Zasada minimalizacji danych osobowych – kiedy mniej znaczy więcej

W erze cyfrowej transformacji niemal każda organizacja – od małej firmy po instytucję publiczną – przetwarza dane osobowe w relacjach z klientami, pracownikami czy użytkownikami usług online. W tym kontekście bardzo ważne jest odpowiedzialne i zgodne z prawem zarządzanie informacjami – w szczególności poprzez przestrzeganie zasady minimalizacji danych osobowych, wynikającej z art. 5 ust. 1 lit. c RODO.

Dlaczego zasada minimalizacji jest tak ważna?

Zasada minimalizacji to jedno z fundamentalnych narzędzi, jakie oferuje RODO. Jej celem jest ograniczenie przetwarzania danych wyłącznie do tych, które są adekwatne, stosowne i niezbędne do realizacji konkretnego celu.

Choć na pierwszy rzut oka może się wydawać prosta, ma ona ogromne znaczenie — zarówno dla osób, których dane dotyczą, jak i dla podmiotów je przetwarzających. W świecie, w którym dane są podstawą niemal każdej usługi, transakcji czy kontaktu z klientem, łatwo wpaść w pułapkę gromadzenia ich „na wszelki wypadek”. Zasada minimalizacji ma nas tego oduczyć.

Dane adekwatne, stosowne i ograniczone – czyli jakie?

Adekwatne – to dane wystarczające do realizacji celu, ale nie nadmiarowe. Na przykład w procesie rekrutacji wystarczające będą dane identyfikacyjne i informacje o doświadczeniu zawodowym. Pytania o stan cywilny czy sytuację rodzinną są w tym kontekście nieadekwatne, więc powinniśmy z nich zrezygnować. W e-commerce adekwatny będzie adres dostawy, ale numer PESEL już nie, więc nie pytajmy o niego klienta.

Stosowne – oznacza, że dane muszą być właściwe i pozostawać w związku z celem przetwarzania. Przykładowo: formularz kontaktowy nie powinien wymagać adresu zamieszkania – wystarczy adres e-mail. Przetwarzanie danych niemających uzasadnienia w danym kontekście narusza zasadę minimalizacji.

Niezbędne – to dane, bez których osiągnięcie celu nie jest możliwe. Jeśli do logowania wystarczy hasło, to odcisk palca jest już nadmiarowy. Podobnie, wysyłka newslettera wymaga wyłącznie adresu e-mail – imię, nazwisko czy numer telefonu nie są konieczne.

Wytyczne Europejskiej Rady Ochrony Danych oraz orzecznictwo wskazują, że adekwatność i niezbędność powinniśmy oceniać. Nie zawsze chodzi o absolutne minimum, lecz o to, by przetwarzane dane miały rzeczywisty związek z celem. Do typowych błędów należą: gromadzenie danych „na zapas”, kopiowanie dowodów osobistych bez wyraźnej potrzeby, brak rozróżnienia między polami obowiązkowymi i opcjonalnymi w formularzach oraz przechowywanie danych po ustaniu celu ich przetwarzania.

A jakie to ma znaczenie?

Z punktu widzenia użytkownika zasada minimalizacji to gwarancja, że nie gromadzimy jego danych w nadmiarze, nie trafiają one do systemów bez potrzeby i nie są wykorzystywane do niejasnych celów. To daje poczucie kontroli i bezpieczeństwa.

Z kolei organizacji – niezależnie od tego, czy jest to firma, urząd, szkoła czy fundacja – stosowanie zasady minimalizacji pozwoli uniknąć problemów prawnych, wizerunkowych czy organizacyjnych.

Przestrzeganie tej zasady:

• zmniejsza ryzyko naruszeń danych – im mniej danych przetwarzamy, tym mniejsze ryzyko ich wycieku w razie incydentu,
• upraszcza realizację praw osób fizycznych – łatwiej jest znaleźć, udostępnić lub usunąć dane, gdy ich zakres jest ograniczony,
• porządkuje systemy i dokumentację – mniej informacji to mniejsze ryzyko błędów i mniej pracy przy ich aktualizacji,
• buduje zaufanie klientów i użytkowników – pokazuje, że zbieramy tylko to, co naprawdę niezbędne, bez zbędnej ingerencji w prywatność.

Co ważne, zasada minimalizacji uzupełnia inną ważną zasadę wynikającą z RODO – zasadę celowości. Gdy nie mamy jasno określonego celu przetwarzania, trudno ocenić, które dane są nam rzeczywiście potrzebne. W takiej sytuacji łatwo wpaść w dobrze znaną pułapkę zbierania informacji „na zapas” – bez uzasadnienia. A to stanowi naruszenie przepisów i wiąże się z ryzykiem sankcji.

Warto też pamiętać o psychologicznym aspekcie odbioru. Dobrze zaprojektowany formularz – przejrzysty, ograniczony do niezbędnych danych i szanujący prywatność – buduje zaufanie. Użytkownicy chętniej podają adres e‑mail, gdy widzą, że nie pytamy ich o PESEL, datę urodzenia czy nazwę pracodawcy.

Jak wdrażać zasadę minimalizacji?

Zbieranie danych osobowych to codzienna praktyka – od formularzy kontaktowych po umowy i rejestracje online. W natłoku zadań łatwo jednak przeoczyć, że pytamy o informacje, które nie są naprawdę potrzebne.

Często nie wynika to ze złej woli, a z przyzwyczajeń. Sięgamy po gotowe wzory, kopiujemy wcześniejsze rozwiązania albo opieramy się na procedurach, które nie były aktualizowane od dłuższego czasu.

Zasada minimalizacji pomaga uporządkować to podejście. Nie polega na ograniczaniu informacji „na siłę”. Dobrą wiadomością jest to, że jej wdrożenie nie wymaga kosztownych narzędzi ani skomplikowanych procedur. Wystarczy projektować zgodnie z zasadami privacy by design i privacy by default.

Privacy by design i privacy by default – co to właściwie znaczy?

W RODO znajdziemy dwa ważne pojęcia, które wspierają wdrażanie zasady minimalizacji: privacy by design i privacy by default (art. 25 RODO). Choć brzmią bardzo technicznie, w praktyce są bardzo proste i przydatne.

Privacy by design, czyli ochrona danych już na etapie projektowania, oznacza, że prywatność powinna być uwzględniana od samego początku – zanim jeszcze zaczniemy zbierać dane. Jeśli tworzysz formularz, proces rekrutacji albo nowy system, zadaj sobie pytanie: czy i jakie dane są Ci naprawdę potrzebne? I dopiero na tej podstawie projektuj rozwiązanie.

Privacy by default, czyli domyślna ochrona prywatności, to zasada, zgodnie z którą użytkownik nie musi sam ograniczać ilości przekazywanych danych – to Ty jako administrator danych masz obowiązek tak zaprojektować rozwiązanie, by domyślnie przetwarzać ich możliwie jak najmniej.

Projektuj formularze z myślą o minimum

Formularze to jedno z miejsc, w których najczęściej dochodzi do zbierania zbyt wielu danych. Dlatego warto trzymać się kilku prostych zasad:

• Zbieraj tylko to, co naprawdę niezbędne – świadomie przemyśl każde pole.
• Wyraźnie oznaczaj pola obowiązkowe i opcjonalne – użytkownik powinien wiedzieć, które dane są konieczne, a które dobrowolne.
• Wyjaśniaj, po co zbierasz daną informację – przejrzystość buduje zaufanie.

Dbaj o bezpieczeństwo danych i przechowuj je zgodnie z celem

Minimalizacja dotyczy nie tylko tego, jakie dane zbieramy, ale również jak długo je przetwarzamy i przechowujemy.

Po osiągnięciu celu:

• powinniśmy usunąć dane, lub
• zanonimizować je – jeśli mają pozostać w systemie do celów statystycznych czy analitycznych, ale bez możliwości identyfikacji osoby.

Warto opracować prostą politykę retencji danych – czyli zasady, które określają:

• jak długo przechowywane są dane klientów, kandydatów czy uczestników wydarzeń,
• kto odpowiada za ich przegląd i usuwanie,
• w jaki sposób i w jakim momencie dane są usuwane lub archiwizowane.

Nie musi to być rozbudowany dokument – najważniejsze, by każdy w organizacji wiedział, co dzieje się z danymi, kiedy przestają być potrzebne.

Wykorzystuj dane tylko w tym celu, w którym je zbierałeś

Częstym błędem jest założenie, że skoro dane już znajdują się w systemie, można je wykorzystywać do innych celów. Tymczasem, jeśli planujemy użyć danych w innym celu, niż ten, w którym je zbieraliśmy, powinniśmy przeanalizować:

• czy nowy cel jest zbliżony do pierwotnego i mieści się w uzasadnionych oczekiwaniach osoby, której dane dotyczą (np. kontakt po zakupie w sprawie realizacji zamówienia),
• czy potrzebna jest nowa podstawa prawna – najczęściej zgoda (np. zapis na newsletter, przechowywanie CV po zakończonej rekrutacji).

Przykłady sytuacji, w których konieczne może być uzyskanie nowej zgody:

• użycie adresu e-mail podanego do faktury do wysyłki materiałów marketingowych,
• przechowywanie CV po zakończeniu konkretnego procesu rekrutacyjnego w celu wykorzystania w przyszłości.

Dobrą praktyką jest dokumentowanie takich decyzji – np. w rejestrze czynności przetwarzania lub w ramach oceny skutków dla ochrony danych (DPIA).

Ryzyka związane z przetwarzaniem danych nadmiarowych

Im więcej danych zbieramy i przechowujemy, tym większe ryzyko i skutki ewentualnego incydentu. Wyciek adresu e-mail to jedno, ale jeśli ujawnimy numer PESEL, dane zdrowotne czy zawodowe, stwarzamy realne zagrożenie dla prywatności danej osoby.

Każda dodatkowa informacja to dla nas większa odpowiedzialność. A trzeba pamiętać, że nawet przy dobrych zabezpieczeniach zawsze istnieje ryzyko błędu ludzkiego, włamania do systemu czy nieprawidłowej konfiguracji.

Wykorzystanie danych niezgodnie z pierwotnym celem

Jeśli gromadzimy dane na zapas i przechowujemy je przez długi czas, rośnie ryzyko, że w pewnym momencie wykorzystamy je w sposób, którego użytkownik się nie spodziewał – np. do profilowania, analiz, marketingu czy automatycznego oceniania. To szczególnie istotne dziś, gdy rośnie popularność rozwiązań opartych na AI.

W praktyce możemy np.:

• wysłać ofertę do osoby, która nie wyraziła zgody na komunikację marketingową danym kanałem komunikacji;

Chodzi o sytuację, w której np. mamy czyjś adres e-mail, bo zrobił u nas zakupy, ale nie zapisał się na newsletter. Mimo to wysyłamy mu ofertę – a to narusza przepisy, bo zgoda (w myśl ustawy z dnia 12 lipca 2024 r. - Prawo komunikacji elektronicznej) jest wymagana.

• podzielić klientów na grupy na podstawie danych, które wcale nie były potrzebne (np. zawodu czy sytuacji rodzinnej);

To przykład tzw. profilowania. Zebraliśmy dane „przy okazji” (np. zawód), a później używamy ich do segmentacji klientów – mimo że te dane nie były potrzebne do pierwotnego celu (np. sprzedaży).

• zachować CV po zakończonej rekrutacji i wykorzystać je później – bez poinformowania kandydata;

Jeśli kandydat aplikował do konkretnego ogłoszenia, a my trzymamy jego dane na później do innych rekrutacji, musimy mieć na to zgodę. Inaczej naruszamy zasadę celowości i zgodności przetwarzania.

Takie działania mogą podważać zaufanie i prowadzić do naruszenia przepisów – a co za tym idzie, zwiększyć naszą odpowiedzialność prawną.

Więcej danych to większe obciążenie organizacyjne

Dane trzeba nie tylko przechowywać, ale też chronić, aktualizować, udostępniać na wniosek osoby, od której je pozyskaliśmy a ostatecznie – bezpiecznie usunąć. Im więcej danych w systemie, tym:

• większe koszty zarządzania nimi,
• większe ryzyko błędów i opóźnień,
• większy wysiłek przy audytach, wnioskach i rozliczeniach.

Z punktu widzenia organizacji – mniej danych to po prostu mniej pracy i mniejsze ryzyko operacyjne.

Zarządzanie wiedzą i praktyką w organizacji

Zasada minimalizacji nie zadziała w praktyce, jeśli nie zaangażujemy osób, które na co dzień przetwarzają dane. Dlatego naszym zadaniem jest zapewnienie odpowiedniego poziomu wiedzy w organizacji – zarówno poprzez szkolenia, jak i proste, praktyczne instrukcje.

Każdy pracownik powinien wiedzieć:

• jakie dane może zbierać,
• w jakim celu może je wykorzystywać,
• jak długo wolno je przechowywać.

Bo tak naprawdę to od codziennych decyzji poszczególnych osób zależy, czy minimalizacja będzie rzeczywiście przestrzegana.

Co grozi za naruszenie zasady minimalizacji?

Naruszenie zasady minimalizacji może prowadzić do poważnych konsekwencji – zarówno prawnych, jak i wizerunkowych. Zgodnie z art. 83 ust. 5 RODO, złamanie podstawowych zasad przetwarzania danych – takich jak legalność, rzetelność, celowość czy właśnie minimalizacja – może skutkować administracyjną karą pieniężną do 20 milionów euro lub do 4% całkowitego rocznego obrotu.

Co istotne, odpowiedzialność może dotyczyć nie tylko sytuacji, w której przetwarzamy dane w sposób niezgodny z przepisami. Równie poważne ryzyko pojawia się wtedy, gdy nie wdrożymy odpowiednich środków organizacyjnych, które miałyby temu zapobiegać.

Dotyczy to m.in.:

• braku polityki retencji,
• niewystarczającego przeszkolenia pracowników,
• braku kontroli nad zakresem zbieranych danych.

Oprócz sankcji finansowych, konsekwencje mogą obejmować:

• obowiązek usunięcia danych,
• zakaz dalszego przetwarzania,
• a także skutki trudniejsze do naprawienia – takie jak utrata zaufania klientów, partnerów biznesowych i opinii publicznej.

W wielu przypadkach to właśnie utrata reputacji może okazać się najbardziej kosztowna.

Biometria w szkolnej stołówce

Jednym z najbardziej znanych przypadków naruszenia zasady minimalizacji w Polsce była sprawa szkoły podstawowej w Gdańsku. Placówka wykorzystywała czytniki biometryczne do identyfikacji uczniów korzystających ze stołówki. Celem było usprawnienie procesu wydawania posiłków, jednak Prezes UODO uznał, że stosowanie danych biometrycznych – w tym odcisków palców – było środkiem nieproporcjonalnym do celu.

W decyzji wskazano, że możliwe były mniej inwazyjne metody identyfikacji, np. karty lub listy obecności. Przetwarzanie danych szczególnej kategorii – dotyczących dzieci – nie było uzasadnione. Szkoła została ukarana karą w wysokości 20 000 zł i zobowiązana do zaprzestania przetwarzania danych biometrycznych.

By wysłać Ci paczkę, potrzebujemy Twojego numeru... PESEL

W 2019 roku spółka Morele.net – jedna z największych firm e-commerce w Polsce – została ukarana administracyjną karą pieniężną w wysokości ponad 2,8 mln zł. Bezpośrednim powodem było naruszenie obowiązku zapewnienia odpowiedniego poziomu bezpieczeństwa danych, co doprowadziło do wycieku informacji o ok. 2,2 mln klientów.

Jednak na ocenę incydentu wpłynęło również to, jakie dane firma przetwarzała. Wśród informacji znajdowały się m.in. numery PESEL, które – zdaniem Prezesa UODO – nie były niezbędne do realizacji zamówień i nie powinny były być gromadzone. Ich obecność w systemie pogłębiła skalę naruszenia, ponieważ ujawniono dane, które w ogóle nie powinny być przetwarzane.

Z pamiętnika pracownika

Jednym z najgłośniejszych przykładów naruszenia zasady minimalizacji na poziomie europejskim była sprawa niemieckiego oddziału firmy H&M. Przez kilka lat przełożeni zbierali informacje o życiu prywatnym pracowników – dotyczące m.in. stanu zdrowia, sytuacji rodzinnej czy samopoczucia po powrocie z urlopu. Dane te nie były pozyskiwane w formalny sposób, lecz podczas codziennych rozmów – a następnie zapisywane i przekazywane dalej w strukturach kierowniczych. Były wykorzystywane m.in. przy podejmowaniu decyzji kadrowych.

Niemiecki organ nadzorczy uznał to za rażące naruszenie zasady minimalizacji i prywatności pracowników. W efekcie nałożono administracyjną karę pieniężną w wysokości 35,3 mln euro – jedną z najwyższych w historii europejskiego nadzoru nad danymi osobowymi.

Czasem mniej naprawdę znaczy więcej

Zasada minimalizacji danych osobowych to jeden z filarów odpowiedzialnego przetwarzania – i jeden z tych obowiązków, który realnie przekłada się na codzienne decyzje w organizacji. Jej stosowanie ogranicza ryzyko prawne i operacyjne, wzmacnia przejrzystość i buduje zaufanie – zarówno wewnątrz, jak i na zewnątrz firmy.

Co ważne, wdrożenie tej zasady nie wymaga zaawansowanych narzędzi ani skomplikowanych procedur. To przede wszystkim kwestia podejścia: po co zbieramy dane, jak długo ich potrzebujemy, jak je wykorzystujemy – i czy jesteśmy w stanie to uzasadnić.

W świecie, w którym dane osobowe są fundamentem wielu procesów biznesowych, mniej naprawdę znaczy więcej: więcej kontroli, więcej porządku, więcej zaufania – zarówno po stronie organizacji, jak i osób, których dane dotyczą.

Starszy Prawnik Łukasz Wyrzykowski

specjalista w zakresie ochrony danych osobowych, Sawaryn i Partnerzy Kancelaria Prawna

---

Bibliografia:

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (RODO).

Wytyczne Europejskiej Rady Ochrony Danych (EROD) 4/2019 w sprawie art. 25 RODO: Ochrona danych osobowych w fazie projektowania (Privacy by Design) i domyślna ochrona danych (Privacy by Default).

Wytyczne Europejskiej Rady Ochrony Danych (EROD) 07/2020 w sprawie zasad ochrony danych osobowych – adekwatność, stosowność i niezbędność danych.

Decyzja Prezesa UODO z 18 lutego 2020 r. (sygn. ZSZZS.440.768.2018) – kara pieniężna dla szkoły podstawowej w Gdańsku za niezgodne z prawem przetwarzanie danych biometrycznych uczniów.

Decyzja Prezesa UODO wobec Morele.net – kara za niewystarczające zabezpieczenia i wyciek danych osobowych klientów, w tym przetwarzanie danych nadmiarowych.

Decyzja hamburskiego organu ochrony danych osobowych (HmbBfDI) wobec H&M – kara 35,3 mln euro za nielegalne gromadzenie danych o życiu prywatnym pracowników.

Motywy 39, 65 i 78 RODO – dotyczące zasad minimalizacji, ograniczenia przechowywania danych oraz obowiązku uwzględniania ochrony danych w fazie projektowania systemów.

Wyrok Trybunału Sprawiedliwości UE w sprawie Tele2 Sverige AB (C-203/15) i wyrok TSUE w sprawie La Quadrature du Net (C-511/18) – dotyczące zasady proporcjonalności przy gromadzeniu danych osobowych.

Oficjalne stanowiska i rekomendacje Urzędu Ochrony Danych Osobowych (UODO), m.in. w zakresie zasad minimalizacji danych w rekrutacji, przetwarzaniu danych biometrycznych oraz projektowaniu procesów przetwarzania danych.

Krajowe i europejskie orzecznictwo sądowe dotyczące naruszeń zasady minimalizacji danych osobowych (m.in. Wojewódzki Sąd Administracyjny w Warszawie w sprawie szkoły podstawowej).