Jak złożyć skargę do UODO na bezprawne wykorzystanie moich danych?

Jeśli polska firma lub instytucja wykorzystuje twoje dane z naruszeniem przepisów, możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (UODO). Opisz własną sprawę, wskaż odpowiedzialny podmiot i przygotuj dowody. Wcześniejszy kontakt z administratorem często pomaga usunąć problem, a przy skardze na niezrealizowanie żądania dotyczącego twoich praw ma szczególne znaczenie.

Ustal, kto jest administratorem danych

Administratorem jest podmiot, który decyduje, po co i w jaki sposób przetwarza dane. W sprawie sklepu może to być prowadząca go spółka, a w sprawie urzędowej odpowiednia instytucja. Nazwa marki, aplikacji lub osoba odbierająca telefon nie zawsze wskazuje właściwego administratora.

Zajrzyj do informacji o ochronie danych, polityki prywatności albo zakładki „RODO”. Zapisz pełną nazwę i adres podmiotu oraz kontakt przeznaczony do spraw danych osobowych. Porównaj je z dokumentami dotyczącymi twojej sprawy, aby nie pomylić firm o podobnych nazwach.

Jeżeli administrator wyznaczył inspektora ochrony danych (IOD), możesz skontaktować się z nim w sprawie realizacji swoich praw. IOD jest punktem kontaktowym. W skardze nadal trzeba wskazać podmiot, którego działanie kwestionujesz; sam adres inspektora nie zastępuje danych administratora.

Skontaktuj się z administratorem i sprawdź termin odpowiedzi

Napisz, jakie dane i działanie budzą zastrzeżenia oraz czego oczekujesz. Może chodzić o dostęp do danych, poprawienie błędnej informacji, usunięcie danych albo ograniczenie ich przetwarzania. Zachowaj treść żądania i dowód jego przekazania. Skorzystaj z kontaktu podanego przez administratora, aby wiadomość trafiła do właściwej osoby.

Na żądanie realizacji praw wynikających z RODO, czyli ogólnego rozporządzenia o ochronie danych, administrator powinien odpowiedzieć bez zbędnej zwłoki, najpóźniej w ciągu miesiąca od otrzymania żądania. Przy skomplikowanym żądaniu lub dużej liczbie żądań może przedłużyć termin o kolejne dwa miesiące. O przedłużeniu i jego przyczynach musi poinformować w pierwszym miesiącu. Również odmowę działania powinien w tym czasie uzasadnić.

Jeżeli skarga dotyczy niezrealizowania żądania, dołącz je wraz z odpowiedzią albo wskaż brak odpowiedzi w terminie. Prezes UODO może nakazać spełnienie uprzednio zgłoszonego żądania. Nie oznacza to jednak, że każdą skargę na nieprawidłowe przetwarzanie trzeba poprzedzić takim wnioskiem i odczekać miesiąc. Prawo skargi obejmuje również samo naruszenie, na przykład nieuprawnione ujawnienie danych.

Uporządkuj fakty i załączniki

Przygotuj krótki opis zdarzeń w kolejności ich wystąpienia. Wskaż, skąd administrator miał dane, na czym polega kwestionowane wykorzystanie, kiedy je zauważono i jak zareagował na kontakt. Jeżeli źródło danych pozostaje nieznane, napisz to wprost. Oddziel własne ustalenia od podejrzeń.

Dołącz dokumenty, które pokazują sprawę: korespondencję, odpowiednią część umowy, otrzymane zawiadomienie albo zapis publikacji. Przy materiale ze strony internetowej zanotuj adres strony i datę wykonania zrzutu. Opisz załączniki tak, aby można było połączyć każdy z nich z odpowiednim fragmentem skargi.

Na przykład zamiast pisać ogólnie, że „firma bezprawnie ujawniła wszystko”, wskaż, jakie konkretnie informacje znalazły się w wiadomości lub publikacji oraz co potwierdza ich udostępnienie. Przy skardze na brak dostępu do danych pokaż treść wcześniejszego żądania. Sam dowód wysłania nie wyjaśnia jeszcze, o co proszono.

Określ oczekiwaną naprawę

UODO wymaga co do zasady wskazania żądania: działania, którego oczekujesz od organu. Dopasuj je do opisanego problemu. Możesz wnosić na przykład o nakazanie administratorowi sprostowania wskazanych danych lub udzielenia informacji, o które wcześniej bezskutecznie wystąpiono.

Nie przepisuj bez zastanowienia całej listy praw z gotowego wzoru. Kilka żądań nie powinno się wzajemnie wykluczać. Jeżeli zależy ci na poprawieniu błędnego adresu w dokumentacji, opisz ten błąd i oczekiwaną korektę, zamiast dodawać każde działanie wymienione w formularzu.

Wyjątek dotyczy skargi wyłącznie na ujawnienie danych osobie nieuprawnionej. Według instrukcji UODO nie trzeba wtedy formułować odrębnego żądania. Wystarczy wyraźnie zakwestionować udostępnienie danych przez administratora innemu podmiotowi. Nadal potrzebne są pozostałe elementy skargi, w tym opis okoliczności i podpis. Ten wyjątek nie zwalnia z wyjaśnienia, czego dotyczy sprawa.

Przygotuj pismo i sprawdź jego kompletność

Skarga powinna zawierać:

• twoje imię i nazwisko oraz adres zamieszkania;
• nazwę i adres siedziby podmiotu, którego dotyczy skarga, albo imię, nazwisko i adres zamieszkania, jeśli chodzi o osobę fizyczną;
• dokładny opis naruszenia;
• żądanie, z opisanym wcześniej wyjątkiem dotyczącym samego ujawnienia danych;
• podpis odpowiedni do sposobu złożenia.

Urząd udostępnia formularz skargi, w tym plik do wypełnienia w edytorze tekstu. To pomoc w przygotowaniu pisma; możesz też napisać skargę samodzielnie, uwzględniając wymagane informacje. Wybierz formularz skargi osoby, której dane dotyczą.

Przed podpisaniem przeczytaj opis razem z załącznikami. Sprawdź, czy nazwa firmy jest identyczna w obu miejscach, a wskazana odpowiedź rzeczywiście znajduje się w komplecie. Brak imienia, nazwiska i adresu może uniemożliwić kontakt: UODO wyraźnie informuje, że takie skargi pozostawia bez rozpoznania. Sam adres e-mail nie zastępuje wymaganych danych.

Wybierz papier albo e-Doręczenia

Skargę papierową podpisz własnoręcznie. Możesz wysłać ją pocztą lub złożyć w siedzibie urzędu. Kieruj ją do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stanisława Moniuszki 1A, 00-014 Warszawa. Urząd dopuszcza także wniesienie skargi ustnie do protokołu w siedzibie, po wcześniejszym umówieniu terminu.

Elektroniczną skargę kieruj przez e-Doręczenia na adres AE:PL-67085-31860-RWFHC-35. Aktualna instrukcja składania skargi elektronicznej wymaga spełnienia warunków skargi pisemnej oraz podania adresu elektronicznego.

Dokument musi być opatrzony kwalifikowanym podpisem elektronicznym, podpisem zaufanym lub osobistym albo uwierzytelniony w sposób zapewniający potwierdzenie pochodzenia i integralności danych. Przygotowując samodzielnie plik, sprawdź jego podpis przed dołączeniem do przesyłki. Samo wpisanie nazwiska pod tekstem nie załatwia kwestii podpisu elektronicznego.

Zwykły e-mail do kancelarii UODO nie jest skutecznym sposobem złożenia skargi. Urząd zapowiada pozostawienie takiej wiadomości bez rozpoznania. Nie traktuj zatem wysłania wiadomości na adres widoczny w stopce strony jako zakończenia procedury.

Ile kosztuje skarga i co zachować po wysłaniu

Zwykła skarga dotycząca własnych danych jest bezpłatna. RODO przewiduje bezpłatne wykonywanie przez organ nadzorczy zadań na rzecz osoby, której dane dotyczą. Wyjątek obejmuje żądania oczywiście nieuzasadnione lub nadmierne, zwłaszcza powtarzające się: organ może wtedy pobrać rozsądną opłatę wynikającą z kosztów administracyjnych albo odmówić działania. To organ musi wykazać taki charakter żądania.

Dla własnej dokumentacji zachowaj wersję skargi, załączniki oraz dowód nadania lub doręczenia. Przy e-Doręczeniach zapisz również dostępne potwierdzenia przesyłki. Sprawdź, czy wysłano podpisany dokument i wszystkie zapowiedziane pliki. Potwierdzenie przesłania pomoże ustalić przebieg korespondencji, ale nie oznacza, że urząd uznał skargę za zasadną.

Śledź sprawę i reaguj na korespondencję

Prezes UODO rozpatruje skargę i może żądać od administratora informacji potrzebnych do wyjaśnienia sprawy. Urząd powinien informować o postępach i efektach jej rozpatrywania. Czytaj otrzymywane pisma; jeżeli wskazują potrzebę doprecyzowania faktów lub uzupełnienia dokumentów, odnieś się do konkretnych punktów i podanego w piśmie terminu.

Miesiąc na odpowiedź administratora nie jest obietnicą zakończenia postępowania przez UODO w takim samym czasie. RODO przewiduje prawo do sądowego środka ochrony także wtedy, gdy organ nie rozpatruje skargi lub w ciągu trzech miesięcy nie informuje o postępach albo rezultacie. Nie należy odczytywać tego jako gwarancji wydania końcowej decyzji w trzy miesiące.

Jeżeli odpowiedź lub rozstrzygnięcie nie uwzględnia twoich racji, przeczytaj uzasadnienie i pouczenie o dalszej drodze. Porównaj ustalenia urzędu z dokumentami, które przekazano w sprawie.

Jakiego wyniku można oczekiwać

Po stwierdzeniu naruszenia Prezes UODO może zastosować środki naprawcze, na przykład nakazać realizację żądania, sprostowanie danych albo ograniczenie ich przetwarzania. Dobór działania zależy od ustaleń sprawy. Samo niezadowolenie z odpowiedzi firmy nie przesądza o naruszeniu: poszczególne prawa mają określone warunki i ograniczenia.

W skardze nie można skutecznie żądać nałożenia administracyjnej kary pieniężnej. Decyzja o karze należy do Prezesa UODO. Urząd nie przyznaje też odszkodowania osobie składającej skargę; roszczenie o naprawienie szkody rozstrzyga sąd powszechny.

Dlatego skoncentruj pismo na własnych danych, udokumentowanym problemie i oczekiwanej naprawie. W sprawie braku odpowiedzi najważniejsze będą wcześniejsze żądanie i upływ terminu, a przy ujawnieniu danych — konkretne okoliczności udostępnienia. Tak przygotowana skarga pozwala urzędowi zrozumieć, jakie działanie administratora ma zbadać.