RODO DSAR PL - obsługa żądań podmiotów danych (art. 12, 15-22)
Filozofia
Żądanie podmiotu to zegar + ocena prawna, nie automat. Skill klasyfikuje, pilnuje terminu i składa
draft - decyzję o realizacji/odmowie i wysyłkę podejmuje administrator. Usunięcie/eksport danych
to akt nieodwracalny/na zewnątrz => zawsze człowiek (granica governance).
Krok 0 - Tożsamość i termin
- Weryfikacja tożsamości (art. 12 ust. 6) - przy uzasadnionych wątpliwościach żądaj dodatkowych
informacji. To NIE zawiesza biegu bezwarunkowo: wg Wytycznych EROD 01/2022 zawieszenie wchodzi w grę
tylko, gdy informacja jest niezbędna do potwierdzenia tożsamości ORAZ administrator zażądał jej
bez zbędnej zwłoki. Datę wpływu zachowaj w rejestrze zawsze - spóźnione lub nieproporcjonalne żądanie
tożsamości nie przedłuża terminu, a weryfikacja nie służy do obstrukcji.
- TERMIN: 1 miesiąc od otrzymania (art. 12 ust. 3). Przedłużenie o max 2 miesiące przy
skomplikowaniu/liczbie żądań - poinformuj w ciągu pierwszego miesiąca z przyczyną. Skill liczy
deadline i deadline_extended.
- Co do zasady bezpłatnie (art. 12 ust. 5). Opłata/odmowa tylko gdy żądanie ewidentnie
bezzasadne lub nadmierne - ciężar dowodu po administratorze.
Krok 1 - Klasyfikacja prawa
| Art. |
Prawo |
Klucz |
| 15 |
Dostęp + kopia |
zakres informacji, kopia danych, prawa osób trzecich |
| 16 |
Sprostowanie |
dane nieprawidłowe/niekompletne |
| 17 |
Usunięcie ("zapomnienie") |
przesłanki ust. 1 vs wyjątki ust. 3 (obowiązek prawny, roszczenia, wolność wypowiedzi) |
| 18 |
Ograniczenie |
"zamrożenie" zamiast usunięcia |
| 20 |
Przenoszenie |
tylko zgoda/umowa + przetwarzanie zautomatyzowane; format ustrukturyzowany |
| 21 |
Sprzeciw |
uzasadniony interes / marketing (marketing = bezwzględny) |
| 22 |
Decyzje zautomatyzowane |
prawo pierwotne = niepodleganie decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu wywołującej skutki prawne/istotne; wyjątki ust. 2 (umowa, przepis, wyraźna zgoda) => zabezpieczenia ust. 3: interwencja ludzka, własne stanowisko, zakwestionowanie |
Krok 2 - Bramki i podstawy odmowy
Sprawdź wyjątki specyficzne dla prawa (zwłaszcza art. 17 ust. 3 i ograniczenia krajowe). Każdą odmowę
uzasadnij prawnie + pouczenie o skardze do UODO i drodze sądowej (art. 12 ust. 4). Powołania na
decyzje UODO => [[uodo-grounding-pl]].
Krok 3 - Draft odpowiedzi + rejestr
Skill składa odpowiedź (język prosty, art. 12 ust. 1), dopasowaną do powołanego prawa. Przy art. 15
to kopia danych osobowych pobrana z systemów operacyjnych, które je faktycznie przechowują, plus
dostępne informacje o źródle danych (art. 15 ust. 1 lit. g) - RCP ([[rodo-ropa-dpa-pl]]) dostarcza
tylko ogólnych informacji o przetwarzaniu (cele, kategorie, odbiorcy), nie danych osoby. Do tego wpis
do rejestru żądań (data wpływu, typ, termin, rozstrzygnięcie).
Narzędzie - kalkulator terminu (deterministyczny, offline)
Terminu miesięcznego nie licz w pamięci - arytmetyka miesiąca ma pułapki (wpływ 31 stycznia => koniec 28/29 lutego, wg rozporządzenia EWG 1182/71). Użyj skryptu (zero zależności, offline):
python scripts/gdpr_deadlines.py dsar --from 2026-01-31 --extend
Zwraca deadline_1_month oraz (z --extend) deadline_extended_3_months. Wynik wklej do odpowiedzi i rejestru.
Granica governance
Skill: klasyfikuje, liczy terminy, składa draft, prowadzi rejestr. Człowiek: weryfikuje tożsamość,
decyduje o realizacji/odmowie, wykonuje usunięcie/eksport, wysyła odpowiedź. Akty nieodwracalne i
na zewnątrz nigdy nie są automatyczne.
Companion
Rejestr czynności (skąd dane): [[rodo-ropa-dpa-pl]]. Anonimizacja przy kopii: gaius-api-anonymization.
Parytet: gdpr-dsar-en.
1---2name: rodo-dsar-pl3description: Obsługa żądań osób, których dane dotyczą (DSAR) po polsku, w oparciu o art. 12 oraz 15-22 RODO. Identyfikuje typ żądania (dostęp 15, sprostowanie 16, usunięcie 17, ograniczenie 18, przenoszenie 20, sprzeciw 21, decyzje zautomatyzowane 22), pilnuje TERMINU (1 miesiąc od otrzymania, art. 12 ust. 3; przedłużenie o maks. 2 miesiące przy złożoności), bramkuje wyjątki i podstawy odmowy (np. art. 17 ust. 3, żądania ewidentnie bezzasadne lub nadmierne - art. 12 ust. 5), składa draft odpowiedzi i rejestr. Weryfikacja tożsamości wnioskodawcy (art. 12 ust. 6) jako pierwszy krok. Wysyłkę odpowiedzi oraz usunięcie lub eksport danych zostawia człowiekowi. Nie dodaje konektorów i sam niczego nie wysyła; treść wniosku trafia do modelu, który masz skonfigurowany. Używaj gdy: "wniosek o dostęp do danych", "żądanie usunięcia", "prawo do bycia zapomnianym", "sprzeciw RODO", "termin na odpowiedź DSAR".4license: Apache-2.05---67# RODO DSAR PL - obsługa żądań podmiotów danych (art. 12, 15-22)89## Filozofia1011Żądanie podmiotu to zegar + ocena prawna, nie automat. Skill klasyfikuje, pilnuje terminu i składa12**draft** - decyzję o realizacji/odmowie i wysyłkę podejmuje administrator. Usunięcie/eksport danych13to akt nieodwracalny/na zewnątrz => zawsze człowiek (granica governance).1415## Krok 0 - Tożsamość i termin1617- **Weryfikacja tożsamości** (art. 12 ust. 6) - przy uzasadnionych wątpliwościach żądaj dodatkowych18 informacji. To NIE zawiesza biegu bezwarunkowo: wg Wytycznych EROD 01/2022 zawieszenie wchodzi w grę19 **tylko**, gdy informacja jest niezbędna do potwierdzenia tożsamości ORAZ administrator zażądał jej20 bez zbędnej zwłoki. Datę wpływu zachowaj w rejestrze zawsze - spóźnione lub nieproporcjonalne żądanie21 tożsamości nie przedłuża terminu, a weryfikacja nie służy do obstrukcji.22- **TERMIN: 1 miesiąc od otrzymania** (art. 12 ust. 3). Przedłużenie o **max 2 miesiące** przy23 skomplikowaniu/liczbie żądań - poinformuj w ciągu pierwszego miesiąca z przyczyną. Skill liczy24 `deadline` i `deadline_extended`.25- **Co do zasady bezpłatnie** (art. 12 ust. 5). Opłata/odmowa tylko gdy żądanie **ewidentnie26 bezzasadne lub nadmierne** - ciężar dowodu po administratorze.2728## Krok 1 - Klasyfikacja prawa2930| Art. | Prawo | Klucz |31|---|---|---|32| 15 | Dostęp + kopia | zakres informacji, kopia danych, prawa osób trzecich |33| 16 | Sprostowanie | dane nieprawidłowe/niekompletne |34| 17 | Usunięcie ("zapomnienie") | przesłanki ust. 1 vs **wyjątki ust. 3** (obowiązek prawny, roszczenia, wolność wypowiedzi) |35| 18 | Ograniczenie | "zamrożenie" zamiast usunięcia |36| 20 | Przenoszenie | tylko zgoda/umowa + przetwarzanie zautomatyzowane; format ustrukturyzowany |37| 21 | Sprzeciw | uzasadniony interes / marketing (marketing = bezwzględny) |38| 22 | Decyzje zautomatyzowane | prawo pierwotne = **niepodleganie** decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu wywołującej skutki prawne/istotne; wyjątki ust. 2 (umowa, przepis, wyraźna zgoda) => zabezpieczenia ust. 3: interwencja ludzka, własne stanowisko, zakwestionowanie |3940## Krok 2 - Bramki i podstawy odmowy4142Sprawdź wyjątki specyficzne dla prawa (zwłaszcza art. 17 ust. 3 i ograniczenia krajowe). Każdą odmowę43**uzasadnij prawnie** + pouczenie o skardze do UODO i drodze sądowej (art. 12 ust. 4). Powołania na44decyzje UODO => [[uodo-grounding-pl]].4546## Krok 3 - Draft odpowiedzi + rejestr4748Skill składa odpowiedź (język prosty, art. 12 ust. 1), dopasowaną do powołanego prawa. Przy art. 1549to **kopia danych osobowych pobrana z systemów operacyjnych**, które je faktycznie przechowują, plus50dostępne informacje o źródle danych (art. 15 ust. 1 lit. g) - RCP ([[rodo-ropa-dpa-pl]]) dostarcza51tylko ogólnych informacji o przetwarzaniu (cele, kategorie, odbiorcy), nie danych osoby. Do tego wpis52do rejestru żądań (data wpływu, typ, termin, rozstrzygnięcie).5354## Narzędzie - kalkulator terminu (deterministyczny, offline)5556Terminu miesięcznego nie licz w pamięci - arytmetyka miesiąca ma pułapki (wpływ 31 stycznia => koniec 28/29 lutego, wg rozporządzenia EWG 1182/71). Użyj skryptu (zero zależności, offline):5758```bash59python scripts/gdpr_deadlines.py dsar --from 2026-01-31 --extend60```6162Zwraca `deadline_1_month` oraz (z `--extend`) `deadline_extended_3_months`. Wynik wklej do odpowiedzi i rejestru.6364## Granica governance6566Skill: klasyfikuje, liczy terminy, składa draft, prowadzi rejestr. Człowiek: weryfikuje tożsamość,67decyduje o realizacji/odmowie, **wykonuje usunięcie/eksport**, wysyła odpowiedź. Akty nieodwracalne i68na zewnątrz nigdy nie są automatyczne.6970## Companion7172Rejestr czynności (skąd dane): [[rodo-ropa-dpa-pl]]. Anonimizacja przy kopii: `gaius-api-anonymization`.73Parytet: `gdpr-dsar-en`.
matematicsolutions