Prawo do przenoszenia danych osobowych to jedno z nowych uprawnień wprowadzonych przez ogólne rozporządzenie o ochronie danych (RODO). Zostało ono stworzone po to, aby osoby fizyczne miały większą kontrolę nad swoimi danymi oraz aby ułatwić im zmianę dostawców usług – np. banku, operatora telekomunikacyjnego czy serwisu muzycznego. Dzięki temu użytkownik nie musi podawać wszystkich danych od nowa, ale może je po prostu przenieść w wygodny sposób.
To prawo ma znaczenie nie tylko z punktu widzenia konsumentów, ale również przedsiębiorców. Daje ono bowiem przewagę konkurencyjną firmom, które potrafią zapewnić klientowi łatwe przeniesienie danych.
Zakres prawa do przenoszenia danych
Zgodnie z art. 20 RODO osoba, której dane dotyczą, ma prawo do:
- otrzymania swoich danych osobowych w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego;
- przesłania tych danych innemu administratorowi bez przeszkód ze strony dotychczasowego administratora;
- żądania bezpośredniego przekazania danych do innego administratora.
Oznacza to, że np. klient banku może zażądać, aby jego historia rachunku została przesłana do innego banku w formacie umożliwiającym dalsze przetwarzanie w systemach informatycznych.
⚠️ Ważne: realizacja tego prawa nie może prowadzić do ujawnienia danych osobowych osób trzecich ani naruszać ich praw i wolności.
Kiedy można skorzystać z prawa do przenoszenia danych?
Prawo do przenoszenia danych nie ma charakteru absolutnego – można z niego korzystać tylko w określonych przypadkach. Konieczne jest spełnienie dwóch przesłanek pozytywnych oraz uwzględnienie jednej przesłanki negatywnej.
Przesłanki pozytywne
- Podstawa prawna przetwarzania
Prawo do przenoszenia danych przysługuje tylko wtedy, gdy dane są przetwarzane:- na podstawie zgody osoby (art. 6 ust. 1 lit. a RODO lub art. 9 ust. 2 lit. a RODO – w przypadku szczególnych kategorii danych),
- na podstawie umowy, której stroną jest osoba, której dane dotyczą (art. 6 ust. 1 lit. b RODO).
Pani Katarzyna korzysta z aplikacji fitness, która zapisuje jej wyniki treningów i tętno. Dane te są przetwarzane na podstawie jej zgody. Pani Katarzyna może zażądać przekazania tych danych do innej aplikacji sportowej.✖ Przykład wyłączenia:
Pan Marek złożył zeznanie podatkowe w urzędzie skarbowym. Dane te są przetwarzane na podstawie obowiązku prawnego – nie można ich przenieść do innej instytucji na podstawie art. 20 RODO. - Zautomatyzowane przetwarzanie danych
Kolejna przesłanka dotyczy sposobu przetwarzania danych – prawo do przenoszenia dotyczy wyłącznie danych przetwarzanych w sposób zautomatyzowany (np. w bazach danych, aplikacjach, systemach IT). Nie obejmuje to przetwarzania tradycyjnego, np. w formie papierowych akt.✔ Przykład praktyczny:
Klient sklepu internetowego może zażądać przeniesienia historii swoich zamówień, ponieważ są one zapisane w systemie informatycznym sklepu.✖ Przykład wyłączenia:
Pacjent złożył dokumentację medyczną w formie papierowej w prywatnej klinice – te dane nie podlegają przenoszeniu na podstawie art. 20 RODO.
Przesłanka negatywna
RODO wyraźnie wskazuje, że prawo do przenoszenia danych nie ma zastosowania, gdy przetwarzanie danych jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej (art. 6 ust. 1 lit. e RODO).
✔ Przykład praktyczny:
Rejestry publiczne prowadzone przez organy państwowe (np. rejestr PESEL, rejestr przedsiębiorców KRS) nie podlegają przenoszeniu na podstawie tego przepisu.
Jakie dane podlegają przenoszeniu?
Prawo do przenoszenia danych dotyczy wyłącznie tych informacji, które podmiot danych sam dostarczył administratorowi. Nie obejmuje ono danych wywnioskowanych przez administratora ani informacji przetworzonych w sposób analityczny (np. profilowania).
Dane dostarczone aktywnie i pasywnie
Według wytycznych Grupy Roboczej art. 29, dane dostarczone administratorowi można podzielić na dwie grupy:
- Dostarczanie aktywne – dane przekazane świadomie i celowo, np.:
- imię i nazwisko,
- adres e-mail,
- numer telefonu,
- dane karty płatniczej podane w sklepie internetowym.
- Dostarczanie pasywne – dane zaobserwowane przez administratora w wyniku korzystania z usługi, np.:
- historia logowania do aplikacji,
- dane geolokalizacyjne z GPS,
- zapis tętna z urządzenia fitness tracker,
- statystyki korzystania z serwisu streamingowego.
✔ Przykład 1:
Pani Anna korzysta z aplikacji do biegania, która zapisuje jej trasę na podstawie sygnału GPS. Dane dotyczące przebytych kilometrów i lokalizacji są danymi pasywnie dostarczonymi – może żądać ich przeniesienia.
✔ Przykład 2:
Pan Tomasz ma konto w sklepie internetowym. Historia jego zakupów jest zapisana w systemie sklepu – może zażądać jej przekazania do innej platformy sprzedażowej.
✖ Przykład wyłączenia:
Ocena scoringowa klienta dokonana przez bank na podstawie jego historii kredytowej nie podlega przeniesieniu – to dane wytworzone przez administratora, a nie dostarczone przez użytkownika.
Format danych – co oznacza „ustrukturyzowany, powszechnie używany format”?
Administrator ma obowiązek przekazać dane w formacie:
- ustrukturyzowanym, czyli uporządkowanym w logiczne elementy (np. kolumny, znaczniki XML),
- powszechnie używanym, tak aby odbiorca mógł łatwo je odczytać (np. CSV, XML, JSON),
- nadającym się do odczytu maszynowego, co oznacza, że dane mogą być bez problemu przetwarzane przez systemy komputerowe.
Interoperacyjność danych
W motywie 68 RODO wskazano, że dane powinny być w formacie interoperacyjnym, czyli umożliwiającym automatyczną wymianę między różnymi systemami. Ma to szczególne znaczenie w sektorach takich jak:
- bankowość (historia transakcji),
- telekomunikacja (historia połączeń),
- serwisy streamingowe (listy odtwarzania),
- aplikacje sportowe (statystyki aktywności).
✔ Przykład:
Plik XML zawierający historię aktywności użytkownika w aplikacji sportowej może być łatwo zaimportowany do innej aplikacji, która wspiera ten sam format danych.
Obowiązki administratora przy realizacji prawa do przenoszenia
Administrator musi zapewnić, aby realizacja prawa do przenoszenia danych odbywała się:
- bez zbędnych przeszkód – nie wolno celowo utrudniać użytkownikowi dostępu do danych,
- w rozsądnym czasie – dane powinny być przekazane możliwie szybko,
- z poszanowaniem praw osób trzecich – administrator musi unikać przekazania danych, które mogą naruszać prywatność innych osób.
📌 Przykład:
Jeśli użytkownik żąda przekazania historii swoich rozmów w komunikatorze, administrator powinien zadbać, aby dane innych uczestników konwersacji nie zostały ujawnione bez ich zgody.
Prawo do przenoszenia danych a prawo dostępu – kluczowe różnice
Na pierwszy rzut oka prawo do przenoszenia danych (art. 20 RODO) może wydawać się podobne do prawa dostępu do danych (art. 15 RODO). W rzeczywistości różnice są istotne:
- Prawo dostępu (art. 15 RODO) – polega na tym, że osoba może sprawdzić, jakie dane są o niej przetwarzane, w jakim celu i na jakiej podstawie prawnej. Administrator udziela informacji w formie czytelnego zestawienia, najczęściej w formie raportu lub kopii danych.
- Prawo do przenoszenia danych (art. 20 RODO) – nie ogranicza się tylko do uzyskania informacji. Osoba może żądać, aby jej dane zostały przekazane w odpowiednim formacie innemu administratorowi (np. przeniesienie historii transakcji z jednego banku do drugiego).
📌 Można więc powiedzieć, że prawo dostępu daje podgląd danych, a prawo do przenoszenia umożliwia realne ich wykorzystanie u innego dostawcy.
Konsekwencje dla przedsiębiorców
Wdrożenie prawa do przenoszenia danych ma znaczenie nie tylko dla osób fizycznych, ale także dla firm. Administratorzy danych muszą przygotować odpowiednie procedury i narzędzia techniczne, które umożliwią:
- szybkie wygenerowanie danych w formacie maszynowym (np. eksport do pliku XML),
- bezpieczne przesłanie danych innemu administratorowi,
- weryfikację żądania osoby, aby uniknąć nadużyć (np. przejęcia danych przez osoby nieuprawnione).
Wyzwania praktyczne dla przedsiębiorców
- Koszty techniczne – konieczność stworzenia interoperacyjnych systemów eksportu danych.
- Ochrona osób trzecich – trzeba weryfikować, czy dane przekazywane w ramach przenoszenia nie zawierają informacji o innych osobach (np. historia czatów).
- Brak jednolitych standardów – RODO zachęca do tworzenia interoperacyjnych formatów, ale nie narzuca jednego rozwiązania. Firmy często muszą same wypracować formaty, które będą akceptowane na rynku.
Praktyczne korzyści dla użytkowników
Dzięki prawu do przenoszenia danych konsumenci i użytkownicy usług cyfrowych zyskują większą swobodę wyboru. Mogą łatwiej zmieniać dostawców, co z kolei zwiększa konkurencyjność rynku.
✔ Przykład 1 – bankowość:
Pan Adam chce zmienić bank. Zamiast ręcznie przepisywać historię transakcji, może zażądać od dotychczasowego banku przekazania danych do nowego banku w formacie CSV.
✔ Przykład 2 – serwis streamingowy:
Pani Monika korzystała z serwisu muzycznego, gdzie miała stworzone playlisty. Zmieniając dostawcę, może zażądać ich eksportu do nowej platformy w formacie JSON.
✔ Przykład 3 – aplikacja sportowa:
Pan Krzysztof używał aplikacji do monitorowania biegania, ale chce przejść na inną, bardziej zaawansowaną. Może przenieść swoje dane treningowe w pliku XML.
Ochrona praw i wolności innych osób
Zgodnie z motywem 68 RODO, realizacja prawa do przenoszenia danych nie może naruszać praw i wolności innych osób.
📄 Przykład problematyczny:
Użytkownik żąda przekazania archiwum swoich rozmów w komunikatorze. Dane te zawierają również informacje o innych uczestnikach rozmów. Administrator powinien wtedy:
- ograniczyć zakres przekazanych danych,
- albo zastosować anonimizację, aby nie naruszyć prywatności osób trzecich.
Podsumowanie – co warto zapamiętać?
Prawo do przenoszenia danych osobowych to narzędzie, które znacząco zwiększa kontrolę użytkowników nad ich informacjami. Pozwala w prosty sposób przenieść dane między dostawcami usług, co sprzyja konkurencyjności i ułatwia zmianę usługodawcy.
Najważniejsze zasady, które warto zapamiętać:
- Prawo to wynika z art. 20 RODO.
- Dotyczy wyłącznie danych, które użytkownik sam dostarczył administratorowi – aktywnie (np. adres e-mail) lub pasywnie (np. dane GPS z aplikacji).
- Nie obejmuje danych wywnioskowanych przez administratora (np. profilowania, scoringu).
- Można z niego korzystać tylko wtedy, gdy dane są przetwarzane:
- na podstawie zgody lub umowy,
- w sposób zautomatyzowany.
- Prawo to nie ma zastosowania, gdy przetwarzanie odbywa się w ramach zadań publicznych lub władczych (np. rejestry państwowe).
- Dane muszą być przekazywane w ustrukturyzowanym, powszechnie używanym, maszynowo odczytywalnym formacie (np. XML, JSON, CSV).
- Administrator nie może utrudniać przenoszenia danych, ale musi chronić prawa osób trzecich.
Dla przedsiębiorców oznacza to konieczność wdrożenia odpowiednich narzędzi technicznych i procedur, a dla użytkowników – większą swobodę wyboru usługodawcy.
Podstawa prawna
- art. 20, art. 6 ust. 1 lit. a–b, art. 9 ust. 2 lit. a, art. 6 ust. 1 lit. e – Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (RODO)
Tematy porad zawartych w poradniku
- prawo do przenoszenia danych RODO
- interoperacyjny format danych osobowych
- kiedy można żądać przeniesienia danych
- ochrona danych osób trzecich w RODO
Przydatne linki urzędowe
- Urząd Ochrony Danych Osobowych: https://uodo.gov.pl/
- Tekst RODO w języku polskim (EUR-Lex): https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX%3A32016R0679
- Informacje Komisji Europejskiej o ochronie danych: https://ec.europa.eu/info/law/law-topic/data-protection_pl