Prawo do przenoszenia danych — art. 20 RODO w praktyce

Prawo do przenoszenia danych to jedno z najbardziej „cyfrowych” uprawnień przyznanych przez RODO — i zarazem jedno z najczęściej mylonych. Pozwala osobie odzyskać swoje dane w formacie nadającym się do odczytu maszynowego i przenieść je do innego usługodawcy, bez konieczności przepisywania wszystkiego od nowa. W zamyśle ma zwiększać kontrolę użytkownika nad własnymi danymi i ułatwiać zmianę dostawcy, na przykład portalu społecznościowego, banku czy usługi streamingowej.

W praktyce prawo z art. 20 RODO bywa mylone z prawem dostępu (art. 15) i przysługuje w węższym zakresie, niż się powszechnie sądzi — obowiązuje tylko przy określonych podstawach przetwarzania i tylko wobec danych przetwarzanych automatycznie. Jednocześnie jego znaczenie rośnie: kierunek „przenoszalności danych” wzmacniają nowe regulacje, jak akt w sprawie danych (Data Act) czy otwarta bankowość.

W tym artykule wyjaśniam, na czym polega prawo do przenoszenia danych, kiedy przysługuje, jakich danych dotyczy, w jakim formacie i terminie należy je zrealizować oraz jak administrator powinien się do niego przygotować.

Czym jest prawo do przenoszenia danych

Zgodnie z art. 20 RODO osoba, której dane dotyczą, ma prawo otrzymać w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego dane osobowe jej dotyczące, które dostarczyła administratorowi, oraz przesłać te dane innemu administratorowi bez przeszkód ze strony administratora, któremu je dostarczono. Dodatkowo, jeżeli jest to technicznie możliwe, osoba ma prawo żądać, by dane zostały przesłane bezpośrednio od jednego administratora do drugiego.

Prawo to składa się więc z dwóch elementów: możliwości otrzymania własnych danych w formacie „gotowym do przeniesienia” oraz możliwości przekazania ich innemu podmiotowi. Celem jest uniknięcie efektu „zamknięcia” u jednego dostawcy i realne ułatwienie migracji.

Kiedy przysługuje prawo do przenoszenia danych

To najważniejszy — i najczęściej pomijany — element. Prawo do przenoszenia danych przysługuje tylko wtedy, gdy spełnione są łącznie dwie przesłanki:

Podstawą przetwarzania jest zgoda lub umowa. Chodzi o przetwarzanie oparte na zgodzie (art. 6 ust. 1 lit. a lub art. 9 ust. 2 lit. a) albo na wykonaniu umowy (art. 6 ust. 1 lit. b). 

Przetwarzanie odbywa się w sposób zautomatyzowany. Prawo nie obejmuje zbiorów prowadzonych wyłącznie w formie papierowej.

Oznacza to, że prawo do przenoszenia danych nie przysługuje, gdy przetwarzanie opiera się na obowiązku prawnym, uzasadnionym interesie, zadaniu realizowanym w interesie publicznym czy ochronie żywotnych interesów. Jeśli więc administrator przetwarza dane np. na podstawie przepisów podatkowych albo swojego uzasadnionego interesu, żądanie przeniesienia takich danych nie ma podstawy — choć osoba może korzystać z innych praw, w tym z prawa dostępu. 

Wszystkie sześć podstaw prawnych z art. 6 RODO omawiamy w osobnym artykule.

Jakich danych dotyczy prawo do przenoszenia

Prawo obejmuje wyłącznie dane „dostarczone” administratorowi przez osobę, której dotyczą. Zgodnie z wytycznymi organów ochrony danych pojęcie to interpretuje się szeroko i obejmuje ono dwie kategorie:

Dane podane aktywnie i świadomie — na przykład dane z formularza rejestracyjnego, adres, treść wpisów.

Dane obserwowane — generowane przez aktywność osoby przy korzystaniu z usługi, na przykład historia wyszukiwań, historia zakupów, dane o lokalizacji czy surowe dane z urządzenia noszonego (wearable).

Prawo nie obejmuje natomiast danych „pochodnych” ani „wywnioskowanych” — czyli informacji wytworzonych przez administratora na podstawie danych osoby, takich jak profile, oceny scoringowe czy wyniki kategoryzacji. Te dane są rezultatem analizy administratora, a nie danymi dostarczonymi przez osobę, i pozostają poza zakresem art. 20.

Format i sposób realizacji

RODO wymaga, by dane były wydane w formacie ustrukturyzowanym, powszechnie używanym i nadającym się do odczytu maszynowego — w praktyce oznacza to formaty takie jak CSV, JSON czy XML, a nie na przykład skan PDF czy wydruk. Chodzi o to, by dane dało się faktycznie wczytać do systemu innego administratora, a nie tylko odczytać wzrokiem. Prawo zachęca do interoperacyjności formatów, choć nie narzuca konkretnego standardu.

Jeśli osoba tego żąda, a jest to technicznie możliwe, administrator powinien przekazać dane bezpośrednio innemu administratorowi. Jednocześnie RODO nie nakłada obowiązku wdrażania ani utrzymywania systemów technicznie kompatybilnych z systemami innych podmiotów — „techniczna możliwość” oceniana jest realnie, w danym przypadku.

Prawa osób trzecich

Realizacja prawa do przenoszenia danych nie może niekorzystnie wpływać na prawa i wolności innych osób. Problem pojawia się, gdy w przenoszonych danych znajdują się informacje o osobach trzecich — na przykład dane kontaktów w książce adresowej albo dane innych uczestników korespondencji. Administrator powinien wydać dane w sposób, który nie narusza praw tych osób, a nowy administrator, który je otrzyma, może je wykorzystywać wyłącznie w zakresie zgodnym z RODO i w celu, w jakim osoba przenosząca dane z nich korzysta.

Przenoszenie danych a prawo dostępu (art. 15)

Te dwa prawa bywają mylone, choć różnią się istotnie. Prawo dostępu (art. 15) jest szersze co do zakresu danych — obejmuje wszystkie dane osoby, niezależnie od podstawy przetwarzania — ale nie wymaga wydania ich w formacie nadającym się do odczytu maszynowego ani przekazania innemu administratorowi. Prawo do przenoszenia (art. 20) jest węższe co do podstawy i zakresu (tylko zgoda/umowa, tylko dane dostarczone, tylko przetwarzanie zautomatyzowane), ale za to obejmuje wydanie w formacie maszynowym i możliwość przesłania innemu podmiotowi. W praktyce osoba może złożyć oba żądania jednocześnie.

Termin i koszty realizacji

Żądanie przeniesienia danych realizuje się na zasadach ogólnych dotyczących praw osób. Administrator powinien odpowiedzieć bez zbędnej zwłoki, nie później niż w ciągu miesiąca od otrzymania żądania; termin ten można przedłużyć o kolejne dwa miesiące ze względu na skomplikowany charakter lub liczbę żądań, informując o tym osobę. Realizacja prawa jest co do zasady bezpłatna. Przed wydaniem danych administrator powinien zweryfikować tożsamość osoby składającej żądanie, by nie przekazać danych osobie nieuprawnionej.

Przenoszenie danych nie oznacza ich usunięcia

Ważna kwestia: skorzystanie z prawa do przenoszenia danych nie powoduje automatycznie usunięcia danych u pierwotnego administratora. Jeśli administrator ma nadal podstawę do przetwarzania (np. trwa umowa), może kontynuować przetwarzanie mimo wydania kopii danych. Usunięcie danych to odrębne uprawnienie — prawo do bycia zapomnianym — które osoba może zrealizować niezależnie, jeśli spełnione są jego przesłanki. Na czym polega prawo do bycia zapomnianym opisujemy w oddzielnym artykule.

Gdzie prawo do przenoszenia ma największe znaczenie

Prawo do przenoszenia danych nabiera znaczenia zwłaszcza tam, gdzie łatwość zmiany dostawcy realnie wpływa na konkurencję i wygodę użytkownika: w bankowości i płatnościach (gdzie uzupełnia je otwarta bankowość), w telekomunikacji i energetyce, w mediach społecznościowych, e-commerce, usługach streamingowych oraz w aplikacjach zdrowotnych i urządzeniach noszonych. Kierunek „przenoszalności” wzmacnia też akt w sprawie danych (Data Act), który wprowadza szersze prawo dostępu do danych z produktów i usług IoT — obejmujące również dane nieosobowe i, tam gdzie to możliwe, przekazywanie w czasie rzeczywistym.

O relacji Data Act z RODO piszemy w osobnym artykule.

Obowiązki RODO sklepu internetowego opisujemy w dedykowanym przewodniku.

Jak administrator powinien przygotować się do realizacji

Aby sprawnie obsługiwać żądania przeniesienia danych, warto:

1. Zidentyfikować przetwarzanie, które kwalifikuje się do prawa przenoszenia (podstawa: zgoda lub umowa; sposób: zautomatyzowany).
2. Wskazać dane objęte prawem — dostarczone i obserwowane — i oddzielić je od danych pochodnych oraz danych osób trzecich.
3. Przygotować mechanizm eksportu w formacie maszynowym (np. samoobsługowe pobranie danych, eksport do CSV/JSON, w razie potrzeby interfejs API).
4. Wdrożyć weryfikację tożsamości osoby składającej żądanie.
5. Opracować procedurę obsługi żądań z zachowaniem terminu jednego miesiąca.
6. Poinformować o prawie w klauzuli informacyjnej (art. 13 i 14 RODO). Jak napisać prawidłową klauzulę informacyjną opisujemy w osobnym artykule.

Najczęstsze błędy

Mylenie prawa do przenoszenia z prawem dostępu i stosowanie ich zamiennie.

Realizacja prawa przy niewłaściwej podstawie — np. przy uzasadnionym interesie lub obowiązku prawnym, gdzie prawo nie przysługuje.

Wydawanie danych w formacie nienadającym się do odczytu maszynowego (skan, PDF, wydruk).

Przenoszenie danych pochodnych i wywnioskowanych, które nie są objęte prawem.

Pominięcie praw osób trzecich obecnych w przenoszonych danych.

Brak weryfikacji tożsamości osoby składającej żądanie.

Uznanie, że przeniesienie oznacza usunięcie danych u pierwotnego administratora.

Czy Wasze systemy potrafią faktycznie wydać dane w formacie nadającym się do odczytu maszynowego — i czy zespół wie, kiedy art. 20 w ogóle ma zastosowanie — sprawdzamy w ramach audytu RODO w obszarze praw osób.

Checklist — prawo do przenoszenia danych

1. Ustal, które procesy opierają się na zgodzie lub umowie i są zautomatyzowane.
2. Zidentyfikuj dane dostarczone i obserwowane objęte prawem.
3. Wyłącz z zakresu dane pochodne, wywnioskowane i dane osób trzecich.
4. Przygotuj eksport w formacie maszynowym (CSV, JSON, XML).
5. Umożliw bezpośrednie przekazanie danych, gdy jest to technicznie możliwe.
6. Wdróż weryfikację tożsamości wnioskodawcy.
7. Ustal procedurę i termin realizacji (miesiąc, z możliwością przedłużenia).
8. Poinformuj o prawie w klauzulach informacyjnych.
9. Pamiętaj, że przeniesienie nie zwalnia z oceny odrębnego żądania usunięcia.

Potrzebujesz pomocy z realizacją praw osób i art. 20 RODO?

Prawo do przenoszenia danych bywa trudne w praktyce — od ustalenia, kiedy w ogóle przysługuje, po przygotowanie eksportu w odpowiednim formacie i oddzielenie danych pochodnych. W Kancelarii Radcowskiej dr Joanny Maniszewskiej-Ejsmont pomagamy przygotować procedury obsługi żądań osób, klauzule informacyjne oraz mechanizmy realizacji praw z RODO — w tym prawa do przenoszenia danych.