Termin odpowiedzi na żądanie RODO — art. 12, jeden miesiąc i przedłużenie

Stan prawny: 17 października 2026 r. Analiza WILIŃSKI LEGAL.

Odpowiedź w skrócie

Administrator powinien bez zbędnej zwłoki, co do zasady w ciągu miesiąca, poinformować osobę o działaniach podjętych w związku z żądaniem z art. 15–22 RODO. W określonych przypadkach termin może zostać przedłużony o kolejne dwa miesiące, ale wymaga to uzasadnienia.

Miesiąc to nie dowolne trzydzieści dni

Art. 12 ust. 3 RODO wymaga informacji o działaniach bez zbędnej zwłoki, a najpóźniej w terminie miesiąca od otrzymania żądania. Trzeba prawidłowo obliczać okres kalendarzowy i zachować datę wpływu. Nie wystarczy zakładać, że administrator może bezczynnie czekać do ostatniego dnia, gdy sprawa jest prosta. Obowiązek obejmuje organizację procesu, który pozwoli zidentyfikować żądanie, sprawdzić właściwy zakres danych i terminowo odpowiedzieć.

Kiedy możliwe jest przedłużenie

Termin można przedłużyć o dwa kolejne miesiące, jeżeli jest to konieczne z uwagi na skomplikowany charakter żądania lub liczbę wniosków. Administrator musi poinformować osobę o przedłużeniu w ciągu miesiąca od otrzymania żądania i podać powody opóźnienia. Nie jest dopuszczalne automatyczne wydłużanie wszystkich odpowiedzi do trzech miesięcy przez ogólny regulamin. Trzeba indywidualnie wykazać okoliczność uzasadniającą przedłużenie.

Różne prawa wymagają różnych działań

Prawo dostępu, sprostowania, usunięcia, ograniczenia lub sprzeciwu mają odrębne przesłanki. Administrator nie powinien odpowiadać jednym ogólnym formularzem bez zbadania konkretnego żądania. Jeżeli osoba chce otrzymać kopię danych, trzeba ustalić zakres informacji podlegających udostępnieniu, natomiast przy usunięciu należy sprawdzić wyjątki umożliwiające dalsze przechowywanie. Termin z art. 12 dotyczy prawidłowej obsługi procesu, ale nie znosi materialnych ograniczeń poszczególnych uprawnień.

Tożsamość wnioskodawcy bez nadmiernej weryfikacji

Art. 12 ust. 6 pozwala żądać dodatkowych informacji potrzebnych do potwierdzenia tożsamości, gdy administrator ma uzasadnione wątpliwości. Nie wolno jednak automatycznie żądać skanu dowodu osobistego od każdej osoby, która zgłosiła żądanie za pomocą bezpiecznego zalogowanego panelu. Sposób weryfikacji powinien być proporcjonalny do ryzyka nieuprawnionego ujawnienia danych. Niewłaściwe zbieranie dodatkowych danych może samo zwiększać ryzyko naruszenia prywatności.

Odpowiedź negatywna również wymaga uzasadnienia

Jeśli administrator nie podejmuje działań w związku z żądaniem, powinien poinformować o powodach oraz o możliwościach wniesienia skargi do organu nadzorczego i skorzystania ze środka ochrony sądowej w ustawowym terminie. Milczenie nie jest dopuszczalnym sposobem rozstrzygania trudnych żądań. Nie należy mylić braku prawnej podstawy do realizacji określonej prośby z brakiem obowiązku udzielenia czytelnej informacji. Osoba powinna wiedzieć, jakie przesłanki zastosowano.

Bezpłatność jako zasada

Informacje i działania podejmowane na podstawie odpowiednich przepisów RODO są co do zasady bezpłatne. Art. 12 przewiduje szczególne reguły dla żądań ewidentnie nieuzasadnionych lub nadmiernych, zwłaszcza ze względu na ustawiczny charakter. Administrator musi umieć wykazać przesłanki odmowy albo pobrania odpowiedniej opłaty. Nie wystarczy uznanie, że osoba jest uciążliwa, ponieważ złożyła kilka prawidłowych wniosków dotyczących swoich danych.

Kanał odpowiedzi i język komunikatu

RODO wymaga przejrzystej, zrozumiałej i łatwo dostępnej komunikacji. Odpowiedź powinna być dopasowana do kanału żądania, z zachowaniem bezpieczeństwa przekazywanych danych. Nie należy wysyłać szerokiej kopii informacji w zwykłej wiadomości do niezweryfikowanego adresata. Jednocześnie wymogi bezpieczeństwa nie mogą służyć tworzeniu niepotrzebnych przeszkód. Warto przygotować procedurę, która uwzględnia także prawa osób o szczególnych potrzebach.

Organizacja rejestru żądań

Administrator powinien prowadzić proces pozwalający śledzić daty wpływu, sposób identyfikacji, zakres żądania, decyzję i datę odpowiedzi. Nie musi to oznaczać rozbudowanego systemu informatycznego; kluczowe jest wykazanie rozliczalności. W organizacji korzystającej z wielu narzędzi trzeba określić, kto koordynuje wyszukiwanie danych i jak przekazuje informacje podmiotom przetwarzającym. Brak odpowiedzialnej osoby może powodować przekroczenia terminów mimo dobrej woli zespołu.

Przykład

Klient składa żądanie dostępu do danych 10 października. Firma ocenia, że materiał obejmuje wiele systemów i potrzebuje dodatkowego czasu. Powinna sprawdzić rzeczywistą złożoność oraz poinformować o uzasadnionym przedłużeniu w ustawowym pierwszym miesiącu. Samo przekazanie żądania działowi IT po kilku tygodniach nie stanowi szczególnej przesłanki do przedłużenia.

Ocena ryzyka i odpowiedzialność administratora

Przed rozstrzygnięciem kwestii termin odpowiedzi na żądanie rodo — art. 12, jeden miesiąc i przedłużenie konieczne jest ustalenie roli organizacji w przetwarzaniu oraz szczegółowego celu operacji. W praktyce część zadań może wykonywać dostawca technologii, ale nie oznacza to automatycznego przeniesienia ustawowej odpowiedzialności administratora. Trzeba przeanalizować umowę powierzenia, sposób zarządzania dostępem i dokumenty opisujące proces. Istotne jest odróżnienie rzeczywistego zabezpieczenia od jego opisu w procedurze. Jeżeli organizacja powołuje się na wyjątek, powinna przedstawić konkretne okoliczności uzasadniające jego zastosowanie, nie tylko powtórzyć sformułowanie z rozporządzenia.

Przejrzysta komunikacja i prawa osoby

RODO opiera się na rozliczalności oraz obowiązku komunikowania się z osobą w sposób przejrzysty. Administrator powinien wyjaśnić, jakie prawo lub obowiązek znajduje zastosowanie i czego wnioskodawca może oczekiwać. Odpowiedź pełna technicznych skrótów nie zawsze realizuje ten standard, nawet jeśli formalnie zawiera wymagane elementy. Warto oddzielić informacje konieczne dla osoby od szczegółowych wewnętrznych zapisów bezpieczeństwa. W przypadku sporu trzeba również zachować dowody doręczenia i możliwości realizacji praw, z poszanowaniem zasad minimalizacji danych.

Praktyczna kontrola procesu

Audyt powinien zacząć się od mapy systemów i przepływu danych, następnie objąć odpowiedzialność poszczególnych osób oraz realny sposób stosowania procedury. W firmach posiadających wiele aplikacji ryzyko wynika często z rozbieżności między systemem głównym, kopią roboczą i zasobami dostawców. Nie wolno zakładać, że zmiana jednego rekordu automatycznie dociera do wszystkich podmiotów. Dobra dokumentacja umożliwia sprawdzenie, kto, kiedy i na jakiej podstawie wykonał konkretną czynność. Celem nie jest produkcja formularzy, lecz ograniczenie ryzyka i wiarygodna ochrona praw osób fizycznych.

Przykład realizacji prawa dostępu w wielu systemach

Osoba zwraca się do przedsiębiorcy o dostęp do danych gromadzonych w CRM, systemie obsługi reklamacji i portalu klienta. Administrator powinien rozpocząć od ustalenia zakresu żądania, a następnie ustalić osoby odpowiedzialne za poszczególne systemy i źródła informacji. Termin odpowiedzi z art. 12 nie zależy od wewnętrznej struktury przedsiębiorstwa. Jeżeli ze względu na skomplikowanie żądania potrzebne jest przedłużenie, trzeba poinformować osobę w pierwszym miesiącu i wskazać rzeczywiste powody. Należy odróżnić dodatkową weryfikację tożsamości od pozyskiwania danych, które nie są niezbędne do identyfikacji wnioskodawcy. Odpowiedź powinna być jasna oraz przekazana bezpiecznym kanałem. Jeśli część żądania nie może zostać spełniona z powodu konkretnego wyjątku, należy ten zakres wyraźnie oznaczyć i wyjaśnić podstawę. Dobra procedura wewnętrzna powinna pozostawić ślad tego, kiedy wniosek wpłynął, kto go obsłużył i jakie informacje ostatecznie przekazano.

Checklista

1. Odnotuj dokładną datę otrzymania żądania.
2. Ustal rodzaj prawa i zakres danych.
3. Zweryfikuj tożsamość proporcjonalnie do ryzyka.
4. Wyjaśnij potrzebę ewentualnego przedłużenia w terminie.
5. Przekaż zrozumiałą odpowiedź i zachowaj dowód.

Najczęstszy błąd

Traktowanie trzech miesięcy jako standardowego terminu odpowiedzi i żądanie skanu dowodu bez realnej wątpliwości tożsamości.

Źródła pierwotne

Art. 12 ust. 1–6 RODO; art. 15–22 RODO.. Rozporządzenie (UE) 2016/679 — EUR-Lex.

Informacja ogólna; właściwa ocena wymaga analizy rzeczywistych procesów przetwarzania.