artykuł 17 rodo to jeden z tych przepisów, o których firmy słyszą bardzo często, ale nie zawsze wiedzą, jak stosować go w praktyce. Chodzi o prawo do usunięcia danych osobowych, nazywane również prawem do bycia zapomnianym. W prostych słowach oznacza to, że osoba fizyczna może zażądać skasowania swoich danych, jeśli firma nie ma już podstawy, aby dalej je przechowywać lub wykorzystywać. Dla przedsiębiorców to ważny temat, ponieważ dotyczy nie tylko danych klientów, ale też pracowników, kandydatów do pracy czy kontrahentów. Właśnie dlatego znajomość zasad wynikających z RODO nie jest dziś dodatkiem, lecz elementem bezpiecznego prowadzenia biznesu.

Wokół tego zagadnienia pojawia się jednak wiele pytań. Czy każda prośba o usunięcie danych musi zostać spełniona? Kiedy firma może odmówić? Jak sprawdzić, czy dane znajdują się wyłącznie w jednym systemie, czy również w poczcie, archiwach albo narzędziach sprzedażowych? Ten temat łączy kwestie prawne, organizacyjne i techniczne, dlatego wymaga uporządkowanego podejścia. Artykuł wyjaśnia, kiedy obowiązek usunięcia danych rzeczywiście powstaje, jakie są najważniejsze wyjątki oraz jak przygotować w firmie procedurę, która pozwoli reagować zgodnie z przepisami i bez chaosu. To szczególnie istotne dla firm, które chcą ograniczyć ryzyko skarg, błędów operacyjnych i utraty zaufania ze strony osób, których dane przetwarzają.

Artykuł 17 RODO – co dokładnie oznacza prawo do usunięcia danych

Artykuł 17 RODO przyznaje osobie, której dane dotyczą, prawo żądania ich usunięcia, dlatego bywa określany jako prawo do bycia zapomnianym. W praktyce oznacza to, że możesz domagać się skasowania danych, gdy nie są już potrzebne do celu, w jakim zostały zebrane, cofnięto zgodę na ich przetwarzanie albo wniesiono skuteczny sprzeciw. Usunięcie może być też konieczne, jeśli dane były przetwarzane niezgodnie z prawem.

Dla firm artykuł 17 RODO ma znaczenie operacyjne i prawne – obejmuje dane klientów, pracowników oraz kontrahentów. To jednak nie jest uprawnienie bez wyjątków. Przedsiębiorca nie usunie danych, jeśli musi je zachować, by wywiązać się z obowiązku wynikającego z przepisów, dochodzić roszczeń lub bronić się przed nimi. Dlatego każdorazowo trzeba ocenić, czy żądanie jest zasadne i czy nie koliduje z innymi obowiązkami wynikającymi z prawa.

Uprość wystawianie paragonów, oszczędzając czas i pieniądze

Postaw na nasz moduł fiskalny i zarządzaj paragonami w prosty sposób.

Dowiedz się więcej

Kiedy firma musi usunąć dane – najważniejsze sytuacje i przesłanki

Artykuł 17 RODO wskazuje konkretne przypadki, w których jako administrator danych musisz usunąć dane osobowe. Chodzi o tzw. prawo do usunięcia danych, nazywane też prawem do bycia zapomnianym. Obowiązek ten nie powstaje automatycznie w każdej sytuacji, ale wtedy, gdy dalsze przetwarzanie nie ma już ważnej podstawy prawnej.

• gdy dane nie są już niezbędne do celu, w jakim zostały zebrane – na przykład zakończyła się umowa lub rekrutacja;
• gdy osoba cofnęła zgodę, a nie masz innej podstawy przetwarzania – dotyczy to zwłaszcza działań marketingowych;
• gdy został wniesiony skuteczny sprzeciw – i nie wykażesz nadrzędnych, prawnie uzasadnionych podstaw dalszego przetwarzania;
• gdy dane były przetwarzane niezgodnie z prawem – przykładowo bez podstawy prawnej lub ponad potrzebny zakres;
• gdy usunięcie wynika z obowiązku prawnego – jeśli wymagają tego przepisy prawa unijnego albo polskiego.

Z perspektywy firmy oznacza to konieczność regularnego sprawdzania, czy cel, podstawa i okres przechowywania nadal są aktualne. Artykuł 17 RODO nie wymaga usuwania danych „na wszelki wypadek”, lecz wtedy, gdy dalsze ich trzymanie nie da się już legalnie uzasadnić.

Prawo do bycia zapomnianym nie zawsze działa – wyjątki, które firmy muszą znać

Artykuł 17 RODO nie nakłada na firmę bezwzględnego obowiązku usunięcia danych na każde żądanie. Jeśli dalsze przetwarzanie jest konieczne do wypełnienia obowiązku prawnego, administrator może odmówić realizacji wniosku. Dotyczy to zwłaszcza danych przechowywanych na potrzeby prawa pracy, przepisów podatkowych czy rachunkowości, gdy okres ich przechowywania wynika wprost z ustawy. W praktyce oznacza to, że prawo do bycia zapomnianym ma granice określone przez inne przepisy.

Istotnym wyjątkiem jest także potrzeba ustalenia, dochodzenia lub obrony roszczeń – na przykład w sporze z pracownikiem, klientem albo kontrahentem. Usunięcie danych nie będzie też zasadne, gdy przemawia za tym interes publiczny, w tym względy związane z archiwizacją czy obowiązkami ustawowymi. Dlatego artykuł 17 RODO wymaga, abyś każdy wniosek oceniał indywidualnie, z uwzględnieniem celu przetwarzania, podstawy prawnej i terminów retencji danych.

Jak obsłużyć wniosek o usunięcie danych – praktyczna procedura dla przedsiębiorcy

Po otrzymaniu żądania warto uruchomić w firmie jasną procedurę opartą o artykuł 17 RODO. Najpierw zweryfikuj tożsamość osoby składającej wniosek – chodzi o potwierdzenie, że dane nie zostaną usunięte na żądanie osoby nieuprawnionej. Następnie oceń, na jakiej podstawie prawnej przetwarzasz dane i czy rzeczywiście występuje obowiązek ich usunięcia. Nie każdy wniosek oznacza automatyczne skasowanie informacji, ponieważ artykuł 17 RODO przewiduje także wyjątki, na przykład gdy dane są potrzebne do wypełnienia obowiązku prawnego lub obrony roszczeń.

Równolegle sprawdź, gdzie dane występują – w systemach HR, CRM, poczcie, archiwach i kopiach zapasowych. Odpowiedzi należy udzielić co do zasady w ciągu miesiąca. Kluczowe jest też udokumentowanie każdego etapu: wpływu wniosku, analizy, decyzji i działań technicznych. Taka dokumentacja pomaga wykazać zgodność z RODO i usprawnia współpracę między działem prawnym, HR, sprzedażą oraz IT.

Dlaczego artykuł 17 RODO ma realne znaczenie dla firm – ryzyka, obowiązki i dobre praktyki

Artykuł 17 RODO, czyli prawo do usunięcia danych, wpływa na firmę znacznie szerzej niż tylko w obszarze formalnej zgodności. W praktyce wymaga od Ciebie uporządkowania obiegu informacji, ustalenia, gdzie dane są zapisane, kto ma do nich dostęp i kiedy powinny zostać usunięte. To przepis, który łączy prawo, bezpieczeństwo i organizację pracy.

Błędna obsługa wniosku może prowadzić do skargi do Prezesa UODO, kontroli, a nawet sankcji administracyjnych. Ryzyko dotyczy też reputacji – jeżeli klient uzna, że firma ignoruje jego prawa, łatwo traci zaufanie. Dlatego znaczenie mają dobre praktyki: mapowanie danych, polityki retencji, szkolenia pracowników oraz regularny przegląd procedur związanych z artykułem 17 RODO.

Podsumowanie

Dla firm artykuł 17 RODO ma znaczenie znacznie szersze niż sama odpowiedź na pojedynczy wniosek o usunięcie danych. W praktyce zmusza przedsiębiorcę do sprawdzenia, jakie dane są zbierane, po co są przechowywane, kto ma do nich dostęp i jak długo mogą pozostawać w systemach. To ważne, ponieważ dane osobowe nie funkcjonują zwykle w jednym miejscu. Mogą znajdować się jednocześnie w programie kadrowym, systemie sprzedażowym, skrzynkach mailowych, dokumentach księgowych czy kopiach zapasowych. Dlatego prawidłowe stosowanie tego przepisu wymaga nie tylko znajomości prawa, ale też dobrej organizacji pracy i współpracy między działami takimi jak HR, IT, sprzedaż i obsługa prawna.

Znaczenie mają również wyjątki, o których firmy często zapominają. Prawo do bycia zapomnianym nie działa automatycznie, jeśli dalsze przechowywanie danych jest konieczne z powodu obowiązków wynikających z prawa pracy, podatków, rachunkowości albo potrzeby obrony przed roszczeniami. Oznacza to, że każdy przypadek trzeba ocenić indywidualnie, a decyzję dobrze udokumentować. Właśnie tu pojawiają się dobre praktyki SEO i biznesowe zarazem: jasne procedury, polityka retencji danych, regularne przeglądy zasobów informacyjnych oraz szkolenia pracowników. Dzięki temu firma może szybciej reagować na żądania, ograniczać ryzyko naruszeń i budować wizerunek organizacji, która poważnie traktuje ochronę danych osobowych. To przekłada się nie tylko na zgodność z przepisami, ale też na większe bezpieczeństwo i wiarygodność w relacjach z klientami oraz partnerami.