Wniosek o ograniczenie przetwarzania danych osobowych

Wniosek o ograniczenie przetwarzania danych osobowych w Polsce to pismo składane przez osobę fizyczną do administratora danych, na podstawie art. 18 rozporządzenia (UE) 2016/679 (RODO), żądające zawieszenia operacji przetwarzania danych — z wyjątkiem ich przechowywania — do czasu spełnienia określonych warunków prawnych. Prawo do ograniczenia przetwarzania jest jednym z praw podstawowych osoby, której dane dotyczą, wymienionych w art. 15-22 RODO, realizowanym w Polsce pod nadzorem Prezesa Urzędu Ochrony Danych Osobowych (PUODO).

Art. 18 ust. 1 RODO określa cztery przesłanki uprawniające osobę do żądania ograniczenia przetwarzania: (a) gdy osoba kwestionuje prawidłowość danych — ograniczenie trwa przez okres umożliwiający administratorowi weryfikację prawidłowości tych danych; (b) gdy przetwarzanie jest niezgodne z prawem, a osoba sprzeciwia się usunięciu danych i żąda w zamian ograniczenia ich wykorzystywania; (c) gdy administrator nie potrzebuje już danych, lecz osoba potrzebuje ich do ustalenia, dochodzenia lub obrony roszczeń; (d) gdy osoba wniosła sprzeciw wobec przetwarzania na podstawie art. 21 ust. 1 RODO — ograniczenie trwa przez czas potrzebny do weryfikacji, czy prawnie uzasadnione interesy administratora są nadrzędne wobec interesów osoby.

Skutek prawny ograniczenia przetwarzania jest szczególny i odróżnia to prawo od prawa do usunięcia (art. 17 RODO): dane nie są usuwane, lecz „zamrażane" — administrator może je wyłącznie przechowywać. Wszelkie inne operacje (analiza, udostępnianie, wykorzystywanie do marketingu, profilowanie) wymagają zgody osoby lub muszą być niezbędne do ustalenia, dochodzenia lub obrony roszczeń, ochrony praw innej osoby lub z uwagi na ważne względy interesu publicznego (art. 18 ust. 2 RODO). Praktyczne techniczne sposoby ograniczenia: przeniesienie danych do innego systemu przechowywania, wydzielenie ich w sposób uniemożliwiający bieżące przetwarzanie, tymczasowe usunięcie ze strony internetowej (z zachowaniem kopii), blokada w systemie CRM lub bazie danych.

Art. 18 ust. 3 RODO gwarantuje osobie prawo do uprzedniego poinformowania o uchyleniu ograniczenia — zanim administrator wznowi pełne przetwarzanie danych, musi z wyprzedzeniem poinformować osobę o tym zamiarze. Art. 19 RODO zobowiązuje administratora do poinformowania o ograniczeniu wszystkich odbiorców, którym dane zostały udostępnione — co może być szczególnie istotne, gdy dane były przekazane procesorom lub innym administratorom. Wzorzec wniosku o ograniczenie przetwarzania danych osobowych zgodny z art. 18 RODO i wymaganiami polskiego PUODO dostępny jest na forms-legal.com.

Wniosek o ograniczenie przetwarzania danych osobowych w Polsce jest właściwym środkiem prawnym w konkretnych sytuacjach, gdy osoba nie chce, aby jej dane były usunięte, ale chce ograniczyć zakres ich bieżącego wykorzystywania przez administratora.

**Kwestionowanie prawidłowości danych (art. 18 ust. 1 lit. a RODO).** Osoba odkryła, że administrator przetwarza nieprawidłowe lub nieaktualne dane — np. stary adres zamieszkania, błędny numer PESEL, nieaktualne informacje o zatrudnieniu. Złożyła już wniosek o sprostowanie (art. 16 RODO), lecz administrator nie potwierdził jeszcze poprawki. Do czasu weryfikacji i sprostowania danych osoba może żądać ograniczenia ich przetwarzania — by dane błędne nie były dalej wykorzystywane np. w scoringu kredytowym lub marketingu.

**Niezgodne z prawem przetwarzanie i obrona przed usunięciem danych.** Osoba ma podstawy sądzić, że przetwarzanie jej danych odbywa się bez właściwej podstawy prawnej (niezgodnie z art. 6 RODO), lecz jednocześnie ma interes w zachowaniu tych danych — np. do wykazania faktu przetwarzania w postępowaniu sądowym lub przed PUODO (art. 18 ust. 1 lit. b RODO). Wniosek o ograniczenie jest tu właściwszy od wniosku o usunięcie, ponieważ zachowuje dowody niezgodnego z prawem przetwarzania.

**Dochodzenie roszczeń i potrzeba zachowania danych (art. 18 ust. 1 lit. c RODO).** Były pracownik dochodzący od pracodawcy wynagrodzenia lub odszkodowania potrzebuje, aby dane o jego zatrudnieniu i wynagrodzeniu były przechowywane do czasu zakończenia sprawy sądowej. Administrator chciał usunąć dane po upływie podstawowego okresu retencji — wniosek o ograniczenie przetwarzania „zatrzymuje" dane i zapobiega ich usunięciu przed rozstrzygnięciem sprawy.

**Oczekiwanie na rozstrzygnięcie sprzeciwu (art. 18 ust. 1 lit. d RODO).** Osoba wniosła sprzeciw wobec przetwarzania jej danych na podstawie prawnie uzasadnionego interesu administratora (art. 21 ust. 1 RODO) — np. wobec wykorzystywania jej danych do profilowania lub analizy zachowań. Do czasu weryfikacji przez administratora, czy jego prawnie uzasadniony interes jest nadrzędny wobec interesów osoby, ma ona prawo żądać ograniczenia przetwarzania.

**Typowe sytuacje, w których składa się wniosek:** - bank lub instytucja finansowa przetwarza dane z błędnymi informacjami o zaległościach lub historii kredytowej - były pracodawca przetwarza dane byłego pracownika mimo upływu okresu retencji i toczącego się sporu sądowego - sklep internetowy przetwarza dane zakupowe klienta do marketingu mimo wniesionego sprzeciwu, lecz osoba chce zachować historię zakupów - ubezpieczyciel przetwarza dane zdrowotne bez właściwej podstawy prawnej, a osoba potrzebuje tych danych jako dowodu w sprawie sądowej - operator telekomunikacyjny przetwarza dane o lokalizacji bezpodstawnie, a osoba potrzebuje ich do postępowania o naruszenie prywatności

Wniosek o ograniczenie przetwarzania danych osobowych w Polsce powinien zawierać elementy umożliwiające administratorowi jednoznaczną identyfikację osoby, ocenę podstawy żądania i techniczną realizację ograniczenia.

**1. Dane identyfikacyjne wnioskodawcy.** Pełne imię i nazwisko, adres zamieszkania lub adres e-mail do korespondencji oraz — jeżeli osoba dysponuje taką informacją — numer PESEL lub numer klienta u administratora. Brak wystarczających danych identyfikacyjnych może skutkować prośbą administratora o dodatkową weryfikację tożsamości — co opóźnia realizację wniosku. Administrator ma prawo żądać dodatkowych informacji niezbędnych do potwierdzenia tożsamości osoby, lecz nie może żądać informacji nadmiernych (art. 12 ust. 6 RODO). Wniosek o ograniczenie przetwarzania zgodny z wymaganiami PUODO jest dostępny na forms-legal.com.

**2. Identyfikacja administratora.** Pełna nazwa lub firma administratora, adres do korespondencji. Administrator wskazany jest zazwyczaj w klauzuli informacyjnej, polityce prywatności lub w regulaminie usługi. Jeżeli u administratora wyznaczono Inspektora Ochrony Danych (IOD) — wniosek można skierować bezpośrednio do IOD, który pełni funkcję punktu kontaktowego dla osób realizujących prawa z RODO.

**3. Podstawa prawna żądania — jedna z czterech przesłanek z art. 18 RODO.** Precyzyjne wskazanie, na której z przesłanek art. 18 ust. 1 RODO oparte jest żądanie: lit. a (kwestionowanie prawidłowości danych), lit. b (niezgodność przetwarzania z prawem i sprzeciw wobec usunięcia), lit. c (potrzeba danych do dochodzenia roszczeń) lub lit. d (oczekiwanie na weryfikację sprzeciwu z art. 21 RODO). Każda z przesłanek ma inne skutki prawne i czas trwania ograniczenia — precyzyjne wskazanie ułatwia administratorowi ocenę zasadności wniosku.

**4. Opis danych objętych żądaniem.** Wskazanie konkretnych danych lub kategorii danych, których ograniczenie ma dotyczyć. Nie każde dane przetwarzane przez administratora muszą być objęte ograniczeniem — osoba może żądać ograniczenia wybranych kategorii, np. wyłącznie danych adresowych albo wyłącznie historii transakcji. Precyzyjny opis ułatwia techniczną realizację ograniczenia w systemach IT administratora.

**5. Uzasadnienie faktyczne.** Krótki opis sytuacji faktycznej uzasadniającej żądanie: co skłoniło osobę do złożenia wniosku, co kwestionuje lub jakiego celu służy ograniczenie. Uzasadnienie nie jest formalnym wymogiem RODO, lecz ułatwia administratorowi ocenę zasadności żądania i szybszą realizację. Brak uzasadnienia może skutkować pytaniami wyjaśniającymi ze strony administratora.

**6. Żądanie powiadomienia przed uchyleniem ograniczenia.** Art. 18 ust. 3 RODO gwarantuje osobie prawo do uprzedniego poinformowania o uchyleniu ograniczenia przetwarzania. Wniosek powinien zawierać wyraźne żądanie takiego powiadomienia — w praktyce administrator powinien poinformować osobę, że zamierza wznowić pełne przetwarzanie danych, dając jej czas na ewentualną reakcję (np. złożenie skargi do PUODO).

**7. Żądanie powiadomienia odbiorców — art. 19 RODO.** Jeżeli osoba wie, że jej dane były przekazane innym podmiotom (odbiorcom, procesorom lub innym administratorom), może żądać, aby administrator poinformował te podmioty o ograniczeniu przetwarzania. Administrator ma taki obowiązek z mocy prawa (art. 19 RODO) — żądanie w wniosku przypomina o nim i dokumentuje wolę osoby. Data złożenia wniosku i wyraźna forma pisemna lub e-mail dokumentują datę złożenia — od niej biegnie termin 1-miesięczny na odpowiedź.

Wniosek o ograniczenie przetwarzania danych osobowych w Polsce wypełniany jest przez osobę fizyczną, której dane dotyczą, i składany do administratora odpowiedzialnego za przetwarzanie danych.

**Krok 1: Dane wnioskodawcy.** Wpisz swoje pełne imię i nazwisko oraz adres do korespondencji (pocztowy lub e-mail). Podanie adresu e-mail jest wygodniejsze — umożliwia administratorowi szybszą odpowiedź i jest akceptowane przez PUODO jako właściwa forma doręczenia odpowiedzi na wnioski RODO. Jeżeli masz numer klienta, numer PESEL lub inny identyfikator stosowany u administratora — podaj go, aby ułatwić identyfikację danych.

**Krok 2: Identyfikacja administratora.** Wpisz pełną nazwę firmy lub instytucji oraz jej adres. Administratora znajdziesz w klauzuli informacyjnej lub polityce prywatności danej organizacji. Jeżeli u administratora wyznaczono IOD — wniosek możesz skierować bezpośrednio do IOD, podając jego adres e-mail.

**Krok 3: Wybór podstawy prawnej.** Wybierz jedną z czterech przesłanek art. 18 RODO odpowiadającą Twojej sytuacji. Najczęstsza to lit. a — gdy kwestionujesz prawidłowość danych (błędne dane w systemie, nieaktualne informacje) i oczekujesz na ich sprostowanie. Lit. d stosuj, gdy już wcześniej złożyłeś sprzeciw wobec przetwarzania danych i czekasz na jego rozpatrzenie.

**Krok 4: Opis danych.** Opisz konkretnie, których danych dotyczy żądanie. Nie musisz wymieniać wszystkich danych przetwarzanych przez administratora — ogranicz wniosek do kategorii danych, wobec których masz zastrzeżenia. Im precyzyjniejszy opis, tym łatwiej administratorowi technicznie zrealizować ograniczenie.

**Krok 5: Uzasadnienie.** Krótko opisz sytuację: co odkryłeś, co kwestionujesz, dlaczego potrzebujesz ograniczenia. Uzasadnienie nie musi być długie — kilka zdań opisujących fakty wystarczy. Jeżeli masz dokumenty potwierdzające Twoje twierdzenia (np. korespondencja z administratorem o błędnych danych), możesz je dołączyć jako załącznik.

**Krok 6: Złożenie wniosku.** Wniosek złóż e-mailem na adres administratora lub IOD, listem poleconym (zachowaj potwierdzenie nadania) lub osobiście (żądaj potwierdzenia odbioru). Data złożenia jest ważna — od niej biegnie termin 1-miesięczny na odpowiedź administratora. Administratorzy RODO nie mogą odmawiać rozpatrzenia wniosku złożonego e-mailem — RODO nie wymaga formy pisemnej dla wniosków o prawa.

**Krok 7: Brak odpowiedzi lub odmowa — skarga do PUODO.** Jeżeli administrator nie udzieli odpowiedzi w terminie 1 miesiąca, odmówi ograniczenia bez uzasadnienia lub udzieli odpowiedzi niepełnej — masz prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (PUODO), ul. Stawki 2, 00-193 Warszawa (art. 77 RODO) lub złożyć pozew do sądu (art. 82 RODO). PUODO rozpatruje skargi bezpłatnie.

Wniosek o ograniczenie przetwarzania danych osobowych w Polsce opiera się na art. 18 RODO i powiązanych przepisach o realizacji praw osób, których dane dotyczą.

**Art. 18 ust. 1 RODO — prawo do ograniczenia przetwarzania.** Cztery przesłanki uprawniające do żądania ograniczenia: lit. a — kwestionowanie prawidłowości danych przez czas umożliwiający weryfikację; lit. b — niezgodność przetwarzania z prawem i sprzeciw osoby wobec usunięcia danych; lit. c — zakończenie celu przetwarzania przez administratora, lecz konieczność zachowania danych przez osobę do dochodzenia roszczeń; lit. d — wniesienie sprzeciwu z art. 21 ust. 1 RODO i oczekiwanie na weryfikację nadrzędności interesów administratora.

**Art. 18 ust. 2 RODO — skutki ograniczenia.** Po uwzględnieniu wniosku dane mogą być przetwarzane (poza przechowywaniem) wyłącznie: za zgodą osoby, do ustalenia, dochodzenia lub obrony roszczeń, do ochrony praw innej osoby fizycznej lub prawnej, z uwagi na ważne względy interesu publicznego Unii lub państwa członkowskiego.

**Art. 18 ust. 3 RODO — uprzednie powiadomienie o uchyleniu.** Przed uchyleniem ograniczenia przetwarzania administrator informuje o tym fakcie osobę, która złożyła wniosek.

**Art. 19 RODO — obowiązek powiadomienia odbiorców.** Administrator, który ograniczył przetwarzanie, informuje o tym ograniczeniu każdego odbiorcę, któremu dane ujawniono — chyba że okaże się to niemożliwe lub będzie wymagać niewspółmiernie dużego wysiłku.

**Art. 12 ust. 3 RODO — termin odpowiedzi.** Administrator udziela odpowiedzi bez zbędnej zwłoki, nie później niż w ciągu 1 miesiąca od otrzymania wniosku. Termin może być przedłużony o kolejne 2 miesiące przy skomplikowanym charakterze lub liczbie wniosków — z poinformowaniem wnioskodawcy w ciągu 1 miesiąca.

**Art. 12 ust. 4 RODO — odmowa i uzasadnienie.** Odmowa uwzględnienia wniosku musi być uzasadniona i musi zawierać informację o prawie do złożenia skargi do PUODO i złożenia powództwa do sądu. Administrator odmawiający bez uzasadnienia narusza art. 12 ust. 4 RODO.

**Art. 77 RODO i ustawa z 10.05.2018 r. — skarga do PUODO.** Osoba, której odmówiono realizacji prawa do ograniczenia lub której wniosek nie został rozpatrzony w terminie, może wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (PUODO) bezpłatnie. PUODO może nakazać administratorowi uwzględnienie żądania i nałożyć karę administracyjną za naruszenie praw osoby (art. 83 ust. 5 lit. b RODO — do 20 mln EUR lub 4% obrotu).

Wnioski o ograniczenie przetwarzania danych osobowych w Polsce zawierają typowe błędy, które opóźniają ich realizację lub prowadzą do odmowy.

**Błędne zastosowanie art. 18 RODO zamiast art. 17 RODO.** Osoby, które chcą usunięcia danych, czasem składają wniosek o ograniczenie przetwarzania. Różnica jest fundamentalna: ograniczenie „zamraża" dane — nie usuwa ich. Jeżeli celem jest definitywne usunięcie danych — właściwy jest wniosek o usunięcie z art. 17 RODO. Wniosek o ograniczenie stosuje się wtedy, gdy osoba potrzebuje zachowania danych, lecz chce ograniczyć ich bieżące wykorzystywanie.

**Brak wskazania przesłanki art. 18 ust. 1 RODO.** Wniosek bez wyraźnego wskazania, na której z czterech przesłanek jest oparty, utrudnia administratorowi ocenę zasadności żądania i może skutkować prośbą o wyjaśnienie — co opóźnia realizację. Każda przesłanka ma inne warunki i czas trwania ograniczenia.

**Błędna identyfikacja wnioskodawcy.** Administrator ma obowiązek weryfikacji tożsamości wnioskodawcy — jeżeli wnioskodawca poda niepełne dane (np. sam e-mail bez imienia i nazwiska), administrator może prosić o dodatkowe potwierdzenie, co opóźnia realizację. Podanie PESEL lub numeru klienta znacznie przyspiesza identyfikację.

**Nierealistyczne oczekiwania co do zakresu ograniczenia.** Żądanie ograniczenia przetwarzania wszystkich danych u administratora bez konkretnego uzasadnienia jest trudne do zrealizowania technicznie i może być nieuzasadnione prawnie. Administrator może odmówić ograniczenia w zakresie, dla którego brak spełnienia przesłanek z art. 18 ust. 1 RODO.

**Brak działania po braku odpowiedzi administratora.** Jeżeli administrator nie udzieli odpowiedzi w terminie 1 miesiąca — osoba powinna skierować skargę do Prezesa Urzędu Ochrony Danych Osobowych (PUODO). Brak skargi nie dyscyplinuje administratora naruszającego terminy RODO.