Prawo do usunięcia danych RODO: wyniki EDPB za 2025 rok
Zaktualizowano na rok 2026.
Działania EDPB w zakresie prawa do usunięcia danych w 2025 roku
Europejska Rada Ochrony Danych przeprowadziła w 2025 roku zakrojone na szeroką skalę działania dotyczące Artykułu 17 RODO — prawa do usunięcia danych. Uczestniczyły w nich 32 organy ochrony danych z państw UE i EOG, działające jednocześnie. Celem było wykrycie systemowych naruszeń, a nie pojedynczych przypadków.
Działania te są częścią Skoordynowanych Ram Egzekucyjnych (CEF). Dziewięć organów wszczęło już formalne dochodzenia na podstawie uzyskanych wyników.
Siedem powtarzających się uchybień
Raport CEF wskazał siedem problemów stwierdzonych u skontrolowanych podmiotów:
- Słabe procedury rozpatrywania wniosków o usunięcie danych
- Zbyt szerokie odrzucanie uzasadnionych wniosków
- Nadmierne obciążenia nakładane na osoby składające wnioski
- Niemożność zlokalizowania wszystkich danych osobowych w różnych systemach
- Przekraczanie 30-dniowego terminu odpowiedzi wymaganego przez RODO
- Niedostateczna informacja zwrotna dla osób o wynikach ich wniosków
- Błędna anonimizacja stosowana zamiast usunięcia danych. Podmioty deklarowały „anonimizację”, ale pozostawiały dane możliwe do powiązania z konkretnymi osobami.
Siódme uchybienie jest najbardziej złożone. Dotyka każdy podmiot, który stosuje tę metodę w celu ograniczenia przechowywanych danych osobowych.
Anonimizacja a usunięcie danych
Prawo do usunięcia danych RODO nie zawsze oznacza fizyczne skasowanie. Motyw 65 dopuszcza anonimizację, gdy usunięcie nie jest wykonalne. Typowe przypadki to taśmy kopii zapasowych i systemy analityczne.
CEF pokazuje, że ta możliwość jest nadużywana. Podmioty oznaczają procesy jako „anonimizację”, aby uniknąć faktycznego usunięcia. Jednak procesy te nadal pozostawiają dane możliwe do powiązania z konkretnymi osobami.
EDPB wyznacza wyraźną granicę.
Prawdziwa anonimizacja oznacza, że związku między danymi a osobą nie można odtworzyć. Administrator nie ma możliwości ponownego powiązania. Żadna strona trzecia nie ma tej możliwości. Takie dane wypadają poza zakres RODO. Wniosek jest realizowany.
Pseudonimizacja to co innego. Ponowne powiązanie jest możliwe przy użyciu właściwego klucza. Dane osobowe nadal istnieją. Wniosek nie jest realizowany. Dane muszą zostać usunięte albo klucz musi być zniszczony.
Podejście dwuwarstwowe
Podmioty stosujące anonimizację w systemach analitycznych potrzebują dwóch warstw.
Warstwa 1 — pozyskiwanie danych: Surowe dane osobowe trafiają tutaj. Dane te podlegają wnioskom o usunięcie. Gdy osoba powołuje się na prawa wynikające z Artykułu 17, dane w tej warstwie są kasowane.
Warstwa 2 — analityka: Do tej warstwy trafiają wyłącznie zanonimizowane dane wyjściowe. Jeśli proces był kompletny i jednokierunkowy, wyniki te nie są danymi osobowymi. Wnioski o usunięcie ich nie dotyczą.
Ta struktura działa tylko wtedy, gdy proces maskowania spełnia trzy warunki.
Pierwszy: jednokierunkowy. Odwracalne tokeny i szyfrowane zamiany nie kwalifikują się.
Drugi: kompletny. Wszystkie typy identyfikatorów muszą być uwzględnione. Samo usunięcie imion i nazwisk nie wystarczy.
Trzeci: udokumentowany. Podmiot musi być w stanie wykazać organowi nadzorczemu, jak działa jego metoda.
Sklep detaliczny, który zamienia imiona i nazwiska klientów na zaszyfrowane tokeny, wykonał pseudonimizację — nie prawdziwe usunięcie. Warstwa analityczna nadal zawiera dane osobowe. Wnioski o usunięcie nadal mają do nich zastosowanie.
Nasz przewodnik dotyczący zgodności z RODO opisuje podstawy prawne dla każdego podejścia. Nasz przegląd środków bezpieczeństwa i zgodności zawiera listę wymaganych kontroli. Instrukcje krok po kroku znajdziesz w przewodniku po audycie anonimizacji RODO.