Prezydent podpisał ustawę KSC/NIS2 i wysłał ją do Trybunału » Hacker mógł kontrolować / oglądać kamery / słuchać audio z 6000+ odkurzaczy na całym świecie » Podgląd (i dźwięk!) z kamery z jednego z polskich dworców był dostępny z Internetu » Naruszenie przepisów RODO przez firmę kurierską » TSUE: administratorowi przysługuje skarga na decyzję EROD » WSA: organ nadzorczy prawidłowo nałożył prawie 30 000 zł kary na Szpital » WSA uchyla upomnienie Administratora za poinformowanie zarządu o przebywaniu pracownika na długotrwałym zwolnieniu lekarskim
⬇️ Pobierz W PDF
Praktyczny poradnik o wdrażaniu RODO
Książka RODOLOGIA to kompleksowy przewodnik po RODO, który pomaga wdrożyć ochronę danych osobowych w sposób prosty, szybki i skuteczny. Ponad 500 stron praktycznej wiedzy podanej w przystępnej formie i zrozumiałym języku. A wszystko to podane w pięknej, premium formie. Dowiedz się więcej o RODOLOGII: SprawdźPrezydent podpisał ustawę KSC/NIS2 i wysłał ją do Trybunału
- Kontekst: Prezydent podpisał nowelizację ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC), która ma wdrożyć w Polsce unijną dyrektywę NIS2. Jednocześnie skierował ją do Trybunału Konstytucyjnego, co oznacza, że w przyszłości niektóre przepisy mogą zostać uchylone lub zakwestionowane. Mimo tego firmy powinny przygotowywać się do wdrożenia nowych obowiązków.
- Dlaczego ustawa budziła spory: przeciwko przepisom protestowała część przedsiębiorców, na których mają zostać nałożone nowe obowiązki (m.in. Krajowa Izba Komunikacji Ethernetowej – KIKE). Pojawiały się też zastrzeżenia prawników, że część rozwiązań może zbyt mocno ingerować w prawo własności i swobodę działalności gospodarczej.
- Co zrobił Prezydent: ustawa została podpisana, ale jednocześnie wysłana do TK w trybie kontroli następczej (czyli po podpisie). TK może w przyszłości uchylić część przepisów.
- Główne zastrzeżenia Prezydenta (wg Kancelarii Prezydenta):
- Objęcie ustawą 18 branż gospodarki (podmioty „kluczowe” i „ważne”) – zdaniem Prezydenta to rozszerzenie ma nie wynikać wprost z przepisów UE, lecz być dodatkową inicjatywą rządu.
- Przepisy o Dostawcach Wysokiego Ryzyka (DWR) – mogą wymuszać wymianę sprzętu i oprogramowania bez odszkodowania i bez zapewnienia środków finansowych na ten cel.
- System kar administracyjnych – oceniony jako restrykcyjny; potencjalnie bardzo wysokie kary mogą działać jak „samodzielne środki karne”.
- Tryb podejmowania decyzji przez organy ds. cyberbezpieczeństwa wobec podmiotów kluczowych i ważnych – wskazano m.in. na niewystarczającą kontrolę sądową.
- Terminy i „rozłożenie” wdrażania w czasie:
- Ustawa ma wejść w życie miesiąc po ogłoszeniu.
- Podmioty, które już w dniu wejścia w życie spełniają kryteria „podmiotu kluczowego” lub „ważnego”, mają 12 miesięcy na realizację obowiązków w nowym brzmieniu.
- W trakcie prac dodano przepis, że kary za naruszenia mają być nakładane dopiero po upływie 2 lat od wejścia w życie ustawy (wskazany w tekście art. 35 nowelizacji).
- Minister ds. cyfryzacji ma przygotować harmonogram, według którego firmy będą składać wnioski o wpis do wykazu podmiotów kluczowych.
- Najważniejszy wniosek dla firm: mimo skierowania ustawy do TK, przepisy zostały uchwalone i podpisane, a wdrażanie NIS2 w praktyce należy traktować jako nieuniknione — warto już teraz planować dostosowanie organizacji do nowych wymagań.
Hacker mógł kontrolować / oglądać kamery / słuchać audio z 6000+ odkurzaczy na całym świecie
- Kontekst: Hacker wykazał, że przez lukę w komunikacji z chmurą można było zdalnie kontrolować i podglądać/odsłuchiwać (kamery, audio) ponad 6000 robotów sprzątających DJI Romo na całym świecie.
- Wszystko zaczęło się od analizy sposobu, w jaki odkurzacze komunikują się z chmurą DJI — pierwotnym celem było sterowanie własnym odkurzaczem kontrolerem do PlayStation.
- Podczas testów odkryto, że token/dane dostępowe wygenerowane dla jednego odkurzacza działały także dla innych urządzeń w wielu krajach.
- Skutki podatności:
- możliwość zdalnego sterowania odkurzaczami,
- możliwość podglądu obrazu z kamer oraz odsłuchu audio (weryfikowane testowo),
- dostęp do map mieszkań/planów sprzątania i innych danych generowanych przez urządzenie.
- Źródło problemu (technicznie): najprawdopodobniej niewystarczająco zabezpieczony serwer MQTT (system pośredniczący w dostarczaniu komunikatów), na który atakujący mógł wysyłać spreparowane komunikaty przekazywane następnie do odkurzaczy globalnie lub do wybranego urządzenia.
- Warto podkreślić: odkurzacze łączą się z serwerem MQTT połączeniem wychodzącym z sieci domowej (LAN), co ułatwiało zdalne oddziaływanie bez „wchodzenia” do sieci użytkownika.
- Hacker przygotował nawet aplikację, która pozwalała namierzać i kontrolować dowolny odkurzacz DJI Romo na świecie.
- Finał: DJI ostatecznie załatało podatność, choć wymagało to dwóch iteracji poprawek.
Podgląd (i dźwięk!) z kamery z jednego z polskich dworców był dostępny z Internetu
- Kontekst: kamera monitoringu na jednym z polskich dworców była publicznie dostępna z Internetu, co stwarzało ryzyko naruszenia prywatności i bezpieczeństwa.
- Kamera była dostępna bez uwierzytelnienia (bez logowania), czyli praktycznie każdy mógł uzyskać do niej dostęp.
- Co szczególnie niepokojące, możliwy był również odsłuch dźwięku z mikrofonu kamery.
- Osoba zgłaszająca temat potwierdziła, że słyszała m.in. fragment rozmowy o pracę oraz komunikaty dworcowe.
- Sprawa została zgłoszona do CERT GOV (ABW) około 1,5 tygodnia przed publikacją; kamera została szybko zablokowana i nie jest już dostępna z Internetu.
- Wniosek praktyczny: wiele kamer (nie tylko na dworcach) może mieć wbudowane mikrofony, co zwiększa skalę potencjalnego naruszenia prywatności.
- Przy konfiguracji kamer warto sprawdzić:
- czy kamera musi być w ogóle dostępna z Internetu (często można ograniczyć dostęp tylko do sieci lokalnej lub przez bezpieczny VPN),
- czy mikrofon musi być włączony (jeśli nie – lepiej go wyłączyć),
- czy ustawiono i zmieniono domyślne hasła (a jeśli kamera nie wymaga hasła — należy to koniecznie poprawić),
- czy urządzenie ma regularnie aktualizowany firmware (aktualizacje bezpieczeństwa).
Naruszenie przepisów RODO przez firmę kurierską
- Kontekst sprawy: DPD Polska sp. z o.o., jako administrator danych osobowych w procesie doręczania przesyłek kurierskich, korzystała z usług zewnętrznych przewoźników transportowych bez spełnienia wszystkich wymogów RODO. W efekcie Prezes UODO nałożył na spółkę administracyjne kary pieniężne o łącznej wartości ponad 11 mln zł.
- Kto i w jakim trybie działał: Decyzję wydał Prezes UODO (Mirosław Wróblewski), kończąc postępowanie administracyjne wszczęte z urzędu, poprzedzone kontrolą w siedzibie spółki.
- Zakres kontroli: Sprawdzano przetwarzanie danych osobowych w związku ze świadczeniem usług doręczania przesyłek kurierskich.
- Jakie dane były przetwarzane: m.in. imię i nazwisko, e-mail, numer telefonu, adresy (nadania/doręczenia/przekierowania), numer konta bankowego (przy pobraniu), nazwa firmy, numer przesyłki oraz podpis nadawcy i adresata.
- Rola zewnętrznych przewoźników: Między oddziałami spółki przesyłki przewozili zewnętrzni przewoźnicy (tzw. przewoźnicy LNH), którzy uczestniczyli także w załadunku i rozładunku, a więc mieli dostęp do etykiet adresowych z danymi osobowymi.
- Kluczowe naruszenie nr 1 – brak umów powierzenia: DPD nie zawarła z przewoźnikami LNH wymaganych przez RODO umów powierzenia przetwarzania danych. Spółka twierdziła, że umowa przewozu nie wiąże się z przetwarzaniem danych przez przewoźników, ale Prezes UODO nie zgodził się z tym stanowiskiem i wskazał naruszenie art. 28 ust. 3 RODO.
- Dodatkowa okoliczność istotna dla UODO: Przesyłki były transportowane również pojazdami, których spółka nie była właścicielem ani nie miała innej podstawy prawnej do ich używania — dysponentami byli zewnętrzni przewoźnicy, co wzmacniało wniosek o ich realnym udziale w przetwarzaniu danych.
- Kluczowe naruszenie nr 2 – nieprawidłowe upoważnienia do danych: Administrator nie zapewnił skutecznego i prawidłowego nadawania upoważnień pracownikom. Spółka zakładała, że po szkoleniu i teście system automatycznie „generuje upoważnienie”, ale plik:
- miał niejasną treść,
- nie zawierał podstawowych elementów (np. imienia i nazwiska pracownika),
- nie zawierał podpisu osoby udzielającej upoważnienia.
- Problem organizacyjny: UODO wskazał także na niewdrożenie w praktyce postanowień wewnętrznej polityki ochrony danych (m.in. brak wyznaczenia osoby uprawnionej do nadawania upoważnień), co naruszało zasady poufności i rozliczalności oraz obowiązek wdrożenia odpowiednich działań organizacyjnych (odniesienie do art. 24 ust. 2 RODO).
- Ocena UODO: Stwierdzono poważne naruszenie przepisów RODO — zewnętrzni przewoźnicy faktycznie uczestniczyli w przetwarzaniu danych (transport, załadunek, rozładunek), a spółka nie zapewniła podstawowych mechanizmów kontroli: umów powierzenia, pracy „na polecenie administratora” oraz prawidłowych upoważnień.
- Wysokość kar:
- 6,251 mln zł – za niezawarcie umów powierzenia przetwarzania danych osobowych (naruszenie art. 28 ust. 3 RODO),
- 5,209 mln zł – za niewdrożenie środków organizacyjnych zapewniających odpowiednie bezpieczeństwo danych (m.in. w zakresie upoważnień).
- Wniosek praktyczny (w prostych słowach): Jeśli firma zleca część działań podwykonawcom, którzy mają dostęp do danych (np. z etykiet na przesyłkach), to musi formalnie uregulować ten dostęp (umowa powierzenia) i zadbać o realne mechanizmy kontroli oraz upoważnienia — same szkolenia i automatyczne pliki z systemu nie wystarczą.
TSUE: administratorowi przysługuje skarga na decyzję EROD
- Kontekst sprawy: TSUE (Trybunał Sprawiedliwości UE) rozstrzygał spór dotyczący tego, czy administrator danych (tu: WhatsApp) może zaskarżyć wiążącą decyzję Europejskiej Rady Ochrony Danych (EROD) wydaną w toku unijnej procedury rozstrzygania sporów między organami nadzorczymi, związanej z postępowaniem irlandzkiego organu wobec WhatsApp.
- Geneza i oś czasu:
- Grudzień 2018 r. – wszczęcie postępowania przez irlandzki organ nadzorczy.
- Lipiec 2021 r. – EROD wydała wiążącą decyzję (w ramach mechanizmu z art. 65 RODO).
- Sierpień 2021 r. – irlandzki organ nałożył na WhatsApp administracyjną karę pieniężną łącznie 225 mln euro.
- Grudzień 2022 r. – Sąd UE odrzucił skargę WhatsApp jako niedopuszczalną.
- Następnie – WhatsApp zaskarżył to postanowienie do TSUE; TSUE je uchylił i przekazał sprawę do ponownego rozpoznania przez Sąd UE.
- Co zarzucono WhatsApp (wg irlandzkiego organu): naruszenie zasady przejrzystości i związanych z nią obowiązków informacyjnych wynikających m.in. z art. 5 ust. 1 lit. a), art. 12 ust. 1, art. 13 (kilka literek i ustępów) oraz art. 14 RODO.
- Co organ uznał za spełnione: w decyzji wskazano również elementy, w których WhatsApp miał wypełnić część obowiązków informacyjnych (m.in. art. 13 ust. 1 lit. a) i b) oraz art. 13 ust. 2 lit. b) i d) RODO).
- Rola decyzji EROD w decyzji irlandzkiego organu:
- Irlandzki organ musiał przyjąć decyzję końcową „na podstawie” decyzji EROD.
- Decyzja EROD została dołączona do decyzji końcowej (art. 65 ust. 6 RODO).
- W praktyce irlandzki organ w niektórych miejscach wprost przytoczył uzasadnienie EROD i wskazywał konsekwencje tych ustaleń.
- Stanowiska stron przed Sądem UE:
- WhatsApp: żądał stwierdzenia nieważności decyzji EROD (w całości lub części) oraz obciążenia EROD kosztami.
- EROD: wnosiła o odrzucenie skargi jako niedopuszczalnej (ewentualnie o oddalenie lub ograniczenie skutków ewentualnej nieważności) oraz o koszty.
- Dlaczego Sąd UE początkowo odrzucił skargę (2022): uznał, że decyzja końcowa irlandzkiego organu stanowi całość (obejmującą szeroką ocenę przejrzystości), a „wyjęcie” z niej elementów wynikających z decyzji EROD nie tworzyłoby odrębnej „poddecyzji”. Wskazano też, że wysokość kar była ustalana z uwzględnieniem wszystkich stwierdzonych uchybień, więc – w ocenie Sądu – nie spełniono przesłanek bezpośredniego dotknięcia WhatsApp przez samą decyzję EROD.
- Co przesądził TSUE:
- TSUE uchylił postanowienie o niedopuszczalności i przekazał sprawę do ponownego rozpoznania.
- Trybunał podkreślił zasady liczenia terminu na zaskarżenie aktu (art. 263 TFUE): w pierwszej kolejności liczy się publikacja lub notyfikacja, a dopiero pomocniczo – „powzięcie wiadomości”.
- W tej sprawie decyzja EROD nie była notyfikowana WhatsApp (bo EROD notyfikuje takie decyzje tylko organom nadzorczym, których sprawa dotyczy).
- TSUE wyjaśnił, że „publikacja” nie oznacza wyłącznie Dziennika Urzędowego UE; może obejmować także publikację na stronie internetowej instytucji/organów UE, jeśli przewiduje to prawo.
- Najważniejsze: TSUE uznał, że wiążąca decyzja EROD wydana na podstawie art. 65 RODO jest aktem organu UE wywołującym skutki prawne wobec osób trzecich i wyraża ostateczne stanowisko EROD w kwestiach, które ma rozstrzygnąć.
- W konsekwencji taka decyzja stanowi akt zaskarżalny w rozumieniu art. 263 TFUE – i to bez konieczności oceniania na tym etapie, czy istotnie zmieniła sytuację prawną WhatsApp.
- Wniosek praktyczny: wyrok TSUE wzmacnia możliwość sądowej kontroli wiążących decyzji EROD – administrator danych może próbować je zaskarżać bezpośrednio jako akty podlegające kontroli sądów UE (co najmniej na poziomie dopuszczalności skargi).
WSA: organ nadzorczy prawidłowo nałożył prawie 30 000 zł kary na Szpital
- Kontekst sprawy: w listopadzie 2022 r. do Prezesa UODO trafiła informacja, że w jednym ze szpitali omyłkowo wydano innemu pacjentowi dokumentację medyczną (m.in. imię i nazwisko, data urodzenia, PESEL oraz dane o stanie zdrowia).
- Reakcja UODO: Prezes UODO w pismach z 15 i 25 listopada 2022 r. zażądał od szpitala wyjaśnień, czy przeprowadzono analizę ryzyka i ocenę, czy doszło do naruszenia wymagającego zgłoszenia do UODO oraz poinformowania osoby, której dane dotyczą.
- Stanowisko szpitala (5 grudnia 2022 r.): szpital wskazał, że ponieważ pomyłka nie została zgłoszona w momencie jej wystąpienia, nie dało się jednoznacznie zidentyfikować incydentu; zadeklarował też sprawdzenie dokumentacji medycznej pacjentki i uznał ją za prawidłową.
- Działania zadeklarowane przez szpital: szpital poinformował, że zawiadomił pacjentkę o naruszeniu, odbył rozmowy z personelem i zaplanował szkolenie dotyczące postępowania w razie naruszeń ochrony danych.
- Dalsze żądania UODO (14 lutego 2023 r.): Prezes UODO wezwał szpital do przedstawienia wyników analizy ryzyka (w tym podstaw do uznania, że nie ma „wysokiego ryzyka”) oraz treści informacji przekazanej pacjentce.
- Odpowiedź szpitala (24 lutego 2023 r.): szpital przekazał wyniki analizy ryzyka oraz treść zawiadomienia skierowanego do pacjentki.
- Kluczowy problem – spóźnione zgłoszenie do UODO: szpital zgłosił naruszenie do Prezesa UODO dopiero 27 marca 2024 r. (po otrzymaniu informacji o wszczęciu postępowania), czyli z rażącym przekroczeniem wymaganego w RODO terminu 72 godzin.
- Braki w informacji dla pacjentki: przekazane zawiadomienie do osoby, której dane ujawniono, nie zawierało wszystkich wymaganych elementów – w szczególności opisu środków zastosowanych lub proponowanych przez administratora w celu zaradzenia naruszeniu i minimalizacji negatywnych skutków (wymóg art. 34 ust. 2 RODO).
- Decyzja Prezesa UODO: stwierdzono naruszenie:
- art. 33 ust. 1 RODO (obowiązek zgłoszenia naruszenia w 72 godziny),
- art. 34 ust. 1 i 2 RODO (obowiązek niezwłocznego i kompletnego poinformowania osoby, której dane dotyczą, przy wysokim ryzyku).
- Sankcje: nałożono administracyjną karę pieniężną 29 684,04 zł oraz nakazano zawiadomienie osoby, której dane zostały ujawnione.
- Wyrok WSA (październik 2025 r.): Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę szpitala i podtrzymał decyzję Prezesa UODO.
- Najważniejsze argumenty sądu:
- podstawą prawną kary był art. 83 ust. 4 lit. a) RODO (kary za naruszenia obowiązków administratora z art. 33 i 34 RODO),
- bezsporne było, że zgłoszenia dokonała osoba trzecia (Rzecznik Praw Pacjenta), a szpital zgłosił naruszenie organowi dopiero po ok. 16 miesiącach,
- ujawniono dane o zdrowiu (dane szczególnie wrażliwe), co sąd uznał za sytuację co do zasady wiążącą się z wysokim ryzykiem dla praw i wolności osoby,
- sąd skrytykował ocenę ryzyka szpitala jako lekceważącą („w zakresie normy”) w kontekście wrażliwości danych medycznych,
- organ wykazał, że zdarzenie spełnia kryteria „wysokiego ryzyka” (zgodnie z podejściem EROD) i że reakcja szpitala nie była niezwłoczna.
- Wniosek praktyczny: w przypadku omyłkowego ujawnienia danych medycznych szpital (administrator danych) powinien szybko ocenić ryzyko, co do zasady traktować takie zdarzenie jako poważne oraz zgłosić naruszenie do UODO w 72 godziny i niezwłocznie przekazać osobie poszkodowanej pełną, wymaganą prawem informację o naruszeniu i działaniach naprawczych.
WSA uchyla upomnienie Administratora za poinformowanie zarządu o przebywaniu pracownika na długotrwałym zwolnieniu lekarskim
- Kontekst: Pod koniec stycznia 2026 r. Wojewódzki Sąd Administracyjny (WSA) w Warszawie wydał orzeczenie, które może skłonić Prezesa UODO do zmiany podejścia do tego, co należy uznawać za dane dotyczące zdrowia. Prezes UODO w ostatnim czasie przyjmował szeroką interpretację (np. że już sama informacja o zakupie usługi medycznej może być daną o zdrowiu).
- O co chodziło w sprawie: Na posiedzeniu zarządu ujawniono informację, że pracownik „przebywa na zwolnieniu lekarskim” (długotrwałym).
- Spór o zakres ujawnionej informacji:
- Według pracownika wskazano także, jakiej specjalizacji lekarz wystawił zwolnienie.
- Według protokołu posiedzenia zarządu odpowiedź dotyczyła jedynie faktu długotrwałego zwolnienia lekarskiego.
- Stanowisko Prezesa UODO: Organ uznał, że samo publiczne ujawnienie powodu nieobecności (zwolnienie lekarskie) to przetwarzanie danych dotyczących zdrowia i że pracodawca nie miał podstawy prawnej do takiego działania.
- Skutek decyzji UODO: Administrator (pracodawca) otrzymał upomnienie za „udostępnienie danych osobowych” poprzez ujawnienie na posiedzeniu zarządu informacji o długotrwałym zwolnieniu lekarskim pracownika (we wrześniu 2021 r.).
- Rozstrzygnięcie WSA: Sąd uchylił decyzję Prezesa UODO.
- Kluczowe tezy WSA (najważniejsze wnioski):
- WSA uznał, że na podstawie ustaleń w tej sprawie co najmniej przedwczesna była ocena, że informacja o długotrwałym zwolnieniu lekarskim na pewno stanowi dane dotyczące zdrowia w rozumieniu przepisów.
- Sąd skrytykował Prezesa UODO za to, że nie odniósł się do wyjaśnień skarżącego (pracodawcy) i nie przeanalizował przepisów w odniesieniu do konkretnych okoliczności sprawy.
- WSA podkreślił znaczenie kontekstu: informacja została przekazana na posiedzeniu zarządu organizacji będącej pracodawcą, w ramach wyjaśniania kwestii nieobecności pracownika.
- Sąd wskazał, że pracodawca nie może być pozbawiony możliwości prowadzenia postępowania wyjaśniającego dotyczącego obecności pracownika i wykonywania obowiązków – również poprzez przekazanie informacji na posiedzeniu organu kolegialnego.
- WSA zaznaczył, że trudno oczekiwać, aby pracodawca musiał całkowicie powstrzymać się od ujawnienia faktu zwolnienia lekarskiego, gdy na posiedzeniu wyjaśniane są kwestie nieobecności pracownika.
- Uzasadnienie decyzji UODO zostało ocenione jako lakoniczne i oparte na tezach bez należytego odniesienia do ustalonego stanu faktycznego.
- Dlaczego to orzeczenie jest ważne: Wyrok może być sygnałem, że nie każde przekazanie informacji o zwolnieniu lekarskim automatycznie powinno być traktowane jako ujawnienie danych o zdrowiu, a UODO powinien dokładniej analizować konkretne okoliczności i uzasadniać swoje decyzje.
Administratorem danych osobowych jest Lex Artist sp. z o.o., ul. Szańcowa 74/1, 01-458 Warszawa. Dane osobowe będą przetwarzane w celu umieszczenia i obsługi komentarza na blogu. Przysługują Panu/Pani następujące prawa: prawo dostępu do treści danych, prawo do sprostowania danych, prawo do usunięcia danych, prawo do ograniczenia przetwarzania danych, prawo do wniesienia sprzeciwu, prawo do wniesienia skargi do organu nadzorczego. Pełna treść klauzuli informacyjnej znajduje się tutaj.
Zanonimizowany ciąg znaków stworzony na podstawie Pani/Pana adresu email (tak zwany hash) może zostać przesłany do usługi Gravatar w celu sprawdzenia czy jej Pan/Pani używa. Polityka prywatności usługi Gravatar jest dostępna tutaj. Po zatwierdzeniu komentarza obrazek profilowy jest widoczny publicznie w kontekście twojego komentarza.