Art. 15 RODO: kopia danych, termin i odmowa - kara za brak odpowiedzi

Do Twojej firmy przychodzi mail: „proszę o kopię wszystkich moich danych”. Ktoś go czyta, odkłada na później… i później przychodzi pismo z urzędu. Art. 15 RODO daje każdemu prawo do kopii swoich danych, a art. 12 RODO mówi, ile masz czasu na odpowiedź.

Francuski urząd ochrony danych właśnie pokazał, ile kosztuje takie „później”: 300 tys. euro dla firmy EXTIA. Poniżej wyjaśniam, za co dokładnie była ta kara, czy polskiej firmie grozi to samo, co musisz wydać na żądanie kopii i kiedy wolno Ci odmówić.

Żądania RODO bez odpowiedzi i po terminie: kara 300 tys. euro dla EXTIA

EXTIA to francuska firma, która rekrutuje konsultantów IT i inżynierów, a potem kieruje ich do projektów u swoich klientów. W 2024 r. dostała 265 żądań usunięcia danych, głównie od kandydatów do pracy, a w części od byłych pracowników.

Po kilku skargach byłych pracowników i kandydatów, a także w ramach wspólnej akcji europejskich urzędów dotyczącej prawa do usunięcia danych, francuski urząd ochrony danych (CNIL) skontrolował firmę w kwietniu 2025 r. Ponad trzy czwarte żądań załatwiono źle albo wcale:

• 12 żądań w ogóle nie rozpatrzono,
• 166 osób nie dostało żadnej informacji, co zrobiono z ich żądaniem,
• 27 osób dostało odpowiedź po terminie jednego miesiąca, część po kilku miesiącach.

Firma broniła się, że dane wielu kandydatów i tak zostały automatycznie usunięte. CNIL odpowiedział, że automatyczne usunięcie danych nie zwalnia z obowiązku poinformowania osoby, co zrobiłeś z jej żądaniem.

21 lipca 2026 r. CNIL nałożył na EXTIA 300 tys. euro kary za naruszenie art. 12 i art. 17 RODO. Przy wysokości kary wziął pod uwagę naruszenie podstawowych zasad dotyczących praw osób, liczbę poszkodowanych i to, że firma była już dwukrotnie wcześniej informowana o swoich obowiązkach. Na plus wziął naprawę w trakcie postępowania. Opis sprawy po polsku jest w Biuletynie Urzędu Ochrony Danych Osobowych (UODO), oryginał w komunikacie CNIL.

To były żądania usunięcia danych, nie kopii. Ale obowiązek i termin odpowiedzi wynikają z tego samego art. 12 RODO, który obejmuje wszystkie prawa z art. 15-22. Przy żądaniu kopii z art. 15 RODO zasady są identyczne.

Kary za naruszenie RODO w Polsce: ta sama skala co we Francji

Art. 12, 15 i 17 RODO obowiązują w Polsce dokładnie tak samo, bo RODO to unijne rozporządzenie, a nie francuska ustawa. Prezes UODO nakłada kary na podstawie tego samego art. 83 RODO, co CNIL.

Za naruszenie praw osób, czyli art. 12-22, art. 83 ust. 5 RODO przewiduje karę do 20 mln euro, a w przypadku przedsiębiorstwa do 4% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym liczy się kwota wyższa. To sufit, a nie cennik. Realną kwotę urząd ustala według okoliczności z art. 83 ust. 2: liczby poszkodowanych, czasu trwania naruszenia, współpracy z urzędem czy wcześniejszych naruszeń. U EXTIA na niekorzyść zadziałały liczba osób i to, że firmę już dwa razy informowano o obowiązkach.

Niższe limity mają tylko podmioty publiczne. Art. 102 ustawy o ochronie danych osobowych ogranicza karę do 100 tys. zł m.in. dla jednostek budżetowych, publicznych uczelni, publicznych szpitali działających jako SPZOZ (samodzielny publiczny zakład opieki zdrowotnej), instytutów badawczych i Narodowego Banku Polskiego, a dla państwowych i samorządowych instytucji kultury do 10 tys. zł. Prywatna spółka, sklep czy gabinet takiego limitu nie mają.

Co obejmuje kopia danych z art. 15 ust. 3 RODO?

Art. 15 ust. 3 RODO mówi krótko: administrator, czyli firma, która decyduje o danych (w praktyce Ty), dostarcza osobie kopię jej danych. Pierwsza kopia jest bezpłatna, za kolejne możesz pobrać rozsądną opłatę wynikającą z kosztów.

Co znaczy „kopia”, wyjaśnił Trybunał Sprawiedliwości UE w wyroku z 4 maja 2023 r. (C-487/21). Kopia to wierne i zrozumiałe odwzorowanie wszystkich danych, a nie ich opis. Odpowiedź „przetwarzamy Pana imię, nazwisko, adres e-mail i historię zamówień” to wykaz kategorii. Kopią nie jest.

Samo pojęcie danych osobowych też jest szerokie. W innym wyroku (C-434/16) Trybunał uznał, że danymi osobowymi są nawet odpowiedzi z egzaminu i komentarze egzaminatora naniesione na pracę.

Poza samą kopią osoba ma prawo do informacji z art. 15 ust. 1 RODO, m.in.: czy w ogóle przetwarzasz jej dane, po co, jakie kategorie danych, komu je przekazujesz, jak długo je trzymasz, skąd je masz, jeśli nie od niej, czy podejmujesz wobec niej decyzje automatycznie (w tym profilowanie) oraz jakie ma prawa, w tym prawo skargi do Prezesa UODO.

Kiedy wydajesz całe dokumenty, maile i logi?

Wtedy, gdy bez nich dane są niezrozumiałe. Prezes UODO przypomniał to w artykule o realizacji prawa dostępu: jeśli to konieczne do zrozumienia danych, przekazujesz kopie całych dokumentów, wiadomości e-mail, wyciągów z baz danych czy logów systemowych, a nie tylko ich spis.

Przykład z tego samego artykułu: dorosła osoba poprosiła poradnię psychologiczno-pedagogiczną o kopię całej teczki prowadzonej, gdy była dzieckiem. W teczce były dane matki i innych członków rodziny, a także testy chronione prawem autorskim. Inspektor ochrony danych poradni pytał, czy dane rodziny i prawa autorskie do testów pozwalają ograniczyć kopię.

Prezes UODO nie rozstrzygnął tego konkretnego przypadku, ale przypomniał zasadę: ograniczenie jest wyjątkiem, wymaga analizy i nie może skończyć się odmową wydania jakichkolwiek danych.

Dane innych osób w dokumencie: zaczerniasz, a nie odmawiasz

Art. 15 ust. 4 RODO mówi, że kopia nie może niekorzystnie wpływać na prawa i wolności innych osób. To nie jest podstawa do odmowy wydania całej kopii. Europejska Rada Ochrony Danych w wytycznych 01/2022 o prawie dostępu opisuje trzy kroki:

• sprawdzasz, czy wydanie danych naprawdę zaszkodzi komuś innemu,
• jeśli tak, próbujesz pogodzić oba prawa, np. zaczerniając dane innych osób,
• dopiero gdy pogodzić się nie da, rozstrzygasz, które prawo ma pierwszeństwo.

Prezes UODO zajął to samo stanowisko w decyzji DS.523.4826.2020 z 19 października 2022 r. Spółka odmówiła wydania nagrania rozmowy telefonicznej, powołując się m.in. na prawa innych osób. Urząd odpowiedział, że ryzyko dla osób trzecich oznacza obowiązek usunięcia z kopii ich danych, a nie odebranie wnioskodawcy całej kopii.

„Innymi” może być też sama firma, np. jej tajemnica handlowa. W przykładzie z wytycznych sklep medyczny zmierzył klientce nogi własną metodą. Mógł ograniczyć dostęp tylko wtedy, gdyby udowodnił, że wyników nie da się podać bez ujawnienia metody i że metoda jest tajemnicą handlową. Nawet wtedy musiałby wydać wyniki w zakresie, który tajemnicy nie ujawnia, choćby po ich przekształceniu.

I jeszcze jedno: to Ty musisz wykazać, że czyjeś prawa faktycznie zostałyby naruszone.

Odmowa udostępnienia danych osobowych: miesiąc, uzasadnienie i pouczenie

Zgodnie z art. 12 ust. 3 RODO odpowiadasz bez zbędnej zwłoki, najpóźniej w ciągu miesiąca od otrzymania żądania. Przy skomplikowanej sprawie albo wielu żądaniach możesz przedłużyć termin wydania danych o kolejne dwa miesiące, ale o przedłużeniu i jego przyczynach informujesz w pierwszym miesiącu.

Przy odmowie przedłużenia nie ma. Art. 12 ust. 4 RODO wymaga, żeby odmowę przekazać niezwłocznie, najpóźniej w ciągu miesiąca. Według Europejskiej Rady Ochrony Danych dotyczy to także odmowy częściowej.

Kopię możesz ograniczyć z powodu praw innych osób (art. 15 ust. 4). Odmówić możesz m.in. wtedy, gdy żądanie jest ewidentnie nieuzasadnione lub nadmierne, np. uporczywie powtarzane (art. 12 ust. 5), albo gdy w przetwarzanych danych nie jesteś w stanie zidentyfikować tej osoby (art. 12 ust. 2 w związku z art. 11 ust. 2). Oba te przypadki musisz wykazać Ty. Jeśli masz tylko wątpliwość, kto pisze, możesz poprosić o dodatkowe informacje potwierdzające tożsamość (art. 12 ust. 6), ale samo podejrzenie nie jest powodem do odmowy.

W przychodni takie żądania mogą przyjść także telefonicznie, a dla tej sytuacji kodeks dla małych placówek medycznych podaje konkret: minimum trzy pytania kontrolne. Opisałem to we wpisie Weryfikacja tożsamości pacjenta przez telefon i na teleporadzie: zasady z kodeksu RODO.

Poza przychodnią zdarza się, że firma odpowiada na żądanie kopii danych prośbą o skan dowodu. Jak potwierdzić tożsamość wnioskodawcy bez kopii dokumentu, opisuję we wpisie Kopia dowodu osobistego za zgodą klienta: dlaczego bezpieczniej poprzestać na okazaniu.

Odpowiedź odmowna ma trzy obowiązkowe elementy:

• powody odmowy (art. 12 ust. 4 RODO), które według Europejskiej Rady Ochrony Danych mają dotyczyć konkretnej sprawy, a nie być ogólną formułką,
• informację o prawie do skargi do Prezesa UODO,
• informację o prawie do skorzystania ze środków ochrony prawnej przed sądem.

Wzór takiej odpowiedzi warto mieć w procedurze z tymi elementami wpisanymi na stałe. Wtedy nikt w biurze nie wymyśla jej od zera pod presją terminu.

Jak odpowiedzieć na żądanie kopii krok po kroku

Najczęstsze pytania o art. 15 RODO

Każde żądanie z RODO wymaga odpowiedzi, także gdy nie masz już danych

Pamiętaj: u EXTIA większość zarzutów dotyczyła żądań, na które nikt nie odpowiedział. Każde żądanie zapisz, policz miesiąc i odpisz, nawet jeśli odpowiedź brzmi „nie mamy już Pana danych”.

Ta sama zasada działa wobec samego urzędu: na pismo z UODO też odpowiadasz w terminie. Restaurator, który przez ponad 3 lata milczał, dostał 18 941 zł kary, co opisujemy we wpisie Pismo z UODO: jak odpowiedzieć i kara za brak odpowiedzi.

Jeśli chcesz uporządkować temat w całej firmie, przeczytaj, jak wygląda RODO w firmie i dlaczego RODO to nie tylko polityka prywatności. Gotową procedurę realizacji praw osób, z wzorem odpowiedzi i odmowy, przygotujemy w ramach dokumentacji RODO.