Prawo

Ochrona danych osobowych w badaniach wariograficznych — RODO w praktyce

4 lutego 2026

Kłódka trzymana w dłoni — ochrona danych

Ochrona danych osobowych w badaniach wariograficznych — RODO w praktyce

badanie wariografem wiąże się z przetwarzaniem danych osobowych, w tym tzw. danych szczególnych kategorii (danych biometrycznych, danych dotyczących zdrowia). Ramy prawne wyznacza rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych (RODO) oraz ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. 2018 poz. 1000 z późn. zm.).

Kwalifikacja danych zebranych podczas badania

Podczas badania wariografem biegły gromadzi:

Dane identyfikacyjne osoby badanej (imię, nazwisko, PESEL, adres, dane kontaktowe).
Dane dotyczące stanu zdrowia — wywiad medyczny, informacje o lekach, chorobach, ciąży.
Dane biometryczne — zapisy fizjologicznych reakcji organizmu (tętno, oddech, ciśnienie, reakcja skórno-galwaniczna).
Wypowiedzi osoby badanej — odpowiedzi na pytania w trakcie badania.
Okoliczności sprawy, której dotyczy badanie.

Zapisy fizjologiczne są danymi biometrycznymi w rozumieniu art. 4 pkt 14 RODO — „dane osobowe, które wynikają ze specjalnego przetwarzania technicznego, dotyczą cech fizycznych, fizjologicznych lub behawioralnych osoby fizycznej”.

Szczególne kategorie danych — art. 9 RODO

Art. 9 ust. 1 RODO (rozporządzenie 2016/679) zabrania przetwarzania m.in. danych dotyczących zdrowia, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej, danych dotyczących seksualności i orientacji seksualnej. Zakaz ten ulega uchyleniu w sytuacjach wskazanych w art. 9 ust. 2 — w kontekście badania wariografem istotne są:

Art. 9 ust. 2 lit. a RODO — osoba wyraziła wyraźną zgodę na przetwarzanie danych w jednym lub kilku określonych celach.
Art. 9 ust. 2 lit. f RODO — przetwarzanie jest niezbędne do ustalenia, dochodzenia lub obrony roszczeń lub w ramach sprawowania wymiaru sprawiedliwości przez sądy.

W praktyce podstawą przetwarzania danych szczególnych kategorii przy badaniu prywatnym jest wyraźna zgoda badanego; przy badaniu w postępowaniu karnym — sprawowanie wymiaru sprawiedliwości przez sądy.

Definicja zgody — art. 4 pkt 11 RODO

„Zgoda” osoby, której dane dotyczą, została zdefiniowana w art. 4 pkt 11 rozporządzenia 2016/679. Wymaga formy oświadczenia lub wyraźnego działania potwierdzającego, z którego wynika, że osoba przyzwala na przetwarzanie. Zgoda musi być:

dobrowolna,
konkretna (dotyczyć określonych celów),
świadoma (oparta na pełnej informacji),
jednoznaczna.

Warunki ważności zgody szczegółowo określa art. 7 RODO — m.in. prawo jej wycofania w dowolnym momencie, bez ponoszenia negatywnych konsekwencji.

Podstawy prawne przetwarzania — art. 6 RODO

Dla danych „zwykłych” (np. imię, nazwisko, adres) podstawą przetwarzania przy badaniu wariografem jest zwykle:

Art. 6 ust. 1 lit. a RODO — zgoda osoby, której dane dotyczą (badania prywatne).
Art. 6 ust. 1 lit. b RODO — niezbędność do wykonania umowy, której stroną jest osoba badana.
Art. 6 ust. 1 lit. c RODO — niezbędność do wypełnienia obowiązku prawnego ciążącego na administratorze.
Art. 6 ust. 1 lit. e RODO — przetwarzanie w interesie publicznym lub w ramach sprawowania władzy publicznej (w postępowaniu karnym).

Obowiązki informacyjne administratora

Gabinet wariograficzny jako administrator danych osobowych musi spełnić obowiązki z art. 13 RODO — poinformować osobę badaną (w chwili pozyskania danych) m.in. o:

tożsamości administratora i danych kontaktowych,
celach przetwarzania i podstawie prawnej,
odbiorcach danych (jeśli planowane przekazanie),
okresie przechowywania danych lub kryteriach jego ustalenia,
prawach osoby, której dane dotyczą: dostępu, sprostowania, usunięcia, ograniczenia przetwarzania, sprzeciwu, przenoszenia,
prawie wniesienia skargi do organu nadzorczego (PUODO),
tym, czy podanie danych jest wymogiem ustawowym/umownym oraz konsekwencjach odmowy.

Okres retencji — obowiązek z art. 5 ust. 1 lit. e RODO

Dane mogą być przechowywane „w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów”. W praktyce gabinetów wariograficznych okresy retencji są zróżnicowane:

Badania prywatne — zazwyczaj do czasu upływu terminów przedawnienia roszczeń z umowy o wykonanie badania. Podstawowy termin przedawnienia roszczeń z art. 118 KC wynosi 6 lat, a dla roszczeń związanych z prowadzeniem działalności gospodarczej — 3 lata.
Badania w postępowaniu karnym — do czasu prawomocnego zakończenia sprawy i w zakresie wymaganym przez organ procesowy.
Badania w postępowaniu cywilnym — do czasu prawomocnego zakończenia sprawy.
Dokumentacja rachunkowa (faktury, księgi) — 5 lat od początku roku następującego po roku obrotowym, którego dane dotyczą (art. 74 ust. 2 ustawy o rachunkowości). Niezależnie, księgi podatkowe przechowuje się do upływu okresu przedawnienia zobowiązania podatkowego (art. 86 § 1 Ordynacji podatkowej — co do zasady 5 lat).

Po upływie okresu retencji dane muszą zostać trwale usunięte lub zanonimizowane.

Bezpieczeństwo przetwarzania — art. 32 RODO

Gabinet musi zapewnić odpowiedni poziom bezpieczeństwa danych, uwzględniając ryzyko. W praktyce oznacza to m.in.:

szyfrowanie danych w transmisji i w spoczynku,
ograniczony dostęp (role-based access control),
regularne kopie zapasowe,
procedury zarządzania incydentami naruszenia ochrony danych,
szkolenia personelu,
umowy powierzenia przetwarzania z podwykonawcami (art. 28 RODO).

Ustawa krajowa — relacja do RODO

Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. 2018 poz. 1000 z późn. zm.) precyzuje krajowe aspekty stosowania RODO, w tym:

właściwość Prezesa Urzędu Ochrony Danych Osobowych (PUODO),
tryb postępowania przed organem,
sankcje administracyjne krajowe.

Inspektor ochrony danych (IOD) w gabinecie wariograficznym jest wymagany wyłącznie, gdy spełnione są kryteria z art. 37 RODO (np. duża skala przetwarzania danych szczególnych kategorii). Dla typowego gabinetu obowiązek wyznaczenia IOD nie zachodzi, co nie zwalnia z obowiązku zapewnienia zgodności z RODO.

Prawa osoby badanej

Prawo dostępu (art. 15 RODO) — uzyskanie informacji o przetwarzaniu oraz kopii danych.
Prawo sprostowania (art. 16 RODO) — korekta danych nieprawidłowych.
Prawo do usunięcia (art. 17 RODO) — „prawo do bycia zapomnianym”, z ograniczeniami np. dla celów sprawowania wymiaru sprawiedliwości.
Prawo ograniczenia przetwarzania (art. 18 RODO).
Prawo do przenoszenia (art. 20 RODO) — otrzymanie danych w strukturyzowanym formacie.
Prawo sprzeciwu (art. 21 RODO).
Prawo wycofania zgody (art. 7 ust. 3 RODO) — w dowolnym momencie, co nie wpływa na zgodność z prawem przetwarzania przed jego wycofaniem.

Odpowiedzialność za naruszenia

Art. 83 RODO przewiduje administracyjne kary pieniężne do 20 mln EUR lub 4% rocznego obrotu, w zależności, która z tych kwot jest wyższa. W praktyce polskiej PUODO wymierza kary niższe, proporcjonalne do skali naruszenia i wielkości podmiotu. Szczegółowe decyzje są publikowane w Biuletynie Informacji Publicznej PUODO.

Źródła

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. (RODO) — Dz.U.UE.L. 2016, Nr 119, str. 1. EUR-Lex
Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. 2018 poz. 1000 z późn. zm.). ISAP
Ustawa z dnia 23 kwietnia 1964 r. — Kodeks cywilny (Dz.U. 1964 Nr 16 poz. 93 z późn. zm.) — art. 118 o przedawnieniu.
Ustawa z dnia 29 września 1994 r. o rachunkowości (Dz.U. 1994 Nr 121 poz. 591 z późn. zm.) — art. 74 ust. 2.
Ustawa z dnia 29 sierpnia 1997 r. — Ordynacja podatkowa (Dz.U. 1997 Nr 137 poz. 926 z późn. zm.) — art. 86 § 1.
Urząd Ochrony Danych Osobowych (UODO)