Przenoszenie danych — art. 20 RODO, format maszynowy i transfer do innej firmy

Stan prawny: 17 października 2026 r. WILIŃSKI LEGAL — analiza ochrony danych osobowych.

Odpowiedź w skrócie

Prawo do przenoszenia obejmuje dane osobowe dostarczone administratorowi, gdy przetwarzanie jest zautomatyzowane i oparte na zgodzie lub umowie. Dane należy wydać w formacie ustrukturyzowanym, powszechnie używanym i maszynowo odczytywalnym. Bezpośredni transfer pomiędzy administratorami przysługuje, jeżeli jest technicznie możliwy.

Prawo do danych, a nie do całej technologii firmy

Przenoszenie ułatwia zmianę usługodawcy bez uzależniania użytkownika od zamkniętego systemu. Nie oznacza jednak prawa do otrzymania kodu źródłowego aplikacji, dokumentacji wewnętrznych modeli biznesowych ani wszystkich ocen, jakie firma wyprowadziła z danych. Trzeba rozróżnić informacje dostarczone przez użytkownika, w tym określone dane obserwowane w toku korzystania z usługi, od wniosków analitycznych i modeli tworzonych przez administratora. Ocena zależy od charakteru konkretnego zbioru, nie od potocznego określenia »moje dane«.

Dwie przesłanki muszą wystąpić łącznie

Art. 20 ust. 1 wymaga, by podstawą przetwarzania była zgoda z art. 6 ust. 1 lit. a albo art. 9 ust. 2 lit. a lub umowa z art. 6 ust. 1 lit. b. Przetwarzanie musi jednocześnie odbywać się w sposób zautomatyzowany. Organizacja nie może zakładać, że każdy dokument w jej systemie podlega eksportowi, jeżeli dane są przechowywane na podstawie obowiązku prawnego. Trzeba sprawdzić cel i podstawę każdego zbioru, a nie tylko to, że użytkownik posiada konto.

Znaczenie formatu CSV i JSON

Dane mają być udostępnione w formacie ustrukturyzowanym, powszechnie używanym i nadającym się do odczytu maszynowego. CSV i JSON mogą spełniać tę rolę, o ile uwzględniają znaczenie pól, kodowanie i wymagany zakres. Zrzut ekranu często nie realizuje celu transferu, chociaż bywa czytelny dla człowieka. Z drugiej strony nie istnieje jedna uniwersalna technologia obowiązkowa dla wszystkich usług. Administrator powinien wybrać format umożliwiający praktyczne ponowne wykorzystanie informacji i zabezpieczyć plik przed nieuprawnionym odbiorem.

Transfer bezpośredni i techniczne możliwości

Art. 20 ust. 2 pozwala żądać przesłania danych wprost do innego administratora, jeżeli jest to technicznie możliwe. Nie nakazuje jednak tworzenia nowego interfejsu na każde indywidualne żądanie. Trzeba zweryfikować tożsamość podmiotu odbierającego, kanał transmisji, zakres danych i ryzyko błędnego adresowania. Firmy powinny dokumentować dostępne możliwości techniczne i sposób realizacji wniosku. Nie można bez uzasadnienia odmawiać bezpośredniego transferu, jeśli organizacja faktycznie dysponuje zgodnym, bezpiecznym mechanizmem.

Ochrona danych osób trzecich

Art. 20 ust. 4 zastrzega, że wykonywanie prawa nie może niekorzystnie wpływać na prawa i wolności innych osób. Ma to znaczenie w korespondencji zawierającej dane kontrahentów, wspólnych kontach oraz dokumentach rodzinnych. Nie oznacza to automatycznej odmowy całego wniosku. Administrator powinien zidentyfikować informacje należące do wnioskodawcy i dobrać proporcjonalne zabezpieczenia. W określonych sytuacjach konieczne jest ograniczenie pól lub dodatkowa ocena, czy ich przekazanie ujawniłoby chronioną tajemnicę innej osoby.

Przenoszenie nie powoduje automatycznie usunięcia

Otrzymanie pliku lub przesłanie danych do nowego usługodawcy nie oznacza, że dotychczasowy administrator musi skasować całą historię. Prawo do usunięcia danych z art. 17 ma odrębne przesłanki i wyjątki, w tym obowiązki archiwizacji. Osoba powinna świadomie zdecydować, czy żąda wyłącznie transferu, czy również zakończenia określonych procesów. Przy zmianie usług warto wyjaśnić, jakie dane pozostają ze względów prawnych i przez jaki okres, bez tworzenia fałszywego wrażenia całkowitego wymazania historii.

Weryfikacja tożsamości i termin

Administrator powinien odpowiedzieć według art. 12 RODO bez zbędnej zwłoki, zasadniczo nie później niż w ciągu miesiąca. Przy złożonych wnioskach możliwe jest uzasadnione przedłużenie o kolejne dwa miesiące, pod warunkiem terminowego poinformowania osoby. Weryfikacja tożsamości ma odpowiadać ryzyku ujawnienia danych, nie być pretekstem do zbierania nadmiarowych informacji. Rekomendowane jest stworzenie bezpiecznego panelu eksportu z potwierdzeniem pobrania oraz logowaniem czynności, bez publikowania pliku pod przewidywalnym publicznym adresem.

Przykład przenoszenia historii treningowej

Użytkownik aplikacji sportowej chce przenieść dane o aktywnościach i ustawienia konta do innego narzędzia. Jeśli dane spełniają przesłanki art. 20, dostawca powinien przygotować właściwy eksport. Nie ma jednak automatycznego obowiązku udostępnienia prywatnego algorytmu przewidywania wyników sportowych. Rozstrzygnięcie zależy od rodzaju danych, ich źródła i podstawy przetwarzania. To samo dotyczy systemów płatniczych, platform edukacyjnych i aplikacji zdrowotnych, gdzie dodatkowo istotna jest ochrona informacji szczególnej kategorii.

Sytuacje graniczne i argumenty obu stron

Osoba może twierdzić, że wszystkie informacje widoczne na profilu stanowią dane przez nią dostarczone. Firma może wskazać, że część danych jest wynikiem własnego wnioskowania lub oparta na innym przepisie niż umowa czy zgoda. Trzeba przeanalizować konkretne pola, nie rozstrzygać całego sporu jednym ogólnikiem. W razie częściowej odmowy należy wskazać uzasadnienie i odpowiedni środek ochrony, w tym możliwość skargi do organu nadzorczego. Rzetelna segregacja danych bywa skuteczniejsza niż bezwarunkowe »tak« lub »nie«.

Materiał dowodowy i dokumenty

Przy ocenie sytuacji należy zachować dokumenty źródłowe, daty wpływu żądania albo wykrycia incydentu, rejestry systemowe oraz korespondencję z dostawcami. Trzeba osobno ustalić, które fakty są pewne, a które pozostają hipotezami wymagającymi weryfikacji. Raport powinien identyfikować osobę odpowiedzialną za wykonanie decyzji, termin i zastosowane środki. Taki ślad umożliwia wykazanie rozliczalności zgodnie z art. 5 ust. 2 RODO i ogranicza ryzyko niespójnych informacji przekazywanych organowi oraz osobom zainteresowanym.

Możliwe kontrargumenty i wyjątki

Administrator może wskazywać, że określona kategoria danych jest objęta wyjątkiem, żądanie wykracza poza zakres danego uprawnienia albo ryzyko ma inny poziom niż twierdzi zainteresowany. Nie wystarczy jednak standardowa formuła bez wskazania faktów i przepisu. Osoba może z kolei kwestionować jakość analizy, brak terminowej odpowiedzi albo niedostateczne środki ochronne. Skuteczny spór wymaga wskazania konkretnej operacji przetwarzania, możliwych skutków i dowodów, nie ogólnego stwierdzenia, że przetwarzanie jest »niezgodne z RODO«.

Rola IOD i odpowiedzialność administratora

Inspektor ochrony danych może wspierać ocenę prawną i organizację odpowiedzi, ale jego udział nie znosi odpowiedzialności administratora za podejmowane decyzje. Przy współpracy z zewnętrznym dostawcą trzeba ustalić rzeczywiste role stron, zakres upoważnień i kanały wymiany informacji. Dobrą praktyką jest zachowanie spójności między polityką ochrony danych, umowami powierzenia i działającymi systemami. W dużych organizacjach przydatna jest procedura eskalacji, dzięki której pilne sprawy nie pozostają bez decyzji w okresie nieobecności jednej osoby.

Praktyczna checklista decyzji

W pierwszej kolejności należy ustalić stan faktyczny i rodzaj przetwarzanych danych. Następnie trzeba wskazać właściwy przepis, jego przesłanki oraz możliwe wyjątki. Trzeci etap obejmuje dokumentowanie oceny i wykonanie środków technicznych. Wreszcie konieczne jest przekazanie odpowiedniej informacji osobie albo organowi, jeżeli wymagają tego przepisy. Kontrola końcowa powinna sprawdzić zgodność deklaracji z rzeczywistym funkcjonowaniem systemów, a także odnotować działania zapobiegające ponownemu problemowi.

Lista kontrolna

1. Ustal stan faktyczny, zakres danych i odpowiedzialny podmiot.
2. Zweryfikuj przesłanki prawne oraz wyjątki.
3. Zabezpiecz dokumentację i ślad czynności.
4. Dobierz odpowiednie środki ochrony i komunikacji.
5. Udokumentuj ostateczną decyzję i dalszy monitoring.

Źródła pierwotne

Art. 20 RODO, w związku z art. 12 i 15–17 RODO.. Rozporządzenie (UE) 2016/679 — EUR-Lex. Wytyczne Europejskiej Rady Ochrony Danych dotyczące naruszeń.

Materiał edukacyjny; nie stanowi indywidualnej opinii prawnej.