Co oznacza przetwarzanie danych osobowych w RODO?

Przetwarzanie danych w RODO obejmuje znacznie więcej niż działania w internecie. Wyjaśniamy, jakie operacje podlegają przepisom, kto za nie odpowiada, na jakiej podstawie można je prowadzić i jak zadbać o bezpieczeństwo informacji.

Co RODO uznaje za przetwarzanie danych osobowych?

Przetwarzanie danych osobowych to każda operacja lub zestaw operacji wykonywanych na informacjach o osobie fizycznej, którą można zidentyfikować bezpośrednio albo pośrednio. Nie ma znaczenia, czy czynności wykonuje system komputerowy, czy człowiek. Przetwarzaniem jest między innymi zbieranie, zapisywanie, porządkowanie, przechowywanie, przeglądanie, wykorzystywanie, ujawnianie, łączenie, ograniczanie, usuwanie i niszczenie danych.

Danymi osobowymi mogą być imię i nazwisko, numer identyfikacyjny, informacje o lokalizacji czy identyfikator internetowy. W środowisku cyfrowym znaczenie mogą mieć również informacje zapisane w formularzu, koncie użytkownika lub systemie obsługi zamówień, jeśli pozwalają ustalić, kogo dotyczą. Pojedyncza informacja nie zawsze wystarcza do identyfikacji, ale może stać się daną osobową w połączeniu z innymi danymi.

RODO, czyli unijne ogólne rozporządzenie o ochronie danych, reguluje ochronę osób fizycznych w związku z przetwarzaniem ich danych oraz swobodny przepływ takich informacji. Przepisy nie dotyczą wyłącznie serwerów, poczty elektronicznej i baz klientów. Pracodawca, który przechowuje uporządkowane akta pracownicze na papierze, również przetwarza dane. Dokumentacja niezautomatyzowana podlega RODO, jeśli jest częścią zbioru uporządkowanego według określonych kryteriów.

Typowy proces zaczyna się od pozyskania informacji, a kończy na ich usunięciu lub zniszczeniu. W jego trakcie administrator powinien wiedzieć, jakie dane przetwarza, w jakim celu, na jakiej podstawie i przez jaki czas. Sam fakt, że informacja trafiła do systemu, nie uzasadnia jej dalszego przechowywania.

Zobacz więcej: Jak wybrać niezawodny hosting i zadbać o bezpieczeństwo strony w Kraju Saary

Kto odpowiada za przetwarzanie i na jakiej podstawie?

Administrator to podmiot, który ustala cele i sposoby przetwarzania. Może nim być firma prowadząca sklep internetowy, pracodawca albo inna organizacja decydująca, po co zbiera informacje i jak będzie ich używać. Podmiot przetwarzający działa w imieniu administratora. Przykładem jest dostawca usługi chmurowej, operator obsługi płac lub firma utrzymująca system, w którym przechowywane są dane.

Obowiązki zależą od roli danego podmiotu w konkretnym procesie. Organizacja korzystająca z usług zewnętrznych powinna ustalić, jakie dane przekazuje, do jakiego celu i na jakich zasadach usługodawca ma do nich dostęp. W przypadku usług internetowych warto uwzględnić nie tylko treść formularzy, lecz także dane użytkowników przechowywane w kopiach zapasowych, poczcie firmowej czy panelach administracyjnych.

Każde przetwarzanie musi mieć podstawę prawną. RODO przewiduje sześć podstaw: zgodę osoby, niezbędność do wykonania umowy, wypełnienie obowiązku prawnego, ochronę żywotnych interesów, realizację zadania w interesie publicznym lub sprawowanie władzy publicznej, a także prawnie uzasadniony interes administratora lub strony trzeciej.

Zgoda jest więc tylko jedną z możliwości i nie jest potrzebna w każdej sytuacji. Sklep internetowy może przetwarzać imię, adres dostawy i dane kontaktowe, aby zrealizować zamówienie, ponieważ jest to niezbędne do wykonania umowy. Nie oznacza to, że musi w tym celu uzyskiwać zgodę. Jeśli administrator wybiera zgodę jako podstawę, musi ona być dobrowolna, konkretna, świadoma i jednoznaczna. Osoba może ją wycofać, a administrator powinien móc wykazać, że została udzielona.

Warto przeczytać: Jak wybrać niezawodny serwer i zadbać o bezpieczeństwo strony w Kraju Saary

Jakie zasady trzeba stosować na każdym etapie?

Przetwarzanie powinno być legalne, rzetelne i przejrzyste. Dane należy zbierać w konkretnych, wyraźnych celach i nie wykorzystywać ich później w sposób niezgodny z tymi celami. Ich zakres powinien być ograniczony do informacji niezbędnych, a dane należy w miarę potrzeby aktualizować. Nie powinny być przechowywane dłużej, niż wymaga tego cel, i muszą być chronione przed nieuprawnionym dostępem, utratą lub zniszczeniem.

Minimalizacja danych oznacza, że zakres informacji powinien odpowiadać rzeczywistej potrzebie. Jeśli formularz pozwala zrealizować usługę bez pytania o dodatkowe dane, ich zbieranie może być nieuzasadnione. Im mniej informacji organizacja gromadzi, tym mniej danych musi zabezpieczać i tym mniejsze może być ryzyko związane z ich ujawnieniem.

Warto przeczytać: Jak sprawdzić stan konta w PKO SA i jakie masz możliwości dostępu?

W praktyce warto traktować przetwarzanie jak cykl. Najpierw określa się cel i podstawę prawną, następnie zbiera wyłącznie potrzebne dane i informuje o tym osoby, których one dotyczą. Kolejne etapy to zabezpieczenie dostępu, umożliwienie realizacji praw, ustalenie okresu przechowywania, a na końcu usunięcie lub zniszczenie danych, gdy przestają być potrzebne. Dla witryny internetowej oznacza to między innymi przemyślenie, kto ma dostęp do danych w panelu, jak długo pozostają one w systemie i czy są objęte kopiami zapasowymi.

Ochrona prywatności powinna być uwzględniana już podczas projektowania usług, a nie dopiero po wdrożeniu. Ochrona danych w fazie projektowania i domyślna oznacza na przykład ograniczenie domyślnej widoczności profilu, dostępu pracowników oraz ilości zbieranych informacji. Środki techniczne i organizacyjne należy dobierać do ryzyka, charakteru danych i skali przetwarzania.

Jakie prawa mają osoby, których dane dotyczą?

Osoba może między innymi zażądać dostępu do swoich danych, ich sprostowania lub usunięcia, ograniczenia przetwarzania albo przeniesienia danych. Może również wnieść sprzeciw i złożyć skargę do organu nadzorczego. Zakres poszczególnych praw zależy od okoliczności i podstawy przetwarzania, dlatego nie każde żądanie musi prowadzić do usunięcia informacji. Przykładowo obowiązek prawny może wymagać dalszego przechowywania określonych danych mimo żądania ich skasowania.

Może Cię zainteresować: Jakie dane osobowe obejmuje ochrona RODO?

Osobnej uwagi wymagają dane szczególnych kategorii, takie jak informacje o zdrowiu, poglądach politycznych czy przekonaniach religijnych. Ich przetwarzanie jest co do zasady zabronione, chyba że zachodzi jeden z wyjątków wskazanych w RODO. Organizacja powinna więc przed rozpoczęciem takiego procesu ustalić, czy ma odpowiednią podstawę i czy wdrożyła zabezpieczenia adekwatne do podwyższonego ryzyka.

Pseudonimizacja może ograniczyć ryzyko, ponieważ bezpośrednie identyfikatory zastępuje się innymi oznaczeniami. Nie jest jednak tym samym co anonimizacja. Jeśli osobę można ponownie zidentyfikować przy użyciu dodatkowych informacji, dane pseudonimizowane nadal pozostają danymi osobowymi. Dopiero skuteczna anonimizacja, po której identyfikacja nie jest możliwa, zmienia ten status.

Może Cię zainteresować: Jakie dane osobowe może przetwarzać pracodawca zgodnie z RODO?

Co oznaczają profilowanie i naruszenie ochrony danych?

Profilowanie polega na automatycznym wykorzystywaniu danych do oceny lub przewidywania cech osoby, takich jak jej zainteresowania, sytuacja ekonomiczna czy zachowanie. Organizacja powinna jasno informować o takim użyciu danych. Szczególnie istotne jest sprawdzenie, czy decyzje podejmowane wyłącznie automatycznie wywołują skutki prawne lub podobnie istotnie wpływają na osobę. W takich przypadkach RODO przewiduje dodatkowe wymagania i zabezpieczenia.

Naruszenie ochrony danych może wiązać się na przykład z nieuprawnionym dostępem, przypadkową utratą informacji lub ich ujawnieniem. Administrator powinien ocenić ryzyko dla praw i wolności osób, których dane dotyczą. Zależnie od okoliczności może być zobowiązany do zgłoszenia naruszenia organowi nadzorczemu oraz zawiadomienia samych osób.

Skala obowiązków związanych z bezpieczeństwem znajduje odzwierciedlenie w danych za ostatni rok. Średnia liczba zgłoszeń naruszeń w Europie wzrosła z 363 dziennie do 443 dziennie między 28 stycznia 2025 r. a 27 stycznia 2026 r., co oznacza wzrost o 22% rok do roku. W 2025 r. krajowe organy ochrony danych nałożyły łącznie około 1,15 mld euro kar. Te liczby pokazują skalę zgłoszeń i egzekwowania przepisów, ale same nie dowodzą, że każda organizacja przetwarza dane niezgodnie z RODO.

W codziennej praktyce zgodność zaczyna się od rozpoznania danych i procesów, a następnie od ograniczenia zbieranych informacji do niezbędnego minimum. Jasny cel, właściwa podstawa prawna, kontrola dostępu, przejrzysta informacja i określony termin usunięcia pomagają chronić prywatność oraz ograniczać ryzyko. W przypadku usług internetowych warto uwzględnić cały obieg danych, od formularza na stronie po przechowywanie wiadomości i kopii zapasowych.

Wykorzystane materiały

https://www.edpb.europa.eu/news/edpb-annual-report-2025-supporting-stakeholders-through-guidance-and-dialogue_en
https://lexlege.pb.pl/rozporzadzenie-parlamentu-europejskiego-i-rady-ue-2016-679-w-sprawie-ochrony-osob-fizycznych-w-zwiazku-z-przetwarzaniem-danych-osobowych-i-w-sprawie-swobodnego-przeplywu-takich-danych-oraz-uchylenia-dyrektywy-95-46-we-ogolne-rozporzadzenie-o-ochronie-dany/art-4
https://bip.uodo.gov.pl/pl/701/4467
https://www.edpb.europa.eu/system/files/2026-04/edpb-annual-report-2025_en.pdf
https://gdpr.pl/baza-wiedzy/akty-prawne/interaktywny-tekst-gdpr/artykul-4-definicje