Ustawa o zarządzaniu danymi już obowiązuje » Zgodność z AI Act to za mało. Są jeszcze inne przepisy » Z raportów wynika, że prace nad bezpieczeństwem w sieci idą zbyt wolno»Administracyjny Sąd w Sofii: atak ransomware nie dowodzi jeszcze naruszenia art. 32 RODO » UODO wspiera inicjatywy na rzecz świadomości i bezpieczeństwa informacyjnego » Za ochronę danych osobowych odpowiadają administrator i podmiot przetwarzający » NSA: rozmowa w pracy nie oznacza upublicznienia danych o związku zawodowym » Smartfony na oddziałach psychiatrycznych mogą prowadzić do naruszenia ochrony danych osobowych » Czy bank może przechowywać dane niedoszłego klienta? NSA rozstrzygnął spór » Ochrona danych dzieci w cyberprzestrzeni była tematem debaty w Senacie
⬇️ Pobierz W PDF
Praktyczny poradnik o wdrażaniu RODO
Książka RODOLOGIA to kompleksowy przewodnik po RODO, który pomaga wdrożyć ochronę danych osobowych w sposób prosty, szybki i skuteczny. Ponad 500 stron praktycznej wiedzy podanej w przystępnej formie i zrozumiałym języku. A wszystko to podane w pięknej, premium formie. Dowiedz się więcej o RODOLOGII: SprawdźUstawa o zarządzaniu danymi już obowiązuje
- Kontekst: 23 lipca 2026 r. weszła w życie ustawa z 27 marca 2026 r. o zarządzaniu danymi. Uzupełnia ona unijne rozporządzenie DGA (Data Governance Act, UE 2022/868), tak aby przepisy o zarządzaniu danymi mogły w pełni działać w polskim systemie prawnym.
- Nowe kompetencje Prezesa UODO: wraz z wejściem w życie ustawy Prezes UODO stał się organem właściwym m.in. dla:
- usług pośrednictwa danych (art. 13 DGA),
- rejestracji organizacji altruizmu danych (art. 23 DGA),
- naruszeń obowiązków dotyczących przekazywania danych nieosobowych do państw trzecich (art. 5 ust. 14 oraz art. 31 DGA).
- Po co jest DGA (cel regulacji): zwiększenie zaufania do dzielenia się danymi i zapewnienie większej kontroli nad danymi osobom, których dane dotyczą, oraz posiadaczom danych.
- Efekt, do którego dąży DGA: rozwój europejskich „przestrzeni danych” (np. zdrowie, mobilność, środowisko), ograniczanie barier na rynku wewnętrznym UE oraz wsparcie konkurencyjnej i bezpiecznej gospodarki opartej na danych (korzyści dla obywateli i firm, w tym MŚP i start-upów).
- Zgłoszenie dostawców usług pośrednictwa danych (obowiązkowe): od 23 lipca 2026 r. każdy podmiot, który chce świadczyć usługi pośrednictwa danych, musi zgłosić się do Prezesa UODO (art. 11 ust. 1 DGA). Zakres informacji wymaganych w zgłoszeniu określa art. 11 ust. 6 DGA.
- Potwierdzenie zgodności i oznakowanie: na wniosek dostawcy Prezes UODO może potwierdzić, że dostawca przestrzega art. 11 i 12 DGA. Po otrzymaniu potwierdzenia dostawca może używać oznaczenia „uznany w Unii dostawca usług pośrednictwa danych” oraz wspólnego logo (art. 11 ust. 9 DGA).
- Start działalności i zasięg w UE: po zgłoszeniu dostawca może rozpocząć działalność (z zastrzeżeniem warunków rozdziału III DGA), a zgłoszenie umożliwia świadczenie takich usług we wszystkich państwach UE.
- Czym jest usługa pośrednictwa danych (w uproszczeniu): to usługa, która za pomocą rozwiązań technicznych/prawnych pomaga tworzyć relacje (w tym handlowe) między:
- osobami, których dane dotyczą, oraz posiadaczami danych
- a użytkownikami danych,
- Co do zasady obejmuje pośrednictwo danych (art. 10 DGA):
- pośrednictwo między posiadaczami danych a potencjalnymi użytkownikami danych (np. platformy/bazy danych/infrastruktura do wymiany lub wspólnego wykorzystywania danych),
- pośrednictwo między osobami udostępniającymi dane (osobowe lub nieosobowe) a użytkownikami danych, w tym narzędzia ułatwiające realizację praw wynikających z RODO,
- usługi świadczone przez spółdzielnie danych.
- Czego nie uznaje się za usługę pośrednictwa danych: m.in. usług polegających na agregowaniu/wzbogacaniu danych i licencjonowaniu ich bez tworzenia relacji handlowej między użytkownikiem a posiadaczem danych, pośrednictwa treści chronionych prawem autorskim, rozwiązań „wewnętrznych” dla jednego posiadacza danych lub zamkniętej grupy (np. w ramach relacji umownych), oraz usług publicznych bez celu ustanowienia relacji handlowych.
- Rejestr unijny dostawców: po zgłoszeniu do UODO informacje trafiają do Komisji Europejskiej, która prowadzi publiczny rejestr dostawców usług pośrednictwa danych w UE: https://digital-strategy.ec.europa.eu/pl/policies/data-intermediary-services
- Rejestracja organizacji altruizmu danych (dobrowolna): od 23 lipca 2026 r. organizacje altruizmu danych mogą składać do Prezesa UODO wniosek o wpis do publicznego krajowego rejestru uznanych organizacji altruizmu danych.
- Ważne: DGA przewiduje dobrowolność rejestracji – działalność altruizmu danych nie jest zakazana również podmiotom niezarejestrowanym.
- Korzyść z rejestracji: możliwość używania oznaczenia „uznana w Unii organizacja altruizmu danych” oraz wspólnego logo; rejestracja jest uznawana we wszystkich państwach UE.
- Termin rozpatrzenia: jeśli wniosek zawiera komplet informacji, Prezes UODO po ocenie i potwierdzeniu spełnienia wymogów (art. 18 DGA) dokonuje rejestracji w terminie 12 tygodni od otrzymania wniosku (art. 19 ust. 5 DGA).
- Na czym polega altruizm danych: to dobrowolne udostępnianie danych (osobowych na podstawie zgody lub nieosobowych na podstawie pozwolenia posiadacza) bez wynagrodzenia poza zwrotem kosztów – na cele leżące w interesie ogólnym (np. zdrowie, klimat, mobilność, statystyka publiczna, lepsze usługi publiczne, polityki publiczne, badania naukowe).
- Rejestry altruizmu danych:
- krajowy rejestr prowadzi Prezes UODO w formie elektronicznej,
- Komisja Europejska prowadzi unijny rejestr informacyjny: https://digital-strategy.ec.europa.eu/pl/policies/data-altruism-organisations
- Kontakt (dla zainteresowanych): Departament Innowacyjności i Zarządzania Danymi w UODO – dizd@uodo.gov.pl
Zgodność z AI Act to za mało. Są jeszcze inne przepisy
- Kontekst: wejście w życie AI Act może sugerować, że UE kompleksowo uregulowała korzystanie ze sztucznej inteligencji. W praktyce AI Act wprowadza głównie model regulacji oparty na ryzyku (praktyki zakazane, wymogi dla systemów wysokiego ryzyka, obowiązki uczestników rynku), ale nie rozwiązuje wszystkich problemów prawnych związanych z wdrażaniem i używaniem AI.
- Kluczowy wniosek: system może być zgodny z AI Act, a jednocześnie naruszać inne przepisy. Różne reżimy prawne nakładają się (nie zastępują), tworząc odmienne obowiązki, zasady odpowiedzialności i mechanizmy egzekwowania.
- Przykłady „zgodne z AI Act, ale nadal nielegalne”:
- narzędzie rekrutacyjne ma nadzór człowieka, ale przetwarza dane kandydatów bez właściwej podstawy prawnej (RODO),
- chatbot informuje, że jest AI, ale przekazuje konsumentom informacje wprowadzające w błąd (prawo konsumenckie),
- generator treści nie jest „wysokiego ryzyka”, ale tworzy materiały naruszające prawa autorskie.
- Dlaczego samo pytanie „czy to jest zgodne z AI Act?” nie wystarcza: trzeba ustalić m.in. jakie dane system wykorzystuje, na kogo oddziałuje, jakie treści generuje oraz kto poniesie skutki błędów lub szkód.
- Co reguluje AI Act (w uproszczeniu): przede wszystkim bezpieczeństwo i zasady korzystania z AI, w tym wymagania dla systemów wysokiego ryzyka, obowiązki dostawców i użytkowników, przejrzystość oraz nadzór człowieka. AI Act nie rozstrzyga m.in. legalności przetwarzania danych, kwestii praw autorskich do treści czy odpowiedzialności odszkodowawczej za szkody.
- RODO – pytanie „czy wolno wykorzystywać dane?”
- RODO decyduje, czy organizacja może użyć konkretnych danych osobowych w AI.
- Obejmuje m.in. podstawy przetwarzania, obowiązki administratora, prawa osób, transfery poza EOG, umowy powierzenia.
- W praktyce wiele wdrożeń AI podlega jednocześnie AI Act i RODO (m.in. przejrzystość, bezpieczeństwo, oceny ryzyka, incydenty).
- Prawo autorskie – pytanie „kto ma prawa do efektów pracy AI?”
- Istotne są zarówno treści wygenerowane, jak i dane do trenowania oraz materiały użyte w promptach.
- Ryzyko naruszeń praw osób trzecich oraz zasady komercyjnego wykorzystania wynikają głównie z prawa autorskiego i umowy z dostawcą, a nie z AI Act.
- Tajemnica przedsiębiorstwa – pytanie „czego nie wolno wpisywać do AI?”
- Dużym ryzykiem jest ujawnienie informacji poufnych do publicznych modeli generatywnych.
- Ochrona wynika przede wszystkim z przepisów o zwalczaniu nieuczciwej konkurencji oraz z umów (np. NDA, zobowiązania wobec kontrahentów).
- Prawo pracy – pytanie „jak używać AI wobec pracowników?”
- Dotyczy m.in. rekrutacji, oceny pracy, automatyzacji procesów HR.
- Trzeba łącznie brać pod uwagę AI Act (np. systemy wysokiego ryzyka), RODO oraz przepisy prawa pracy, w tym wpływ na prawa pracowników i organizację pracy.
- Odpowiedzialność za produkt / cywilna – pytanie „kto zapłaci za szkodę?”
- Spełnienie wymagań AI Act nie wyłącza odpowiedzialności za szkody wyrządzone przez produkt/usługę wykorzystujące AI.
- Ryzyko dotyczy nie tylko producentów, ale też firm wdrażających AI do własnych rozwiązań.
- Prawo konsumenckie – pytanie „czy klient został właściwie poinformowany?”
- W relacjach z klientami (chatboty, asystenci, rekomendacje) liczą się nie tylko obowiązki przejrzystości z AI Act.
- Kluczowe są: obowiązki informacyjne, zakaz wprowadzania w błąd i odpowiedzialność za komunikaty generowane przez AI.
- Fakt, że treść wygenerowała AI, nie zwalnia przedsiębiorcy z odpowiedzialności wobec konsumenta.
- Najważniejsza rekomendacja organizacyjna: AI Governance zamiast samego AI Compliance
- Błąd firm: utożsamianie „zgodności z AI Act” z „legalnością całego wdrożenia”.
- Potrzebny jest całościowy model zarządzania AI (AI Governance): łączenie wymogów prawnych z zarządzaniem ryzykiem prawnym, organizacyjnym i operacyjnym.
- Wymaga współpracy wielu funkcji: prawo, compliance, ochrona danych, bezpieczeństwo informacji, HR, IT, zakupy, zarząd.
- Końcowy wniosek: AI Act nie zamyka dyskusji o zgodności z prawem – raczej ją rozpoczyna. Przewagę zyskają organizacje, które wdrożą nie tylko wymagania rozporządzenia, ale również spójne AI Governance obejmujące wszystkie mające zastosowanie przepisy.
Z raportów wynika, że prace nad bezpieczeństwem w sieci idą zbyt wolno
- Kontekst: niemal jednocześnie opublikowano wyniki kontroli NIK oraz raport przygotowany dla Komisji Europejskiej o bezpieczeństwie dzieci i młodzieży w internecie. Oba dokumenty pokazują, że mimo wielu inicjatyw nadal jest dużo do zrobienia, aby skutecznie ograniczyć kontakt małoletnich ze szkodliwymi treściami i mechanizmami uzależniającymi.
- Wnioski NIK: problem dostępu dzieci do treści szkodliwych, niebezpiecznych i pornograficznych pozostaje od lat nierozwiązany; nie wdrożono rozwiązań, które realnie i skutecznie wspierałyby ochronę najmłodszych w sieci.
- Dlaczego państwo działa nieskutecznie (opinia dr. Macieja Dębskiego):
- odpowiedzialność jest rozproszona między różne resorty i instytucje, a brak jednego podmiotu „odpowiedzialnego za efekt” powoduje, że projekty latami nie wchodzą w życie;
- Polska jako jedyny kraj UE nie ustanowiła stałego koordynatora ds. usług cyfrowych, a przepisy pozwalające w pełni stosować DSA (Akt o usługach cyfrowych) nadal nie zostały wdrożone;
- temat bywa traktowany głównie edukacyjnie (kampanie informacyjne), ale bez mierzenia skuteczności – państwo nie wie, co działa, a co nie.
- Rola platform cyfrowych (opinia Moniki Rosy): duża część ryzyk wynika z mechanizmów stosowanych przez platformy (algorytmy podpowiadające treści, rozwiązania wzmacniające nawyk „scrollowania”), które mogą kierować dzieci do nieodpowiednich materiałów nawet bez ich aktywnego szukania.
- Nowe działania rządu po kontroli: rząd przyjął pakiet projektów ustaw mających zwiększyć bezpieczeństwo dzieci w sieci, m.in.:
- zakaz korzystania z telefonów komórkowych w szkołach podstawowych,
- zmiany w kodeksie karnym penalizujące patostreaming.
- Luki wskazywane przez ekspertów: obecne prace nie obejmują wszystkich zagrożeń, takich jak treści proprzemocowe i prosuicydalne, hazard, dezinformacja; brakuje też regulacji dotyczących rekomendacji algorytmicznych, gier i chatbotów AI oraz twardego obowiązku oceny (ewaluacji) skuteczności działań edukacyjnych.
- Rekomendacje NIK do Ministerstwa Cyfryzacji:
- pilne wdrożenie kompleksowych rozwiązań chroniących dzieci przed szkodliwymi treściami,
- zacieśnienie współpracy między instytucjami odpowiedzialnymi za bezpieczeństwo małoletnich,
- wzmocnienie edukacji dla rodziców,
- wprowadzenie mierników do oceny skuteczności programów edukacji i „higieny cyfrowej”.
- Stanowisko Ministerstwa Cyfryzacji:
- w Sejmie procedowana jest ustawa o ochronie dzieci przed dostępem do treści pornograficznych w internecie;
- resort pracuje nad ustawą tworzącą krajowy system przetwarzania, analizy i klasyfikacji treści dotyczących seksualnego wykorzystywania małoletnich (CSAM) – ma to wspierać organy ścigania w identyfikacji takich materiałów;
- deklarowana jest współpraca z instytucjami publicznymi (m.in. z Rzecznikiem Praw Dziecka) oraz rozwijanie działań edukacyjnych dla rodziców, opiekunów i nauczycieli (m.in. w ramach OSE).
- Raport dla Komisji Europejskiej: przedstawia rekomendacje dotyczące najlepszego podejścia do bezpieczeństwa dzieci w sieci; nie jest prawnie wiążący, ale Komisja zapowiada wykorzystanie go w dalszych działaniach (możliwe propozycje legislacyjne lub standardy techniczne, programy edukacyjne, wsparcie nadzoru).
- Najdalej idąca propozycja unijna: przeniesienie ciężaru dowodu na dostawców usług cyfrowych – to oni mieliby wykazywać, że ich serwisy są bezpieczne i odpowiednie dla wieku dziecka, zanim dzieci z nich skorzystają.
- „Twarde” obowiązki dla platform (kierunek rekomendacji): przekształcanie wytycznych w obowiązki, w tym domyślne wyłączanie dla małoletnich funkcji uznanych za szkodliwe, takich jak niekończące się przewijanie, autoodtwarzanie, ciągłe powiadomienia i algorytmy rekomendacji nastawione na utrzymywanie uwagi.
- Odpowiedzialność ma być współdzielona: zalecenia raportu obejmują nie tylko platformy, ale też państwa, szkoły, lekarzy i rodziców – od edukacji medialnej i rozumienia AI po wsparcie psychologiczne dla nastolatków.
- Propozycje dotyczące wieku i dostępu:
- limit 13 lat w UE dla mediów społecznościowych (z zabezpieczeniami adekwatnymi do wieku i ryzyka), przy możliwości wprowadzania ostrzejszych zasad przez państwa,
- dzieci do 3. roku życia – brak kontaktu z ekranami; młodsze dzieci – korzystanie pod nadzorem dorosłych lub w celach szkolnych,
- „pełna cyfrowa dorosłość” dopiero od 18 lat, a dostęp do treści dla dorosłych miałby wymagać weryfikacji wieku.
- Szerokie ujęcie usług („media społecznościowe plus”): raport obejmuje także gry, komunikatory, platformy wideo, sklepy z aplikacjami oraz narzędzia AI budujące relacje – czyli usługi, które nie zawsze są formalnie „social mediami”, ale działają podobnymi mechanizmami angażowania.
- Chatboty i „towarzysze AI”: raport zwraca uwagę, że wielu nastolatków rozmawia z narzędziami AI o sprawach intymnych; rekomendacja to ograniczenie kontaktu dzieci z chatbotami udającymi relację bez nadzoru oraz powiązanie dostępu z weryfikacją wieku.
Administracyjny Sąd w Sofii: atak ransomware nie dowodzi jeszcze naruszenia art. 32 RODO
- Kontekst: Wyrok Administracyjnego Sądu w Sofii z 23 lipca 2026 r. (pełny tekst w bazie Judykatura) dotyczy skutków ataku ransomware na szpital i pokazuje, że sam fakt incydentu bezpieczeństwa nie oznacza automatycznie, iż administrator danych miał nieadekwatne zabezpieczenia w rozumieniu RODO.
- Co się wydarzyło: 8 lutego 2024 r. doszło do cyberataku na systemy specjalistycznego szpitala okulistycznego; ransomware zaszyfrowało m.in. serwery, systemy rejestracji pacjentów i bazy danych.
- Skala sprawy: incydent dotyczył danych 15 779 osób (łącznie 32 122 rekordy), w tym 106 osób poniżej 18. roku życia oraz danych wrażliwych dotyczących zdrowia.
- Decyzja organu (KZLD): bułgarski organ ochrony danych uznał, że doszło do naruszenia dostępności, a prawdopodobnie także poufności danych, i:
- nakazał wdrożenie okresowej analizy ryzyka i audytów,
- nałożył karę administracyjną 70 000 lewów.
- Kluczowe stanowisko sądu: nieuprawniony dostęp lub ujawnienie danych nie wystarczają same w sobie, aby uznać, że środki techniczne i organizacyjne były nieodpowiednie (nawiązanie do podejścia TSUE w sprawie C-340/21).
- Ransomware ≠ automatyczna wina administratora: skuteczny atak ransomware nie tworzy domniemania naruszenia obowiązków z art. 24 i 32 RODO. Sąd odrzucił podejście „skoro doszło do ataku, to zabezpieczenia były złe”.
- Jakie zabezpieczenia brano pod uwagę: z opinii biegłego wynikało, że szpital miał m.in. router z zaporą, sieć bez otwartych portów do internetu, dostęp jedynie przez VPN z ograniczonej listy adresów IP oraz zabezpieczone pomieszczenie serwerowe.
- Istotne fakty czasowe: system wykrywania nietypowych aktywności wysłał alarm o 03:17; szyfrowanie rozpoczęło się o 05:19; internet odłączono o 06:10.
- Ważna zasada z art. 32 RODO: wymóg bezpieczeństwa nie oznacza całkowitej odporności na atak, tylko zastosowanie środków współmiernych do realnego ryzyka (z uwzględnieniem stanu techniki i kosztów).
- Spór o „kradzież danych”: KZLD częściowo opierała się na twierdzeniach sprawców o kradzieży 10 TB danych, ale biegły uznał taki transfer za technicznie niemożliwy w dostępnym czasie i przy przepustowości łącza.
- Eksfiltracja nie została udowodniona: sąd wskazał, że nie wykazano niewątpliwie, by dane zostały przesłane do nieuprawnionych osób trzecich; sam fakt zaszyfrowania systemów nie wystarcza do uznania „ujawnienia danych” w rozumieniu art. 4 pkt 12 RODO.
- Ciężar dowodu: to KZLD musiała wykazać konkretną eksfiltrację danych oraz konkretnie uzasadnić, dlaczego środki sprzed incydentu były nieadekwatne.
- Dodatkowe okoliczności: szpital miał dokumentację dotyczącą ochrony danych i procedur; obsługa pacjentów nie została wstrzymana (m.in. dzięki archiwum papierowemu), a część stacji roboczych nie została objęta atakiem.
- Rozstrzygnięcie: sąd uchylił w całości decyzję KZLD (zarówno nakaz, jak i karę 70 000 lewów) i zasądził na rzecz szpitala koszty postępowania 3116,95 euro.
- Status wyroku: orzeczenie nie jest prawomocne; przysługuje odwołanie do Naczelnego Sądu Administracyjnego Bułgarii w terminie 14 dni od zawiadomienia stron.
- Najważniejsze wnioski praktyczne:
- Skuteczny atak ransomware nie jest samodzielnym dowodem naruszenia art. 32 RODO.
- Adekwatność zabezpieczeń ocenia się konkretnie, w odniesieniu do realnych ryzyk i środków istniejących przed incydentem.
- Deklaracje sprawców o kradzieży danych nie zastępują dowodu ich faktycznej eksfiltracji.
- Jeśli nie udowodniono naruszeń art. 24 i 32 RODO, to brakuje podstaw do nakazów naprawczych i kar pieniężnych opartych na tych naruszeni.
UODO wspiera inicjatywy na rzecz świadomości i bezpieczeństwa informacyjnego
- Kontekst: 23 lipca 2026 r. w Senacie RP zainaugurowano Komitet Programowy Roku Świadomości i Bezpieczeństwa Informacyjnego. Senat ustanowił rok 2027 Rokiem Świadomości i Bezpieczeństwa Informacyjnego, aby rozwijać kompetencje medialne i cyfrowe społeczeństwa oraz wzmacniać odporność na dezinformację.
- W spotkaniu uczestniczyła zastępczyni Prezesa UODO Agnieszka Grzelak, która podkreśliła, że inicjatywa Senatu jest spójna z wieloletnimi działaniami edukacyjnymi UODO.
- UODO od lat prowadzi działania wzmacniające świadomość w obszarze bezpieczeństwa informacji i ochrony danych, w tym m.in. ogólnopolski program edukacyjny „Twoje dane – Twoja sprawa” realizowany od 17 lat.
- Wskazano także na inicjatywy kierowane do seniorów oraz liczne działania edukacyjne dla różnych środowisk i grup wiekowych, budujące kompetencje cyfrowe i wiedzę o ochronie danych osobowych.
- Dr hab. Agnieszka Grzelak prof. ALK zadeklarowała gotowość UODO do aktywnego udziału w przedsięwzięciach realizowanych w ramach Roku Świadomości i Bezpieczeństwa Informacyjnego.
- Zaproponowano m.in. organizację Gali Finałowej programu „Twoje dane – Twoja sprawa” w Kancelarii Senatu.
- UODO zapowiedziało również udział swoich przedstawicieli oraz Społecznego Zespołu Ekspertów przy Prezesie UODO w wydarzeniach dotyczących edukacji cyfrowej i bezpieczeństwa informacyjnego.
- Zastępczyni Prezesa UODO zaprosiła przedstawicieli Senatu do udziału w planowanym Kongresie Ochrony Danych Osobowych oraz w pracach jego rady programowej.
- Najważniejszy wniosek: zapowiadane działania mają wzmocnić współpracę instytucji publicznych i wesprzeć budowanie świadomego oraz bezpiecznego społeczeństwa cyfrowego, co jest jednym z kluczowych obszarów aktywności UODO.
Za ochronę danych osobowych odpowiadają administrator i podmiot przetwarzający
- Kontekst: Prezes Urzędu Ochrony Danych Osobowych (UODO) Mirosław Wróblewski nałożył administracyjne kary pieniężne na Starostę Powiatu Lubartowskiego oraz na Wojewódzkie Biuro Geodezji i Urządzania Terenów Rolnych w Lublinie w związku z naruszeniem przepisów RODO.
- Co się wydarzyło: w 2023 r. zgłoszono do UODO naruszenie ochrony danych po kradzieży służbowego laptopa pracownika Wojewódzkiego Biura Geodezji.
- Skala i rodzaj danych: incydent dotyczył utraty poufności danych ok. 700 osób, w tym m.in.:
- imion i nazwisk,
- dat urodzenia,
- adresów zamieszkania,
- numerów PESEL,
- serii i numerów dowodów osobistych,
- numerów ksiąg wieczystych.
- Dlaczego UODO zajął się sprawą: samo zgłoszenie incydentu stało się impulsem do sprawdzenia, czy administrator (Starosta) oraz podmiot przetwarzający (Biuro) wdrożyli adekwatne środki bezpieczeństwa.
- Główne ustalenia wobec administratora: UODO stwierdził naruszenia RODO, w tym:
- brak wdrożenia odpowiednich środków technicznych i organizacyjnych,
- brak rzetelnej weryfikacji podmiotu przetwarzającego pod kątem zabezpieczeń (administrator przyjął „z góry”, że procedury są wystarczające).
- Kluczowy problem w analizie ryzyka: nie uwzględniono realnego zagrożenia, jakim jest kradzież sprzętu, ponieważ zakładano, że pracownicy nie przetwarzają danych poza siedzibą i/lub nie mają na to zgody.
- Dlaczego to założenie było błędne: ze względu na specyfikę prac realizowanych przez podmiot przetwarzający (m.in. działania związane ze scaleniem gruntów) właściwa analiza zagrożeń i dobór zabezpieczeń były niezbędne.
- Co zmieniono po incydencie: wdrożono m.in. szyfrowanie dysków; UODO wskazał, że zastosowane wcześniej mogło zapobiec odczytaniu danych ze skradzionego laptopa i utracie poufności.
- Wnioski UODO dot. zarządzania ryzykiem: zarządzanie ryzykiem to fundament ochrony danych i proces ciągły; analiza ryzyka powinna być udokumentowana, konkretna i powiązana z realnym procesem przetwarzania.
- Luki w działaniach organizacyjnych: poza testowaniem zabezpieczeń technicznych nie sprawdzano skuteczności środków organizacyjnych, np.:
- nadzoru nad urządzeniami przenośnymi,
- zasad wynoszenia sprzętu poza obszar przetwarzania danych,
- egzekwowania zakazu pozostawiania urządzeń bez nadzoru.
- Co wymaga RODO: dane muszą być przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo, w tym ochronę przed niedozwolonym przetwarzaniem oraz przed przypadkową utratą, zniszczeniem lub uszkodzeniem.
- Zasada rozliczalności: administrator musi umieć wykazać, że przestrzega zasad przetwarzania i że wdrożone środki są adekwatne.
- Odpowiedzialność nie tylko po stronie administratora: podmiot przetwarzający ma obowiązek współdziałać z administratorem i pomagać mu w realizacji obowiązków (w tym w doborze i wdrożeniu zabezpieczeń).
- Ocena podmiotu przetwarzającego: w tej sprawie nie tylko nie wspierał administratora, ale jego nierzetelność miała przyczynić się do naruszenia przepisów.
NSA: rozmowa w pracy nie oznacza upublicznienia danych o związku zawodowym
- Kontekst: Wyrok Naczelnego Sądu Administracyjnego (NSA) z 8 lipca 2026 r. doprecyzowuje, kiedy można legalnie przetwarzać dane wrażliwe (szczególnej kategorii) na podstawie wyjątku, że dana osoba wcześniej sama i w sposób oczywisty upubliczniła te informacje (art. 9 ust. 2 lit. e RODO). Sprawa dotyczyła ujawnienia współpracownikom informacji o przynależności związkowej pracownicy.
- Rozstrzygnięcie: NSA oddalił skargę kasacyjną gminnego ośrodka pomocy społecznej i potwierdził, że ujawnienie współpracownikom informacji o przynależności związkowej pracownicy naruszało RODO.
- Co było sporne: Nie kwestionowano, że przynależność związkowa to dane szczególnej kategorii. Spór dotyczył tego, czy pracodawca mógł skorzystać z wyjątku, bo pracownica rzekomo wcześniej „upubliczniła” tę informację.
- Kiedy działa wyjątek „upublicznienia” (art. 9 ust. 2 lit. e RODO): NSA wskazał, że muszą być spełnione łącznie dwie przesłanki:
- dane zostały upublicznione,
- upublicznienia dokonała sama osoba, której dane dotyczą.
- Co oznacza „upublicznienie”: To podanie danych do wiadomości publicznej, czyli potencjalnie nieograniczonej liczbie osób (np. w mediach, na ogólnodostępnych forach internetowych, na oficjalnym zebraniu pracowników, w którym potencjalnie mogli uczestniczyć wszyscy).
- Czego nie uznano za upublicznienie: Przekazanie informacji o danych wrażliwych tylko jednej osobie lub zamkniętej, ściśle określonej grupie (np. wybranym współpracownikom) nie spełnia warunku „upublicznienia”.
- „Samo twierdzenie to za mało”: Administrator (pracodawca) nie może ograniczyć się do ogólnego stwierdzenia, że pracownica upubliczniła dane. Musi wskazać kiedy i w jakich okolicznościach miało do tego dojść oraz to wykazać.
- Ustalenia w tej sprawie: Nie potwierdzono, aby pracownica wcześniej w sposób „oczywisty” i publiczny upubliczniła swoją przynależność związkową. Pracodawca nie wykazał spełnienia przesłanki z art. 9 ust. 2 lit. e RODO.
- Skutek prawny: Skoro nie było podstaw do zastosowania wyjątku, ujawnienie informacji o przynależności związkowej naruszało:
- art. 9 ust. 1 RODO (zakaz przetwarzania danych szczególnej kategorii bez podstawy),
- art. 5 ust. 1 lit. a RODO (zasada zgodności z prawem, rzetelności i przejrzystości).
- Stanowisko UODO: Prezes UODO mógł zastosować środek naprawczy w postaci upomnienia, bo rozpowszechnianie danych wrażliwych jest formą ich przetwarzania.
- Wniosek praktyczny: To, że informacja „krąży” w miejscu pracy lub jest znana części osób, nie oznacza automatycznie, że została „upubliczniona” w rozumieniu RODO. Pracodawca musi mieć wyraźną podstawę prawną do ujawniania danych wrażliwych i nie może opierać się na nieudokumentowanych założeniach.
Smartfony na oddziałach psychiatrycznych mogą prowadzić do naruszenia ochrony danych osobowych
- Kontekst: Prezes UODO Mirosław Wróblewski przekazał ministrowi zdrowia petycję o wprowadzenie systemowych zmian dotyczących zasad korzystania z telefonów komórkowych przez pacjentów przebywających na zamkniętych oddziałach psychiatrycznych.
- Dlaczego UODO się tym zajmuje: sprawa dotyczy bardzo wrażliwych danych – wizerunku, danych osobowych oraz danych o zdrowiu pacjentów (dane sensytywne).
- Brak jasnych przepisów: autorzy petycji wskazują, że korzystanie ze smartfonów na oddziałach zamkniętych nie jest dotąd odpowiednio uregulowane, co przy nieograniczonym dostępie może zagrażać prawom pacjentów.
- Potencjalne zagrożenia: niekontrolowane używanie smartfonów może naruszać prywatność pacjentów i ich autonomię informacyjną (kontrolę nad tym, kto i w jakim celu ma dostęp do informacji o nich).
- Prawo pacjentów do kontaktu: pacjenci w placówkach leczniczych mają prawo do kontaktu telefonicznego lub korespondencyjnego z innymi osobami.
- Smartfon to nie tylko telefon: współczesne urządzenia umożliwiają też nagrywanie dźwięku i obrazu, publikowanie materiałów, transmisje na żywo oraz korzystanie z internetu i mediów społecznościowych – co wykracza poza sam kontakt z bliskimi.
- Ryzyko naruszeń prawa: nieuprawnione ujawnienie w przestrzeni publicznej informacji o stanie zdrowia pacjentów może stanowić naruszenie przepisów o ochronie danych osobowych.
- Szczególna sytuacja pacjentów: osoby na zamkniętych oddziałach psychiatrycznych mogą mieć obniżoną zdolność oceny skutków swoich działań, co zwiększa ryzyko nieprzemyślanego udostępniania treści.
- Możliwe skutki: publikacje (np. nagrania, zdjęcia, wpisy) mogą być nieodwracalne i powodować poważne konsekwencje także po zakończeniu hospitalizacji.
- Co dalej: UODO nie ma inicjatywy ustawodawczej, ale ze względu na wagę problemu zadeklarował gotowość udzielenia eksperckiego wsparcia, jeśli rozpoczną się prace legislacyjne w tym obszarze.
Czy bank może przechowywać dane niedoszłego klienta? NSA rozstrzygnął spór
- Kontekst: Artykuł dotyczy tego, czy bank oraz Biuro Informacji Kredytowej (BIK) mogą dalej przechowywać i przetwarzać dane osoby, której odmówiono kredytu. Z orzeczenia wynika, że co do zasady nie mają do tego prawa, bo po odmowie przetwarzanie danych byłoby oderwane od celu, dla którego je zebrano.
- Co się wydarzyło: Obywatel złożył skargę do prezesa Urzędu Ochrony Danych Osobowych (PUODO), ponieważ bank – mimo odmowy kredytu – nadal przetwarzał jego dane, a dane trafiły też do bazy BIK.
- Żądanie skarżącego: Nakazanie bankowi zaprzestania przetwarzania oraz zobowiązanie BIK do usunięcia danych przekazanych przez bank w związku z wnioskiem kredytowym.
- Decyzja PUODO: PUODO przyznał rację skarżącemu w całości:
- nie doszło do zawarcia umowy kredytu, więc odpadła podstawa do dalszego przetwarzania danych przez bank i BIK,
- cel przetwarzania (ocena zdolności kredytowej i analiza ryzyka) został już zrealizowany, więc brak podstaw prawnych, by przetwarzanie kontynuować.
- Stanowisko banku i BIK: Odmówiły usunięcia danych i zaskarżyły decyzję PUODO. Bank argumentował m.in., że przetwarzanie jest potrzebne do spełnienia tzw. wymogów ostrożnościowych (regulacje UE dot. ryzyka i ekspozycji), a przekazanie danych do BIK wynikało z umowy banku z BIK.
- Wyrok WSA w Warszawie: Sąd oddalił skargi banku i BIK i podtrzymał podejście PUODO. WSA wskazał m.in., że:
- nie można usprawiedliwiać dalszego przetwarzania danych „na wypadek” ewentualnego sporu sądowego, jeśli skarżący nie zgłosił roszczeń,
- nawet gdyby spór powstał, podmioty nie mogą przechowywać danych „na zapas”, bo w razie pozwu i tak trzeba byłoby podać dane w dokumentach procesowych.
- Wyrok NSA (ostateczny): Naczelny Sąd Administracyjny oddalił skargi banku i BIK i potwierdził, że:
- przetwarzanie danych po odmowie kredytu byłoby oderwane od celu pozyskania danych,
- byłoby to przetwarzanie „na przyszłość” / „na zapas”,
- nie znajduje to podstawy w przesłankach legalności przetwarzania z art. 6 ust. 1 RODO.
- Kluczowa zasada z uzasadnienia NSA: Przesłanki pozwalające ograniczyć ochronę danych osobowych (np. powołując się na obowiązek prawny) muszą być interpretowane ściśle, bo prawo do ochrony danych ma rangę konstytucyjną (odwołanie do art. 51 ust. 1 Konstytucji RP).
- Najważniejszy wniosek praktyczny: Jeżeli kredyt nie został udzielony, to bank i BIK co do zasady nie mogą dalej przetwarzać danych osoby wyłącznie dlatego, że „mogą się jeszcze przydać”.
Ochrona danych dzieci w cyberprzestrzeni była tematem debaty w Senacie
- Kontekst: 29 lipca 2026 r. w Senacie RP odbyła się debata „Normy, prawo i prewencja w ochronie dzieci i młodzieży w cyberprzestrzeni”, zorganizowana wspólnie z PKDP. W wydarzeniu uczestniczył Prezes UODO Mirosław Wróblewski, który wygłosił wystąpienie pt. „Ochrona danych osób małoletnich w cyberprzestrzeni”.
- Główna teza: ochrona danych osobowych dzieci i młodzieży to nie tylko sprawa techniczna lub administracyjna, ale element ochrony ich godności, prywatności, bezpieczeństwa, zdrowia psychicznego i podmiotowości.
- Dlaczego to ważne: internet jest naturalnym środowiskiem nauki i komunikacji, ale jednocześnie miejscem ryzyk, takich jak profilowanie, manipulacja, cyberprzemoc, wyłudzenia danych, kradzież tożsamości oraz trwała utrata kontroli nad własnym wizerunkiem.
- Dzieci wymagają zwiększonej ochrony: Prezes UODO podkreślił, że małoletni są szczególnie narażeni na zagrożenia i często nie są w pełni świadomi konsekwencji oraz przysługujących im praw.
- Co jest potrzebne do skutecznej ochrony: równoczesne działania w kilku obszarach: odpowiednie regulacje prawne, bezpieczne technologie, prewencja (zapobieganie) oraz budowanie właściwych norm społecznych.
- Prywatność dotyczy każdego, także dziecka: prawo do prywatności przysługuje niezależnie od wieku; władza rodzicielska nie oznacza nieograniczonego decydowania o prywatności dziecka, a zdanie małoletniego powinno być brane pod uwagę stosownie do wieku i dojrzałości.
- RODO i „szczególna ochrona” dzieci: RODO wskazuje, że dzieci wymagają szczególnej ochrony w przetwarzaniu danych, zwłaszcza danych wrażliwych (m.in. o zdrowiu, niepełnosprawności, sytuacji rodzinnej, rozwoju psychicznym lub seksualności).
- Skala zjawiska (przytoczone dane): ponad 1,4 mln dzieci w wieku 7–12 lat aktywnie korzysta z internetu; ponad 930 tys. dzieci w wieku 7–14 lat przynajmniej raz odwiedziło serwis pornograficzny.
- Problem społeczny, nie marginalny: dzieci często korzystają z usług cyfrowych przed osiągnięciem wieku wymaganego regulaminami platform, co zwiększa ryzyko niekontrolowanego przetwarzania ich danych.
- Najczęstsze ryzykowne zachowania dzieci online: bezrefleksyjne podawanie danych w grach, instalowanie aplikacji bez weryfikacji, klikanie podejrzanych linków, udostępnianie zdjęć i przekazywanie informacji nieznajomym.
- Kradzież tożsamości dziecka: szczególnie groźna, bo skutki mogą ujawnić się dopiero po wielu latach, nawet po osiągnięciu pełnoletności.
- Nowe zagrożenia: wskazano m.in. na deepfake, który może być używany do manipulacji wizerunkiem i treściami z udziałem dzieci.
- Wizerunek dziecka: UODO podkreśla, że wizerunek dziecka podlega szczególnej ochronie; zasadą powinna być powściągliwość w jego udostępnianiu, a komercjalizacja wizerunku dzieci nie jest zjawiskiem pożądanym.
- Praktyczne problemy zgłaszane do UODO: przypadki nieuprawnionego dostępu do kont nauczycieli w dziennikach elektronicznych oraz kradzieże haseł.
- Edukacja jako kluczowy element ochrony: przypomniano o programie „Twoje dane – Twoja sprawa” realizowanym od 2009 r., którego celem jest budowanie świadomości wśród dzieci, młodzieży i nauczycieli w zakresie ochrony danych i prawa do prywatności.
- Wniosek końcowy: widać pozytywne zmiany w podejściu do publikowania wizerunku dzieci, co ma potwierdzać, że działania edukacyjne przynoszą efekty.
Administratorem danych osobowych jest Lex Artist sp. z o.o., ul. Szańcowa 74/1, 01-458 Warszawa. Dane osobowe będą przetwarzane w celu umieszczenia i obsługi komentarza na blogu. Przysługują Panu/Pani następujące prawa: prawo dostępu do treści danych, prawo do sprostowania danych, prawo do usunięcia danych, prawo do ograniczenia przetwarzania danych, prawo do wniesienia sprzeciwu, prawo do wniesienia skargi do organu nadzorczego. Pełna treść klauzuli informacyjnej znajduje się tutaj.
Zanonimizowany ciąg znaków stworzony na podstawie Pani/Pana adresu email (tak zwany hash) może zostać przesłany do usługi Gravatar w celu sprawdzenia czy jej Pan/Pani używa. Polityka prywatności usługi Gravatar jest dostępna tutaj. Po zatwierdzeniu komentarza obrazek profilowy jest widoczny publicznie w kontekście twojego komentarza.