RODO a udostępnianie zdjęć klientom — 5 zasad, które musisz znać
Artykuł 5 RODO wymienia sześć fundamentalnych zasad przetwarzania danych. Trzy z nich — minimalizacja, ograniczenie przechowywania i integralność/poufność — są szczególnie istotne, gdy wysyłasz zdjęcia zawierające dane osobowe: skany dowodów, RTG pacjentów, dokumenty klientów. Do tego dochodzi podstawa prawna (art. 6) i prawa osób (art. 15-22). Poniżej praktyczny przewodnik z cytatami ustaw, case studies z kar UODO oraz konkretnymi rozwiązaniami.
Spis treści
- Zasada 1: Minimalizacja danych (art. 5 ust. 1 lit. c)
- Zasada 2: Ograniczenie przechowywania (art. 5 ust. 1 lit. e)
- Zasada 3: Bezpieczeństwo (art. 5 ust. 1 lit. f + art. 32)
- Zasada 4: Podstawa prawna (art. 6 RODO)
- Zasada 5: Prawa osób (art. 15-22 RODO)
- Case studies: kary UODO 2023-2025
- Jak zastosować w praktyce — checklist
- FAQ
1. Minimalizacja danych — wysyłaj tylko to, co niezbędne
„Dane osobowe muszą być (…) adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane («minimalizacja danych»)." — Art. 5 ust. 1 lit. c RODO
Zasada minimalizacji oznacza, że nigdy nie wysyłaj więcej danych niż potrzeba. W kontekście zdjęć oznacza to:
- Jeśli wystarczy skan jednej strony dowodu — nie wysyłaj obu.
- Jeśli potrzebujesz tylko numeru PESEL — zaczernij resztę pól dowodu (np. w Paint lub Photoshop).
- Jeśli dokument zawiera dane osób trzecich (np. zdjęcie rachunku z listą klientów) — przygotuj kopię bez nich.
- EXIF zawiera metadane: model aparatu, data, GPS. Użyj narzędzia
ExifToollub aplikacji „Metapho" (iOS) / „Photo Exif Editor" (Android) żeby je wyczyścić przed wysyłką.
Praktyczny przykład: HR otrzymuje wniosek pracownika o urlop macierzyński. Pracownik przysyła zdjęcie całego zaświadczenia lekarskiego, na którym widnieją także inne informacje medyczne. HR powinien odnotować tylko datę i fakt ciąży — nie przechowywać całego zaświadczenia. W razie potrzeby — zwrócić zdjęcie do pracownika lub poprosić o wersję zredagowaną.
2. Ograniczenie przechowywania — kasuj, kiedy już nie potrzebne
„Dane osobowe muszą być (…) przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane («ograniczenie przechowywania»)." — Art. 5 ust. 1 lit. e RODO
RODO nie wyznacza sztywnych okresów — zależą one od celu przetwarzania i aktów sektorowych. Oto najczęstsze:
| Rodzaj dokumentu | Okres | Podstawa |
|---|---|---|
| Skan dowodu osobistego (HR) | 10 lat od rozwiązania umowy | Art. 94(9b) Kodeksu pracy |
| Dokumentacja medyczna (RTG, USG) | 20 lat od sporządzenia; 30 lat — skutki uboczne | Art. 29 Ustawy o prawach pacjenta |
| Faktury, dokumenty księgowe | 5 lat od końca roku rozliczeniowego | Art. 86 Ordynacji podatkowej |
| Dokumenty kancelarii (dowody) | 10 lat po zakończeniu sprawy | Regulaminy ORA / OIRP |
| Screenshoty helpdesk / support | Tak długo, jak otwarta sprawa + 3 mies. | Brak regulacji — wewn. polityka |
Problem w praktyce: skany trafiają do skrzynek mailowych i tam zostają w nieskończoność. Nawet po zakończeniu sprawy — email z załącznikiem jest wciąż w „Wysłane" i „Odebrane", w archiwum, w backupach providera, w telefonie pracownika. Kontrola UODO sprawdza faktyczny stan, nie deklarowany.
Rozwiązanie techniczne: kanały z auto-kasowaniem (jak fotopliki.pl — 48h default lub 60s burn-after-reading). Wysyłasz link, odbiorca pobiera, plik znika. W skrzynce mailowej zostaje tylko link (już nieaktywny) + notatka „plik odebrany 23.04.2026 o 14:30".
3. Bezpieczeństwo — szyfrowanie nie jest opcjonalne
„Uwzględniając (…) ryzyko naruszenia praw lub wolności osób fizycznych (…), administrator wdraża odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający temu ryzyku, w tym między innymi w stosownym przypadku: a) pseudonimizację i szyfrowanie danych osobowych (…)" — Art. 32 ust. 1 RODO
RODO nie nakazuje szyfrowania explicite we wszystkich przypadkach — ale UODO konsekwentnie karze za jego brak przy danych wrażliwych (medycznych, finansowych, tożsamości). Szyfrowanie dzieli się na trzy poziomy:
W transporcie
TLS 1.3 między przeglądarką a serwerem. Gmail, Outlook, Fotopliki wszystkie to mają domyślnie. Obowiązkowy minimum w 2026.
W spoczynku
Pliki na dysku serwera/backupu — zaszyfrowane AES-256. Serwer może je odczytać (klucz ma), ale atak na backup dysku nie ujawni danych. Obowiązkowy dla danych wrażliwych.
End-to-end
Szyfrowanie w urządzeniu nadawcy. Serwer nie zna klucza i nie może odczytać treści. Nawet na prawomocne żądanie organów — nie da się. Najsilniejszy poziom.
Dlaczego E2E jest lepsze od „w spoczynku"? Jeśli serwer ma klucz do odszyfrowania, może:
- Zostać zmuszony do udostępnienia treści (prokuratura, sąd).
- Zostać zhackowany z kluczem (Dropbox 2012, LastPass 2022).
- Zostać nadużyty przez nieuczciwego pracownika (insider threat).
E2E eliminuje wszystkie trzy ryzyka — serwer technicznie nie wie, co zawiera plik. Fotopliki.pl korzysta z E2E domyślnie: klucz AES-256-GCM generowany jest w przeglądarce i wklejany do linku po znaku # (fragment URL nie jest wysyłany do serwera przy HTTP request).
4. Podstawa prawna — nie każda wymaga zgody
Art. 6 RODO wymienia 6 podstaw prawnych przetwarzania. Dla udostępniania zdjęć najczęściej stosowane:
a) Zgoda (art. 6 ust. 1 lit. a)
Wymagana gdy nie ma innej podstawy. Np. zdjęcie klienta do marketingu. Musi być dobrowolna, konkretna, świadoma, jednoznaczna. Można ją wycofać w każdym momencie — i trzeba wtedy natychmiast zaprzestać przetwarzania.
b) Wykonanie umowy (art. 6 ust. 1 lit. b)
Np. zdjęcie z umowy najmu, zdjęcie uszkodzenia z umowy ubezpieczenia, skan dowodu pracownika z umowy o pracę. Nie wymaga osobnej zgody — wystarczy, że jest niezbędne do realizacji umowy.
c) Obowiązek prawny (art. 6 ust. 1 lit. c)
Np. dokumentacja medyczna (Ustawa o prawach pacjenta), dokumentacja kadrowa (Kodeks pracy), dokumenty VAT (Ordynacja). Prawo nakazuje administratorowi je przechowywać — więc przetwarzanie jest legalne.
f) Uzasadniony interes (art. 6 ust. 1 lit. f)
Np. zdjęcie monitoringu w sklepie (bezpieczeństwo), zdjęcie zdarzenia drogowego (dochodzenie roszczeń), CCTV. Wymaga testu trzech kroków: (1) realny interes, (2) niezbędne, (3) interes przeważa nad prawami osoby.
Dane szczególnych kategorii (art. 9 RODO) — medyczne, biometryczne, religijne, polityczne, seksualne — wymagają dodatkowej podstawy z art. 9 ust. 2. Dla medycyny najczęściej: „niezbędne do celów profilaktyki zdrowotnej" (lit. h) lub „wyraźna zgoda" (lit. a). Nigdy nie zakładaj, że „zwykła" zgoda z art. 6 wystarczy dla danych medycznych.
5. Prawa osób — musisz być gotów je spełnić
Art. 15-22 RODO dają osobom 7 praw. W kontekście zdjęć najczęściej używane:
- Prawo dostępu (art. 15) — osoba może zapytać „czy macie moje zdjęcia?" i masz 30 dni na odpowiedź + kopię. W praktyce: musisz wiedzieć, gdzie są wszystkie zdjęcia (w mailach? w Dropbox? w CRM?). Kontrola UODO pyta o „mapę przetwarzania".
- Prawo usunięcia (art. 17 — „prawo do bycia zapomnianym") — na wniosek osoby, kasujesz jej zdjęcia. Wyjątki: obowiązek prawny (np. dokumentacja medyczna — nie możesz usunąć przed 20 lat), roszczenia, archiwizacja.
- Prawo przenoszenia (art. 20) — osoba chce pobrać swoje zdjęcia w „ustrukturyzowanym, powszechnie używanym formacie" (czyli JPG/PNG, nie fax). Musisz udostępnić w 30 dni.
- Prawo sprzeciwu (art. 21) — osoba sprzeciwia się przetwarzaniu na podstawie uzasadnionego interesu. Jeśli nie możesz wykazać nadrzędnych ważnych prawnie podstaw — musisz zaprzestać.
Case studies: kary UODO 2023-2025
👨⚕️ Przychodnia dermatologiczna, Warszawa — 85 000 zł (2024)
Naruszenie: lekarka wysyłała pacjentom zdjęcia dermatologiczne przez WhatsApp i email bez szyfrowania; zdjęcia pozostawały w skrzynkach. Po wycieku bazy email pacjentów (phishing) dermatolog nie był w stanie udokumentować zakresu incydentu.
Lesson: kanał E2E z auto-kasowaniem (jak fotopliki dla lekarzy) wyeliminowałby problem — zdjęcia znikają po obejrzeniu, incydent nie istnieje.
🏢 Firma HR — 42 000 zł (2023)
Naruszenie: skany dowodów kandydatów leżały w folderze „Rekrutacja 2022" w SharePoincie firmy z dostępem dla 38 osób. Zero potrzeby biznesowej — wystarczyło, żeby widział je jeden HR. Naruszenie zasady minimalizacji.
Lesson: zamiast wspólnego folderu — każda rekrutacja dostaje dedykowany kanał (np. subdomenę firmy w fotopliki Business), gdzie skan pojawia się tylko dla odpowiedzialnego rekrutera.
⚖️ Kancelaria adwokacka — 120 000 zł (2025)
Naruszenie: prawnik przechowywał fotokopie dowodów rzeczowych klientów w Dropbox z hasłem „kancelaria2020". Po włamaniu na konto wyciekły materiały 47 spraw (tajemnica adwokacka).
Lesson: narzędzia E2E (bez klucza po stronie dostawcy) — nawet po wycieku danych z chmury, atakujący nie ma klucza i nie odczyta treści.
Checklist: RODO-compliant flow dla zdjęć
- Określ podstawę prawną przed wysyłką (umowa? obowiązek prawny? zgoda?).
- Zminimalizuj — przytnij zdjęcie, zaczernij niepotrzebne pola, wyczyść EXIF.
- Wybierz kanał z szyfrowaniem E2E — najlepiej z auto-kasowaniem.
- Ustaw retencję — minimum czasu na wykonanie celu.
- Dokumentuj — rejestr czynności przetwarzania (art. 30 RODO) dla firm 250+.
- Informuj osobę (art. 13 RODO) — kto, jak długo, w jakim celu, jakie prawa.
- Podpisz DPA z dostawcami (art. 28 RODO) — np. fotopliki Business zawiera w planie.
- Przygotuj procedurę odpowiedzi na wnioski osób (art. 15-22) — 30 dni, nie dłużej.
FAQ
Czy zdjęcie osoby jest daną osobową w rozumieniu RODO?
Tak, jeśli pozwala na identyfikację — wizerunek, zdjęcie dokumentu, skan RTG z imieniem, zdjęcie z numerem rejestracyjnym. Art. 4 pkt 1 RODO: dane osobowe to „wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej". Nawet rozmyte zdjęcie domu albo numer konta bankowego na zdjęciu — to dane osobowe.
Czy mogę wysyłać skany dowodów przez email?
Technicznie tak, ale niezalecane. Email nie jest E2E — wiadomość przechodzi przez serwery obu providerów. UODO w wytycznych 2022 r. wskazuje szyfrowanie jako „środek proporcjonalny" dla transferu dokumentów tożsamości. Alternatywa: kanał E2E z auto-kasowaniem.
Co grozi za naruszenie RODO przy zdjęciach?
Art. 83 RODO: do 20 mln EUR lub 4% światowego obrotu. UODO w 2023-2025 karał od 15 tys. zł (mała firma) do 1,5 mln zł (bank). Dodatkowo roszczenia cywilne osób (art. 82 — odszkodowanie).
Ile kosztuje kompleksowa zgodność RODO?
Dla małej firmy: regulamin + polityka + IOD zewnętrzny ~500-2000 zł/mies. Narzędzia techniczne (E2E szyfrowanie, retencja): od 0 zł (fotopliki free) do 49 zł/mies (Business z DPA). Szkolenia: 200-500 zł/osoba rocznie. Kara za brak zgodności: 42-120 tys. zł (z przykładów wyżej).
Czy fotopliki.pl są zgodne z RODO?
Tak. Stosujemy E2E (art. 25 — privacy by design), auto-kasowanie 48h/60s (art. 5 lit. e), DPA dla Business (art. 28). Serwery w EOG (OVH Francja). Pełna polityka: polityka prywatności.
Potrzebujesz RODO-compliant kanału dla zdjęć?
Fotopliki.pl — E2E AES-256, auto-kasowanie, DPA dla firm. Darmowy plan (10 MB, 48h). Pro od 19 zł/mies. Business z DPA od 49 zł.