Dane uzyskane od osoby trzeciej — art. 14 RODO, termin miesiąca i wyjątki

Stan prawny: 17 października 2026 r. Analiza WILIŃSKI LEGAL dotycząca ochrony danych.

Odpowiedź w skrócie

Jeżeli dane osobowe nie zostały uzyskane bezpośrednio od osoby, art. 14 RODO określa obowiązek poinformowania jej o przetwarzaniu oraz źródle danych. Co do zasady informację przekazuje się w rozsądnym terminie, nie później niż w ciągu miesiąca, z odpowiednimi wyjątkami i terminami szczególnymi.

Źródło danych przesądza o trybie

Art. 14 dotyczy informacji pozyskanych z innych źródeł, np. od kontrahenta, publicznego rejestru lub innego podmiotu. Nie jest to automatycznie ta sama sytuacja co zbieranie danych bezpośrednio przez formularz. Administrator powinien ustalić pochodzenie informacji i własną rolę w przetwarzaniu. Legalność uzyskania danych oraz obowiązek informacyjny to odrębne kwestie; realizacja klauzuli nie legalizuje sama przez się nieprawidłowego pozyskania.

Termin miesiąca i wcześniejsze zdarzenia

Zasadą art. 14 ust. 3 jest poinformowanie w rozsądnym terminie, zasadniczo nie później niż w miesiąc po pozyskaniu danych. Jeżeli dane służą do komunikowania się z osobą, odpowiednie informacje trzeba przekazać najpóźniej przy pierwszej takiej komunikacji. Gdy planowane jest ujawnienie innemu odbiorcy, informacji trzeba udzielić najpóźniej przy pierwszym ujawnieniu. Nie wolno mechanicznie korzystać z miesiąca jako bezwarunkowego okresu zwolnienia.

Co trzeba podać osobie

W informacji należy wskazać m.in. tożsamość administratora, cel i podstawę, kategorie danych, odbiorców, okres retencji, właściwe prawa, a także źródło pozyskania i ewentualnie informację o publicznie dostępnym źródle. Znaczenie ma też transfer poza EOG oraz profilowanie w stosownych sytuacjach. Klauzula powinna odpowiadać rzeczywistemu procesowi, nie zaś kopiować w niezmienionej formie informacje o danych bezpośrednio podawanych przez klienta.

Wyjątek niemożliwości i niewspółmiernego wysiłku

Art. 14 ust. 5 przewiduje określone wyjątki, w tym sytuacje, gdy dostarczenie informacji okaże się niemożliwe lub wymaga niewspółmiernie dużego wysiłku w warunkach wskazanych ustawą. Nie można z góry utożsamiać kosztu rozesłania wiadomości z takim wysiłkiem. Należy udokumentować konkretne przesłanki oraz rozważyć inne środki ochrony praw osób, np. publiczne udostępnienie określonych informacji.

Obowiązek ustawowy i tajemnica

Osobne wyjątki mogą dotyczyć pozyskiwania lub ujawniania danych wprost przewidzianego przez prawo oraz informacji objętych określonym obowiązkiem zachowania tajemnicy zawodowej lub ustawowej. Nie każdy ogólny zapis poufności w umowie jest równoważny takiej tajemnicy. Przed pominięciem zawiadomienia należy dokładnie ustalić normę szczególną i zakres informacji, którego dotyczy. Administrator ponosi odpowiedzialność za prawidłowe udokumentowanie decyzji.

Przejrzystość w danych publicznych

Dane z publicznego rejestru nadal mogą być danymi osobowymi. Samo umieszczenie informacji w powszechnie dostępnym źródle nie znosi automatycznie obowiązków RODO. Znaczenie ma cel nowego przetwarzania, jego podstawa i właściwy wyjątek z art. 14 ust. 5. Firma tworząca bazę kontaktów powinna oddzielnie sprawdzić zgodność marketingu elektronicznego z przepisami szczególnymi, zamiast twierdzić, że publiczny numer telefonu można wykorzystywać bez ograniczeń.

Przykład bazy kontrahentów

Spółka otrzymuje od partnera zestawienie danych osób kontaktowych w innych firmach. Administrator musi ocenić podstawę przetwarzania, zakres kategorii i sposób wykonania obowiązku z art. 14. Przy pierwszej komunikacji z taką osobą może powstać obowiązek przekazania informacji, nawet gdy ogólny termin miesiąca jeszcze nie minął. Nie należy utożsamiać obowiązku informacyjnego z prawem do wysłania niezamówionej reklamy.

Przejrzystość i dokumentacja decyzji

Administrator powinien umieć wykazać nie tylko to, że posiada politykę prywatności, ale również że rozpoznał własny cel przetwarzania i prawidłową podstawę ustawową. Każde odstępstwo od zasady wymaga udokumentowania konkretnych przesłanek. Warto określić osoby odpowiedzialne, terminy, źródła danych i procedury współpracy z podmiotami przetwarzającymi. Dla kontroli znaczenie mają faktycznie wdrożone mechanizmy, a nie same nazwy polityk i deklaracje marketingowe.

Skutki dla osoby, której dotyczą dane

Prawo do informacji i odpowiednio zorganizowane przetwarzanie mają umożliwiać osobie zrozumienie, jak jej dane są wykorzystywane. Jeśli administrator nie potrafi wyjaśnić tego procesu, utrudnia także późniejsze wykonywanie prawa dostępu, sprostowania, sprzeciwu lub usunięcia. Należy stosować język zrozumiały dla odbiorcy, a przy szczególnie złożonym systemie rozważyć warstwową strukturę komunikatów. Odrębnie ocenia się zagadnienia związane z dziećmi i osobami wymagającymi szczególnej ochrony.

Kontrargumenty i kontrola organu

W sporze podmiot może powoływać się na przepisy szczególne, interes publiczny albo wyjątki dotyczące określonego przetwarzania. Nie każda taka deklaracja jest jednak wystarczająca. Trzeba zidentyfikować konkretną normę i wskazać, w jakim zakresie ogranicza ona zwykłe obowiązki. Organ nadzorczy powinien otrzymać materiał umożliwiający ocenę ryzyka, a nie tylko oświadczenie o dobrej wierze. Nie można też automatycznie utożsamiać formalnego braku dokumentu z wystąpieniem każdej możliwej szkody.

Konkluzja

Właściwe stosowanie RODO wymaga odrębnego rozpoznania obowiązków informacyjnych, reguł organizacyjnych i mechanizmów kontroli ryzyka. Każdy przepis ma własne przesłanki, terminy i wyjątki. Najbezpieczniejszy model zakłada mapowanie procesów przed zbieraniem danych, dokumentowanie decyzji oraz okresowe sprawdzanie, czy rzeczywista działalność nadal odpowiada przyjętym założeniom. W przypadku zmian technologicznych należy zaktualizować ocenę, zamiast zakładać, że raz przygotowana klauzula pozostanie zawsze aktualna.

Kogo i kiedy trzeba poinformować

W przypadku otrzymania danych od partnera biznesowego administrator powinien ustalić, czy osoba otrzymała już wszystkie informacje i czy można skorzystać z konkretnego wyjątku. Sam zapis w umowie między firmami, że partner „odpowiada za RODO”, nie zawsze znosi własny obowiązek informacyjny drugiego administratora. Ważna jest chwila uzyskania danych oraz to, czy organizacja planuje pierwszy kontakt albo ujawnienie informacji innemu odbiorcy. Termin z art. 14 ust. 3 trzeba oceniać w kontekście tych zdarzeń. Dobrą praktyką jest prowadzenie ewidencji źródeł pozyskania danych, dzięki której można wykazać moment rozpoczęcia przetwarzania i treść wykonanej komunikacji.

Dokumentowanie niewspółmiernie dużego wysiłku

Wyjątek dotyczący niemożliwości lub niewspółmiernego wysiłku nie jest tożsamy z argumentem, że wysyłka informacji do wielu osób jest kosztowna. Trzeba wykazać odpowiednie okoliczności i uwzględnić charakter działalności, skalę przetwarzania i dostępne sposoby komunikacji. Administrator powinien rozważyć alternatywne działania chroniące prawa osób, np. publicznie dostępną informację uzupełniającą. Należy także przeanalizować, czy przepis obejmuje konkretny rodzaj przetwarzania i czy odpowiednie środki są wystarczające. Dokumentacja decyzji powinna zawierać analizę przesłanek, nie tylko krótkie stwierdzenie o zastosowaniu wyjątku.

Marketing i dane publiczne

Dane osób kontaktowych pozyskane ze strony przedsiębiorstwa mogą podlegać RODO, jeżeli identyfikują konkretną osobę. Administrator musi osobno zbadać legalność pozyskania, wykonanie obowiązku informacyjnego i regulacje dotyczące marketingu elektronicznego. Nie należy traktować art. 14 jako pozwolenia na wysyłanie niezamówionych reklam w celu przekazania informacji o przetwarzaniu. Wskazane jest rozdzielenie pierwszego obowiązkowego komunikatu o danych od dodatkowej treści promocyjnej. W przeciwnym razie poprawne formalnie wyjaśnienie źródła danych może współistnieć z odrębnym naruszeniem przepisów o kontaktach marketingowych.

Lista kontrolna

1. Ustal rolę administratora i konkretny cel.
2. Wskaż podstawę i zakres przetwarzania.
3. Sprawdź przesłanki, terminy i wyjątki.
4. Dokumentuj działania i stosowne zabezpieczenia.
5. Zadbaj o rzetelną komunikację z osobami i organami.

Źródło pierwotne

Rozporządzenie (UE) 2016/679, art. 14 i przepisy powiązane, EUR-Lex — tekst RODO.

Opracowanie informacyjne; nie stanowi porady w indywidualnej sprawie.