Zasada minimalizacji danych polega na tym, że administrator zbiera i przetwarza wyłącznie te dane osobowe, które są adekwatne, stosowne i ograniczone do tego, co niezbędne do osiągnięcia konkretnego celu przetwarzania. Podstawę stanowi art. 5 ust. 1 lit. c RODO, a naruszenie tej zasady należy do najwyżej sankcjonowanej kategorii uchybień, zagrożonej karą do 20 mln euro lub 4% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego (zastosowanie ma kwota wyższa).
Spis treści
Czym jest zasada minimalizacji danych i na czym polega?
Zgodnie z art. 5 ust. 1 lit. c RODO dane osobowe muszą być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane. Oznacza to konkretny obowiązek: przed rozpoczęciem zbierania danych administrator musi ustalić cel przetwarzania, a dopiero potem dobrać do niego zakres danych, nie odwrotnie. Jeśli cel da się osiągnąć mniejszą liczbą danych albo mniej szczegółowymi danymi, zbieranie dodatkowych informacji stanowi naruszenie tej zasady, nawet jeśli administrator ma do przetwarzania podstawę prawną z art. 6 RODO.
Jak zasada minimalizacji danych łączy się z innymi zasadami RODO?
Minimalizacja nie działa w oderwaniu od pozostałych zasad z art. 5 RODO. Ściśle wiąże się z zasadą ograniczenia celu, ponieważ to precyzyjnie zdefiniowany cel wyznacza, jak szeroki zakres danych jest w ogóle uzasadniony. Przeplata się również z zasadami prawidłowości i ograniczenia przechowywania – dane zebrane w nadmiarze znacznie trudniej aktualizować oraz weryfikować pod kątem terminów ich usunięcia. Dopełnieniem tego układu jest rozliczalność z art. 5 ust. 2 RODO, która wymaga wykazania, że administrator faktycznie przestrzega poszczególnych zasad. Zrozumienie tego, na czym polega RODO, opiera się właśnie na dostrzeżeniu spójności pomiędzy wszystkimi wymienionymi filarami.
Test niezbędności - jak sprawdzić, czy dane są potrzebne?
Praktyczne stosowanie zasady minimalizacji sprowadza się do testu złożonego z trzech pytań, zadawanych w tej kolejności dla każdego pola danych z osobna, nie dla całego formularza naraz.
Pierwsze pytanie dotyczy celu: jaki konkretny, pojedynczy cel realizuje dane pole? Cel musi być jednoznaczny i możliwy do zweryfikowania, na przykład „dostarczenie zamówionego towaru pod wskazany adres”, a nie ogólnikowe „lepsza obsługa klienta” czy „analizy wewnętrzne”.
Drugie pytanie dotyczy konieczności: czy bez tego konkretnego pola cel w ogóle da się zrealizować? Jeśli usunięcie pola nie uniemożliwia realizacji celu, pole jest zbędne i trzeba je usunąć z formularza, niezależnie od tego, jak bardzo mogłoby się „przydać” w przyszłości do czegoś, co nie zostało jeszcze zdefiniowane jako osobny cel.
Trzecie pytanie dotyczy zakresu szczegółowości: spośród pól, które przeszły drugi test i są rzeczywiście niezbędne, czy istnieje ich mniej szczegółowa lub mniej wrażliwa wersja, która nadal pozwala zrealizować ten sam cel? Przykład: do weryfikacji pełnoletności wystarczy rok urodzenia, a nie pełna data urodzenia; do identyfikacji zamówienia wystarczy jego numer, a nie numer PESEL klienta.
Minimalizacja przetwarzania danych w praktyce - najczęstsze procesy
Zasada minimalizacji dotyczy każdego procesu, w którym pojawia się formularz, ankieta, system informatyczny czy baza kontaktów, ale w praktyce najczęściej ujawnia swoje naruszenia w kilku powtarzalnych, dobrze rozpoznawalnych obszarach.
Rekrutacja i formularze aplikacyjne
Formularze rekrutacyjne często zawierają pola o stanie cywilnym, liczbie i wieku dzieci, wyznaniu, hobby czy zdjęciu kandydata, choć żadna z tych informacji nie jest potrzebna do oceny kwalifikacji zawodowych. Katalog danych, których pracodawca może żądać od kandydata na etapie rekrutacji, wyznacza wprost art. 22¹ Kodeksu pracy i ogranicza się do imienia (imion), nazwiska, daty urodzenia i danych kontaktowych, a gdy jest to niezbędne do wykonywania pracy na danym stanowisku – także wykształcenia, kwalifikacji zawodowych oraz przebiegu dotychczasowego zatrudnienia. Żądanie dodatkowych danych, na przykład stanu cywilnego czy zdjęcia, pod pretekstem, że „tak jest wygodniej ocenić kandydata”, jest jednym z najczęstszych błędów rekruterów. Inaczej wygląda sytuacja, gdy kandydat sam, z własnej inicjatywy, dołączy takie informacje do CV – wówczas podstawą ich przetwarzania może być jego zgoda (art. 22¹a i art. 22¹b Kodeksu pracy).
Marketing, newslettery i programy lojalnościowe
Zapis do newslettera wymaga w praktyce jedynie adresu e-mail, a mimo to formularze zapisu regularnie żądają numeru telefonu, daty urodzenia czy adresu zamieszkania, których sama wysyłka wiadomości e-mail w ogóle nie wymaga. Podobny problem dotyczy programów lojalnościowych: formularz rejestracyjny często wymaga podania płci, daty urodzenia czy numeru telefonu jako pól obowiązkowych, choć do naliczania punktów za zakupy wystarczy sam identyfikator klienta i historia transakcji, a data urodzenia jest uzasadniona wyłącznie wtedy, gdy program rzeczywiście wysyła rabat urodzinowy. Każde dodatkowe pole trzeba umieć uzasadnić osobnym, konkretnym celem, a nie ogólnym „może się przydać do analiz”.
Formularze kontaktowe i zakładanie kont klientów
Formularz kontaktowy na stronie internetowej wymaga jedynie podstawowych danych, takich jak imię, adres e-mail oraz treść wiadomości, a zakładanie konta w sklepie internetowym nie stwarza potrzeby pobierania numeru PESEL ani serii dokumentu tożsamości, jeśli nie wynika to z odrębnych przepisów, na przykład podatkowych czy rachunkowych przy wystawianiu faktur. Podobnie data urodzenia bywa zbierana rutynowo przy rejestracji konta, mimo że do samej realizacji zamówienia pozostaje zbędna, a przydaje się dopiero wtedy, gdy sklep prowadzi sprzedaż produktów z ograniczeniem wiekowym.
Systemy kadrowe, grafiki i monitoring pracowników
Systemy kontroli dostępu do biura czy rejestracji czasu pracy bywają oparte na odcisku palca lub skanie linii papilarnych, choć do tego samego celu wystarczy karta zbliżeniowa lub kod PIN. Dane biometryczne to dane szczególnej kategorii, więc ich wykorzystanie wymaga wyraźnie mocniejszego uzasadnienia niż samo „tak jest wygodniej”, a Kodeks pracy dodatkowo ogranicza, kiedy pracodawca w ogóle może po nie sięgnąć. Podobny problem dotyczy monitoringu wizyjnego w miejscu pracy: kamery obejmujące swoim zasięgiem więcej pomieszczeń albo dłuższy okres przechowywania nagrań, niż wymaga tego cel ochrony mienia lub kontroli produkcji, to jeden z najczęściej wskazywanych przez UODO przykładów naruszenia minimalizacji przy monitoringu pracowniczym.
Co oznacza termin “minimalizacja przetwarzanych danych”?
W praktyce prawniczej termin ten obejmuje trzy powiązane wymogi wobec danych: adekwatność, czyli faktyczne przełożenie danych na realizację celu; stosowność, czyli logiczny związek danych z tym celem; oraz ograniczenie do tego, co niezbędne, czyli zakaz zbierania danych „na wszelki wypadek”. Wszystkie trzy elementy muszą być spełnione łącznie, a nie alternatywnie.
Jakie są typowe naruszenia zasady minimalizacji danych?
Najczęstszym błędem jest zbieranie danych „na zapas”, czyli pod hasłem, że mogą się kiedyś przydać, mimo braku konkretnego celu w chwili ich pozyskania. Drugim typowym naruszeniem jest łączenie kilku różnych celów w jednym formularzu bez rozróżnienia, które pole służy któremu z nich, przez co ostateczny zakres danych odpowiada sumie wszystkich celów naraz, zamiast każdemu z osobna. Trzecim źródłem problemów jest kopiowanie cudzych formularzy lub gotowych szablonów bez analizy, czy wszystkie zawarte w nich pola są rzeczywiście potrzebne w danym procesie. Czwartym, rzadziej dostrzeganym naruszeniem jest przechowywanie pełnej kopii dokumentu, na przykład skanu dowodu osobistego, tam gdzie wystarczyłoby odnotowanie pojedynczej informacji, którą ten dokument potwierdza.
Zasada minimalizacji danych RODO w decyzjach UODO - dlaczego ma tak duże znaczenie?
Znaczenie tej zasady najlepiej widać nie w teorii, lecz w tym, ile kosztuje jej zlekceważenie i czego dokładnie każda z poniższych spraw uczy o granicach dozwolonego zakresu danych.
Skanowanie dokumentów tożsamości przez bank
Prezes UODO nałożył na jeden z banków komercyjnych działających w Polsce karę w wysokości 18 416 400 zł (decyzja z 23 lipca 2025 r., sygn. DKN.5112.6.2020) za przetwarzanie bez podstawy prawnej danych osobowych pozyskiwanych przez kopiowanie dokumentów tożsamości klientów i potencjalnych klientów w okresie od 1 kwietnia 2019 r. do 23 września 2020 r. Bank nie weryfikował za każdym razem, czy skanowanie dokumentu było rzeczywiście uzasadnione obowiązkami wynikającymi z ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, przez co przetwarzał dane szerzej, niż wymagały tego przepisy. To jak dotąd najwyższa kara nałożona w Polsce bezpośrednio za naruszenie zasady minimalizacji danych, a jej znaczenie polega na tym, że ogólna podstawa do danego rodzaju działania nie zwalnia z obowiązku każdorazowej oceny, czy w konkretnym przypadku zakres pozyskiwanych danych rzeczywiście jest niezbędny.
Brak analizy ryzyka i pseudonimizacji w systemie kadrowym
W innej sprawie (decyzja z 23 czerwca 2025 r., sygn. DKN.5130.4179.2020) Prezes UODO nałożył karę w wysokości 16 932 657 zł na dużą sieć gastronomiczną działającą w Polsce, przede wszystkim za nieprawidłowy wybór i weryfikację podmiotu przetwarzającego dane pracowników w module grafików. Administrator nie poddał ocenie, jaki zakres danych osobowych faktycznie przetwarza ten system, przez co nie wdrożył środków takich jak pseudonimizacja, zaprojektowanych właśnie do realizacji zasady minimalizacji. Ta sprawa pokazuje coś, o czym łatwo zapomnieć: minimalizacja nie dotyczy tylko formularzy widocznych dla klienta, ale też wewnętrznych systemów, w których administrator powinien aktywnie sprawdzać zakres przetwarzanych danych, zamiast zakładać, że skoro dostawca oprogramowania tak je zaprojektował, to jest ono zgodne z RODO. Organ stwierdził tu równolegle naruszenie zasady poufności i rozliczalności, obok odrębnych uchybień w weryfikacji podmiotu przetwarzającego, zastosowanych środków bezpieczeństwa oraz sposobu włączania inspektora ochrony danych w bieżące sprawy spółki.
Skany dokumentów tożsamości pozyskiwane przez aplikację dostawczą
Trzeci przykład dotyczy spółki prowadzącej popularną aplikację mobilną do zamawiania posiłków, ukaranej kwotą 5 898 064 zł za pozyskiwanie skanów i zdjęć dowodów tożsamości użytkowników bez podstawy prawnej. Spółka żądała takich dokumentów przy podejrzeniu oszustwa, na przykład gdy kurier zgłaszał próbę kradzieży zamówienia albo niezgodność danych karty płatniczej z danymi użytkownika, powołując się na prawnie uzasadniony interes z art. 6 ust. 1 lit. f RODO. Prezes UODO tej argumentacji nie podzielił: kopiowanie dokumentów tożsamości mogą prowadzić wyłącznie konkretne, upoważnione ustawowo podmioty w sytuacjach wprost przewidzianych przepisami, a spółka do tej kategorii nie należała. Znaczenie tej sprawy polega na jasnym przesądzeniu, że nawet działanie w słusznym celu, jakim jest przeciwdziałanie oszustwom, nie usprawiedliwia zbierania danych szerzej, niż wymaga tego konkretna sytuacja – organ nakazał dodatkowo zaprzestanie dalszego przetwarzania i usunięcie już zebranych skanów w terminie 30 dni.
Jak dokumentować stosowanie zasady minimalizacji danych?
Sama zgodność z zasadą minimalizacji nie wystarczy, jeśli administrator nie potrafi jej wykazać. Wymaga tego zasada rozliczalności z art. 5 ust. 2 RODO, zgodnie z którą administrator musi być w stanie udowodnić przestrzeganie zasad z art. 5 ust. 1, a nie tylko je deklarować. W praktyce oznacza to zapisanie, dla każdego procesu przetwarzania, jaki jest jego cel, jaki zakres danych został do niego dobrany i dlaczego uznano go za niezbędny, najlepiej w formie krótkiej notatki dołączonej do dokumentacji procesu. Naturalnym miejscem na takie informacje jest rejestr czynności przetwarzania, który i tak musi zawierać opis kategorii danych dla każdej czynności przetwarzania, więc dopisanie uzasadnienia zakresu nie wymaga tworzenia dodatkowego dokumentu.
Weryfikację tego, czy procesy przetwarzania danych w organizacji rzeczywiście spełniają test niezbędności zapewnia kompleksowy audyt RODO. Taki przegląd pozwala szczegółowo przeanalizować wszystkie operacje na danych, uwzględniając nie tylko te najbardziej oczywiste obszary, ale również głęboko zakorzenione procedury wewnętrzne.
