Pierwsza kara Prezesa UODO związana z prywatnym monitoringiem » Nowa funkcją bezpieczeństwa WhatsApp. Aplikacja wyświetli informacje o rozmówcy przed nawiązaniem rozmowy » Nowe wytyczne EROD wyjaśniają pojęcie danych anonimowych » Projekt ustawy wdrażającej DSA wymaga wzmocnienia ochrony danych osobowych i prywatności » Upomnienie dla szpitala za brak weryfikacji podmiotu przetwarzającego » Europejska suwerenność technologiczna – między niezależnością a współpracą » TSUE: RODO stosuje się do publikacji danych o dopingu; wymagana indywidualna ocena proporcjonalności » Należy doprecyzować model przechowywania danych biometrycznych funkcjonariuszy i pracowników Policji » NSA po stronie WSA podtrzymuje uchylenie 250 000 zł kary stwierdzając, że możliwość wykrycia naruszenia danych to nie to samo co jego wykrycie » Prezes UODO wskazuje na potrzebę uregulowania stosowania systemów AI w zatrudnieniu
⬇️ Pobierz W PDF
Praktyczny poradnik o wdrażaniu RODO
Książka RODOLOGIA to kompleksowy przewodnik po RODO, który pomaga wdrożyć ochronę danych osobowych w sposób prosty, szybki i skuteczny. Ponad 500 stron praktycznej wiedzy podanej w przystępnej formie i zrozumiałym języku. A wszystko to podane w pięknej, premium formie. Dowiedz się więcej o RODOLOGII: SprawdźPierwsza kara Prezesa UODO związana z prywatnym monitoringiem
- Kontekst: Prezes Urzędu Ochrony Danych Osobowych (UODO) nałożył karę 26 711 zł na osobę, która nie wykonała prawomocnej decyzji nakazującej zaprzestanie przetwarzania danych osobowych przez monitoring wizyjny obejmujący także drogę publiczną i sąsiednie nieruchomości.
- Co było problemem: właściciel zamontował kamery rejestrujące obraz i dźwięk całą dobę, obejmując zasięgiem nie tylko własną posesję, ale też teren poza nią (m.in. drogę publiczną i posesje sąsiadów).
- Skargi sąsiadów: sprawa trafiła do UODO po skargach sąsiadów, którzy zarzucili naruszenie ich prywatności. Po postępowaniu administracyjnym UODO uznał skargi za zasadne.
- Decyzja UODO: Prezes UODO nakazał zaprzestanie przetwarzania danych (wizerunku i głosu) osób skarżących w zakresie, w jakim monitoring obejmował drogę publiczną i ich nieruchomości, wskazując brak podstawy prawnej dla takiego przetwarzania.
- Termin na dostosowanie: właściciel miał 7 dni na usunięcie kamer lub zmianę ich ustawienia tak, by obejmowały wyłącznie jego posesję.
- Decyzja stała się prawomocna: właściciel nie zaskarżył decyzji do Wojewódzkiego Sądu Administracyjnego w Warszawie, więc decyzja UODO stała się prawomocna.
- Ignorowanie korespondencji: mimo upomnienia z UODO, decyzja nie została wykonana. Pisma nie były odbierane, ale po dwukrotnej awizacji zostały uznane za doręczone (na podstawie art. 44 § 4 k.p.a.).
- Dlaczego to istotne: niewykonanie nakazu oznaczało dalsze bezprawne przetwarzanie danych wielu osób, co według UODO może powodować poczucie ciągłej obserwacji, naruszać prywatność i ujawniać informacje o lokalizacji oraz codziennych zachowaniach.
- Ocena UODO: stałe monitorowanie miejsc, z których korzystają inne osoby (np. droga publiczna), zostało uznane za zbyt inwazyjne i nieuprawnione w tej sytuacji.
- Wysokość kary: maksymalna kara za nieprzestrzeganie nakazu organu nadzorczego może wynieść do 20 mln euro; w tej sprawie nałożono 26 711 zł.
- Dlaczego kara była wyższa: UODO potraktował jako okoliczność obciążającą fakt, że nakaz nie był wykonany przez prawie pół roku bez usprawiedliwienia.
- Co jeśli kara nie zostanie zapłacona: egzekucją zajmie się Urząd Skarbowy, który może m.in. zająć wynagrodzenie, rachunki bankowe oraz inne składniki majątku.
Nowa funkcją bezpieczeństwa WhatsApp. Aplikacja wyświetli informacje o rozmówcy przed nawiązaniem rozmowy
- Kontekst: Ataki i próby oszustw wymierzone w użytkowników komunikatorów Signal i WhatsApp są nadal powszechne. Ponieważ same protokoły komunikacji są dobrze zabezpieczone, cyberprzestępcy najczęściej celują w użytkownika (pośpiech, rutyna, automatyczne klikanie).
- Co się zmienia: WhatsApp zaczyna wdrażać funkcję, która ma pomóc rozpoznać potencjalne oszustwo przy kontakcie z nieznanym numerem.
- Na czym polega nowy mechanizm: Gdy ktoś, kto nie jest w kontaktach, próbuje rozpocząć rozmowę, aplikacja wyświetla komunikat bezpieczeństwa z podstawowymi informacjami o rozmówcy.
- Jakie informacje zobaczy użytkownik:
- numer telefonu i avatar,
- potencjalny kraj / lokalizacja, z której pochodzi numer,
- informację, czy numer jest zapisany w Kontaktach,
- informację o wspólnych grupach na WhatsAppie.
- Decyzja po stronie użytkownika: Można:
- odrzucić próbę rozmowy (opcja Cancel chat),
- zaakceptować i przejść do czatu (opcja Continue to chat).
- Ważne: Odrzucenie czatu nie wysyła do drugiej strony komunikatu, że została uznana za oszusta — z perspektywy atakującego wygląda to jak brak reakcji.
- Zakres wdrożenia: Funkcja jest sukcesywnie wdrażana na Androidzie i iOS; wersje przeglądarkowe oraz aplikacje desktopowe na razie jej nie mają.
- Ograniczenia rozwiązania:
- Nie daje 100% ochrony — „zamyślony” użytkownik może kliknąć dalej automatycznie.
- Jeśli cyberprzestępca jest już w kontaktach, ostrzeżenie może się w ogóle nie pojawić.
- Nie każdy nieznany numer oznacza oszustwo — komunikat ma pomóc ocenić sytuację, ale nie zastępuje ostrożności.
- Wniosek: Nowa funkcja WhatsAppa to dodatkowa warstwa ochrony, która ma dać użytkownikowi chwilę na weryfikację rozmówcy i przerwanie potencjalnego ataku, zanim dojdzie do wyłudzenia.
Nowe wytyczne EROD wyjaśniają pojęcie danych anonimowych
- Kontekst: Bruksela, 8 lipca – Europejska Rada Ochrony Danych (EROD) na posiedzeniu plenarnym przyjęła:
- wytyczne dotyczące anonimizacji danych,
- wytyczne dotyczące web scrapingu (automatycznego „skrobania” stron) w kontekście generatywnej AI,
- oraz zatwierdziła ostateczną wersję wytycznych o przetwarzaniu danych przy użyciu technologii blockchain.
- Anonimizacja – co uznaje się za dane anonimowe:
- Dane są anonimowe, jeśli nie odnoszą się do osoby zidentyfikowanej lub możliwej do zidentyfikowania.
- Ocena, czy dane są anonimowe, może różnić się w zależności od podmiotu (np. kto je posiada i jakie ma możliwości ich powiązania z osobą).
- Informacje mogą odnosić się do osoby ze względu na treść, cel lub skutek – związek nie zawsze jest oczywisty i może wymagać analizy.
- Osoba jest „możliwa do zidentyfikowania”, jeśli można ją odróżnić od innych w danym kontekście przy użyciu środków, których użycie jest racjonalnie prawdopodobne.
- Wytyczne uwzględniają m.in. orzeczenie TSUE C-413/23 P (EIOD przeciwko SRB) z 4 września 2025 r. oraz inne orzecznictwo.
- Jak sprawdzić, czy anonimizacja jest skuteczna (ramy praktyczne):
- EROD proponuje dwa podejścia:
- kontekstowe – uwzględnia różnice w możliwościach identyfikacji między różnymi podmiotami,
- uproszczone – pomija te różnice (może być bardziej „bezpieczne”, ale czasem prowadzi do traktowania danych jak nieanonimowych nawet wtedy, gdy dla części podmiotów byłyby anonimowe).
- Weryfikacja opiera się na 3 kryteriach:
- brak izolacji zapisu,
- brak powiązania,
- brak wnioskowania.
- Jeśli wszystkie 3 kryteria są spełnione, dane można bezpiecznie uznać za anonimowe; jeśli nie – potrzebna jest dalsza analiza.
- Konsultacje publiczne w sprawie wytycznych: do 30 października 2026 r.
- EROD proponuje dwa podejścia:
- Web scraping a RODO (w kontekście generatywnej AI):
- Web scraping to zautomatyzowane pozyskiwanie danych na dużą skalę, często bez wiedzy osób, których dane dotyczą, co może stwarzać znaczne ryzyko dla prywatności.
- RODO ma zastosowanie, gdy scraping obejmuje przetwarzanie danych osobowych (np. zbieranie, przechowywanie, organizowanie, pobieranie).
- Wytyczne omawiają m.in.:
- podstawy prawne dla takiego przetwarzania,
- wymogi dla szczególnych kategorii danych (tzw. danych wrażliwych).
- Szczególny nacisk położono na zasady:
- ograniczenia celu (dane zbierane w konkretnym celu),
- przejrzystości (jasne informowanie o przetwarzaniu).
- W pewnych sytuacjach administrator może nie musieć informować każdej osoby indywidualnie, jeżeli jest to niemożliwe lub wymagałoby nadmiernego wysiłku (zależnie od konstrukcji procesu).
- Zalecenia EROD przy web scrapingu pod szkolenie AI:
- Pozyskiwać dane tylko z wiarygodnych źródeł.
- Rejestrować znacznik czasu (kiedy dane pobrano).
- Walidować dane przed użyciem do treningu AI – dla spełnienia zasady dokładności.
- Wdrażać środki wspierające zasadę minimalizacji danych (zbierać tylko to, co potrzebne).
- Wyjaśniono też stosowanie podstawy uzasadnionego interesu w tym specyficznym kontekście (z odwołaniem do wcześniejszej opinii EROD o modelach AI).
- Dane wrażliwe przy web scrapingu:
- Przetwarzanie szczególnych kategorii danych jest co do zasady zabronione.
- Jeśli scraping obejmuje takie dane, potrzebne są równocześnie:
- podstawa z art. 6 RODO oraz
- wyjątek z art. 9 ust. 2 RODO.
- EROD wskazuje, że znaczenie może mieć orzeczenie TSUE C-136/17 (GC & Others) przy przypadkowym/szczątkowym zebraniu danych wrażliwych, jeśli administrator działa w granicach obowiązków i wdraża środki zapobiegające ich gromadzeniu i rozpowszechnianiu.
- Podkreślono jednak, że nie ma ogólnego zwolnienia z art. 9 RODO – każdą sytuację trzeba oceniać indywidualnie.
- Konsultacje publiczne dla wytycznych o web scrapingu: do 30 października 2026 r.
- Blockchain – finalne wytyczne po konsultacjach:
- EROD przyjęła ostateczną wersję wytycznych dotyczących przetwarzania danych osobowych z użyciem technologii blockchain.
- Dokument ma pomóc organizacjom korzystającym z blockchain spełniać wymagania RODO.
- Wytyczne wyjaśniają, jak działają łańcuchy bloków, omawiają różne architektury i ich konsekwencje dla ochrony danych.
- Opublikowano również sprawozdanie z konsultacji oraz wersję wytycznych z trybem śledzenia zmian.
- Definicja w tle: Generatywna AI to technologia tworzenia nowych treści (np. tekstu, obrazu, dźwięku) poprzez uczenie się wzorców z istniejących danych.
Projekt ustawy wdrażającej DSA wymaga wzmocnienia ochrony danych osobowych i prywatności
- Kontekst: Prezes Urzędu Ochrony Danych Osobowych (UODO) ocenia, że Ministerstwo Cyfryzacji uwzględniło część jego uwag do projektu ustawy wdrażającej w Polsce unijny Akt o usługach cyfrowych (DSA), ale podtrzymuje pozostałe postulaty. Projekt nowelizacji ustawy o świadczeniu usług drogą elektroniczną trafił 17 czerwca 2026 r. do sejmowej Komisji Cyfryzacji, Innowacyjności i Nowoczesnych Technologii.
- Cel projektu ustawy: wprowadzić w Polsce mechanizmy wynikające z DSA, w tym:
- procedurę blokowania/usuwania treści nielegalnych,
- możliwość nakazania przywrócenia dostępu do treści usuniętych bezzasadnie przez usługodawcę.
- Dlaczego temat budzi spory: z jednej strony rośnie potrzeba szybkiego usuwania bezprawnych treści w internecie, z drugiej – pojawiają się obawy, że takie przepisy mogą być postrzegane jako narzędzie cenzury.
- Co uwzględniono z uwag UODO: doprecyzowano zasady przetwarzania danych osób uczestniczących w procedurach oraz wskazano, że w publikowanych decyzjach (na stronach właściwych organów, tj. UKE i KRRiT) nie będą zamieszczane dane osobowe.
- Co nadal budzi sprzeciw UODO (kluczowe postulaty):
- Rozszerzenie katalogu przestępstw, które pozwalają uznać treści za nielegalne i uruchomić procedurę szybkiego usunięcia.
- Możliwość natychmiastowej wykonalności decyzji o usunięciu treści w najpoważniejszych przypadkach (szczególnie dotyczących dzieci i młodzieży).
- Wzmocnienie ochrony prywatności, zwłaszcza wobec zagrożeń takich jak deepfake (np. spreparowane nagie zdjęcia rozpowszechniane w sieci).
- Jakie treści UODO chce objąć szybszym usuwaniem:
- treści dotyczące pornografii z udziałem małoletnich lub ich wizerunku (art. 202 § 3–4c Kodeksu karnego) – z uwagi na ryzyko nieodwracalnych szkód dla ofiar,
- treści polegające na bezprawnym udostępnianiu danych osobowych, w tym danych wykradzionych w cyberatakach lub ujawnianiu danych ofiar/sprawców – poprzez uzupełnienie katalogu m.in. o:
- art. 107 ustawy o ochronie danych osobowych,
- art. 54 ustawy o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości.
- Uzasadnienie UODO: obecne ograniczenia mogą sprawić, że procedury nie będzie dało się użyć do szybkiego usuwania bardzo szkodliwych treści, np. danych identyfikujących ofiarę gwałtu lub czynów pedofilskich (np. z adresem), albo materiałów deepfake prowadzących do poważnych kryzysów psychicznych.
- Natychmiastowa wykonalność decyzji – o co chodzi: projekt zakłada brak takiej opcji (aby chronić wolność słowa i zapewnić kontrolę sądową), ale UODO postuluje, by w wyjątkowo ciężkich przypadkach istniała możliwość natychmiastowego usunięcia treści, szczególnie gdy zagrożone jest dobro dzieci.
- Spójność z innymi regulacjami: UODO wskazuje, że projekt powinien lepiej współgrać z innymi przepisami dotyczącymi nowych technologii i cyberbezpieczeństwa, w tym rozwiązaniami służącymi zwalczaniu nielegalnych deepfake’ów.
- Co dalej: Prezes UODO skierował kolejne pismo nie tylko do Ministerstwa Cyfryzacji, ale także do komisji sejmowej, prosząc o rozważenie uzupełnienia projektu. Podkreśla, że proponowane zmiany nie wymagają przebudowy całej ustawy, a mechanizmy kontroli sądowej mają ograniczać ryzyko nadużyć.
- Dodatkowa informacja: postulaty UODO dotyczące nadawania decyzjom rygoru natychmiastowej wykonalności były wcześniej poparte przez resort edukacji.
- Główny wniosek: wdrażanie DSA to – zdaniem UODO – okazja do wprowadzenia skuteczniejszych narzędzi ochrony prywatności i danych osobowych w internecie, szczególnie dla dzieci i młodzieży, przy jednoczesnym zachowaniu zabezpieczeń przed nadużyciami.
Upomnienie dla szpitala za brak weryfikacji podmiotu przetwarzającego
- Kontekst: Prezes UODO Mirosław Wróblewski udzielił upomnień szpitalowi specjalistycznemu w Sosnowcu (administrator danych) oraz zewnętrznemu dostawcy poczty (podmiotowi przetwarzającemu). Powodem były braki w zapewnieniu i sprawdzeniu bezpieczeństwa przetwarzania danych osobowych zgodnie z RODO.
- Co się wydarzyło: W 2021 r. osoba nieuprawniona uzyskała dostęp do skrzynki e-mail administratora utrzymywanej na serwerach zewnętrznego dostawcy i pobrała całą zawartość poczty, w tym dane osobowe 224 osób.
- Reakcja organu: Po zgłoszeniu naruszenia Prezes UODO przeanalizował sprawę i wszczął postępowanie administracyjne, aby ocenić, czy administrator i podmiot przetwarzający dopełnili obowiązków wynikających z przepisów o ochronie danych.
- Stanowisko podmiotu przetwarzającego: Dostawca usługi deklarował stosowanie środków zgodnych z RODO oraz posiadanie certyfikacji ISO/IEC 27001, a także adekwatność zabezpieczeń do rodzaju danych.
- Główne zarzuty wobec administratora (szpitala):
- brak właściwej weryfikacji (czy dostawca rzeczywiście zapewnia „wystarczające gwarancje” bezpieczeństwa), mimo że szpital miał procedury i narzędzia organizacyjne, by to zrobić,
- niezastosowanie własnej procedury oceny ryzyka przy wyborze podmiotu przetwarzającego,
- niewystarczająca analiza ryzyka w zakresie przetwarzania danych przez pocztę elektroniczną oraz brak działań minimalizujących ryzyko przed incydentem (nawet tych wskazanych w analizie).
- Główne zarzuty wobec podmiotu przetwarzającego:
- brak właściwego wdrożenia odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo danych,
- brak analizy ryzyka ukierunkowanej na bezpieczeństwo przetwarzania danych powierzonych.
- Kluczowa zasada z RODO (art. 28 ust. 1): Administrator może korzystać tylko z takich podmiotów przetwarzających, które dają wystarczające gwarancje wdrożenia odpowiednich zabezpieczeń. Obowiązek dotyczy zarówno starannego wyboru, jak i późniejszego okresowego weryfikowania (np. audyty/inspekcje) oraz posiadania dowodów, że te działania wykonano.
- Ustalenia UODO: Naruszenia po stronie administratora skutkowały m.in. naruszeniem zasad poufności i rozliczalności. Podmiot przetwarzający został upomniany za braki w zabezpieczeniach i ochronie praw osób, których dane dotyczą.
- Dlaczego skończyło się na upomnieniu: UODO uznał, że w tych okolicznościach upomnienie jest wystarczające, m.in. dlatego że:
- administrator przed umową powierzenia ustalił wykaz wymaganych środków bezpieczeństwa (nie był to całkowity brak działań),
- administrator przyznał zaniedbania i podjął działania ograniczające ryzyko powtórki,
- wzmocniono rolę i zaangażowanie inspektora ochrony danych,
- podmiot przetwarzający również podjął działania podnoszące poziom bezpieczeństwa.
- Najważniejszy wniosek praktyczny: Same deklaracje dostawcy (nawet poparte certyfikatem) nie zwalniają z obowiązku realnej i udokumentowanej weryfikacji bezpieczeństwa oraz prowadzenia i realizowania analizy ryzyka — szczególnie przy usługach takich jak poczta e-mail, które mogą być celem ataków.
Europejska suwerenność technologiczna – między niezależnością a współpracą
- Kontekst: całkowite uniezależnienie się UE od największych firm technologicznych nie jest realne i Komisja Europejska nie dąży do pełnej rezygnacji z ich usług. Celem jest jednak budowanie europejskich alternatyw i zmniejszanie ryzyk wynikających z zależności od podmiotów spoza UE.
- Dlaczego temat stał się pilny: w Europie pojawiły się przykłady pokazujące, że dostęp do usług cyfrowych może zostać ograniczony lub wykorzystany jako narzędzie nacisku.
- Głośny przypadek AI: odcięcie osób spoza USA od najnowszych modeli Anthropica (Fable 5 i Mythos 5) pokazało, że dostęp do kluczowych technologii może zależeć od decyzji dostawcy.
- Sprawa Holandii i Microsoftu: według „Vrij Nederland” Microsoft przekazał Izbie Reprezentantów USA dane (nazwiska i e-maile) holenderskich urzędników pracujących nad wdrażaniem Aktu o usługach cyfrowych.
- Naciski polityczne przez usługi cyfrowe: urzędnicy Międzynarodowego Trybunału Karnego w Hadze mieli doświadczyć blokad (m.in. prokurator Karim Khan odcięty od e-maila, sędzia Beti Hohler zablokowany dostęp do usług finansowych).
- Jak UE chce budować suwerenność technologiczną: poprzez połączenie prawa, mechanizmów gospodarczych (popyt, wsparcie rynku) i rozwiązań technicznych.
- Europejski pakiet suwerenności technologicznej ma wzmacniać UE w obszarach: półprzewodników, AI, chmury i open source. Obejmuje m.in.:
- akt w sprawie chipów 2.0,
- Cloud and AI Development Act,
- strategię oprogramowania open source,
- plan cyfryzacji i AI w energetyce.
- KE: nie izolacja, tylko „otwarta autonomia strategiczna” – współpraca i konkurencja, ale z większą kontrolą i mniejszą zależnością.
- Spór o to, co daje „lokalizacja serwerów”: przedstawiciel Google Cloud (Marcin Krasuski) twierdzi, że o bezpieczeństwie bardziej decyduje architektura i kontrola operacyjna, a nie sama geografia serwerów.
- Ryzyko fizyczne: lokalne centra danych mogą być celem ataków (przykłady konfliktów w Ukrainie i na Bliskim Wschodzie).
- Przykłady rozwiązań „odpornych”:
- Wielka Brytania: środowiska „air-gapped” (odcięte od internetu) dla danych niejawnych.
- Niemcy: prywatna chmura dla Bundeswehry (przez BWI), zaprojektowana do działania nawet w izolacji.
- NATO (NCIA): korzystanie z podobnych struktur.
- Skala zależności od USA: wg Mariusza Busiły ok. 70% systemów AI używanych w Europie pochodzi z USA – to oznacza duże uzależnienie.
- Co może pomóc: budowanie europejskich rozwiązań oraz tworzenie popytu (np. przechodzenie na AI i rozwiązania oparte o open source).
- Przykłady działań państw/UE:
- Francja: rezygnacja z usług Microsoftu w administracji publicznej (jako przykład kierunku).
- Holandia: zablokowanie przejęcia kluczowej spółki technologicznej Solvinity przez firmę z USA.
- Komisja Europejska: wybór włoskiej firmy Domyn do budowy otwartoźródłowego modelu AI dla 24 języków urzędowych UE.
- Granice „zastępowania” dostawców: część usług może być trudna lub niemożliwa do szybkiego zastąpienia (np. wskazany Cloudflare).
- Systemy płatnicze: Christine Lagarde (EBC) wzywa do uniezależnienia się od Visy i Mastercarda, ale w praktyce brakuje pełnowartościowych alternatyw.
- Koszty izolacji: Google ostrzega, że próby szerokiej izolacji rynku UE mogą mocno podnieść koszty i obniżyć konkurencyjność; pada szacunek strat do 610 mld euro rocznie (w relacji do obecnego PKB UE) przy szerokich ograniczeniach w sektorach krytycznych.
- Certyfikacja chmur dla zamówień publicznych: projekt Cloud and AI Development Act ma wprowadzać wspólne, czterostopniowe ramy certyfikacji oraz dopuszczać „zaufanych partnerów” spoza UE spełniających standardy ochrony danych.
- Węzeł prawny: amerykański CLOUD Act – budzi obawy, bo nakazuje firmom z USA udostępniać dane na żądanie służb niezależnie od lokalizacji serwerów.
- Stanowisko Google Cloud: firma deklaruje, że nie ma technicznej możliwości odszyfrowania danych klientów (kluczami zarządza klient), a w modelach typu „air-gapped” dostawca nie ma nawet fizycznego dostępu do serwerów; żądania organów publicznych mają być kierowane do klienta lub klient ma być o nich informowany.
- Kontrargument: „szyfrowanie może nie wystarczyć” – Busiło wskazuje ryzyko związane z rozwojem komputerów kwantowych oraz podejściem „zbieraj teraz, odszyfruj później” (gromadzenie zaszyfrowanych danych z myślą o przyszłym złamaniu zabezpieczeń).
- Wątek RODO i kontroli nad danymi: według Busiły incydentem może być nie tylko wyciek, ale też utrata kontroli lub niedostępność danych (w rozumieniu RODO i ustawy o Krajowym Systemie Cyberbezpieczeństwa).
- Spór o przetargi i możliwość wykluczania dostawców spoza UE:
- Jarosław Kopeć (Fundacja Instrat) argumentuje, że administracja – analizując ryzyko transferu danych (w tym powiązania kapitałowe) – może, a nawet powinna, ograniczać udział dostawców, jeśli jest to proporcjonalne i niezbędne (wskazuje na ryzyko wynikające z CLOUD Act).
- Mec. Paweł Litwiński wskazuje, że w UE działa mechanizm EU–US Data Privacy Framework (decyzja KE 2023/1795), do którego firmy z USA mogą przystępować dobrowolnie; transfer danych do podmiotów z listy w ramach tego mechanizmu jest legalny.
- Na liście Privacy Framework mają być m.in. Google LLC, Microsoft Corporation, Amazon.com, Inc.
- Litwiński podkreśla też znaczenie rozporządzenia wykonawczego USA 14086 (ograniczenia dostępu służb, nadzór, Data Protection Review Court) i przypomina, że skarga na Privacy Framework nie została uwzględniona (wyrok z 3 września 2025 r., T-553/23).
- Wniosek praktyczny: obecnie nie ma automatycznej podstawy, by wykluczać z przetargów dostawców chmurowych transferujących dane do USA, jeśli robią to w ramach Privacy Framework; sytuacja mogłaby wyglądać inaczej dla podmiotów, które z tego mechanizmu nie korzystają.
- Najważniejsze wnioski z artykułu:
- UE nie zmierza do pełnej „odcinki” od globalnych gigantów, ale chce realnie zmniejszać zależność i budować alternatywy.
- Ryzyka nie dotyczą tylko prywatności, ale też dostępności usług i potencjalnych nacisków politycznych.
- Suwerenność to nie tylko miejsce serwerów – kluczowe są kontrola operacyjna, architektura bezpieczeństwa i dywersyfikacja.
- Budowanie europejskich rozwiązań wymaga nie tylko inwestycji, ale też popytu i decyzji zakupowych administracji.
- Prawo (RODO, zamówienia publiczne, Privacy Framework) jest istotnym narzędziem, ale interpretacje i kierunki działań są sporne.
TSUE: RODO stosuje się do publikacji danych o dopingu; wymagana indywidualna ocena proporcjonalności
- Kontekst (dlaczego to ważne): TSUE wydał pierwsze tak kompleksowe orzeczenie dotyczące stosowania RODO w systemach antydopingowych. W składzie Wielkiej Izby rozstrzygnął kluczowe kwestie: czy RODO w ogóle stosuje się do krajowych programów antydopingowych, kiedy dane o dopingu mogą stać się danymi o zdrowiu, jakie warunki proporcjonalności musi spełniać obowiązek publikacji danych, czy naruszenia antydopingowe podpadają pod art. 10 RODO (dane o wyrokach i naruszeniach prawa), oraz czy można złożyć skargę do organu nadzorczego jeszcze przed publikacją danych. Wyrok ma znaczenie dla wszystkich krajowych organizacji antydopingowych w UE.
- Czego dotyczyła sprawa: Czworo austriackich sportowców (AR, YT, DI, RN) ukarano zakazami startów (czasowe lub dożywotnie) za naruszenia austriackiej ustawy antydopingowej (ADBG).
- Na czym polegała publikacja danych:
- NADA publikuje na stronie listę z: imieniem i nazwiskiem, dyscypliną, rodzajem naruszenia, sankcją oraz datami jej obowiązywania.
- ÖADR publikuje podobne informacje w komunikatach prasowych, czasem także z nazwą zakazanej substancji.
- Spór o usunięcie danych: Sportowcy zażądali usunięcia danych, a po odmowie złożyli skargi do austriackiego organu ochrony danych (art. 77 RODO), powołując się na prawo do usunięcia danych (art. 17 RODO).
- Decyzja organu i dalszy bieg sprawy: Organ oddalił skargi trzech sportowców jako bezzasadne (publikacja jako obowiązek prawny), a skargę YT uznał za niedopuszczalną, bo jej dane nie były jeszcze opublikowane. Sprawa trafiła do sądu, który zadał TSUE pytania prejudycjalne.
- 1) RODO ma zastosowanie do programów antydopingowych: TSUE jednoznacznie uznał, że publikowanie danych sportowców w ramach krajowych działań antydopingowych podlega RODO. Wyłączenie dla „działalności nieobjętej prawem UE” dotyczy wąsko rozumianych spraw takich jak bezpieczeństwo narodowe — walka z dopingiem się w to nie wpisuje.
- Praktyczny wniosek: Organizacje antydopingowe w UE nie mogą argumentować, że RODO ich nie dotyczy (np. dlatego, że sport jest „nieekonomiczny” lub że to kompetencja państw).
- 2) Kiedy dane o dopingu mogą być danymi o zdrowiu (art. 9 RODO):
- Zasada: sama informacja, że sportowiec naruszył przepisy antydopingowe i został zdyskwalifikowany, co do zasady nie jest informacją o zdrowiu.
- Wyjątek: jeśli publikacja zawiera nazwę/kategorię zakazanej substancji lub metody i w połączeniu z innymi informacjami może pośrednio ujawniać stan zdrowia (np. da się wnioskować, że substancja była związana z leczeniem określonego schorzenia), wtedy może to być dana dotycząca zdrowia.
- TSUE zaznaczył, że sama nazwa substancji zwykle nie wystarczy, ale w konkretnych okolicznościach może prowadzić do wnioskowania o zdrowiu (np. gdy substancja mogła być stosowana terapeutycznie, a sportowiec nie uzyskał TUE).
- Praktyczny wniosek: Jeżeli w komunikatach pojawiają się nazwy substancji (jak u ÖADR), organizacja musi ocenić ryzyko wejścia w reżim danych wrażliwych i mieć odpowiednią podstawę prawną (potencjalnie „ważny interes publiczny” z art. 9 ust. 2 lit. g RODO, przy spełnieniu wymogów proporcjonalności i zabezpieczeń).
- 3) Proporcjonalność obowiązkowej publikacji – nie tylko „z automatu”:
- TSUE uznał, że walka z dopingiem jest celem w interesie ogólnym (uczciwość rywalizacji, równość szans, ochrona zdrowia, wartości etyczne), a publikacja nazwisk w Internecie może temu służyć (m.in. efekt odstraszający, informowanie sponsorów/organizatorów).
- TSUE przyjął, że rozwiązania alternatywne (np. anonimizacja lub informowanie tylko federacji/organizatorów) mogą być mniej skuteczne.
- Kluczowa teza praktyczna: same ustawowe wyjątki (np. dla amatorów, osób wrażliwych, sygnalistów) mogą nie wystarczyć. Jeśli przepisy krajowe nie zapewniają proporcjonalności w każdej sytuacji, administrator musi być gotowy do indywidualnej oceny przed publikacją, gdy istnieją szczególne okoliczności.
- Co trzeba brać pod uwagę w indywidualnej ocenie: ciężar naruszenia, status/rozpoznawalność sportowca (krajowa/międzynarodowa), oraz czas trwania publikacji.
- Czas publikacji – twarde ograniczenia:
- Publikacja dłuższa niż okres obowiązywania sankcji jest nieproporcjonalna.
- Jeżeli w trakcie sankcji sportowiec osiągnie wiek, w którym nie może już realnie uprawiać dyscypliny, dalsza publikacja co do zasady także może być nieproporcjonalna.
- 4) Naruszenia antydopingowe nie podpadają pod art. 10 RODO: TSUE uznał, że dane o naruszeniach antydopingowych i sankcjach nie są danymi o „wyrokach skazujących i naruszeniach prawa” w rozumieniu art. 10 RODO, bo to pojęcie dotyczy przestępstw (sfery karnej), a naruszenia antydopingowe mają charakter dyscyplinarny.
- Praktyczny wniosek: ocena zgodności przetwarzania opiera się przede wszystkim na zasadach i podstawach z art. 5–6 RODO (oraz ewentualnie art. 9), a nie na reżimie art. 10.
- 5) Skarga „zapobiegawcza” jest dopuszczalna: TSUE stwierdził, że można wnieść skargę do organu nadzorczego przed publikacją danych, jeśli są konkretne przesłanki, że publikacja jest nieuchronna lub nastąpi w najbliższej przyszłości.
- Praktyczny wniosek: organy ochrony danych muszą rozpatrywać skargi, które mają zapobiec planowanej publikacji (RODO przewiduje mechanizmy prewencyjne, a nie tylko „po fakcie”).
- Najważniejsze konsekwencje dla organizacji antydopingowych w UE (podsumowanie):
- RODO obowiązuje przy publikowaniu danych o sankcjach antydopingowych.
- Same ustawowe wyjątki od publikacji mogą nie wystarczyć — czasem konieczna jest indywidualna ocena proporcjonalności przed publikacją.
- Nie wolno utrzymywać publikacji dłużej niż trwa sankcja (co do zasady).
- Publikowanie nazw zakazanych substancji może w określonych sytuacjach prowadzić do przetwarzania danych o zdrowiu (art. 9 RODO), co podnosi wymagania prawne i organizacyjne.
- Osoby, których dane mają dopiero zostać opublikowane, mogą skutecznie składać skargi „prewencyjne”.
Należy doprecyzować model przechowywania danych biometrycznych funkcjonariuszy i pracowników Policji
- Kontekst: Prezes Urzędu Ochrony Danych Osobowych (UODO) wskazuje, że obowiązujące zasady przechowywania (retencji) danych genetycznych i biometrycznych funkcjonariuszy oraz pracowników Policji wymagają zmiany, bo obecny model może nie spełniać standardów ochrony prywatności.
- Jak jest teraz: dane biometryczne i genetyczne (m.in. odciski palców oraz wymazy ze śluzówki policzków) pobrane od funkcjonariuszy i pracowników Policji są usuwane najpóźniej po 5 latach od zakończenia służby lub pracy.
- Interwencja UODO: Prezes UODO Mirosław Wróblewski zwrócił się do ministra SWiA Marcina Kierwińskiego o podjęcie prac legislacyjnych nad obecnymi przepisami regulującymi pobieranie i przetwarzanie tych danych.
- Dwa reżimy prawne przetwarzania:
- gdy dane są używane do celów związanych z ujawnianiem i badaniem śladów czynów zabronionych – zastosowanie ma tzw. dyrektywa policyjna (2016/680),
- gdy dane są przetwarzane w celach administracyjnych lub kadrowych – stosuje się RODO.
- Wątpliwości konstytucyjne: choć samo pobieranie danych ma podstawę ustawową, część istotnych zasad ingerujących w prywatność została uregulowana w rozporządzeniu. Zdaniem UODO to problematyczne, bo akt wykonawczy nie powinien „modyfikować” normy ustawowej (kwestia hierarchii źródeł prawa).
- Problem z retencją (5 lat): UODO ocenia, że tak określony czas przechowywania może być niewłaściwy z perspektywy:
- zasady minimalizacji danych – zbierać i używać należy tylko tyle danych, ile jest konieczne,
- zasady ograniczenia przechowywania – dane trzyma się tylko tak długo, jak to niezbędne,
- wymogu, by przetwarzanie danych biometrycznych i genetycznych było „bezwzględnie niezbędne”.
- Dlaczego to ważne: dane genetyczne i biometryczne należą do szczególnie wrażliwych. Zbyt szerokie lub zbyt długie ich przechowywanie zwiększa ryzyko nadużyć, incydentów bezpieczeństwa i potencjalnie nieodwracalnych szkód dla osób, których dane dotyczą.
- Wskazówki z orzecznictwa TSUE:
- TSUE przypomina, że przetwarzanie szczególnych kategorii danych jest dopuszczalne tylko w ściśle określonych sytuacjach i przy dodatkowych zabezpieczeniach oraz wykazaniu bezwzględnej niezbędności (sprawa C-371/24).
- „Bezwzględna niezbędność” wymaga m.in. precyzyjnego określenia celu, ograniczenia zakresu danych do minimum oraz sprawdzenia, czy celu nie da się osiągnąć równie skutecznie przy użyciu mniej wrażliwych danych.
- Brak sztywnego maksymalnego terminu przechowywania nie musi być niezgodny z prawem, jeśli istnieją mechanizmy okresowej kontroli zasadności dalszego przechowywania (sprawa C-57/23).
- Państwa powinny ustanawiać odpowiednie okresy usuwania danych lub regularne przeglądy oraz skuteczne procedury gwarantujące przestrzeganie tych zasad (sprawa C-118/22).
- Najważniejszy wniosek UODO: obecny model przetwarzania i retencji danych biometrycznych oraz genetycznych w Policji nie zapewnia pełnej zgodności z zasadami ochrony danych oraz standardami wynikającymi z Konstytucji RP i orzecznictwa TSUE.
- Postulaty UODO (co należałoby zmienić): doprecyzować przepisy – najlepiej na poziomie ustawy – poprzez:
- jasne określenie przesłanek przetwarzania tych danych,
- takie ułożenie zasad retencji, by realnie spełniały wymogi minimalizacji i oceny niezbędności (np. poprzez lepiej opisane cele, okresowe przeglądy i uzasadnienia dalszego przechowywania).
NSA po stronie WSA podtrzymuje uchylenie 250 000 zł kary stwierdzając, że możliwość wykrycia naruszenia danych to nie to samo co jego wykrycie
- Kontekst sprawy: Naczelny Sąd Administracyjny (NSA) rozstrzygał spór o to, kiedy zaczyna biec 24‑godzinny termin na zgłoszenie naruszenia danych osobowych przez dostawcę usług telekomunikacyjnych: czy od chwili, gdy firma „powinna była” wykryć naruszenie (bo miała pewne sygnały), czy dopiero od momentu, gdy naruszenie faktycznie wykryła, czyli miała wystarczającą wiedzę, że doszło do naruszenia.
- Wynik postępowania: NSA oddalił skargę kasacyjną Prezesa UODO i utrzymał wyrok WSA w Warszawie, który uchylił decyzję o karze 250 000 zł nałożonej na operatora.
- Kluczowa zasada z wyroku: obowiązek zgłoszenia naruszenia (i poinformowania abonenta) powstaje dopiero po wykryciu naruszenia, a nie wtedy, gdy pojawiły się okoliczności, które mogły doprowadzić do jego wykrycia.
- Co oznacza „wykrycie” naruszenia: według rozporządzenia Komisji (UE) nr 611/2013 wykrycie następuje, gdy dostawca uzyska wystarczającą wiedzę o zdarzeniu naruszającym ochronę, które doprowadziło do naruszenia danych osobowych.
- Podejrzenie to za mało: samo podejrzenie naruszenia albo sama wiedza o jakimś zdarzeniu bez wystarczających informacji (nawet przy starannym działaniu firmy) nie wystarcza, by uznać, że naruszenie zostało wykryte.
- Co było w tej konkretnej sprawie: w lutym 2022 r. operator wysłał klientowi e‑mailem kopię umowy z załącznikami; adres e-mail okazał się błędny i wiadomość trafiła do osoby trzeciej o tym samym nazwisku, zawierając m.in. numer PESEL i numer dowodu osobistego.
- Stanowisko UODO: Prezes UODO uznał, że operator miał informacje pozwalające na wykrycie naruszenia już:
- 19 lutego 2022 r. (gdy klient zgłosił w punkcie sprzedaży, że podał błędny e-mail), albo
- 23 lutego 2022 r. (gdy spółka odebrała wezwanie UODO do złożenia wyjaśnień).
- Kiedy operator zgłosił naruszenie: dopiero 13 kwietnia 2022 r., po wszczęciu postępowania i po zapoznaniu się z aktami.
- Dlaczego sądy nie zgodziły się z UODO: organ w uzasadnieniu decyzji wielokrotnie opierał się na sformułowaniach typu „spółka powinna była wykryć naruszenie”, zamiast wykazać, że spółka faktycznie uzyskała w danym dniu wystarczającą wiedzę o naruszeniu.
- Wymóg dowodowy po stronie organu: jeśli organ nakłada karę za nieterminowe dopełnienie obowiązku informacyjnego, musi ustalić i udowodnić w materiale dowodowym, kiedy doszło do faktycznego wykrycia naruszenia; samo wskazanie, że „dało się to wykryć wcześniej”, nie wystarcza.
- Znaczenie informacji od osoby trzeciej: z ustaleń wynikało, że dopiero zapoznanie się z treścią zgłoszenia osoby trzeciej (które wpłynęło 16 lutego 2022 r.) mogło doprowadzić firmę do wykrycia naruszenia — ale organ nie wykazał, kiedy spółka realnie tę wiedzę uzyskała.
- Wątek proceduralny (skarga kasacyjna): NSA wskazał, że nie można skutecznie podważać ustaleń faktycznych sądu I instancji zarzutem naruszenia prawa materialnego; do kwestionowania faktów służą zarzuty naruszenia przepisów postępowania.
- Praktyczne konsekwencje wyroku:
- 24‑godzinnego terminu na zgłoszenie naruszenia nie liczy się od momentu, gdy administrator „powinien był” je wykryć przy dochowaniu staranności, tylko od dnia, gdy faktycznie miał wystarczającą wiedzę o naruszeniu.
- Wyrok nie znosi obowiązku sprawnego działania i posiadania procedur wykrywania naruszeń — organ w kolejnym postępowaniu może próbować wykazać wcześniejszą datę wykrycia, ale musi to poprzeć dowodami.
Prezes UODO wskazuje na potrzebę uregulowania stosowania systemów AI w zatrudnieniu
- Kontekst: Prezes Urzędu Ochrony Danych Osobowych (Mirosław Wróblewski) wystąpił do ministry pracy, rodziny i polityki społecznej z wnioskiem o rozpoczęcie prac nad przepisami, które mają lepiej chronić kandydatów do pracy i pracowników przed dyskryminacją wynikającą ze stosowania systemów sztucznej inteligencji (AI) w rekrutacji i zatrudnieniu.
- Dlaczego to temat „na teraz”: do UODO dociera coraz więcej sygnałów, że pracodawcy używają w rekrutacji narzędzi AI, które pozwalają przetwarzać dane osobowe na dużą skalę, czasem także dane wrażliwe.
- Główne ryzyko: systemy AI mogą utrwalać istniejące uprzedzenia, bo uczą się na danych historycznych (np. z wcześniejszych rekrutacji), które mogą być stronnicze. To może prowadzić do niezamierzonej dyskryminacji.
- Ryzyko „zbyt szerokiej analizy danych”: AI może analizować więcej informacji, niż wynika to z katalogu danych, których pracodawca może żądać od kandydata (art. 221 Kodeksu pracy).
- Obecne podstawy prawne:
- Kodeks pracy ustanawia obowiązek równego traktowania pracowników (m.in. bez względu na płeć, wiek, niepełnosprawność, pochodzenie, wyznanie, poglądy polityczne, orientację seksualną).
- RODO dopuszcza wprowadzanie w prawie krajowym (w obszarze prawa pracy) dodatkowych gwarancji ochrony danych i praw osób.
- Decyzje oparte wyłącznie na automatyzacji: UODO wskazuje na prawo osoby do niepodlegania decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu. Jednocześnie przepisy dopuszczają wyjątek, jeśli prawo krajowe na to pozwoli — ale wtedy musi przewidywać odpowiednie zabezpieczenia praw osób.
- AI Act (unijne rozporządzenie o AI): narzędzia AI używane w rekrutacji zostały zakwalifikowane jako systemy wysokiego ryzyka.
- Prawo do wyjaśnienia (AI Act): osoba, na którą wpływa decyzja podjęta z wykorzystaniem systemu AI wysokiego ryzyka, ma prawo uzyskać jasne i merytoryczne wyjaśnienie roli AI w procedurze oraz głównych elementów decyzji (art. 86 ust. 1 AI Act).
- Oceny skutków przed wprowadzeniem przepisów: jeśli resort planowałby dopuścić stosowanie AI w zatrudnieniu na podstawie prawa krajowego, powinno to być poprzedzone oceną skutków dla ochrony danych (co ułatwia identyfikację ryzyk i wykazanie zgodności z RODO).
- Ocena wpływu na prawa podstawowe (AI Act): dla systemów wysokiego ryzyka AI Act przewiduje obowiązek oceny wpływu na prawa podstawowe (art. 27), która ma uzupełniać ocenę skutków dla ochrony danych, a nie jej zastępować.
- Wymóg przejrzystości i informacji: systemy wysokiego ryzyka powinny być transparentne — zapewniać dostęp do informacji o działaniu oraz rzetelne uzasadnienie decyzji. Użytkownicy (np. kandydaci) powinni też mieć świadomość, że w procesie wykorzystywana jest AI.
- Co powinno znaleźć się w krajowych regulacjach: wskazanie celów użycia AI, określenie kto jest administratorem danych oraz jakie gwarancje i środki ochrony przysługują osobom, których dane dotyczą.
- Kluczowe wymagania dla systemów wysokiego ryzyka (AI Act): m.in. system zarządzania ryzykiem, zasady dotyczące danych i zarządzania danymi, dokumentacja techniczna, rejestrowanie zdarzeń (logi), przejrzystość i informowanie użytkowników, nadzór człowieka, solidność/dokładność oraz cyberbezpieczeństwo (art. 9–15 oraz art. 26 AI Act).
- Wniosek UODO: unijne gwarancje powinny zostać odzwierciedlone w krajowych przepisach rangi ustawy, aby realnie chronić kandydatów i pracowników przed ryzykami AI.
- Deklaracja wsparcia: Prezes UODO zaoferował resortowi eksperckie wsparcie przy analizie proponowanych przepisów pod kątem zgodności z RODO.
Administratorem danych osobowych jest Lex Artist sp. z o.o., ul. Szańcowa 74/1, 01-458 Warszawa. Dane osobowe będą przetwarzane w celu umieszczenia i obsługi komentarza na blogu. Przysługują Panu/Pani następujące prawa: prawo dostępu do treści danych, prawo do sprostowania danych, prawo do usunięcia danych, prawo do ograniczenia przetwarzania danych, prawo do wniesienia sprzeciwu, prawo do wniesienia skargi do organu nadzorczego. Pełna treść klauzuli informacyjnej znajduje się tutaj.
Zanonimizowany ciąg znaków stworzony na podstawie Pani/Pana adresu email (tak zwany hash) może zostać przesłany do usługi Gravatar w celu sprawdzenia czy jej Pan/Pani używa. Polityka prywatności usługi Gravatar jest dostępna tutaj. Po zatwierdzeniu komentarza obrazek profilowy jest widoczny publicznie w kontekście twojego komentarza.