RODO określa zasady korzystania z danych osobowych i przyda Ci się, gdy Twoja aplikacja zapisuje konta, dokumenty, wiadomości lub informacje o klientach.
Zacznij od drogi danych
Wyobraź sobie szatnię, do której ludzie oddają rzeczy na przechowanie. Potrzebujesz wiedzieć, co przyjmujesz, kto ma dostęp, komu możesz coś wydać i kiedy kończy się przechowywanie. Podobnie podejdź do danych w aplikacji, zanim zaczniesz przygotowywać dokumenty.
Dane osobowe to informacje odnoszące się do rozpoznanej lub możliwej do rozpoznania osoby. Należą do nich nie tylko nazwisko i adres, lecz także identyfikator konta, historia rezerwacji czy adres IP, czyli oznaczenie połączenia urządzenia z siecią, jeśli pozwalają powiązać informacje z człowiekiem. Przetwarzanie oznacza również samo przechowywanie, odczytywanie i usuwanie takich informacji.
RODO to ogólne rozporządzenie o ochronie danych, oznaczone numerem UE 2016/679. Nie ma ogólnego zwolnienia dla aplikacji z niewielką liczbą użytkowników ani dla projektu, który jeszcze nie zarabia. Ostateczna odpowiedź dotycząca zastosowania tych przepisów zależy od indywidualnej sytuacji i potwierdza ją prawnik. Treść rozporządzenia RODO.
Zasady opisano według stanu na 30 października 2026 roku. Skupiamy się na praktycznej obsłudze danych, więc najpierw otwórz aplikację i przejdź przez założenie konta, wykonanie zadania oraz zamknięcie konta. Zapisz również wiadomości wysyłane w tle i pliki trafiające do zewnętrznych usług.
W generatorze CV życiorys może przejść przez formularz, miejsce przechowywania dokumentów, usługę sztucznej inteligencji i pocztę. Usunięcie go z listy widocznej użytkownikowi nie dowodzi, że zniknął z pozostałych miejsc. Twoja mapa powinna obejmować cały ten obieg, również zapisy tworzone podczas rozwiązywania błędów.
Ustal swoją rolę
Właściciel szatni decyduje, po co zbiera rzeczy, a wynajęta obsługa wykonuje jego instrukcje. W ochronie danych podobne rozróżnienie dotyczy administratora, który ustala cele i sposoby przetwarzania, oraz podmiotu przetwarzającego, który działa w jego imieniu. Ta sama firma może pełnić różne role wobec różnych zestawów danych.
Jeżeli sprzedajesz dostęp do własnego generatora CV, zwykle sam ustalasz zasady prowadzenia kont i kontaktu z kupującymi. Jeżeli szkoła językowa używa Twojej aplikacji do prowadzenia list kursantów, to szkoła może określać cel pracy z tymi listami, a Ty obsługiwać je na jej zlecenie. Osobno analizujesz dane przedstawiciela szkoły, z którym rozliczasz abonament.
Nie przypisuj roli na podstawie samej nazwy dostawcy. Firma obsługująca płatność może wykonywać własne obowiązki jako odrębny administrator, natomiast firma przechowująca Twoje dokumenty może działać jako podmiot przetwarzający. Ostateczna odpowiedź dotycząca podziału ról zależy od indywidualnej sytuacji i potwierdza ją prawnik.
Przy powierzaniu danych art. 28 RODO przewiduje umowę lub inny wiążący instrument określający warunki przetwarzania. W ofertach zagranicznych spotkasz skrót DPA, czyli umowę dotyczącą przetwarzania danych, często akceptowaną elektronicznie. Ostateczna odpowiedź dotycząca wymaganej umowy i jej zakresu zależy od indywidualnej sytuacji i potwierdza ją prawnik.
Zachowaj wersję dokumentu, datę akceptacji, listę dalszych podwykonawców oraz kontakt do zgłaszania problemów. Sprawdź, czy dostawca pomaga usuwać dane, odpowiadać na żądania i wyjaśniać naruszenia. Obietnica „zgodne z RODO” na stronie sprzedażowej nie odpowiada na te pytania.
W osobnej tabeli zapisz nazwę usługi, rodzaj przekazywanych danych, cel, rolę dostawcy i kraj ich obsługi. Taki spis przyda się przy każdej zmianie narzędzia.
Zbieraj dane w określonym celu
Formularz powinien przypominać listę rzeczy potrzebnych do wykonania zadania. Do rezerwacji boiska możesz potrzebować kontaktu i terminu, ale numer dokumentu tożsamości wymaga osobnego uzasadnienia. Pole dodane przez kreator aplikacji nie staje się potrzebne tylko dlatego, że już istnieje.
Każdemu celowi przyporządkuj podstawę prawną. Wykonanie umowy może uzasadniać dane konieczne do zapewnienia zamówionego dostępu, obowiązek prawny określone rozliczenia, a prawnie uzasadniony interes wybrane działania ochronne po ocenie interesów i praw osób. Zgoda jest jedną z podstaw, a nie uniwersalnym zamiennikiem pozostałych; ostateczna odpowiedź dotycząca podstawy zależy od indywidualnej sytuacji i potwierdza ją prawnik.
| Czynność w aplikacji | Pytanie przed wdrożeniem |
|---|---|
| Założenie konta | Czy potrzebujesz nazwiska, czy wystarczy adres poczty |
| Przesłanie CV | Czy cały dokument musi trafić do zewnętrznej usługi |
| Kontakt z pomocą | Czy załącznik zawiera cudze informacje |
| Statystyki produktu | Czy wystarczą zbiorcze wyniki bez historii konkretnych osób |
| Zamknięcie konta | Które informacje nadal mają uzasadniony cel przechowywania |
Zgoda musi spełniać wymagania RODO, a jej wycofanie powinno być równie łatwe jak udzielenie. Nie łącz opcjonalnego celu z zakupem w sposób pozbawiający użytkownika rzeczywistego wyboru. Ostateczna odpowiedź dotycząca prawidłowości zgody zależy od indywidualnej sytuacji i potwierdza ją prawnik.
Dane o zdrowiu i inne szczególne kategorie wymagają dodatkowych przesłanek z art. 9 RODO. Nie dodawaj do formularza szkoły językowej pytań o diagnozy tylko po to, żeby kiedyś „lepiej dopasować ofertę”. Ostateczna odpowiedź dotycząca takich danych zależy od indywidualnej sytuacji i potwierdza ją prawnik.
Przy każdym polu zapisz jedno zdanie wyjaśniające jego zastosowanie. Jeśli nie umiesz wskazać konkretnej funkcji, usuń pole albo odłóż je do czasu rzeczywistej potrzeby.
Sprawdź dostawców i dostęp
Sam wybór europejskiego miejsca przechowywania plików nie zamyka sprawy. Dostawca może korzystać z obsługi technicznej lub podwykonawców spoza Europejskiego Obszaru Gospodarczego, czyli UE oraz Islandii, Liechtensteinu i Norwegii. Zapytaj również, kto może odczytać dane podczas naprawiania problemu.
Przekazywanie danych poza ten obszar wymaga oceny zasad z rozdziału V RODO. Zależnie od sytuacji znaczenie ma decyzja o odpowiednim stopniu ochrony lub inne zabezpieczenia, na przykład standardowe klauzule umowne, czyli zatwierdzone postanowienia dotyczące transferu. Ostateczna odpowiedź dotycząca dopuszczalności transferu zależy od indywidualnej sytuacji i potwierdza ją prawnik.
Przy usłudze sztucznej inteligencji sprawdź warunki konkretnego produktu i planu. Czat używany przez pracownika może mieć inne ustawienia niż połączenie aplikacji z usługą dostawcy. Ustal, czy treści służą doskonaleniu modelu, czyli systemu generującego odpowiedzi, jak długo są przechowywane i jak ograniczyć zapisywanie danych.
Do testów używaj wymyślonych życiorysów i sztucznych rezerwacji. Nie wklejaj rzeczywistych danych klienta do rozmowy z narzędziem tworzącym kod tylko dlatego, że próbujesz naprawić błąd. Zwykle wystarczy odtworzyć strukturę dokumentu bez informacji pozwalających rozpoznać człowieka.
Każda osoba pomagająca przy aplikacji powinna mieć własny dostęp i tylko potrzebne uprawnienia. Po zakończeniu współpracy odbierz dostęp także do poczty, kopii danych oraz paneli dostawców. Poproś wykonawcę o pokazanie, czy użytkownik jednego konta może otworzyć dokument należący do drugiego.
Art. 32 RODO wymaga środków bezpieczeństwa odpowiednich do ryzyka, nie zakupu jednego obowiązkowego programu. Ostateczna odpowiedź dotycząca wystarczających zabezpieczeń zależy od indywidualnej sytuacji i potwierdza ją prawnik, korzystając z oceny technicznej wykonawcy.
Przygotuj usuwanie i odpowiedzi
Przechowywanie danych bez końca przypomina szatnię, z której nigdy nie wynosi się pozostawionych rzeczy. Z czasem coraz trudniej odnaleźć potrzebną informację i ustalić, dlaczego w ogóle tam jest. Dla każdej kategorii ustal cel przechowywania, moment rozpoczęcia liczenia okresu i sposób usunięcia.
Nie wpisuj wszędzie jednego terminu. Życiorys, konto, korespondencja dotycząca sporu i dokument rozliczeniowy służą różnym zadaniom. Gdy istnieje obowiązek dalszego przechowywania części danych, nie oznacza on prawa do zachowania całej zawartości konta; ostateczna odpowiedź dotycząca okresów zależy od indywidualnej sytuacji i potwierdza ją księgowy albo prawnik.
Osoba może między innymi żądać dostępu, sprostowania, usunięcia lub ograniczenia przetwarzania, przy czym zakres praw zależy od przesłanek. Zasadniczy termin odpowiedzi wynosi miesiąc, a uzasadnione przedłużenie maksymalnie dwa kolejne miesiące wymaga poinformowania w pierwszym miesiącu. Ostateczna odpowiedź dotycząca żądania i terminu zależy od indywidualnej sytuacji i potwierdza ją prawnik. Prawa osób według UODO.
Wyznacz skrzynkę odbierającą zgłoszenia oraz osobę odpowiedzialną za odpowiedź. Weryfikuj tożsamość proporcjonalnie do sprawy, zamiast rutynowo żądać skanu dowodu. Nie wysyłaj całej historii konta osobie, która podała jedynie publicznie znany adres poczty.
Przetestuj usunięcie na koncie próbnym. Sprawdź dokumenty, wyszukiwarkę wewnętrzną, załączniki pomocy i kopie zapasowe, czyli zapasowe wersje danych służące odtworzeniu działania. Ustal też, jak po przywróceniu kopii ponownie wykonać wcześniejsze usunięcia, żeby zamknięte konto nie wróciło do normalnego użycia.
Zapisuj datę otrzymania żądania, wynik weryfikacji, podjęte działania i termin odpowiedzi. To prostsze niż odtwarzanie przebiegu sprawy z kilku prywatnych skrzynek.
Reaguj na naruszenia
Naruszenie może oznaczać wysłanie dokumentu niewłaściwej osobie, utratę danych albo dostęp osoby nieuprawnionej. Nie musi wiązać się z widowiskowym atakiem. Przygotuj krótką instrukcję, żeby wykonawca i osoba obsługująca klientów wiedzieli, komu zgłaszać podejrzenia.
Administrator zgłasza naruszenie właściwemu organowi bez zbędnej zwłoki, w miarę możliwości do 72 godzin od stwierdzenia, chyba że ryzyko naruszenia praw lub wolności jest mało prawdopodobne. Podmiot przetwarzający informuje administratora bez zbędnej zwłoki, zamiast traktować 72 godziny jako własny czas oczekiwania. Ostateczna odpowiedź dotycząca zgłoszenia zależy od indywidualnej sytuacji i potwierdza ją prawnik. Terminy zgłaszania naruszeń.
Przy wysokim ryzyku może być potrzebne także zawiadomienie osób, a każde naruszenie wymaga udokumentowania zgodnie z art. 33 ust. 5 RODO. Nie zakładaj, że brak zgłoszenia do urzędu oznacza brak pracy do wykonania. Ostateczna odpowiedź dotycząca zawiadomień i dokumentacji zależy od indywidualnej sytuacji i potwierdza ją prawnik.
W praktyce wykonaj kolejno cztery działania:
- Ogranicz dalszy dostęp lub błędną wysyłkę, zachowując informacje potrzebne do wyjaśnienia zdarzenia.
- Ustal rodzaje danych, liczbę osób i możliwe skutki dla ludzi.
- Zapisz czas wykrycia, ustalenia oraz ocenę potrzebnych zawiadomień.
- Usuń przyczynę i sprawdź, czy podobny problem występuje w innych miejscach.
Nie czekaj z pierwszą oceną do zakończenia całej naprawy. W razie potrzeby zgłoszenie można uzupełniać zgodnie z właściwą procedurą. Użytkownik powinien dostać jasny opis sytuacji i działań, które rzeczywiście może podjąć, bez technicznych szczegółów niezwiązanych z jego bezpieczeństwem.
Dokumentuj odpowiednio do ryzyka
Na początek zbierz mapę danych, podstawy ich wykorzystania, umowy z dostawcami, zasady dostępu, okresy przechowywania i instrukcję reagowania. Dodaj wyniki przeprowadzonych prób usunięcia i obsługi zgłoszeń. Dokumentacja ma pozwalać odtworzyć decyzje, a nie tylko zwiększać liczbę plików.
Rejestr czynności przetwarzania to uporządkowany opis operacji na danych. Próg 250 pracowników nie oznacza automatycznego zwolnienia małej firmy z rejestru, ponieważ wyjątek ma warunki, a regularna obsługa kont nie jest czynnością sporadyczną. Ostateczna odpowiedź dotycząca rejestru zależy od indywidualnej sytuacji i potwierdza ją prawnik. Wyjaśnienia EROD dla małych firm.
Ocena skutków dla ochrony danych, nazywana DPIA, opisuje planowane przetwarzanie, zagrożenia i zabezpieczenia przed uruchomieniem rozwiązania. Jest wymagana w przypadkach prawdopodobnego wysokiego ryzyka, a obowiązek wyznaczenia inspektora ochrony danych wynika z odrębnych przesłanek, między innymi określonego monitorowania lub przetwarzania szczególnych danych na dużą skalę. Ostateczna odpowiedź dotycząca obu obowiązków zależy od indywidualnej sytuacji i potwierdza ją prawnik.
Nie istnieje jeden próg liczby kont, po którego przekroczeniu każdy projekt potrzebuje identycznego zestawu dokumentów. Znaczenie ma to, co robisz z informacjami i jak wpływa to na ludzi. Kalendarz boiska oraz narzędzie analizujące zdrowie wymagają innej oceny, nawet przy podobnej liczbie odbiorców.
Art. 83 RODO przewiduje, zależnie od naruszenia, maksymalne kary do 10 mln euro lub 2% oraz do 20 mln euro lub 4% światowego rocznego obrotu przedsiębiorstwa z poprzedniego roku, przy zastosowaniu wyższej kwoty. To górne granice, a nie automatyczna kara za każdy błąd. Ostateczna odpowiedź dotycząca sankcji zależy od indywidualnej sytuacji i potwierdza ją prawnik. Zasady ustalania kar według EROD.
Przy dodawaniu funkcji wracaj do mapy danych. Nowa wyszukiwarka, zewnętrzny pomocnik sztucznej inteligencji, w skrócie AI, lub możliwość zapraszania współpracowników zmieniają sposób udostępniania informacji. Sprawdzenie tej zmiany przed publikacją jest łatwiejsze niż późniejsze szukanie wszystkich miejsc, do których trafiły dokumenty.
Podsumowanie w pięciu punktach
- Rozpisz drogę danych od formularza do usunięcia u wszystkich dostawców.
- Ustal role, cele i podstawy prawne każdej operacji.
- Ogranicz zakres danych oraz dostęp pracowników i narzędzi.
- Przygotuj obsługę żądań i procedurę oceny naruszeń.
- Aktualizuj dokumentację wraz z rzeczywistymi zmianami aplikacji.
Co dalej
Temat „Regulamin i polityka prywatności” pomaga opisać użytkownikowi ustalony sposób działania. Przeczytaj również „Kopie zapasowe i bezpieczeństwo” oraz „AI Act”, jeśli Twoja aplikacja korzysta ze sztucznej inteligencji.