Dziecko poniżej 16 lat nie może samodzielnie wyrazić skutecznej zgody w celu otrzymywania informacji o kursach » WSA uchyla karę 100 000 zł nałożoną na Ministerstwo Zdrowia » Uwaga na fałszywe e-maile o zwrocie podatku! » Upomnienie za ewidencjonowanie czasu pracy z wykorzystaniem biometrii » Poczta elektroniczna jako potencjalne źródło naruszeń w organizacjach » UODO: Kolejna inicjatywa kodeksu postępowania
⬇️ Pobierz W PDF
Praktyczny poradnik o wdrażaniu RODO
Książka RODOLOGIA to kompleksowy przewodnik po RODO, który pomaga wdrożyć ochronę danych osobowych w sposób prosty, szybki i skuteczny. Ponad 500 stron praktycznej wiedzy podanej w przystępnej formie i zrozumiałym języku. A wszystko to podane w pięknej, premium formie. Dowiedz się więcej o RODOLOGII: SprawdźDziecko poniżej 16 lat nie może samodzielnie wyrazić skutecznej zgody w celu otrzymywania informacji o kursach
- Kontekst: Sprawa dotyczyła tego, czy firma oferująca kursy językowe mogła zbierać dane dzieci w szkole i na tej podstawie kontaktować się z rodzicami, oraz czy spełniła obowiązki informacyjne wynikające z RODO.
- Wyrok NSA (3 grudnia 2025 r., III OSK 2455/24): Naczelny Sąd Administracyjny oddalił skargę kasacyjną dostawcy kursów i podtrzymał decyzję polskiego organu ochrony danych (DPA), który wydał upomnienie.
- Co zrobiła firma: Rozdawała uczniom podczas lekcji szkolnej formularze; dziecko poniżej 16 lat podało m.in. swoje dane (imię, nazwisko, klasa, numer telefonu) oraz numer telefonu matki i zaznaczyło zgodę na przetwarzanie danych w celu otrzymywania informacji o kursach. Następnie firma zadzwoniła do matki z ofertą.
- Stanowisko DPA: Organ uznał, że firma przetwarzała dane dziecka i matki bez ważnej podstawy prawnej oraz nie zrealizowała prawidłowo obowiązków informacyjnych (art. 13 i 14 RODO).
- Argumenty firmy:
- Twierdziła, że chodzi o usługę społeczeństwa informacyjnego (nauka online i bezpłatna lekcja próbna) oferowaną bezpośrednio dziecku, więc zastosowanie ma art. 8 RODO.
- Utrzymywała, że zebranie numeru telefonu rodzica było elementem „rozsądnych działań” weryfikujących zgodę rodzica (art. 8 ust. 2 RODO).
- Ocena NSA: art. 8 RODO nie miał tu zastosowania:
- Sąd zgodził się, że nauczanie języków online może co do zasady być usługą społeczeństwa informacyjnego.
- Jednak samo zbieranie danych w szkole w celu przedstawienia oferty marketingowej nie było taką usługą.
- Oferta nie była „bezpośrednio” skierowana do dziecka w wymaganym sensie, bo i tak miała trafić do rodzica.
- Zgoda dziecka i dane rodzica:
- Dziecko poniżej 16 lat nie może samodzielnie wyrazić skutecznej zgody na takie przetwarzanie danych w oparciu o art. 8 RODO.
- Dziecko nie może też wyrazić zgody na przetwarzanie danych rodzica.
- Numer telefonu rodzica został uznany za dane osobowe (samodzielnie i w połączeniu z innymi informacjami z formularza).
- Brak „ratowania” sytuacji uzasadnionym interesem: Ponieważ pierwotne pozyskanie danych było nielegalne, firma nie mogła później powołać się na uzasadniony interes (art. 6 ust. 1 lit. f RODO), aby zadzwonić do matki z ofertą.
- Kluczowe wnioski o przejrzystości (art. 14 RODO):
- Administrator nie spełnia obowiązków informacyjnych wobec rodzica, jeśli przekazuje klauzulę informacyjną dziecku i liczy, że dziecko przekaże ją dalej.
- Administrator musi sam zapewnić przekazanie wymaganych informacji i móc wykazać zgodność (zasada rozliczalności) — nie może przerzucać odpowiedzialności na osobę małoletnią.
- Proces zbierania zgód i przekazywania informacji powinien być zaprojektowany tak, aby nie opierał się na dzieciach jako pośrednikach między firmą a rodzicami.
- Znaczenie praktyczne: Wyrok jest ważnym sygnałem dla firm kierujących oferty do rodzin: zbieranie danych dzieci w szkołach w celach marketingowych wymaga właściwej podstawy prawnej oraz bezpośredniego, udokumentowanego spełnienia obowiązków informacyjnych wobec rodziców.
WSA uchyla karę 100 000 zł nałożoną na Ministerstwo Zdrowia
- Kontekst: sprawa dotyczy decyzji Prezesa Urzędu Ochrony Danych Osobowych (UODO) wobec Ministra po ujawnieniu w serwisie społecznościowym (dawniej) informacji o lekarzu i recepcie (w tym danych wrażliwych dotyczących zdrowia).
- Co się wydarzyło (sedno zdarzenia): w sierpniu 2023 r. na profilu w serwisie […] opublikowano wpis zawierający dane lekarza (m.in. imię i nazwisko, miejsce pracy) oraz informację o rodzaju leku związaną z receptą (informacja mogąca dotyczyć danych o zdrowiu).
- Skąd pochodziły dane: dane lekarza miały zostać pozyskane z Elektronicznej Platformy Gromadzenia, Analizy i Udostępniania Zasobów Cyfrowych o Zdarzeniach […] (system związany z ochroną zdrowia). Według ustaleń w zgłoszeniu do UODO pracownik – na ustne polecenie Ministra […] – miał odszyfrować receptę w systemie i przekazać informacje Ministrowi […] .
- Reakcja UODO (decyzja z grudnia 2023 r.): Prezes UODO uznał, że doszło do naruszeń RODO i skierował decyzję do Ministra […] jako podmiotu odpowiedzialnego.
- Jakie naruszenia RODO wskazał Prezes UODO:
- bezprawne przetwarzanie danych (w tym danych szczególnej kategorii) poprzez pozyskanie ich z systemu […] i publikację w serwisie społecznościowym bez podstawy prawnej;
- naruszenie zasad: zgodności z prawem/rzetelności/przejrzystości, integralności i poufności oraz rozliczalności;
- brak odpowiednich środków technicznych i organizacyjnych (bezpieczeństwa) adekwatnych do ryzyka przy korzystaniu z systemu
- nieprzekazanie osobie, której dane ujawniono, pełnej informacji wymaganej przy naruszeniu ochrony danych (m.in. o możliwych konsekwencjach i środkach zaradczych).
- Sankcja i nakazy UODO:
- kara administracyjna 100 000 zł nałożona na Ministra […];
- nakaz wdrożenia w 30 dni środków technicznych i organizacyjnych po analizie ryzyka (żeby ograniczyć ryzyko m.in. nieuprawnionego ujawnienia lub dostępu do danych w systemie […]);
- nakaz zawiadomienia w 3 dni osoby, której dane ujawniono, z przekazaniem wymaganych informacji (konsekwencje naruszenia i działania minimalizujące skutki).
- Skarga Ministra do WSA: Minister zaskarżył decyzję do Wojewódzkiego Sądu Administracyjnego w Warszawie, twierdząc m.in., że:
- decyzję skierowano do niewłaściwego adresata, bo za ujawnienie danych odpowiadała konkretna osoba fizyczna (A.N.) działająca „prywatnie”, a nie Minister jako organ;
- organ miał nie zebrać w pełni materiału dowodowego (np. nie przesłuchać A.N.) i błędnie przyjąć brak podstawy prawnej;
- decyzja była wewnętrznie niespójna co do tego, kto jest administratorem danych (Minister czy osoba fizyczna);
- nakazy UODO były zbyt ogólne („na granicy wykonalności”), bo nie wskazywały precyzyjnie, jakie działania trzeba podjąć;
- nałożenie kary na Ministra nie spełnia celu, jeżeli bezpośrednim sprawcą była osoba fizyczna.
- Równoległe postępowanie karne: prokuratura skierowała akt oskarżenia przeciwko A.N., zarzucając przekroczenie uprawnień i ujawnienie danych (w tym dotyczących zdrowia) pozyskanych z systemu informacji, poprzez publikację wpisu w serwisie […].
- Zawieszenie sprawy administracyjnej: WSA zawiesił postępowanie do czasu prawomocnego zakończenia sprawy karnej, bo wynik procesu karnego miał rozstrzygnąć kluczowe zagadnienie: czy działał „organ” czy „osoba fizyczna”. NSA utrzymał to zawieszenie w mocy (oddalił zażalenie).
- Rozstrzygnięcie karne (prawomocne): sąd karny odwoławczy utrzymał wyrok skazujący A.N. za czyn opisany w akcie oskarżenia.
- Finał przed WSA – ocena decyzji UODO: po prawomocnym wyroku karnym WSA uznał, że decyzja Prezesa UODO została oparta na błędnie ustalonym stanie faktycznym, ponieważ UODO przypisał sprawstwo Ministrowi […] , podczas gdy z postępowania karnego wynikało, że sprawcą była konkretna osoba fizyczna.
- Skutek: skoro cała decyzja UODO (naruszenia, kara i nakazy naprawcze) była powiązana z błędnym założeniem co do sprawcy, WSA uznał, że powinna zostać wyeliminowana z obrotu prawnego jako wadliwa (uchylenie decyzji).
- Ważna uwaga z uzasadnienia WSA: sąd podkreślił, że fakt, iż ta sama osoba była jednocześnie osobą fizyczną i piastunem organu (Ministrem), nie oznacza automatycznie identycznej odpowiedzialności w każdej roli; organ nie może pomijać różnic pomiędzy odpowiedzialnością organu administracji a odpowiedzialnością osoby fizycznej.
- Koszty: WSA zasądził na rzecz strony skarżącej zwrot kosztów postępowania (m.in. wpis sądowy i koszty pełnomocnika).
Uwaga na fałszywe e-maile o zwrocie podatku!
- Kontekst: trwa kampania oszustów, którzy podszywają się pod pracowników Krajowej Administracji Skarbowej (KAS) i informują o rzekomo przysługującym zwrocie podatku.
- Jak wygląda atak (krok po kroku):
- Atak zaczyna się od e-maila wyglądającego bardzo profesjonalnie.
- Wiadomość zachęca do kliknięcia przycisku/linku, aby „rozpocząć procedurę zwrotu podatku”.
- Po kliknięciu ofiara trafia na stronę internetową pod różnymi domenami (często niewykrywanymi jako złośliwe przez przeglądarki).
- Strona wygląda wiarygodnie i wyłudza dane: PESEL, nazwisko, adres, a następnie numer karty płatniczej.
- W efekcie ofiara może stracić pieniądze — zamiast otrzymać zwrot.
- Najważniejsze sygnały ostrzegawcze (jak rozpoznać scam):
- Sprawdź adres e-mail nadawcy — w tej kampanii nadawcy nie są w domenie gov.pl.
- Nie podawaj numeru karty, jeśli masz otrzymać zwrot — podanie numeru karty (poza rzadkimi wyjątkami) służy zwykle do jej obciążenia, a nie do wypłaty środków.
- Co zrobić, jeśli dostałeś taką wiadomość:
- Jeśli nie wypełniłeś formularza i nie podałeś danych ani numeru karty — ryzyko jest małe i prawdopodobnie możesz być spokojny.
- Dlaczego temat jest istotny teraz: kampania ma dużą skalę, część stron nie jest blokowana przez przeglądarki, a dodatkowo zbliża się termin rozliczeń podatkowych, co zwiększa podatność na takie oszustwa.
- Dodatkowa informacja: autorzy zapowiadają ostrzeżenia o tej kampanii w aplikacji CyberAlerty:
- aplikacja jest darmowa, na Android i iPhone,
- bez rejestracji,
- służy do wysyłania ostrzeżeń o nowych, masowych atakach mogących prowadzić do kradzieży danych, pieniędzy lub naruszenia prywatności,
- dostępna w oficjalnych sklepach Google i Apple.
Upomnienie za ewidencjonowanie czasu pracy z wykorzystaniem biometrii
- Kontekst: Prezes UODO (decyzja z 16.03.2026 r.) udzielił upomnienia przedsiębiorcy, który przez ok. 8 lat stosował w zakładzie produkcyjnym terminal do rejestracji czasu pracy ze skanerem linii papilarnych.
- Rozwiązanie było opisane w regulaminie pracy, a korzystanie z czytnika miało charakter dobrowolny: pracownik mógł odmówić i wtedy potwierdzał obecność na papierowej liście.
- Jeśli pracownik wybierał czytnik, podpisywał odrębną zgodę na wykorzystanie odcisków palców do ewidencji czasu pracy.
- Wcześniej stosowano karty magnetyczne, ale były uznane za nieskuteczne (zdarzało się „odbijanie” kart za nieobecnych pracowników).
- Kluczowy wniosek UODO: nawet jeśli odcisk palca jest przechowywany nie jako obraz, lecz jako ciąg cyfr/punktów charakterystycznych (wzorzec), to nadal są to dane biometryczne.
- Porównanie wzorca biometrycznego z palcem przyłożonym do czytnika umożliwia bezpośrednią identyfikację pracownika, zwłaszcza gdy wzorzec jest powiązany z imieniem i nazwiskiem.
- Pracodawca może przetwarzać dane biometryczne tylko w ściśle określonych przypadkach wskazanych w art. 22(1b) Kodeksu pracy — a ewidencja obecności nie jest wśród nich.
- Prawo dopuszcza użycie biometrii m.in. do kontroli dostępu do miejsc wymagających szczególnych uprawnień (np. ze względu na tajemnicę przedsiębiorstwa) albo dostępu tylko dla osób o określonych kwalifikacjach.
- Zgoda pracownika nie może być podstawą legalności takiego przetwarzania u pracodawcy, ponieważ istnieje brak równowagi między stronami (pracownik może czuć presję, nawet jeśli formalnie zgoda jest dobrowolna).
- UODO uznał, że używanie danych biometrycznych do potwierdzania obecności jest nadmiarowe, bo ten sam cel da się osiągnąć innymi, mniej ingerującymi metodami.
Poczta elektroniczna jako potencjalne źródło naruszeń w organizacjach
- Kontekst: Duża część naruszeń ochrony danych osobowych zgłaszanych do Prezesa UODO dotyczy poczty elektronicznej – przede wszystkim włamań na służbowe skrzynki oraz wysyłania dokumentów bez odpowiednich zabezpieczeń. Skutkiem jest ryzyko ujawnienia danych i utraty kontroli nad tym, kto ma do nich dostęp.
- Poczta e-mail to kanał komunikacji, a nie archiwum: Wiele organizacji traktuje skrzynki pocztowe jak domyślne repozytorium dokumentów. To zwiększa ryzyko (m.in. przez niepewność, gdzie fizycznie są serwery i jak są zabezpieczone) oraz sprzyja przechowywaniu danych zbyt długo.
- Potrzebny regularny przegląd procesów: Organizacje powinny okresowo analizować procesy oparte na e-mailu, aby znaleźć miejsca, w których dane mogą zostać ujawnione przypadkowo albo przejęte przez osoby nieuprawnione.
- Retencja danych jest obowiązkiem: Dane w korespondencji e-mail powinny być przechowywane tylko tak długo, jak to niezbędne do celu przetwarzania. Brak polityki retencji lub jej nieprzestrzeganie może naruszać zasady z art. 5 RODO (w tym ograniczenie przechowywania).
- Wymiar biznesowy retencji: Przechowywanie zbędnej korespondencji generuje koszty (np. serwerów, kopii zapasowych, administracji), nie dając organizacji realnej wartości.
- Dwie główne kategorie incydentów e-mail:
- Nieuprawniony dostęp do skrzynek pocztowych (np. przejęcie konta pracownika).
- Transmisja danych bez odpowiednich zabezpieczeń (np. wysyłka otwartych załączników lub błędny adresat).
- Dlaczego dochodzi do przejęć skrzynek (najczęstsze przyczyny):
- Phishing i niska świadomość zagrożeń: brak szkoleń, brak symulacji phishingu, brak narzędzi filtrujących podejrzane wiadomości.
- Niewłaściwa „higiena haseł”: powtarzanie haseł w wielu serwisach, zapisywanie haseł w widocznych miejscach, synchronizacja haseł służbowych z prywatnymi kontami w przeglądarce, logowanie w sposób umożliwiający podejrzenie danych.
- Złośliwe oprogramowanie typu „info stealer”: zwykle uruchamiane przez użytkownika (np. fałszywa faktura/aktualizacja), wykrada dane z przeglądarki i systemu; ryzyko rośnie, gdy pracuje się na koncie z uprawnieniami administratora bez potrzeby.
- Jak ograniczać ryzyko nieuprawnionego dostępu (dobre praktyki):
- Szkolenia i budowanie świadomości: cykliczne szkolenia o aktualnych metodach oszustw oraz kontrolowane symulacje phishingu.
- MFA (uwierzytelnianie wieloskładnikowe): samo hasło nie powinno wystarczać do logowania; MFA warto wdrażać jako standard, nie dopiero po incydencie.
- Dostęp warunkowy: ograniczenia logowania (np. białe listy IP, blokady logowań z krajów/regionów, z których organizacja nie działa).
- Ochrona przed atakami siłowymi: limity prób logowania i monitorowanie logów w celu wczesnego wykrycia ataków.
- Dlaczego dochodzi do ujawnień przy wysyłce (najczęstsze przyczyny):
- Wysyłanie otwartych, niezabezpieczonych plików: e-mail nie zapewnia domyślnie szyfrowania end-to-end; przy błędnym adresacie dane ujawniają się natychmiast.
- Autouzupełnianie adresów: pośpiech i rutyna sprzyjają wybraniu niewłaściwej osoby o podobnym nazwisku/adresie.
- Literówki i błędy w adresach: np. błędna domena lub „czeski błąd” prowadzi do wysyłki danych do obcej osoby.
- Wysyłka masowa bez UDW: wpisanie wielu odbiorców w polu „Do/DW” ujawnia listę adresów i często także wrażliwy kontekst (np. przynależność do określonej grupy).
- Jak ograniczać ryzyko błędów przy wysyłce (dobre praktyki):
- Szyfrowanie załączników: traktowane jako podstawowa warstwa ochronna, szczególnie na wypadek pomyłki adresata.
- Silne hasła do plików: hasło nie powinno być łatwe do odgadnięcia (np. PESEL nie spełnia kryteriów silnego hasła).
- Zasada dwóch kanałów: hasła do zaszyfrowanych plików nie przesyła się w tej samej wiadomości co załącznik (lepiej SMS/telefon/bezpieczny komunikator).
- „Rytuały uważności” przed wysyłką: krótka pauza i weryfikacja adresata, sprawdzenie załącznika, ograniczone zaufanie do autouzupełniania.
- UDW przy wysyłkach masowych: aby nie ujawniać listy odbiorców i kontekstu przynależności do danej grupy.
- Najważniejszy wniosek końcowy: Skuteczna ochrona danych w e-mailu wymaga połączenia technologii (MFA, szyfrowanie, zabezpieczenia przed brute force), procedur (retencja, standardy haseł, UDW) oraz świadomości pracowników (szkolenia i nawyki weryfikacji przed wysyłką). O bezpieczeństwie w dużej mierze decyduje czujność osoby wysyłającej wiadomość.
UODO: Kolejna inicjatywa kodeksu postępowania
- Kontekst: Przedstawiciele Związku Przedsiębiorstw Finansowych (ZPF) spotkali się z ekspertami Urzędu Ochrony Danych Osobowych (UODO), aby omówić inicjatywę stworzenia kodeksu postępowania dla branży zarządzania wierzytelnościami w zakresie zgodności z RODO.
- W trakcie spotkania poruszono m.in.: cel kodeksu, to kogo ma obejmować (liczba i typ podmiotów), oraz kto będzie zgłaszającym i przygotowującym dokument.
- Kodeks zatwierdzony przez Prezesa UODO staje się praktycznym zbiorem wskazówek dla administratorów i podmiotów przetwarzających, jak projektować i wdrażać działania przetwarzania danych zgodnie z RODO (czyli jak „przekuć” przepisy na konkretne procedury).
- Taki kodeks jest brane pod uwagę przez organ nadzorczy w postępowaniach wobec jego członków (np. w sprawach skargowych lub podczas kontroli), dlatego powinien być konkretny, oparty na praktycznych rozwiązaniach i przykładach, a nie abstrakcyjny.
- Monika Krasińska (UODO) oceniła, że idea kodeksu dla organizacji zarządzających wierzytelnościami jest potrzebna i uzasadniona.
- Wskazano częsty błąd: kodeks nie powinien być jedynie powtórzeniem przepisów RODO. Ma bazować na RODO, ale też uwzględniać specyfikę branży, doświadczenia i praktyki rynkowe.
- Kodeks musi odpowiadać Wytycznym 1/2019 Europejskiej Rady Ochrony Danych (EROD) dot. tworzenia kodeksów oraz uwzględniać inne stanowiska EROD, orzecznictwo sądów i przepisy właściwe dla sektora.
- UODO może konsultować i podpowiadać na etapach prac, ale nie pisze kodeksu. Za zakres i treść dokumentu odpowiadają jego twórcy.
- Marcin Czugan (ZPF) podkreślił, że branża potrzebuje kodeksu m.in. dlatego, że wraz z rozwojem narzędzi cyfrowych rośnie znaczenie kwestii ochrony danych w zarządzaniu wierzytelnościami.
- Istotnym wyzwaniem jest także współpraca z podmiotami zewnętrznymi (np. kancelariami prawnymi), które również przetwarzają dane – często szczególnie wrażliwe z perspektywy prywatności, bo dotyczące zobowiązań finansowych.
- Eksperci UODO wskazali, że fundamentem kodeksu powinno być uregulowanie zasad pozyskiwania, przechowywania, wykorzystywania i udostępniania danych, najlepiej w oparciu o rejestr czynności przetwarzania.
- Omówiono rolę podmiotu monitorującego stosowanie kodeksu: może to być instytucja zewnętrzna z doświadczeniem w ochronie danych albo jednostka wewnętrzna w strukturze organizacji.
- Podmiot monitorujący (zewnętrzny lub wewnętrzny) musi wykazać niezależność i bezstronność wobec członków kodeksu oraz branży/sektora, którego kodeks dotyczy.
- Obowiązkowym elementem prac są konsultacje publiczne – zarówno z przyszłymi członkami kodeksu, jak i z osobami/podmiotami, których dane będą objęte zasadami kodeksu.
- Raport z konsultacji należy złożyć do Prezesa UODO razem z projektem kodeksu i wnioskiem o zatwierdzenie.
Administratorem danych osobowych jest Lex Artist sp. z o.o., ul. Szańcowa 74/1, 01-458 Warszawa. Dane osobowe będą przetwarzane w celu umieszczenia i obsługi komentarza na blogu. Przysługują Panu/Pani następujące prawa: prawo dostępu do treści danych, prawo do sprostowania danych, prawo do usunięcia danych, prawo do ograniczenia przetwarzania danych, prawo do wniesienia sprzeciwu, prawo do wniesienia skargi do organu nadzorczego. Pełna treść klauzuli informacyjnej znajduje się tutaj.
Zanonimizowany ciąg znaków stworzony na podstawie Pani/Pana adresu email (tak zwany hash) może zostać przesłany do usługi Gravatar w celu sprawdzenia czy jej Pan/Pani używa. Polityka prywatności usługi Gravatar jest dostępna tutaj. Po zatwierdzeniu komentarza obrazek profilowy jest widoczny publicznie w kontekście twojego komentarza.