Prawo do przenoszenia danych — art. 20 RODO, format maszynowy i transfer między usługami

Stan prawny: 17 października 2026 r. Analiza WILIŃSKI LEGAL.

Najważniejsza odpowiedź

Art. 20 RODO pozwala w określonych warunkach otrzymać dane dostarczone administratorowi w formacie ustrukturyzowanym, powszechnie używanym i maszynowo odczytywalnym oraz przesłać je innemu administratorowi. Podstawą przetwarzania musi być zgoda lub umowa, a przetwarzanie odbywać się automatycznie.

Przenoszenie nie jest zwykłym wglądem do danych

Prawo dostępu z art. 15 RODO i prawo do przenoszenia z art. 20 nie są tożsame. Dostęp obejmuje szeroki katalog danych osobowych i informacji o przetwarzaniu, natomiast przenoszenie ma szczególny cel umożliwiający zmianę dostawcy usługi lub własne wykorzystanie danych. Nie każde żądanie kopii dokumentacji uruchamia automatycznie art. 20. Administrator musi ocenić podstawę prawną, sposób przetwarzania i rodzaj danych dostarczonych przez osobę.

Zgoda lub umowa jako przesłanka

Art. 20 ust. 1 wymaga, aby przetwarzanie odbywało się na podstawie określonej zgody albo umowy, przy jednoczesnym wykorzystaniu sposobów zautomatyzowanych. Dane przetwarzane na podstawie obowiązku prawnego lub uzasadnionego interesu administratora nie stają się automatycznie objęte prawem do przenoszenia. Trzeba więc przeanalizować rzeczywistą podstawę dla każdego zbioru danych, a nie przyjmować, że cała baza klienta podlega jednolitej procedurze eksportu.

Dane dostarczone a dane wywnioskowane

Prawo obejmuje dane dotyczące osoby, które dostarczyła administratorowi. Interpretacja pojęcia może uwzględniać także określone obserwowane dane powstające podczas korzystania z usługi, ale nie oznacza nieograniczonego obowiązku wydawania wszystkich analiz, ocen, modeli predykcyjnych czy wewnętrznych tajemnic przedsiębiorstwa. Administrator powinien oddzielić dane objęte zakresem art. 20 od informacji wyprowadzonych i materiałów chronionych prawami innych osób. Nie wolno pod pretekstem ochrony tajemnicy arbitralnie wykluczyć wszystkich danych klienta.

Format użyteczny, a nie wydruk PDF

Rozporządzenie wymaga formatu ustrukturyzowanego, powszechnie używanego i nadającego się do odczytu maszynowego. W wielu sytuacjach sam skan lub plik PDF zawierający obrazy tabel nie spełni celu, jeśli dane mają trafić do innej aplikacji. Odpowiednie mogą być np. CSV lub JSON, zależnie od struktury danych i kontekstu technicznego. Nie ma jednak jednego narzuconego wszystkim administratorom standardu API. Warto uzgodnić zakres pól, kodowanie i bezpieczny sposób przekazania.

Bezpośredni transfer pomiędzy administratorami

Art. 20 ust. 2 daje prawo żądania bezpośredniego transferu do innego administratora, jeżeli jest to technicznie możliwe. Nie jest to nakaz budowy nieistniejącej integracji za każdą cenę. Administrator powinien uczciwie ocenić możliwości systemu, odpowiednio zabezpieczyć kanał przekazania i zweryfikować tożsamość żądającego. Nie można uzależniać wydania danych od nieuzasadnionej rezygnacji z roszczeń wobec dotychczasowego dostawcy.

Prawa i wolności innych osób

Art. 20 ust. 4 zabrania negatywnego wpływu przenoszenia na prawa i wolności innych osób. W bazie kontaktów mogą znajdować się dane kontrahentów, członków rodziny czy współpracowników. Eksport musi uwzględniać to ograniczenie. Często konieczne jest rozdzielenie własnych danych klienta od danych innych osób. Nie należy jednak mechanicznie odmawiać całego eksportu, gdy problem można rozwiązać przez selekcję pól lub odpowiednie zabezpieczenia.

Termin odpowiedzi i organizacja procesu

Do żądania stosuje się reguły obsługi praw osoby określone w art. 12 RODO. Administrator powinien niezwłocznie rozpocząć identyfikację danych, zweryfikować tożsamość i udzielić odpowiedzi w odpowiednim terminie, z uwzględnieniem warunków jego przedłużenia. Dobrą praktyką jest rejestr wniosków, wskazanie odpowiedzialnego zespołu oraz audyt eksportu. Nie należy odkładać analizy do chwili, gdy klient już formalnie wypowiedział usługę.

Przykład

Użytkownik aplikacji treningowej żąda danych dotyczących własnych aktywności, wprowadzonych pomiarów i historii używania usługi przetwarzanych automatycznie na podstawie umowy. Administrator powinien ocenić zakres art. 20 i przygotować dane w odpowiednim formacie. Nie ma automatycznego obowiązku wydania całego kodu aplikacji ani analitycznych modeli dostawcy. Jeżeli użytkownik wskazuje inną aplikację, można rozważyć transfer bezpośredni, jeśli jest technicznie możliwy.

Mapa danych albo ścieżki użytkownika

Analiza art. 20 rodo – przenoszenie danych powinna identyfikować rzeczywisty przepływ informacji, osoby odpowiedzialne za decyzje i dokumenty potwierdzające ich podstawę. Nie wystarcza odwołanie do jednego zdania polityki prywatności lub regulaminu. Warto ustalić, jakie systemy są zaangażowane, w jakich momentach następują istotne operacje i czy użytkownik ma skuteczną możliwość skorzystania z uprawnienia. Dobrze prowadzony rejestr ułatwia zarówno obsługę żądań, jak i niezależny audyt.

Dowody zgodności i rozliczalność

Administrator lub dostawca usługi powinien umieć wykazać, jak zakwalifikował konkretną sytuację oraz dlaczego przyjął określony sposób działania. Dowodami mogą być logi, historia wniosków, testy interfejsu, opisy techniczne, dokumentacja podstaw prawnych i zatwierdzone procedury. W sprawach transgranicznych należy określić podmioty faktycznie podejmujące decyzje. Sama informacja, że system został zaprojektowany przez zewnętrznego wykonawcę, nie wystarcza do wyjaśnienia zgodności z przepisami.

Rzeczywiste prawa osoby i odpowiedź firmy

Należy rozróżnić treść prawa osoby od obowiązków technicznych związanych z jego wykonaniem. Firma powinna przygotować jasną komunikację, weryfikację tożsamości wtedy, gdy jest niezbędna, oraz właściwy sposób obsługi odmów lub ograniczeń wynikających z prawa. Jeżeli wniosek dotyczy także danych osób trzecich, konieczna jest proporcjonalna ochrona ich interesów. Nie powinno się przerzucać na użytkownika nadmiernego ciężaru udowodnienia kwestii, do których pełne dane posiada wyłącznie dostawca.

Rekomendacja compliance

Najlepszym sposobem ograniczenia ryzyka jest zaprojektowanie mechanizmu zgodności już na etapie tworzenia usługi. Potrzebne są przejrzyste reguły, czytelne komunikaty, właściwe uprawnienia systemowe i okresowe testy skuteczności. Warto również sprawdzić, czy proces odpowiada aktualnym wymaganiom ustawowym i technicznym, zamiast opierać się na historycznym wzorze dokumentacji. Przy zgłoszeniu naruszenia należy ustalić fakty, zakres zdarzenia i prawidłową ścieżkę ochrony bez obiecywania z góry określonego rozstrzygnięcia.

Praktyczna checklista

1. Sprawdź zakres podmiotowy i podstawę prawną.
2. Zidentyfikuj operacje, dane lub ścieżkę użytkownika.
3. Zweryfikuj zakres obowiązku oraz wyjątki.
4. Dokumentuj wykonane kroki i terminy.
5. Kontroluj skuteczność i ryzyka dla osób trzecich.

Oficjalne źródła prawne

Art. 20, 12 i 15 RODO — rozporządzenie (UE) 2016/679. Rozporządzenie unijne — EUR-Lex.

Struktura eksportu powinna być użyteczna i bezpieczna

Dobrze przygotowany eksport danych powinien zawierać zrozumiałe nazwy pól, daty, jednostki miary i opis ewentualnych kodów używanych w systemie. Sam plik CSV może okazać się mało przydatny, jeśli brak informacji, co oznaczają poszczególne kolumny. Administrator powinien jednocześnie unikać przekazywania wrażliwych informacji nieobjętych żądaniem lub danych innych klientów. Bezpieczeństwo przekazania wymaga adekwatnej weryfikacji adresata, zwłaszcza gdy eksport obejmuje historię usług. Należy rozdzielić obowiązek wydania danych w przenośnym formacie od odrębnego zadania utrzymania własnego API dla konkurencyjnej platformy. Takie rozróżnienie ogranicza spór techniczny i pozwala ocenić właściwe granice art. 20.

Weryfikacja i kontrola wykonania

Właściwa ochrona prawna wymaga potwierdzenia wszystkich relewantnych okoliczności, a nie wyłącznie przywołania odpowiedniego artykułu. Należy ustalić zakres dokumentów, daty czynności i rzeczywiste skutki danego zdarzenia. Każda z możliwych dróg ochrony ma odrębne przesłanki oraz ograniczenia. Dlatego rzetelna analiza powinna wskazywać zarówno mocne strony argumentacji, jak i realne ryzyko przyjęcia odmiennej oceny przez organ lub sąd. Szczególną uwagę trzeba poświęcić temu, czy wybrany środek jest możliwy do wykonania i nie narusza uzasadnionych praw osób trzecich.