Art. 1. Cel procedury

Celem procedury jest wdrożenie ogólnych zasad postępowania w przypadku realizacji praw osób, których dane dotyczą na mocy Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119, s. 1) - zwane dalej RODO.

Art. 2. Postanowienia ogólne

1. ADO koordynuje przyjmowanie i rozpatrywanie wniosków obywateli w zakresie praw związanych z ochroną danych osobowych wpływających do Administratora.
2. ADO przekazuje korespondencję do kierownika właściwej komórki, która jest zobowiązana do zrealizowania wniosku oraz do wiadomości IOD.
3. W przypadku korespondencji, o której mowa w ust. 1 pracownik właściwej komórki weryfikuje kompletność danych adresowych oraz informacji umożliwiających zidentyfikowanie osoby wnioskującej.
4. W przypadku braku wystarczających informacji umożliwiających zidentyfikowanie osoby kierującej wniosek, kierownik właściwej komórki, która jest zobowiązana do zrealizowania wniosku występuje do osoby fizycznej o uszczegółowienie informacji.
5. Realizacja praw osób, których dane dotyczą powinna następować niezwłocznie. Termin ten nie może być dłuższy, niż miesiąc od dnia otrzymania wniosku.
6. W  razie  potrzeby  termin  ten  może  zostać  przedłużony  o  kolejne  dwa  miesiące  z uwagi na skomplikowany charakter żądania lub liczbę żądań. W takim przypadku Administrator informuje osobę, której dane dotyczą o takim przedłużeniu terminu,      z podaniem przyczyn opóźnienia na piśmie bądź elektronicznie, chyba że osoba, której dane dotyczą zażąda tej informacji w innej formie.
7. Jeżeli Administrator nie podejmuje działań w związku z żądaniem osoby, której dane dotyczą, to niezwłocznie, przy czym nie później niż w terminie miesiąca od otrzymania żądania, ma obowiązek poinformowania osoby, której dane dotyczą o powodach niepodjęcia działań oraz o możliwości wniesienia skargi do organu nadzorczego oraz skorzystania ze środków ochrony prawnej przed sądem.

Art. 3. Prawo dostępu do danych

1. Osoba, której dane są przetwarzane przez Administratora, posiada uprawnienie do uzyskania informacji w każdym czasie i potwierdzenia czy Administrator przetwarza jej dane osobowe.
2. W przypadku przetwarzania danych przez Administratora, osoba fizyczna ma prawo do uzyskania do nich dostępu oraz do uzyskania informacji o:
   1. celu przetwarzania danych;
   2. kategorii odnośnych danych osobowych;
   3. odbiorcach lub kategoriach odbiorców, którym dane osobowe zostały lub zostaną ujawnione w szczególności o odbiorcach w państwach trzecich lub organizacjach międzynarodowych;
   4. planowanym okresie przechowywania danych osobowych, a gdy nie jest to możliwe – podanie kryteriów ustalania tego okresu;
   5. prawie do żądania od Administratora sprostowania, usunięcia lub ograniczenia przetwarzania danych osobowych dotyczących osoby, której dane dotyczą oraz do wniesienia sprzeciwu wobec takiego przetwarzania;
   6. prawie do wniesienia skargi do organu nadzorczego;
   7. źródle danych, jeżeli dane osobowe nie zostały zebrane od osoby, której dane dotyczą.
3. W każdym przypadku przed udzieleniem informacji zawierających dane osobowe na wniosek, osoba obsługująca zobowiązana jest zweryfikować czy wnioskodawca jest upoważniony do takiego udostępnienia na podstawie przepisów prawa lub stosownego pełnomocnictwa udzielonego przez osobę, której dane dotyczą.
4. Weryfikacja winna nastąpić co do zasady na podstawie okazanego dokumentu ze zdjęciem (dowód osobisty, prawo jazdy, paszport itp.) na podstawie którego możliwe będzie potwierdzenie tożsamości osoby, a tylko wyjątkowo na podstawie innych dostępnych informacji o wnioskodawcy takich jak np.: imię, nazwisko, adres, numer telefonu, adres e-mail, imię matki lub ojca, numer PESEL lub inne informacje zamieszczone w dokumentach zgromadzonych przez Administratora.

5. Jeżeli osoba fizyczna, której dane dotyczą, zwróci się z wnioskiem o dostarczenie kopii jej danych osobowych podlegających przetwarzaniu, żądanie takie jest realizowane bezpłatnie po jednoznacznej weryfikacji tożsamości osoby wnioskującego.
6. Za wszelkie kolejne kopie, o które zwróci się wnioskodawca, można pobrać opłatę. Opłata powinna obejmować jedynie faktyczne koszty sporządzenia kopii, tj. koszt papieru, koszty kserowania.
7. Jeżeli wnioskodawca,  którego dane dotyczą,  zwraca się o kopię drogą elektroniczną  i jeżeli nie zaznaczy inaczej, informacji udziela się drogą elektroniczną po jednoznacznej weryfikacji tożsamości osoby np. podaniu daty urodzenia, podaniu innej informacji, która była podana we wcześniejszej korespondencji, a co do której można mieć pewność, że będzie ją posiadać jedynie osoba, której dane dotyczą.
8. Kopię danych, o której mowa w ust. 5, wydaje się w postaci wydruku danych po ich przepisaniu lub skopiowaniu do ustrukturyzowanego powszechnie używanego formatu nadającego się do odczytu maszynowego. Nie należy wydawać skanów dokumentów ani ich kserokopii, gdyż mogą zawierać dodatkowe dane niedotyczące osoby występującej z wnioskiem.
9. Prawo do uzyskania kopii, o której mowa w ust. 5, nie może niekorzystnie wpływać na prawa i wolności innych.

Art. 4.  Prawo do sprostowania danych

1. Każdej osobie, której dane są przetwarzane przez Administratora przysługuje prawo do sprostowania dotyczących jej danych osobowych, które są nieprawidłowe lub nieaktualne.
2. Ponadto osoba, której dane dotyczą ma prawo żądania uzupełnienia niekompletnych danych osobowych poprzez przedstawienie odpowiedniego oświadczenia.
3. Osoba upoważniona do przetwarzania danych przez Administratora, która w ramach wykonywanych zadań przetwarza dane osoby występującej z żądaniem z ust. 1 i 2, obowiązana jest dokonać weryfikacji przetwarzanych danych. Uzupełnienie tych danych następuje z uwzględnieniem celów przetwarzania.

4. Niniejsza procedura nie  znajduje zastosowania do prostowania danych  osobowych,  w odniesieniu do których tryb ich sprostowania lub uzupełnienia określają odrębne przepisy np. procedura sprostowania błędów i omyłek zawartych w decyzji administracyjnej w trybie art. 113 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (t.j. Dz. U. z 2024 r. poz. 572).

Art. 5. Prawo do żądania usunięcia danych

1. Osobie, której dane są przetwarzane przez Administratora przysługuje prawo żądania niezwłocznego usunięcia jej danych osobowych, a Administrator ma obowiązek bez zbędnej zwłoki usunąć dane osobowe, Powyższe prawo jest realizowane w przypadku gdy zostanie spełniona jedna z poniższych przesłanek:
   1. dane osobowe nie są już niezbędne do celów, w których zostały zebrane lub w inny sposób przetwarzane;
   2. osoba, której dane dotyczą, wycofała zgodę na przetwarzanie danych osobowych i nie istnieje inna podstawa przetwarzania danych;
   3. osoba, której dane dotyczą, zgłosiła sprzeciw wobec przetwarzania swoich danych i nie występują nadrzędne prawnie uzasadnione podstawy przetwarzania;
   4. dane osobowe były przetwarzane w sposób niezgodny z prawem;
   5. dane osobowe muszą zostać usunięte w celu wywiązania się z obowiązku prawnego przewidzianego w prawie Unii lub prawie państwa członkowskiego, któremu podlega Administrator.
2. Jeżeli dane osobowe zostały upublicznione, a na mocy ust. 1 istnieje obowiązek usunięcia tych danych osobowych, to (biorąc pod uwagę dostępną technologię i koszt realizacji) należy podjąć niezbędne działania by poinformować innych Administratorów przetwarzających te dane osobowe, że osoba fizyczna której dane dotyczą, żąda, by Administratorzy usunęli wszelkie odniesienia do tych danych, kopie tych danych osobowych lub ich kopie.
3. Prawo do żądania usunięcia danych nie ma zastosowania gdy przetwarzanie tych danych jest niezbędne do:
   1. korzystania z prawa do wolności wypowiedzi i informacji;

2. do wywiązania się z prawnego obowiązku wymagającego przetwarzania na mocy prawa Unii lub prawa państwa członkowskiego, któremu podlega Administrator, lub do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej Administratorowi;
3. do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych, o ile prawdopodobne jest, że realizacja uprawnienia do „bycia zapomnianym", uniemożliwi lub poważnie utrudni realizację celów takiego przetwarzania;
4. do ustalenia, dochodzenia lub obrony roszczeń.

 

Art. 6.  Prawo do żądania ograniczenia przetwarzania

1. Osoba, której dane są przetwarzane przez Administratora, ma prawo żądania ograniczenia przetwarzania jej danych osobowych, gdy:
   1. osoba, której dane dotyczą, kwestionuje prawidłowość danych osobowych (w tym przypadku ogranicza się przetwarzanie na okres pozwalający sprawdzić prawidłowość danych);
   2. przetwarzanie jest niezgodne z prawem, a osoba fizyczna, której dane dotyczą, sprzeciwia się usunięciu danych osobowych, żądając w zamian ograniczenia ich wykorzystywania;
   3. Administrator nie potrzebuje już danych osobowych do celów przetwarzania, ale są one potrzebne osobie, której dane dotyczą do ustalenia, dochodzenia lub obrony roszczeń;
   4. osoba fizyczna, której dane dotyczą, wobec przetwarzania wniosła sprzeciw (w tym przypadku ogranicza się przetwarzanie do czasu stwierdzenia, czy prawnie uzasadnione podstawy po stronie Administratora są nadrzędne wobec podstaw sprzeciwu).
2. Ograniczenie przetwarzania oznacza, że dane osobowe można jedynie przechowywać. Inne formy przetwarzania mogą mieć miejsce wyłącznie za zgodą osoby, której dane dotyczą lub w celu ustalenia, dochodzenia lub obrony roszczeń, lub w celu ochrony praw innej osoby fizycznej lub prawnej, lub z uwagi na ważne względy interesu publicznego Unii Europejskiej lub państwa członkowskiego.

3. Ograniczenia przetwarzania dokonuje się poprzez odpowiednie oznaczenie danych osobowych, których dotyczy żądanie, przetwarzanych zarówno w formie tradycyjnej, jak i elektronicznej, tak aby każda osoba upoważniona do przetwarzania danych była świadoma, że dane te można jedynie przechowywać.
4. Przed uchyleniem ograniczenia przetwarzania Administrator informuje o tym osobę, która żądała takiego ograniczenia.

Art. 7. Prawo do przeniesienia danych

1. Osoba, której dane są przetwarzane przez Administratora ma prawo do przeniesienia swoich danych, gdy podstawą ich przetwarzania jest udzielona zgoda, zawarta umowa oraz gdy przetwarzanie danych odbywa się w sposób zautomatyzowany (czyli przy użyciu systemów informatycznych).
2. Prawo do przeniesienia danych dotyczy tylko tych danych, które dana osoba dostarczyła wcześniej Administratorowi.
3. Prawo do przenoszenia danych oznacza w szczególności prawo do:
   1. otrzymania przez osobę, której dane dotyczą, w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego, danych osobowych jej dotyczących, które dostarczyła Administratorowi;
   2. prawo  przesłania   przez   osobę,   której   dane   dotyczą,   danych   osobowych   jej dotyczących, które dostarczyła Administratorowi, innemu  administratorowi,  bez przeszkód ze strony Administratora danych, o ile jest to technicznie możliwe.
4. Wykonywanie tego prawa nie może niekorzystnie wpływać na prawa i wolności innych osób.
5. Prawo   do   przenoszenia   danych   nie   ma   zastosowania   do   przetwarzania,  które jest niezbędne do wykonania zadania realizowanego w interesie  publicznym  lub w ramach sprawowania władzy publicznej powierzonej Administratorowi.

Art. 8. Prawo do wniesienia sprzeciwu wobec przetwarzania danych

1. Jeżeli przetwarzanie danych przez Administratora oparte jest na przesłance wykonania zadania realizowanego w interesie publicznym, jakim jest m.in. dostęp do informacji publicznej osoba, której dane dotyczą z przyczyn związanych z jej szczególną sytuacją, ma prawo w dowolnym momencie wnieść sprzeciw wobec przetwarzania dotyczących jej danych osobowych.
2. Administrator, po wniesieniu sprzeciwu przez osobę, której dane dotyczą powinien zaprzestać przetwarzania tych danych osobowych, chyba że wykaże on istnienie ważnych prawnie uzasadnionych podstaw do przetwarzania, nadrzędnych wobec interesów, praw i wolności osoby, której dane dotyczą, lub podstaw do ustalenia, dochodzenia lub obrony roszczeń.
3. W momencie złożenia sprzeciwu wobec przetwarzania Administrator niezwłocznie ogranicza przetwarzanie i weryfikuje czy istnieją ważniejsze uzasadnione podstawy do przetwarzania niż interes osoby wnioskującej.
4. Jeżeli Administrator posiada podstawę prawną, o której mowa powyżej, informuje osobę  wnioskującą  o odmowie  realizacji  prawa  wraz  z uzasadnieniem   decyzji.   W przypadku, gdy uzasadniona jest przesłanka do zrealizowania żądania, postępuje się zgodnie z ust. 2.

 

Art. 9.  Prawa i obowiązki związane z automatycznym podejmowaniem decyzji, w tym z profilowaniem

1. Jeżeli przetwarzanie danych osobowych przez Administratora wykorzystywane jest do oceny niektórych czynników osobowych osoby fizycznej, w szczególności do analizy lub prognozy aspektów dotyczących efektów pracy tej osoby fizycznej, jej sytuacji ekonomicznej, zdrowia, osobistych preferencji, zainteresowań, wiarygodności, zachowania, lokalizacji lub przemieszczania się wówczas dochodzi do profilowania.
2. Administrator   ma    obowiązek    informowania    osób,    których    dane    dotyczą   o zautomatyzowanym podejmowaniu decyzji (w tym profilowaniu) tj. w jaki sposób działają te praktyki i co one dla tych osób oznaczają. Informacja ta powinna być przekazana przy zbieraniu danych i w wykonaniu żądania dostępu do danych.