Prawo do ograniczenia przetwarzania to kolejne ważne uprawnienie wynikające z RODO. Nie zawsze chodzi o całkowite usunięcie danych – czasem wystarczy, aby administrator zamroził ich używanie na określony czas.
Z art. 18 RODO wynika, że osoba, której dane dotyczą, może żądać ograniczenia przetwarzania w czterech konkretnych sytuacjach. Dzięki temu dane są co prawda dalej przechowywane, ale administrator nie może ich aktywnie wykorzystywać, np. w marketingu czy profilowaniu.
Kiedy możesz żądać ograniczenia przetwarzania danych? (art. 18 ust. 1 RODO)
1. Kwestionowanie prawidłowości danych
Jeżeli uważasz, że administrator przetwarza Twoje dane nieprawidłowe (np. błędny adres, błędny PESEL), możesz żądać ich ograniczenia na czas, kiedy administrator będzie je weryfikował.
👉 To powiązane z prawem do sprostowania danych (art. 16 RODO).
⚠️ RODO wyraźnie rozróżnia dane nieprawidłowe (np. literówka w nazwisku) od danych nieprawdziwych (np. fałszywe informacje podane celowo). Ograniczenie stosuje się tylko w pierwszym przypadku.
👉 Przykład
Bank w Katowicach wpisał błędny numer dowodu klienta. Do czasu wyjaśnienia sprawy klient może żądać ograniczenia przetwarzania – bank nie powinien wtedy korzystać z danych do decyzji kredytowych.
2. Przetwarzanie jest niezgodne z prawem, ale nie chcesz usunięcia danych
Zdarza się, że administrator przetwarza dane niezgodnie z prawem (np. bez podstawy prawnej), ale usunięcie danych nie byłoby korzystne dla osoby, której dane dotyczą.
Dlaczego? Bo zachowanie danych może być potrzebne np. jako dowód naruszenia. Dlatego w takiej sytuacji możesz zażądać ograniczenia przetwarzania, zamiast ich usunięcia.
👉 Przykład
Firma marketingowa w Poznaniu pozyskała Twoje dane bez zgody. Chcesz mieć możliwość wykazania tego przed UODO, więc zamiast usunięcia żądasz ograniczenia przetwarzania – aby dane nie zniknęły, a jednocześnie firma nie mogła ich używać.
3. Dane niepotrzebne administratorowi, ale potrzebne Tobie
Administrator nie ma już powodu do przetwarzania danych, ale Ty nadal ich potrzebujesz np. do ustalenia, dochodzenia lub obrony roszczeń.
👉 Przykład
Były pracownik żąda ograniczenia przetwarzania swoich danych przez pracodawcę, ponieważ planuje wystąpić o odszkodowanie. Pracodawca sam z siebie nie potrzebuje już tych danych, ale pracownik chce, aby nie zostały usunięte – do czasu zakończenia sprawy.
4. Sprzeciw wobec przetwarzania (art. 21 ust. 1 RODO)
Jeżeli wniosłeś sprzeciw wobec przetwarzania, administrator musi ograniczyć dane do czasu rozstrzygnięcia, czy jego podstawy prawne są nadrzędne wobec Twojego sprzeciwu.
⚠️ Uwaga: dotyczy to tylko sprzeciwu z art. 21 ust. 1 RODO, a nie sprzeciwu wobec marketingu (art. 21 ust. 2–3 RODO). W tym drugim przypadku przetwarzanie danych marketingowych jest po prostu zakazane.
👉 Przykład
Pan Michał sprzeciwia się temu, że urząd miasta przetwarza jego dane w ramach interesu publicznego. Do czasu rozpatrzenia sprawy urząd musi ograniczyć przetwarzanie danych, czyli przechowywać je, ale nie używać do działań administracyjnych.
Ważne: każda przesłanka działa samodzielnie
Wystarczy zaistnienie jednej z powyższych sytuacji, abyś mógł żądać ograniczenia przetwarzania danych. Administrator nie może żądać spełnienia kilku warunków jednocześnie.
Na czym polega ograniczenie przetwarzania danych osobowych?
Prawo do ograniczenia przetwarzania nie oznacza całkowitego usunięcia danych. Dane nadal istnieją w systemach administratora, ale ich użycie jest mocno ograniczone.
Zgodnie z RODO ograniczenie oznacza oznaczenie przechowywanych danych w celu ograniczenia ich przyszłego przetwarzania. W praktyce sprowadza się to do tego, że dane mogą być:
- przechowywane,
- zabezpieczone przed aktywnym używaniem,
- dostępne tylko w wyjątkowych sytuacjach określonych w RODO.
Jak można technicznie ograniczyć przetwarzanie? (motyw 67 RODO)
RODO przewiduje różne metody ograniczenia przetwarzania, np.:
- czasowe przeniesienie danych do innego systemu – dane są dostępne, ale poza główną bazą,
- uniemożliwienie użytkownikom dostępu do wybranych danych,
- czasowe usunięcie danych z Internetu – np. ukrycie wpisu w bazie ogłoszeń albo czasowe wyłączenie profilu w serwisie społecznościowym.
👉 Przykład
Sklep internetowy w Gdańsku weryfikuje reklamację klienta, który wskazuje, że jego adres został zapisany z błędem. Do czasu zakończenia weryfikacji sklep blokuje dostęp do danych adresowych w systemie sprzedażowym – kurierzy nie mogą ich użyć do wysyłki.
Ograniczenie w systemach elektronicznych
W przypadku baz danych i systemów informatycznych ograniczenie powinno być realizowane środkami technicznymi, które:
- uniemożliwiają dalsze przetwarzanie,
- blokują możliwość modyfikacji,
- jasno wskazują, że dane podlegają ograniczeniu.
W systemie powinna się pojawić adnotacja (np. status „dane zablokowane”), aby użytkownicy wiedzieli, że nie wolno ich używać.
Co wolno administratorowi w czasie ograniczenia?
W okresie ograniczenia administrator nie może aktywnie używać danych, chyba że:
a) wyrazi na to zgodę osoba, której dane dotyczą,
b) dane są potrzebne do ustalenia, dochodzenia lub obrony roszczeń,
c) jest to konieczne do ochrony praw innej osoby fizycznej lub prawnej,
d) istnieją ważne względy interesu publicznego Unii lub państwa członkowskiego.
👉 Przykład
Pani Ewa zażądała ograniczenia przetwarzania danych w firmie ubezpieczeniowej. Firma nie może ich wykorzystywać do marketingu ani analiz, ale może posłużyć się nimi w postępowaniu sądowym dotyczącym sporu o odszkodowanie.
Obowiązki administratora wobec osoby, która zażądała ograniczenia
- Potwierdzenie ograniczenia – administrator powinien poinformować Cię, że ograniczył przetwarzanie Twoich danych.
- Obowiązek poinformowania o zamiarze uchylenia ograniczenia – zanim administrator ponownie zacznie przetwarzać dane w pełnym zakresie, musi Cię o tym poinformować (art. 12 ust. 3 RODO). Ma na to miesiąc od momentu otrzymania żądania.
- Czasowe przechowywanie – administrator musi zagwarantować, że dane są przechowywane w sposób bezpieczny i nie są wykorzystywane do innych celów niż dozwolone w RODO.
Różnica: ograniczenie przetwarzania a ograniczenie przechowywania
❗ Warto odróżnić te dwa pojęcia:
- ograniczenie przechowywania to ogólna zasada RODO (art. 5 ust. 1 lit. e) – dane nie mogą być przechowywane dłużej, niż to konieczne,
- ograniczenie przetwarzania (art. 18 RODO) to konkretne uprawnienie osoby, która domaga się czasowego zamrożenia używania danych w określonych sytuacjach.
Podsumowanie drugiej części
✔ Ograniczenie przetwarzania oznacza, że dane są przechowywane, ale ich użycie jest „zamrożone”.
✔ Administrator powinien zastosować rozwiązania techniczne i organizacyjne (np. blokada, przeniesienie, adnotacja w systemie).
✔ W okresie ograniczenia dane mogą być przetwarzane tylko w wyjątkowych przypadkach: za zgodą, dla roszczeń, ochrony praw innych osób albo z powodu interesu publicznego.
✔ Administrator musi poinformować Cię przed uchyleniem ograniczenia.
✔ Nie należy mylić ograniczenia przetwarzania z ograniczeniem przechowywania danych.
Jak skorzystać z prawa do ograniczenia przetwarzania danych w praktyce?
Jak złożyć wniosek?
Wniosek możesz złożyć:
- pisemnie (np. listem poleconym),
- mailowo (na adres administratora wskazany w polityce prywatności),
- poprzez formularz online (jeśli administrator go udostępnia).
We wniosku warto zawrzeć:
- Twoje dane identyfikacyjne (np. imię, adres e-mail, numer klienta).
- Wskazanie podstawy prawnej – art. 18 RODO.
- Określenie, której przesłanki dotyczy żądanie (np. kwestionujesz prawidłowość danych, dane są potrzebne do roszczeń).
- Żądanie: „żądam ograniczenia przetwarzania moich danych osobowych”.
- Opcjonalnie – wskazanie, że chcesz zostać powiadomiony przed uchyleniem ograniczenia.
- Datę i podpis (w przypadku pisemnego wniosku).
📄 Przykładowa formuła:
„Na podstawie art. 18 RODO wnoszę o ograniczenie przetwarzania moich danych osobowych [wskazać dane]. Podstawą mojego żądania jest [np. kwestionowanie prawidłowości danych]. Proszę o pisemne potwierdzenie dokonania ograniczenia oraz powiadomienie mnie przed ewentualnym uchyleniem tego ograniczenia.”
Terminy dla administratora
- Administrator musi zareagować bez zbędnej zwłoki, ale nie później niż w ciągu miesiąca od otrzymania żądania (art. 12 ust. 3 RODO).
- W szczególnych przypadkach termin można przedłużyć maksymalnie do 3 miesięcy, ale administrator musi Cię o tym poinformować i uzasadnić powód.
Co administrator musi zrobić po otrzymaniu wniosku?
- Oznaczyć dane jako ograniczone – np. w systemie pojawia się blokada albo status „przetwarzanie ograniczone”.
- Przechowywać dane, ale nie podejmować wobec nich żadnych innych czynności (poza wyjątkami wskazanymi w RODO).
- Poinformować Cię o ograniczeniu oraz później – o uchyleniu ograniczenia.
- Przestrzegać zakazów użycia danych, np. w marketingu, analizach, profilowaniu.
Co, jeśli administrator odmówi?
Administrator nie może arbitralnie odmówić, jeśli spełniona jest choć jedna z przesłanek art. 18 RODO.
Jeśli jednak odmówi:
- musi wskazać przyczynę i uzasadnienie,
- ma na to miesiąc od otrzymania wniosku,
- masz prawo:
- wnieść skargę do Prezesa UODO,
- wystąpić do sądu cywilnego z roszczeniem o ochronę danych osobowych.
Dlaczego warto korzystać z prawa do ograniczenia przetwarzania?
✔ Możesz „zamrozić” używanie danych do czasu wyjaśnienia sprawy (np. sprostowania błędu).
✔ Chronisz się przed bezprawnym wykorzystaniem danych – nawet gdy nie chcesz, by je od razu usuwano.
✔ Masz kontrolę nad tym, w jakim zakresie administrator może korzystać z Twoich danych.
✔ To skuteczny instrument w sporach z firmami czy urzędami, gdy dane są kluczowe jako dowód.
Podsumowanie – kluczowe informacje
- Prawo do ograniczenia przetwarzania przysługuje Ci w czterech przypadkach: kwestionowanie prawidłowości danych, niezgodne z prawem przetwarzanie (ale bez żądania usunięcia), potrzeba danych do roszczeń, sprzeciw wobec przetwarzania (do czasu rozstrzygnięcia).
- W okresie ograniczenia administrator może jedynie przechowywać dane – ich aktywne użycie jest zakazane, z wyjątkami przewidzianymi w art. 18 ust. 2 RODO.
- Administrator musi poinformować Cię przed uchyleniem ograniczenia.
- Wniosek najlepiej złożyć pisemnie, wskazując podstawę prawną i przesłankę.
- Masz prawo do reakcji UODO i sądu, jeśli administrator odmówi lub naruszy Twoje prawa.
Podstawa prawna
- art. 5 ust. 1 lit. d, art. 5 ust. 1 lit. e, art. 12 ust. 3, art. 16, art. 18, art. 21 – Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO)
Tematy porad zawartych w poradniku
- ograniczenie przetwarzania danych RODO
- kiedy można żądać ograniczenia danych
- wniosek o ograniczenie przetwarzania
- obowiązki administratora przy ograniczeniu danych
- prawa osoby w przypadku odmowy
Przydatne linki urzędowe
- Urząd Ochrony Danych Osobowych: https://uodo.gov.pl
- Europejska Rada Ochrony Danych: https://edpb.europa.eu
- Tekst RODO (Dz. Urz. UE L 119 z 4.05.2016): https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32016R0679