Prawo do przenoszenia danych — art. 20 RODO, format i obowiązki administratora

Stan prawny: 2026-10-17. Pogłębiona analiza WILIŃSKI LEGAL.

Odpowiedź w skrócie

Art. 20 RODO pozwala w określonych warunkach otrzymać dane osobowe dostarczone administratorowi w ustrukturyzowanym, powszechnie używanym i nadającym się do odczytu maszynowego formacie, a także przesłać je innemu administratorowi. Nie obejmuje automatycznie każdej informacji przechowywanej o osobie.

Przenoszalność ma własne przesłanki

Prawo do przenoszenia danych nie jest odpowiednikiem bezwarunkowego uzyskania całej dokumentacji organizacji. Dotyczy określonych danych osobowych, które osoba dostarczyła administratorowi, a przetwarzanie opiera się na zgodzie lub umowie i odbywa w sposób zautomatyzowany. Należy więc ustalić podstawę przetwarzania oraz pochodzenie informacji. Jeśli dane zostały stworzone w wyniku własnej analizy administratora, mogą nie mieścić się w tym samym zakresie co informacje podane przez osobę.

Dane dostarczone przez osobę

W praktyce chodzi m.in. o informacje wprowadzane do profilu, historię aktywności obserwowaną poprzez korzystanie z usługi i dane związane z wykonywaniem umowy, o ile spełnione są przesłanki. Nie należy automatycznie obejmować wniosków analitycznych lub profili wyprowadzonych samodzielnie przez administratora. Zakres danych warto opisać w procedurze realizacji wniosku. Odrębnie trzeba ocenić dokumenty zawierające dane osób trzecich, aby przeniesienie nie naruszało ich praw i wolności.

Wymagany format techniczny

Art. 20 wymaga formatu ustrukturyzowanego, powszechnie używanego i umożliwiającego odczyt maszynowy. W wielu przypadkach odpowiedni może być CSV lub JSON, jeżeli rzeczywiście pozwala odtworzyć dane i ich relacje. Sam zeskanowany obraz wydruku albo zrzut ekranu nie zawsze spełnia funkcję przenoszalności. Nie istnieje jednak jedna uniwersalna technologia narzucona każdej branży. Należy uwzględnić standardy praktyczne i zakres danych istotnych dla danego typu usługi.

Bezpośredni transfer do innego podmiotu

Jeżeli jest to technicznie możliwe, osoba może żądać przesłania danych bezpośrednio innemu administratorowi. Przepis nie tworzy automatycznie obowiązku budowania kosztownej integracji z każdym potencjalnym odbiorcą. Administrator powinien ocenić realne możliwości transferu oraz zabezpieczyć tożsamość żądającego i adresata danych. Nie wolno wysyłać pakietu zawierającego dane osobowe na przypadkowy adres wskazany w nieweryfikowalnym e-mailu. Bezpieczeństwo transferu jest integralną częścią realizacji prawa.

Zgoda, umowa i automatyzacja

Prawo dotyczy przetwarzania opartego na odpowiednich przesłankach zgody i umowy, przy wykorzystaniu środków zautomatyzowanych. Jeśli administrator działa wyłącznie na podstawie obowiązku prawnego albo realizacji zadania publicznego, art. 20 może nie znaleźć zastosowania. Należy przy tym rozróżnić różne zbiory danych w jednej organizacji, bo historia zakupów i dokumentacja księgowa mogą mieć odmienne podstawy przetwarzania. Nie należy odpowiadać jednolitym odmownym szablonem bez osobnej oceny każdej kategorii.

Relacja do dostępu i usunięcia danych

Art. 15 RODO daje odrębne prawo dostępu do danych, a art. 17 reguluje usunięcie w określonych sytuacjach. Wniosek o przeniesienie nie oznacza automatycznie, że dotychczasowy administrator ma skasować wszystkie dane po transferze. Jeśli wnioskodawca chce również usunięcia, konieczna jest odrębna analiza przesłanek i wyjątków, zwłaszcza okresów przechowywania wynikających z obowiązków prawnych. Rozdzielenie tych praw pomaga uniknąć błędnego przenoszenia na art. 20 ograniczeń właściwych dla innych procedur.

Termin odpowiedzi i identyfikacja

Na realizację wniosku mają zastosowanie zasady z art. 12 RODO, w tym zasadniczy miesięczny termin odpowiedzi oraz określone możliwości jego przedłużenia. Administrator może potrzebować dodatkowych informacji do potwierdzenia tożsamości, ale nie powinien żądać ich ponad potrzebę. Warto udokumentować datę otrzymania wniosku, zakres danych, podstawę prawną i sposób przekazania. Naruszenie prawa może wynikać zarówno z bezpodstawnej odmowy, jak i z niebezpiecznej wysyłki pakietu.

Praktyczny przykład

Użytkownik aplikacji fitness prosi o eksport swoich pomiarów i historii treningów, aby przejść do innej usługi. Należy ocenić, które dane są objęte art. 20, jaka była podstawa przetwarzania i czy transfer odbywa się automatycznie. Administrator może udostępnić zestaw w czytelnym formacie maszynowym. Nie musi natomiast automatycznie przekazać całego autorskiego profilu analitycznego tworzonego na bazie tych informacji, jeżeli nie jest on objęty zakresem przenoszalności.

Konkluzja

Skuteczna procedura przenoszenia danych wymaga mapy rodzajów informacji, określenia podstaw przetwarzania i bezpiecznego eksportu. Administrator powinien oddzielić przenoszalność od dostępu, usunięcia i interoperacyjności systemów. Użytkownik powinien wiedzieć, jak sformułować wniosek i w jakim formacie otrzyma dane. To praktyczne prawo ułatwiające zmianę dostawcy, ale jego granice są określone w art. 20 i nie należy ich rozszerzać bez podstawy.

Lista kontrolna i dokumenty

1. Ustal właściwy stan prawny, terminy i zakres zastosowania przepisu.
2. Odtwórz fakty oraz przygotuj dokumentację źródłową.
3. Rozdziel prawa i obowiązki zainteresowanych podmiotów.
4. Zidentyfikuj wyjątki, kontrargumenty i skutki proceduralne.
5. Sprawdź wdrożenie obowiązków w praktyce i sposób dokumentowania wyniku.

Źródła urzędowe

Art. 20 RODO, powiązane art. 12, 15 i 17; rozporządzenie (UE) 2016/679.

• Oficjalny akt prawny

Artykuł stanowi materiał informacyjny, nie zastępuje analizy indywidualnej sprawy.