Ograniczenie przetwarzania danych — art. 18 RODO, cztery przesłanki i obowiązki firmy

Stan prawny: 17 października 2026 r. Analiza WILIŃSKI LEGAL.

Najważniejsza odpowiedź

Prawo do ograniczenia przetwarzania z art. 18 RODO dotyczy czterech określonych sytuacji: kwestionowania prawidłowości danych, bezprawnego przetwarzania przy sprzeciwie wobec usunięcia, potrzeby danych do roszczeń albo oczekiwania na rozstrzygnięcie sprzeciwu. Nie oznacza automatycznego usunięcia danych z systemu.

Ograniczenie to nie usunięcie

Osoba może żądać, aby administrator w określonych warunkach zatrzymał aktywne operacje na jej danych, pozostawiając je w zasobach. Art. 18 RODO jest odrębny od prawa do usunięcia z art. 17 i od sprostowania z art. 16. Nie należy wykonywać wniosku o ograniczenie poprzez automatyczne skasowanie rekordów, które są potrzebne do postępowania dowodowego. Równie błędne byłoby pozostawienie ich w pełni aktywnym obiegu bez zmiany statusu.

Kwestionowanie prawidłowości danych

Pierwsza sytuacja dotyczy okresu pozwalającego administratorowi sprawdzić poprawność danych kwestionowanych przez osobę. Jeśli klient twierdzi, że w systemie przypisano mu cudze zobowiązanie, administrator nie powinien bez kontroli dalej wykorzystywać tej informacji w sposób wywołujący niekorzystne skutki. Trzeba wdrożyć proces wyjaśniający i oznaczyć dane w sposób umożliwiający respektowanie ograniczenia. Nie jest konieczne uznanie zarzutu za zasadny przed jego sprawdzeniem.

Bezprawność i sprzeciw wobec usunięcia

Drugi przypadek zachodzi, gdy przetwarzanie jest niezgodne z prawem, a osoba sprzeciwia się usunięciu danych, żądając zamiast tego ograniczenia ich wykorzystania. Powodem mogą być potrzeby zachowania dowodów naruszenia lub zabezpieczenia własnej sytuacji prawnej. Administrator powinien oddzielić obowiązek zaprzestania bezprawnych operacji od zachowania danych w zakresie przewidzianym prawem. Nie należy traktować tego wniosku jako zgody na dalsze swobodne przetwarzanie.

Roszczenia mimo braku dalszej potrzeby administratora

Trzecia sytuacja dotyczy danych, których administrator już nie potrzebuje do swoich celów, ale osoba potrzebuje ich do ustalenia, dochodzenia lub obrony roszczeń. Wtedy usunięcie materiału mogłoby osłabić jej sytuację procesową. Ograniczenie powinno zabezpieczać dane bez wykorzystywania ich do pierwotnych celów. Ważne są ustalenie okresu niezbędnego do roszczeń i prawidłowa dokumentacja zakresu blokady.

Sprzeciw z art. 21 w toku oceny

Czwarty przypadek wiąże się z wniesieniem sprzeciwu z art. 21 ust. 1 na czas ustalenia, czy prawnie uzasadnione podstawy administratora są nadrzędne wobec podstaw sprzeciwu osoby. Należy ocenić konkretną podstawę przetwarzania i okoliczności osobiste, zamiast automatycznie utożsamiać sprzeciw z nieodwołalnym żądaniem usunięcia danych. Dobrą praktyką jest przypisanie ograniczeniu statusu czasowego i kontroli terminu ponownej oceny.

Co można robić z danymi po ograniczeniu

Art. 18 ust. 2 przewiduje, że poza przechowywaniem takie dane mogą być przetwarzane w szczególnych, enumeratywnie określonych sytuacjach, m.in. za zgodą osoby, dla roszczeń, ochrony praw innej osoby albo z ważnych względów interesu publicznego UE lub państwa. Nie wolno używać ograniczonej bazy do zwykłego marketingu lub profilowania tylko dlatego, że informacja fizycznie nadal znajduje się na serwerze.

Powiadomienie przed zniesieniem ograniczenia

Administrator powinien poinformować osobę przed uchyleniem ograniczenia wynikającego z art. 18 ust. 1, a w razie wcześniejszego ujawnienia danych rozważyć obowiązki informowania odbiorców z art. 19. Warto zapisać daty, zakres i uzasadnienie ograniczenia oraz kto był odpowiedzialny za jego techniczne wdrożenie. Nieprawidłowo działający system, w którym oznaczono status jedynie w notatce pracownika, nie gwarantuje rzeczywistej zgodności.

Przykład

Klient kwestionuje wynik weryfikacji finansowej, który według niego pochodzi z danych innej osoby. Prosi o ograniczenie przetwarzania do czasu sprawdzenia ich prawidłowości. Firma powinna rozważyć art. 18 ust. 1 lit. a, oznaczyć dane i ograniczyć nieuzasadnione aktywne wykorzystanie podczas wyjaśniania. Samo wysłanie potwierdzenia e-mail bez dokonania zmian w systemie nie stanowi właściwej realizacji obowiązku.

Mapa danych albo ścieżki użytkownika

Analiza art. 18 rodo ograniczenie przetwarzania powinna identyfikować rzeczywisty przepływ informacji, osoby odpowiedzialne za decyzje i dokumenty potwierdzające ich podstawę. Nie wystarcza odwołanie do jednego zdania polityki prywatności lub regulaminu. Warto ustalić, jakie systemy są zaangażowane, w jakich momentach następują istotne operacje i czy użytkownik ma skuteczną możliwość skorzystania z uprawnienia. Dobrze prowadzony rejestr ułatwia zarówno obsługę żądań, jak i niezależny audyt.

Dowody zgodności i rozliczalność

Administrator lub dostawca usługi powinien umieć wykazać, jak zakwalifikował konkretną sytuację oraz dlaczego przyjął określony sposób działania. Dowodami mogą być logi, historia wniosków, testy interfejsu, opisy techniczne, dokumentacja podstaw prawnych i zatwierdzone procedury. W sprawach transgranicznych należy określić podmioty faktycznie podejmujące decyzje. Sama informacja, że system został zaprojektowany przez zewnętrznego wykonawcę, nie wystarcza do wyjaśnienia zgodności z przepisami.

Rzeczywiste prawa osoby i odpowiedź firmy

Należy rozróżnić treść prawa osoby od obowiązków technicznych związanych z jego wykonaniem. Firma powinna przygotować jasną komunikację, weryfikację tożsamości wtedy, gdy jest niezbędna, oraz właściwy sposób obsługi odmów lub ograniczeń wynikających z prawa. Jeżeli wniosek dotyczy także danych osób trzecich, konieczna jest proporcjonalna ochrona ich interesów. Nie powinno się przerzucać na użytkownika nadmiernego ciężaru udowodnienia kwestii, do których pełne dane posiada wyłącznie dostawca.

Rekomendacja compliance

Najlepszym sposobem ograniczenia ryzyka jest zaprojektowanie mechanizmu zgodności już na etapie tworzenia usługi. Potrzebne są przejrzyste reguły, czytelne komunikaty, właściwe uprawnienia systemowe i okresowe testy skuteczności. Warto również sprawdzić, czy proces odpowiada aktualnym wymaganiom ustawowym i technicznym, zamiast opierać się na historycznym wzorze dokumentacji. Przy zgłoszeniu naruszenia należy ustalić fakty, zakres zdarzenia i prawidłową ścieżkę ochrony bez obiecywania z góry określonego rozstrzygnięcia.

Praktyczna checklista

1. Sprawdź zakres podmiotowy i podstawę prawną.
2. Zidentyfikuj operacje, dane lub ścieżkę użytkownika.
3. Zweryfikuj zakres obowiązku oraz wyjątki.
4. Dokumentuj wykonane kroki i terminy.
5. Kontroluj skuteczność i ryzyka dla osób trzecich.

Oficjalne źródła prawne

Art. 18, 12 i 19 RODO — rozporządzenie (UE) 2016/679. Rozporządzenie unijne — EUR-Lex.

Wdrożenie blokady w wielu systemach i późniejszy przegląd

Praktycznym problemem nie jest często samo prawne uznanie żądania, lecz zapewnienie, że ograniczenie zostanie wykonane w każdym systemie korzystającym z danych. Przykładowo rekord może zostać oznaczony jako sporny w CRM, ale nadal być eksportowany do automatycznej oceny klienta albo kampanii marketingowej. Administrator powinien ustalić procesy zależne, zastosować odpowiednie blokady i monitorować ich skuteczność. Trzeba również wyznaczyć datę ponownego sprawdzenia, czy przesłanka ograniczenia istnieje. Przed przywróceniem zwykłego przetwarzania należy dopełnić obowiązku poinformowania osoby. Ochrona nie polega jedynie na dopisaniu adnotacji w dokumentacji wewnętrznej.

Weryfikacja i kontrola wykonania

Właściwa ochrona prawna wymaga potwierdzenia wszystkich relewantnych okoliczności, a nie wyłącznie przywołania odpowiedniego artykułu. Należy ustalić zakres dokumentów, daty czynności i rzeczywiste skutki danego zdarzenia. Każda z możliwych dróg ochrony ma odrębne przesłanki oraz ograniczenia. Dlatego rzetelna analiza powinna wskazywać zarówno mocne strony argumentacji, jak i realne ryzyko przyjęcia odmiennej oceny przez organ lub sąd. Szczególną uwagę trzeba poświęcić temu, czy wybrany środek jest możliwy do wykonania i nie narusza uzasadnionych praw osób trzecich.