Prawo do sprostowania danych — art. 16 RODO i obowiązki administratora

Stan prawny na 17 października 2026 r. WILIŃSKI LEGAL — analiza RODO.

Odpowiedź w skrócie

Art. 16 RODO pozwala żądać niezwłocznej korekty nieprawidłowych danych oraz uzupełnienia danych niekompletnych z uwzględnieniem celu ich przetwarzania. Nie stanowi podstawy do arbitralnej zmiany prawdziwych dokumentów.

Fakt nieprawidłowy a sporna opinia

Błędne nazwisko, numer telefonu, data spłaty albo adres mogą wymagać sprostowania. Odmiennie należy oceniać subiektywną opinię, która została prawidłowo oznaczona i odzwierciedla rzeczywiście wyrażone stanowisko. Nie każda negatywna ocena osoby jest nieprawidłową daną osobową. Administrator powinien ustalić cel rejestru, charakter wpisu i wiarygodne źródła informacji, a w razie potrzeby uzupełnić kontekst zamiast wymazywać prawdziwe zdarzenie.

Uzupełnienie brakującego kontekstu

Art. 16 obejmuje także uzupełnienie danych niekompletnych, w tym poprzez dodatkowe oświadczenie. Może chodzić o zapis wskazujący rozpoczęcie postępowania, ale pomijający końcowe rozstrzygnięcie. Sama historyczna informacja może być prawdziwa, a jednocześnie z perspektywy celu przetwarzania tworzyć niekompletny obraz. Właściwa aktualizacja może wymagać zachowania pierwotnego zdarzenia i dodania daty jego późniejszego zakończenia.

Wniosek i dokumenty

Wniosek powinien wskazywać konkretny wpis, oczekiwaną wartość i materiał potwierdzający prawidłowy stan. W zależności od problemu przydatne mogą być dokumenty urzędowe, potwierdzenia płatności lub korespondencja. Administrator weryfikuje tożsamość adekwatnie do ryzyka, nie żądając rutynowo dodatkowych danych bez uzasadnienia. Istotne jest też ustalenie, do których odbiorców wcześniej trafiła nieprawidłowa informacja oraz czy istnieją powielone wpisy.

Termin i zawiadomienie odbiorców

Art. 12 przewiduje zasadniczo miesięczny termin odpowiedzi, z możliwością uzasadnionego przedłużenia. Art. 19 ustanawia co do zasady obowiązek komunikacji sprostowania odbiorcom danych, z przewidzianymi wyjątkami. Nie wystarczy zmienić pola na stronie użytkownika, jeśli informacje nadal krążą w zewnętrznych systemach. W przypadku odmowy należy wskazać podstawę prawną i przysługujące środki ochrony, a nie ograniczać się do formuły o wewnętrznej polityce firmy.

Ocena roli podmiotów

W odniesieniu do sprostowania danych należy najpierw ustalić administratora, ewentualnych współadministratorów i podmioty przetwarzające. Nazwa umowy nie zawsze przesądza rzeczywistą rolę. Istotne są faktyczne decyzje o celach i sposobach wykorzystania danych. Warto przygotować mapę przepływów informacji oraz odpowiedzialnych osób. Bez tej analizy trudno stwierdzić, który podmiot ma udzielić odpowiedzi, przeprowadzić korektę systemu albo poinformować odbiorców. Dobre procedury rozdzielają zadania prawne, techniczne i organizacyjne.

Przesłanki i wyjątki

Nie każda operacja z danymi może zostać uzasadniona ogólnym interesem biznesowym. Administrator powinien wskazać właściwą podstawę z rozporządzenia i szczegółowo ustalić jej zakres. Wyjątki nie mogą być używane automatycznie do odmowy żądań. Nie należy też pomijać innych obowiązków ustawowych, w szczególności dotyczących przechowywania dokumentów lub ochrony praw osób trzecich. Rozstrzygnięcie powinno być uzasadnione na tle rzeczywistych faktów, a nie tylko wewnętrznego regulaminu.

Rejestr działań i terminy

Rozpoznanie sprawy dotyczącej sprostowania danych wymaga dokumentacji dat, źródeł informacji, ustaleń prawnych i wykonanych czynności. Jeżeli osoba korzysta z prawa przewidzianego w rozdziale III RODO, trzeba uwzględnić zasady art. 12 dotyczące terminów odpowiedzi i komunikacji. Warto monitorować, czy zlecona operacja została rzeczywiście wykonana w systemie głównym i integracjach. Udokumentowana odmowa powinna zawierać konkretną podstawę, a nie szablonowy komunikat pozostawiający osobę bez wyjaśnienia.

Zabezpieczenie praw innych osób

Czynności przetwarzania mogą dotyczyć danych kilku użytkowników, członków rodziny albo kontrahentów. Administrator musi uwzględnić ich prawa i wolności, lecz nie powinien traktować tego jako uniwersalnej podstawy odmowy wykonania każdego żądania. Potrzebna jest proporcjonalna identyfikacja danych podlegających działaniu. Szczególne znaczenie ma weryfikacja odbiorcy informacji oraz minimalizacja ujawnianych pól. Nieprawidłowo wykonana operacja może stworzyć nowe naruszenie nawet wtedy, gdy pierwotne żądanie było zasadne.

Wewnętrzny audyt techniczny

W procesie obejmującym sprostowania danych ważne są testy systemowe, kontrola logów i sprawdzenie uprawnień dostępu. Deklaracja dostawcy SaaS, że produkt jest zgodny z RODO, nie zastępuje własnej oceny administratora. Należy też ustalić, co dzieje się z danymi w kopiach zapasowych i po migracji usług. Organizacja musi umieć odtworzyć zakres czynności w razie skargi lub kontroli nadzorczej. Nie zawsze trzeba przebudowywać system, ale powinno się znać realne ograniczenia techniczne.

Środki ochrony prawnej

Osoba, której prawa nie zostały należycie zrealizowane, może w odpowiednich warunkach zwrócić się do organu nadzorczego oraz skorzystać z przewidzianych prawem środków sądowych. Nie oznacza to automatycznego przyznania określonej kwoty odszkodowania po samym stwierdzeniu nieprawidłowości. Trzeba odrębnie wykazać właściwe przesłanki roszczenia. Skuteczna skarga wskazuje konkretne dane, czynności, daty i treść korespondencji z administratorem, zamiast poprzestawać na ogólnym oskarżeniu o naruszanie rozporządzenia.

Przykład kontroli przy zmianie systemu

Przedsiębiorca przenosi portal klientów do nowego dostawcy i otrzymuje żądanie dotyczące sprostowania danych. Powinien ustalić, czy w obu środowiskach znajduje się ta sama informacja oraz jak zrealizować obowiązek prawny bez przypadkowego ujawnienia danych innym osobom. Rzetelna kontrola obejmuje datę migracji, zakres uprawnień, kopie danych i decyzje podjęte w związku z żądaniem. Nie wystarczy samo wyłączenie starego portalu, jeśli problem przetrwał w nowym systemie.

Konkluzja dla administratora

Prawidłowe stosowanie sprostowania danych wymaga połączenia ścisłej analizy normy z rzeczywistymi operacjami technicznymi. Proces powinien być jasny dla osoby, rozliczalny i możliwy do sprawdzenia także po kilku miesiącach. Najczęstszym ryzykiem jest mylenie sąsiednich uprawnień albo przyjmowanie, że ogólna polityka prywatności pozwala na wszystkie operacje. Starannie zaprojektowane role, procedury i komunikaty chronią zarówno prawa jednostki, jak i interes organizacji.

Lista kontrolna

1. Ustal podstawę prawną i cel.
2. Zidentyfikuj dane oraz właściwy podmiot.
3. Oceń przesłanki i wyjątki.
4. Udokumentuj działania.
5. Zweryfikuj odpowiedź i skutki.

Źródła

Art. 16 rozporządzenia (UE) 2016/679. RODO — tekst urzędowy EUR-Lex.

Artykuł ma charakter informacyjny.

Błędny status w informacji przekazywanej kontrahentom

Jeżeli firma rozsyła błędną informację, że osoba ma zaległość, mimo udokumentowanej spłaty, sprostowanie powinno obejmować także źródła automatycznych komunikatów. Należy ustalić, czy historyczne opóźnienie naprawdę występowało i odróżnić je od nieaktualnego obecnego statusu. Korekta wymaga precyzyjnego oznaczenia dat i wartości. Osoba może żądać informacji o odbiorcach na zasadach art. 19. Sama poprawa profilu wewnętrznego bez oceny wcześniej wysłanych danych może być niewystarczająca.

Dokumentacja źródłowa pod ochroną szczególną

Niektóre dane są częścią dokumentacji, której integralność chronią odrębne przepisy. Dotyczy to między innymi dokumentacji medycznej, uczelnianej czy określonych rejestrów publicznych. W takich sprawach administrator powinien jednocześnie rozważyć obowiązek zapewnienia poprawności informacji i zakaz dowolnego usuwania historycznych wpisów. Niekiedy właściwym rozwiązaniem jest adnotacja lub wymiana dokumentu w szczególnym trybie. Prawo do sprostowania nie jest powszechną podstawą do przepisywania archiwalnych dokumentów urzędowych.

Weryfikacja po upływie terminu

Jeżeli administrator nie odpowie prawidłowo na żądanie, warto uporządkować daty i treść korespondencji. Skarga do organu nadzorczego powinna wskazywać nie tylko brak odpowiedzi, ale również konkretną informację i przyczynę jej nieprawidłowości. Istotne są dowody doręczenia wniosku i ewentualnych uzupełnień. Jeżeli dane pochodzą od innego podmiotu, należy rozróżnić odpowiedzialność źródła i administratora, który je wykorzystuje. Automatyczne odesłanie osoby do dostawcy bez analizy własnych obowiązków nie zawsze będzie prawidłowe.