Art. 17 nie działa „zawsze”
Prawo do usunięcia danych przysługuje, gdy spełnione są przesłanki z art. 17 ust. 1 RODO — ale istnieją też wyraźne wyjątki (art. 17 ust. 3).
Dlaczego Twoje żądanie usunięcia danych może być odrzucone?
RODO daje „prawo do bycia zapomnianym”, ale nie zawsze. Zobacz, kiedy art. 17 działa, a kiedy administrator może zgodnie z prawem odmówić.
Wiele osób składa wniosek o usunięcie danych (art. 17 RODO) i jest zaskoczonych odpowiedzią „odmawiamy”. To nie musi oznaczać, że firma działa nielegalnie — RODO przewiduje wyjątki, np. gdy dane są potrzebne do obowiązków prawnych albo do obrony istniejących roszczeń. Poniżej wyjaśniamy prosto, kiedy usunięcie przysługuje, a kiedy nie.
Generator: wniosek o usunięcie danych (art. 17)W skrócie
Obowiązek prawny może „zatrzymać” dane
Administrator może odmówić usunięcia, jeśli musi przechowywać dane na podstawie przepisów (np. podatkowych, rachunkowych lub regulacyjnych).
Roszczenia i dowody to częsta przyczyna odmowy
Dane mogą być potrzebne do ustalenia, dochodzenia lub obrony istniejących roszczeń — wtedy zazwyczaj jest odmowa usunięcia.
Najpierw do administratora — dopiero potem skarga
UODO przypomina: swoje prawa realizuj w pierwszej kolejności u administratora lub IOD. Skarga ma sens, gdy odmowa jest nieuzasadniona.
Czym jest prawo do usunięcia danych (art. 17 RODO)?
Prawo do usunięcia danych — nazywane potocznie „prawem do bycia zapomnianym” — oznacza, że możesz żądać od administratora usunięcia dotyczących Cię danych osobowych „bez zbędnej zwłoki”, jeżeli zachodzi jedna z przesłanek wskazanych w art. 17 ust. 1 RODO. Źródło: tekst RODO w EUR-Lex.
Ważne: to prawo nie jest magicznym przyciskiem „usuń wszystko”. RODO przewiduje sytuacje, w których administrator ma prawo powiedzieć „nie” (art. 17 ust. 3). UODO podkreśla, że prawo do bycia zapomnianym „nie jest bezwzględne” i podlega wyjątkom. Zobacz wyjaśnienie UODO.
Kiedy administrator ma obowiązek usunąć dane?
Administrator powinien usunąć dane, gdy spełnia się przynajmniej jeden z typowych scenariuszy z art. 17 ust. 1 RODO. W praktyce najczęściej chodzi o:
- dane nie są już potrzebne do celu, w jakim zostały zebrane,
- cofnąłeś zgodę, a administrator nie ma innej podstawy przetwarzania,
- wniosłeś sprzeciw, a administrator nie ma nadrzędnych podstaw do dalszego przetwarzania,
- dane były przetwarzane niezgodnie z prawem.
To są sytuacje, w których wniosek o usunięcie ma mocne podstawy. UODO podaje podobne przykłady i ostrzega, by pamiętać o wyjątkach (UODO 2257).
Kiedy administrator może zgodnie z prawem odmówić?
- Obowiązek prawny przechowywania — gdy przepisy nakazują przechowywanie dokumentów (np. księgowych, podatkowych, regulacyjnych). (art. 17 ust. 3 lit. b RODO)
- Roszczenia i cele dowodowe — dane są potrzebne do ustalenia, dochodzenia lub obrony roszczeń. (art. 17 ust. 3 lit. e RODO)
- Interes publiczny / zadania publiczne — archiwizacja w interesie publicznym, badania naukowe, statystyka. (art. 17 ust. 3 lit. d RODO)
- Wolność wypowiedzi i informacji — szczególnie w kontekście publikacji i mediów. (art. 17 ust. 3 lit. a RODO)
W skrócie: „prawo do bycia zapomnianym” działa, ale jest wyważane z innymi obowiązkami i prawami. Dlatego odmowa nie musi oznaczać naruszenia.
Najczęstsze powody odrzucania wniosków (i jak je rozpoznać)
Jeśli administrator odmawia, zwykle argument kręci się wokół jednego z czterech tematów: obowiązek prawny, roszczenia/dowody, interes publiczny albo wolność wypowiedzi. Poniżej najczęstsze błędy, które prowadzą do „odmowy” lub nieporozumienia.
Błędy po stronie osób (których dane dotyczą)
„RODO każe usunąć wszystko natychmiast”
Nie. Art. 17 przewiduje przesłanki i wyjątki. Jeśli istnieje obowiązek przechowywania albo cel dowodowy, administrator może odmówić.
Wniosek bez wskazania, dlaczego dane mają być usunięte
Pomaga, gdy napiszesz prostą podstawę: „dane nie są już potrzebne” albo „cofam zgodę i nie ma innej podstawy”. To ułatwia ocenę art. 17 ust. 1.
Mylenie usunięcia z wypisaniem z marketingu
Jeśli problemem jest marketing, czasem właściwszy jest sprzeciw wobec marketingu (art. 21) niż art. 17.
Pisanie do niewłaściwej firmy / marki zamiast do administratora
W grupach kapitałowych łatwo trafić do „marki”. Szukaj administratora w klauzuli informacyjnej (art. 13–14).
Brak prośby o uzasadnienie odmowy i wskazanie podstawy
Masz prawo oczekiwać jasnej odpowiedzi: jaki wyjątek z art. 17 ust. 3 stosują i dlaczego.
Błędy po stronie firm (administratorów)
Lakoniczna odmowa bez wyjaśnienia wyjątku
Odmowa powinna być zrozumiała: wskazanie powodu (np. obowiązek prawny, roszczenia) i logiczne uzasadnienie, nie tylko „nie, bo nie”.
Automatyczne „nie” mimo braku obowiązku przechowywania
Jeśli dane są naprawdę zbędne, a nie ma innej podstawy, odmowa może być niezasadna — wtedy użytkownik ma argumenty do eskalacji.
Trzymanie danych „na zapas” bez celu
RODO wymaga minimalizacji i ograniczenia przechowywania. „Bo może się przyda” to nie jest dobry powód.
Brak rozróżnienia: usunięcie vs ograniczenie przetwarzania
Czasem właściwym środkiem jest ograniczenie (art. 18), a nie usunięcie. Firma powinna umieć to wytłumaczyć.
Brak informacji, co konkretnie zostanie usunięte
Dobra praktyka: wskazać kategorie danych/usług. Użytkownik powinien rozumieć, czy chodzi o konto, historię zakupów, newsletter itp.
Co zrobić, gdy administrator odrzuci Twoje żądanie?
1) Sprawdź, czy odmowa wskazuje konkretny powód. Szukaj odwołania do obowiązku prawnego, roszczeń/dowodów, interesu publicznego albo wolności wypowiedzi (art. 17 ust. 3).
2) Poproś o doprecyzowanie. Jeśli odpowiedź jest ogólna, odpisz: „Proszę wskazać, na jakiej podstawie i przez jaki okres będą Państwo przechowywać moje dane oraz które kategorie danych to obejmuje.”
3) Rozważ alternatywę: ograniczenie przetwarzania (art. 18) lub sprzeciw (art. 21). Gdy spór dotyczy poprawności danych lub roszczeń — ograniczenie bywa bardziej realistyczne niż usunięcie „od razu”.
4) Złóż poprawny wniosek o usunięcie danych. Użyj naszego generatora — pomoże Ci sformułować żądanie jasno i „pod art. 17”, bez chaosu. Użyj naszego generatora
5) Dopiero potem skarga. UODO wskazuje, że w pierwszej kolejności kontaktujesz się z administratorem lub IOD. Skarga ma sens, gdy problem nie zostanie rozwiązany albo odmowa jest nieuzasadniona. UODO 2262.
Dlaczego „prawo do bycia zapomnianym” nie jest bezwzględne?
Hasło „prawo do bycia zapomnianym” bywa rozumiane jak gwarancja: „kasujecie wszystko, bo proszę”. RODO działa inaczej: daje prawa, ale jednocześnie ustawia granice, żeby nie dało się nimi „wymazać” obowiązków prawnych, bezpieczeństwa obrotu czy dowodów w sporach.
UODO tłumaczy to prosto: możesz żądać usunięcia danych w wielu sytuacjach (np. gdy są zbędne lub przetwarzane niezgodnie z prawem), ale nie zawsze — bo istnieją wyjątki. UODO 2257.
Warto pamiętać, że EROD/EDPB podkreślają wagę równoważenia praw i kontekstu w sprawach „right to be forgotten”. To pokazuje, że decyzje o usunięciu danych są często zależne od sytuacji, a nie czarno-białe.
Chcesz złożyć wniosek, który ma sens „pod art. 17”?
Jeśli chcesz uniknąć odmowy „bo brak podstawy” albo niejasnej odpowiedzi, skorzystaj z naszego generatora. Pomoże Ci opisać sytuację prostym językiem i wskazać właściwą podstawę z art. 17 RODO — bez prawniczego żargonu.
FAQ: odrzucone żądanie usunięcia danych
Dlaczego administrator odrzucił mój wniosek o usunięcie danych?
Najczęściej dlatego, że zachodzi wyjątek z art. 17 ust. 3 RODO — np. dane muszą być przechowywane z powodu obowiązku prawnego albo do obrony roszczeń.
Kiedy art. 17 RODO działa najsilniej?
Gdy dane są już zbędne do celu, były przetwarzane niezgodnie z prawem albo cofnąłeś zgodę i nie ma innej podstawy przetwarzania (art. 17 ust. 1).
Czy administrator musi podać powód odmowy?
Powinien jasno wyjaśnić, dlaczego nie usuwa danych i na jakiej podstawie je zachowuje — tak, abyś mógł ocenić, czy odmowa jest zasadna.
Czy usunięcie danych oznacza usunięcie wszystkiego „z każdego systemu”?
Nie zawsze. Jeśli część danych musi zostać (np. rozliczenia), firma może usunąć dane zbędne, a resztę przechowywać tylko w niezbędnym zakresie.
Co zrobić, gdy odmowa jest lakoniczna i nic z niej nie wynika?
Poproś o doprecyzowanie: które dane, na jakiej podstawie i jak długo będą przechowywane. To często porządkuje sprawę.
Czy najpierw mam pisać do UODO?
Nie. UODO wskazuje, że najpierw kierujesz żądanie do administratora lub IOD. Skarga ma sens dopiero, gdy sprawa nie zostanie rozwiązana (UODO 2262).
Czy mogę żądać ograniczenia zamiast usunięcia?
Tak. Gdy trwa spór lub roszczenia, ograniczenie przetwarzania (art. 18) bywa właściwszym narzędziem niż natychmiastowe usunięcie.
Czy firma zawsze musi usunąć moje dane, jeśli tego zażądam?
Nie. Prawo do usunięcia ma wyjątki (art. 17 ust. 3 RODO), np. obowiązek prawny przechowywania lub potrzeba obrony roszczeń.
Czy „prawo do bycia zapomnianym” oznacza, że znikam z dokumentów i rozliczeń?
Nie. Dokumenty, które firma musi przechowywać, mogą pozostać w ograniczonym zakresie — usuwane powinny być dane zbędne.
Czy cofnięcie zgody zawsze wymusza usunięcie danych?
Nie. Usunięcie po cofnięciu zgody dotyczy sytuacji, gdy nie ma innej podstawy prawnej przetwarzania (art. 17 ust. 1 lit. b).
Czy po odmowie jedyną drogą jest od razu skarga do UODO?
Nie. Najpierw wyjaśnij sprawę z administratorem/ IOD i poproś o doprecyzowanie podstaw odmowy (UODO 2262).