530 mln euro i zawieszona decyzja – co dalej ze sprawą TikToka » Przepisy o danych osobowych świadka wypadku przy pracy wymagają zmian » Chiński atak na Polskę. Za przestępcami często stoją rządy » Portal poparcia wymaga uwzględnienia zasady minimalizacji przetwarzania danych osobowych » AI & MEDTECH CEE 2026: Czy AI to zagrożenie dla danych? » Polska ustawa o AI uchwalona przez Sejm. Dla wielu organizacji to będzie większa zmiana niż RODO!
⬇️ Pobierz W PDF
Praktyczny poradnik o wdrażaniu RODO
Książka RODOLOGIA to kompleksowy przewodnik po RODO, który pomaga wdrożyć ochronę danych osobowych w sposób prosty, szybki i skuteczny. Ponad 500 stron praktycznej wiedzy podanej w przystępnej formie i zrozumiałym języku. A wszystko to podane w pięknej, premium formie. Dowiedz się więcej o RODOLOGII: Sprawdź530 mln euro i zawieszona decyzja – co dalej ze sprawą TikToka
- Kontekst: W 2025 r. irlandzki organ nadzorczy ds. ochrony danych (Data Protection Commission Ireland, DPC) wydał decyzję wobec TikTok Technology Limited i nałożył na spółkę administracyjną karę 530 mln euro.
- O co chodziło w sprawie: Postępowanie dotyczyło legalności transferów danych użytkowników z UE, ale problemem nie było wyłącznie to, że dane mogły trafiać do Chin — kluczowe były okoliczności i sposób realizacji transferu.
- Transfer jako „zdalny dostęp”: Według DPC zdalny dostęp pracowników spoza Europejskiego Obszaru Gospodarczego (EOG) do danych użytkowników UE również stanowi transfer danych.
- Najważniejszy zarzut DPC: TikTok nie potrafił wykazać, że w praktyce zapewnia równoważny poziom ochrony danych przy takim dostępie/transferze.
- Zmiana akcentów po stronie organu: Z uzasadnienia wynika, że DPC skupił się mniej na formalnościach i dokumentach, a bardziej na tym, czy stosowane środki są faktycznie skuteczne w realnym działaniu.
- Czego oczekuje organ w praktyce: Administrator danych powinien umieć:
- pokazać rzeczywisty przepływ danych (jak dane faktycznie „przemieszczają się” w systemach i kto ma do nich dostęp),
- udowodnić realną kontrolę dostępu (a nie tylko deklaracje lub procedury na papierze).
- Spór sądowy: Decyzja została zaskarżona w maju 2025 r.
- Wstrzymanie wykonalności decyzji: Sąd odwoławczy, po interwencji TikToka, zawiesił wykonanie decyzji (w tym obowiązek wstrzymania transferów i dostosowania działań do wymogów RODO) do czasu zakończenia sporu.
- Uzasadnienie sądu: Sąd uznał, że natychmiastowe wykonanie decyzji mogłoby spowodować ryzyko nieodwracalnych strat dla TikToka, dlatego decyzję należy wstrzymać do rozstrzygnięcia sprawy.
- Potwierdzenie w II instancji: Taką argumentację podzielił także sąd II instancji w kwietniu 2026 r.
- Skutek na dziś: Do czasu rozstrzygnięcia sporu TikTok może działać w dotychczasowym modelu; na ostateczny wynik postępowania trzeba jeszcze poczekać.
- Wniosek ogólny: Egzekwowanie RODO wobec globalnych platform w praktyce często przeradza się w wieloletnie spory sądowe, a decyzje organów mogą być na długi czas „zamrażane” w toku postępowania.
Przepisy o danych osobowych świadka wypadku przy pracy wymagają zmian
Kontekst: Prezes Urzędu Ochrony Danych Osobowych (UODO) Mirosław Wróblewski zwrócił się do Ministry Rodziny, Pracy i Polityki Społecznej Agnieszki Dziemianowicz-Bąk o rozpoczęcie prac nad przepisami, które jasno uregulują udział świadka w postępowaniu powypadkowym (ustalanie okoliczności i przyczyn wypadku przy pracy) oraz zakres danych osobowych świadka zbieranych w tym procesie.
- UODO proponuje doprecyzowanie przepisów i deklaruje wsparcie eksperckie przy tworzeniu regulacji, które:
- wskażą jednoznaczną podstawę prawną do zbierania danych osobowych świadka,
- określą niezbędny (minimalny) zakres tych danych.
- Obecne regulacje są nieprecyzyjne:
- Rozporządzenie z 2009 r. opisuje działania zespołu powypadkowego oraz przewiduje, że w protokole uwzględnia się wyjaśnienia poszkodowanego i informacje od świadków.
- Rozporządzenie z 2019 r. (wzór protokołu) nie wskazuje, jakie dane osobowe świadka należy zebrać (np. czy potrzebny jest adres zamieszkania), mimo deklaracji stosowania zasady minimalizacji danych.
- Skutek: różne praktyki w firmach – brak jasnych wytycznych powoduje, że pracodawcy zbierają różny zakres danych, co może być niezgodne ze standardami ochrony danych osobowych.
- Ryzyko dla prywatności: UODO otrzymuje sygnały, że dane świadka wpisane do protokołu (np. adres zamieszkania) trafiają do wielu podmiotów uczestniczących w procedurze powypadkowej, co budzi uzasadnione obawy o prywatność.
- Wątpliwości wobec zgody świadka jako podstawy przetwarzania:
- czasem dane (np. adres) są zbierane na podstawie zgody świadka,
- UODO wskazuje, że zgoda może być w każdej chwili wycofana, co rodzi praktyczne problemy,
- organ ma też wątpliwości, czy zgoda w takiej sytuacji jest rzeczywiście dobrowolna,
- pozyskiwanie zgody w tym celu nie wynika wprost z powszechnie obowiązujących przepisów.
- UODO ocenia, że obecne podejście może naruszać zasady RODO, w szczególności:
- legalności, rzetelności i przejrzystości,
- ograniczenia celu,
- minimalizacji danych.
- Państwowa Inspekcja Pracy (PIP) również widzi problem – informuje o trudnościach interpretacyjnych i zgłaszanych wątpliwościach pracowników.
- Stanowisko PIP: do prawidłowego przebiegu postępowania powypadkowego powinny wystarczyć podstawowe dane identyfikujące świadka, które ma pracodawca:
- imię i nazwisko,
- stanowisko pracy,
- przyporządkowanie organizacyjne (np. dział/jednostka).
Chiński atak na Polskę. Za przestępcami często stoją rządy
- Kontekst: Chińscy hakerzy wzięli na celownik Polskę, atakując m.in. organizacje rządowe. Do działań wykorzystywali powszechnie używane narzędzia (Discord oraz OneDrive), a wzmożenie ataków zbiegło się z pracami nad unijnymi przepisami o cyberbezpieczeństwie (CSA2) oraz z przyjmowaniem nowych strategii i regulacji w Polsce.
- Kto wykrył ataki: Na zwiększoną aktywność zwrócili uwagę analitycy firmy ESET.
- Jaka grupa stoi za kampanią: ESET wskazuje na chińską grupę hakerską Webworm, która wcześniej koncentrowała się głównie na państwach azjatyckich, a obecnie zaatakowała m.in. organizacje rządowe w Polsce oraz w Belgii, Włoszech i Holandii.
- Jak działał atak (najważniejsze fakty techniczne):
- Zidentyfikowano dwa nowe, ukryte programy szpiegujące (tzw. backdoory), które otwierały atakującym „tylne furtki” do komputerów ofiar.
- EchoCreep wykorzystywał komunikator Discord do komunikacji i działań w tle.
- GraphWorm podszywał się pod ruch związany z usługami Microsoftu i używał OneDrive do wykradania informacji o ofiarach oraz pobierania nowych poleceń dla złośliwego oprogramowania.
- Szersze tło polityczne i regulacyjne: Ataki nastąpiły w czasie rosnących napięć między Pekinem a Europą, która próbuje wzmocnić cyfrowe bezpieczeństwo m.in. poprzez projekt rozporządzenia Komisji Europejskiej CSA2 (opublikowany w styczniu i nadal konsultowany).
- Co ma umożliwić CSA2: Projekt zakłada możliwość identyfikowania cyfrowych „dostawców wysokiego ryzyka”, także z uwzględnieniem czynników geopolitycznych.
- Reakcja strony chińskiej na CSA2: Chińska Izba Gospodarcza przy UE oceniła, że projekt kładzie „nieproporcjonalny nacisk” na geopolityczne pochodzenie dostawców.
- Jak eksperci interpretują ujawnienie takich działań: Według Grzegorza Lewickiego (Rada Nowych Technologii i Cyfryzacji) może to być:
- element promocji działań konkretnej firmy,
- albo forma nacisku, by Europa ograniczała współpracę z Chinami (co od dawna popiera Waszyngton),
- albo przede wszystkim fakt geopolityczny pokazujący, że zachodnie oprogramowanie nie jest odporne na skoordynowane ataki, zwłaszcza prowadzone przez aktorów państwowych, którzy mają większe zasoby.
- Trend: rola państw w cyberatakach rośnie: Z raportu ESET (ostatni kwartał 2025 r. i pierwszy kwartał 2026 r.) wynika, że wśród najczęściej atakujących grup z Rosji i Chin dominują organizacje typu APT (Advanced Persistent Threat), prowadzące długotrwałe i zaawansowane ataki na ważne cele (np. Sandworm, FamousSparrow, SteppeDriver, UNC5221).
- Co wyróżnia grupy APT: Zwykle są wspierane przez rządy, działają ukierunkowanie, dysponują specjalistyczną wiedzą i narzędziami, a skala ich ataków odzwierciedla globalne konflikty i napięcia geopolityczne (komentarz analityka ESET Kamila Sadkowskiego).
- Co dzieje się w Polsce – przyspieszenie regulacji: Od początku 2026 r. Polska przyspieszyła prace nad wzmocnieniem cyberbezpieczeństwa instytucji i firm:
- w styczniu uchwalono ustawę o Krajowym Systemie Cyberbezpieczeństwa (KSC),
- na kilkadziesiąt tysięcy firm nałożono nowe obowiązki; do 3 października mają się wpisać do wykazu KSC,
- 10 marca rząd przyjął Strategię cyberbezpieczeństwa,
- na 9 czerwca zaplanowano przyjęcie strategii dot. informatyzacji państwa do 2035 r.
- „Dostawca wysokiego ryzyka” w polskim prawie: KSC – wyprzedzając CSA2 – wprowadza instytucję „dostawcy wysokiego ryzyka”. Przeciwko temu protestowały też chińskie firmy (m.in. Huawei).
- Najważniejszy praktyczny wniosek: Według Lewickiego regulacje takie jak KSC mogą realnie podnieść bezpieczeństwo, bo wiele ataków wynika nie z luk w oprogramowaniu, lecz z zaniedbań organizacyjnych i błędów ludzkich. Pomóc mogą m.in. stałe monitorowanie ruchu sieciowego pod kątem anomalii i sprawniejsze ostrzeganie.
Portal poparcia wymaga uwzględnienia zasady minimalizacji przetwarzania danych osobowych
- Kontekst: Prezes Urzędu Ochrony Danych Osobowych (UODO) Mirosław Wróblewski przedstawił uwagi do poselskiego projektu zmian w przepisach o obywatelskiej inicjatywie ustawodawczej i Kodeksie wyborczym. Projekt zakłada uruchomienie elektronicznej usługi („portal poparcia”), która ma ułatwić obywatelom popieranie projektów ustaw oraz część działań pełnomocnika komitetu inicjatywy.
- Ogólna ocena: Prezes UODO nie kwestionuje sensu projektu i docenia jego cel w realiach nowoczesnego państwa, ale wskazuje konieczne poprawki dotyczące ochrony danych.
- Skala i wrażliwość danych: W portalu miałyby być przetwarzane dane osobowe na szeroką skalę, w tym dane szczególnie wrażliwe – mogące ujawniać poglądy polityczne i światopogląd (np. fakt poparcia konkretnego projektu ustawy).
- Ryzyko dla prywatności: Samo złożenie podpisu poparcia w systemie może oznaczać poważną ingerencję w prywatność i „autonomię informacyjną” obywateli, dlatego potrzebne są silne zabezpieczenia i jasne zasady przetwarzania.
- Ograniczenie celu i zakaz profilowania: UODO sugeruje wpisanie wprost, że dane w systemie są przetwarzane wyłącznie na potrzeby wykonywania obywatelskiej inicjatywy ustawodawczej, nie będą wykorzystywane do innych celów oraz nie będą służyć profilowaniu osób.
- Dobrowolność i minimalizacja danych: Z projektu wynika, że dane obywateli mogłyby być przekazywane z Centralnego Rejestru Wyborców do portalu niezależnie od tego, czy ktoś faktycznie chce korzystać z usługi. UODO wskazuje, że rozwiązanie powinno być dobrowolne i obejmować wyłącznie osoby zainteresowane taką formą aktywności.
- Jasne zasady przekazywania danych: Projekt powinien precyzyjnie określać sposób i tryb przekazywania danych (aby administrator zachował kontrolę i rozliczalność), a także jasno wskazywać, że przekazywane są dane tylko tych osób, które zdecydowały się skorzystać z portalu.
- Doprecyzowanie sformułowań o PESEL: W projekcie pojawia się zapis, że dane z rejestru PESEL „mogą być przekazywane”. UODO postuluje, aby przepisy jednoznacznie rozstrzygały, czy będą przekazywane, czy nie (zmiana nieprecyzyjnego „może”).
- Udostępnianie danych organom ścigania – zbyt szerokie: Projekt przewiduje udostępnianie danych przez Szefa Krajowego Biura Wyborczego na żądanie sądów, prokuratury lub Policji w postępowaniu karnym. Zdaniem UODO przepis jest zbyt ogólny i daje zbyt szerokie uprawnienia, bez jasnego uzasadnienia, kiedy i po co takie dane miałyby być potrzebne.
- Potrzeba dodatkowych gwarancji przy dostępie służb: Ponieważ chodzi o dane szczególnej kategorii (np. poglądy polityczne), UODO proponuje:
- rozważenie, czy takie udostępnianie jest w ogóle konieczne, albo
- wprowadzenie zabezpieczeń, np. precyzyjnego katalogu przestępstw, dla których dane mogłyby być udostępniane,
- określenie zakresu udostępnianych danych (tylko adekwatny i niezbędny),
- doprecyzowanie sposobu przekazania danych.
- Wskazanie tła prawnego (UE): UODO przypomina, że kwestia udostępniania danych między organami publicznymi była przedmiotem orzecznictwa TSUE – różne organy administracji należy traktować jako odrębnych administratorów danych, co wymaga odpowiednich zabezpieczeń także na etapie przekazywania danych.
- Wniosek końcowy: UODO traktuje swoje uwagi jako eksperckie wskazówki dla projektodawcy – projekt jest oceniany jako zasadny, ale wymaga dopracowania, aby ograniczyć ryzyka dla praw i wolności obywateli oraz zapewnić przejrzyste i bezpieczne przetwarzanie danych.
AI & MEDTECH CEE 2026: Czy AI to zagrożenie dla danych?
- Kontekst wydarzenia: 9 czerwca 2026 r. w ADN Centrum Konferencyjnym Browary Warszawskie odbyła się konferencja AI & MEDTECH CEE 2026 poświęcona sztucznej inteligencji i innowacjom w ochronie zdrowia. W wydarzeniu uczestniczył zastępca Prezesa Urzędu Ochrony Danych Osobowych (UODO) Konrad Komornicki.
- Temat wystąpienia: Podczas sesji „Zagrożenia i granice wykorzystania AI” Konrad Komornicki wygłosił wykład pt. „Czy AI to zagrożenie dla danych?”.
- Główna teza: Problemem nie jest sama AI, lecz brak nadzoru nad danymi. Ryzyko rośnie, gdy organizacja traci kontrolę nad celem, zakresem i odpowiedzialnością za przetwarzanie danych.
- Skala „cichego” użycia AI: Zwrócono uwagę, że 54% pracowników korzystających z narzędzi AI nie informuje o tym pracodawców.
- Skutki dla organizacji (gdy AI jest używana bez wiedzy firmy):
- dane mogą trafiać do narzędzi AI poza kontrolą organizacji;
- organizacja nie spełnia zasady rozliczalności (brak formalnej decyzji, brak oceny skutków dla ochrony danych itp.);
- rośnie ryzyko naruszenia ochrony danych osobowych przez wprowadzanie do AI danych osobowych, tajemnic oraz dokumentów.
- Co zrobić przed wdrożeniem AI: Podmioty powinny przeprowadzić rzetelną analizę przedwdrożeniową, opartą na analizie prawnej oraz ocenie specyfiki i możliwości organizacji.
- Kolejność działań rekomendowana przez UODO: Najpierw podjąć decyzje prawne i organizacyjne, a dopiero potem wybierać konkretne narzędzia technologiczne.
- Nadzór UODO nad AI wysokiego ryzyka: UODO będzie sprawował nadzór nad modelami AI wysokiego ryzyka, m.in. tam, gdzie przetwarzane są dane medyczne i biometryczne.
- Znaczenie konferencji: AI & MEDTECH CEE 2026 to jedno z największych wydarzeń w Europie Środkowo-Wschodniej poświęconych AI w sektorze zdrowia; zgromadziło liderów technologicznych, ekspertów ochrony zdrowia, administrację publiczną, placówki medyczne, startupy, organizacje branżowe i fundusze inwestycyjne z kraju i zagranicy.
Polska ustawa o AI uchwalona przez Sejm. Dla wielu organizacji to będzie większa zmiana niż RODO!
- Kontekst: w ostatnich miesiącach uwaga była skupiona głównie na unijnym AI Act, ale w Polsce pojawia się projekt Ustawy o systemach sztucznej inteligencji. Ustawa ma zbudować krajowy system nadzoru nad AI, procedury kontroli i egzekwowania przepisów oraz organ monitorujący rynek AI. To sygnał, że AI staje się nie tylko tematem innowacji, ale także compliance, ryzyka operacyjnego, cyberbezpieczeństwa i nadzoru regulacyjnego.
- Powstanie nowy organ nadzoru – Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI):
- ma nadzorować rynek AI, prowadzić kontrole i przyjmować skargi,
- będzie wydawać decyzje i nakładać kary,
- ma współpracować z organami UE,
- w jej pracach mają uczestniczyć m.in. przedstawiciele: KNF, UOKiK, UKE, KRRiT.
- Koniec z „Shadow AI” (AI używaną poza kontrolą): organizacje będą musiały wiedzieć:
- jakie systemy AI wykorzystują,
- jakie dane przetwarzają,
- kto odpowiada za działanie tych systemów,
- czy systemy podlegają kategorii wysokiego ryzyka.
- AI Governance staje się standardem zarządczym: samo wdrożenie narzędzi (np. Copilot, ChatGPT Enterprise, Gemini czy modeli lokalnych) nie wystarczy. Potrzebne będą m.in.:
- polityki i zasady korzystania z AI,
- procesy akceptacji nowych zastosowań,
- ocena i klasyfikacja ryzyka,
- nadzór nad modelami i ich działaniem,
- monitorowanie incydentów,
- jasne przypisanie odpowiedzialności.
- Bezpieczeństwo AI staje się priorytetem: dla CIO/CISO/CAIO i zespołów bezpieczeństwa oznacza to konieczność budowy lub wzmocnienia obszarów:
- AI Governance,
- AI Risk Management,
- AI Security,
- AI Monitoring,
- AI Incident Management,
- zarządzania ryzykiem dostawców (AI Third Party Risk Management).
- Szczególne wyzwanie dla banków i sektorów regulowanych: zwiększona uwaga dotyczy systemów używanych m.in. do:
- oceny zdolności kredytowej i scoringu,
- przeciwdziałania nadużyciom (fraudom),
- rekrutacji i oceny pracowników,
- automatyzacji decyzji wpływających na klientów.
- Jak przygotować organizację już dziś (rekomendowane kroki):
- Utworzyć rejestr wszystkich systemów AI.
- Powołać właścicieli biznesowych i technologicznych AI.
- Przeprowadzić klasyfikację ryzyka.
- Wdrożyć AI Governance.
- Zintegrować AI z procesami: Cybersecurity, Data Governance, Model Risk Management, Compliance, DORA, NIS2.
- Przygotować proces obsługi incydentów AI.
- Zapewnić szkolenia i rozwój kompetencji pracowników.
- Wniosek końcowy: firmy, które zaczną przygotowania już teraz, potraktują ustawę jako naturalny etap rozwoju wykorzystania AI. Pozostałe mogą wkrótce odkryć, że największym wyzwaniem nie będzie wdrożenie AI, lecz udowodnienie zgodności z nowymi wymaganiami.
Administratorem danych osobowych jest Lex Artist sp. z o.o., ul. Szańcowa 74/1, 01-458 Warszawa. Dane osobowe będą przetwarzane w celu umieszczenia i obsługi komentarza na blogu. Przysługują Panu/Pani następujące prawa: prawo dostępu do treści danych, prawo do sprostowania danych, prawo do usunięcia danych, prawo do ograniczenia przetwarzania danych, prawo do wniesienia sprzeciwu, prawo do wniesienia skargi do organu nadzorczego. Pełna treść klauzuli informacyjnej znajduje się tutaj.
Zanonimizowany ciąg znaków stworzony na podstawie Pani/Pana adresu email (tak zwany hash) może zostać przesłany do usługi Gravatar w celu sprawdzenia czy jej Pan/Pani używa. Polityka prywatności usługi Gravatar jest dostępna tutaj. Po zatwierdzeniu komentarza obrazek profilowy jest widoczny publicznie w kontekście twojego komentarza.