Artykuł 77 – Prawo do wniesienia skargi do organu nadzorczego (+komentarz)

 Artykuł 77
Prawo do wniesienia skargi do organu nadzorczego1.   Bez uszczerbku dla innych administracyjnych lub środków ochrony prawnej przed sądem każda osoba, której dane dotyczą, ma prawo wnieść skargę do organu nadzorczego, w szczególności w państwie członkowskim swojego zwykłego pobytu, swojego miejsca pracy lub miejsca popełnienia domniemanego naruszenia, jeżeli sądzi, że przetwarzanie danych osobowych jej dotyczące narusza niniejsze rozporządzenie.

2.   Organ nadzorczy, do którego wniesiono skargę, informuje skarżącego o postępach i efektach rozpatrywania skargi, w tym o możliwości skorzystania z sądowego środka ochrony prawnej na mocy art. 78.

 

 Right to lodge a complaint with a supervisory authority1.   Without prejudice to any other administrative or judicial remedy, every data subject shall have the right to lodge a complaint with a supervisory authority, in particular in the Member State of his or her habitual residence, place of work or place of the alleged infringement if the data subject considers that the processing of personal data relating to him or her infringes this Regulation.

2.   The supervisory authority with which the complaint has been lodged shall inform the complainant on the progress and the outcome of the complaint including the possibility of a judicial remedy pursuant to Article 78.

 

Motywy

(141) Każda osoba, której dane dotyczą, powinna mieć prawo wniesienia skargi do jednego organu nadzorczego oraz prawo do skutecznego środka ochrony prawnej przed sądem, zgodnie z art. 47 Karty praw podstawowych, w szczególności w państwie członkowskim, w którym ma miejsce zwykłego pobytu, a jeżeli uzna, że jej prawa wynikające z niniejszego rozporządzenia są naruszane, lub jeżeli organ nadzorczy nie reaguje na skargę, częściowo lub w całości ją odrzuca lub oddala, lub nie podejmuje działania, choć jest to niezbędne do ochrony praw tej osoby. Postępowanie wyjaśniające na podstawie skargi powinno być prowadzone – z zastrzeżeniem kontroli sądowej – w zakresie odpowiadającym konkretnej sprawie. Organ nadzorczy powinien w rozsądnym terminie poinformować osobę, której dane dotyczą, o postępach i wynikach rozpatrywania skargi. Jeżeli dana sprawa wymaga dalszego postępowania wyjaśniającego lub koordynacji działań z innym organem nadzorczym, osoba, której dane dotyczą, powinna zostać o tym uprzednio poinformowana. Aby ułatwić wnoszenie skarg, każdy organ nadzorczy powinien zastosować takie środki jak udostępnienie formularza skargi, który można wypełnić także elektronicznie, przy czym nie należy wykluczać innych sposobów komunikacji.
(141) Every data subject should have the right to lodge a complaint with a single supervisory authority, in particular in the Member State of his or her habitual residence, and the right to an effective judicial remedy in accordance with Article 47 of the Charter if the data subject considers that his or her rights under this Regulation are infringed or where the supervisory authority does not act on a complaint, partially or wholly rejects or dismisses a complaint or does not act where such action is necessary to protect the rights of the data subject. The investigation following a complaint should be carried out, subject to judicial review, to the extent that is appropriate in the specific case. The supervisory authority should inform the data subject of the progress and the outcome of the complaint within a reasonable period. If the case requires further investigation or coordination with another supervisory authority, intermediate information should be given to the data subject. In order to facilitate the submission of complaints, each supervisory authority should take measures such as providing a complaint submission form which can also be completed electronically, without excluding other means of communication.

Komentarz do art. 77 RODO

Art. 77 RODO daje każdej osobie, której dane dotyczą, prawo do złożenia skargi do organu nadzorczego, jeśli uważa, że jej dane są przetwarzane niezgodnie z RODO. To prawo działa niezależnie od innych dostępnych środków ochrony prawnej. Przepis zobowiązuje też organ nadzorczy do informowania skarżącego o przebiegu i wynikach postępowania oraz o możliwości skorzystania ze środka sądowego z art. 78 RODO.

Cel i ratio legis art. 77

Art. 77 ma na celu umożliwienie każdej osobie fizycznej łatwego, administracyjnego sposobu dochodzenia swoich praw w przypadku naruszenia przepisów o ochronie danych, bez konieczności od razu kierowania sprawy do sądu. Przepis ten realizuje gwarancję skutecznej ochrony prawnej z art. 47 Karty praw podstawowych UE, zapewniając dostęp do organu nadzorczego jako wyspecjalizowanego organu administracyjnego. Chodzi o to, by naruszenia RODO były najpierw wykrywane i korygowane przez organ nadzorczy, który ma szerokie uprawnienia kontrolne i sankcyjne.

Omówienie przepisu według ustępów

Ust. 1 – prawo do wniesienia skargi

Art. 77 ust. 1 daje każdej osobie, której dane dotyczą, prawo do złożenia skargi do organu nadzorczego, jeśli uważa, że jej dane są przetwarzane niezgodnie z RODO („jeżeli sądzi, że…”). To prawo ma charakter indywidualny – skarga musi dotyczyć naruszenia danych konkretnej osoby, a nie interesu ogólnego czy typowego actio popularis.
Przepis wymienia trzy miejsca, do których można złożyć skargę: państwo członkowskie zwykłego pobytu, miejsce pracy lub miejsce domniemanego naruszenia. Dzięki temu osoba może wybrać organ, który jest dla niej najwygodniejszy językowo i lokalnie. Sformułowanie „bez uszczerbku dla innych administracyjnych lub środków ochrony prawnej przed sądem” oznacza, że skargę do organu nadzorczego można złożyć równolegle z postępowaniem sądowym (np. z art. 79 RODO), a żaden z tych środków nie ma pierwszeństwa ani nie wyklucza drugiego.
W Polsce organem nadzorczym jest Prezes Urzędu Ochrony Danych Osobowych (PUODO), który rozpatruje skargi zgodnie z przepisami Kodeksu postępowania administracyjnego, ponieważ ani RODO, ani ustawa krajowa nie określają szczegółowego trybu składania skarg. Skargę może złożyć sama osoba, której dane dotyczą, jej pełnomocnik z pełną zdolnością do czynności prawnych, a także organizacja działająca w imieniu osoby na podstawie art. 80 RODO.

Ust. 2 – obowiązki organu nadzorczego wobec skarżącego

Art. 77 ust. 2 zobowiązuje organ nadzorczy do informowania skarżącego o postępach i efektach rozpatrywania skargi, w tym o możliwości skorzystania z sądowego środka ochrony prawnej z art. 78 RODO.  Z motywu 141 wynika, że organ powinien uczynić to w „rozsądnym terminie” oraz powiadomić osobę, jeśli sprawa wymaga dłuższego postępowania lub koordynacji z innym organem nadzorczym.  Brak rozpatrzenia skargi lub brak informacji w ciągu trzech miesięcy co do postępów lub efektów postępowania otwiera osobie drogę do skorzystania ze środka sądowego z art. 78.
W praktyce organ nadzorczy musi aktywnie komunikować się z osobą, której dane dotyczą. Powinien potwierdzić przyjęcie skargi, informować o wszczęciu i przebiegu postępowania oraz o zastosowanych środkach. Dodatkowo organ ma obowiązek poinformować skarżącego o prawie do zaskarżenia decyzji do sądu administracyjnego lub o możliwości skorzystania z sądowego środka ochrony w przypadku bezczynności lub przewlekłości postępowania.

Interpretacja praktyczna art. 77

Prawo z art. 77 to podstawowy sposób wejścia osoby, której dane dotyczą, do systemu ochrony danych. Najczęściej jest to pierwszy krok po nieudanym lub nieskutecznym kontakcie z administratorem. Skarga uruchamia wobec administratora lub podmiotu przetwarzającego postępowanie administracyjne, w którym organ nadzorczy sprawdza zgodność przetwarzania danych z RODO i może zastosować środki naprawcze, zakazy, nakazy oraz nałożyć kary pieniężne.
Skarga powinna dotyczyć przetwarzania danych osobowych skarżącego z naruszeniem RODO, a nie ogólnych praktyk administratora, które nie są związane z konkretnym przetwarzaniem danych tej osoby. W praktyce oznacza to, że skarga powinna dokładnie opisywać, kto jest administratorem lub procesorem, jakie operacje przetwarzania są kwestionowane, na czym polega naruszenie oraz jakie prawa z RODO zostały naruszone (np. brak informacji, brak realizacji prawa dostępu, nielegalne profilowanie).
Osoba, której dane dotyczą, może złożyć skargę do organu właściwego dla swojego miejsca zamieszkania lub pracy, co ułatwia komunikację w języku ojczystym. Może też wybrać organ miejsca naruszenia, na przykład w innym państwie członkowskim, jeśli przetwarzanie odbywa się za granicą. Art. 77 i art. 79 są niezależne, więc osoba może jednocześnie złożyć skargę do organu i wytoczyć powództwo cywilne (np. o zadośćuczynienie). Jedno postępowanie nie blokuje drugiego.

Orzecznictwo i decyzje dotyczące art. 77

1. TSUE, sprawa C‑414/24 (postanowienie z 18 czerwca 2026 r.)

Trybunał Sprawiedliwości UE w sprawie C‑414/24 rozstrzygnął, że organ nadzorczy nie może odrzucić skargi z art. 77 wyłącznie z tego powodu, że wcześniej wszczęto postępowanie sądowe w tej samej sprawie na podstawie art. 79 RODO i nie zapadło w nim jeszcze prawomocne rozstrzygnięcie.  TSUE podkreślił, że środki z art. 77 i art. 79 są równoległe i niezależne, a żaden z nich nie ma pierwszeństwa, co wzmacnia ochronę praw osób, których dane dotyczą.  Jednocześnie Trybunał dopuścił możliwość wprowadzenia przez państwa członkowskie mechanizmów zawieszenia postępowania administracyjnego w razie równoległego procesu sądowego, ale nie jego automatycznego odrzucenia.
Praktyczne organ nadzorczy nie może odmówić rozpatrzenia skargi tylko dlatego, że sprawa jest już w sądzie. Powinien prowadzić postępowanie przynajmniej do momentu, który pozwala ocenić legalność przetwarzania i ewentualnie skoordynować działania z sądem.

2. WSA w Warszawie (sygn. akt II SA/Wa 1154/23) – zakres przedmiotowy skargi

Wojewódzki Sąd Administracyjny w Warszawie, analizując skargę dotyczącą „sposobu zatrudniania” przez administratora, wskazał, że przedmiotem indywidualnej skargi do Prezesa UODO nie może być kontrola ogólnych praktyk kadrowych administratora, lecz konkretne operacje przetwarzania danych osobowych tej osoby. Sąd podkreślił, że funkcją skargi jest egzekwowanie przestrzegania przepisów o ochronie danych osobowych w operacjach przetwarzania danych, które bezpośrednio wpływają na osobę, której dane dotyczą.
Znaczenie praktyczne: skargi dotyczące ogólnych kwestii, takich jak polityka zatrudniania, ale bez wskazania naruszenia przetwarzania danych konkretnej osoby, mogą zostać uznane za niedopuszczalne, ponieważ wykraczają poza zakres art. 77.

3. Doktryna i praktyka organów – indywidualny charakter skargi

Analizy doktryny administracyjnej wskazują, że art. 77 ustanawia środek ochrony indywidualnego interesu skarżącego, pozostający w jego dyspozycji, a uprawnionym do wniesienia skargi jest wyłącznie osoba, której dane dotyczą.  Podkreśla się, że skarga może prowadzić do zastosowania przez organ nadzorczy środków z art. 58 RODO, w tym kontroli, nakazów i kar pieniężnych, przy czym sama procedura skargowa jest uzupełniana przez przepisy krajowe (np. k.p.a w Polsce).
Obecnie nie ma wielu orzeczeń, które szczegółowo interpretowałyby wszystkie aspekty art. 77 (np. standard dowodzenia, dopuszczalność anonimowości skargi). Dlatego praktyka interpretacyjna opiera się głównie na motywach RODO, powiązanych przepisach (art. 78–79, art. 58) oraz ogólnych zasadach prawa administracyjnego.

Motywy i powiązania

Motywy RODO bezpośrednio związane z art. 77

Najważniejszym motywem związanym z art. 77 jest motyw 141, który rozwija treść prawa do wniesienia skargi i do skutecznego środka ochrony przed sądem.  Motyw 141 podkreśla, że osoba, której dane dotyczą, powinna mieć prawo wniesienia skargi do jednego organu nadzorczego oraz prawo do środka sądowego, zwłaszcza w państwie zwykłego pobytu, jeśli uzna, że naruszono jej prawa wynikające z RODO lub jeśli organ nadzorczy nie reaguje na skargę, ją odrzuca lub nie podejmuje działań.  Motyw ten wskazuje również na wymóg prowadzenia postępowania wyjaśniającego w zakresie odpowiadającym konkretnej sprawie oraz na obowiązek informowania osoby w rozsądnym terminie o postępach i wynikach rozpatrywania skargi.

Inne przepisy RODO, które należy czytać łącznie

  • Art. 78 RODO – sądowy środek ochrony prawnej przeciw organowi nadzorczemu (decyzje, bezczynność, brak informacji w terminie trzech miesięcy).
  • Art. 79 RODO – sądowy środek ochrony prawnej przeciw administratorowi lub procesorowi; przepisy te funkcjonują równolegle do art. 77.
  • Art. 58 RODO – katalog uprawnień organu nadzorczego, z których korzysta on przy rozpatrywaniu skarg (np. upomnienie, nakaz spełnienia żądania osoby, ograniczenie przetwarzania, kary pieniężne).
  • Art. 55–56, 60–65 RODO – przepisy o właściwości i współpracy organów nadzorczych (istotne przy transgranicznych skargach).
  • Art. 80 RODO – możliwość działania organizacji w imieniu osoby, której dane dotyczą, w tym wnoszenia skarg.
Te powiązania pokazują, że art. 77 jest częścią szerszego systemu środków ochrony prawnej i współpracy organów. Skuteczność tego przepisu zależy od tego, jak organ nadzorczy korzysta z uprawnień z art. 58 oraz jak osoby korzystają z równoległych środków sądowych z art. 78 i 79.

Wnioski praktyczne

  1. Art. 77 daje każdej osobie konkretne narzędzie, by wymusić stosowanie RODO przez administratora lub procesora, bez konieczności od razu kierowania sprawy do sądu.
  2. Skarga musi dotyczyć naruszenia prawa do ochrony danych osobowych skarżącego. Nie służy do ogólnej oceny polityk administratora ani jego praktyk kadrowych czy organizacyjnych, jeśli nie mają one wpływu na dane konkretnej osoby.
  3. Organ nadzorczy nie może odmówić rozpatrzenia skargi tylko dlatego, że skarżący jednocześnie wytoczył powództwo cywilne. Oba środki działają równolegle i nie wykluczają się nawzajem.
  4. Skuteczność skargi zależy od jej starannego przygotowania: opisu faktów, wskazania podmiotu odpowiedzialnego, dowodów naruszeń i powołania konkretnych przepisów RODO. Wiele organów udostępnia elektroniczne formularze, które ułatwiają prawidłowe złożenie skargi.
  5. Jeśli skarga jest rozpatrywana zbyt długo, organ pozostaje bezczynny lub rozpatrzył ją nieprawidłowo, osoba powinna rozważyć skorzystanie z art. 78 RODO i drogi sądowej przeciw organowi nadzorczemu.

FAQ – najczęstsze pytania o art. 77 RODO

1. Czy muszę najpierw pisać do administratora, zanim złożę skargę z art. 77?
RODO nie wymaga formalnie, by przed złożeniem skargi kontaktować się z administratorem. W praktyce jednak organy nadzorcze oczekują, że osoba najpierw spróbuje skorzystać z przysługujących jej praw wobec administratora (np. prawa dostępu, sprostowania, sprzeciwu). Brak takiej próby może osłabić argumentację, ale nie odbiera prawa do skargi.
2. Do którego organu mogę złożyć skargę – swojego państwa czy państwa naruszenia?
Art. 77 pozwala wybrać organ państwa zwykłego pobytu, miejsca pracy lub miejsca domniemanego naruszenia. Oznacza to, że można złożyć skargę do organu własnego kraju lub bezpośrednio do organu kraju, w którym działa administrator. Najczęściej wybiera się organ zwykłego pobytu ze względu na język i łatwość kontaktu.
3. Czy jeśli wniosę sprawę do sądu (art. 79), to stracę prawo do skargi z art. 77?
Nie. TSUE potwierdził, że środki z art. 77 i art. 79 są równoległe i niezależne. Organ nadzorczy nie może odrzucić skargi tylko dlatego, że istnieje równoległy spór sądowy. Państwa członkowskie mogą wprowadzić mechanizmy koordynacji (np. zawieszenia postępowania), ale nie automatycznego odrzucania skarg.
4. Co musi zawierać poprawnie sporządzona skarga?
SSkarga powinna zawierać dane skarżącego, wskazanie administratora lub procesora, opis naruszenia (fakty i okoliczności), dowody (np. korespondencja, zrzuty ekranu), wskazanie naruszonych przepisów RODO oraz żądanie (np. nakaz realizacji prawa, zakaz określonego przetwarzania, nałożenie kary). W Polsce dodatkowo wymagane są elementy wynikające z k.p.a, takie jak podpis, adres i ewentualne pełnomocnictwo.
5. Co jeśli organ nadzorczy nie odpowiada na moją skargę przez kilka miesięcy?
Motyw 141 wymaga, aby organ informował w rozsądnym terminie o postępach i wynikach rozpatrywania skargi, a art. 78 daje prawo do skutecznego środka sądowego, jeśli organ nie rozpatrzył skargi lub nie poinformował w terminie trzech miesięcy o postępach lub efektach.  W takiej sytuacji osoba może wnieść skargę do sądu administracyjnego z powodu bezczynności lub przewlekłości organu nadzorczego.

Checklista dla administratora i podmiotu przetwarzającego (perspektywa praktyczna)

  • Sprawdź, czy masz jasną, udokumentowaną procedurę obsługi skarg kierowanych do organu nadzorczego (np. PUODO), w tym wewnętrzny proces gromadzenia informacji i współpracy z organem.
  • Upewnij się, że wszystkie osoby odpowiedzialne za kontakt z organem nadzorczym rozumieją różnicę między skargą indywidualną z art. 77 a innymi formami nadzoru, takimi jak kontrola z urzędu czy czynności wyjaśniające.
  • Ustal, jak szybko identyfikować, które operacje przetwarzania dotyczą skargi oraz kto jest za nie odpowiedzialny (np. mapa procesów, rejestr czynności przetwarzania).
  • Zadbaj o możliwość sprawnego przekazania organowi dowodów zgodności (np. polityk, analiz ryzyka, DPIA, rejestrów naruszeń), aby nie wydłużać postępowania skargowego i zmniejszyć ryzyko sankcji.
  • Wprowadź procedurę analizy skarg pod kątem potrzeby zmian w procesach (np. modyfikacji informacji, usprawnienia realizacji praw osób), aby każda skarga była okazją do poprawy zgodności, niezależnie od wyniku postępowania.

Nawigacja