RODO ekspert: jak przygotować wniosek albo oświadczenie?

Prawidłowe zarządzanie własnymi danymi osobowymi to fundament prywatności w dzisiejszym świecie. Rozporządzenie o Ochronie Danych Osobowych (RODO) wyposażyło osoby fizyczne w szereg potężnych narzędzi, dzięki którym mogą one kontrolować, w jaki sposób firmy, instytucje oraz inne podmioty przetwarzają ich informacje. Aby jednak te uprawnienia nie pozostały jedynie na papierze, konieczne jest umiejętne formułowanie pism skierowanych do administratorów danych. Niezależnie od tego, czy chcesz usunąć swoje dane z bazy marketingowej, uzyskać do nich wgląd, czy też sprostować nieaktualne informacje, musisz wiedzieć, jak przygotować skuteczny wniosek lub oświadczenie. W niniejszym poradniku nasz RODO ekspert krok po kroku wyjaśnia mechanizmy prawne, wskazuje kluczowe elementy formalne pism oraz omawia procedury i terminy, które wiążą drugą stronę.

Zrozumieć swoje prawa: Czego możesz żądać od administratora?

Zanim przystąpisz do pisania wniosku, musisz dokładnie wiedzieć, jakie uprawnienia gwarantuje Ci unijne rozporządzenie. RODO nie jest ogólnym zbiorem pobożnych życzeń, lecz precyzyjnym aktem prawnym, który przyznaje konkretne prawa podmiotowe. Do najważniejszych z nich należą:

Prawo dostępu do danych (art. 15 RODO) – pozwala na uzyskanie potwierdzenia, czy administrator przetwarza Twoje dane, a także na otrzymanie kopii tych danych oraz szczegółowych informacji o celach przetwarzania, kategoriach danych czy odbiorcach.
Prawo do sprostowania danych (art. 16 RODO) – umożliwia żądanie niezwłocznego poprawienia nieprawidłowych lub uzupełnienia niekompletnych danych osobowych.
Prawo do usunięcia danych, czyli tzw. „prawo do bycia zapomnianym” (art. 17 RODO) – uprawnia do żądania usunięcia danych, np. gdy nie są już niezbędne do celów, w których zostały zebrane, lub gdy cofnąłeś zgodę na ich przetwarzanie.
Prawo do ograniczenia przetwarzania (art. 18 RODO) – pozwala na wstrzymanie operacji na danych w określonych sytuacjach, np. gdy kwestionujesz ich prawidłowość.
Prawo do przenoszenia danych (art. 20 RODO) – daje możliwość otrzymania swoich danych w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego i przesłania ich innemu administratorowi.
Prawo do sprzeciwu (art. 21 RODO) – umożliwia wniesienie sprzeciwu wobec przetwarzania danych na podstawie prawnie uzasadnionego interesu administratora lub do celów marketingu bezpośredniego.

Każde z tych praw realizuje się poprzez złożenie odpowiedniego wniosku. Wybór właściwej podstawy prawnej ułatwi administratorowi szybką identyfikację Twojego żądania i przyspieszy całą procedurę.

Jak przygotować wniosek RODO? Kluczowe elementy formalne

Choć przepisy RODO nie narzucają jednego, sztywnego wzoru formularza, to jednak każde pismo skierowane do administratora powinno spełniać określone wymogi formalne, aby mogło zostać sprawnie rozpatrzone. Jako ekspert rekomenduję zachowanie struktury tradycyjnego pisma urzędowego, co nadaje mu profesjonalny charakter i dyscyplinuje odbiorcę.

Dane stron i dane kontaktowe

Na wstępie należy precyzyjnie określić adresata oraz nadawcę. Wskazanie pełnej nazwy administratora (np. nazwy firmy, instytucji publicznej) oraz jego adresu jest kluczowe. Równie ważne są Twoje dane: imię, nazwisko oraz dane kontaktowe (adres e-mail, numer telefonu lub adres korespondencyjny). Pamiętaj, aby podać te same dane, którymi posługiwałeś się w relacji z danym podmiotem (np. adres e-mail powiązany z kontem w sklepie internetowym lub numer telefonu podany przy rejestracji karty lojalnościowej).

Precyzyjne sformułowanie żądania

Unikaj ogólników i niejasnych sformułowań. Zamiast pisać „proszę o zrobienie porządku z moimi danymi”, napisz wprost: „Na podstawie art. 17 RODO wnoszę o niezwłoczne usunięcie wszystkich moich danych osobowych przetwarzanych przez Państwa firmę”. Jeśli Twoje żądanie dotyczy tylko określonego zakresu (np. usunięcia numeru telefonu przy zachowaniu adresu e-mail do wysyłki newslettera), wyraźnie to zaznacz w treści pisma.

Weryfikacja tożsamości – ważny aspekt bezpieczeństwa

Administrator ma prawny obowiązek upewnić się, że osoba składająca wniosek to rzeczywiście ta, której dane dotyczą. Zapobiega to wyciekom danych do osób nieuprawnionych. Dlatego w treści pisma warto podać unikalny identyfikator, np. numer klienta, numer umowy lub login. Pamiętaj jednak o zasadzie minimalizacji danych – nie dołączaj skanu dowodu osobistego, jeśli nie jest to bezwzględnie konieczne i uzasadnione wyjątkowymi okolicznościami. Administrator może poprosić o dodatkowe potwierdzenie tożsamości, ale jego żądania muszą być proporcjonalne i nie mogą służyć celowemu utrudnianiu realizacji Twoich praw.

Oświadczenie o wycofaniu zgody na przetwarzanie danych

Wycofanie zgody to odrębna instytucja prawna, oparta na art. 7 ust. 3 RODO. Jeśli podstawą przetwarzania Twoich danych była dobrowolnie wyrażona zgoda (np. na cele marketingowe, udział w rekrutacji, subskrypcję newslettera), masz prawo wycofać ją w dowolnym momencie. Co istotne, wycofanie zgody musi być tak samo łatwe jak jej wyrażenie. Oznacza to, że jeśli zapisałeś się do newslettera jednym kliknięciem, administrator nie może wymagać od Ciebie wysłania tradycyjnego listu poleconego w celu rezygnacji. Wystarczy proste oświadczenie przesłane drogą elektroniczną. W oświadczeniu tym należy jasno wskazać, jakiej zgody dotyczy odwołanie (np. zgody na przesyłanie informacji handlowych drogą elektroniczną).

Obowiązki administratora i ustawowe terminy

Złożenie wniosku lub oświadczenia nakłada na administratora konkretne obowiązki prawne. Przede wszystkim nie może on ignorować Twojego pisma. Zgodnie z art. 12 ust. 3 RODO, administrator ma obowiązek udzielić odpowiedzi bez zbędnej zwłoki, a w każdym razie w terminie miesiąca od otrzymania żądania. W skomplikowanych przypadkach lub przy dużej liczbie wniosków termin ten może zostać przedłużony o kolejne dwa miesiące. Jednak w takiej sytuacji administrator musi Cię poinformować o przedłużeniu terminu w ciągu pierwszego miesiąca, podając konkretne przyczyny opóźnienia. Odpowiedź powinna być udzielona w tej samej formie, w której złożono wniosek, chyba że zażądałeś innej formy. Co do zasady, realizacja praw wynikających z RODO jest bezpłatna. Administrator może pobrać opłatę lub odmówić podjęcia działań tylko wtedy, gdy wykaże, że Twoje żądania są ewidentnie nieuzasadnione lub nadmierne.

Najczęstsze błędy przy sporządzaniu pism RODO

Analizując praktykę rynkową, nasz ekspert zidentyfikował kilka najczęstszych błędów popełnianych przez osoby fizyczne:

Brak precyzji: żądanie „usunięcia danych” bez wskazania, o jakie konto lub usługę chodzi, co znacznie wydłuża proces weryfikacji.
Błędny adresat: wysyłanie wniosków do podmiotów, które są jedynie procesorami (podmiotami przetwarzającymi dane na zlecenie), a nie faktycznymi administratorami danych.
Agresywny ton i groźby: profesjonalne, rzeczowe pismo odwołujące się do konkretnych artykułów RODO jest znacznie skuteczniejsze niż emocjonalne oskarżenia.
Ignorowanie wezwań do weryfikacji tożsamości: jeśli administrator ma uzasadnione wątpliwości co do tego, kto składa wniosek, ma prawo wstrzymać jego realizację do czasu potwierdzenia tożsamości.

Praktyczny przykład – wniosek o usunięcie danych

Wyobraźmy sobie sytuację, w której Jan Kowalski chce usunąć swoje konto oraz wszelkie dane osobowe z portalu zakupowego. Poniżej znajduje się wzorcowy szablon takiego wniosku, który można wykorzystać w praktyce:

Miejscowość, Data: Warszawa, 15 października 2023 r.
Wnioskodawca: Jan Kowalski, ul. Kwiatowa 10/2, 00-001 Warszawa, E-mail: jan.kowalski@email.pl
Adresat: SuperSklep Sp. z o.o., ul. Handlowa 5, 00-002 Warszawa, Inspektor Ochrony Danych (IOD)

Temat: Wniosek o usunięcie danych osobowych (prawo do bycia zapomnianym)

Na podstawie art. 17 ust. 1 lit. a rozporządzenia RODO, niniejszym wnoszę o niezwłoczne usunięcie wszystkich moich danych osobowych przetwarzanych przez SuperSklep Sp. z o.o. w związku z prowadzeniem mojego konta użytkownika o loginie: jankowalski99 oraz adresem e-mail: jan.kowalski@email.pl. Jednocześnie, na podstawie art. 7 ust. 3 RODO, wycofuję wszelkie dotychczas udzielone zgody na przetwarzanie moich danych osobowych w celach marketingowych, w tym na przesyłanie informacji handlowych drogą elektroniczną. Wskazuję, że dane te nie są już niezbędne do celów, w których zostały zebrane. Proszę o przesłanie potwierdzenia realizacji mojego wniosku na wyżej wskazany adres e-mail w ustawowym terminie jednego miesiąca.

Z postanowieniem szacunku,
Jan Kowalski

Co zrobić, gdy administrator ignoruje Twój wniosek?

Jeśli minął ustawowy termin jednego miesiąca, a administrator nie odpowiedział na Twoje pismo ani nie poinformował o przedłużeniu terminu, masz prawo podjąć dalsze kroki prawne. Pierwszym i najbardziej skutecznym krokiem jest złożenie skargi do organu nadzorczego. W Polsce funkcję tę pełni Prezes Urzędu Ochrony Danych Osobowych (PUODO). Skarga do PUODO powinna zawierać opis zaistniałej sytuacji, dowód wysłania wniosku do administratora oraz jasne żądanie nakazania administratorowi spełnienia Twojego wniosku. Postępowanie przed Prezesem UODO jest bezpłatne i może skutkować nałożeniem na opornego administratora upomnienia lub dotkliwych administracyjnych kar pieniężnych.

Podsumowanie

Znajomość swoich praw i umiejętność ich egzekwowania to klucz do skutecznej ochrony prywatności w cyfrowym świecie. Przygotowanie wniosku lub oświadczenia RODO nie jest skomplikowane, jeśli pamiętamy o precyzji, jasnym formułowaniu żądań oraz dbaniu o prawidłową identyfikację. Przepisy stoją po naszej stronie, a administratorzy danych mają prawny obowiązek szanować naszą wolę i chronić nasze dane osobowe z najwyższą starannością.