Żądanie usunięcia danych osobowych — zwane też prawem do bycia zapomnianym — to uprawnienie każdej osoby fizycznej wynikające z art. 17 RODO. Możesz złożyć je do firmy, urzędu lub serwisu internetowego, który przetwarza Twoje dane. Administrator ma 30 dni na odpowiedź, a realizacja żądania jest całkowicie bezpłatna.
Kiedy możesz żądać usunięcia danych osobowych?
Prawo do usunięcia danych przysługuje Ci w konkretnych przypadkach wskazanych w art. 17 ust. 1 RODO. Nie jest to uprawnienie bezwarunkowe — musisz wskazać przynajmniej jedną z przewidzianych przesłanek. W praktyce najczęściej spotykane sytuacje to wycofanie zgody lub brak dalszego celu przetwarzania danych.
Podstawy prawne, na które możesz się powołać, to:
- Art. 17 ust. 1 lit. a — Twoje dane nie są już niezbędne do celów, w których zostały zebrane (np. konto w sklepie internetowym po zrealizowaniu zamówienia)
- Art. 17 ust. 1 lit. b — cofnęłeś/cofnęłaś zgodę na przetwarzanie i nie ma innej podstawy prawnej
- Art. 17 ust. 1 lit. c — wniosłeś/wniosłaś sprzeciw na podstawie art. 21 RODO (np. wobec marketingu bezpośredniego)
- Art. 17 ust. 1 lit. d — dane były przetwarzane niezgodnie z prawem, bez żadnej legalnej podstawy
- Art. 17 ust. 1 lit. e — przepis prawa wymaga usunięcia danych
Jeśli chcesz skontrolować, kto przetwarza Twoje dane i na jakiej podstawie, warto wcześniej zapoznać się z dokumentem zgody na przetwarzanie danych, który wyraziłeś/wyraziłaś przy rejestracji lub zawarciu umowy.
Jak złożyć Żądanie usunięcia danych osobowych (RODO)?
RODO nie narzuca konkretnej formy — żądanie możesz złożyć pisemnie, elektronicznie lub ustnie. Najważniejsze, aby zawierało Twoje dane identyfikacyjne, opis zakresu danych i wskazanie podstawy prawnej.
Dostępne kanały składania:
- E-mail do Inspektora Ochrony Danych (IOD) lub ogólnego adresu firmy — najszybszy sposób
- Formularz online na stronie administratora (szukaj sekcji „Prywatność" lub „RODO")
- List polecony na adres siedziby — zalecany ze względu na potwierdzenie doręczenia
- ePUAP — do urzędów publicznych, z użyciem profilu zaufanego
- Osobiście — w siedzibie firmy lub urzędu
Żądanie możesz złożyć samodzielnie lub przez pełnomocnika. Jeśli działasz w cudzym imieniu, przygotuj odpowiednie oświadczenie ogólne lub pełnomocnictwo.
Co musi zawierać wniosek o usunięcie danych osobowych?
Żądanie usunięcia danych osobowych (RODO) nie ma urzędowego wzoru — RODO pozostawia elastyczność co do formy. Kluczowe jest, aby administrator mógł jednoznacznie Cię zidentyfikować i zrozumieć zakres żądania. Brak podstawowych danych identyfikacyjnych to najczęstszy powód opóźnień w realizacji.
| Element wniosku | Co wpisać | Obowiązkowy? |
|---|---|---|
| Imię i nazwisko | Pełne dane osobowe wnioskodawcy | Tak |
| Adres / e-mail | Adres zamieszkania lub e-mail powiązany z kontem | Tak |
| Dane administratora | Nazwa firmy/urzędu i adres (z polityki prywatności) | Tak |
| Zakres danych | „Wszelkie moje dane" lub konkretne kategorie (dane konta, historia zakupów) | Tak |
| Źródło danych | Skąd administrator posiada dane (rejestracja, zamówienie, formularz) | Zalecany |
| Przesłanka z art. 17 RODO | Jedna lub więcej spośród lit. a–e | Tak |
| Uzasadnienie | Krótki opis sytuacji — przyspiesza rozpatrzenie | Opcjonalny |
Ile kosztuje żądanie usunięcia danych?
Realizacja praw podmiotów danych na podstawie RODO jest całkowicie bezpłatna. Administrator nie może pobierać opłat za usunięcie danych w normalnych okolicznościach. Jedyny wyjątek: jeśli żądania są ewidentnie nieuzasadnione lub nadmierne (art. 12 ust. 5 RODO), administrator może naliczyć rozsądną opłatę lub odmówić działania.
Ile czasu ma administrator na odpowiedź?
Zgodnie z art. 12 ust. 3 RODO administrator ma 30 dni od otrzymania żądania na udzielenie odpowiedzi. Termin liczy się od daty doręczenia pisma. Może go przedłużyć o kolejne 2 miesiące, ale musi Cię o tym poinformować w ciągu pierwszych 30 dni, podając przyczyny opóźnienia.
| Etap | Termin | Podstawa prawna |
|---|---|---|
| Standardowa odpowiedź | 30 dni od doręczenia | Art. 12 ust. 3 RODO |
| Przedłużenie terminu (złożone sprawy) | Do 3 miesięcy łącznie | Art. 12 ust. 3 RODO |
| Informacja o przedłużeniu | Najpóźniej po 30 dniach | Art. 12 ust. 3 RODO |
| Skarga do UODO (po braku odpowiedzi) | Po upływie 30 dni | Art. 77 RODO |
Jak wypełnić i złożyć żądanie krok po kroku?
Kiedy administrator może odmówić usunięcia danych?
Prawo do bycia zapomnianym nie jest absolutne. Art. 17 ust. 3 RODO wskazuje sytuacje, w których administrator może — i powinien — odmówić usunięcia danych, nawet jeśli złożysz prawidłowe żądanie. Odmowa musi być uzasadniona i przekazana Ci na piśmie.
- Wolność wypowiedzi i informacji — np. artykuły prasowe, komentarze o znaczeniu publicznym
- Obowiązek prawny lub interes publiczny — np. dane przechowywane na mocy przepisów podatkowych (zazwyczaj 5 lat), prawa pracy, ubezpieczeń społecznych
- Ustalenie, dochodzenie lub obrona roszczeń — np. nieopłacone faktury, toczące się postępowania sądowe
- Cele archiwalne, badawcze lub statystyczne w interesie publicznym — gdy usunięcie uniemożliwiłoby osiągnięcie celów przetwarzania
Jeśli nie zgadzasz się z odmową administratora, możesz wnieść skargę do Prezesa UODO (art. 77 RODO) lub dochodzić swoich praw na drodze sądowej (art. 79 RODO). Możesz też rozważyć złożenie reklamacji do administratora przed eskalacją sprawy.
Najczęstsze błędy przy składaniu żądania usunięcia danych
Niepoprawnie złożone żądanie może wydłużyć cały proces lub zakończyć się odmową rozpatrzenia. Administrator ma prawo wezwać do uzupełnienia braków — czas na odpowiedź biegnie dopiero od momentu prawidłowego złożenia żądania.
- Brak danych identyfikacyjnych — administrator musi wiedzieć, czyje dane usunąć; podaj imię, nazwisko i e-mail przypisany do konta
- Brak wskazania przesłanki z art. 17 RODO — samo "chcę usunąć dane" to za mało; wskaż konkretną literę (a–e)
- Ignorowanie weryfikacji tożsamości — jeśli administrator poprosi o potwierdzenie, odpowiedz szybko; brak odpowiedzi wstrzymuje bieg terminu
- Nierealistyczne oczekiwania wobec danych archiwalnych — dane na podstawie obowiązku prawnego (np. faktury) nie podlegają usunięciu na żądanie
- Pominięcie podprzetwarzających — administrator powinien sam powiadomić swoich podwykonawców, ale warto o tym wspomnieć w żądaniu
Żądanie usunięcia danych a inne prawa RODO — co wybrać?
Prawo do usunięcia to jedno z kilku uprawnień wynikających z RODO. Zależnie od sytuacji, zamiast usunięcia możesz wnieść sprzeciw wobec przetwarzania lub żądać ograniczenia przetwarzania — to łagodniejsze środki, które nie niszczą danych, ale blokują ich dalsze użycie.
| Uprawnienie RODO | Kiedy stosować | Skutek |
|---|---|---|
| Art. 17 — usunięcie danych | Chcesz trwale usunąć dane | Dane muszą zostać zniszczone |
| Art. 21 — sprzeciw | Sprzeciwiasz się konkretnemu celowi (np. marketing) | Administrator zaprzestaje tego przetwarzania |
| Art. 18 — ograniczenie przetwarzania | Kwestionujesz prawidłowość danych lub legalność | Dane są "zamrożone", nie można ich użyć |
| Art. 16 — sprostowanie | Dane są nieprawidłowe lub niekompletne | Dane muszą zostać poprawione |
Jeśli przetwarzanie opierało się na Twojej zgodzie na przetwarzanie danych, wycofanie zgody jest najprostszym sposobem na zatrzymanie przetwarzania — i jednocześnie stanowi przesłankę do żądania usunięcia danych (art. 17 ust. 1 lit. b).
W sprawach związanych z ochroną wizerunku warto też zapoznać się z zasadami dotyczącymi zgody na wizerunek — cofnięcie takiej zgody może być podstawą do żądania usunięcia zdjęć lub filmów z serwisów internetowych.
Najczęściej zadawane pytania
Ile czasu ma administrator na usunięcie moich danych?
Administrator ma 30 dni od otrzymania żądania (art. 12 ust. 3 RODO). W uzasadnionych przypadkach termin może zostać przedłużony o kolejne 2 miesiące — łącznie do 3 miesięcy. Administrator musi jednak poinformować Cię o przedłużeniu w ciągu pierwszych 30 dni i podać przyczyny opóźnienia.
Co zrobić, jeśli firma nie odpowie na żądanie usunięcia danych?
Po upływie 30 dni bez odpowiedzi możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (UODO) — przez uodo.gov.pl lub listownie: ul. Stawki 2, 00-193 Warszawa. UODO może nakazać administratorowi usunięcie danych i nałożyć na niego karę finansową sięgającą nawet 20 mln euro lub 4% rocznego obrotu firmy.
Czy administrator musi usunąć dane ze wszystkich kopii zapasowych?
Tak — obowiązek obejmuje wszystkie kopie danych, w tym u podwykonawców (podmiotów przetwarzających). W praktyce usunięcie ze wszystkich kopii zapasowych może zająć więcej czasu niż 30 dni, ale administrator powinien to odnotować i poinformować Cię o działaniach, jakie podejmuje.
Czy usunięcie konta w serwisie to samo co usunięcie moich danych?
Nie zawsze. Usunięcie konta może nie obejmować wszystkich Twoich danych — np. historia transakcji może być przechowywana na podstawie przepisów prawa podatkowego przez 5 lat. Aby mieć pewność, złóż wyraźne pisemne żądanie usunięcia wszelkich danych osobowych, nie tylko konta. Powołaj się na art. 17 RODO.
Czy mogę żądać usunięcia danych z urzędu?
Tak, ale z ograniczeniami. Urzędy często przetwarzają dane na podstawie przepisów prawa (nie Twojej zgody), co wyklucza stosowanie art. 17 ust. 1 lit. b RODO. Administrator (urząd) ma obowiązek poinformować Cię o odmowie i jej przyczynach.
Co jeśli moje dane trafiły do KRD lub BIK — czy mogę je usunąć?
Usunięcie danych z biur informacji kredytowej (BIK) lub rejestrów dłużników (KRD) rządzi się odrębnymi przepisami. Jeśli dług jest aktualny i zgłoszony zgodnie z prawem, żądanie z art. 17 RODO prawdopodobnie zostanie oddalone. Sprawdź procedurę usunięcia z KRD — obejmuje m.in. spłatę zobowiązania lub wykazanie błędu we wpisie.
Czy zastrzeżenie numeru PESEL ma związek z prawem do usunięcia danych?
Nie bezpośrednio. Zastrzeżenie numeru PESEL to ochrona przed kradzieżą tożsamości — uniemożliwia zaciąganie zobowiązań na Twoje dane. Żądanie usunięcia danych z art. 17 RODO to natomiast uprawnienie do trwałego zniszczenia danych przez konkretnego administratora. Obie procedury mogą być stosowane niezależnie.
Czy muszę podawać powód żądania usunięcia danych?
Musisz wskazać przynajmniej jedną przesłankę z art. 17 ust. 1 RODO (lit. a–e) — to warunek konieczny, bez którego administrator może odmówić działania. Natomiast szczegółowe uzasadnienie jest opcjonalne, choć zalecane, bo przyspiesza rozpatrzenie żądania.
Podstawa prawna i źródła
Prawo do usunięcia danych osobowych jest uregulowane w następujących aktach prawnych:
- Art. 17 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO) — prawo do usunięcia danych (prawo do bycia zapomnianym)
- Art. 12 RODO — obowiązki administratora przy realizacji praw podmiotów danych, termin 30 dni
- Art. 21 RODO — prawo do sprzeciwu wobec przetwarzania
- Art. 77 RODO — prawo do wniesienia skargi do organu nadzorczego
- Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r. poz. 1781 ze zm.)