Za raport wytworzony przez AI można mieć sprawę karną » Od AI Act do krajowych regulacji – webinarium UODO » Rzecznik generalny Trybunału UE wskazał granice retencji » Wyciek danych z MyDr. Rząd wyjaśnia, dlaczego informacje trafiły do portalu dopiero po dwóch tygodniach » Numer PESEL. O potrzebie prawidłowego rozumienia roli i celów identyfikatora powszechnego » CNIL: 500 000 euro kary dla prywatnego szpitala za niezabezpieczone dane 524 tys. pacjentów » Holenderska Rada Stanu uznała, że obrona roszczeń może ograniczyć usunięcie danych » WSA w Warszawie: nakaz usunięcia musi być precyzyjny » Belgijski organ ochrony danych nakazał usunięcie danych lotów helikoptera » NSA: uszkodzona przesyłka nie dowodzi naruszenia
⬇️ Pobierz W PDF
Praktyczny poradnik o wdrażaniu RODO
Książka RODOLOGIA to kompleksowy przewodnik po RODO, który pomaga wdrożyć ochronę danych osobowych w sposób prosty, szybki i skuteczny. Ponad 500 stron praktycznej wiedzy podanej w przystępnej formie i zrozumiałym języku. A wszystko to podane w pięknej, premium formie. Dowiedz się więcej o RODOLOGII: SprawdźZa raport wytworzony przez AI można mieć sprawę karną
- Kontekst: AI Act wprowadza obowiązek oznaczania treści (np. raportów) zawierających tekst wygenerowany lub zmanipulowany przez AI, ale dotyczy to publikacji udostępnionych od 2 sierpnia. Publikacje udostępnione przed 2 sierpnia nie muszą być oznaczone jako stworzone przez AI i nie grożą za nie sankcje z AI Act, jednak nadal mogą pojawić się konsekwencje na gruncie prawa autorskiego i RODO.
- Przykład z artykułu: raport „Polaków portret własny. Raport z badań DNA marki Polska” okazał się wygenerowany przez AI i powstał przed 2 sierpnia 2026 r. (datowany na listopad 2025, prezentowany 25 listopada 2025 r.), więc nie podlega obowiązkom z AI Act dotyczącym oznaczania.
- Co dokładnie weszło w życie 2 sierpnia: obowiązek oznaczania raportów i analiz eksperckich zawierających treści wygenerowane/zmanipulowane przez AI, gdy publikowane są w celu informowania społeczeństwa o sprawach w interesie publicznym (art. 50 ust. 4 AI Act).
- Kto ma egzekwować przepisy w Polsce: ma to robić Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI), ale na razie jeszcze nie powstała.
- Wyjątek od obowiązku oznaczania (ważne uproszczenie): nie trzeba ujawniać użycia AI, jeśli treść przeszła realną weryfikację przez człowieka lub kontrolę redakcyjną, a ktoś ponosi odpowiedzialność redakcyjną za publikację. Taka weryfikacja musi być merytoryczna, a nie „pozorna”.
- „Trwające naruszenie” po 2 sierpnia: ekspert wskazuje, że jeśli raport udostępniony po 2 sierpnia nadal jest publicznie dostępny bez wymaganego oznaczenia (i bez spełnienia warunków wyjątku), naruszenie może być traktowane jako ciągłe – kolejne osoby wciąż zapoznają się z treścią bez informacji o jej pochodzeniu.
- Możliwe działania organu (gdy zacznie działać): KRiBSI mogłaby m.in. nakazać oznaczenie raportu, usunięcie skutków naruszenia oraz zastosować sankcje.
- Co jest decydujące dla AI Act: nie data wygenerowania tekstu, lecz data publicznego udostępnienia (np. publikacja na stronie internetowej instytucji). Zastrzeżenie: nie dotyczy to raportów opublikowanych przed 2 sierpnia 2026 r.
- Prawo autorskie – kluczowa zasada: samo podpisanie treści wygenerowanej przez AI jako własnej nie oznacza automatycznie odpowiedzialności prawnej, ale rodzi pytania o prawa autorskie i ryzyka naruszeń.
- AI nie jest „twórcą” w rozumieniu prawa: twórcą może być wyłącznie osoba fizyczna; materiał w całości wygenerowany przez AI co do zasady nie spełnia wymogów utworu (brak ochrony prawnoautorskiej dla takiego „utworu”).
- Szara strefa wkładu człowieka: gdy użytkownik ma istotny wpływ (np. przez prompty i redakcję), granica między wkładem twórczym człowieka a efektem działania algorytmów może wymagać oceny w każdym przypadku.
- Licencje narzędzi AI: warunki korzystania z narzędzi AI mogą ograniczać użycie wygenerowanych treści (np. zakaz komercyjnego wykorzystania) – to ryzyko kontraktowe niezależne od AI Act.
- Ryzyko naruszenia cudzych praw autorskich: jeśli treść wygenerowana przez AI jest zbyt podobna do istniejących utworów, odpowiedzialność może ponosić osoba, która z niej korzysta. Możliwe roszczenia obejmują m.in. zaniechanie naruszeń, usunięcie skutków, odszkodowanie i wydanie korzyści (art. 79).
- Prawa osobiste i możliwa odpowiedzialność karna: przywłaszczenie autorstwa lub naruszenie praw osobistych twórcy (np. oznaczenia nazwiskiem, rzetelnego wykorzystania) może skutkować również odpowiedzialnością karną (art. 115 prawa autorskiego).
- RODO – ryzyko „fałszywych danych osobowych”: nawet oczywiście nieprawdziwe informacje o osobie (np. przypisanie wypowiedzi, udziału w wydarzeniu, błędna afiliacja) mogą być danymi osobowymi, jeśli dotyczą osoby zidentyfikowanej lub możliwej do zidentyfikowania.
- Kto odpowiada w RODO: administratorem jest podmiot, który określa cele i sposoby przetwarzania danych w raporcie; ma obowiązek dbać o prawidłowość danych i podejmować działania, by je sprostować lub usunąć (art. 5), a osoba może żądać sprostowania (art. 16).
- Istotne zastrzeżenie: administrator nie może się usprawiedliwić tym, że nieprawdziwe informacje wygenerowała AI – obowiązki z RODO pozostają.
Od AI Act do krajowych regulacji – webinarium UODO
- Kontekst: Urząd Ochrony Danych Osobowych (UODO) oraz Społeczny Zespół Ekspertów przy Prezesie UODO zapraszają na webinarium pt. „Od AI Act do krajowych regulacji. Nowe wyzwania dla ochrony danych osobowych”.
- Termin i godzina: 30 września 2026 r., godz. 10:00–12:00.
- Cel spotkania: omówienie wyzwań związanych ze stosowaniem sztucznej inteligencji w kontekście ochrony danych osobowych, roli Prezesa UODO w krajowym nadzorze nad AI oraz kwestii, które warto przeanalizować przed wdrożeniem systemów AI.
- Wystąpienie otwierające: Prezes UODO Mirosław Wróblewski przedstawi pozycję i rolę Prezesa UODO w krajowym systemie nadzoru nad sztuczną inteligencją w związku z AI Act.
- Niezależność i współpraca: zostaną omówione rozwiązania prawne zapewniające niezależność organu ds. ochrony danych, przy jednoczesnym założeniu współpracy z Komisją Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI).
- Reagowanie na naruszenia prywatności: Prezes UODO wyjaśni, jakie ma kompetencje do podejmowania działań, gdy wykorzystanie AI narusza prywatność i prawo do ochrony danych (np. w kontekście deepfake’ów).
- Co ważne dla administratorów: m.in. jak rozumieć zapewnianie zgodności jednocześnie z RODO i AI Act, jak podchodzić do oceny ryzyka na podstawie obu regulacji oraz jaką rolę mogą odegrać tzw. piaskownice regulacyjne.
- Druga część webinarium: poprowadzi dr hab. Dominik Lubasz, prof. UŁ, członek Społecznego Zespołu Ekspertów przy Prezesie UODO.
- Praktyczne narzędzie: zostaną przedstawione „listy pytań inicjalnych” – ich geneza, sposób opracowania, obecna wersja oraz wskazówki, jak z nich korzystać przy planowaniu wykorzystania AI.
- Aktualizacje dokumentu: uczestnicy dowiedzą się, co zmieniono po ostatniej turze uwag oraz które elementy list są nadal dopracowywane przez zespół ekspertów.
- Dla kogo szczególnie: administratorzy danych, inspektorzy ochrony danych, osoby odpowiedzialne za zakupy i wdrożenia technologiczne oraz jednostki sektora publicznego.
Rzecznik generalny Trybunału UE wskazał granice retencji
- Kontekst: Opinia rzecznika generalnego TSUE z 3 września 2026 r. dotyczy tego, kiedy i na jakich warunkach dostawcy usług łączności elektronicznej (np. operatorzy) mogą przechowywać dane o ruchu i lokalizacji użytkowników. Kluczowy wniosek: nie chodzi wyłącznie o długość przechowywania (retencji), ale także o to, jak technicznie są zorganizowane i zabezpieczone zbiory danych.
- Sprawa w tle: chodzi o belgijską ustawę dotyczącą zbierania i przechowywania danych identyfikacyjnych oraz metadanych w sektorze łączności elektronicznej; belgijski Trybunał Konstytucyjny zadał pytania prejudycjalne do TSUE.
- To nie jest jeszcze wyrok: opinia rzecznika generalnego nie wiąże sądu, ale często wskazuje kierunek przyszłego orzeczenia i zawiera rozbudowaną propozycję interpretacji prawa UE.
- Dlaczego samo przechowywanie danych jest problemem: już samo gromadzenie danych o ruchu i lokalizacji stanowi ingerencję w prawa podstawowe (prywatność i ochronę danych), nawet jeśli dane nie zostaną później wykorzystane.
- Co jest najbardziej wrażliwe: zestaw danych pozwalających ustalić m.in. kto z kim się kontaktował, kiedy i jak długo, z jakiego urządzenia/usługi oraz gdzie znajdował się użytkownik, może umożliwiać bardzo dokładne wnioski o życiu prywatnym.
- Teza 1 – „szczelna” separacja kategorii danych: ogólne (uogólnione i niezróżnicowane) przechowywanie danych o ruchu i lokalizacji może być dopuszczalne dla celów z art. 15 ust. 1 dyrektywy 2002/58, ale tylko wtedy, gdy system jest zaprojektowany tak, aby uniemożliwiać wyciąganie precyzyjnych wniosków o życiu prywatnym.
- W praktyce oznacza to rzeczywiście szczelne techniczne odseparowanie różnych kategorii danych, tak aby nie dało się ich powiązać już na etapie przechowywania.
- Okres retencji musi być ograniczony do tego, co ściśle niezbędne.
- Separacja ma być realna (techniczna), oparta na bezpiecznym systemie i poddawana regularnej kontroli przez organ publiczny niezależny od organów chcących uzyskać dostęp do danych.
- Teza 2 – ustawa musi precyzyjnie wyznaczać granice retencji: prawo krajowe powinno zawierać jasne i precyzyjne reguły: jakie dane są przechowywane, w jakim celu, jak długo i na jakich zasadach, oraz minimalne wymogi ochrony przed nadużyciami. Ingerencja ma być ograniczona do minimum koniecznego.
- Teza 3 – operator nie może sam „ustalać” retencji: przepisy, które pozostawiają dostawcom decyzję, czy przechowywać dane, w jakim zakresie i przez jaki okres, są nieproporcjonalne i nie spełniają wymogu, że ograniczenie praw podstawowych musi wynikać z ustawy.
- Teza 4 – dane lokalizacyjne wymagają szczególnej precyzji: nie jest dopuszczalne przechowywanie i przetwarzanie danych lokalizacyjnych bez dokładnego ustawowego określenia zarówno zakresu danych, jak i czasu ich przechowywania. Tych elementów nie wolno zostawiać uznaniu operatorów.
- Teza 5 – sąd krajowy nie może sam „przedłużać” skutków wadliwej ustawy: jeśli przepisy krajowe są sprzeczne z prawem UE, sąd krajowy nie może samodzielnie ograniczać w czasie skutków stwierdzenia ich nieważności. Wyjątkowo może to zrobić tylko TSUE i tylko w tym samym wyroku, w którym dokonuje wykładni prawa UE.
- Co było problemem w belgijskich przepisach (według opinii):
- Przewidziano przechowywanie bardzo szerokiego zestawu metadanych (m.in. identyfikatory połączeń, daty i godziny, lokalizacje urządzeń, numer połączenia przychodzącego, IP, porty, znaczniki czasu).
- Nie wprowadzono obowiązku takiej organizacji przechowywania, która uniemożliwia łączenie kategorii danych i budowanie obrazu życia prywatnego.
- Zakres i czas retencji były niepewne: operator mógł uznaniowo dodawać „inne dane” oraz przedłużać okresy retencji (ponad 4 lub 12 miesięcy) według własnej oceny potrzeb.
- Najważniejszy wniosek praktyczny: opinia przesuwa akcent z pytania „jak długo przechowywać dane” na pytanie „jak zaprojektować system retencji”, aby już na etapie przechowywania nie dało się tworzyć profili prywatności użytkowników.
- Dwa kluczowe wymagania dla ustawodawcy:
- precyzyjne określenie w ustawie zakresu danych i czasu retencji,
- zapewnienie technicznie szczelnej separacji kategorii danych.
Wyciek danych z MyDr. Rząd wyjaśnia, dlaczego informacje trafiły do portalu dopiero po dwóch tygodniach
- Kontekst: Sejmowa komisja cyfryzacji podczas trwającego posiedzenia Sejmu zajmowała się bezpieczeństwem danych pacjentów w systemach cyfrowych. Dyskusja jest następstwem wycieku danych z platformy MyDr.
- Na portalu bezpiecznedane.gov.pl można sprawdzić, czy nasze dane mogły zostać ujawnione w wyniku tego incydentu.
- Ograniczenia portalu: serwis nie pokazuje, jakie dokładnie dane wyciekły ani z której placówki pochodzą.
- Problem z czasem reakcji: informacja o tym, kogo dotyczy wyciek (w kontekście publikacji danych do weryfikacji w portalu), pojawiła się dopiero po ok. 2 tygodniach.
- Przewodniczący komisji Bartłomiej Pejo pytał wiceministra cyfryzacji Michała Gramatykę, dlaczego państwo nie informuje poszkodowanych bezpośrednio (np. przez mObywatela, SMS lub innym kanałem), zamiast wymagać samodzielnego sprawdzania na stronie.
- Padło też pytanie o zakres skradzionych danych i to, jakie informacje przejęli hakerzy.
- Co udało się ustalić o danych: z próbki przesłanej przez przestępców (opisanej przez portal Zaufana Trzecia Strona) wynika, że mogły to być dane dotyczące procedur medycznych oraz recept przypisanych do numerów PESEL.
- Dlaczego trudno wskazać pełny zakres wycieku: według wiceministra dokładnie wiedzą to głównie placówki korzystające z MyDr, bo tylko one znają komplet danych, które wprowadzały do systemu.
- Kluczowe wyjaśnienie (RODO i odpowiedzialność): dane nie wyciekły z państwowego rejestru, więc państwo nie jest ich administratorem. Administratorami są podmioty medyczne (ok. 12 tys.), na których spoczywają obowiązki wynikające z RODO.
- Skąd opóźnienie 2-tygodniowe: Ministerstwo Cyfryzacji wskazuje, że nie miało podstawy prawnej do przekazania informacji do portalu; czekano na postanowienie prokuratora, które umożliwiło informowanie. Technicznie resort miał być gotowy wcześniej.
- Zapowiedź zmian prawa: ministerstwo deklaruje przygotowanie przepisów, które ułatwią przekazywanie informacji o osobach objętych naruszeniem do systemu informowania obywateli.
- Proponowane rozwiązanie rządu: w razie naruszenia bezpieczeństwa danych podmiot przetwarzający miałby przekazywać do CSIRT NASK (za pośrednictwem Policji) minimalny zakres danych identyfikacyjnych: imię, nazwisko, PESEL. Następnie obywatele mogliby sprawdzić sytuację w bezpiecznedane.gov.pl.
- Stanowisko samorządu lekarskiego: Naczelna Izba Lekarska wydała wytyczne, zgodnie z którymi placówki medyczne – jako administratorzy danych – powinny powiadamiać osoby, których dane zostały naruszone.
- Praktyczna trudność: nie wszystkie przychodnie mogą wiedzieć, że doszło do ataku i wycieku, co utrudnia szybkie i skuteczne powiadomienia pacjentów.
Numer PESEL. O potrzebie prawidłowego rozumienia roli i celów identyfikatora powszechnego
- Kontekst: W debacie publicznej ponownie wraca temat roli numeru PESEL w ochronie danych osobowych. Udostępniono artykuł z dodatku specjalnego „Monitora Prawniczego” (11/2025), przygotowany m.in. we współautorstwie z Bartłomiejem Żeromskim, analizujący genezę, rozwój i obecne funkcjonowanie numeru oraz systemu PESEL.
- PESEL jako identyfikator: PESEL został stworzony przede wszystkim do identyfikacji osoby fizycznej. Zgodnie z tym założeniem jego wykorzystanie w praktyce ma dziś charakter powszechny i nadal się rozszerza, także na podstawie kolejnych przepisów szczególnych (uzasadnianych potrzebami państwa i obrotu).
- Kluczowe ryzyko dla prywatności: Największe zagrożenie nie wynika z samego faktu identyfikowania osób numerem PESEL, lecz z coraz częstszego używania go do uwierzytelniania (czyli potwierdzania, że ktoś „jest tą osobą”), co nie było pierwotnym celem PESEL.
- Brak jednoznacznego zakazu uwierzytelniania PESEL-em: Żaden przepis nie zakazuje wprost traktowania PESEL jako środka uwierzytelnienia, a w niektórych sytuacjach to nawet ustawodawca przewiduje taką funkcję tego numeru.
- Problem z art. 87 RODO: Autorzy oceniają, że art. 87 RODO (dotyczący krajowego numeru identyfikacyjnego) nie spełnia swojej roli w odniesieniu do PESEL, ponieważ zasady jego używania są niejednolite i rozproszone w wielu aktach prawnych.
- Brak spójnych zasad ochrony praw osób: Nie określono kompleksowo, jakie warunki i zabezpieczenia mają zapewniać poszanowanie praw i wolności wynikających z RODO przy wykorzystywaniu numeru PESEL (brak skoordynowanego podejścia legislacyjnego).
- Wniosek praktyczny: Istnieje przestrzeń do systemowego ujednolicenia zasad korzystania z numeru PESEL w obrocie, zgodnie z art. 87 RODO, bez odbierania PESEL-owi jego funkcji i użyteczności.
- Możliwy efekt: Takie ujednolicenie mogłoby ograniczyć zjawisko określane jako „peseloza” (nadmierne i nieuporządkowane posługiwanie się PESEL).
- Stan na dziś: Autorzy nie mają wiedzy, aby toczyły się obecnie konkretne prace legislacyjne, które zmierzałyby do takiego systemowego uporządkowania zasad używania PESEL.
CNIL: 500 000 euro kary dla prywatnego szpitala za niezabezpieczone dane 524 tys. pacjentów
- Kontekst: decyzja francuskiego organu ochrony danych (CNIL) pokazuje, że w systemach przetwarzających dane medyczne nie wolno opierać bezpieczeństwa na jednym zabezpieczeniu. Na rozmiar naruszenia złożyły się łącznie: brak uwierzytelniania wieloskładnikowego, zbyt szerokie uprawnienia oraz brak aktywnej analizy logów.
- Co się wydarzyło: prywatny szpital prowadził elektroniczne dossier pacjenta obejmujące ok. 530 000 osób (dane identyfikacyjne i kontaktowe, numery ubezpieczenia społecznego, czasem kopie dokumentów tożsamości oraz dane zdrowotne). Przetwarzano też dane osób zaufanych wskazanych przez pacjentów.
- Skala incydentu (26.06–01.07.2025): atakujący, używając danych dostępowych lekarza współpracującego ze szpitalem, wyprowadził 524 867 kart pacjentów, w tym:
- 46 185 kart z kopią dokumentu tożsamości,
- 43 karty zawierające dane zdrowotne (wprost wskazane w decyzji),
- dane 202 246 osób zaufanych.
- Reakcja organu: CNIL podkreśliła, że samo wystąpienie naruszenia nie oznacza automatycznie złamania art. 32 RODO — ocenia się, czy wdrożone środki były adekwatne do ryzyka (tu: duża skala i dane szczególnej kategorii).
- Najważniejsze wnioski (tezy) z decyzji:
- Bezpieczeństwo adekwatne do ryzyka (art. 32 RODO): to obowiązek „starannego działania” — środki mają zmniejszać prawdopodobieństwo naruszenia i ograniczać jego skutki.
- Zdalny dostęp wymaga silniejszej ochrony: przy zdalnym dostępie do dokumentacji medycznej samo hasło jest niewystarczające; należy stosować VPN albo uwierzytelnianie wieloskładnikowe (MFA) oparte na dwóch różnych czynnikach.
- Dostęp tylko dla osób realnie zaangażowanych w opiekę: uprawnienia powinny zależeć nie tylko od roli zawodowej, ale też od tego, czy dana osoba jest w zespole opieki konkretnego pacjenta. Zasada: dostęp wyłącznie „need-to-know”.
- Logi muszą być aktywnie analizowane: samo zbieranie dzienników zdarzeń nie wystarcza; potrzebna jest bieżąca lub szybka analiza, żeby wykrywać anomalie i reagować.
- Powiadomienia także do osób zaufanych: jeśli wyciekły dane osób zaufanych umożliwiające identyfikację i kontakt, trzeba je powiadomić bezpośrednio; komunikat na stronie szpitala nie jest w takiej sytuacji skuteczny.
- Kluczowe zaniedbania wskazane przez CNIL:
- Brak MFA/VPN dla zdalnych użytkowników: ok. 450 zewnętrznych użytkowników (lekarze, sekretariaty, dostawca) logowało się przez internet wyłącznie loginem i hasłem. MFA było dostępne w używanej wersji systemu, ale nie zostało wdrożone — co miało bezpośrednie znaczenie dla ataku.
- Zbyt szerokie uprawnienia: personel mógł przeglądać dane wszystkich pacjentów w ramach modułów, do których miał dostęp, nawet bez udziału w opiece. Podobnie pracownicy dostawcy mogli uzyskiwać dostęp do pełnych kart pacjentów.
- Logowanie bez realnego monitoringu: zdarzenia były rejestrowane, ale nie analizowane na bieżąco. Atak obejmował m.in. fazę rozpoznania (ok. 12 godzin, 665 zapytań), a potem automatyczną ekstrakcję przez 5 dni (średnio 73 karty na minutę) — wolumen możliwy do wykrycia przy właściwym monitoringu.
- Nie kontrolowany dostęp dostawcy: dostawca mógł łączyć się z systemem z własnej inicjatywy, bez uprzedniej zgody szpitala. CNIL uznała, że taki stały, niekontrolowany dostęp nie jest konieczny do wsparcia technicznego.
- Kara i nakazy:
- 500 000 euro kary administracyjnej za naruszenia art. 32 i art. 34 RODO.
- Środki naprawcze, częściowo pod rygorem 1 000 euro za każdy dzień opóźnienia:
- w 3 miesiące: wdrożenie systemu rejestrowania i proaktywnej analizy logów do wykrywania nietypowych zachowań,
- w 3 miesiące: dostęp dostawcy tylko po uprzednim zezwoleniu szpitala,
- w 15 miesięcy: zmiana polityki uprawnień (z uwzględnieniem zespołu opieki) oraz mechanizmu dostępu awaryjnego z odpowiednim nadzorem.
- Praktyczne znaczenie dla innych organizacji: decyzja potwierdza, że ochrona danych zdrowotnych wymaga spójnego modelu: silnego uwierzytelniania zdalnego, minimalizacji dostępu (do konkretnych pacjentów), aktywnego wykrywania anomalii oraz realnej kontroli dostępu podmiotów serwisujących system.
Holenderska Rada Stanu uznała, że obrona roszczeń może ograniczyć usunięcie danych
- Kontekst: Wyrok holenderskiej Rady Stanu z 20 maja 2026 r. porządkuje relację między prawem do usunięcia danych (art. 17 RODO) a potrzebą zachowania dokumentów na potrzeby obrony przed roszczeniami. Pełna treść decyzji w bazie Judykatura jest dostępna pod podanym linkiem.
- O co chodziło w sprawie: była pracownica gminy żądała zniszczenia raportu o jej dawnym dziale oraz akt skargi. Raport zawierał wypowiedzi o niej, w tym oceny dyskwalifikujące. Gmina część danych usunęła (anonimizacja), ale dokumentów w całości nie zniszczyła.
- Powód, dla którego gmina chciała zachować dokumenty: obrona przed nadal aktualnym roszczeniem odszkodowawczym zgłoszonym przez byłego współpracownika (osobę trzecią), które nie zostało wycofane.
- Wniosek 1 – kto jest administratorem danych w archiwum: dwa organy mogą być odrębnymi administratorami tych samych danych osobowych, nawet jeśli nie ustalają wspólnie celów i sposobów przetwarzania (nie są współadministratorami).
- Co to oznacza w praktyce: jeśli akta trafiły do archiwum regionalnego, gmina nie może „zrzucić” odpowiedzialności i odmówić rozpatrzenia wniosku o usunięcie danych tylko dlatego, że dokumenty są fizycznie w archiwum.
- Dlaczego sąd uznał dwóch administratorów: gmina i archiwista regionalny mieli różne, ustawowe kompetencje i każdy decydował o istotnych elementach przetwarzania (np. archiwista o udostępnianiu/wypożyczaniu, gmina o uchylaniu ograniczeń jawności).
- Wniosek 2 – kolejność analizy prawa do usunięcia: sąd wskazał, że ocenę trzeba prowadzić „krok po kroku”:
- najpierw ustalić, czy w ogóle powstaje prawo do usunięcia danych z art. 17 ust. 1 RODO,
- dopiero potem badać, czy działa wyjątek z art. 17 ust. 3 RODO (np. dla obrony roszczeń).
- Wniosek 3 – raport co do zasady powinien zostać usunięty: sąd uznał, że dane w raporcie były przetwarzane niezgodnie z prawem, m.in. dlatego że zawierał subiektywne, nieprofesjonalne kwalifikacje i oceny psychologiczne bez odpowiednich podstaw.
- Jednak – ograniczenie prawa do usunięcia: mimo nieprawidłowości, gmina mogła zachować raport w zakresie niezbędnym (po częściowej anonimizacji), bo był potrzebny do obrony przed realnie toczącym się/utrzymywanym roszczeniem odszkodowawczym osoby trzeciej.
- Istotne doprecyzowanie: nie miało znaczenia, że sama wnioskodawczyni nie dochodziła już roszczeń – liczyło się to, że dokument może być potrzebny w sprawie roszczenia innej osoby.
- Znaczenie „niezbędności”: sąd zaakceptował dalsze przechowywanie tylko w granicach koniecznych do obrony roszczeń oraz przy ograniczeniu celu przetwarzania (przechowywanie na potrzeby konkretnego sporu).
- Wniosek 4 – sprzeciw wobec dalszego przechowywania akt skargi: dalsze przechowywanie akt skargi uznano za oparte na uzasadnionym interesie gminy (obrona przed roszczeniem). Prawa i interesy osoby, której dane dotyczą, nie przeważyły, bo przetwarzanie ograniczono do samego przechowywania pod kątem sporu.
- Co pozostaje niejasne (otwarta kwestia): sąd nie rozstrzygnął, czy akta skargi zawierały dane o zdrowiu (szczególne kategorie danych), ponieważ wnioskodawczyni nie zgodziła się na przedłożenie akt do wglądu sądu (nawet w trybie ograniczonego dostępu).
- Najważniejszy wniosek ogólny: wyrok nie daje „blankietowej” zgody na bezterminowe przechowywanie dokumentów na wypadek potencjalnych sporów. Potwierdza natomiast, że przy art. 17 RODO trzeba:
- najpierw ustalić, czy prawo do usunięcia przysługuje,
- potem sprawdzić, czy konkretny dokument jest rzeczywiście potrzebny do ustalenia, dochodzenia lub obrony roszczeń,
- i ograniczać przechowywanie do celu i zakresu niezbędnego dla tego roszczenia.
WSA w Warszawie: nakaz usunięcia musi być precyzyjny
- Kontekst: Wyrok Wojewódzkiego Sądu Administracyjnego (WSA) w Warszawie z 11 marca 2026 r. pokazuje, że nawet jeśli Prezes UODO trafnie oceni brak podstaw do dalszego przetwarzania danych, to i tak musi sformułować nakaz w decyzji w sposób precyzyjny i jednoznaczny. Wadliwy (zbyt szeroki lub niejasny) zakres nakazu może prowadzić do uchylenia decyzji, nawet gdy sąd zgadza się z częścią oceny merytorycznej organu.
- Czego dotyczyła sprawa: były klient banku zażądał usunięcia swoich danych osobowych po zakończeniu relacji z bankiem.
- Stanowisko banku: bank twierdził, że po zakończeniu umowy przechowuje dane w celach archiwalnych, a okres retencji wiąże z terminami przedawnienia roszczeń.
- Decyzja Prezesa UODO: organ uznał, że bank nie wykazał podstaw dalszego przetwarzania i nakazał usunięcie szerokiego katalogu danych byłego klienta.
- Istotna ocena WSA (retencja i „uzasadniony interes”): sąd podzielił stanowisko, że nie można opierać długiego przechowywania danych wyłącznie na obawie przed hipotetycznymi, przyszłymi roszczeniami. „Prawnie uzasadniony interes” ma dotyczyć sytuacji konkretnej i istniejącej (np. gdy trzeba bronić się przed realnym roszczeniem), a nie „na wszelki wypadek”.
- Zasada rozliczalności (kto ma co udowodnić): WSA przypomniał, że to administrator danych (bank) ustala cele przetwarzania i ma obowiązek wykazać, że przetwarzanie odbywa się zgodnie z RODO. Organ nadzorczy ocenia legalność istniejącego procesu na podstawie materiału, który został przedstawiony w sprawie — nie musi „szukać” argumentów za administratora.
- Dlaczego sąd uchylił decyzję (kluczowy powód): nie dlatego, że bank na pewno mógł zatrzymać wszystkie dane, ani dlatego, że żądanie usunięcia było bezzasadne, lecz dlatego, że nakaz był nieprecyzyjny. W decyzji nie wskazano jasno, które dane i w jakim zakresie były przetwarzane bez podstawy prawnej.
- Wymóg precyzji w sentencji decyzji: WSA podkreślił, że rozstrzygnięcie (sentencja) musi być zrozumiałe i jednoznaczne samo w sobie — nie wolno zastępować go uzasadnieniem ani „dopowiadać” sensu na podstawie uzasadnienia.
- Ryzyko zbyt szerokiego nakazu: z treści nakazu mogło wynikać, że bank ma usunąć wszystkie dane klienta ze wszystkich baz, co mogłoby kolidować z przepisami szczególnymi.
- Istotny wątek prawa bankowego: sąd wskazał, że prawo bankowe dopuszcza dalsze przetwarzanie po wygaśnięciu zobowiązania pewnych informacji objętych tajemnicą bankową dla celów metod wewnętrznych i modeli/statystyki, maksymalnie do 12 lat.
- Co pozostaje otwarte po wyroku: WSA nie przesądził, które konkretnie dane bank powinien usunąć, a które może przetwarzać dalej na podstawie przepisów szczególnych. Sprawa wraca do UODO, który ma wydać decyzję ponownie, ale z precyzyjnie określonym zakresem obowiązku.
- Najważniejsza lekcja praktyczna (podwójna):
- administrator musi umieć wskazać konkretną podstawę prawną i cel dalszego przetwarzania danych;
- organ nadzorczy, stwierdzając naruszenie, musi nałożyć obowiązek w sposób dokładny — wskazać, jakiego przetwarzania dotyczy naruszenie i jakie dane mają zostać usunięte.
Belgijski organ ochrony danych nakazał usunięcie danych lotów helikoptera
- Kontekst: Decyzja Belgijskiego Organu Ochrony Danych z 14 lipca 2026 r. pokazuje, że nawet „techniczne” dane o statku powietrznym (np. pozycja, czas, prędkość) mogą w praktyce opisywać konkretną osobę i jej zachowanie. To ważny sygnał dla firm i instytucji, które publikują dane lokalizacyjne lub historię przemieszczania się.
- O co chodziło w sprawie: Dostawca usług opartych na danych lotniczych udostępniał publicznie bieżące i historyczne informacje o lotach helikoptera. Osoba regularnie korzystająca z tego helikoptera zażądała zaprzestania przetwarzania i usunięcia danych.
- Najważniejszy wniosek 1 – dane o locie mogą być danymi osobowymi: Dane takie jak identyfikacja statku powietrznego, pozycja, czas, prędkość i kierunek lotu są danymi osobowymi, jeśli administrator ma realne możliwości powiązania ich z konkretną osobą.
- Identyfikowalność ocenia się „po stronie administratora” jako całości: Organ uznał, że patrzy się na możliwości całej organizacji (osoby prawnej), a nie na to, czy pojedynczy zespół ma dostęp do innych baz. Samo wewnętrzne rozdzielenie systemów nie wyłącza identyfikowalności, zwłaszcza jeśli nie wykazano skutecznych barier dostępu.
- Powiązanie z osobą mogło wynikać także z innych źródeł: Nawet jeśli helikopter należał do osoby prawnej, nadal możliwe było powiązanie lotów z osobą fizyczną – m.in. przez zestawienie danych publikowanych w internecie z informacjami z publicznych rejestrów.
- Najważniejszy wniosek 2 – publiczne śledzenie lotów to „monitorowanie zachowania”: Udostępnianie bieżących i historycznych danych pozwalających śledzić przemieszczanie się, ustalać miejsca odlotu/przylotu i rozpoznawać wzorce podróży zostało uznane za monitorowanie zachowania osoby w UE.
- RODO może mieć zastosowanie także do firmy spoza UE: Skoro doszło do monitorowania zachowania osób znajdujących się w Unii, organ zastosował art. 3 ust. 2 lit. b RODO – mimo braku siedziby administratora w UE.
- Najważniejszy wniosek 3 – uzasadniony interes nie wystarcza po wniesieniu sprzeciwu: Organ zgodził się, że administrator mógł co do zasady oprzeć przetwarzanie na uzasadnionym interesie (np. usługi o ruchu lotniczym, możliwe znaczenie dla dziennikarstwa, analiz i bezpieczeństwa). Jednak po złożeniu sprzeciwu administrator musiał wykazać nadrzędne, ważne i prawnie uzasadnione podstawy dalszego przetwarzania – i nie zdołał tego zrobić.
- Skutek sprzeciwu: Osoba mogła skutecznie żądać usunięcia danych (art. 17 ust. 1 lit. c w związku z art. 21 RODO). Organ nakazał usunięcie danych w terminie 45 dni.
- Najważniejszy wniosek 4 – obowiązek informacyjny przy danych z ADS-B: Pozyskanie danych przez odbiór sygnałów ADS-B nie jest pozyskaniem „bezpośrednio od osoby”, więc stosuje się art. 14 RODO. Jeśli administrator ma dane kontaktowe osoby, nie może zasłaniać się niemożnością lub niewspółmiernym wysiłkiem w przekazaniu informacji.
- Naruszenia transparentności: Polityka prywatności administratora nie obejmowała właściwie przetwarzania danych lotowych / danych z drugiego produktu. Organ stwierdził naruszenia m.in. art. 5 ust. 1 lit. a oraz art. 12 i 14 RODO.
- Najważniejszy wniosek 5 – przedstawiciel w UE dla administratora spoza Unii: Administrator, którego przetwarzanie podlega art. 3 ust. 2 RODO, powinien wyznaczyć przedstawiciela w UE (art. 27 RODO), chyba że zachodzi wyjątek. W tej sprawie wyjątek „sporadyczności” nie miał zastosowania, bo przetwarzanie było podstawową działalnością firmy.
- Środki naprawcze i kary: Poza nakazem usunięcia danych organ nakazał wyznaczenie przedstawiciela w UE w 6 miesięcy. Za niewykonanie przewidziano okresowe kary: 5 000 EUR/dzień (za brak usunięcia) i 15 000 EUR/dzień (za brak przedstawiciela), łącznie do 20 000 EUR/dzień, maksymalnie do 1 000 000 EUR.
- Co ta decyzja nie oznacza: Organ nie stwierdził, że każda publikacja danych lotniczych jest z definicji nielegalna. Wskazał jednak, że takie dane mogą być danymi osobowymi i że po sprzeciwie trzeba mieć szczególnie mocne podstawy, by kontynuować przetwarzanie.
NSA: uszkodzona przesyłka nie dowodzi naruszenia
- Kontekst: W wyroku NSA z 25 sierpnia 2026 r. Sąd utrzymał uchylenie upomnienia udzielonego bankowi przez Prezesa UODO. Wyrok przypomina, że samo wystąpienie incydentu z danymi osobowymi nie zwalnia organu z obowiązku dokładnego wykazania, jakie konkretne zaniedbanie po stronie administratora uzasadnia sankcję.
- Najważniejsza teza 1 (integralność to nie wszystko): Samo stwierdzenie naruszenia integralności danych (np. uszkodzona przesyłka) i ryzyka ujawnienia danych nie przesądza jeszcze, że administrator naruszył obowiązki z RODO.
- Najważniejsza teza 2 (pełne ustalenia organu są konieczne): Przed udzieleniem upomnienia organ powinien szczegółowo ustalić okoliczności zdarzenia (np. rodzaj uszkodzeń, sposób nadania, zastosowane zabezpieczenia, procedury przygotowania przesyłek i ich egzekwowanie) oraz oprzeć się na rzetelnie zebranym materiale dowodowym.
- Czego dotyczyła sprawa: Dwie przesyłki z dokumentami bankowymi klienta dotarły uszkodzone.
- Stanowisko Prezesa UODO: UODO uznał, że bank niewłaściwie zabezpieczył korespondencję z danymi osobowymi, naruszając zasadę integralności i poufności oraz obowiązki z art. 24 i 32 RODO, i udzielił bankowi upomnienia.
- Stanowisko banku: Bank wskazywał, że ocenił ryzyko, poinformował klienta, zaoferował usługę Alert BIK oraz wdrożył działania naprawcze (m.in. przypomnienie zasad zaklejania kopert, prośbę do operatora o kontrolę przy odbiorze, a następnie wprowadzenie pakowania dokumentów w dwie koperty).
- Co zrobił sąd I instancji: Uchylił decyzję UODO, bo organ nie wyjaśnił, jakie dokładnie zaniedbanie banku uzasadniało upomnienie.
- Co zrobił NSA: Oddalił skargę kasacyjną Prezesa UODO i utrzymał wyrok uchylający upomnienie.
- Kluczowe uzasadnienie NSA: Naruszenie integralności przesyłki i potencjalne ryzyko ujawnienia danych nie są równoznaczne z wykazaniem, że bank nie wdrożył środków adekwatnych do ryzyka lub nie działał rozliczalnie.
- Czego zabrakło w decyzji UODO (wg NSA): Ustaleń m.in. co do rodzaju uszkodzeń przesyłek, sposobu ich nadania, poziomu zabezpieczeń przed dostępem osób nieuprawnionych, funkcjonowania procedur oraz analizy dokumentacji i dowodów dotyczących incydentów.
- Powtarzalność zdarzeń: Nawet jeśli podobne uszkodzenia wystąpiły więcej niż raz, nie przesądza to automatycznie o naruszeniu obowiązków administratora bez zbadania pozostałych okoliczności.
- Co jest przesądzone po wyroku: Decyzja Prezesa UODO była wadliwa, bo opierała sankcję głównie na fakcie incydentu i jego możliwych skutkach, bez wykazania związku z konkretnym zaniedbaniem banku.
- Czego NSA nie przesądził: Nie stwierdził, że bank na pewno spełnił wszystkie obowiązki z RODO, ani że uszkodzone przesyłki na pewno nie były naruszeniem ochrony danych osobowych.
- Wniosek praktyczny dla przyszłych spraw przed UODO: Aby nałożyć środek naprawczy (np. upomnienie), organ musi precyzyjnie opisać stan faktyczny i wskazać konkretnie naruszony obowiązek administratora; w sprawach dotyczących przesyłek nie wystarczy powołać się na rodzaj danych i ogólne ryzyko ujawnienia.
- Co organ powinien wykazać: Że zabezpieczenia były nieadekwatne, procedury niewystarczające albo że administrator nie dochował należytej staranności (np. przy doborze lub nadzorze operatora doręczającego).
Administratorem danych osobowych jest Lex Artist sp. z o.o., ul. Szańcowa 74/1, 01-458 Warszawa. Dane osobowe będą przetwarzane w celu umieszczenia i obsługi komentarza na blogu. Przysługują Panu/Pani następujące prawa: prawo dostępu do treści danych, prawo do sprostowania danych, prawo do usunięcia danych, prawo do ograniczenia przetwarzania danych, prawo do wniesienia sprzeciwu, prawo do wniesienia skargi do organu nadzorczego. Pełna treść klauzuli informacyjnej znajduje się tutaj.
Zanonimizowany ciąg znaków stworzony na podstawie Pani/Pana adresu email (tak zwany hash) może zostać przesłany do usługi Gravatar w celu sprawdzenia czy jej Pan/Pani używa. Polityka prywatności usługi Gravatar jest dostępna tutaj. Po zatwierdzeniu komentarza obrazek profilowy jest widoczny publicznie w kontekście twojego komentarza.