Implementacja AI Act w Polsce: Ustawa o sztucznej inteligencji trafiła do prezydenta » Certyfikacja osób w ochronie danych osobowych » Zjawisko deepfake elementem edukacji zdrowotnej » Bezpieczeństwo kontra prywatność. Kamery biometryczne na stadionach w Czechach » Czy nowe przepisy o ochronie dzieci zablokują media społecznościowe? » Masowa edycja wielu nazw obiektów w Warszawie w Mapach Google. CERT Polska zgłosił 78 zmienionych nazw » Kara za niewdrożenie środków zapewniających bezpieczeństwo danych osobowych » Prezes UODO zachęca środowiska dziennikarskie do opracowania kodeksu postępowania » Komisja Europejska wszczęła wobec Polski postępowanie naruszeniowe w związku z niewdrożeniem dyrektywy policyjnej » Wyciek danych gości wielu polskich hoteli
⬇️ Pobierz W PDF
Praktyczny poradnik o wdrażaniu RODO
Książka RODOLOGIA to kompleksowy przewodnik po RODO, który pomaga wdrożyć ochronę danych osobowych w sposób prosty, szybki i skuteczny. Ponad 500 stron praktycznej wiedzy podanej w przystępnej formie i zrozumiałym języku. A wszystko to podane w pięknej, premium formie. Dowiedz się więcej o RODOLOGII: SprawdźImplementacja AI Act w Polsce: Ustawa o sztucznej inteligencji trafiła do prezydenta
- Kontekst: Sejm przyjął większość poprawek Senatu do ustawy o systemach sztucznej inteligencji. Ustawa ma dać Polsce narzędzia do egzekwowania unijnego rozporządzenia AI Act i teraz trafi na biurko prezydenta.
- Nowy organ nadzoru: Ustawa powołuje Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, która ma:
- kontrolować systemy AI,
- rozpatrywać skargi obywateli dotyczące AI i naruszeń przepisów.
- Piaskownice regulacyjne: Przepisy wprowadzą tzw. piaskownice regulacyjne dla przedsiębiorców i urzędów (kontrolowane środowisko do testowania rozwiązań AI w ramach zasad prawa).
- Jedna odrzucona poprawka Senatu zawierała aż 3 zmiany — i została odrzucona w całości, mimo że część jej zapisów była uznawana za istotną.
- Powód odrzucenia poprawki: Senat chciał skrócić czas na wybór przewodniczącego komisji z 2 miesięcy do 1 miesiąca. Legislatorzy wskazali, że jeśli ustawa weszłaby w życie w lipcu, wybór przypadłby na sierpień (wakacje sejmowe), co mogłoby być niewykonalne.
- Terminy dot. pierwszego posiedzenia komisji:
- Senat proponował, by przewodniczący zwołał pierwsze posiedzenie w ciągu miesiąca od wyrażenia zgody na jego powołanie przez Senat.
- W wersji przyjętej ostatecznie: pierwsze posiedzenie ma odbyć się w ciągu 3 miesięcy od wejścia w życie ustawy.
- Najbardziej kontrowersyjna kwestia: odwołanie przewodniczącego
- Senat proponował, aby po odwołaniu przewodniczącego przez Sejm, Senat miał miesiąc na podjęcie uchwały; brak uchwały oznaczałby akceptację decyzji Sejmu.
- Po odrzuceniu poprawki: ustawa nie wskazuje terminu, w jakim Senat musi zająć stanowisko w sprawie odwołania przewodniczącego.
- Ryzyko wskazywane przez legislatorów: brak terminu może dać Senatowi możliwość wstrzymywania decyzji (potencjalna „blokada”), ponieważ może on nie procedować uchwały w sprawie odwołania przewodniczącego.
- Dlaczego Sejm nie „wyjął” tylko jednej części poprawki: Senat zawarł trzy zmiany w jednej poprawce, więc Sejm — odrzucając ją z powodu problemu z terminem wyboru przewodniczącego — odrzucił jednocześnie pozostałe dwa zapisy.
Certyfikacja osób w ochronie danych osobowych
- Kontekst: 2 lipca 2026 r. w siedzibie UODO odbyło się spotkanie z przedstawicielami stowarzyszeń praktyków. Przedstawiono na nim plany NASK dotyczące uruchomienia pilotażu certyfikacji dla specjalistów ds. ochrony danych.
- Dla kogo jest program: certyfikacja ma być skierowana do szerokiej grupy osób zawodowo zajmujących się ochroną danych, m.in.:
- specjalistów ds. ochrony danych i zgodności,
- pełnomocników administratora,
- w przyszłości także inspektorów ochrony danych (IOD).
- Co ma obejmować certyfikacja: planowany jest profil certyfikacji dla „specjalisty ds. ochrony danych”, który ma potwierdzać wiedzę w zakresie:
- stosowania odpowiednich środków technicznych i organizacyjnych dla bezpieczeństwa informacji,
- podstawowych wymogów ochrony danych osobowych.
- Jaki standard: certyfikacja ma być certyfikacją osób zgodną z normą PN-EN ISO/IEC 17024 (wymagania dla jednostek certyfikujących osoby).
- Ważne zastrzeżenie: ten program nie jest certyfikacją w rozumieniu art. 42 RODO (czyli nie jest formalnym mechanizmem certyfikacji RODO przewidzianym w przepisach).
- Kto brał udział i jaka była rola spotkania: propozycję profilu certyfikacji omawiano m.in. z przedstawicielami organizacji: SABI, ZFODO, IAPP KnowledgeNet Chapter oraz Społecznego Zespołu Ekspertów przy Prezesie UODO.
- Co dalej: opinie zebrane od stowarzyszeń mają zostać wykorzystane jako inspiracja do ulepszania projektowanego profilu certyfikacji.
- Szerszy cel UODO: UODO deklaruje kontynuację działań w obszarze certyfikacji i podkreśla, że inicjatywy wspierające zgodność z RODO mogą poprawiać:
- bezpieczeństwo danych osobowych w organizacjach,
- realizację praw osób, których dane dotyczą.
- Perspektywa regulatora: Prezes UODO wskazuje na znaczenie rozwoju inicjatyw certyfikacyjnych, w tym tych przewidzianych w art. 42–43 RODO.
Zjawisko deepfake elementem edukacji zdrowotnej
- Kontekst: Ministerstwo Edukacji Narodowej planuje, aby uczniowie szkół podstawowych uczyli się o zagrożeniach związanych ze zjawiskiem deepfake (fałszywe, realistycznie wyglądające lub brzmiące materiały tworzone m.in. przez AI).
- Co się zmienia: Do projektu nowelizacji rozporządzenia dotyczącego podstawy programowej dodano wymóg omawiania zagrożeń związanych z niewłaściwym używaniem technologii informacyjno‑komunikacyjnych.
- Kogo dotyczy: Zmiana obejmuje uczniów klas 4–6 szkoły podstawowej, w ramach zajęć z edukacji zdrowotnej.
- Zakres programu: W dziale „Internet i profilaktyka uzależnień” doprecyzowano, że na zajęciach mają być omawiane m.in.:
- cyberprzemoc, hejt i mowa nienawiści,
- kreowanie „cyberrzeczywistości” i patostreaming,
- uzależnienie od Internetu i gier,
- phishing, kradzież tożsamości oraz deepfake,
- niebezpieczne kontakty w sieci (np. uwodzenie dzieci w sieci – child grooming) oraz szantaż (w tym rówieśniczy),
- korzyści i zagrożenia związane ze sztuczną inteligencją oraz wirtualną rzeczywistością (VR).
- Źródło inicjatywy: Prezes UODO Mirosław Wróblewski zgłosił postulat uwzględnienia deepfake w uwagach do projektu oraz w późniejszym piśmie do resortu edukacji.
- Reakcja MEN: Katarzyna Lubnauer (sekretarz stanu w MEN) poinformowała prezesa UODO o uwzględnieniu jego uwagi i wprowadzeniu odpowiedniej zmiany do projektu.
- Uzasadnienie UODO: UODO wskazał, że narzędzia oparte na AI są coraz powszechniejsze i stanowią szybko rosnące zagrożenie dla bezpieczeństwa informacyjnego i cyberbezpieczeństwa.
- Dlaczego to ważne: Technologie tworzące realistyczne fałszywe nagrania i obrazy są coraz łatwiej dostępne, tańsze i trudniejsze do wykrycia, co zwiększa ryzyko:
- dezinformacji i manipulacji opinią publiczną,
- oszustw i wyłudzeń,
- naruszeń dóbr osobistych,
- podszywania się pod osoby lub instytucje.
- Główny wniosek: Edukacja o deepfake i innych zagrożeniach cyfrowych ma stać się elementem nauczania, aby lepiej chronić dzieci i młodzież oraz zwiększać ich odporność na manipulacje i oszustwa w sieci.
Bezpieczeństwo kontra prywatność. Kamery biometryczne na stadionach w Czechach
- Kontekst: Artykuł dotyczy dyskusji w Czechach o wprowadzaniu kamer biometrycznych (rozpoznawanie twarzy w czasie rzeczywistym) na stadionach piłkarskich. Impulsem były zamieszki podczas meczu Slavia–Sparta oraz pytania o to, czy takie rozwiązania realnie zwiększą bezpieczeństwo i kto będzie kontrolował zebrane dane.
- Co wywołało debatę: 9 maja, tuż przed końcem meczu Slavii ze Spartą, kilkudziesięciu kibiców Slavii wtargnęło na boisko, a mecz przerwano. Zdarzenie było nietypowe, bo przez to zakłócenie Slavia ostatecznie przegrała.
- Problem organizacyjny na stadionie: W internecie pojawiły się nagrania sugerujące, że ochrona była nieliczna i nie zdołała powstrzymać wejścia kibiców na murawę.
- Wypowiedź prezesa Slavii i wątek UE: Prezes Slavii Jaroslav Tvrdík stwierdził, że klub nie może używać kamer biometrycznych z powodu zakazu w AI Act (unijnych przepisach dotyczących sztucznej inteligencji), a jednocześnie przyznał, że Slavia już ma system zdalnej identyfikacji biometrycznej w czasie rzeczywistym.
- Inne kluby też to mają: Kilka dni później kolejne czeskie kluby piłkarskie przyznały, że również dysponują takimi systemami i czekają na zmianę prawa, aby móc je uruchomić.
- Rola właściciela Slavii: Właścicielem klubu jest miliarder Pavel Tykač. Po zamieszkach proponował stosowanie kamer biometrycznych na stadionie nawet kosztem kar za naruszenie przepisów (porównano to podejście do dużych firm technologicznych, które stać na kary).
- Ryzyko kar i zmiana stanowiska klubu: Po spotkaniu z urzędem ochrony danych Slavia wycofała się z pomysłu – prawdopodobnie dlatego, że potencjalne kary mogłyby sięgać milionów koron, a w grę mogłaby wchodzić także odpowiedzialność karna.
- Protesty kibiców: Na stadionach odbyły się skoordynowane protesty przeciw skanowaniu twarzy (m.in. hasła w stylu „Skanuj swoje sumienie, a nie nasze twarze”). Dla organizacji broniących praw cyfrowych był to pierwszy tak wyraźny sprzeciw opinii publicznej wobec biometrii.
- Stanowisko urzędu ochrony danych: Przedstawiciele urzędu zapowiedzieli, że możliwa jest zmiana czeskiego prawa, aby dopuścić takie systemy na stadionach.
- Planowane regulacje i termin: Wiceprzewodniczący urzędu Josef Míčka mówił o uzgodnieniach (m.in. z prezesem Slavii i ministrem) w sprawie uregulowania przetwarzania danych biometrycznych dla monitoringu stadionów, a nowe przepisy mogłyby wejść w życie do 1 stycznia 2027 r.
- Proponowane zastosowania na stadionie: Jednym z pomysłów jest stworzenie bazy osób, które miałyby zakaz wstępu. Rozważano też skanowanie ludzi bezpośrednio na trybunach, choć Míčka zaznaczał, że nie popiera tego wariantu.
- Kluczowy spór: kto ma mieć dane: Największe obawy budzi to, kto będzie właścicielem i administratorem bazy danych biometrycznych. Pada sugestia, że baza powinna być w rękach państwa, ale to również rodzi pytania o kontrolę i nadużycia.
- Postawa polityków: Wielu czeskich polityków chce złagodzić przepisy i dopuścić część systemów identyfikacji biometrycznej. Opisywany jest zaskakująco szeroki konsensus – nawet środowiska wcześniej sceptyczne wobec biometrii są dziś za jej użyciem na stadionach.
- Wątpliwości co do skuteczności: Autor rozmowy zwraca uwagę, że nie da się przewidzieć zachowania każdego kibica, a podczas zamieszek część osób była zamaskowana, co podważa praktyczną skuteczność rozpoznawania twarzy.
- Co już działa w Czechach: Policja ma system biometryczny, ale nie w czasie rzeczywistym, i mogła go użyć do identyfikacji sprawców po zdarzeniach. Kamery biometryczne działające w czasie rzeczywistym mają być obecnie dostępne głównie na lotnisku im. Václava Havla.
- Przykład lotniska i AI Act: System rozpoznawania twarzy na lotnisku był krytykowany jako nielegalny; po wejściu w życie AI Act został usunięty na kilka miesięcy, ale później wrócił po decyzji sądu, który powołał się na wyjątki w AI Act (użycie „bezwzględnie konieczne” m.in. przy poszukiwaniach ofiar poważnych przestępstw, zapobieganiu bezpośredniemu zagrożeniu życia lub atakom terrorystycznym).
- Kontrowersja wokół wyjątków: AI Act wymaga, by decyzja była wydawana indywidualnie i by poszukiwania były ukierunkowane. Z tego powodu autor rozmowy uważa, że stały monitoring biometryczny na lotnisku nie powinien funkcjonować w tej formie.
Czy nowe przepisy o ochronie dzieci zablokują media społecznościowe?
- Kontekst: trwają prace nad ustawą, która ma chronić małoletnich przed dostępem do pornografii w internecie. Eksperci ostrzegają jednak, że w obecnym brzmieniu projekt może objąć także media społecznościowe (np. X, Facebook), jeśli pojawiają się tam takie treści.
- Główne założenie projektu: każdy usługodawca umożliwiający dostęp do treści pornograficznych miałby obowiązek wdrożyć mechanizm weryfikacji wieku i uniemożliwić dostęp osobom niepełnoletnim.
- Co ma zniknąć: projekt zakłada, że obecna samoweryfikacja (np. „kliknij, że masz 18+”) nie będzie wystarczająca – potrzebna ma być „prawdziwa” weryfikacja wieku.
- Sankcje: domena, która nie wprowadzi weryfikacji wieku, może trafić na listę prowadzoną przez Prezesa UKE, co w praktyce oznacza blokadę/„usunięcie z internetu”.
- Problem definicji „usługodawcy”: eksperci wskazują, że pojęcie jest bardzo szerokie (w prawie może oznaczać właściwie każdy podmiot świadczący usługi online), więc ryzyko objęcia przepisami może dotyczyć wielu serwisów – także takich, gdzie pornografia pojawia się incydentalnie lub wbrew regulaminowi.
- Ryzyko dla mediów społecznościowych: ponieważ treści pornograficzne mogą pojawiać się także na platformach ogólnego użytku, eksperci (m.in. Panoptykon, Fundacja Dajemy Dzieciom Siłę) oceniają, że przepisy mogą zostać zinterpretowane tak, iż zagrożone byłyby całe domeny (np. X czy Facebook), a nie pojedyncze konta lub konkretne treści.
- Brak mechanizmu „punktowego” działania: według ekspertów w projekcie nie ma mowy o blokowaniu konkretnych profili czy wpisów – sankcja dotyczy całej domeny, co jest uznawane za rozwiązanie zbyt „zero-jedynkowe”.
- Stanowisko Ministerstwa Cyfryzacji: resort deklaruje, że celem projektu nie jest blokowanie platform społecznościowych; te mają być regulowane unijnym Aktem o usługach cyfrowych (DSA). Równolegle mają trwać osobne prace nad ograniczeniami wiekowymi dla samych social mediów.
- Spór o platformy „na granicy”: ministerstwo wskazuje, że jedyną platformą społecznościową kojarzoną z pornografią jest OnlyFans, ale eksperci podnoszą, że inne serwisy również dopuszczają takie treści (np. X – pod pewnymi warunkami/oznaczeniami).
- Przykłady różnic w regulaminach:
- X: dopuszcza treści dla dorosłych, jeśli są odpowiednio oznaczone – co może sugerować konieczność weryfikacji wieku.
- Facebook: zasadniczo zakazuje nagości i usuwa takie treści po zgłoszeniu.
- Argument z raportu z Wielkiej Brytanii: według cytowanego raportu o dzieciach i pornografii, 8 na 10 serwisów, które „dostarczają” pornografię dzieciom, to platformy społecznościowe, a największą z nich ma być X.
- Duża rola interpretacji UKE: o karach i wpisie na listę zakazanych domen decydowałby Prezes UKE, a eksperci obawiają się, że nieprecyzyjne przepisy dadzą szerokie pole do uznaniowości i potencjalnych nadużyć, a także mogą sparaliżować urząd koniecznością analizowania kolejnych przypadków.
- Co eksperci proponują zmienić: doprecyzować w projekcie, jakie strony podlegają ustawie, np. poprzez:
- kryterium, że znaczna/istotna część zawartości to pornografia,
- określenie procentowego udziału takich treści,
- uwzględnienie, czy regulamin platformy dopuszcza publikowanie treści erotycznych czy zabrania.
- Prywatność i zaufanie społeczne: weryfikacja wieku budzi opór, dlatego – zdaniem Panoptykonu – potrzebne jest włączenie ekspertów (również technicznych), aby metody weryfikacji były bezpieczne i jak najmniej ingerowały w prywatność.
- Postulat na przyszłość: rząd powinien zaplanować także sprawdzanie skuteczności rozwiązań po ich wdrożeniu.
Masowa edycja wielu nazw obiektów w Warszawie w Mapach Google. CERT Polska zgłosił 78 zmienionych nazw
- Kontekst: w Mapach Google w Warszawie pojawiły się prowokacyjne, obraźliwe i polityczne podmiany nazw ważnych miejsc – m.in. Pałac Prezydencki jako „Pałac Kibolski”, Grób Nieznanego Żołnierza z odwołaniem do SS oraz Muzeum Powstania Warszawskiego z nazwą nawiązującą do III Rzeszy.
- Kiedy to zauważono: pierwsze sygnały o masowych zmianach nazw pojawiły się w niedzielę 5 lipca; w poniedziałek skala incydentu była już wyraźniejsza.
- Skala: CERT Polska do godz. 10 w poniedziałek zgłosił 78 przypadków zmienionych nazw (pełna lista nie została publicznie opublikowana).
- Co obejmowały zmiany: nie dotyczyły tylko pojedynczych obiektów – podmiany objęły instytucje państwowe, miejsca pamięci, muzea, parki, centra handlowe i obiekty sportowe.
- Charakter podmian: część nazw zawierała odniesienia do nazizmu (SS, III Rzesza), inne były wulgarne, miały formę politycznej prowokacji lub ataku personalnego.
- Przykłady potwierdzonych podmian (na podstawie materiałów kilku redakcji):
- Pałac Prezydencki → „Pałac Kibolski”
- Biuro Bezpieczeństwa Narodowego → „Biuro Bezpieczeństwa Kibolskiego”
- Grób Nieznanego Żołnierza → „Grób Znanego Żołnierza SS”
- Muzeum Powstania Warszawskiego → „Muzeum Powstania III Rzeszy”
- Westfield Arkadia → „Waffen SS Arkadia”
- Ogród Saski → „Ogród Suski”, Plac Piłsudskiego → „Plac Dzierżyńskiego” (oraz inne podmiany o podobnym charakterze)
- Reakcja Google: Google potwierdził usuwanie niewłaściwych nazw oraz blokowanie kont odpowiedzialnych za edycje; przywracanie poprawnych oznaczeń odbywało się stopniowo.
- Dlaczego to było możliwe: Mapy Google pozwalają użytkownikom zgłaszać korekty (np. zmiany nazw), które – według deklaracji Google – powinny być weryfikowane przed publikacją. Incydent rodzi pytanie, jak tak wiele oczywiście nieprawidłowych wpisów mogło się wyświetlić.
- Czy to był „atak hakerski”: CERT Polska studzi spekulacje – na tym etapie nie ma potwierdzenia włamania do systemów Google; sama masowa zmiana nazw nie przesądza o sposobie działania.
- Co jest pewne na teraz (wg tekstu): doszło do masowych podmian nazw, CERT Polska zgłosił 78 przypadków, a Google usuwa wpisy i blokuje konta.
- Co pozostaje niejasne: nie wiadomo, kto stoi za akcją, czy była skoordynowana oraz czy wszystkie zmiany pochodzą z jednego źródła.
- Wniosek praktyczny: błędne lub obraźliwe opisy miejsc należy zgłaszać do moderacji platformy (Map Google), bo część zmian mogła wynikać z nadużycia mechanizmu edycji przez użytkowników.
Kara za niewdrożenie środków zapewniających bezpieczeństwo danych osobowych
- Kontekst: Prezes UODO Mirosław Wróblewski nałożył karę 11 594 zł na administratora prowadzącego kancelarię podatkową po incydencie związanym z przejęciem skrzynki e-mail i ryzykiem ujawnienia danych osobowych.
- Co się stało: osoba nieuprawniona uzyskała dostęp do konta pocztowego pracownika; z przejętej skrzynki wysłano wiadomości (spam), a na koncie znajdowały się dane osobowe.
- Skala i rodzaj danych: w skrzynce przetwarzano dane osobowe 111 podmiotów danych (m.in. klientów, ich pracowników oraz dzieci zgłoszone do ubezpieczenia zdrowotnego).
- Zgłoszenie incydentu: administrator sam zgłosił naruszenie do UODO, co stało się impulsem do oceny, czy zapewniono odpowiednie zabezpieczenia (zwłaszcza w obszarze przetwarzania danych elektronicznie i przez e-mail).
- Stanowisko kancelarii: kancelaria twierdziła, że nie ma dowodów, iż osoba nieuprawniona pozyskała dane przechowywane w skrzynce.
- Stanowisko Prezesa UODO: organ nie zgodził się z tym argumentem, wskazując, że:
- nie wiadomo, kiedy i jak długo skrzynka była przejęta,
- pracownik używał jej sporadycznie,
- skrzynkę zablokował dostawca hostingu po uruchomieniu mechanizmu antyspamowego,
- administrator nie potrafił ustalić okoliczności wysyłania spamu i nie miał dostępu do logów ani narzędzi pozwalających sprawdzić, czy dane zostały pobrane.
- Kluczowa definicja (RODO): „naruszenie ochrony danych” to nie tylko udowodnione wykradzenie danych, ale także nieuprawniony dostęp do danych przesyłanych lub przechowywanych. Brak dowodu pozyskania danych nie oznacza, że naruszenia nie było.
- Najważniejsze uchybienia po stronie administratora:
- brak odrębnych regulacji dot. ochrony danych przed incydentem,
- brak analizy ryzyka dla przetwarzania danych przez systemy objęte naruszeniem (w tym e-mail),
- brak regularnego testowania zabezpieczeń i oceny ich skuteczności.
- Działania naprawcze (po incydencie, w trakcie postępowania): administrator wdrożył działania zgodnościowe, m.in. przeprowadził analizę ryzyka, wprowadził Politykę Bezpieczeństwa Informacji i inne regulacje oraz wykonał audyt infrastruktury IT.
- Dlaczego kara: kara została nałożona po postępowaniu administracyjnym wszczętym z urzędu. Prezes UODO podkreślił, że sankcji podlega nie tyle sam fakt, że doszło do nieuprawnionego przetwarzania, ale przede wszystkim niedochowanie odpowiedniego standardu środków bezpieczeństwa w danych okolicznościach.
Prezes UODO zachęca środowiska dziennikarskie do opracowania kodeksu postępowania
- Kontekst: artykuł dotyczy tego, jak media powinny przetwarzać dane osobowe (w tym dane dzieci i ofiar przestępstw) oraz czy i jak warto uregulować to w branżowym Kodeksie postępowania RODO dla mediów. Chodzi m.in. o zasady anonimizacji, archiwizację materiałów z internetu, ochronę danych na nagraniach oraz umiar w ujawnianiu szczegółów o osobach prywatnych.
- Wyjątek dziennikarski nie zwalnia całkowicie z RODO: media mogą korzystać z tzw. wyjątku dziennikarskiego, ale nie oznacza to pełnego wyłączenia spod przepisów RODO.
- Redakcje są administratorami danych: w praktyce oznacza to konieczność stosowania procedur i zabezpieczeń chroniących dane osób, które nie pełnią funkcji publicznych (szczególnie dzieci, ofiar przestępstw).
- Obowiązują też inne przepisy: zasady publikacji informacji zawierających dane osobowe wynikają nie tylko z RODO, ale także z prawa prasowego i prawa cywilnego.
- Potrzeba praktycznych wytycznych: kodeks powinien zawierać konkretne, użyteczne rozwiązania (najlepiej z przykładami) oparte również na orzecznictwie sądów polskich i europejskich.
- Co mógłby regulować kodeks:
- kiedy i jak anonimizować dane w materiałach prasowych,
- jak długo przechowywać nagrania i zdjęcia (okresy retencji),
- jak postępować z materiałami z udziałem nieletnich oraz ofiar przestępstw,
- jak bezpiecznie archiwizować materiały ze stron internetowych,
- jak ograniczać zakres ujawnianych informacji do niezbędnego minimum.
- Cel: pogodzenie prawa do informacji z prawem do prywatności: zatwierdzony przez Prezesa UODO kodeks pomógłby redakcjom oceniać, w jakich sytuacjach ujawnienie danych jest uzasadnione, a kiedy konieczna jest anonimizacja.
- Obecnie panuje duża różnorodność praktyk: redakcje stosują różne rozwiązania, które nie zawsze zapewniają odpowiedni poziom ochrony danych osobowych.
- Standard branżowy ułatwiłby zgodność z RODO: wspólnie wypracowane zasady mogłyby uprościć codzienną pracę redakcji i poprawić poziom zabezpieczeń.
- Skąd wziął się temat: potrzebę opracowania kodeksu omawiano podczas konferencji UODO „Dane osobowe na antenie – standardy i granice ochrony” (19 listopada 2025 r.).
- Najważniejsze zagadnienia z konferencji: zakres ujawnianych informacji, trudności archiwizacji danych, prawo do bycia zapomnianym, zabezpieczenie nośników danych.
- Stanowisko UODO: Agnieszka Grzelak (zastępczyni Prezesa UODO) podkreśliła, że celem nie jest ograniczanie mediów, tylko świadome i odpowiedzialne korzystanie z danych osobowych oraz dobieranie zabezpieczeń adekwatnie do ryzyka.
- Szczególna ostrożność przy osobach wrażliwych: przy dzieciach i osobach starszych należy szczególnie dokładnie oceniać, czy wszystkie dane w przekazie są naprawdę konieczne.
- Jak ma powstać kodeks: zgodnie z RODO powinien być przygotowany przez podmioty reprezentujące branżę (znające realia pracy redakcji), a Prezes UODO może inicjatywę wspierać, ocenić i zatwierdzić projekt.
Komisja Europejska wszczęła wobec Polski postępowanie naruszeniowe w związku z niewdrożeniem dyrektywy policyjnej
- Kontekst: Komisja Europejska wszczęła przeciw Polsce postępowanie naruszeniowe INFR(2026)2130, ponieważ brakuje przepisów zapewniających należyty nadzór nad przetwarzaniem danych osobowych w obszarze ochrony porządku publicznego i wymiaru sprawiedliwości. UODO od dawna sygnalizował ten problem; prezes Mirosław Wróblewski kilka miesięcy wcześniej skierował pismo do ministrów spraw wewnętrznych i sprawiedliwości, wskazując na pilną potrzebę zmian.
- Na czym polega procedura naruszeniowa UE:
- To mechanizm prawny Komisji Europejskiej wobec państwa, które nie wywiązuje się z obowiązków wynikających z prawa UE.
- Etap 1: wezwanie do usunięcia uchybienia (KE wskazuje naruszenia i żąda wyjaśnień w terminie).
- Etap 2: „uzasadniona opinia” (oficjalne zarzuty i termin na dostosowanie przepisów).
- Etap 3: skarga do TSUE; jeśli po wyroku naruszenie trwa nadal, możliwa jest kolejna skarga i kary finansowe.
- Główne zastrzeżenia UODO: niepełne wdrożenie tzw. dyrektywy policyjnej (2016/680) do polskiego prawa (ustawa z 14 grudnia 2018 r.). UODO wskazuje, że obecna ustawa nie daje pełnych gwarancji ochrony praw osób, których dane dotyczą.
- Problem licznych wyłączeń w polskiej ustawie:
- Ustawa nie obejmuje wszystkich obszarów przetwarzania danych, które przewiduje dyrektywa.
- W praktyce dane przetwarzane w toku czynności procesowych i zawarte w aktach spraw mogą nie podlegać ani tej ustawie, ani ogólnym zasadom ochrony danych, a jedynie procedurze karnej.
- W procedurze karnej brakuje części kluczowych gwarancji ochrony praw osób, których dane dotyczą.
- Jakich praw może dotyczyć luka w ochronie:
- prawo do informacji,
- prawo do skargi,
- prawo dostępu do danych,
- prawo do sprostowania, usunięcia i ograniczenia przetwarzania,
- prawo wniesienia skargi do niezależnego organu nadzorczego oraz prawo do skutecznego środka odwoławczego przed sądem.
- Nadzór nad danymi w sądach (wymiar sprawiedliwości):
- UODO wskazuje, że dla ochrony niezawisłości sędziowskiej nadzór powinien być powierzony specjalnym, niezależnym organom, ale polskie przepisy wciąż wymagają doprecyzowania.
- Brakuje też jednolitych wytycznych interpretacyjnych, co osłabia przejrzystość i spójność nadzoru.
- W praktyce występują rozbieżności: sądy apelacyjne częściej szeroko interpretują wyłączenia, a sądy okręgowe i rejonowe czasem zawężają ich zakres.
- Mimo że przepisy ustrojowe przypisują sądom zadania organu nadzorczego, wiele podmiotów nie identyfikuje obszarów, w których powinno się stosować ustawę z 2018 r.
- Prokuratura: wątpliwości co do niezależności nadzoru
- W prokuraturze część organów przyjmuje, że jest uprawniona do sprawowania nadzoru „w trybie dyrektywy policyjnej”, co pokazuje systemowy problem interpretacyjny.
- Nadzór ma charakter kaskadowy (organy wyższe kontrolują niższe). W prokuraturze, ze względu na silną hierarchię, pojawiają się poważne wątpliwości, czy spełniony jest wymóg niezależności.
- UODO podkreśla, że prokuratura nie sprawuje wymiaru sprawiedliwości w sensie ścisłym, więc nie powinno się do niej automatycznie stosować wyłączeń – co przemawia za pełnym, niezależnym nadzorem nad przetwarzaniem danych w prokuraturze.
- Skutek systemowy: fragmentacja nadzoru
- Część zadań skupiono u Prezesa UODO, a organy w strukturach sądów i prokuratury nie mają pełnych kompetencji przewidzianych w dyrektywie.
- To utrudnia zapewnienie jednolitego standardu ochrony danych w całym kraju.
- Podobne trudności interpretacyjne występują tylko w nielicznych państwach UE; w większości system działa bez większych problemów.
- Inne uwagi UODO do obecnych przepisów:
- Nieprawidłowe wdrożenie dyrektywy negatywnie wpływa na funkcjonowanie wielkoskalowych systemów informacyjnych UE w Polsce, w tym na nadzór nad dostępem służb do danych w tych systemach.
- Dyrektywa wymaga skutecznych, proporcjonalnych i odstraszających sankcji za naruszenia; polska ustawa nie daje Prezesowi UODO narzędzi do stosowania takich sankcji.
- Wymagają uregulowania kwestie dotyczące inspektora ochrony danych (IOD) – obecne przepisy mają być niezgodne z dyrektywą (zakres zadań IOD i obowiązki notyfikacyjne).
- Problemem jest też wyłączenie stosowania ustawy z 2018 r. do części zadań niektórych służb oraz nadmiernie ogólne brzmienie niektórych przepisów, które w praktyce może osłabiać ochronę praw podstawowych.
- Co dalej:
- Wszczęcie postępowania przez KE potwierdza, że zgłaszane przez UODO zastrzeżenia dotyczą realnych niezgodności polskich przepisów z prawem UE, a nie wyłącznie sporów interpretacyjnych.
- Postępowanie nie przesądza jeszcze wyniku, ale zwiększa presję na szybkie zmiany legislacyjne.
- UODO liczy, że działania KE przyspieszą przyjęcie rozwiązań zapewniających pełną zgodność z prawem UE i jednolity standard ochrony danych.
- Prezes UODO deklaruje gotowość do współpracy z organami państwa przy dostosowaniu przepisów i przedstawieniu rekomendacji.
Wyciek danych gości wielu polskich hoteli
- Kontekst: Usługa Hotres, z której korzystają tysiące polskich hoteli i obiektów noclegowych do przyjmowania oraz zarządzania rezerwacjami, została zhackowana. Włamywacze uzyskali dostęp do danych gości i wykorzystują je do wysyłania fałszywych, ale bardzo wiarygodnych wiadomości (np. z linkami do płatności) w celu wyłudzenia pieniędzy.
- Jak wykryto problem: Do hoteli zaczęły trafiać sygnały, że ich klienci otrzymują wiadomości (m.in. na WhatsAppie) z prawidłowymi danymi rezerwacji i prośbą o płatność. Zjawisko dotyczy wielu obiektów, nie pojedynczego hotelu.
- Co przekazał Hotres: Firma poinformowała obiekty o „naruszeniu ochrony danych osobowych” o początkowo „nieznanej skali”, a następnie wskazała, że kradzież danych nastąpiła poprzez SQL injection.
- Jakie dane mogły wyciec: Hotres ustalił, że wykradziono m.in.:
- imię i nazwisko,
- adres e-mail,
- numer telefonu,
- daty pobytu,
- kwotę pobytu.
- Dlaczego to groźne: Przestępcy mogą podszywać się pod hotel i – znając szczegóły rezerwacji – prosić o:
- dodatkową płatność,
- podanie danych karty,
- kliknięcie w link do „płatności” lub „gwarancji rezerwacji”.
- Czy Twoje dane mogły wyciec: Jeśli rezerwowałeś/aś nocleg w obiekcie korzystającym z Hotres, należy założyć, że Twoje dane mogły zostać przejęte.
- Jak sprawdzić, czy obiekt używa Hotres (nie zawsze skuteczne):
- przeszukaj swoją pocztę pod kątem słowa „hotres” (np. w stopkach e-maili),
- sprawdź listę „referencji” na stronie Hotres (nie obejmuje wszystkich obiektów).
- Obowiązki formalne po stronie hoteli: Hotres przypomina obiektom, że jako administratorzy danych mają ocenić ryzyko i w razie potrzeby zgłosić naruszenie do UODO w ciągu 72 godzin. W tekście zwrócono uwagę, że część obiektów może błędnie zinterpretować komunikat i nie zareagować wystarczająco rzetelnie.
- Co robić, jeśli dostaniesz prośbę o płatność:
- Nie płać na podstawie linku z e-maila/SMS/WhatsAppa i nie podawaj danych karty.
- Zweryfikuj kontakt niezależnie: samodzielnie zadzwoń na oficjalny numer hotelu i potwierdź, czy wiadomość jest prawdziwa.
- Wskazówki na przyszłość (ograniczanie szkód przy wyciekach):
- rozważ używanie jednorazowego adresu e-mail lub aliasu do rezerwacji,
- podawaj minimum danych (np. nie podawaj numeru telefonu, jeśli nie jest wymagany),
- przy rezerwacji online często nie musisz wpisywać pełnego nazwiska,
- ostrożnie podchodź do udostępniania dokumentu tożsamości przy check-inie; unikaj sytuacji, w której ktoś spisuje unikatowe numery dokumentów bez wyraźnej potrzeby.
Administratorem danych osobowych jest Lex Artist sp. z o.o., ul. Szańcowa 74/1, 01-458 Warszawa. Dane osobowe będą przetwarzane w celu umieszczenia i obsługi komentarza na blogu. Przysługują Panu/Pani następujące prawa: prawo dostępu do treści danych, prawo do sprostowania danych, prawo do usunięcia danych, prawo do ograniczenia przetwarzania danych, prawo do wniesienia sprzeciwu, prawo do wniesienia skargi do organu nadzorczego. Pełna treść klauzuli informacyjnej znajduje się tutaj.
Zanonimizowany ciąg znaków stworzony na podstawie Pani/Pana adresu email (tak zwany hash) może zostać przesłany do usługi Gravatar w celu sprawdzenia czy jej Pan/Pani używa. Polityka prywatności usługi Gravatar jest dostępna tutaj. Po zatwierdzeniu komentarza obrazek profilowy jest widoczny publicznie w kontekście twojego komentarza.