Dane osobowe w CSIRE (Centralnym Systemie Informacji Rynku Energii) administruje OIRE — Operator Informacji Rynku Energii, którego funkcję z mocy art. 11y ust. 3 ustawy Prawo energetyczne pełnią Polskie Sieci Elektroenergetyczne — ale za treść i poprawność danych odpowiada prawnie podmiot, który je do systemu wprowadził: przy danych pomiarowych jest to operator systemu dystrybucyjnego (OSD), a przy danych rozliczeniowych — sprzedawca energii. To rozdzielenie roli zarządcy systemu od odpowiedzialności za treść danych jest osią całej konstrukcji prawnej CSIRE i decyduje o tym, do czyich drzwi zapukać z reklamacją lub roszczeniem.

W skrócie

• Zarządca systemu ≠ odpowiedzialny za treść danych. OIRE (funkcję pełnią PSE na podstawie art. 11y ust. 3 Prawa energetycznego) odpowiada za działanie CSIRE — integralność, bezpieczeństwo i udostępnianie danych wyłącznie uprawnionym. Za poprawność danych odpowiada ten, kto je wprowadził.
• Sprostowanie danych nie u OIRE. Wniosek o sprostowanie (art. 16 RODO) składa się do podmiotu, który dane przekazał — OIRE nie koryguje cudzych danych; wobec danych przekazanych przez innych użytkowników art. 16 RODO nie znajduje wobec niego zastosowania.
• Dane pomiarowe to dane osobowe — godzinowy profil zużycia przypisany do identyfikowalnej osoby fizycznej podlega RODO; jednostkowe dane pomiarowe są przechowywane w CSIRE przez 7 lat, a następnie anonimizowane (art. 11zf Prawa energetycznego).
• Dostęp bez zgody mają wyłącznie podmioty realizujące procesy rynkowe dla danego punktu poboru (art. 11zc); każdy inny podmiot potrzebuje upoważnienia, które odbiorca nadaje i cofa bezpłatnie przez portal MojeIRE.
• Sankcje na trzech poziomach: kary Prezesa URE z art. 56 Prawa energetycznego (m.in. 10 000–500 000 zł za brak umowy CSIRE; ogólny pułap kar to 15% przychodu przedsiębiorstwa), kary Prezesa UODO i odszkodowania z art. 82 RODO oraz odpowiedzialność cywilna wprowadzającego dane.
• Start pełnego modelu: 19 października 2026 r. — od tego dnia sprzedawcy fakturują na podstawie danych pobranych z CSIRE.

Kto jest administratorem danych osobowych w CSIRE?

Rolę administratora systemu pełni OIRE — czyli Polskie Sieci Elektroenergetyczne, wyznaczone do tej funkcji wprost w art. 11y ust. 3 ustawy Prawo energetyczne — natomiast administrowanie danymi osobowymi ustawodawca rozpisał między kilka podmiotów uczestniczących w wymianie informacji. Warto zatrzymać się nad konstrukcją prawną, bo jest nietypowa. PSE występują na rynku w dwóch odrębnych rolach ustawowych: operatora systemu przesyłowego (OSP) i operatora informacji rynku energii (OIRE) — z osobnymi zadaniami i osobnymi reżimami odpowiedzialności. Ustawodawca celowo nie powoływał nowej instytucji; powierzył funkcję informacyjną spółce, która już dysponowała infrastrukturą i statusem regulowanym.

W warstwie ochrony danych osobowych kluczowy jest art. 11ze Prawa energetycznego, który rozdziela obowiązki wynikające z RODO między OIRE, operatorów systemów i sprzedawców energii — w piśmiennictwie opisuje się ten model jako współadministrowanie w rozumieniu art. 26 RODO, choć w toku prac legislacyjnych rozważano również konstrukcję odrębnego administrowania. Praktyczny skutek jest w obu ujęciach ten sam i wynika wprost z przepisów: obowiązki informacyjne z art. 13 i 14 RODO wobec osób, których dane trafiają do CSIRE, wypełnia OIRE (art. 11ze ust. 4), natomiast realizacja praw podmiotu danych dotyczących treści informacji — przede wszystkim sprostowania — odbywa się u podmiotu, który dane wprowadził. Zasady przetwarzania danych osobowych w CSIRE PSE publikują na stronie pse.pl/oire/dane-osobowe-csire.

Kto prawnie odpowiada, gdy dane w CSIRE są błędne?

Odpowiada użytkownik systemu, który błędne dane wprowadził — a mechanizm sprostowania został ustawowo skonstruowany tak, że OIRE w ogóle nie koryguje cudzych danych. To najważniejsza informacja praktyczna tego tekstu i warto rozumieć jej podstawę. Żądanie sprostowania danych osobowych z art. 16 RODO realizuje się przez złożenie wniosku do właściwego podmiotu — tego, który dane przekazał do systemu (przy danych pomiarowych: OSD; przy danych umownych i rozliczeniowych: sprzedawca) — a podmiot ten przekazuje sprostowane informacje do CSIRE. Wobec danych przekazanych przez innych użytkowników do OIRE nie stosuje się art. 16 RODO. Innymi słowy: pozycja procesowa PSE jako „tylko zarządcy rury” nie jest linią obrony — jest zapisaną w ustawie architekturą odpowiedzialności.

Konsekwencja dla odbiorcy po 19 października 2026 r. jest dwojaka. Po pierwsze, sprzedawca wystawiający fakturę na podstawie danych z CSIRE zgodnie z prawdą powie, że „wziął dane z systemu” — więc spór o pomiar zawsze wraca do OSD jako źródła danych. Po drugie, i to jest realna zmiana na korzyść odbiorcy: korekta danych u źródła automatycznie propaguje się przez system do wszystkich procesów, które z tych danych korzystają. Znika sytuacja, w której OSD skorygował odczyt, a sprzedawca „jeszcze nie dostał korekty”. Jedno źródło danych to jedno miejsce sporu — i jedna korekta zamiast łańcuszka uzgodnień.

Odpowiedzialność OIRE pozostaje przy tym realna, ale dotyczy innej warstwy: podmioty przetwarzające w CSIRE dane inne niż własne mają ustawowy obowiązek ochrony ich poufności, integralności, dostępności i autentyczności (art. 11zd ust. 1 Prawa energetycznego). Jeżeli więc dane zostały zniekształcone w transmisji, udostępnione nieuprawnionemu albo system zawiódł — roszczenie kieruje się przeciwko zarządcy systemu.

Czy dane z licznika to dane osobowe w rozumieniu RODO?

Tak — dane pomiarowe przypisane do punktu poboru energii identyfikowalnej osoby fizycznej stanowią dane osobowe, a w przypadku odczytów 15-minutowych są to dane o wyjątkowej gęstości informacyjnej. Profil zużycia to behawioralny obraz gospodarstwa domowego: pory aktywności, nieobecności, urlopy, praca zmianowa domowników. Właśnie dlatego ustawodawca obudował CSIRE dodatkowymi, sektorowymi przepisami o ochronie danych, zamiast poprzestać na ogólnym stosowaniu RODO.

Dwie granice zasługują na uwagę praktyka. Pierwsza dotyczy jednoosobowych działalności gospodarczych: dane punktu poboru firmy prowadzonej w mieszkaniu są w praktyce nierozdzielne od danych gospodarstwa domowego — i w tym zakresie korzystają z ochrony RODO. Druga dotyczy spółek: RODO chroni wyłącznie osoby fizyczne, więc profil zużycia zakładu produkcyjnego danymi osobowymi nie jest — ale stanowi informację o potencjalnej wartości gospodarczej, kwalifikowaną jako tajemnica przedsiębiorstwa w rozumieniu ustawy o zwalczaniu nieuczciwej konkurencji. Godzinowy profil poboru potrafi zdradzić harmonogram zmian, obłożenie produkcji, a nawet przestoje — dlatego zarządzanie upoważnieniami do danych firmowych w CSIRE powinno być elementem polityki ochrony informacji przedsiębiorstwa, na równi z NDA i kontrolą dostępu do systemów IT.

Jak długo CSIRE przechowuje dane i co się z nimi dzieje potem?

Jednostkowe dane pomiarowe są przechowywane w CSIRE przez 7 lat od dnia ich przekazania do systemu, a po upływie tego okresu OIRE poddaje je anonimizacji (art. 11zf ust. 1 i 2 Prawa energetycznego). Anonimizacja — w odróżnieniu od usunięcia — pozwala dalej wykorzystywać dane do celów analitycznych i statystycznych, ale zrywa ich powiązanie z konkretnym punktem poboru i osobą.

Dla odbiorcy oznacza to dwie rzeczy: po pierwsze, historia zużycia z pełnej perspektywy siedmioletniej jest dostępna na potrzeby sporów, reklamacji i analiz (to dłużej niż typowy okres przedawnienia roszczeń z umów sprzedaży energii); po drugie, „prawo do bycia zapomnianym” ma tu ustawowo zakreślone granice — przetwarzanie danych w CSIRE odbywa się w wykonaniu obowiązku prawnego, więc żądanie usunięcia danych na podstawie art. 17 RODO nie znajdzie zastosowania wobec danych, których przechowywanie nakazuje ustawa.

Warto znać jeszcze jeden ustawowy szczegół, przydatny dowodowo: realizując prawo dostępu do danych w formie papierowej, OIRE udostępnia dane pomiarowe zsumowane do okresów nie krótszych niż dobowe (art. 11ze ust. 4). Pełną, interwałową granulację odbiorca ma natomiast bezpłatnie w portalu MojeIRE — i to zrzut z tego portalu, opatrzony datą, jest naturalnym pierwszym dowodem w sporze o pomiar.

Kto ma dostęp do danych bez zgody odbiorcy — i jak działa mechanizm upoważnień?

Bez odrębnej zgody dostęp do danych punktu poboru mają wyłącznie podmioty realizujące dla niego procesy rynkowe — w praktyce sprzedawca obsługujący dany PPE i właściwy OSD — na podstawie art. 11zc Prawa energetycznego; każdy inny podmiot potrzebuje upoważnienia nadanego przez odbiorcę. Upoważnienie — na przykład dla doradcy energetycznego, agregatora czy porównywarki ofert — odbiorca nadaje i cofa bezpłatnie przez portal MojeIRE, określając jego zakres.

Z perspektywy prawnej istotne są dwie cechy tego mechanizmu. Po pierwsze, upoważnienie jest odwoływalne w każdym czasie i bez opłat, co czyni je bezpieczniejszym narzędziem niż rozproszone zgody udzielane dziś różnym podmiotom w umowach i regulaminach. Po drugie, każdy dostęp do danych pozostawia w systemie rejestrowany ślad — co w razie sporu o nieuprawnione wykorzystanie profilu zużycia daje materiał dowodowy, o jakim na rozproszonym rynku sprzed CSIRE nie było mowy.

Dla firm płynie z tego praktyczny obowiązek staranności: przegląd nadanych upoważnień powinien być cykliczną czynnością compliance — analogicznie do przeglądu pełnomocnictw. Upoważnienie nadane doradcy przy okazji przetargu dwa lata temu nie powinno żyć wiecznie.

Jakie sankcje grożą za naruszenia w łańcuchu danych CSIRE?

Sankcje układają się w trzy niezależne od siebie poziomy — administracyjny (URE), ochrony danych (UODO) i cywilny — i mogą być stosowane równolegle wobec tego samego naruszenia. Poziom pierwszy to kary Prezesa URE z art. 56 Prawa energetycznego. Skalę pokazuje sankcja za sam brak zawarcia obowiązkowej umowy CSIRE z OIRE: od 10 000 do 500 000 zł (art. 56 ust. 1 pkt 30u), o czym Urząd Regulacji Energetyki przypominał uczestnikom rynku w odrębnym komunikacie. Karom podlega także nieprzekazywanie informacji do CSIRE oraz przekazywanie danych niezgodnych ze stanem faktycznym, przy czym ogólny pułap kar z art. 56 sięga 15% przychodu ukaranego przedsiębiorstwa z poprzedniego roku podatkowego.

Poziom drugi to reżim RODO: administracyjne kary pieniężne nakładane przez Prezesa UODO (przy naruszeniu podstawowych zasad przetwarzania — do 20 mln euro lub 4% światowego obrotu) oraz — często pomijane — roszczenie odszkodowawcze osoby, której dane dotyczą, z art. 82 RODO, dochodzone przed sądem cywilnym niezależnie od kary administracyjnej. Poziom trzeci to klasyczna odpowiedzialność cywilna: za szkodę wynikłą z błędnych danych (np. zawyżona faktura, nieuzasadnione wstrzymanie dostaw) lub z nieuprawnionego udostępnienia profilu zużycia odpowiada podmiot, który dane wprowadził lub udostępnił. Suma tych trzech poziomów tworzy po stronie uczestników rynku silny bodziec do dbałości o jakość danych — i to jest, z perspektywy odbiorcy, najcichsza, ale najtrwalsza korzyść całej reformy.

Jak poprawnie poprowadzić reklamację danych po 19 października 2026 r.?

Skuteczna reklamacja zaczyna się od ustalenia, kto wprowadził sporne dane — bo to wyznacza adresata żądania. Procedura w czterech krokach:

1. Zidentyfikuj źródło danych: spór o pomiar (odczyt, wolumen, interwały) → OSD; spór o rozliczenie (cena, taryfa, okres, korekta faktury) → sprzedawca.
2. Zabezpiecz dowód: zrzut danych z MojeIRE lub eBOK z widoczną datą; przy sporze pomiarowym możesz dodatkowo zażądać laboratoryjnego badania licznika przez OSD.
3. Skieruj reklamację do właściwego podmiotu, wskazując jego ustawową odpowiedzialność za dane przekazane do CSIRE; korekta wprowadzona u źródła automatycznie zasili rozliczenia u sprzedawcy.
4. Roszczenie wobec OIRE (PSE) rezerwuj dla naruszeń warstwy systemowej: utrata integralności danych, awaria transmisji, udostępnienie danych podmiotowi nieuprawnionemu.

Wideo: Czy dane z licznika są bezpieczne i kto ma do nich dostęp?

Najczęściej zadawane pytania

Czytaj dalej: prawo to jedna warstwa układanki

Rozważania o odpowiedzialności prawnej wiszą w próżni bez mapy ról na rynku — dlatego warto zacząć od podstaw.

Zacznij od wpisu filarowego:

• ➜ CSIRE od 19 października 2026. Co naprawdę zmieni się dla przedsiębiorców? – kompleksowe omówienie najważniejszych zmian i odnośniki do wszystkich artykułów z serii.

Przeczytaj również:

• ➜ CSIRE, OIRE, PSE i OSD – kto odpowiada za energię w firmie?
• ➜ Jak założyć konto w MojeIRE i sprawdzić zużycie prądu? Instrukcja krok po kroku

Zobacz również na YouTube:

Na kanale ENERGETYKA.EXPERT publikujemy materiały wyjaśniające działanie CSIRE, cyfryzację rynku energii oraz zmiany, które wpływają na przedsiębiorców i odbiorców energii. Jeśli wolisz wiedzę w formie krótkich i konkretnych filmów, koniecznie zajrzyj na nasz kanał.

Sprawdź, czy Twoje dane i umowy są gotowe na CSIRE

Odpowiedzialność za dane to w praktyce odpowiedzialność za porządek w umowach, upoważnieniach i punktach poboru. Doradcy ENERGETYKA.EXPERT pomagają firmom i samorządom przygotować się do CSIRE — od audytu danych PPE i umów, przez optymalizację zakupu energii i gazu, po kompensację mocy biernej i inwestycje w fotowoltaikę z magazynami. Umów bezpłatną konsultację i skorzystaj z vouchera na audyt — zanim błędne dane zaczną kosztować.

---

Ostatnia aktualizacja: lipiec 2026. Stan prawny i rynkowy na dzień publikacji. Artykuł ma charakter informacyjny i nie stanowi porady prawnej.