dokumenty dotyczące wykonania usługi czy korespondencję dotyczącą płatności.
Podobna sytuacja może wystąpić, gdy były klient zapowiada pozew przeciwko firmie.
Nie oznacza to jednak, że samo ogólne powołanie się na możliwość przyszłego sporu pozwala przechowywać wszystkie dane bez ograniczeń. Konieczne jest wykazanie, dlaczego określone informacje są niezbędne i jak długo uzasadnione jest ich przechowywanie.
Załóżmy, że klient przez kilka lat otrzymywał newsletter. Następnie przesłał sprzeciw wobec wykorzystywania jego danych do marketingu bezpośredniego.
W takim przypadku art. 21 ust. 3 RODO nakazuje zaprzestanie przetwarzania danych w tym celu.
W praktyce największym problemem nie zawsze jest ustalenie, czy dane należy usunąć, lecz prawidłowa obsługa całego wniosku. Poniżej opisano postępowanie w pięciu krokach:
Ustalenie zakresu żądania – Klient może żądać usunięcia konta, zaprzestania marketingu albo całkowitego usunięcia informacji ze wszystkich systemów. Należy ustalić, czego konkretnie dotyczy wniosek.
Weryfikacja tożsamości wnioskodawcy – Administrator może żądać dodatkowych informacji w przypadku uzasadnionych wątpliwości co do tożsamości osoby składającej wniosek.
Ocena celów i podstaw przetwarzania – Te same dane mogą być wykorzystywane do realizacji umowy, rozliczeń księgowych i marketingu. Każdy cel wymaga osobnej oceny.
Decyzja i odpowiedź dla klienta – Jeżeli dane podlegają usunięciu, należy zrealizować żądanie. W przypadku odmowy trzeba wyjaśnić przyczyny dalszego przetwarzania oraz poinformować o przysługujących prawach.
Udokumentowanie realizacji wniosku – Należy udokumentować informację o zakresie żądania, dokonanej ocenie, podjętych działaniach i udzielonej odpowiedzi. Zakres tej dokumentacji również powinien odpowiadać zasadzie minimalizacji.
Administrator powinien udzielić odpowiedzi bez zbędnej zwłoki, jednak nie później niż w ciągu miesiąca od dnia otrzymania żądania (art. 12 ust. 3 RODO).
W przypadku bardziej skomplikowanych spraw termin udzielenia odpowiedzi może zostać przedłużony o maksymalnie dwa miesiące. Administrator ma jednak obowiązek poinformować wnioskodawcę o przedłużeniu terminu i jego przyczynach w ciągu miesiąca od otrzymania żądania.
RODO nie wymaga stosowania jednego urzędowego wzoru wniosku o usunięcie danych osobowych.
Żądanie może zostać przekazane telefonicznie lub e-mailem. Przedsiębiorca nie powinien odmawiać jego rozpatrzenia wyłącznie dlatego, że klient nie skorzystał z firmowego formularza.
Warto natomiast opracować wewnętrzną procedurę obsługi takich zgłoszeń, określającą osoby odpowiedzialne, terminy i zasady dokumentowania odpowiedzi.
Prawo do bycia zapomnianym nie oznacza prawa do usunięcia wszystkich śladów współpracy z przedsiębiorcą. O prawidłowej realizacji żądania decydują przede wszystkim cele przetwarzania, istniejące podstawy prawne oraz obowiązki wynikające z innych przepisów.
Natalia Krzesaj
Inspektor Ochrony Danych Osobowych
Inspektor ochrony danych osobowych. Publikuje m.in. o prawach osób, których dane dotyczą, kontaktach z PUODO i rejestrze czynności przetwarzania.
Prawa w RODO
Przegląd wszystkich praw osób, których dane dotyczą.
PUODO
Jak reagować, gdy klient złoży skargę do organu.
Dokumentacja
Cele, podstawy i okresy przechowywania danych w jednym miejscu.
W tym artykule
Do kancelarii Votum Legal Halaś, Konieczny i Wspólnicy można zwrócić się z każdą sprawą dotyczącą realizacji praw osób, których dane dotyczą – po jednorazową poradę, przygotowanie odpowiedzi na konkretny wniosek albo stałą obsługę w tym zakresie.
Formularz kontaktowy
Wypełnij formularz a my skontaktujemy się w możliwie najkrótszym czasie.