Kara za niezapewnienie niezależności inspektorowi ochrony danych osobowych » NSA: brak przetwarzania danych czyni postępowanie przed UODO bezprzedmiotowym » Baza orzeczeń NSA pada pod naporem modeli sztucznej inteligencji » NSA podtrzymuje decyzję Prezesa UODO w sprawie kary pieniężnej 52 tys. zł dla spółdzielni mieszkaniowej » Sprawozdanie z działalności Prezesa UODO w roku 2025»Stanowisko Prezesa UODO dotyczące e-Dziennika » WSA w Warszawie: upomnienie wymaga konkretnej oceny » Austriacki Sąd Najwyższy uznał marketingowe dane za niezgodne ze scoringiem » Sztuczna inteligencja a prawo. UODO zaprasza na trzeci Otwarty Wykład Ekspercki » Parlamentarzyści – Waldemar Buda oraz Michał Woś – zostali upomniani za brak współpracy z Prezesem UODO
⬇️ Pobierz W PDF
Praktyczny poradnik o wdrażaniu RODO
Książka RODOLOGIA to kompleksowy przewodnik po RODO, który pomaga wdrożyć ochronę danych osobowych w sposób prosty, szybki i skuteczny. Ponad 500 stron praktycznej wiedzy podanej w przystępnej formie i zrozumiałym języku. A wszystko to podane w pięknej, premium formie. Dowiedz się więcej o RODOLOGII: SprawdźKara za niezapewnienie niezależności inspektorowi ochrony danych osobowych
- Kontekst: sprawa dotyczy naruszeń przepisów RODO w kancelarii komornika sądowego, ujawnionych przy okazji analizy zgłoszonego incydentu związanego z ochroną danych osobowych.
- Co uruchomiło działania UODO: do Prezesa UODO trafiło zgłoszenie incydentu polegającego na wysłaniu pisma o zajęciu rachunku bankowego do osoby, która nie była właściwym adresatem.
- Kluczowe ustalenie w toku weryfikacji: komornik (administrator danych) przez ok. 5 lat sam pełnił w kancelarii funkcję Inspektora Ochrony Danych (IOD), uznając, że nie powoduje to konfliktu interesów.
- Najważniejsze naruszenia (2):
- Brak niezależności IOD: wyznaczenie administratora (komornika) na IOD narusza zasadę niezależności i tworzy konflikt interesów, bo IOD miałby monitorować i oceniać działania administratora, czyli w praktyce samego siebie.
- Brak zawiadomienia UODO: komornik nie poinformował Prezesa UODO o wyznaczeniu IOD (obowiązkowa notyfikacja), mimo że przepisy tego wymagają.
- Dlaczego konflikt interesów jest problemem: jednym z zadań IOD jest m.in. informowanie administratora o obowiązkach oraz monitorowanie przestrzegania przepisów. Jeśli te role łączy jedna osoba, kontrola staje się pozorna, bo IOD „zgłasza uwagi” samemu sobie.
- Stanowisko organu nadzorczego (ogólnie): Prezes UODO wskazuje, że nie można powoływać na IOD osób zarządzających podmiotem (np. wójt, dyrektor, członek zarządu), bo prowadzi to do sytuacji „monitorowania samego siebie”.
- Decyzja Prezesa UODO: nałożono administracyjną karę pieniężną łącznie 15 500 zł, uznając, że samo upomnienie byłoby nieadekwatne do skali naruszeń.
- Wysokość kar za poszczególne naruszenia:
- 3 500 zł za niepoinformowanie organu nadzorczego o wyznaczeniu IOD (wymóg w terminie 14 dni).
- 12 000 zł za niezapewnienie IOD statusu gwarantującego niezależność (po uwzględnieniu okoliczności łagodzących).
- Ocena zachowania komornika: jako funkcjonariusz publiczny i profesjonalista powinien zachować podwyższony standard staranności; organ uznał, że decyzja była świadoma (nie wynikała z błędu lub niedbalstwa).
- Motyw wskazany przez UODO: brak niezależnego IOD miał przynieść administratorowi oszczędności, ale kosztem realnych gwarancji ochrony danych osobowych.
- Cel kary (wg organu): skłonić administratora do zapewnienia rzeczywiście niezależnego IOD i ograniczyć ryzyko podobnych naruszeń w przyszłości.
NSA: brak przetwarzania danych czyni postępowanie przed UODO bezprzedmiotowym
- Kontekst (o co chodzi w artykule): Wyrok Naczelnego Sądu Administracyjnego z 9 czerwca 2026 r. wyjaśnia, co powinien zrobić Prezes UODO ze skargą, gdy w postępowaniu wyjaśniającym nie da się potwierdzić, że wskazany w skardze podmiot w ogóle przetwarzał dane osobowe skarżącego. Bez takiego ustalenia organ nie ma czego oceniać pod kątem RODO (np. obowiązku informacyjnego z art. 14 RODO).
- Najważniejszy wniosek praktyczny: jeżeli nie potwierdzono, że wskazany podmiot przetwarzał dane skarżącego, postępowanie przed Prezesem UODO staje się bezprzedmiotowe i powinno zostać umorzone na podstawie art. 105 § 1 k.p.a.
- Dlaczego tak jest: ocena zgodności z RODO (w tym weryfikacja spełnienia obowiązku informacyjnego z art. 14 RODO) jest możliwa dopiero wtedy, gdy ustalono, że dany podmiot rzeczywiście przetwarzał dane skarżącego. Jeśli przetwarzania nie było, organ nie ma podstaw do działania w ramach rozpatrywania skargi (art. 77 RODO oraz kompetencje organu z art. 57 i 58 RODO).
- Szczegółowość danych nie dowodzi, kto je przetwarzał: NSA podkreślił, że nawet jeśli dane o majątku są bardzo szczegółowe i raczej nie pochodzą z publicznych rejestrów, to nie przesądza to, że przetwarzał je konkretnie podmiot wskazany w skardze. To są dwie różne kwestie (skąd dane mogły pochodzić vs. kto je przetwarzał).
- Granice postępowania wyjaśniającego: zakres sprawdzania przez Prezesa UODO wyznacza konkretna skarga (motyw 141 RODO). W tej sprawie organ miał ustalić, czy dane przetwarzała spółka X, a nie prowadzić szerokie dochodzenie „kto i skąd” zdobył informacje o majątku skarżącego.
- Co wydarzyło się w sprawie (fakty):
- Skarżący złożył 5 stycznia 2022 r. skargę do Prezesa UODO na spółkę X (w likwidacji), zarzucając jej brak obowiązku informacyjnego z art. 14 RODO.
- Tłem był wniosek kancelarii prawnej (działającej na zlecenie spółki X) w postępowaniu zabezpieczającym przed sądem, zawierający wykaz nieruchomości, pojazdów i rachunków bankowych skarżącego.
- Skarżący twierdził, że skoro nie przekazywał tych danych kancelarii, to musiała je pozyskać spółka X i przekazać je pełnomocnikowi.
- Wątek wcześniejszy (kancelaria): we wcześniejszej sprawie (skarga z 15 października 2020 r.) Prezes UODO ustalił, że kancelaria przetwarzała dane skarżącego, ale była zwolniona z obowiązku informacyjnego na podstawie art. 14 ust. 5 lit. d RODO (tajemnica zawodowa). Kancelaria nie ujawniła, od kogo pozyskała dane.
- Stanowisko spółki X: spółka konsekwentnie zaprzeczała, jakoby przetwarzała dane majątkowe skarżącego; wskazywała, że jej rola (jako zarządcy przymusowego) nie obejmowała takich działań, a dane mogły pochodzić od innego podmiotu (np. wspólnika).
- Decyzja Prezesa UODO (24 maja 2022 r.): umorzenie postępowania jako bezprzedmiotowego (art. 105 § 1 k.p.a.), bo materiał dowodowy nie potwierdził, że spółka X przetwarzała dane skarżącego.
- Wyrok WSA (24 marca 2023 r.): WSA oddalił skargę, wskazując, że bez ustalenia przetwarzania przez spółkę X nie ma podstaw do merytorycznej oceny (w tym obowiązku z art. 14 RODO). Zwrócił też uwagę, że z wcześniejszej sprawy dot. kancelarii nie wynikało, kto był źródłem danych.
- Wyrok NSA (9 czerwca 2026 r.): NSA oddalił skargę kasacyjną i jednoznacznie potwierdził, że przy braku ustalenia przetwarzania przez wskazany podmiot sprawa podlega umorzeniu jako bezprzedmiotowa.
- Ważne zasady proceduralne z wyroku NSA (dla nieprawników: „formalności mają znaczenie”):
- NSA rozpatruje skargę kasacyjną w granicach konkretnych, precyzyjnie sformułowanych zarzutów; nie „dopowiada” brakujących podstaw prawnych za stronę.
- Zarzut dotyczący wad uzasadnienia wyroku (art. 141 § 4 p.p.s.a.) można skutecznie postawić tylko w określonych sytuacjach (np. brak wymaganych elementów), a nie po to, by podważać ustalenia faktyczne lub interpretację prawa.
- W tej sprawie część zarzutów kasacyjnych była sformułowana nieprecyzyjnie (brak właściwych przepisów), co ograniczało możliwość ich merytorycznego badania.
- Znaczenie dla praktyki:
- Dla osób składających skargi: skarga do Prezesa UODO nie jest narzędziem do ogólnego ustalania „kto wyciekł/ujawnił dane”; musi dotyczyć konkretnego podmiotu i naruszenia, a kluczowe jest wykazanie, że ten podmiot faktycznie przetwarzał dane.
- Dla firm niesłusznie wskazywanych jako administratorzy: rzetelne, udokumentowane wykazanie braku przetwarzania może doprowadzić do umorzenia sprawy bez oceny „czy naruszyli RODO”.
- Dla pełnomocników: wyrok przypomina o rygorach formalnych skargi kasacyjnej — błędy w podstawach prawnych mogą uniemożliwić skuteczne podniesienie nawet sensownych argumentów.
Baza orzeczeń NSA pada pod naporem modeli sztucznej inteligencji
- Kontekst: Od pewnego czasu dostęp do Centralnej Bazy Orzeczeń Sądów Administracyjnych (CBOSA) jest wyraźnie utrudniony. Użytkownicy często widzą komunikat „Nie udało się nawiązać bezpiecznego połączenia”. NSA wskazuje, że przyczyną jest masowe, automatyczne pobieranie treści z bazy przez skrypty wykorzystywane m.in. do trenowania modeli sztucznej inteligencji, a nie ataki hakerskie.
- Co powoduje problemy techniczne: Według przedstawicielki NSA (sędzi Iwony Boguckiej) baza jest obciążana przez zautomatyzowane pobieranie danych na dużą skalę. Celem takich działań ma być budowa produktów opartych na AI.
- Jak firmy pozyskują dane do modeli językowych: Dane zbiera się albo przez współpracę z instytucją posiadającą zasoby, albo przez web scraping (automatyczne „ściąganie” treści ze stron internetowych, często masowe i nieukierunkowane).
- Aspekt prawny (UE/Polska): W polskim prawie, po wdrożeniu unijnej dyrektywy DSM, funkcjonuje mechanizm TDM (text and data mining) z opcją opt-out – co do zasady dane mogą być eksplorowane, ale administrator strony może zastrzec brak zgody na wykorzystanie treści do trenowania modeli.
- Obowiązek sprawdzania zastrzeżeń: Eksperci wskazują, że podmiot pobierający dane powinien sprawdzić, czy właściciel serwisu nie wprowadził zastrzeżeń (np. w formie rozwiązań możliwych do odczytu maszynowego).
- Dlaczego największe trudności dotyczą podmiotów spoza UE: Problem nasila się, gdy dane pobierają firmy działające poza UE, które mogą nie respektować europejskich ograniczeń i zastrzeżeń (inny porządek prawny i inne praktyki). Wskazywano m.in. na duże fale ruchu z Chin sugerujące masowe zbieranie danych do trenowania modeli.
- robots.txt i praktyka botów: Właściciele stron mogą publikować plik robots.txt z zasadami dla robotów (np. limity, zakaz indeksowania wybranych zasobów). Jednak część botów (w tym tych powiązanych z trenowaniem AI) może takie zalecenia ignorować, co realnie może „zatykać” serwery.
- Przykład skali problemu: Informatyk Tomasz Zieliński opisuje sytuację, w której boty masowo pobierały dziesiątki milionów raportów z jego serwisu Monitor SLPS – mimo że były one wyłączone w robots.txt i (jego zdaniem) bezużyteczne do trenowania AI. Tak ogromny wolumen żądań może przeciążać nawet dobrze przygotowane strony.
- Jak można się bronić (i ograniczenia tych metod): Wskazywane rozwiązania to m.in. blokowanie crawlerów, ograniczanie ruchu z określonych regionów, mechanizmy rate-limiting (limity zapytań z jednego IP), korzystanie z CDN oraz captcha. Eksperci podkreślają jednak, że:
- blokady da się obchodzić,
- zbyt restrykcyjne zabezpieczenia mogą utrudnić dostęp zwykłym użytkownikom,
- captcha może nie wystarczyć, jeśli serwis i tak jest przeciążany.
- Propozycja „bezpieczniejszego” udostępniania danych: Pada sugestia, aby dane z bazy udostępniać szeroko, ale w sposób kontrolowany i efektywny (np. jako paczki do pobrania według miesięcy), co zmniejszyłoby potrzebę masowego scrapingu setek tysięcy stron.
- Co robi NSA: NSA informuje, że stosuje rozwiązania ograniczające nadmierne pobieranie danych (bez ujawniania szczegółów ze względów bezpieczeństwa) oraz prowadzi prace nad nową wersją bazy orzeczeń.
- Czym jest CBOSA (najważniejsze fakty):
- To publiczna baza anonimizowanych orzeczeń sądów administracyjnych.
- Jest aktualizowana na bieżąco danymi z NSA i wojewódzkich sądów administracyjnych (w zakresie orzeczeń przeznaczonych do publikacji).
- Dostępna przez przeglądarkę pod adresem: http://orzeczenia.nsa.gov.pl.
- Udostępnia m.in. sygnaturę, sąd, datę, sentencję, uzasadnienie, skład orzekający, powołane przepisy i inne metadane sprawy.
NSA podtrzymuje decyzję Prezesa UODO w sprawie kary pieniężnej 52 tys. zł dla spółdzielni mieszkaniowej
- Kontekst sprawy: Naczelny Sąd Administracyjny (NSA) 26 sierpnia 2026 r. podtrzymał decyzję Prezesa UODO dotyczącą spółdzielni mieszkaniowej, która nie zgłosiła naruszenia ochrony danych do organu nadzorczego oraz nie poinformowała osoby, której dane ujawniono.
- Co się wydarzyło proceduralnie:
- Wojewódzki Sąd Administracyjny (WSA) w Warszawie wcześniej uchylił decyzję Prezesa UODO i nałożoną karę.
- Prezes UODO złożył skargę kasacyjną do NSA.
- NSA uchylił wyrok WSA i oddalił skargę spółdzielni, w pełni zgadzając się z argumentacją Prezesa UODO.
- Istota naruszenia: spółdzielnia ujawniła informacje o sporze z członkiem spółdzielni, przekazując m.in. kserokopię zawiadomienia o podejrzeniu przestępstwa zawierającą dane osobowe.
- Jakie dane były zagrożone: m.in. PESEL, imię i nazwisko oraz adres zamieszkania osoby fizycznej.
- Ocena ryzyka – kluczowy spór:
- WSA uznał, że Prezes UODO nie przedstawił „przekonujących argumentów”, że naruszenie powodowało ryzyko wyższe niż małe.
- NSA nie zgodził się z tym i wskazał, że organ nadzorczy uzasadnił, dlaczego ujawnienie takich danych jak PESEL, imię i nazwisko i adres oznaczało wysokie ryzyko naruszenia praw i wolności osoby.
- Obowiązki administratora po naruszeniu:
- Co do zasady naruszenie należy zgłosić Prezesowi UODO w ciągu 72 godzin od stwierdzenia, chyba że jest mało prawdopodobne, by skutkowało ryzykiem dla praw lub wolności osób.
- Administrator powinien przeprowadzić analizę ryzyka, skupioną przede wszystkim na potencjalnych skutkach dla osoby, której dane dotyczą (a nie na interesach administratora).
- W tej sprawie spółdzielnia nie zgłosiła naruszenia i nie potrafiła przedstawić analizy ryzyka; odnotowała zdarzenie jedynie w wewnętrznym rejestrze naruszeń.
- Powiadomienie osoby, której dane dotyczą: NSA potwierdził, że spółdzielnia miała obowiązek poinformować osobę o naruszeniu (zgodnie z nakazem w decyzji Prezesa UODO).
- Status spółdzielni i sposób liczenia kary:
- WSA miał wątpliwości, czy spółdzielnię można uznać za „przedsiębiorcę” na potrzeby wymiaru kary wg art. 83 ust. 4 RODO.
- NSA potwierdził, że spółdzielnia mieszkaniowa jest „przedsiębiorcą” w rozumieniu tego przepisu, więc podstawa wymiaru kary była prawidłowa.
- Skutek finansowy: Prezes UODO nałożył na spółdzielnię karę pieniężną w wysokości prawie 52 tys. zł, a stanowisko to zostało ostatecznie podtrzymane przez NSA.
Sprawozdanie z działalności Prezesa UODO w roku 2025
- Kontekst: Artykuł zachęca do lektury sprawozdania z działalności Prezesa UODO Mirosława Wróblewskiego za 2025 r. Prezes UODO co roku (do 31 sierpnia) przedstawia taki raport m.in. parlamentowi i rządowi. Dokument pokazuje, jak działa polski organ nadzorczy ds. ochrony danych osobowych (RODO) oraz jakie problemy najczęściej pojawiają się w praktyce.
- Co obejmuje sprawozdanie (najważniejsze zadania UODO): rozpatrywanie skarg obywateli, prowadzenie kontroli, przyjmowanie zgłoszeń naruszeń danych (wycieków/incydentów), działania wobec administratorów danych (w tym obowiązek informowania osób poszkodowanych), opiniowanie projektów przepisów, a także edukację i współpracę międzynarodową.
- Decyzje administracyjne: w 2025 r. Prezes UODO wydał 2092 decyzje, w tym:
- 2020 decyzji w indywidualnych sprawach skargowych,
- 20 decyzji dotyczących kar pieniężnych (łącznie nałożono 32 kary),
- 31 decyzji dotyczących kontroli i naruszeń,
- 20 decyzji w ramach współpracy z organami ochrony danych w UE,
- 1 decyzję w sprawie kodeksu postępowania.
- Skargi do Prezesa UODO – duży wzrost: w 2025 r. wpłynęło 12 827 skarg (rok wcześniej 8056), czyli o 61% więcej.
- Najczęstsze tematy skarg (przykłady z życia):
- ujawnianie danych w BIP (Biuletynie Informacji Publicznej),
- błędy w korespondencji e-mail i listach (np. wysyłka do nieuprawnionego adresata),
- monitoring wizyjny, windykacja i marketing,
- sprawy dzieci (np. zakres zbieranych danych, ujawnianie informacji, publikacja wizerunku),
- banki (m.in. przetwarzanie danych do oceny zdolności kredytowej, udostępnianie danych innym podmiotom),
- ochrona danych zdrowotnych (np. udostępnianie informacji o stanie zdrowia w pracy).
- Zgłoszenia naruszeń ochrony danych – jeszcze większy wzrost: w 2025 r. administratorzy zgłosili 22 435 naruszeń (w 2024 r. 14 842), czyli o 51% więcej.
- Najczęstsze rodzaje naruszeń (co realnie „idzie nie tak”):
- błędnie zaadresowana lub zagubiona korespondencja,
- udostępnienie danych niewłaściwej osobie,
- błędy anonimizacji lub niezamierzona publikacja danych,
- nieuprawniony dostęp do baz danych, kradzież nośników,
- złośliwe oprogramowanie wpływające na poufność/dostępność danych.
- Kontrole: przeprowadzono 76 kontroli (w 2024 r. 50), czyli o 52% więcej. W tym:
- 41 kontroli sektorowych (planowych),
- 5 kontroli po zgłoszeniach naruszeń,
- 5 kontroli w obszarze wielkoskalowych systemów UE (np. SIS/VIS),
- 25 kontroli po informacjach o możliwych nieprawidłowościach,
- oraz 20 sprawdzeń dot. stosowania przepisów w obszarze zapobiegania i zwalczania przestępczości.
- Kary pieniężne – mocny wzrost wartości kar: w 2025 r. nałożono 32 kary na 23 podmioty na łączną kwotę 64 436 940,25 zł. To:
- +18,5% więcej kar niż w 2024 r. (27 kar),
- +363% wzrost łącznej kwoty kar (w 2024 r. łącznie 13 907 740,96 zł).
- Zawiadomienia o podejrzeniu przestępstwa: Prezes UODO złożył 8 zawiadomień. Najgłośniejszy przykład dotyczył wykorzystania aplikacji AI przez uczniów do wygenerowania nagich zdjęć koleżanki (osoby poniżej 15 lat), co mogło prowadzić do jej identyfikacji i poważnych konsekwencji dla prywatności oraz przyszłości.
- Opiniowanie projektów przepisów: w 2025 r. UODO zaopiniował 981 projektów aktów prawnych (w 2024 r. 779). Kluczowe było uwzględnianie ochrony danych już na etapie tworzenia prawa (w tym oceny skutków dla ochrony danych).
- Pytania o interpretację prawa: w 2025 r. do UODO wpłynęło łącznie 2090 pytań prawnych (2024 r. – 2214), m.in. od administratorów, osób prywatnych, inspektorów ochrony danych i organów z innych państw. Spadek tłumaczono m.in. tym, że wiele kwestii wyjaśniono w komunikatach i materiałach UODO oraz przez infolinię i punkty konsultacyjne.
- Wystąpienia Prezesa UODO (formalne pisma z wnioskami): w 2025 r. było ich 43 (w 2024 r. 14). Dotyczyły m.in. monitoringu w szkołach, odcisków palców w dowodach osobistych, incydentów przy doręczaniu przesyłek, nieuprawnionego dostępu do PESEL, zagubienia dokumentów służbowych z danymi, czy problemów z dokumentacją medyczną.
- Edukacja i informowanie społeczeństwa: raport opisuje szeroką działalność edukacyjną (m.in. program „Twoje dane – Twoja sprawa”, seminaria, konferencje o nowych technologiach i AI, akcja „UODO rusza w kraj”, obecność na wydarzeniach ogólnopolskich).
- Aktywność medialna: na stronie UODO opublikowano 337 komunikatów i 38 filmów; udzielono odpowiedzi na 271 pytań od dziennikarzy (łącznie 643 pytania szczegółowe) oraz udzielono 47 wywiadów.
- Współpraca międzynarodowa: UODO aktywnie działa w ramach Europejskiej Rady Ochrony Danych i grup roboczych, współtworząc wspólne podejście do RODO (m.in. 11 wytycznych/zaleceń oraz 23 opinie i oświadczenia).
- Główna konkluzja z danych za 2025 r.: wyraźnie wzrosła skala spraw związanych z ochroną danych w Polsce (więcej skarg, więcej zgłoszeń naruszeń, więcej kontroli), a łączna wartość kar pieniężnych znacząco się zwiększyła.
- Źródło (pełny raport): https://uodo.gov.pl/pl/file/7930
Stanowisko Prezesa UODO dotyczące e-Dziennika
- Kontekst: Prezes UODO Mirosław Wróblewski pozytywnie ocenia pomysł stworzenia przez państwo publicznej, cyfrowej i bezpłatnej dokumentacji szkolnej (rozwiązanie podobne do e‑Dziennika), dostępnej dla rodziców i uczniów.
- Warunek kluczowy: takie narzędzie musi opierać się na zaufanych rozwiązaniach i mieć jasne umocowanie w przepisach ustawowych.
- Uwaga legislacyjna: planowane rozwiązania nawiązują do zmian przewidzianych w ustawie z 31 lipca 2026 r. (o zmianie Prawa oświatowego i ustawy o systemie informacji oświatowej), która została zawetowana przez Prezydenta RP.
- Dlaczego to ważne: obecne, komercyjne systemy o podobnej funkcjonalności często budzą wątpliwości pod kątem RODO i ochrony danych, co potwierdzają liczne skargi wpływające do UODO.
- Wyniki kontroli: kontrola UODO w jednym z komercyjnych podmiotów wykazała nieprawidłowości w przetwarzaniu danych osobowych.
- Wymagana ocena ryzyka (DPIA): przed wdrożeniem systemu potrzebna jest wyczerpująca i transparentna ocena skutków dla ochrony danych, obejmująca zarówno:
- funkcje i sposób działania systemu informatycznego,
- podstawy prawne przetwarzania danych.
- Centralizacja danych jako główne ryzyko: konsolidacja danych w jednej, centralnej bazie zwiększa ryzyko systemowe i tworzy „single point of failure” — potencjalnie jedno słabe miejsce, którego awaria lub atak może dotknąć bardzo dużą liczbę osób.
- Skala konsekwencji: w przypadku incydentu bezpieczeństwa mogłyby zostać narażone wrażliwe informacje o milionach uczniów (oraz ich rodziców i nauczycieli).
- „Privacy by design”: system powinien być zaprojektowany z ochroną prywatności od początku, w tym z naciskiem na minimalizację zakresu danych do niezbędnego dla celu przetwarzania.
- Jasne role i odpowiedzialności: konieczne jest precyzyjne określenie, kto i w jakiej roli przetwarza dane w ramach cyfrowej dokumentacji szkolnej.
- Cyberbezpieczeństwo: system musi uwzględniać pełne spektrum potencjalnych zagrożeń cybernetycznych i zapewniać realne gwarancje bezpieczeństwa danych.
- Rola państwa: zdaniem Prezesa UODO to organy publiczne powinny być gwarantem bezpiecznego przetwarzania danych w celach edukacyjnych, ale z poszanowaniem prywatności.
- Wdrożenie dopiero po przygotowaniu: rozwiązanie powinno trafić do użytkowników dopiero po pogłębionych analizach i testach bezpieczeństwa.
- Wymagania wobec ustawy: przepisy wprowadzające takie narzędzie powinny ustanawiać wysokie standardy bezpieczeństwa i zapewniać mocne gwarancje prawne ochrony prywatności.
- Wsparcie UODO: Urząd Ochrony Danych Osobowych deklaruje wsparcie eksperckie na wszystkich etapach prac nad wdrożeniem publicznej, darmowej, cyfrowej dokumentacji szkolnej — szczególnie dla MEN i Kancelarii Prezydenta RP.
WSA w Warszawie: upomnienie wymaga konkretnej oceny
- Kontekst: Wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z 18 marca 2026 r. dotyczy tego, jak szczegółowo Prezes UODO musi uzasadniać upomnienie w sytuacji, gdy firma omyłkowo pozyskała i przetwarzała cudze dane kontaktowe (np. w windykacji). Sąd uchylił dwa punkty decyzji Prezesa UODO, bo organ nie wyjaśnił konkretnie, dlaczego przez cały okres przetwarzania administrator nie mógł powołać się na „prawnie uzasadniony interes”.
- O co chodziło w sprawie: spółka windykacyjna dostała od zewnętrznego podmiotu numer telefonu jako kontakt do dłużnika. Numer należał do innej osoby o tym samym imieniu i nazwisku; po rozmowie spółka pozyskała także jej służbowy e-mail i przypisała do sprawy wierzytelności.
- Decyzja UODO: Prezes UODO uznał, że spółka przetwarzała dane tej osoby bez podstawy prawnej i udzielił upomnienia.
- Stanowisko sądu: sąd nie przesądził, że przetwarzanie było legalne ani że upomnienie było na pewno błędne. Uznał jednak, że decyzja w tej części była przedwczesna i niedostatecznie uzasadniona (braki w ustaleniach faktycznych i w analizie prawnej).
- Wniosek 1 – dane kontaktowe to dane osobowe: nie można twierdzić, że nie doszło do przetwarzania danych osobowych tylko dlatego, że chodziło o numer telefonu czy e-mail. W sprawie przetwarzany był zestaw informacji (imię i nazwisko + numer telefonu + później także służbowy e-mail wskazujący miejsce pracy), co umożliwiało identyfikację osoby – a więc są to dane osobowe w rozumieniu RODO.
- Wniosek 2 – sama pomyłka nie przesądza o bezprawności „od początku do końca”: fakt, że dane ostatecznie okazały się przypisane do niewłaściwej osoby, nie oznacza automatycznie, że całe wcześniejsze przetwarzanie było bez podstawy prawnej. Organ musi wykazać, na czym konkretnie polegało zaniedbanie administratora.
- Wniosek 3 – organ musi ocenić weryfikację danych: skoro UODO nie kwestionował co do zasady, że w windykacji można zbierać dane kontaktowe dłużników i pozyskiwać je z zewnątrz, to powinien był dokładnie ustalić, czy spółka:
- zaniechała weryfikacji (i jakiej),
- weryfikowała dane, ale nieskutecznie,
- albo przechowywała niezweryfikowane dane zbyt długo.
- Wniosek 4 – „prawnie uzasadniony interes” wymaga ważenia interesów: przy ocenie podstawy z art. 6 ust. 1 lit. f RODO trzeba racjonalnie porównać:
- interes administratora (np. skuteczna windykacja, aktualizacja kontaktu),
- z prawami i wolnościami osoby, której dane dotyczą.
- Wniosek 5 – co UODO powinien zrobić ponownie: przy ponownym rozpoznaniu sprawy organ ma wyjaśnić:
- jakie konkretne działania weryfikacyjne były wymagane,
- czy spółka je podjęła i kiedy,
- czy (i w jakim zakresie czasowym) art. 6 ust. 1 lit. f RODO mógł być podstawą przetwarzania.
- Wniosek 6 – rozdzielenie „legalności” od „środka”: sąd podkreślił, że ocena, czy przetwarzanie spełnia wymogi art. 5 i 6 RODO, nie jest uznaniowa. Uznaniowość dotyczy dopiero wyboru środka przez organ (z katalogu art. 58 ust. 2 RODO), gdy naruszenie zostanie prawidłowo ustalone.
- Znaczenie praktyczne: sprawa jest ważna dla firm windykacyjnych, ale wnioski są szersze: gdy dane kontaktowe okażą się błędne, organ nie może poprzestać na stwierdzeniu „były błędne, więc przetwarzanie było bezprawne”. Musi wykazać konkretne uchybienia i odnieść je do testu „prawnie uzasadnionego interesu”.
Austriacki Sąd Najwyższy uznał marketingowe dane za niezgodne ze scoringiem
- Kontekst: Wyrok austriackiego Sądu Najwyższego z 12 sierpnia 2026 r. dotyczy tego, kiedy i na jakich zasadach można tworzyć ocenę kredytową (scoring) na gruncie RODO. Sąd wyraźnie rozdzielił dwie kwestie:
- czy wolno liczyć scoring bez historii płatniczej,
- czy wolno w tym celu wykorzystywać dane adresowe zebrane pierwotnie do marketingu (np. kupione bazy).
- Najważniejszy wniosek: Sam scoring bez danych o doświadczeniach płatniczych nie jest automatycznie sprzeczny z RODO, ale nie wolno wtórnie wykorzystywać do scoringu danych zebranych wcześniej na potrzeby marketingu przez innego administratora (bez właściwej podstawy).
- O co chodziło w sprawie: Spółka (biuro informacji kredytowej i jednocześnie wydawnictwo adresowe) kupowała dane (m.in. imię, nazwisko, adres, data urodzenia) i używała ich przy zapytaniach o zdolność kredytową – głównie do identyfikacji osoby, weryfikacji zmiany adresu oraz wykrywania częstych zmian adresowych.
- Teza 1 – cel marketingowy nie obejmuje scoringu: Nawet jeśli firma otrzymuje dane od innego administratora, nadal obowiązuje ją zasada ograniczenia celu (RODO). Wykorzystanie danych zebranych do marketingu do czynności związanych ze scoringiem (np. identyfikacja osoby, weryfikacja adresu) to zmiana celu – także wtedy, gdy dane adresowe nie są bezpośrednio „zmienną” w algorytmie liczącym wynik.
- Teza 2 – ustawa branżowa nie legalizuje zmiany celu: Austriackie przepisy dla wydawnictw adresowych i biur kredytowych nie dawały podstawy prawnej, która pozwalałaby użyć danych adresowych zebranych przez podmiot trzeci na marketing do oceny zdolności kredytowej. Sam fakt, że działalność jest dozwolona, nie zastępuje analizy zgodności konkretnego przetwarzania z RODO.
- Teza 3 – marketing i scoring uznano za cele niezgodne: Sąd wskazał, że między marketingiem a oceną kredytową nie ma istotnego związku. Osoby, których dane zebrano do marketingu, zwykle:
- nie są w relacji z biurem informacji kredytowej,
- nie mogą racjonalnie oczekiwać, że ich dane posłużą do oceny kredytowej,
- mogą ponieść poważne konsekwencje (np. odmowa umowy lub odmowa kredytu).
- Identyfikacja to część scoringu: Sąd nie zgodził się, że „sprawdzenie tożsamości” i weryfikacja zmiany adresu są poza scoringiem. Uznał je za element procesu scoringowego, nawet jeśli kupione dane nie wpływają bezpośrednio matematycznie na wynik. To ważne dla firm łączących dane z wielu źródeł – liczy się rola danych w całym procesie, nie tylko ich udział w algorytmie.
- Teza 4 – scoring bez historii płatniczej nie jest zakazany: Sąd nie poparł żądania ogólnego zakazu scoringu bez danych o doświadczeniach płatniczych. Uznał, że scoring może opierać się na prawnie uzasadnionym interesie, a brak historii płatniczej sam w sobie nie przesądza o naruszeniu RODO. Wskazano też, że negatywne doświadczenia płatnicze dotyczą tylko części konsumentów, więc wymaganie ich zawsze mogłoby uniemożliwić wystawianie ocen wielu osobom.
- Co to oznacza w praktyce (kluczowe fakty/konsekwencje):
- Dane kupione „do marketingu” nie stają się automatycznie danymi dopuszczalnymi do użycia w scoringu.
- Czynności pomocnicze (identyfikacja, weryfikacja adresu) mogą być traktowane jako część scoringu.
- Brak historii płatniczej nie wystarcza, by uznać scoring za nielegalny – ale każdorazowo trzeba ocenić konkretne okoliczności, oczekiwania osób i skutki przetwarzania (test równowagi interesów).
Sztuczna inteligencja a prawo. UODO zaprasza na trzeci Otwarty Wykład Ekspercki
- Kontekst: 11 września 2026 r. odbędzie się trzecie spotkanie z Cyklu Otwartych Wykładów Eksperckich organizowanych przez Urząd Ochrony Danych Osobowych (UODO). Spotkanie poświęcone będzie temu, jak rozwój sztucznej inteligencji wpływa na prawo – szczególnie w obszarze ochrony danych osobowych, praw autorskich i nowych regulacji dotyczących AI.
- Otwarcie wydarzenia: Mirosław Wróblewski, prezes UODO.
- Wykład główny: „Modele generatywne a europejskie ramy prawne: między AI Act, RODO i prawem autorskim”.
- Prowadzący wykład: dr Damian Flisak, radca prawny (Lubasz i Wspólnicy – Kancelaria Radców Prawnych).
- Panel dyskusyjny: po wykładzie odbędzie się dyskusja z udziałem prawników z kancelarii oraz przedstawicieli środowiska akademickiego.
- Termin i godziny: 11 września 2026 r., 10:00–12:00.
- Miejsce (udział stacjonarny): siedziba UODO, ul. Stanisława Moniuszki 1A, Warszawa.
- Rejestracja na udział stacjonarny: wymagana – formularz: https://wydarzenia.uodo.gov.pl/?r=cykl-wykladow-eksperckich
- Udział online: możliwy bez wcześniejszej rejestracji – transmisja: https://uodo.clickmeeting.com/668859524/?r=AmZmBQL1BGO8sSEvkMiRu3k8o19wqzWaMJWdMau2DTuvpJVhqTWcYzA5sUj3AmD5AQplAN____
- Wniosek praktyczny: spotkanie ma pomóc zrozumieć, jak w Europie łączy się kwestie generatywnej AI z przepisami AI Act, RODO oraz prawem autorskim i jakie mogą z tego wynikać konsekwencje dla organizacji oraz użytkowników.
Parlamentarzyści – Waldemar Buda oraz Michał Woś – zostali upomniani za brak współpracy z Prezesem UODO
- Kontekst: Prezes Urzędu Ochrony Danych Osobowych (UODO) Mirosław Wróblewski zajął się sprawą możliwego ujawnienia danych osobowych w trakcie kampanii prezydenckiej 2025 r. na platformach społecznościowych (X i Facebook).
- Co się stało: Do UODO wpłynęły zawiadomienia o prawdopodobnym naruszeniu ochrony danych przez parlamentarzystów Waldemara Budę i Michała Wosia.
- Na czym polegało ujawnienie danych: W mediach społecznościowych upubliczniono szczegóły sprawy eksmisyjnej, w tym dane osobowe seniora, od którego jeden z kandydatów kupił mieszkanie.
- Działania UODO: Po wszczęciu postępowań administracyjnych Prezes UODO poprosił obu parlamentarzystów o przekazanie informacji potrzebnych do zbadania sprawy.
- Główne naruszenie wskazane w rozstrzygnięciu: Parlamentarzyści nie zapewnili organowi nadzorczemu dostępu do informacji niezbędnych do realizacji jego zadań (brak odpowiedzi na wezwania), co zostało potraktowane jako naruszenie przepisów RODO.
- Brak reakcji na korespondencję: Mimo dwukrotnego kontaktu, korespondencja pozostała bez odpowiedzi lub wracała z adnotacją o niepodjęciu przesyłki w terminie.
- Konsekwencje proceduralne: UODO wszczął dwa odrębne postępowania dotyczące możliwości nałożenia administracyjnej kary pieniężnej za brak odpowiedzi na wezwania.
- Usunięcie naruszenia: Gdy posłowie dowiedzieli się o postępowaniu w sprawie kary, niezwłocznie przekazali wyjaśnienia; za moment usunięcia naruszenia uznano wpływ tych wyjaśnień do UODO.
- Decyzja końcowa: Prezes UODO udzielił obu parlamentarzystom upomnienia i odstąpił od nałożenia kary pieniężnej, biorąc pod uwagę podjęcie współpracy i złożenie wyjaśnień.
- Szersze tło: UODO prowadził więcej podobnych spraw związanych z ujawnianiem danych osobowych w kampanii (m.in. wobec komitetów wyborczych i kandydatów); w co najmniej jednej sprawie nałożono administracyjną karę pieniężną za publiczne udostępnienie danych z dokumentów.
Administratorem danych osobowych jest Lex Artist sp. z o.o., ul. Szańcowa 74/1, 01-458 Warszawa. Dane osobowe będą przetwarzane w celu umieszczenia i obsługi komentarza na blogu. Przysługują Panu/Pani następujące prawa: prawo dostępu do treści danych, prawo do sprostowania danych, prawo do usunięcia danych, prawo do ograniczenia przetwarzania danych, prawo do wniesienia sprzeciwu, prawo do wniesienia skargi do organu nadzorczego. Pełna treść klauzuli informacyjnej znajduje się tutaj.
Zanonimizowany ciąg znaków stworzony na podstawie Pani/Pana adresu email (tak zwany hash) może zostać przesłany do usługi Gravatar w celu sprawdzenia czy jej Pan/Pani używa. Polityka prywatności usługi Gravatar jest dostępna tutaj. Po zatwierdzeniu komentarza obrazek profilowy jest widoczny publicznie w kontekście twojego komentarza.