applying-rodo

name	applying-rodo
title	applying-rodo
description	Use when drafting or reviewing RODO documents — mapping GDPR articles to obligations, legal basis (art. 6/9), klauzule informacyjne (art. 13–14), umowa powierzenia (art. 28), naruszenia (art. 33–34), DPIA (art. 35), wnioski osób (art. 15–22). RODO (2016/679) + UODO z 10.05.2018
author	crankshift
author_url	https://github.com/crankshift/lawpowers/tree/main/skills/pl/law-pl-applying-rodo
license	MIT
version	0.1.1
execution_mode	open
jurisdiction	pl
practice	data-protection
language	pl

applying-rodo

RODO (GDPR) — rozporządzenie 2016/679 — jest stosowane bezpośrednio w Polsce. Ustawa z 10.05.2018 o ochronie danych osobowych (UODO) jest aktem uzupełniającym, głównie w zakresie wymaganym przez sam RODO (np. art. 8 ust. 1 — wiek zgody dzieci dla usług społeczeństwa informacyjnego, art. 88 — dane w kontekście zatrudnienia).

Kluczowe URL

Źródło	URL
RODO (tekst skonsolidowany)	https://eur-lex.europa.eu/eli/reg/2016/679/oj/pol
UODO (tekst jednolity)	https://isap.sejm.gov.pl/isap.nsf/DocDetails.xsp?id=WDU20180001000
PUODO	https://uodo.gov.pl
EDPB (wytyczne)	https://edpb.europa.eu
SCC (Rozp. 2021/914)	https://eur-lex.europa.eu/eli/reg_impl/2021/914/oj
Wykaz decyzji o adekwatności	https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en

Podstawy prawne — szybki wybór (art. 6 RODO)

Sytuacja	Podstawa	Art.
Przetwarzanie na podstawie umowy z klientem (dostawa, usługa)	b) — wykonanie umowy	art. 6 ust. 1 lit. b
Czynności przed zawarciem umowy na żądanie osoby (np. wyliczenie oferty)	b) — czynności przed zawarciem umowy	art. 6 ust. 1 lit. b
Wystawienie faktury, księgowość, podatki	c) — obowiązek prawny	art. 6 ust. 1 lit. c + ustawa o VAT / CIT / PIT
ZUS, kadry, wynagrodzenia	c)	art. 6 ust. 1 lit. c + KP + ustawa o systemie ubezpieczeń społecznych
Marketing dotychczasowych klientów (własne produkty podobne)	f) — uzasadniony interes	art. 6 ust. 1 lit. f
Marketing nowych klientów (elektroniczny — e-mail, SMS)	a) — zgoda + ePrivacy (art. 10 ustawy o świadczeniu usług drogą elektroniczną, art. 172 Prawa telekomunikacyjnego)	art. 6 ust. 1 lit. a
Dochodzenie roszczeń, odpowiedzialność, ochrona prawna	f)	art. 6 ust. 1 lit. f
Monitoring wizyjny w zakładzie pracy	f) + KP art. 22²	art. 6 ust. 1 lit. f
Profilowanie kredytowe	b) lub c) (Prawo bankowe)	art. 6 ust. 1 lit. b / c
Dane zdrowotne pacjenta	h) z art. 9 ust. 2 — cele zdrowotne + art. 9 ust. 3	art. 9 ust. 2 lit. h + art. 9 ust. 3

Zasada: wybierać najniższą ingerencyjną podstawę. Zgoda — tylko dla tego, gdzie inne podstawy nie pasują; zgoda wymaga dobrowolności (nie wymuszona, możliwa do odwołania).

Art. 9 — dane szczególnych kategorii

Dane ujawniające:

• Pochodzenie rasowe / etniczne.
• Poglądy polityczne, przekonania religijne / światopoglądowe.
• Członkostwo związkowe.
• Dane genetyczne, biometryczne (w celu jednoznacznej identyfikacji).
• Dane o zdrowiu, seksualności, orientacji seksualnej.

Podstawy art. 9 ust. 2:

• a) wyraźna zgoda.
• b) obowiązki prawne z zakresu prawa pracy, zabezpieczenia społecznego.
• c) żywotne interesy osoby niezdolnej do wyrażenia zgody.
• d) podmioty nienastawione na zysk (polityczne, światopoglądowe, religijne, związki zawodowe).
• e) oczywiście upublicznione przez osobę.
• f) dochodzenie roszczeń przed sądem.
• g) ważne interesy publiczne.
• h) cele zdrowotne (diagnoza, opieka, leczenie, zarządzanie systemami zdrowia).
• i) zdrowie publiczne, transgraniczne zagrożenia.
• j) cele archiwalne, naukowe, historyczne, statystyczne.

Prawa osoby — terminy i zakres

Prawo	Art. RODO	Termin
Dostęp do danych + kopia	15	1 miesiąc (max 2 miesiące w skomplikowanych)
Sprostowanie	16	1 miesiąc
Usunięcie („zapomnienie")	17	1 miesiąc
Ograniczenie przetwarzania	18	1 miesiąc
Przenoszenie danych	20	1 miesiąc
Sprzeciw (art. 6 lit. e/f)	21	1 miesiąc; zaprzestać, chyba że nadrzędne uzasadnione podstawy
Sprzeciw (marketing)	21 ust. 3	Natychmiast, bez wyważania
Niepodleganie decyzji zautomatyzowanej	22	Co do zasady — nie mieć takiej decyzji

Forma odpowiedzi: pisemna (e-mail dopuszczalny), zrozumiała, bezpłatna. Żądanie nieuzasadnione / powtarzające się — administrator może odmówić lub naliczyć opłatę.

Klauzula informacyjna — checklist (art. 13 lub 14)

Element	Art. 13 (dane od osoby)	Art. 14 (inne źródła)
Administrator	✓	✓
IOD (jeśli wyznaczony)	✓	✓
Cele + podstawa	✓	✓
Uzasadniony interes (jeśli podstawa f)	✓	✓
Odbiorcy	✓	✓
Transfer do państw 3.	✓	✓
Okres przechowywania	✓	✓
Prawa	✓	✓
Prawo wycofania zgody (jeśli zgoda)	✓	✓
Prawo skargi do PUODO	✓	✓
Obowiązkowy / dobrowolny charakter podania	✓	—
Zautomatyzowane decyzje	✓	✓
Źródło danych	—	✓ (jeśli nie z publicznego źródła)
Termin przekazania informacji	Przy zbieraniu	W 1 miesiącu od pozyskania, max przy pierwszym kontakcie, max przy ujawnieniu innemu odbiorcy

Umowa powierzenia (art. 28) — elementy obowiązkowe

1. Przedmiot, czas, charakter, cel, rodzaj danych, kategorie osób.
2. Obowiązki procesora (art. 28 ust. 3 lit. a-h):
   • a) Przetwarzanie wyłącznie na udokumentowane polecenie administratora.
   • b) Tajemnica.
   • c) Środki bezpieczeństwa (art. 32).
   • d) Subprocesorzy — warunki.
   • e) Pomoc w prawach osób (art. 15-22).
   • f) Pomoc w obowiązkach administratora (art. 32-36).
   • g) Zwrot / usunięcie danych po zakończeniu.
   • h) Udostępnianie informacji + umożliwienie audytów.
3. Prawa administratora (inspekcje, audyty).
4. Odpowiedzialność.
5. Warunki rozwiązania.

DPIA — kiedy jest obowiązkowa (art. 35 ust. 3)

• Systematyczna, kompleksowa ocena osobowa + decyzje (profilowanie z konsekwencjami).
• Duża skala przetwarzania danych szczególnych (art. 9) lub danych karnych (art. 10).
• Systematyczny monitoring na dużą skalę miejsc publicznych.
• Komunikat PUODO z 17.06.2019 — lista operacji wymagających DPIA (np. duża skala danych zdrowotnych, geolokalizacji, biometrii).

Naruszenia — 3 kroki

1. Stwierdzenie — rejestr wewnętrzny (art. 33 ust. 5 RODO) — wszystkie naruszenia, niezależnie od ryzyka.
2. Ocena ryzyka:
   • Mało prawdopodobne → bez zgłoszenia PUODO.
   • Ryzyko → zgłoszenie do PUODO w 72 h (art. 33).
   • Wysokie ryzyko → dodatkowo zawiadomienie osób (art. 34).
3. Zgłoszenie:
   • Formularz na uodo.gov.pl (lub e-PUAP).
   • Treść: charakter, kategorie osób, liczba, konsekwencje, środki zaradcze.

72 godziny — od stwierdzenia. Po 72 h można, z uzasadnieniem opóźnienia.

Transfery — decyzja o adekwatności lub SCC

Państwa z decyzją adekwatności (stan na 2026-04):

• UK (Decyzja 2021/1772; weryfikować termin obowiązywania i ewentualne przedłużenia).
• Szwajcaria, Japonia, Izrael, Korea Płd., Kanada (prywatny sektor), Argentyna, Nowa Zelandia, Andora, Urugwaj, Wyspa Man, Guernsey, Jersey, Wyspy Owcze.
• USA — EU-US Data Privacy Framework (Decyzja 2023/1795 z 10.07.2023). Firmy certyfikowane — transfer dopuszczalny bez dodatkowych zabezpieczeń.

Bez adekwatności — SCC (Rozp. 2021/914). Po Schrems II (C-311/18) wymagany TIA (Transfer Impact Assessment):

1. Ocena prawa państwa docelowego (inwigilacja, dostęp władz).
2. Ocena, czy SCC + dodatkowe zabezpieczenia zapewnią ochronę równoważną.
3. Zawieszenie transferu, jeżeli nie.

UODO — szczególne krajowe

• Wiek zgody dzieci (art. 4 UODO w zw. z art. 8 RODO): 16 lat (Polska pierwotnie 16; zweryfikować aktualne brzmienie — przepisy zmieniano).
• Zadośćuczynienie (art. 92 UODO): roszczenie cywilne — sąd cywilny, od sprawcy naruszenia. Dochodzone obok / zamiast skargi do PUODO.
• Kary (art. 101-104 UODO): PUODO wydaje decyzję; skarga do WSA w Warszawie.
• IOD (art. 8-11 UODO): zgłoszenie do PUODO w 14 dni.
• Prawo pracy (KP art. 22¹-22⁴): dane osobowe pracownika ograniczone do wyliczonych w art. 22¹ KP; monitoring — art. 22² KP.

Cytowanie

• Artykuł RODO: art. [nr] [ust. / lit.] rozp. 2016/679 (RODO).
• Artykuł UODO: art. [nr] ustawy z 10.05.2018 o ochronie danych osobowych.
• Wyrok TSUE: wyrok TSUE z [data] w sprawie C-[nr]/[rok] [tytuł], ECLI:EU:C:[rok]:[nr].
• Decyzja PUODO: decyzja Prezesa UODO z [data], znak: [znak], dostępna: [URL na uodo.gov.pl].
• Wytyczne EDPB: Guidelines [nr]/[rok] on [temat], adopted on [data], [URL].

Najczęstsze błędy

• Zgoda na wszystko jako podstawa przetwarzania. Zgoda musi być dobrowolna — w relacji klient / usługodawca zwykle jest; ale jeżeli usługa jest niemożliwa bez przetwarzania (np. faktura), podstawą jest umowa / obowiązek prawny, nie zgoda.
• Pomijanie marketingu elektronicznego przez ePrivacy. Dla e-mail marketingu — dwa poziomy: art. 10 ustawy o świadczeniu usług drogą elektroniczną (wymaga zgody) + art. 172 Prawa telekomunikacyjnego (wymaga zgody). RODO jest dodatkowa, nie zastępuje tych ustaw.
• Klauzule informacyjne bez elementów obowiązkowych. Pominięcie np. okresu przechowywania, kontaktu do IOD, prawa skargi do PUODO = naruszenie.
• Brak umów powierzenia. Każdy dostawca IT, księgowości, chmury, mailingu = powierzenie. Bez umowy — oba podmioty są administratorami = podwójna odpowiedzialność.
• Traktowanie cookies wyłącznie jako RODO. Prawo telekomunikacyjne art. 173 — zgoda na cookies analityczne / marketingowe (opt-in). Cookie banner z „akceptuj wszystkie" domyślnie = naruszenie.
• Zgłoszenie naruszenia po 72 h bez uzasadnienia. Spóźnienie = powód zaostrzenia kary (decyzja PUODO z 10.09.2019 przeciwko MorelePL — 2,8 mln zł).
• DPIA pisana „na potem". DPIA powinna poprzedzać przetwarzanie. Pisanie po fakcie = brak rozliczalności.
• Transfer bez TIA. SCC same w sobie nie wystarczą (Schrems II); bez TIA — ryzyko podniesienia zarzutu podczas kontroli PUODO.
• Pomijanie obowiązku informacyjnego przy zbieraniu od osoby trzeciej (art. 14). Np. zakup bazy kontaktów B2B — obowiązek informacyjny wobec każdej osoby w ciągu 1 miesiąca.
• Niewystarczające zabezpieczenia techniczne (art. 32). „Rozsądne" nie wystarczy — trzeba udokumentować ocenę ryzyk i dobrane środki (szyfrowanie, MFA, kopie zapasowe, DLP, audyty).
• Mylenie administratora z procesorem. Administrator decyduje o celach i sposobach przetwarzania; procesor — przetwarza na polecenie. Dostawca CRM = zwykle procesor. Dostawca marketingu masowego = czasem administrator (własna baza, własne cele). Błędna kwalifikacja = niepoprawne umowy.