Każdy przedsiębiorca, który przetwarza dane osobowe, prędzej czy później otrzyma od klienta lub kontrahenta wiadomość zaczynającą się od słów "żądam usunięcia moich danych na podstawie art. 17 RODO". Prawo do bycia zapomnianym — bo o nim właśnie mowa — przez lata urosło do rangi jednego z najczęściej przywoływanych uprawnień konsumenckich w Europie. Tymczasem praktyka pokazuje, że wiele firm wciąż nie wie, kiedy rzeczywiście muszą usunąć dane, kiedy mogą odmówić, a kiedy narażają się na dotkliwe kary finansowe. W tym poradniku zebraliśmy aktualny stan prawny na rok 2026 wraz z konkretnymi przykładami, które pomogą Ci wdrożyć skuteczną procedurę obsługi żądań.
Dlaczego art. 17 RODO wciąż jest tak gorącym tematem w 2026 roku
Minęło już osiem lat od wejścia w życie Ogólnego Rozporządzenia o Ochronie Danych, a mimo to prawo do usunięcia danych nieustannie generuje nowe wyzwania. W 2025 roku Europejska Rada Ochrony Danych opublikowała zaktualizowane wytyczne dotyczące relacji między RODO a sztuczną inteligencją, w których poświęcono osobny rozdział właśnie artykułowi 17 — to pokłosie głośnych skarg konsumentów domagających się usunięcia swoich danych z modeli generatywnych. Organy nadzorcze w Polsce, Hiszpanii i Włoszech wydały w ciągu ostatnich osiemnastu miesięcy decyzje nakładające łącznie ponad 12 milionów euro kar za nieprawidłową obsługę żądań usunięcia danych. Trend jest jednoznaczny: Prezes Urzędu Ochrony Danych Osobowych nie traktuje już art. 17 jako przepisu drugoplanowego.
Dodatkowym katalizatorem jest stale rosnąca świadomość samych obywateli. Według badania Eurobarometru z początku 2026 roku, aż 73% mieszkańców Unii Europejskiej deklaruje, że zna przynajmniej jedno ze swoich uprawnień wynikających z RODO, a najczęściej wymienianym jest właśnie prawo do usunięcia danych. Dla małych i średnich przedsiębiorstw oznacza to tyle, że żądania będą napływać coraz częściej — i nie można już liczyć na to, że klienci po prostu nie wiedzą o swoich prawach.
Co dokładnie mówi art. 17 — pełna analiza przepisu
Art. 17 RODO składa się z trzech ustępów, z których każdy pełni odrębną funkcję. Ustęp pierwszy formułuje samo prawo: osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych. Ustęp drugi nakłada na administratora obowiązek poinformowania innych administratorów, którym ujawnił dane, o żądaniu usunięcia — to tak zwany efekt kaskadowy, niezwykle istotny w ekosystemach, gdzie dane przepływają między wieloma podmiotami. Ustęp trzeci zawiera katalog wyjątków.
Prawo do usunięcia danych nie jest absolutne. Przysługuje wyłącznie wtedy, gdy zachodzi jedna z sześciu przesłanek wymienionych w ustępie pierwszym: dane nie są już niezbędne do celów, w których zostały zebrane; osoba cofnęła zgodę i nie ma innej podstawy prawnej przetwarzania; osoba wniosła sprzeciw wobec przetwarzania; dane były przetwarzane niezgodnie z prawem; usunięcia wymaga obowiązek prawny; dane zebrano w związku z oferowaniem usług społeczeństwa informacyjnego osobie poniżej szesnastego roku życia. Znajomość tych sześciu przesłanek to absolutna podstawa — jeśli żadna z nich nie zachodzi, można legalnie odmówić.
Kiedy firma musi usunąć dane, a kiedy może odmówić — konkretne przykłady
Rozróżnienie między obowiązkiem a prawem do odmowy ma fundamentalne znaczenie biznesowe. Przyjrzyjmy się typowym scenariuszom. Klient sklepu internetowego zamyka konto i żąda usunięcia wszystkich danych. Jeśli podstawą przetwarzania była wyłącznie zgoda lub niezbędność do wykonania umowy, która właśnie wygasła — żądanie jest zasadne. Dane trzeba usunąć. Ten sam klient może jednak nadal mieć niezapłacone faktury — wówczas administrator powołuje się na wyjątek z art. 17 ust. 3 lit. e, czyli konieczność ustalenia, dochodzenia lub obrony roszczeń.
Inny przykład: były pracownik żąda usunięcia akt osobowych. Tutaj odpowiedź jest prosta — Kodeks pracy nakazuje przechowywanie dokumentacji pracowniczej przez dziesięć lat od zakończenia stosunku pracy. Obowiązek prawny nałożony na administratora wyłącza prawo do usunięcia danych. Podobnie rzecz ma się z fakturami i dokumentacją księgową, którą ustawa o rachunkowości każe przechowywać przez pięć lat.
Często niedocenianym wyjątkiem jest przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych albo do celów statystycznych. Jeśli firma prowadzi na przykład badania rynkowe na zanonimizowanych zbiorach, których integralność zostałaby naruszona przez usunięcie pojedynczych rekordów — art. 17 ust. 3 lit. d daje podstawę do odmowy, o ile usunięcie uniemożliwiłoby lub poważnie utrudniło realizację tych celów. Kluczowe jest jednak udokumentowanie przesłanek odmowy — gołosłowne "bo nam się należy" nie przejdzie.
Terminy, format odpowiedzi i komunikacja z wnioskodawcą — jak to robić poprawnie
RODO stanowi, że administrator odpowiada na żądanie bez zbędnej zwłoki, nie później niż w ciągu miesiąca od jego otrzymania. W przypadku skomplikowanych spraw lub dużej liczby żądań termin można przedłużyć o kolejne dwa miesiące, ale trzeba o tym poinformować wnioskodawcę przed upływem pierwszego miesiąca, podając przyczynę opóźnienia. Praktyka organów nadzorczych pokazuje, że firmy najczęściej gubią się właśnie na etapie dochowania terminów — Prezes UODO wielokrotnie podkreślał w swoich decyzjach, że brak odpowiedzi w terminie jest samodzielnym naruszeniem, nawet jeśli żądanie ostatecznie było niezasadne.
Forma odpowiedzi musi być zwięzła, przejrzysta i zrozumiała — napisana prostym językiem. Jeśli odmawiasz usunięcia danych, poinformuj o powodach, o prawie wniesienia skargi do Prezesa UODO oraz o możliwości skorzystania ze środków ochrony prawnej przed sądem. Nigdy nie zostawiaj wnioskodawcy bez odpowiedzi — milczenie administracji firmy to jedna z najczęściej karanych praktyk. W 2025 roku nałożono w Polsce trzy kary administracyjne w łącznej wysokości przekraczającej 2 miliony złotych właśnie za brak odpowiedzi na żądania klientów.
Weryfikacja tożsamości wnioskodawcy to osobny, delikatny temat. Możesz poprosić o dodatkowe informacje potwierdzające tożsamość, ale tylko wtedy, gdy masz uzasadnione wątpliwości. Nie możesz żądać skanów dowodu osobistego w każdej sytuacji — to samo w sobie byłoby nadmiarowym zbieraniem danych.
Techniczne aspekty usuwania danych — backupy, logi, kopie zapasowe
Usunięcie rekordu z głównej bazy produkcyjnej to dopiero początek wyzwania technicznego. Dane osoby żądającej usunięcia często znajdują się również w kopiach zapasowych, logach serwerowych, systemach monitoringu, bazach stagingowych, eksportach do hurtowni danych czy w taśmowych archiwach. Art. 17 nie wymaga usuwania danych z backupów natychmiast — o ile backup nie służy do bieżącego przetwarzania, a jedynie do odtworzenia systemu po awarii.
Zalecaną praktyką, rekomendowaną również przez polski UODO, jest wdrożenie mechanizmu ponownego usuwania przy odtwarzaniu backupu. Oznacza to, że przechowujesz listę identyfikatorów osób, które zażądały usunięcia danych, a w momencie przywracania danych z kopii zapasowej automatycznie czyścisz rekordy z tej listy. Taki mechanizm wykazuje należytą staranność i będzie bronił Twojej firmy w razie kontroli.
Nieco inaczej wygląda kwestia logów — jeśli logi zawierają adresy IP, które są danymi osobowymi, teoretycznie podlegają pod art. 17. Jednak logi systemowe są zwykle przetwarzane na podstawie prawnie uzasadnionego interesu administratora, jakim jest zapewnienie bezpieczeństwa sieci. Jeśli okres retencji logów jest rozsądny i uzasadniony — na przykład trzydzieści dni — nie musisz ich przeszukiwać i usuwać pojedynczych wpisów na żądanie. Kluczowe jest udokumentowanie polityki retencji i podstawy prawnej.
Konsekwencje niewdrożenia procedury — kary, kontrole i utrata reputacji
Sankcje za naruszenie art. 17 RODO potrafią być bolesne. Administracyjne kary pieniężne sięgają 20 milionów euro lub 4% rocznego światowego obrotu przedsiębiorstwa — w zależności od tego, która wartość jest wyższa. W praktyce polskiego rynku, gdzie dominują małe i średnie firmy, kary oscylują zwykle w przedziale od kilkunastu do kilkuset tysięcy złotych, ale zdarzają się i wielomilionowe decyzje wobec większych podmiotów. W 2025 roku głośny był przypadek platformy e-commerce ukaranej kwotą 3,8 miliona złotych za ignorowanie żądań usunięcia kont użytkowników przez ponad sześć miesięcy.
Poza samą karą finansową istotne są też koszty pośrednie. Postępowanie przed UODO trwa przeciętnie od ośmiu do czternastu miesięcy i wiąże się z koniecznością przedstawiania obszernej dokumentacji, angażowania zespołów IT i prawnego, a często także z audytem zewnętrznym. Do tego dochodzi ryzyko pozwów cywilnych — osoba, której prawa naruszono, może żądać odszkodowania za szkodę majątkową i niemajątkową na podstawie art. 82 RODO. Utrata reputacji w oczach klientów, partnerów biznesowych i inwestorów dopełnia obrazu.
Jak zbudować wewnętrzną procedurę obsługi żądań w małej i średniej firmie
Mała firma nie potrzebuje rozbudowanego działu compliance, by skutecznie zarządzać żądaniami usunięcia danych. Wystarczy kilkanaście dobrze przemyślanych kroków, które można wdrożyć w ciągu jednego tygodnia roboczego. Oto sprawdzony schemat:
Po pierwsze, wyznacz jedną osobę odpowiedzialną za przyjmowanie i koordynację żądań. Nie musi to być inspektor ochrony danych — w małych firmach może to być właściciel, kierownik biura lub wyznaczony pracownik administracji. Ważne, by ta osoba wiedziała, gdzie szukać danych w systemach firmowych i miała uprawnienia do ich usuwania.
Po drugie, stwórz szablon odpowiedzi na żądanie — zarówno pozytywnej, jak i negatywnej. Szablon pozytywny powinien potwierdzać usunięcie danych ze wszystkich systemów i informować o ewentualnych ograniczeniach (na przykład "dane z backupów zostaną usunięte w ciągu 90 dni"). Szablon negatywny musi zawierać konkretną podstawę prawną odmowy, pouczenie o prawie do skargi i okres retencji, po którym dane i tak zostaną usunięte.
Po trzecie, przeprowadź inwentaryzację systemów, w których przechowujecie dane osobowe. Lista powinna obejmować CRM, system księgowy, mailingowy, sklep internetowy, arkusze kalkulacyjne, kopie zapasowe, monitoring i media społecznościowe. Dla każdego systemu określ, w jaki sposób technicznie usuwa się dane i ile czasu to zajmuje.
Po czwarte, ustal maksymalny wewnętrzny czas reakcji — na przykład siedem dni roboczych od otrzymania żądania do wykonania operacji. To zostawia zapas przed upływem ustawowego miesiąca i pozwala spokojnie zweryfikować tożsamość oraz zakres danych.
Po piąte, dokumentuj każde żądanie i każdą odpowiedź. W przypadku kontroli Prezesa UODO rejestr żądań będzie Twoim najsilniejszym dowodem dochowania należytej staranności.
Częste pytania
Czy muszę usunąć dane klienta, który ma nieopłacone faktury?
Nie. Art. 17 ust. 3 RODO wyraźnie wyłącza obowiązek usunięcia danych, gdy przetwarzanie jest niezbędne do ustalenia, dochodzenia lub obrony roszczeń. Niezapłacone faktury są roszczeniem — dopóki nie upłynie termin przedawnienia, możesz odmówić usunięcia danych w zakresie niezbędnym do windykacji.
Czy mogę odmówić usunięcia danych, jeśli klient nie poda konkretnego powodu?
Tak, możesz poprosić o doprecyzowanie, na jakiej podstawie klient domaga się usunięcia. Jednak nie możesz uzależniać realizacji żądania od podania przyczyny — jeśli z kontekstu wynika któraś z sześciu przesłanek z art. 17 ust. 1, masz obowiązek działać.
Ile czasu zajmuje poprawne usunięcie danych?
Z prawnego punktu widzenia masz miesiąc z możliwością przedłużenia o dwa miesiące. Technicznie, w dobrze przygotowanej organizacji, samo usunięcie powinno zająć od kilku minut do trzech dni roboczych, w zależności od liczby systemów.
Czy prawo do usunięcia danych dotyczy też zdjęć i nagrań?
Tak, zdjęcia i nagrania są danymi osobowymi, jeśli pozwalają zidentyfikować osobę. Art. 17 obejmuje wszystkie dane osobowe bez względu na format. Monitoring wizyjny w sklepie to również dane podlegające żądaniu usunięcia — chyba że zachodzi jeden z wyjątków.
Co z danymi w social media — czy odpowiadam za posty klientów?
Jeśli klient opublikował dane publicznie na Twoim firmowym profilu, a Ty jesteś administratorem tego profilu, to po otrzymaniu żądania powinieneś usunąć te dane i — zgodnie z art. 17 ust. 2 — poinformować platformę społecznościową o żądaniu.
Jak traktować żądania usunięcia danych od byłych pracowników?
Akta osobowe podlegają dziesięcioletniemu okresowi przechowywania na podstawie Kodeksu pracy — to wyjątek z art. 17 ust. 3 lit. b, więc odmawiasz. Inne dane pracownika, na przykład zgody marketingowe, których nie wymaga prawo — usuwasz na zasadach ogólnych.
Czy mogę anonimizować zamiast usuwać?
Tak, anonimizacja jest dopuszczalną alternatywą, o ile jest nieodwracalna. Jeśli dane po anonimizacji nie pozwalają już na identyfikację osoby, nie są już danymi osobowymi i nie podlegają RODO. Anonimizacja jest szczególnie przydatna przy danych wykorzystywanych do celów statystycznych.
Czy muszę usuwać dane z backupu natychmiast?
Nie, RODO nie wymaga natychmiastowego usuwania danych z kopii zapasowych, o ile backup nie służy do bieżącego przetwarzania. Musisz jednak wdrożyć procedurę, która zagwarantuje, że po ewentualnym odtworzeniu backupu dane zostaną ponownie usunięte.
Czy mogę naliczyć opłatę za usunięcie danych?
Co do zasady nie — art. 12 ust. 5 RODO stanowi, że realizacja żądania jest bezpłatna. Możesz naliczyć opłatę jedynie wtedy, gdy żądania są ewidentnie nieuzasadnione lub nadmierne, w szczególności ze względu na swój ustawiczny charakter — na przykład gdy ta sama osoba co tydzień żąda usunięcia i zaraz potem ponownego założenia konta.
Czy art. 17 obejmuje również dane w chmurze obliczeniowej?
Tak, bez znaczenia jest, gdzie fizycznie znajdują się serwery. Jeśli jesteś administratorem danych przetwarzanych w chmurze, to Ty odpowiadasz za realizację żądania — musisz mieć techniczną możliwość usunięcia danych z infrastruktury dostawcy chmurowego.
Podsumowanie — przygotuj się, zanim klient zapuka
Art. 17 RODO to nie tylko przepis, który trzeba znać — to proces, który trzeba mieć wdrożony. Każdy dzień zwłoki w przygotowaniu procedury obsługi żądań zwiększa ryzyko, że pierwsze otrzymane żądanie wywoła chaos, a konsekwencje prawne i wizerunkowe okażą się dotkliwsze niż koszt wdrożenia systemu. Wystarczy jeden niezadowolony klient, jedna skarga do UODO i jeden brak odpowiedzi w terminie, by firma stanęła przed perspektywą wielomiesięcznego postępowania i potencjalnej kary.
Dobra wiadomość jest taka, że solidne przygotowanie nie wymaga ani sztabu prawników, ani skomplikowanych narzędzi. Wymaga przede wszystkim zrozumienia samego przepisu, inwentaryzacji miejsc przechowywania danych i zdyscyplinowanego podejścia do terminów. Firmy, które traktują prawo do bycia zapomnianym jako element obsługi klienta, a nie uciążliwy obowiązek, zyskują przewagę konkurencyjną — budują zaufanie, które w 2026 roku jest walutą równie cenną jak sam produkt. Jeśli zarządzasz danymi klientów i szukasz gotowego środowiska do bezpiecznego przetwarzania poufnych informacji zgodnie z wymogami RODO, sprawdź rozwiązania dostępne na kluczesoft.pl — znajdziesz tam narzędzia zaprojektowane z myślą o pełnej zgodności z unijnymi regulacjami.
Sprawdź też
Potrzebujesz licencji? Microsoft Office — sprawdź ofertę KluczeSoft.pl — legalne klucze, faktura VAT, dostawa e-mail.