Prawo dostępu do danych osobowych to jedno z podstawowych uprawnień przyznanych osobom fizycznym na mocy art. 15 RODO. Ma charakter gwarancyjny i kontrolny, ponieważ pozwala każdemu sprawdzić, czy jego dane są przetwarzane zgodnie z prawem i zasadami ochrony prywatności.
Dzięki temu uprawnieniu osoba, której dane dotyczą, może w każdej chwili:
- zweryfikować, jakie dane administrator o niej posiada,
- uzyskać szczegółowe informacje o celach, podstawach i zakresie przetwarzania,
- sprawdzić, komu dane zostały ujawnione,
- zażądać kopii danych.
Co dokładnie gwarantuje art. 15 RODO?
Osoba, której dane dotyczą, ma prawo uzyskać od administratora:
- Potwierdzenie, czy dane osobowe są przetwarzane.
- Jeśli odpowiedź brzmi „nie”, administrator powinien udzielić krótkiej, jednoznacznej odpowiedzi.
- Jeśli „tak”, wówczas musi przekazać więcej informacji.
- Dostęp do danych osobowych – oznacza możliwość zapoznania się z danymi, które administrator przechowuje.
- Szczegółowe informacje o przetwarzaniu, w tym:
- cele przetwarzania,
- kategorie danych,
- odbiorców danych (w tym w państwach trzecich lub organizacjach międzynarodowych),
- okres przechowywania lub kryteria jego ustalania,
- prawa osoby (sprostowanie, usunięcie, ograniczenie, sprzeciw, przenoszenie, skarga),
- źródło danych – jeśli nie zostały zebrane bezpośrednio,
- informacje o zautomatyzowanym podejmowaniu decyzji, w tym profilowaniu – wraz z zasadami, znaczeniem i konsekwencjami.
Dodatkowe prawo przy przekazywaniu danych za granicę
Jeżeli dane osobowe są przekazywane do państwa trzeciego lub organizacji międzynarodowej, osoba ma prawo dowiedzieć się także:
- jakie zabezpieczenia prawne stosuje administrator przy takim transferze (np. standardowe klauzule umowne, decyzja Komisji Europejskiej o adekwatności ochrony).
Inicjatywa po stronie osoby
Prawo dostępu do danych uruchamia się dopiero wtedy, gdy osoba złoży żądanie.
- To odróżnia je od obowiązku informacyjnego z art. 13–14 RODO, który administrator musi spełnić z własnej inicjatywy.
- Adresatem żądania jest wyłącznie administrator – nie organ nadzorczy ani procesor.
- Podmiot przetwarzający (np. firma hostingowa) ma obowiązek wspierać administratora, ale nie odpowiada bezpośrednio osobie.
Zakres danych objętych prawem dostępu
Prawo to obejmuje:
- dane zwykłe (np. imię, adres, e-mail),
- dane szczególnych kategorii (np. zdrowotne, poglądy religijne, dane biometryczne),
- dane dotyczące karalności,
- dane archiwalne.
➡️ To oznacza, że nawet informacje w archiwach administratora podlegają prawu dostępu.
Prawo do uzyskania kopii danych (art. 15 ust. 3 RODO)
Jednym z najważniejszych elementów prawa dostępu jest prawo do uzyskania od administratora kopii danych osobowych podlegających przetwarzaniu.
Jak należy to rozumieć?
Zgodnie z art. 15 ust. 3 RODO administrator ma obowiązek przekazać osobie:
- wierną i zrozumiałą kopię wszystkich danych, które jej dotyczą,
- kopia ta może obejmować:
- fragmenty dokumentów,
- całe dokumenty,
- wyciągi z baz danych.
📌 Celem jest to, by osoba mogła skutecznie korzystać ze swoich praw przewidzianych w RODO.
Orzecznictwo Trybunału Sprawiedliwości UE
Trybunał potwierdził, że:
- prawo do kopii obejmuje nie tylko „surowe dane”, ale także kontekst, w którym one występują (np. fragment dokumentu, w którym dane się znajdują),
- jednak należy uwzględniać prawa i wolności innych osób – np. tajemnicę handlową, prawa autorskie, własność intelektualną.
➡️ Oznacza to, że administrator musi tak przygotować kopię, by przekazać dane osobie uprawnionej, ale jednocześnie chronić inne informacje wrażliwe.
Granice prawa do kopii danych
- Nie oznacza obowiązku udostępnienia całych dokumentów ani nośników danych.
- Administrator może przekazać same dane osobowe, wyłączając informacje, które nie stanowią danych osobowych w rozumieniu art. 4 pkt 1 RODO.
➡️ Przykład: pracownik wnosi o kopię swoich danych. Administrator może sporządzić wyciąg z systemu kadrowego, zamiast przekazywać całą umowę o pracę (w której znajdują się także dane innych osób, np. podpis księgowego).
Koszty realizacji prawa do kopii
- Zasadą jest bezpłatność – pierwsza kopia danych musi być wydana bez opłat.
- Przy kolejnych żądaniach administrator może pobrać opłatę, ale tylko w „rozsądnej wysokości” odpowiadającej kosztom administracyjnym.
- Opłata nie może być źródłem zysku administratora.
➡️ Administrator może uzależnić wydanie kolejnej kopii od wcześniejszego uiszczenia opłaty.
➡️ Wysokość opłaty można zakwestionować, składając skargę do UODO.
Ochrona praw innych osób
Prawo dostępu do danych nie może naruszać praw i wolności innych osób. Administrator, udostępniając kopię danych, powinien więc:
- anonimizować dane osób trzecich,
- zabezpieczać informacje stanowiące tajemnicę handlową lub chronione prawami autorskimi.
➡️ To ograniczenie nie może jednak pozbawiać osoby prawa do uzyskania własnych danych – administrator musi znaleźć równowagę pomiędzy ochroną interesów różnych stron.
Praktyczne przykłady realizacji prawa dostępu
📌 Przykład 1 – Klient sklepu internetowego
Klient zwraca się do sklepu online z pytaniem: „Czy przetwarzają Państwo moje dane i w jakim celu?”.
✔ Administrator musi potwierdzić, że dane są przetwarzane (np. w celu realizacji umowy sprzedaży), wskazać zakres danych (imię, nazwisko, adres, e-mail), okres przechowywania (5 lat), odbiorców (firma kurierska, biuro rachunkowe) oraz poinformować o prawach klienta.
📌 Przykład 2 – Pracownik firmy
Były pracownik prosi o kopię swoich danych osobowych.
✔ Administrator wydaje wyciąg z systemu kadrowego zawierający dane pracownika (np. przebieg zatrudnienia, wynagrodzenie).
❌ Nie ma obowiązku wydawać całych dokumentów kadrowych z podpisami innych osób.
📌 Przykład 3 – Pacjent szpitala
Pacjent wnosi o kopię danych z dokumentacji medycznej.
✔ Administrator musi przekazać dane dotyczące stanu zdrowia, leczenia i wyników badań.
⚠️ Szpital powinien zadbać, by w dokumentacji nie znalazły się dane innych pacjentów lub informacje niebędące danymi osobowymi tego pacjenta.
Najważniejsze zasady dla administratora
- Prawo dostępu działa na wniosek osoby – administrator nie musi go realizować z własnej inicjatywy.
- Dotyczy wszystkich danych: zwykłych, wrażliwych, danych o karalności, archiwalnych.
- Administrator musi udzielić odpowiedzi także wtedy, gdy nie przetwarza danych – wystarczy wtedy odpowiedź przecząca.
- Prawo obejmuje kopię danych, ale nie całych dokumentów.
- Pierwsza kopia jest bezpłatna, kolejne mogą wiązać się z rozsądną opłatą.
- Administrator zawsze musi chronić prawa innych osób (np. anonimizując dane).
Podsumowanie
✔ Art. 15 RODO daje osobie fizycznej prawo do potwierdzenia, czy jej dane są przetwarzane, dostępu do nich oraz uzyskania szeregu informacji o procesie przetwarzania.
✔ Uprawnienie to obejmuje także prawo do kopii danych – wiernej i zrozumiałej, ale z poszanowaniem praw i wolności innych osób.
✔ Prawo dostępu ma charakter kontrolny – pozwala zweryfikować zgodność przetwarzania z RODO.
✔ Administrator nie może odmówić realizacji prawa dostępu, powołując się np. na wcześniejsze spełnienie obowiązku informacyjnego z art. 13–14.
✔ Koszty mogą być naliczane jedynie wyjątkowo – przy kolejnych żądaniach, w rozsądnej wysokości.
Podstawa prawna
- art. 15 ust. 1–3 – RODO (prawo dostępu do danych i uzyskania informacji o przetwarzaniu),
- art. 21 ust. 4 – RODO (prawo do sprzeciwu wobec przetwarzania w celach marketingu bezpośredniego),
- wyrok TSUE z 4 maja 2023 r. (C-487/21) – interpretacja art. 15 ust. 3 dotycząca kopii danych.
Tematy porad zawartych w poradniku
- prawo dostępu do danych RODO
- art. 15 RODO kopia danych
- prawa osoby fizycznej RODO 2025
- koszty realizacji prawa dostępu