Prawo do bycia zapomnianym pod lupą organów nadzorczych – praktyczne wskazówki dla administratorów danych

Najważniejsze wnioski

Prawo do bycia zapomnianym, określone w art. 17 RODO, nie oznacza automatycznego usunięcia wszystkich danych osobowych na żądanie osoby, której dane dotyczą. Administrator musi ocenić, czy zachodzą przesłanki do usunięcia danych oraz czy nie występują wyjątki pozwalające na ich dalsze przechowywanie.

Najważniejsze wnioski dla administratorów danych:

1. Administrator powinien mieć jasno określoną procedurę obsługi żądań usunięcia danych. Procedura powinna wskazywać odpowiedzialne osoby i działy, sposób identyfikacji danych oraz sposób dokumentowania wykonanych działań.
2. Realizacja prawa do usunięcia danych wymaga znajomości lokalizacji danych osobowych. Mapowanie danych i przepływów danych pozwala ustalić, jakie informacje obejmuje żądanie i w jakich systemach należy je odnaleźć.
3. Pracownicy obsługujący żądania powinni być odpowiednio i regularnie szkoleni. Szkolenia powinny uwzględniać nie tylko ogólne zasady ochrony danych, ale także wewnętrzne procedury dotyczące art. 17 RODO.
4. Odpowiedź na żądanie powinna być konkretna i zrozumiała. W przypadku odmowy administrator powinien wyjaśnić jej podstawę, wskazać zastosowany wyjątek oraz poinformować osobę o dalszych możliwościach działania.
5. Wyjątki od prawa do usunięcia danych nie powinny być stosowane automatycznie. Każde żądanie wymaga oceny konkretnej sytuacji, a powołanie się na wyjątek powinno być udokumentowane i uzasadnione.
6. Polityka retencji danych jest jednym z fundamentów prawidłowej realizacji prawa do bycia zapomnianym. Administrator powinien wiedzieć, jaki jest cel i podstawa prawna przetwarzania oraz jak długo poszczególne dane powinny być przechowywane.
7. Kopie zapasowe stanowią szczególne wyzwanie. Administrator powinien mieć ustalone zasady bezpiecznego usuwania danych oraz możliwość wykazania, że dane zostały usunięte lub odpowiednio zabezpieczone zgodnie z przyjętym procesem.
8. Anonimizacja nie zawsze zastępuje usunięcie danych. Aby dane rzeczywiście stały się anonimowe, identyfikacja osoby fizycznej musi być niemożliwa zarówno bezpośrednio, jak i pośrednio. Nieskuteczna anonimizacja lub pseudonimizacja nie zwalnia administratora z obowiązku realizacji prawa do usunięcia danych.
9. Prawo do bycia zapomnianym należy traktować jako element zarządzania cyklem życia danych, a nie wyłącznie jako procedurę uruchamianą po otrzymaniu pojedynczego żądania. Kluczowe znaczenie mają procedury, retencja, znajomość przepływów danych i przygotowanie personelu.

Problematyczne prawo do bycia zapomnianym

Prawo do usunięcia danych osobowych, powszechnie określane jako „prawo do bycia zapomnianym”, należy do najczęściej wykonywanych praw osób, których dane dotyczą. Jednocześnie jest jednym z najbardziej problematycznych zagadnień, z jakimi w praktyce mierzą się administratorzy danych.

Nie dziwi więc, że EROD wybrała właśnie art. 17 RODO jako temat ogólnoeuropejskiej akcji kontrolnej realizowanej w 2025 r. w ramach Coordinated Enforcement Framework (CEF), tj. skoordynowanych ram egzekwowania prawa. W działania zaangażowały się 32 organy nadzorcze, które przeanalizowały praktyki 764 administratorów reprezentujących różne sektory gospodarki i administracji publicznej. Wyniki pokazały, że mimo wielu lat obowiązywania RODO część organizacji nadal ma trudności z prawidłową realizacją prawa do bycia zapomnianym.

Czego dotyczy prawo do bycia zapomnianym

Prawo do usunięcia danych wbrew pozorom nie oznacza, że każda osoba może zażądać skasowania wszystkich swoich danych w dowolnym momencie i bez spełnienia dodatkowych warunków. Przepis art. 17 RODO przewiduje konkretne przesłanki, które uzasadniają usunięcie danych, m.in. gdy:

• dane nie są już niezbędne do celów, w których zostały zebrane,
• osoba, której dane dotyczą, wycofała zgodę i nie istnieje inna podstawa prawna przetwarzania,
• osoba, której dane dotyczą, wniosła skuteczny sprzeciw wobec przetwarzania danych,
• dane były przetwarzane niezgodnie z prawem.

Jednocześnie prawo to podlega istotnym ograniczeniom. Administrator może odmówić usunięcia danych na przykład wtedy, gdy ich dalsze przetwarzanie jest konieczne do wywiązania się z obowiązku prawnego bądź do ustalenia, dochodzenia lub obrony roszczeń.

Złożoność tych regulacji powoduje, że spora część administratorów niewłaściwie realizuje prawo do bycia zapomnianym, choć są i tacy, których działania mogą służyć za przykład do naśladowania. Na potrzeby tego opracowania prześledziliśmy sprawozdanie EROD z działań w ramach CEF dotyczących prawa do bycia zapomnianym, ze szczególnym uwzględnieniem zidentyfikowanych problemów, polecanych rozwiązań, a także najlepszych praktyk zaobserwowanych w toku badania.

Problem nr 1: brak właściwej procedur obsługi żądań

Jednym z najczęściej obserwowanych problemów był brak odpowiednich procedur obsługi żądań usunięcia danych. W wielu organizacjach nie określono jasno:

• kto odpowiada za przyjmowanie zgłoszeń,
• jakie działy uczestniczą w ich realizacji,
• w jaki sposób identyfikuje się dane podlegające usunięciu,
• w jaki sposób dokumentuje się podjęte działania.

Wskazane braki prowadzą w praktyce do sytuacji, w których zgłoszenia trafiają do niewłaściwych osób, są obsługiwane nieprawidłowo, z opóźnieniem albo pozostają bez odpowiedzi.

Rozwiązanie

• Ustanawiaj i aktualizuj wewnętrzne procedury obsługi i rejestrowania żądań usunięcia danych – z jasno określonymi terminami, kolejnymi działaniami oraz podziałem obowiązków między różnymi podmiotami.
• Mapuj dane osobowe i miejsca ich przechowywania, aby mieć pełny wgląd w to, które dane wchodzą w zakres żądania i gdzie można je znaleźć.

Najlepsze zaobserwowane praktyki

• Zaangażuj zespół odpowiedzialny za obsługę żądań usunięcia danych (np. zespół prawny), a w razie potrzeby koordynuj jego działania z innymi zespołami.
• Korzystaj z oprogramowania lub systemów, które w przypadku uwzględnienia żądania automatycznie generują zapisy stanowiące dowód usunięcia danych.
• Używaj kluczowych wskaźników wydajności (KPI) do monitorowania obsługi żądań usunięcia danych, np. odsetka zgłoszeń, na które udzielono odpowiedzi w terminie. Przedstawiaj raporty KPI kierownictwu do oceny i doskonalenia procesu.

Zdefiniuj w prostym języku, zrozumiałym dla pracowników obsługujących zgłoszenia, odpowiednie warunki techniczne i prawne dotyczące prawa do usunięcia danych.

Problem nr 2: brak przeszkolenia lub niewłaściwe przeszkolenie personelu obsługującego żądania usunięcia danych

W wielu organizacjach szkolenia z ochrony danych odbywają się rzadko, najczęściej raz w roku, i mają charakter ogólny – tylko sporadycznie obejmują szczegółowe zagadnienia związane z realizacją prawa do usunięcia danych. Przyczyną są często niewielka liczba otrzymywanych żądań usunięcia danych lub ograniczone zasoby organizacyjne, takie jak czas, budżet czy dostępność personelu. W praktyce taki model szkoleń prowadzi do istotnych luk w wiedzy pracowników.

Rozwiązanie

• Podnoś świadomość i zapewniaj zasoby – odpowiednie szkolenia (również w zakresie wewnętrznych procedur obsługi żądań usunięcia danych na podstawie art. 17 RODO) oraz wystarczające środki i narzędzia wspierające ten proces.
• Opracuj jasne informacje na temat prawa do usunięcia danych, szczególnie z punktu widzenia pracowników zajmujących się zgłoszeniami osób, których dane dotyczą.
• Dbaj o regularność szkoleń i organizuj sesje przypominające.
• Rozważ użycie narzędzi e-learningowych.
• Wdrażaj obowiązkowe szkolenia dostosowane do konkretnych stanowisk i pełnionych funkcji.

Najlepsze zaobserwowane praktyki

• Organizuj wewnętrzne sesje szkoleniowe i sprawdzaj wiedzę uczestników.

W ramach szkoleń testuj pracowników za pomocą fikcyjnych zgłoszeń, aby zweryfikować, czy proces obsługi przebiega prawidłowo.

E-learning RODO to już standard!

Pracownicy zdobywają wiedzę o ochronie danych, przystępnie i praktycznie. Testy końcowe potwierdzają efekty szkolenia, a zaświadczenie je dokumentuje.

ZOBACZ WIĘCEJ

Problem nr 3: nieefektywna komunikacja z osobami, których dane dotyczą

Kolejnym zaobserwowanym problemem była niska jakość odpowiedzi na żądania usunięcia danych. Administratorzy często:

• przekazywali zbyt ogólne informacje,
• nie wyjaśniali podstaw odmowy realizacji żądania,
• nie wskazywali wyjątków zastosowanych w konkretnej sprawie,
• nie informowali o dalszych możliwościach działania, np. o prawie wniesienia skargi do organu nadzorczego w razie odmowy realizacji żądania.

Rozwiązanie

• Przejrzyj politykę prywatności (informacje o ochronie danych) i w razie potrzeby uzupełnij ją o pouczenie o prawie do usunięcia danych, jego zakresie i procedurze realizacji.
• Upewnij się, że dane kontaktowe umożliwiające złożenie żądania usunięcia danych są podane w łatwo dostępny sposób.
• Opracuj szablony odpowiedzi na żądania usunięcia danych, dostosowane do różnych typów sytuacji.

Najlepsze zaobserwowane praktyki

• Zaoferuj osobom, których dane dotyczą, różne i przyjazne dla użytkownika kanały komunikacji służące do zgłaszania żądań usunięcia danych (np. pocztę elektroniczną, telefon, aplikację).
• Potwierdź otrzymanie żądania usunięcia danych i podaj szacunkową datę odpowiedzi (nawet jeśli jest to po prostu miesięczny termin wynikający z przepisów) w celu zapewnienia przejrzystości.
• Publikuj często zadawane pytania wraz z odpowiedziami oraz formularze internetowe, aby ułatwić osobom, których dane dotyczą, zrozumienie przysługującego im prawa do usunięcia danych oraz zgłoszenie żądania w tym zakresie.
• Poinformuj osoby zgłaszające żądanie o konsekwencjach trwałego usunięcia ich danych (np. o niemożliwości skorzystania z niektórych usług czy zrealizowania żądania dostępu do danych).

Problem nr 4: nadużycia i niepewność prawna w zakresie wyjątków umożliwiających odmowę realizacji żądania usunięcia danych

Często identyfikowanym przez europejskie organy nadzorcze problemem są trudności ze stosowaniem przewidzianych w art. 17 ust. 3 RODO wyjątków od prawa do usunięcia danych. Choć przepisy dopuszczają odmowę realizacji żądania w określonych sytuacjach, praktyka pokazuje, że wyjątki te nie zawsze są prawidłowo interpretowane i stosowane. Część administratorów przeprowadza szczegółową analizę każdego żądania, jednak w wielu organizacjach wyjątki są traktowane niemal automatycznie. Zamiast indywidualnej oceny konkretnej sytuacji przyjmuje się z góry, że określona kategoria danych lub określony proces przetwarzania zawsze wyłącza możliwość usunięcia danych.

Rozwiązanie

• Jeśli powołujesz się na wyjątki, każdorazowo dokumentuj to wraz z uzasadnieniem.
• Włączaj zespół ds. zgodności (compliance) lub dział prawny w podejmowanie decyzji o odmowie lub odroczeniu realizacji żądania usunięcia danych.

Problem nr 5: trudności w definiowaniu i stosowaniu okresów przechowywania danych

Skuteczna realizacja prawa do bycia zapomnianym wymaga uprzedniego uporządkowania zasad retencji danych. Administrator powinien być w stanie określić cel przetwarzania, podstawę prawną oraz konkretny okres przechowywania danych w poszczególnych procesach. Brak takiej wiedzy nie tylko utrudnia obsługę żądań usunięcia danych, lecz także może prowadzić do naruszenia jednej z podstawowych zasad RODO – zasady ograniczenia przechowywania (art. 5 ust. 1 lit. e RODO).

Rozwiązanie

• Przed udokumentowaniem okresów przechowywania w rejestrze czynności przetwarzania ustal, czy istnieją przepisy nakładające obowiązek prawny przechowywania danych.
• Opracuj i regularnie aktualizuj politykę retencji danych, która określa obowiązujące okresy ich przechowywania.

Najlepsze zaobserwowane praktyki

• Określ w polityce prywatności zarówno konkretne okresy przechowywania danych, jak i kryteria ich ustalania (np. w związku z realizacją obowiązku prawnego) – zwiększa to przejrzystość.
• Korzystaj z „macierzy usuwania danych”, która zestawia rodzaj przetwarzanych danych, powiązaną podstawę prawną i okres przechowywania (jak w poniższym przykładzie).

Problem nr 6: usuwanie danych z kopii zapasowych

Jednym z istotnych wyzwań w realizacji prawa do usunięcia danych jest ich przetwarzanie w kopiach zapasowych (backupach). Kopie zapasowe pełnią kluczową funkcję w zapewnieniu integralności i dostępności danych, zwłaszcza w przypadku incydentów bezpieczeństwa, takich jak ataki ransomware. Z tego względu ich modyfikowanie lub ingerowanie w ich zawartość (np. usuwanie pojedynczych danych) nie zawsze jest technicznie uzasadnione czy bezpieczne. Z jednej strony kopie zapasowe chronią więc dane, a z drugiej – ich specyfika techniczna znacząco utrudnia realizację żądań usunięcia danych.

Rozwiązanie

• Usuwaj i niszcz dane w sposób bezpieczny i uporządkowany, zgodnie z ustalonymi standardami.
• Sprawdź, czy dane zostały usunięte, i bądź w stanie wykazać ich usunięcie.

Najlepsze zaobserwowane praktyki

• Aby złagodzić wpływ usunięcia danych osobowych na strukturę kopii zapasowych, rozważ zastąpienie danych przeznaczonych do usunięcia ciągiem losowych znaków.
• Korzystaj z narzędzi, które automatycznie wyodrębniają wszystkie dane osobowe z systemów wewnętrznych i przenoszą je do kopii zapasowych co do zasady niedostępnych dla pracowników. Upewnij się, że dane te zostaną następnie usunięte lub całkowicie zanonimizowane.

Problem nr 7: trudności z anonimizacją danych

Kolejnym istotnym zagadnieniem jest praktyka zastępowania usunięcia danych ich anonimizacją. Zgodnie z motywem 26 RODO dane uznaje się za anonimowe wyłącznie wtedy, gdy nie można już zidentyfikować (ani bezpośrednio, ani pośrednio) osoby fizycznej, której dotyczyły. W takim przypadku przestają one podlegać przepisom RODO. Organy nadzorcze dostrzegły jednak niepewność administratorów co do tego, czym faktycznie jest anonimizacja – w ujęciu zarówno prawnym, jak i technicznym. W szczególności zdarza się, że administratorzy nie odróżniają anonimizacji od pseudonimizacji, a stosowane przez nich metody nie zapewniają nieodwracalności procesu przekształcenia danych. Tymczasem pozorna anonimizacja nie spełnia wymogów RODO i nie może zastępować realizacji prawa do usunięcia danych. Administrator powinien każdorazowo być w stanie wykazać, że zastosowane przez niego środki faktycznie uniemożliwiają identyfikację osoby fizycznej – w przeciwnym razie, mimo podjętych działań, obowiązek usunięcia danych pozostaje aktualny.

Najlepsze zaobserwowane praktyki

• Wdrażaj standardy techniczne dotyczące systemów zarządzania, takie jak ISO/IEC 27001 i ISO 9001, ponieważ pomagają one usprawniać procesy i wzmacniać rozliczalność.
• Nawet jeśli nie wdrażasz tych standardów w całości, rozważ oparcie na nich swojej polityki bezpieczeństwa.

Wnioski dla administratorów

Wyniki omawianej akcji kontrolnej pokazują, że największym problemem nie jest sama znajomość art. 17 RODO, lecz jego praktyczne stosowanie. Organizacje najczęściej potykają się o kwestie operacyjne: brak procedur, niedostateczne rozeznanie w przepływach danych, problemy z retencją oraz trudności związane z kopiami zapasowymi.

Jednocześnie sprawozdanie EROD wyraźnie wskazuje kierunek działań. Administratorzy, którzy chcą ograniczyć ryzyko skarg, powinni traktować prawo do bycia zapomnianym jako element szerszego systemu zarządzania cyklem życia danych, a nie jedynie jako obowiązek reagowania na pojedyncze żądania.

To właśnie organizacje, które mają przejrzyste procedury, dobrze zdefiniowane okresy retencji, wyszkolony personel i pełną wiedzę o lokalizacji przetwarzanych danych, najskuteczniej realizują prawo do bycia zapomnianym – jedno z najważniejszych praw przysługujących osobom fizycznym na podstawie RODO.

FAQ – najczęściej zadawane pytania

Czym jest prawo do bycia zapomnianym?

Prawo do bycia zapomnianym to powszechne określenie prawa do usunięcia danych osobowych wynikającego z art. 17 RODO. Pozwala ono osobie, której dane dotyczą, żądać ich usunięcia w sytuacjach określonych w przepisach.

Czy administrator musi zawsze usunąć dane na żądanie osoby?

Nie. Prawo do usunięcia danych podlega ograniczeniom. Administrator może odmówić usunięcia danych m.in. wtedy, gdy ich dalsze przetwarzanie jest konieczne do wykonania obowiązku prawnego albo ustalenia, dochodzenia lub obrony roszczeń.

Jakie są najczęstsze problemy z realizacją prawa do bycia zapomnianym?

Do najważniejszych problemów należą brak odpowiednich procedur, niewystarczające przeszkolenie personelu, nieefektywna komunikacja z osobami, których dane dotyczą, niewłaściwe stosowanie wyjątków, problemy z okresami przechowywania danych, obsługą kopii zapasowych oraz anonimizacją.

Czy anonimizacja może zastąpić usunięcie danych?

Tylko wtedy, gdy zastosowana metoda rzeczywiście prowadzi do anonimizacji danych. Jeżeli możliwa jest identyfikacja osoby bezpośrednio lub pośrednio, dane nadal mogą podlegać RODO, a pozorna anonimizacja nie zastępuje realizacji prawa do usunięcia danych.

Co administrator powinien zrobić, gdy odmawia usunięcia danych?

Powinien wskazać podstawę odmowy, uzasadnić zastosowanie odpowiedniego wyjątku i przekazać osobie informacje o dalszych możliwościach działania, w tym o możliwości wniesienia skargi do organu nadzorczego.

Jak długo administrator może przechowywać dane?

Nie ma jednego uniwersalnego okresu przechowywania wszystkich danych. Okres powinien wynikać m.in. z celu i podstawy prawnej przetwarzania oraz obowiązków prawnych dotyczących przechowywania określonych danych. Administrator powinien mieć odpowiednio zdefiniowaną i aktualizowaną politykę retencji.

Jak realizować prawo do usunięcia danych z kopii zapasowych?

Administrator powinien mieć określony proces bezpiecznego i uporządkowanego usuwania danych oraz możliwość wykazania wykonania tego procesu. Specyfika backupów może powodować, że bezpośrednia ingerencja w kopię zapasową nie zawsze jest technicznie uzasadniona lub bezpieczna.

Czy administrator powinien dokumentować realizację żądania usunięcia danych?

Tak. Dokumentowanie podjętych działań pozwala wykazać sposób realizacji żądania. Artykuł wskazuje również na wykorzystanie systemów automatycznie generujących dowody usunięcia danych oraz monitorowanie procesu za pomocą KPI.

Jak przygotować organizację do obsługi żądań usunięcia danych?

Warto wdrożyć jasną procedurę, zmapować dane osobowe i miejsca ich przechowywania, określić zasady retencji, przeszkolić pracowników, przygotować szablony odpowiedzi oraz ustalić sposób dokumentowania realizacji żądań i stosowania wyjątków.

Co pokazała akcja kontrolna EROD dotycząca prawa do bycia zapomnianym?

W ramach akcji prowadzonej w 2025 r. w ramach CEF 32 organy nadzorcze przeanalizowały praktyki 764 administratorów. Wyniki wskazały, że mimo wieloletniego obowiązywania RODO organizacje nadal mają problemy z praktyczną realizacją prawa do usunięcia danych.