| name | applying-rodo |
| title | applying-rodo |
| description | Use when drafting or reviewing RODO documents — mapping GDPR articles to obligations, legal basis (art. 6/9), klauzule informacyjne (art. 13–14), umowa powierzenia (art. 28), naruszenia (art. 33–34), DPIA (art. 35), wnioski osób (art. 15–22). RODO (2016/679) + UODO z 10.05.2018 |
| author | crankshift |
| author_url | https://github.com/crankshift/lawpowers/tree/main/skills/pl/law-pl-applying-rodo |
| license | MIT |
| version | 0.1.1 |
| execution_mode | open |
| jurisdiction | pl |
| practice | data-protection |
| language | pl |
applying-rodo
RODO (GDPR) — rozporządzenie 2016/679 — jest stosowane bezpośrednio w Polsce. Ustawa z 10.05.2018 o ochronie danych osobowych (UODO) jest aktem uzupełniającym, głównie w zakresie wymaganym przez sam RODO (np. art. 8 ust. 1 — wiek zgody dzieci dla usług społeczeństwa informacyjnego, art. 88 — dane w kontekście zatrudnienia).
Kluczowe URL
Podstawy prawne — szybki wybór (art. 6 RODO)
| Sytuacja | Podstawa | Art. |
|---|
| Przetwarzanie na podstawie umowy z klientem (dostawa, usługa) | b) — wykonanie umowy | art. 6 ust. 1 lit. b |
| Czynności przed zawarciem umowy na żądanie osoby (np. wyliczenie oferty) | b) — czynności przed zawarciem umowy | art. 6 ust. 1 lit. b |
| Wystawienie faktury, księgowość, podatki | c) — obowiązek prawny | art. 6 ust. 1 lit. c + ustawa o VAT / CIT / PIT |
| ZUS, kadry, wynagrodzenia | c) | art. 6 ust. 1 lit. c + KP + ustawa o systemie ubezpieczeń społecznych |
| Marketing dotychczasowych klientów (własne produkty podobne) | f) — uzasadniony interes | art. 6 ust. 1 lit. f |
| Marketing nowych klientów (elektroniczny — e-mail, SMS) | a) — zgoda + ePrivacy (art. 10 ustawy o świadczeniu usług drogą elektroniczną, art. 172 Prawa telekomunikacyjnego) | art. 6 ust. 1 lit. a |
| Dochodzenie roszczeń, odpowiedzialność, ochrona prawna | f) | art. 6 ust. 1 lit. f |
| Monitoring wizyjny w zakładzie pracy | f) + KP art. 22² | art. 6 ust. 1 lit. f |
| Profilowanie kredytowe | b) lub c) (Prawo bankowe) | art. 6 ust. 1 lit. b / c |
| Dane zdrowotne pacjenta | h) z art. 9 ust. 2 — cele zdrowotne + art. 9 ust. 3 | art. 9 ust. 2 lit. h + art. 9 ust. 3 |
Zasada: wybierać najniższą ingerencyjną podstawę. Zgoda — tylko dla tego, gdzie inne podstawy nie pasują; zgoda wymaga dobrowolności (nie wymuszona, możliwa do odwołania).
Art. 9 — dane szczególnych kategorii
Dane ujawniające:
- Pochodzenie rasowe / etniczne.
- Poglądy polityczne, przekonania religijne / światopoglądowe.
- Członkostwo związkowe.
- Dane genetyczne, biometryczne (w celu jednoznacznej identyfikacji).
- Dane o zdrowiu, seksualności, orientacji seksualnej.
Podstawy art. 9 ust. 2:
- a) wyraźna zgoda.
- b) obowiązki prawne z zakresu prawa pracy, zabezpieczenia społecznego.
- c) żywotne interesy osoby niezdolnej do wyrażenia zgody.
- d) podmioty nienastawione na zysk (polityczne, światopoglądowe, religijne, związki zawodowe).
- e) oczywiście upublicznione przez osobę.
- f) dochodzenie roszczeń przed sądem.
- g) ważne interesy publiczne.
- h) cele zdrowotne (diagnoza, opieka, leczenie, zarządzanie systemami zdrowia).
- i) zdrowie publiczne, transgraniczne zagrożenia.
- j) cele archiwalne, naukowe, historyczne, statystyczne.
Prawa osoby — terminy i zakres
| Prawo | Art. RODO | Termin |
|---|
| Dostęp do danych + kopia | 15 | 1 miesiąc (max 2 miesiące w skomplikowanych) |
| Sprostowanie | 16 | 1 miesiąc |
| Usunięcie („zapomnienie") | 17 | 1 miesiąc |
| Ograniczenie przetwarzania | 18 | 1 miesiąc |
| Przenoszenie danych | 20 | 1 miesiąc |
| Sprzeciw (art. 6 lit. e/f) | 21 | 1 miesiąc; zaprzestać, chyba że nadrzędne uzasadnione podstawy |
| Sprzeciw (marketing) | 21 ust. 3 | Natychmiast, bez wyważania |
| Niepodleganie decyzji zautomatyzowanej | 22 | Co do zasady — nie mieć takiej decyzji |
Forma odpowiedzi: pisemna (e-mail dopuszczalny), zrozumiała, bezpłatna. Żądanie nieuzasadnione / powtarzające się — administrator może odmówić lub naliczyć opłatę.
Klauzula informacyjna — checklist (art. 13 lub 14)
| Element | Art. 13 (dane od osoby) | Art. 14 (inne źródła) |
|---|
| Administrator | ✓ | ✓ |
| IOD (jeśli wyznaczony) | ✓ | ✓ |
| Cele + podstawa | ✓ | ✓ |
| Uzasadniony interes (jeśli podstawa f) | ✓ | ✓ |
| Odbiorcy | ✓ | ✓ |
| Transfer do państw 3. | ✓ | ✓ |
| Okres przechowywania | ✓ | ✓ |
| Prawa | ✓ | ✓ |
| Prawo wycofania zgody (jeśli zgoda) | ✓ | ✓ |
| Prawo skargi do PUODO | ✓ | ✓ |
| Obowiązkowy / dobrowolny charakter podania | ✓ | — |
| Zautomatyzowane decyzje | ✓ | ✓ |
| Źródło danych | — | ✓ (jeśli nie z publicznego źródła) |
| Termin przekazania informacji | Przy zbieraniu | W 1 miesiącu od pozyskania, max przy pierwszym kontakcie, max przy ujawnieniu innemu odbiorcy |
Umowa powierzenia (art. 28) — elementy obowiązkowe
- Przedmiot, czas, charakter, cel, rodzaj danych, kategorie osób.
- Obowiązki procesora (art. 28 ust. 3 lit. a-h):
- a) Przetwarzanie wyłącznie na udokumentowane polecenie administratora.
- b) Tajemnica.
- c) Środki bezpieczeństwa (art. 32).
- d) Subprocesorzy — warunki.
- e) Pomoc w prawach osób (art. 15-22).
- f) Pomoc w obowiązkach administratora (art. 32-36).
- g) Zwrot / usunięcie danych po zakończeniu.
- h) Udostępnianie informacji + umożliwienie audytów.
- Prawa administratora (inspekcje, audyty).
- Odpowiedzialność.
- Warunki rozwiązania.
DPIA — kiedy jest obowiązkowa (art. 35 ust. 3)
- Systematyczna, kompleksowa ocena osobowa + decyzje (profilowanie z konsekwencjami).
- Duża skala przetwarzania danych szczególnych (art. 9) lub danych karnych (art. 10).
- Systematyczny monitoring na dużą skalę miejsc publicznych.
- Komunikat PUODO z 17.06.2019 — lista operacji wymagających DPIA (np. duża skala danych zdrowotnych, geolokalizacji, biometrii).
Naruszenia — 3 kroki
- Stwierdzenie — rejestr wewnętrzny (art. 33 ust. 5 RODO) — wszystkie naruszenia, niezależnie od ryzyka.
- Ocena ryzyka:
- Mało prawdopodobne → bez zgłoszenia PUODO.
- Ryzyko → zgłoszenie do PUODO w 72 h (art. 33).
- Wysokie ryzyko → dodatkowo zawiadomienie osób (art. 34).
- Zgłoszenie:
- Formularz na uodo.gov.pl (lub e-PUAP).
- Treść: charakter, kategorie osób, liczba, konsekwencje, środki zaradcze.
72 godziny — od stwierdzenia. Po 72 h można, z uzasadnieniem opóźnienia.
Transfery — decyzja o adekwatności lub SCC
Państwa z decyzją adekwatności (stan na 2026-04):
- UK (Decyzja 2021/1772; weryfikować termin obowiązywania i ewentualne przedłużenia).
- Szwajcaria, Japonia, Izrael, Korea Płd., Kanada (prywatny sektor), Argentyna, Nowa Zelandia, Andora, Urugwaj, Wyspa Man, Guernsey, Jersey, Wyspy Owcze.
- USA — EU-US Data Privacy Framework (Decyzja 2023/1795 z 10.07.2023). Firmy certyfikowane — transfer dopuszczalny bez dodatkowych zabezpieczeń.
Bez adekwatności — SCC (Rozp. 2021/914). Po Schrems II (C-311/18) wymagany TIA (Transfer Impact Assessment):
- Ocena prawa państwa docelowego (inwigilacja, dostęp władz).
- Ocena, czy SCC + dodatkowe zabezpieczenia zapewnią ochronę równoważną.
- Zawieszenie transferu, jeżeli nie.
UODO — szczególne krajowe
- Wiek zgody dzieci (art. 4 UODO w zw. z art. 8 RODO): 16 lat (Polska pierwotnie 16; zweryfikować aktualne brzmienie — przepisy zmieniano).
- Zadośćuczynienie (art. 92 UODO): roszczenie cywilne — sąd cywilny, od sprawcy naruszenia. Dochodzone obok / zamiast skargi do PUODO.
- Kary (art. 101-104 UODO): PUODO wydaje decyzję; skarga do WSA w Warszawie.
- IOD (art. 8-11 UODO): zgłoszenie do PUODO w 14 dni.
- Prawo pracy (KP art. 22¹-22⁴): dane osobowe pracownika ograniczone do wyliczonych w art. 22¹ KP; monitoring — art. 22² KP.
Cytowanie
- Artykuł RODO: art. [nr] [ust. / lit.] rozp. 2016/679 (RODO).
- Artykuł UODO: art. [nr] ustawy z 10.05.2018 o ochronie danych osobowych.
- Wyrok TSUE: wyrok TSUE z [data] w sprawie C-[nr]/[rok] [tytuł], ECLI:EU:C:[rok]:[nr].
- Decyzja PUODO: decyzja Prezesa UODO z [data], znak: [znak], dostępna: [URL na uodo.gov.pl].
- Wytyczne EDPB: Guidelines [nr]/[rok] on [temat], adopted on [data], [URL].
Najczęstsze błędy
- Zgoda na wszystko jako podstawa przetwarzania. Zgoda musi być dobrowolna — w relacji klient / usługodawca zwykle jest; ale jeżeli usługa jest niemożliwa bez przetwarzania (np. faktura), podstawą jest umowa / obowiązek prawny, nie zgoda.
- Pomijanie marketingu elektronicznego przez ePrivacy. Dla e-mail marketingu — dwa poziomy: art. 10 ustawy o świadczeniu usług drogą elektroniczną (wymaga zgody) + art. 172 Prawa telekomunikacyjnego (wymaga zgody). RODO jest dodatkowa, nie zastępuje tych ustaw.
- Klauzule informacyjne bez elementów obowiązkowych. Pominięcie np. okresu przechowywania, kontaktu do IOD, prawa skargi do PUODO = naruszenie.
- Brak umów powierzenia. Każdy dostawca IT, księgowości, chmury, mailingu = powierzenie. Bez umowy — oba podmioty są administratorami = podwójna odpowiedzialność.
- Traktowanie cookies wyłącznie jako RODO. Prawo telekomunikacyjne art. 173 — zgoda na cookies analityczne / marketingowe (opt-in). Cookie banner z „akceptuj wszystkie" domyślnie = naruszenie.
- Zgłoszenie naruszenia po 72 h bez uzasadnienia. Spóźnienie = powód zaostrzenia kary (decyzja PUODO z 10.09.2019 przeciwko MorelePL — 2,8 mln zł).
- DPIA pisana „na potem". DPIA powinna poprzedzać przetwarzanie. Pisanie po fakcie = brak rozliczalności.
- Transfer bez TIA. SCC same w sobie nie wystarczą (Schrems II); bez TIA — ryzyko podniesienia zarzutu podczas kontroli PUODO.
- Pomijanie obowiązku informacyjnego przy zbieraniu od osoby trzeciej (art. 14). Np. zakup bazy kontaktów B2B — obowiązek informacyjny wobec każdej osoby w ciągu 1 miesiąca.
- Niewystarczające zabezpieczenia techniczne (art. 32). „Rozsądne" nie wystarczy — trzeba udokumentować ocenę ryzyk i dobrane środki (szyfrowanie, MFA, kopie zapasowe, DLP, audyty).
- Mylenie administratora z procesorem. Administrator decyduje o celach i sposobach przetwarzania; procesor — przetwarza na polecenie. Dostawca CRM = zwykle procesor. Dostawca marketingu masowego = czasem administrator (własna baza, własne cele). Błędna kwalifikacja = niepoprawne umowy.
