Administrator danych powinien regularnie mierzyć i testować wdrożone środki bezpieczeństwa » Przeciwdziałanie dyskryminacji pacjentów onkologicznych w dostępie do usług finansowych » Seminarium UODO i ZUS o nowych technologiach i ochronie danych osobowych » Prezes UODO podpowiada organom ścigania, jak interpretować deepfejki » UODO gospodarzem 77. posiedzenia Grupy Berlińskiej
⬇️ Pobierz W PDF
Praktyczny poradnik o wdrażaniu RODO
Książka RODOLOGIA to kompleksowy przewodnik po RODO, który pomaga wdrożyć ochronę danych osobowych w sposób prosty, szybki i skuteczny. Ponad 500 stron praktycznej wiedzy podanej w przystępnej formie i zrozumiałym języku. A wszystko to podane w pięknej, premium formie. Dowiedz się więcej o RODOLOGII: SprawdźAdministrator danych powinien regularnie mierzyć i testować wdrożone środki bezpieczeństwa
- Kontekst: Naczelny Sąd Administracyjny (NSA) potwierdził, że administrator danych już od dnia rozpoczęcia stosowania RODO (25 maja 2018 r.) powinien mieć wdrożone rozwiązania pozwalające regularnie mierzyć, testować i oceniać skuteczność środków bezpieczeństwa danych osobowych.
- Początek sprawy (2019 r.): administrator zgłosił naruszenie ochrony danych dotyczące abonentów usług „na kartę” – osoba nieuprawniona uzyskała dostęp do danych ponad 114 tys. klientów Virgin Mobile.
- Działania Prezesa UODO: po zgłoszeniu naruszenia Prezes UODO wszczął z urzędu postępowanie, aby sprawdzić, czy naruszenie było skutkiem niewdrożenia odpowiednich środków technicznych i organizacyjnych wymaganych przez RODO.
- Pierwsza kara (2022 r.): Prezes UODO wydał decyzję i nałożył karę administracyjną w wysokości 1 968 524 zł; spółka zaskarżyła decyzję do WSA w Warszawie.
- Ponowne rozpatrzenie sprawy: po wyroku WSA Prezes UODO ponownie zajął się sprawą, szczegółowo uzasadnił przesłanki wysokości kary i podtrzymał stanowisko o naruszeniu RODO.
- Druga decyzja i obniżona kara: kara została ponownie wyliczona (na podstawie roku obrotowego poprzedzającego decyzję) i wyniosła 1 599 395 zł.
- Stanowisko WSA: spółka ponownie zaskarżyła decyzję, ale WSA oddalił skargę w całości.
- Rozstrzygnięcie NSA (7 maja 2026 r.): NSA uznał, że skarga kasacyjna spółki nie miała usprawiedliwionych podstaw, a przedstawione zarzuty były chybione.
- Zgłoszenie naruszenia nie obniża kary: NSA potwierdził ocenę Prezesa UODO, że samo zgłoszenie naruszenia do UODO jest okolicznością neutralną (nie traktuje się go automatycznie jako czynnika łagodzącego przy wymiarze kary).
- Okres naruszenia: NSA zgodził się, że naruszenie przepisów trwało od wejścia w życie RODO do momentu uzyskania przez administratora certyfikacji, tj. do 22 lipca 2020 r.
- Najważniejszy wniosek praktyczny: organizacje przetwarzające dane muszą nie tylko wdrożyć zabezpieczenia, ale też od samego początku stosowania RODO zapewnić ciągłe, regularne testowanie i ocenę ich skuteczności.
Przeciwdziałanie dyskryminacji pacjentów onkologicznych w dostępie do usług finansowych
- Kontekst: Prezes Urzędu Ochrony Danych Osobowych (UODO) Mirosław Wróblewski zwrócił się do Ministra Finansów i Gospodarki Andrzeja Domańskiego o działania legislacyjne, które zapewnią pacjentom onkologicznym po zakończonym leczeniu realne prawo do bycia zapomnianym w sektorze finansowym (banki, ubezpieczyciele). Powodem jest utrzymująca się dyskryminacja takich osób przy kredytach i ubezpieczeniach.
- Na czym polega problem: mimo wyleczenia pacjenci mogą przez lata spotykać się z wyższymi składkami ubezpieczeniowymi albo trudniejszym dostępem do kredytu, ponieważ instytucje finansowe wykorzystują informacje o przebytym nowotworze.
- Prawo do bycia zapomnianym: jest przewidziane w art. 17 RODO oraz art. 51 ust. 4 Konstytucji RP i w praktyce oznacza możliwość usunięcia danych osobowych, gdy nie są już potrzebne do celów, dla których je zebrano.
- Stan obecny w usługach finansowych: banki i ubezpieczyciele mogą pozyskiwać dane medyczne (na potrzeby oceny zdolności kredytowej i ryzyka ubezpieczeniowego) w sposób, który w praktyce bywa niemal nieograniczony czasowo, co zdaniem UODO prowadzi do wieloletnich negatywnych konsekwencji dla osób wyleczonych.
- Stanowisko instytucji UE: Parlament Europejski podkreśla, że pacjenci onkologiczni nie powinni ponosić „podwójnej kary” po zakończeniu leczenia.
- Przykłady z innych państw: we Francji, Belgii i Luksemburgu funkcjonują rozwiązania w sektorze finansowym, które wspierają skuteczną realizację prawa do bycia zapomnianym.
- Cel wskazany przez Parlament Europejski: w rezolucji dotyczącej walki z nowotworami wezwano państwa członkowskie, aby najpóźniej do 2025 r. zagwarantować pacjentom onkologicznym prawo do bycia zapomnianym w praktyce. Zakładano, że danych o nowotworze nie powinno się wykorzystywać po 10 latach od zakończenia leczenia, a w przypadku diagnozy przed 18. rokiem życia – po 5 latach.
- Dyrektywa 2023/2225 (kredyt konsumencki): zobowiązuje państwa UE do wprowadzenia przepisów krajowych, które uniemożliwią wykorzystywanie danych o diagnozie onkologicznej przy zawieraniu polis ubezpieczeniowych powiązanych z umową kredytu; maksymalny okres przetwarzania tych danych nie może przekraczać 15 lat od zakończenia leczenia.
- Planowane zmiany w Polsce: wdrożenie dyrektywy ma nastąpić w ustawie o kredycie konsumenckim. Projekt nowelizacji przewiduje, że dane o chorobach nowotworowych nie będą mogły być pozyskiwane i wykorzystywane do ubezpieczenia spłaty kredytu po 5 latach od zakończenia leczenia.
- Ograniczony zakres projektowanych regulacji: proponowane zmiany dotyczą tylko wąskiego fragmentu rynku (ubezpieczenie spłaty kredytu). Wciąż brakuje przepisów, które analogicznie chroniłyby osoby wyleczone w szeroko rozumianych usługach finansowych, w szczególności w innych rodzajach ubezpieczeń.
- Dlaczego luka prawna ma znaczenie: obecnie, za zgodą pacjenta, dokumentacja medyczna może być udostępniana ubezpieczycielom (wynika to m.in. z ustawy o prawach pacjenta oraz ustawy o działalności ubezpieczeniowej i reasekuracyjnej), co w praktyce może utrwalać długotrwałe wykorzystywanie danych o przebytym nowotworze.
- Argument UODO: zgodnie z zasadą minimalizacji dane powinny być przetwarzane tylko w zakresie niezbędnym i przez czas konieczny do realizacji celu; brak jasnych limitów czasowych budzi poważne wątpliwości w kontekście praw podstawowych.
- Główny wniosek: potrzebne są przepisy, które zapewnią pacjentom onkologicznym po zakończonym leczeniu skuteczne prawo do bycia zapomnianym w całym sektorze usług finansowych, a nie tylko w wybranych sytuacjach (jak ubezpieczenie związane z kredytem konsumenckim).
Seminarium UODO i ZUS o nowych technologiach i ochronie danych osobowych
- Kontekst: 23 czerwca w Białymstoku odbyło się seminarium współorganizowane przez Urząd Ochrony Danych Osobowych (UODO) i Zakład Ubezpieczeń Społecznych (ZUS), poświęcone ochronie danych osobowych oraz odpowiedzialnemu wdrażaniu nowych technologii w administracji publicznej.
- Wydarzenie zgromadziło przedstawicieli administracji publicznej, ekspertów ds. ochrony danych oraz osoby wdrażające nowe technologie w instytucjach publicznych.
- Seminarium poprowadzili: Katarzyna Krupicka (regionalna rzeczniczka prasowa ZUS w Białymstoku) oraz Karol Witowski (dyrektor Departamentu Komunikacji Społecznej i rzecznik prasowy UODO).
- Uczestników powitali: Alicja Barwicka (dyrektor oddziału ZUS w Białymstoku) oraz Paweł Jaroszek (członek zarządu ZUS).
- Paweł Jaroszek podkreślił rosnące znaczenie danych osobowych: w warunkach szybkiego rozwoju technologii i zmian geopolitycznych dane stały się jednym z najcenniejszych zasobów, a ich ochrona wpływa na bezpieczeństwo każdego z nas.
- Oficjalnego otwarcia w imieniu UODO dokonał Konrad Komornicki (zastępca Prezesa UODO), zwracając uwagę, że nowe technologie nie są „gotowym produktem z półki” i powinny być wdrażane po analizie ryzyka oraz dopasowaniu do realnych potrzeb i procesów danej instytucji.
- Konrad Komornicki wskazał też, że coraz skuteczniejsze narzędzia identyfikacji osób zwiększają wagę odpowiedzialnego przetwarzania danych i zarządzania ryzykiem w instytucjach publicznych.
- Karol Witowski zaznaczył, że UODO wspiera wykorzystywanie nowych technologii w administracji (ułatwiają komunikację i obsługę spraw), ale prywatność i ochrona danych muszą być uwzględniane już na etapie projektowania rozwiązań.
- Panel I: „Prawne aspekty ochrony danych osobowych – jak pogodzić wymogi prawne z usługami świadczonymi na rzecz klientów administracji” – rozmowa o tym, jak łączyć cyfryzację usług publicznych z wymogami prawa i praktycznym zapewnieniem bezpieczeństwa danych.
- Panel I moderowała Agnieszka Gębicka (dyrektor Biura Ochrony Danych Osobowych w ZUS); w dyskusji uczestniczyli m.in. Agata Miłocha (UODO) oraz przedstawiciele administracji, nauki i praktycy prawa.
- Panel II: „Rozwój usług w administracji a wykorzystywanie nowoczesnych technologii” – dyskusja o rozwoju usług cyfrowych, wykorzystaniu sztucznej inteligencji, bezpieczeństwie informacji oraz potrzebie równowagi między innowacyjnością a ochroną prywatności i praw obywateli.
- Panel II moderował Piotr Nowicki (koordynator ds. audytów i polityki rozwoju w ZUS); uczestnicy podkreślali dużą wartość danych i konieczność ich odpowiedzialnego używania oraz ochrony.
- Wniosek ogólny: seminarium miało na celu upowszechnianie wiedzy o ochronie danych osobowych i wspieranie administracji publicznej we wdrażaniu nowych technologii w sposób bezpieczny, zgodny z prawem i uwzględniający prawa obywateli.
Prezes UODO podpowiada organom ścigania, jak interpretować deepfejki
- Kontekst sprawy: Mirosław Wróblewski, prezes Urzędu Ochrony Danych Osobowych (UODO), wysłał pismo do Komendanta Policji w Krakowie. Wyjaśnił w nim, jak od strony prawnej rozumieć technologię „deepfake” i jakie zagrożenia może ona powodować. Wskazówki mają pomóc m.in. w sprawie 17-latki, która przy użyciu AI przerobiła zdjęcie młodszej koleżanki i stworzyła materiał mogący być postrzegany jako pornograficzny.
- Skąd UODO dowiedział się o zdarzeniu: Prezes UODO poznał sprawę z doniesień medialnych, według których licealistka miała stworzyć materiał „z kategorii 18+” z wykorzystaniem wizerunku innej nieletniej uczennicy.
- Cel pisma do policji: Prezes UODO poprosił krakowską policję o uwzględnianie analizy prawnej dotyczącej deepfake’ów przy prowadzeniu tej sprawy oraz podobnych postępowań w przyszłości.
- Czym jest „deepfake” (według AI Act): Choć polskie ustawy nie definiują tego pojęcia, prezes UODO powołał się na definicję z unijnego AI Act (art. 3 ust. 60): deepfake to wygenerowane lub zmanipulowane przez sztuczną inteligencję obrazy, dźwięki lub wideo, które przypominają realne osoby/zdarzenia i mogą zostać błędnie uznane za autentyczne.
- Technologia neutralna, ale ryzyko duże: Wróblewski podkreślił, że sama technologia nie jest „zła”, jednak możliwość tworzenia bardzo realistycznych fałszywych materiałów stanowi zagrożenie dla jednostek i całych grup społecznych.
- Najważniejsze typowe nadużycia deepfake’ów (przykłady):
- naruszenie prawa do wizerunku (dobra osobiste),
- kradzież tożsamości i podszywanie się pod inną osobę,
- szantaż i nękanie (np. materiały intymne lub ośmieszające),
- oszustwa (wyłudzanie pieniędzy lub danych),
- manipulacja zachowaniami ludzi, preparowanie dowodów,
- potencjalne zagrożenia dla bezpieczeństwa państwa (np. wpływ na wybory).
- Możliwe podstawy karne (wskazane w piśmie): W zależności od okoliczności deepfake może wiązać się m.in. z przepisami Kodeksu karnego dotyczącymi:
- kradzieży tożsamości (art. 190a § 2),
- zmuszania do określonego zachowania (art. 191),
- rozpowszechniania wizerunku nagiej osoby bez zgody (art. 191a),
- pornografii (produkcja/rozpowszechnianie/posiadanie – art. 202),
- zniesławienia i zniewagi (art. 212 i 216),
- oszustwa (art. 286).
- Wątek ochrony danych osobowych: Prezes UODO wskazał, że używanie deepfake’ów może być ścigane także na podstawie art. 107 ustawy o ochronie danych osobowych (przetwarzanie danych bez podstawy prawnej).
- Kluczowe stanowisko UODO: Przerobienie cudzego wizerunku w celu stworzenia materiału pornograficznego lub „nagiego” zdjęcia to przetwarzanie danych osobowych.
- Odwołanie do wcześniejszej, podobnej sprawy: Prezes UODO wskazał, że analogicznie oceniał sprawę, w której wygenerowano „rozbierane” zdjęcie uczennicy szkoły podstawowej (wtedy UODO wnioskował o wznowienie śledztwa).
- Kiedy przetwarzanie danych jest legalne: Aby przetwarzanie danych nie było bezprawne, trzeba wykazać jedną z podstaw prawnych z art. 6 ust. 1 RODO (a przy danych szczególnych kategorii – także warunki z art. 9 RODO).
- Dlaczego deepfake jest szczególnie szkodliwy: UODO podkreśla, że materiały deepfake potrafią być tak wiarygodne, iż trudno je odróżnić od prawdziwych. To zwiększa ryzyko dotkliwych skutków: szkody wizerunkowej, społecznej stygmatyzacji oraz negatywnych konsekwencji psychicznych dla ofiar.
- Ważne doprecyzowanie: Dla przestępstwa z art. 107 ustawy o ochronie danych osobowych nie ma znaczenia, czy zdjęcie wykorzystane do przeróbki było dostępne publicznie. UODO zwrócił uwagę, że wcześniejsze powoływanie się na „powszechną dostępność” było argumentem prowadzącym do przedwczesnego umorzenia postępowania w innej sprawie.
- Co trzeba wykazać przy art. 107: Wystarczy, że:
- materiał dotyczy osoby możliwej do zidentyfikowania (czyli są to dane osobowe), oraz
- doszło do ich przetwarzania (np. przerobienia wizerunku) bez podstawy prawnej lub w sposób niedopuszczalny.
- Szczególna ochrona dzieci i młodzieży: Prezes UODO podkreślił, że dane osobowe osób małoletnich powinny być chronione w sposób szczególny i apelował o stanowczą reakcję organów ścigania.
- Przekaz końcowy: UODO wskazuje, że sprawcy takich czynów nie powinni pozostawać bezkarni, a ofiary powinny mieć realne narzędzia ochrony (m.in. ustalenie sprawcy, usunięcie treści, zadośćuczynienie). Prezes UODO wyraził nadzieję, że przedstawiona analiza pomoże policji i będzie stosowana w praktyce.
UODO gospodarzem 77. posiedzenia Grupy Berlińskiej
- Kontekst: 24–25 czerwca 2026 r. w Warszawie odbyło się 77. posiedzenie Międzynarodowej Grupy Roboczej ds. Ochrony Danych w Technologii (Berlin Group) – forum, na którym eksperci z wielu krajów omawiają, jak chronić prywatność i dane osobowe w obliczu rozwoju nowych technologii.
- Kto uczestniczył: przedstawiciele organów nadzorczych z różnych państw, organizacji pozarządowych oraz reprezentant Europejskiego Inspektora Ochrony Danych.
- Otwarcie i priorytety UODO: spotkanie otworzył prezes UODO Mirosław Wróblewski, wskazując priorytety Urzędu w obszarze nowych technologii, w tym działania dotyczące sztucznej inteligencji oraz przeciwdziałania zagrożeniom związanym z deepfake.
- Rola Berlin Group: podkreślono, że Grupa potrafi wcześnie identyfikować ryzyka technologiczne – często zanim staną się one przedmiotem regulacji lub szerokiej debaty – a jej dokumenty są punktem odniesienia dla regulatorów i twórców technologii.
- Główne tematy obrad: wpływ AI na wymiar sprawiedliwości, rola inspektorów ochrony danych w zmieniającym się otoczeniu, a także wyzwania dotyczące chmury, biometrii, Internetu Rzeczy i cyfrowej tożsamości.
- Wymiana doświadczeń międzynarodowych: uczestnicy przedstawili kluczowe inicjatywy i kierunki działań w swoich państwach w obszarze ochrony danych i nowych technologii.
- Przyjęty dokument: jednym z punktów było przyjęcie dokumentu dotyczącego ISAC/6G.
- Planowane opracowania: dyskutowano nad kolejnymi dokumentami, m.in. o danych syntetycznych oraz o przetwarzaniu danych po śmierci.
- Priorytety dalszych prac: wskazano tematy wymagające dalszych działań, m.in. deepfake, agentic AI (bardziej autonomiczne systemy AI), weryfikację wieku, inteligentne okulary oraz monitorowanie pracowników z użyciem AI.
- Wystąpienia ekspertów przy prezesie UODO: prof. Marek Świerczyński omówił prace Rady Europy nad wykorzystaniem AI w wymiarze sprawiedliwości, a inż. Tomasz Izydorczyk przedstawił wyzwania nowych technologii dla inspektorów ochrony danych.
- Wizyta w UODO: po obradach uczestnicy odwiedzili siedzibę UODO, poznali strukturę i zadania Urzędu oraz rozmawiali o zwalczaniu treści typu deepfake jako rosnącym wyzwaniu w dobie generatywnej AI.
Administratorem danych osobowych jest Lex Artist sp. z o.o., ul. Szańcowa 74/1, 01-458 Warszawa. Dane osobowe będą przetwarzane w celu umieszczenia i obsługi komentarza na blogu. Przysługują Panu/Pani następujące prawa: prawo dostępu do treści danych, prawo do sprostowania danych, prawo do usunięcia danych, prawo do ograniczenia przetwarzania danych, prawo do wniesienia sprzeciwu, prawo do wniesienia skargi do organu nadzorczego. Pełna treść klauzuli informacyjnej znajduje się tutaj.
Zanonimizowany ciąg znaków stworzony na podstawie Pani/Pana adresu email (tak zwany hash) może zostać przesłany do usługi Gravatar w celu sprawdzenia czy jej Pan/Pani używa. Polityka prywatności usługi Gravatar jest dostępna tutaj. Po zatwierdzeniu komentarza obrazek profilowy jest widoczny publicznie w kontekście twojego komentarza.