Przenoszenie danych z art. 20 RODO — pliki CSV, API i prawa odbiorców

Stan prawny na 17 października 2026 r. WILIŃSKI LEGAL — analiza RODO.

Odpowiedź w skrócie

Przenoszenie danych dotyczy informacji dostarczonych administratorowi, przetwarzanych automatycznie na podstawie zgody lub umowy. Możliwe jest otrzymanie danych w formacie ustrukturyzowanym i maszynowym, a przy technicznej możliwości ich bezpośrednie przesłanie.

Zakres danych podlegających eksportowi

Artykuł 20 dotyczy określonych danych osobowych osoby, która dostarczyła je administratorowi. Należy rozróżnić dane wprowadzone przez użytkownika, informacje powstałe z jego obserwowanej aktywności i własne modele analityczne usługodawcy. Prawo nie oznacza automatycznego udostępniania kodu źródłowego, tajemnicy przedsiębiorstwa lub całej bazy klientów. Trzeba ustalić źródło każdej kategorii danych i prawidłową podstawę jej przetwarzania.

Zgoda lub umowa oraz automatyzacja

Zastosowanie przepisu wymaga odpowiedniej podstawy przetwarzania — zgody w określonych przepisem sytuacjach albo umowy — i zautomatyzowanego charakteru operacji. Sam fakt posiadania komputera nie wystarcza. Dane przechowywane ze względu na obowiązek prawny mogą pozostawać poza tym prawem. Rzetelny administrator powinien przed wykonaniem eksportu ustalić zarówno charakter informacji, jak i podstawę prawną, ponieważ od niej zależy zakres ustawowego obowiązku.

Format CSV lub JSON i integralność

Format ma być ustrukturyzowany, powszechnie używany i maszynowy. W wielu procesach właściwe są CSV lub JSON, z odpowiednio opisanymi polami i poprawnym kodowaniem. Skan albo zrzut ekranu może nie zapewniać możliwości ponownego wykorzystania. Administrator powinien sprawdzić integralność danych i bezpieczeństwo wydania. Przekazanie pliku zawierającego informacje innego klienta mogłoby samo w sobie prowadzić do naruszenia poufności.

Przesłanie między administratorami

Bezpośredni transfer do nowego administratora następuje, gdy jest technicznie możliwy. Nie trzeba tworzyć dowolnego nowego interfejsu API na każde żądanie. Należy zweryfikować odbiorcę, uprawnienie osoby i bezpieczny kanał transmisji. Przy kontach wspólnych istotna jest ochrona innych osób. Przenoszenie samo w sobie nie powoduje automatycznego usunięcia danych u dotychczasowego administratora, ponieważ usunięcie podlega odrębnym przesłankom.

Ocena roli podmiotów

W odniesieniu do przenoszenia danych należy najpierw ustalić administratora, ewentualnych współadministratorów i podmioty przetwarzające. Nazwa umowy nie zawsze przesądza rzeczywistą rolę. Istotne są faktyczne decyzje o celach i sposobach wykorzystania danych. Warto przygotować mapę przepływów informacji oraz odpowiedzialnych osób. Bez tej analizy trudno stwierdzić, który podmiot ma udzielić odpowiedzi, przeprowadzić korektę systemu albo poinformować odbiorców. Dobre procedury rozdzielają zadania prawne, techniczne i organizacyjne.

Przesłanki i wyjątki

Nie każda operacja z danymi może zostać uzasadniona ogólnym interesem biznesowym. Administrator powinien wskazać właściwą podstawę z rozporządzenia i szczegółowo ustalić jej zakres. Wyjątki nie mogą być używane automatycznie do odmowy żądań. Nie należy też pomijać innych obowiązków ustawowych, w szczególności dotyczących przechowywania dokumentów lub ochrony praw osób trzecich. Rozstrzygnięcie powinno być uzasadnione na tle rzeczywistych faktów, a nie tylko wewnętrznego regulaminu.

Rejestr działań i terminy

Rozpoznanie sprawy dotyczącej przenoszenia danych wymaga dokumentacji dat, źródeł informacji, ustaleń prawnych i wykonanych czynności. Jeżeli osoba korzysta z prawa przewidzianego w rozdziale III RODO, trzeba uwzględnić zasady art. 12 dotyczące terminów odpowiedzi i komunikacji. Warto monitorować, czy zlecona operacja została rzeczywiście wykonana w systemie głównym i integracjach. Udokumentowana odmowa powinna zawierać konkretną podstawę, a nie szablonowy komunikat pozostawiający osobę bez wyjaśnienia.

Zabezpieczenie praw innych osób

Czynności przetwarzania mogą dotyczyć danych kilku użytkowników, członków rodziny albo kontrahentów. Administrator musi uwzględnić ich prawa i wolności, lecz nie powinien traktować tego jako uniwersalnej podstawy odmowy wykonania każdego żądania. Potrzebna jest proporcjonalna identyfikacja danych podlegających działaniu. Szczególne znaczenie ma weryfikacja odbiorcy informacji oraz minimalizacja ujawnianych pól. Nieprawidłowo wykonana operacja może stworzyć nowe naruszenie nawet wtedy, gdy pierwotne żądanie było zasadne.

Wewnętrzny audyt techniczny

W procesie obejmującym przenoszenia danych ważne są testy systemowe, kontrola logów i sprawdzenie uprawnień dostępu. Deklaracja dostawcy SaaS, że produkt jest zgodny z RODO, nie zastępuje własnej oceny administratora. Należy też ustalić, co dzieje się z danymi w kopiach zapasowych i po migracji usług. Organizacja musi umieć odtworzyć zakres czynności w razie skargi lub kontroli nadzorczej. Nie zawsze trzeba przebudowywać system, ale powinno się znać realne ograniczenia techniczne.

Środki ochrony prawnej

Osoba, której prawa nie zostały należycie zrealizowane, może w odpowiednich warunkach zwrócić się do organu nadzorczego oraz skorzystać z przewidzianych prawem środków sądowych. Nie oznacza to automatycznego przyznania określonej kwoty odszkodowania po samym stwierdzeniu nieprawidłowości. Trzeba odrębnie wykazać właściwe przesłanki roszczenia. Skuteczna skarga wskazuje konkretne dane, czynności, daty i treść korespondencji z administratorem, zamiast poprzestawać na ogólnym oskarżeniu o naruszanie rozporządzenia.

Przykład kontroli przy zmianie systemu

Przedsiębiorca przenosi portal klientów do nowego dostawcy i otrzymuje żądanie dotyczące przenoszenia danych. Powinien ustalić, czy w obu środowiskach znajduje się ta sama informacja oraz jak zrealizować obowiązek prawny bez przypadkowego ujawnienia danych innym osobom. Rzetelna kontrola obejmuje datę migracji, zakres uprawnień, kopie danych i decyzje podjęte w związku z żądaniem. Nie wystarczy samo wyłączenie starego portalu, jeśli problem przetrwał w nowym systemie.

Konkluzja dla administratora

Prawidłowe stosowanie przenoszenia danych wymaga połączenia ścisłej analizy normy z rzeczywistymi operacjami technicznymi. Proces powinien być jasny dla osoby, rozliczalny i możliwy do sprawdzenia także po kilku miesiącach. Najczęstszym ryzykiem jest mylenie sąsiednich uprawnień albo przyjmowanie, że ogólna polityka prywatności pozwala na wszystkie operacje. Starannie zaprojektowane role, procedury i komunikaty chronią zarówno prawa jednostki, jak i interes organizacji.

Lista kontrolna

1. Ustal podstawę prawną i cel.
2. Zidentyfikuj dane oraz właściwy podmiot.
3. Oceń przesłanki i wyjątki.
4. Udokumentuj działania.
5. Zweryfikuj odpowiedź i skutki.

Źródła

Art. 20 rozporządzenia (UE) 2016/679. RODO — tekst urzędowy EUR-Lex.

Artykuł ma charakter informacyjny.

Historia aktywności w aplikacji sportowej

Użytkownik aplikacji może żądać przeniesienia danych osobowych wprowadzonych przez siebie i w określonym zakresie zarejestrowanych w toku korzystania z usługi, jeśli spełnione są warunki art. 20. Nie oznacza to prawa do uzyskania autorskiego algorytmu przewidującego wynik sportowy. Administrator powinien odróżnić rzeczywiste dane aktywności od analiz wygenerowanych samodzielnie i wybrać format pozwalający na ponowne wykorzystanie. Warto wskazać zakres dat i jednostki danych, a także ograniczenia wynikające z ochrony innych użytkowników.

Ryzyko ujawnienia danych innej osoby

Przy koncie rodzinnym albo zespołowym eksport może obejmować dane kilku osób. Administrator powinien ustalić, które informacje stanowią dane wnioskodawcy i jakie prawa przysługują pozostałym uczestnikom. Nie wolno jednak automatycznie odmawiać wydania całej historii tylko dlatego, że pojawia się w niej drugi użytkownik. Konieczna jest indywidualna ocena zakresu i odpowiednia minimalizacja danych. Przekazanie pliku o nieprawidłowej strukturze lub nieuprawnionemu odbiorcy może być nowym naruszeniem RODO.

Weryfikacja importu i zakresu żądania

Warto sprawdzić, czy planowany format zawiera wystarczające informacje, by dane mogły zostać odczytane maszynowo, oraz czy osoba rozumie zakres eksportu. Prawo do przenoszenia nie gwarantuje, że nowy dostawca musi przyjąć wszystkie pola albo zapewnić identyczne funkcje. Ustawowa ocena dotyczy działań dotychczasowego administratora. Jeśli bezpośredni transfer jest technicznie niemożliwy, trzeba rzetelnie rozważyć wydanie danych osobie w odpowiednim formacie, zamiast ograniczać się do niejasnej odmowy.