153 mln skanów praw jazdy na sprzedaż. Gigantyczny wyciek u dostawcy usług weryfikacji tożsamości » Europejski Inspektor Ochrony Danych wymaga precyzyjnych zasad » Firma poprawnie klasyfikuje system w AI Act. Mimo to może naruszyć RODO przy danych » Akt o cyberodporności (CRA) – wzmocnienie cyberochrony danych » NSA zgodził się ze stanowiskiem Prezesa UODO ws. osób fizycznych prowadzących działalność gospodarczą » Dodatkowe kontrole UODO w podmiotach sektora ochrony zdrowia » Trójstronne porozumienie na rzecz mieszkańców Gdyni » Czy AI potrafi zapomnieć? Prawo autorskie i RODO w czasach sztucznej inteligencji » Zasady ochrony danych to nie obciążenie, ale szansa » Rzecznik generalny TSUE uznał, że „partnerzy” nie wystarczą do zgody marketingowej
⬇️ Pobierz W PDF
Praktyczny poradnik o wdrażaniu RODO
Książka RODOLOGIA to kompleksowy przewodnik po RODO, który pomaga wdrożyć ochronę danych osobowych w sposób prosty, szybki i skuteczny. Ponad 500 stron praktycznej wiedzy podanej w przystępnej formie i zrozumiałym języku. A wszystko to podane w pięknej, premium formie. Dowiedz się więcej o RODOLOGII: Sprawdź153 mln skanów praw jazdy na sprzedaż. Gigantyczny wyciek u dostawcy usług weryfikacji tożsamości
- Kontekst: Na przełomie sierpnia i września dziennikarz Brian Krebs (KrebsOnSecurity) dostał sygnał o nielegalnej ofercie sprzedaży wykradzionych danych. Trop prowadził z rosyjskojęzycznego forum Exploit do serwisu Nexus, gdzie wystawiono dużą bazę skanów dokumentów.
- Co dokładnie sprzedawano: Ogromną bazę wrażliwych dokumentów, m.in. skany praw jazdy (ok. 153 mln), a także dowody/tożsamościowe dokumenty podróżne i karty medyczne.
- Potwierdzenie prawdziwości wycieku: Krebs, analizując darmową próbkę bazy, znalazł m.in. własne prawo jazdy oraz dokumenty swoich bliskich, co potwierdziło, że dane są autentyczne.
- Dane osób wysoko postawionych: W próbce znalazł się też m.in. skan dokumentu Sekretarza Obrony USA, Pete’a Hegsetha, co pokazuje, że w bazie mogły znaleźć się dane wielu różnych osób, także publicznych.
- Prawdopodobne źródło wycieku: Analiza Krebsa wskazała na firmę IDScan (usługi skanowania dokumentów i weryfikacji tożsamości), która obsługuje m.in. Hertz, FedEx oraz punkty sprzedaży w branżach regulowanych (np. dyspensaria konopi i sklepy z bronią) w 19 stanach USA.
- Dlaczego to jest szczególnie groźne: Skany nie były „zwykłymi zdjęciami”. Dla każdego prawa jazdy baza miała aż 6 plików (po 3 na stronę):
- standardowy skan wizualny,
- skan w podczerwieni (IR),
- skan w ultrafiolecie (UV).
- Jak powiązano wyciek z realnymi zdarzeniami: Pliki graficzne miały w nazwach dokładną datę i godzinę wykonania skanu. Krebs dopasował timestamp swojego prawa jazdy do momentu wypożyczenia auta w czerwcu 2025 r.; kilka sekund później zeskanowano dokument jego matki (również obecny w próbce).
- Niezależne potwierdzenia od innych badaczy: Inni eksperci ds. bezpieczeństwa też znaleźli swoje skany i dopasowali je do konkretnych wizyt/zdarzeń, np. w dyspensarium marihuany Planet13 w Las Vegas oraz przy wynajmie auta w Hertz.
- Reakcja służb i firmy: Krebs przekazał informacje FBI i został włączony w telekonferencję z kierownictwem sekcji cybernetycznej. Tego samego dnia oferta zniknęła z Nexusa. O incydencie poinformowała również firma IDScan.
- Najważniejszy wniosek: Wyciek dotyczy nie tylko danych tekstowych, ale zaawansowanych skanów dokumentów (w tym IR/UV), co może ułatwiać oszustwa, fałszerstwa i nadużycia weryfikacji tożsamości, szczególnie w branżach wymagających skanowania dokumentów.
Europejski Inspektor Ochrony Danych wymaga precyzyjnych zasad
- Kontekst: Opinia Europejskiego Inspektora Ochrony Danych (EIOD) z 4 września 2026 r. dotyczy projektu decyzji Komisji Europejskiej o zasadach bezpieczeństwa ochrony informacji niejawnych UE, w tym procedury poświadczenia bezpieczeństwa dla osób mających mieć dostęp do takich informacji. EIOD podkreśla, że przy przetwarzaniu danych w tej procedurze nie wystarczy ogólne upoważnienie — przepisy muszą być jasne, precyzyjne i przewidywalne dla osób, których dane dotyczą.
- Najważniejszy wniosek: Akt prawny regulujący poświadczenie bezpieczeństwa powinien samodzielnie określać podstawę prawną, zakres, cele, czas przechowywania danych oraz kluczowe zabezpieczenia — nie można tego w całości „odsyłać” do przepisów wykonawczych.
- Komisja jako administrator danych: Projekt powinien wprost wskazać, że Komisja Europejska jest administratorem danych w tej procedurze (bo to ona określa cele i sposoby przetwarzania). Ma to znaczenie dla rozliczalności i odpowiedzialności.
- Szczególne kategorie danych i dane o karalności — konieczne doprecyzowanie: Jeśli w procedurze mają być przetwarzane dane wrażliwe (np. szczególne kategorie danych) oraz dane o wyrokach skazujących i czynach zabronionych, to:
- motywy aktu powinny wyjaśniać, dlaczego jest to niezbędne i proporcjonalne,
- część normatywna (sentencja) ma wskazywać granice takiego przetwarzania.
- Zabezpieczenia nie mogą być „na później”: EIOD krytykuje model, w którym wszystkie środki ochrony praw osób są pozostawione przepisom wykonawczym. Główne zabezpieczenia powinny wynikać już z decyzji, np.:
- ograniczenie dostępu do danych do upoważnionych osób (np. w Dyrekcji Bezpieczeństwa),
- bezpieczne przechowywanie i zasada ograniczonego dostępu,
- usuwanie danych bez zbędnej zwłoki po przekazaniu (tam, gdzie to właściwe).
- Konsultowanie przepisów wykonawczych: EIOD zaleca, aby przyszłe przepisy wykonawcze były przed przyjęciem konsultowane z EIOD.
- Pełne i wyczerpujące opisanie przetwarzania: Projekt powinien jasno opisać:
- jakie dokładnie kategorie danych mogą być przetwarzane,
- w jakich celach i w jakich sytuacjach,
- z jakimi zabezpieczeniami.
- Zgoda pracownika nie jest właściwą podstawą: Jeśli procedura dotyczy personelu, „zgoda” zwykle nie będzie uznana za dobrowolną (nierównowaga relacji pracodawca–pracownik). EIOD rekomenduje, aby zamiast zgody stosować pisemne potwierdzenie poinformowania osoby o:
- przebiegu procedury,
- zakresie przetwarzania danych,
- konsekwencjach nieukończenia postępowania.
- Okres przechowywania danych (retencja): Projekt powinien wskazać, jak długo przechowywane są dane z procedury, w tym wyniki postępowania sprawdzającego oraz dane przetwarzane przez inne jednostki Komisji. EIOD sugeruje powiązanie retencji m.in. z:
- okresem ważności poświadczenia,
- dodatkowym ograniczonym czasem na odnowienia, odwołania i audyt,
- oddzielnymi zasadami dla wyników negatywnych.
- Dodatkowe obowiązki po stronie Komisji: Opinia przypomina o konieczności właściwej realizacji obowiązków związanych z ochroną danych, m.in. przy:
- przekazywaniu danych organom krajowym,
- zapewnieniu realizacji praw osób, których dane dotyczą,
- aktualizacji rejestru czynności przetwarzania i informacji o ochronie danych.
- Znaczenie opinii szersze niż jeden projekt: EIOD wskazuje ogólną zasadę: gdy państwo/instytucja sięga po dane szczególnie wrażliwe lub dane o karalności, to prawo musi konkretnie określać co wolno, w jakich granicach i jak chroni się prawa osób, a nie opierać się wyłącznie na szeroko opisanym interesie publicznym.
Firma poprawnie klasyfikuje system w AI Act. Mimo to może naruszyć RODO przy danych
- Kontekst: od 27 lipca 2026 r. obowiązuje nowy art. 4a AI Act, który w ściśle określonych sytuacjach pozwala wykorzystywać dane wrażliwe (np. o zdrowiu, pochodzeniu czy niepełnosprawności), aby wykrywać i korygować stronniczość (bias) systemów AI. To nie zastępuje RODO – firma nadal musi spełnić wymagania ochrony danych (w tym wskazać podstawę z art. 6 RODO).
- AI Act i RODO obowiązują równolegle: jeśli przy projektowaniu, trenowaniu, testowaniu lub używaniu AI przetwarzane są dane osobowe, trzeba stosować także RODO. Można spełniać AI Act, a jednocześnie naruszać RODO (np. zła podstawa prawna, zbyt szeroki zakres danych, zbyt duża swoboda dostawcy).
- Co zmienia art. 4a AI Act: poszerza krąg podmiotów, które mogą wyjątkowo przetwarzać szczególne kategorie danych, gdy jest to potrzebne do testów/korekty stronniczości AI (np. porównania wyników dla różnych grup).
- To nie jest „wolna amerykanka” na dane wrażliwe: art. 4a nie nakłada na każdą firmę obowiązku testowania stronniczości i nie jest ogólnym zezwoleniem na przetwarzanie danych wrażliwych. Jeśli firma korzysta z tego wyjątku, musi spełnić wszystkie warunki oraz pozostałe zasady RODO.
- Podstawy prawne w RODO nadal są konieczne:
- dla danych wrażliwych podstawą „szczególną” jest co do zasady art. 9 ust. 2 lit. g RODO (ważny interes publiczny, niezbędność, proporcjonalność i zabezpieczenia),
- ale niezależnie od tego trzeba też wskazać podstawę z art. 6 RODO (np. prawnie uzasadniony interes – po spełnieniu warunków).
- Kiedy wolno użyć danych wrażliwych do testów stronniczości:
- dla systemów wysokiego ryzyka – gdy jest to ściśle niezbędne (AI Act),
- także dla innych systemów/modeli – jeśli stronniczość może zagrażać zdrowiu lub bezpieczeństwu, naruszać prawa podstawowe albo prowadzić do zakazanej dyskryminacji.
- Warunek „nie da się inaczej”: firma musi wykazać, że celu nie da się osiągnąć innymi danymi, w tym syntetycznymi lub zanonimizowanymi.
- Wymagane zabezpieczenia i ograniczenia:
- ograniczenie ponownego wykorzystania danych,
- środki bezpieczeństwa, kontrola i dokumentowanie dostępu,
- dostęp tylko dla upoważnionych osób objętych poufnością,
- zakaz przekazywania danych innym podmiotom,
- usunięcie danych po korekcie stronniczości lub po upływie retencji – w zależności od tego, co nastąpi wcześniej,
- uzasadnienie konieczności użycia danych w rejestrze czynności przetwarzania.
- Role z AI Act i RODO nie pokrywają się automatycznie: „dostawca” i „podmiot stosujący” z AI Act nie zawsze odpowiadają „administratorowi” i „podmiotowi przetwarzającemu” z RODO. O statusie decyduje realny wpływ na cele i sposoby przetwarzania.
- Praktyczny przykład (rekrutacja): firma używająca narzędzia do selekcji kandydatów zwykle jest administratorem danych kandydatów. Dostawca może być procesorem, jeśli działa wyłącznie na polecenie firmy i ma umowę powierzenia (retencja, bezpieczeństwo, dalsze powierzenie, naruszenia). Jeśli dostawca używa danych do trenowania/ulepszania własnego modelu, może stać się odrębnym administratorem lub współadministratorem.
- Podstawa prawna zależy od etapu użycia AI: osobno ocenia się m.in. pozyskanie danych, trening/testy, przetwarzanie poleceń, zapisywanie wyników i zastosowanie rekomendacji wobec osoby.
- Prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) nie jest „automatyczny”: trzeba wskazać konkretny interes, wykazać niezbędność oraz przeprowadzić test równowagi (uwzględniając m.in. rodzaj danych, skalę, oczekiwania osób, skutki i zabezpieczenia).
- Dane publicznie dostępne też mają ograniczenia: fakt, że dane są „publiczne”, nie daje swobody trenowania AI bez podstawy prawnej, ograniczenia celu i obowiązków informacyjnych. Nie zawsze da się też oprzeć na przesłance, że osoba „oczywiście upubliczniła” dane wrażliwe (art. 9 ust. 2 lit. e RODO).
- Zgoda nie powinna być rozwiązaniem domyślnym: zwłaszcza w relacji pracodawca–pracownik. A art. 6 ust. 1 lit. b (umowa) działa tylko, gdy przetwarzanie jest realnie niezbędne do wykonania umowy – nie „dla wygody”.
- Osobne zasady dla danych o wyrokach i czynach zabronionych: oprócz podstawy z art. 6 RODO wymagane są przesłanki z art. 10 RODO (nadzór władz publicznych albo wyraźna podstawa w prawie UE/krajowym i zabezpieczenia).
- Minimalizacja danych vs reprezentatywność zbiorów: nie ma automatycznej sprzeczności między minimalizacją (RODO) a wymogiem reprezentatywnych zbiorów dla AI wysokiego ryzyka (AI Act). Firma powinna dobrać cechy potrzebne do celu, uzasadnić je i usuwać zbędne dane; pomocne są anonimizacja, pseudonimizacja, agregacja i dane syntetyczne (pseudonimizacja nadal oznacza dane osobowe).
- Terminy obowiązków dot. danych w AI Act (art. 10): jeszcze nie obowiązują; dla systemów z załącznika III – od 2 grudnia 2027, a dla produktów/elementów bezpieczeństwa z załącznika I – od 2 sierpnia 2028. RODO obowiązuje cały czas, więc przygotowania warto prowadzić już teraz.
- Nadzór człowieka musi być realny: w RODO (art. 22) co do zasady zakazane są decyzje wyłącznie zautomatyzowane o skutkach prawnych lub podobnie istotnych (TSUE m.in. sprawa SCHUFA). „Człowiek w procesie” nie wystarczy, jeśli tylko bezrefleksyjnie zatwierdza wynik – musi rozumieć narzędzie, mieć dane i czas oraz możliwość zmiany/odrzucenia rekomendacji.
- AI Act też wymaga skutecznego nadzoru człowieka (art. 14): dla narzędzi w zatrudnieniu i zarządzaniu pracownikami zacznie to obowiązywać od 2 grudnia 2027, ale organizacyjnie trzeba to zaprojektować wcześniej (dostępy, kompetencje, możliwość ingerencji).
- Informacja dla osób musi być konkretna: ogólny zapis „korzystamy z AI” jest niewystarczający. Trzeba podać m.in. cele, podstawy prawne, źródła danych, odbiorców, okres przechowywania i prawa osób. Przy art. 22 RODO dochodzą informacje o zasadach procesu, jego znaczeniu i konsekwencjach.
- Prawo do wyjaśnienia decyzji: TSUE (sprawa Dun & Bradstreet) wskazał, że osoba powinna dostać zrozumiałą informację o procedurze i zasadach uzyskania wyniku (jakie dane i jak użyto), bez konieczności ujawniania kodu źródłowego. Dodatkowo art. 86 AI Act (od 2 sierpnia 2026) wprowadza prawo do wyjaśnienia w określonych przypadkach, ale w okresie przejściowym mogą wystąpić wątpliwości, bo część klasyfikacji/obowiązków dla załącznika III jest odroczona do 2 grudnia 2027.
- Wniosek praktyczny przy zakupie AI: warto od razu ustalić, czy dostawca dostarczy informacje potrzebne do spełnienia obowiązków informacyjnych i wyjaśnień – brak tych danych może utrudnić legalne użycie narzędzia wobec pracowników, kandydatów lub klientów.
- DPIA i FRIA to dwie różne oceny:
- DPIA (RODO) jest wymagana przy wysokim ryzyku dla praw i wolności (np. systematyczna ocena prowadząca do istotnych decyzji),
- FRIA (AI Act, art. 27) dotyczy określonych podmiotów stosujących niektóre systemy wysokiego ryzyka (głównie sektor publiczny/usługi publiczne oraz m.in. ocena zdolności kredytowej i wycena ryzyka/cen w ubezpieczeniach na życie i zdrowotnych),
- zakresy mogą się częściowo pokrywać, ale jedno nie zastępuje drugiego; elementy DPIA mogą pomóc w FRIA.
- Kary i organy nadzoru są różne:
- AI Act: do 35 mln euro lub 7% obrotu (zakazane praktyki) oraz do 15 mln euro lub 3% obrotu (wiele innych obowiązków); dla MŚP stosuje się niższą wartość,
- RODO: do 20 mln euro lub 4% obrotu (stosuje się wyższą wartość),
- w Polsce AI Act ma egzekwować Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (krajowe przepisy proceduralne od 28 października 2026), a RODO nadal egzekwuje Prezes UODO – organy mają współpracować.
Akt o cyberodporności (CRA) – wzmocnienie cyberochrony danych
- Kontekst: Od 11 września 2026 r. zacznie być stosowany art. 14 rozporządzenia UE 2024/2847, czyli aktu o cyberodporności (Cyber Resilience Act, CRA). Przepis dotyczy produktów z elementami cyfrowymi, np. aplikacji mobilnych, urządzeń IoT (np. kamery cyfrowe) oraz systemów IT instalowanych lokalnie w organizacjach.
- Cel zmian: CRA ma wzmocnić bezpieczeństwo cyfrowych produktów i wymusić, aby producenci uwzględniali bezpieczeństwo (w tym ochronę danych) już na etapie projektowania. Prezes UODO ocenia to jako rozwiązanie wspierające bezpieczeństwo i ochronę danych.
- Co nakłada art. 14 CRA na producentów:
- obowiązek zgłaszania aktywnie wykorzystywanych podatności,
- obowiązek zgłaszania poważnych incydentów wpływających na bezpieczeństwo produktu.
- Terminy zgłoszeń (od momentu, gdy producent dowie się o podatności/incydencie):
- wczesne ostrzeżenie – w ciągu 24 godzin,
- zgłoszenie – w ciągu 72 godzin.
- Co to oznacza dla użytkowników: większą ochronę i szybszą informację o realnych zagrożeniach – zarówno dla konsumentów, jak i firm korzystających z takich produktów.
- Kiedy wejdzie reszta przepisów CRA: pozostałe regulacje rozporządzenia będą stosowane od 11 grudnia 2027 r. (art. 71 ust. 2 CRA).
- Relacja CRA do RODO (GDPR):
- CRA nie jest „ustawą o danych osobowych”, ale podnosi bezpieczeństwo systemów, które często przetwarzają dane (np. aplikacje), więc pośrednio wzmacnia ochronę danych.
- Podobnie jak w RODO, w CRA ma funkcjonować równoległe powiadamianie zarówno właściwych organów, jak i użytkowników produktów.
- Dla administratorów danych informacja od producenta może być podstawą do oceny, czy doszło do naruszenia ochrony danych osobowych wymagającego działań z art. 33 i 34 RODO.
- Obowiązki z CRA i RODO mogą działać równolegle (np. gdy producent jest jednocześnie podmiotem przetwarzającym w rozumieniu RODO).
- Zgłoszenie na podstawie CRA nie zastępuje obowiązków z RODO; CRA nie narusza przepisów RODO (potwierdza to motyw 32 CRA).
- CRA „wypełnia lukę” tam, gdzie RODO nie daje narzędzi: gdy producent dostarcza produkt cyfrowy, ale nie jest ani administratorem, ani podmiotem przetwarzającym w odniesieniu do danych – a mimo to jego produkt ma wpływ na bezpieczeństwo przetwarzania.
- Jak będzie wyglądało zgłaszanie (mechanizm):
- ma działać pojedyncza platforma sprawozdawcza (SRP) ustanowiona na podstawie art. 16 CRA i prowadzona przez ENISA,
- zgłoszenia mają przechodzić przez elektroniczny punkt zgłoszeń CSIRT w państwie członkowskim, gdzie producent ma główną siedzibę w UE, a jednocześnie będą dostępne dla ENISA (art. 14 ust. 7 CRA),
- źródło informacji o SRP: ENISA – Single Reporting Platform.
- Jakie przypadki podlegają obowiązkowemu zgłoszeniu (wg CERT Polska):
- podatności, co do których są wiarygodne przesłanki, że są aktywnie wykorzystywane,
- poważne incydenty wpływające na bezpieczeństwo produktu (m.in. dostępność, autentyczność, integralność, poufność ważnych/wrażliwych danych) oraz np. umieszczenie złośliwego kodu.
- Co oznacza „aktywnie wykorzystywana podatność” w CRA: kluczowe są wiarygodne dowody, że podmiot działający w złych zamiarach wykorzystał podatność w systemie bez zgody właściciela (art. 3 pkt 42 CRA).
- Gdzie sprawdzić, czy CRA dotyczy danego produktu: biznes.gov.pl – informacja o CRA.
NSA zgodził się ze stanowiskiem Prezesa UODO ws. osób fizycznych prowadzących działalność gospodarczą
- Kontekst: 2 września 2026 r. Naczelny Sąd Administracyjny (III OSK 252/24) oddalił skargi kasacyjne PKO BP S.A. oraz BIK na decyzję Prezesa UODO. Spór dotyczył tego, jak rozumieć pojęcie „osoby fizycznej” w art. 105a ust. 2 i 3 Prawa bankowego w kontekście przetwarzania danych osób prowadzących działalność gospodarczą.
- Dotychczasowe podejście sektora bankowego: banki i instytucje finansowe uznawały, że art. 105a ust. 2 i 3 Prawa bankowego dotyczą wyłącznie konsumentów, a nie przedsiębiorców będących osobami fizycznymi. W praktyce utrudniało to takim przedsiębiorcom powoływanie się na te przepisy w sporach o przetwarzanie ich danych.
- Co regulują art. 105a ust. 2 i 3 Prawa bankowego:
- Art. 105a ust. 2: umożliwia przetwarzanie danych osobowych po wygaśnięciu zobowiązania, jeśli osoba fizyczna wyrazi na to zgodę.
- Art. 105a ust. 3: umożliwia przetwarzanie danych osobowych bez zgody, jeżeli osoba nie wykonała zobowiązania wobec banku lub była w zwłoce ponad 60 dni oraz została skutecznie poinformowana o zamiarze przetwarzania danych bez zgody i minęło 30 dni od takiego poinformowania.
- Praktyczne znaczenie przepisów: po spełnieniu warunków z art. 105a ust. 3 banki i instytucje finansowe mogą przetwarzać dane dotyczące zaległości w spłacie (np. poprzez wpisy w BIK) bez zgody osoby, nawet do 5 lat od wygaśnięcia zobowiązania.
- Kluczowy wniosek z wyroku NSA: art. 105a ust. 2 i 3 Prawa bankowego mają zastosowanie także do osób fizycznych prowadzących działalność gospodarczą, a nie wyłącznie do konsumentów.
- Stanowisko UODO potwierdzone: NSA zgodził się ze stanowiskiem Prezesa UODO, że przepisy te mają szerszy zakres niż dotąd przyjmowano w praktyce bankowej.
- Znaczenie orzeczenia: wyrok ma istotny wpływ na interpretację Prawa bankowego i usuwa wątpliwości co do tego, czy przedsiębiorcy będący osobami fizycznymi są objęci reżimem art. 105a ust. 2 i 3.
- Dodatkowe źródło: w tekście wskazano, że o innych podstawach przetwarzania danych byłego klienta przez bank UODO pisał w komentarzu z 13 marca 2025 r.: https://uodo.gov.pl/pl/138/3588.
Dodatkowe kontrole UODO w podmiotach sektora ochrony zdrowia
- Kontekst: po największym w ostatnim czasie wycieku danych osobowych pacjentów (w tym danych wrażliwych dotyczących zdrowia) Prezes UODO Mirosław Wróblewski zapowiedział zintensyfikowanie działań kontrolnych w sektorze ochrony zdrowia, aby sprawdzić, jak placówki medyczne zabezpieczają dane swoich pacjentów.
- Reakcja na doniesienia o MyDr: po informacjach medialnych o wycieku danych z firmy MyDr Prezes UODO podjął decyzję o niezwłocznym przeprowadzeniu kontroli w tej spółce.
- Zakres kontroli w MyDr: sprawdzane są m.in. zastosowane środki techniczne i organizacyjne oraz to, jak firma przeprowadziła analizę ryzyka.
- Skala problemu: UODO nadal otrzymuje zgłoszenia naruszeń od administratorów danych; cyberatak oraz kolejne incydenty wskazały potrzebę szerszych kontroli dotyczących danych o zdrowiu.
- Szersze kontrole w ochronie zdrowia: Prezes UODO zdecydował o przeprowadzeniu jeszcze w tym roku dodatkowych, zintensyfikowanych kontroli w kolejnych podmiotach ochrony zdrowia, szczególnie pod kątem stosowanych zabezpieczeń danych medycznych.
- Ramy i cel działań: kontrole mają służyć monitorowaniu przestrzegania RODO (rozporządzenie 2016/679) w podmiotach sektora ochrony zdrowia i weryfikacji, jak chronią dane osób korzystających z ich usług.
- Kontrole sektorowe trwają od 2025 r.: UODO przypomina, że kontrole w ochronie zdrowia są prowadzone w ramach kontroli sektorowych od 2025 roku.
- Dotychczasowe priorytety kontroli: w 2025 r. akcent położono na bezpieczeństwo danych osobowych, a w bieżącym roku – szczególnie na stosowanie monitoringu wizyjnego.
- Zmiany w planie kontroli na 2026 r.: z uwagi na potrzebę dodatkowych kontroli w ochronie zdrowia konieczne były korekty planu kontroli sektorowych na 2026 rok.
- Przesunięcie kontroli platform dostaw: zaplanowane na 2026 r. kontrole sektorowe internetowych platform dostaw (przetwarzanie danych w usługach pośrednictwa sprzedaży przez aplikacje internetowe) zostały przesunięte na I i II kwartał 2027 r.
- Kontrole systemów UE bez zmian: bez zmian pozostają sektorowe kontrole podmiotów przetwarzających dane w wielkoskalowych systemach UE, w tym SIS/VIS (w oparciu o przepisy krajowe i unijne).
- Kontrole BIP bez zmian: plan kontroli podmiotów prowadzących Biuletyn Informacji Publicznej pozostaje bez zmian; weryfikowany jest m.in. sposób anonimizacji danych oraz udostępnianie przebiegu sesji rad gminy.
- Kontrole marketingowe bez zmian: kontrole podmiotów marketingowych pozostają w planie; szczególny nacisk kładziony jest na podstawy prawne przetwarzania danych osobowych do celów marketingowych.
Trójstronne porozumienie na rzecz mieszkańców Gdyni
- Kontekst: 15 września 2026 r. w Gdyni podpisano trójstronne porozumienie między Urzędem Ochrony Danych Osobowych (UODO), Biurem Rzecznika Praw Dziecka (RPD) oraz Gminą Miasta Gdyni.
- Cel porozumienia: ułatwienie mieszkańcom bezpośredniego kontaktu z niezależnymi instytucjami chroniącymi prawa oraz zapewnienie łatwiejszego dostępu do informacji o przysługujących prawach.
- Skargi i zgłoszenia: porozumienie ma umożliwić wygodniejsze składanie skarg i zgłaszanie naruszeń praw w obszarach właściwych dla UODO i RPD.
- Edukacja i świadomość: strony chcą podnosić świadomość prawną mieszkańców w zakresie praw człowieka, prywatności oraz ochrony danych osobowych.
- Wsparcie dla dzieci i młodzieży: planowane jest stworzenie bezpiecznej i przyjaznej przestrzeni, w której dzieci i młodzież (samodzielnie lub z udziałem rodziców/opiekunów) będą mogły zgłaszać naruszenia swoich praw i uzyskiwać informacje oraz pomoc.
- Pomoc w sytuacjach kryzysowych: w punkcie ma być dostępne wsparcie oraz możliwość konsultacji z psychologiem lub pedagogiem, m.in. w sprawach trudności emocjonalnych, relacji rówieśniczych, sytuacji rodzinnej i innych problemów wpływających na dobrostan dziecka.
- Zapobieganie negatywnym skutkom naruszeń: współpraca ma służyć ograniczaniu skutków zdarzeń dotyczących praw i wolności jednostki, w tym prawa do prywatności i ochrony danych.
- Nowy Terenowy Punkt Konsultacyjny w Gdyni: instytucje będą współprowadzić punkt przy ul. Starowiejskiej 25, w pomieszczeniu należącym do Gminy, w ramach projektu „Gdynia – Miasto Otwarte”.
- Jak będzie działał punkt: ma być otwarty raz w miesiącu, zgodnie z publikowanym harmonogramem; mieszkańcy będą mogli uzyskać informacje, skorzystać ze wsparcia ekspertów oraz złożyć skargę.
- Skala inicjatywy: będzie to trzeci Terenowy Punkt Konsultacyjny, w którym porad udzielają pracownicy UODO; podobne punkty działają już cyklicznie w Rzeszowie i Katowicach.
Czy AI potrafi zapomnieć? Prawo autorskie i RODO w czasach sztucznej inteligencji
- Kontekst i temat: Artykuł dotyczy rosnących wątpliwości prawnych wokół generatywnej AI: czy jej „inteligencja” to w pewnym sensie iluzja, czym jest „memoryzacja” (odtwarzanie danych z treningu) oraz jak w praktyce chronić prawo autorskie i dane osobowe w czasie bardzo szybkiego rozwoju technologii.
- Wydarzenie: Opisano trzeci wykład z Cyklu Otwartych Wykładów Eksperckich organizowanych przez Urząd Ochrony Danych Osobowych (UODO) pod tytułem „Sztuczna inteligencja a prawo”.
- Miejsce i data: Spotkanie odbyło się 11 września w siedzibie UODO w Warszawie.
- Organizator i otwarcie: Wydarzenie otworzył Mirosław Wróblewski, Prezes UODO.
- Główny wykład: Centralnym punktem był wykład dr. Damiana Flisaka (radca prawny, Lubasz i Wspólnicy) pt. „Modele generatywne a europejskie ramy prawne: między AI Act, RODO i prawem autorskim”.
- Panel dyskusyjny: Po wykładzie odbyła się dyskusja o tym, jak modele generatywne mogą wykorzystywać (lub odtwarzać) twórczość ludzi i jakie to rodzi konsekwencje dla prawa autorskiego oraz ochrony danych osobowych. Uczestnikami panelu byli:
- r. pr. Agata Szeliga (Sołtysiński Kawecki & Szlęzak),
- dr Zbigniew Okoń (Lubasz i Wspólnicy),
- dr Michał Araszkiewicz (Uniwersytet Jagielloński).
- Ważny fakt z raportu UODO: Prezes UODO przypomniał wnioski z „Raportu Strategicznego” dotyczącego AI i ochrony danych: 95,9% badanych podmiotów nie czuło się odpowiednio przygotowanych do wdrożenia AI zgodnie z RODO. Ma to pokazywać, dlaczego potrzebne są takie wykłady i debaty.
- Kluczowa teza wykładu – „iluzje” wokół AI: Dr Flisak opisał wyzwania prawne przez pryzmat kilku „iluzji”, czyli uproszczeń i błędnych wyobrażeń, które utrudniają sensowną regulację i ocenę ryzyk.
- Iluzja 1: AI „naśladuje rzeczywistość” aż do zmylenia odbiorcy: Rozwój deepfake’ów i treści syntetycznych sprawia, że coraz trudniej odróżniać materiały prawdziwe od wygenerowanych, co wzmacnia sceptycyzm społeczny i rodzi pytania o realne korzyści oraz motywacje biznesowe dużych firm technologicznych.
- Iluzja 2: „uczenie się” człowieka jest tym samym co trenowanie modelu: W praktyce to inne procesy — człowiek nie tylko przyswaja, ale i zapomina, natomiast w przypadku modeli „oduczenie” konkretnych informacji jest trudnym problemem technologicznym. Dodatkowo mylące mogą być antropomorfizujące terminy („uczenie”, „pamięć”, „rozumowanie”, „sieci neuronowe”).
- Prawo autorskie i TDM (text and data mining): Omówiono wyjątek pozwalający wykorzystywać utwory do eksploracji tekstów i danych na potrzeby trenowania modeli. Przy zastosowaniach komercyjnych twórca/uprawniony może teoretycznie zastrzec brak zgody (opt-out), ale brakuje jasnych i skutecznych zasad, jak to robić, co powoduje niepewność prawną.
- Iluzja 3: przejrzystość trenowania modeli: AI Act przewiduje obowiązki informacyjne o danych użytych do trenowania dużych modeli ogólnego przeznaczenia, ale ujawniane informacje mogą być zbyt ogólne, by twórcy mogli realnie sprawdzić, czy użyto ich utworów.
- Memoryzacja – szczególnie istotny problem: Zwrócono uwagę na zjawisko, w którym model może wygenerować treści odtwarzające dane treningowe, czasem obejmujące chronione utwory lub ich fragmenty. To rodzi trudne pytania o naruszenia praw autorskich i o ochronę danych (jeśli w danych treningowych były informacje osobowe).
- Wnioski ogólne: Prawo próbuje nadążać za technologią, która szybko się zmienia. Niepewność co do kwalifikacji prawnej zjawisk związanych z AI została przedstawiona jako naturalny etap szukania regulacji adekwatnych do nowej rzeczywistości.
- Akcenty z dyskusji panelowej:
- Agata Szeliga omawiała AI Act z perspektywy przedsiębiorców oraz podejście do danych szczególnej kategorii.
- Dr Zbigniew Okoń odnosił się do tego, jak prawo autorskie radzi sobie dziś, oraz zwrócił uwagę na art. 53 ust. 1 AI Act.
- Dr Michał Araszkiewicz podkreślał wagę języka i nomenklatury prawa w opisie zjawisk związanych z AI.
- Zakończenie wydarzenia: Spotkanie zwieńczyła seria pytań od licznie zgromadzonej publiczności, co pokazuje duże zainteresowanie tematem i praktyczną potrzebę wyjaśnień.
Zasady ochrony danych to nie obciążenie, ale szansa
- Kontekst: 16 września w Pałacu Prezydenckim odbyła się konferencja „Technologie przełomowe. 12 miesięcy później. Czas na kolejny krok.”. W pierwszym panelu (dotyczącym tego, gdzie może powstawać przewaga Polski w obszarze technologii przełomowych) na zaproszenie Kancelarii Prezydenta RP wystąpił m.in. prezes Urzędu Ochrony Danych Osobowych (UODO) Mirosław Wróblewski.
- Główne pytanie debaty: prowadzący dr Ireneusz Wochlik zwrócił uwagę, że część polskich innowatorów zakłada firmy w USA i zapytał, czy przyczyną jest obawa przed regulacjami dotyczącymi nowych technologii w Polsce i UE (oraz czy przepisy są realnym „blokerem” rozwoju).
- Odpowiedź UODO: o miejscu prowadzenia biznesu decyduje wiele czynników – nie tylko regulacje, ale m.in. dostęp do kapitału, wielkość rynku, możliwość skalowania, dostęp do talentów i całe otoczenie gospodarcze. W ocenie prezesa UODO nie da się uprościć problemu do tezy, że to RODO „wypycha” innowatorów do USA.
- Wyzwania po stronie Europy: potencjał innowacyjny ograniczają m.in. rozproszone inicjatywy regulacyjne, brak spójnej koordynacji stosowania przepisów oraz trudności w skalowaniu rozwiązań na poziomie całej Unii Europejskiej.
- Kiedy regulacje stają się barierą: prezes UODO przyznał, że nadmiar regulacji bywa przeszkodą, ale głównie wtedy, gdy firmy nie mają pewności, jak przepisy będą interpretowane i egzekwowane (nie zaś dlatego, że chronią prawa człowieka).
- RODO jako podejście „oparte na ryzyku”: według prezesa UODO RODO nie zabrania rozwoju technologii i jest technologicznie neutralne. Wymaga natomiast, by przed wdrożeniem nowego rozwiązania organizacja odpowiedziała m.in. na pytania:
- jakie dane chce przetwarzać i czy są one naprawdę potrzebne,
- jakie ryzyka dla osób to tworzy,
- jak ryzyka zostaną ograniczone,
- czy zabezpieczenia odpowiadają aktualnemu stanowi wiedzy technicznej.
- AI i ochrona danych mogą iść w parze: rozwój sztucznej inteligencji nie stoi w sprzeczności z ochroną danych, jeśli zasady ochrony są uwzględniane już na etapie projektowania (privacy by design). Prezes UODO wskazał też, że RODO stanowi fundament ochrony danych również wobec technologii przełomowych, w tym kwantowych.
- Przykład technologii kwantowych: mogą one zwiększać ryzyko „łamania” obecnych zabezpieczeń (szczególnie szyfrowania). RODO nie nakazuje natychmiast wymieniać infrastruktury ani nie wskazuje konkretnego algorytmu, ale zobowiązuje administratorów do reagowania na postęp technologiczny i zmiany w kryptografii.
- Regulacje nie tylko ograniczają – mogą wzmacniać konkurencyjność: ochrona danych i bezpieczeństwo informacji nie muszą być wyłącznie kosztem; mogą być elementem produktu/usługi, podnosząc jakość i budując przewagę rynkową.
- Zaufanie jako warunek skalowania innowacji: w gospodarce opartej na danych liczy się nie tylko to, że usługa działa, ale też że jest bezpieczna. Bez zaufania użytkowników trudno skalować rozwiązania, szczególnie w obszarach takich jak zdrowie, finanse, administracja czy zaawansowane technologie.
- Wniosek praktyczny: bezpieczeństwo i privacy by design warto traktować nie tylko jako wymóg regulatora, ale jako oznakę dojrzałości produktu i element budowania zaufania do innowacji.
- Uczestnicy panelu i otwarcie konferencji: wystąpienia otwierające wygłosili Paweł Szefernaker, Adam Andruszkiewicz oraz Magdalena Hajduk. W panelu, obok prezesa UODO, uczestniczyli m.in. Eliza Kruczkowska (European Innovation Council), przedstawiciele Think Tank The Company – TBC, prof. Marcin Pawłowski, Joanna Szczegielniak, dr inż. Jerzy Ramert-Greblicki, Paweł Wiszniewski (BBN) oraz Marlena Plebańska.
Rzecznik generalny TSUE uznał, że „partnerzy” nie wystarczą do zgody marketingowej
- Kontekst: Opinia rzecznika generalnego TSUE z 17 września 2026 r. może wyznaczyć granice tego, czy kolejni administratorzy danych (np. firmy prowadzące marketing) mogą korzystać ze zgód zebranych wcześniej przez pierwotnego partnera handlowego. Z opinii wynika, że w marketingu elektronicznym ogólne wskazanie „partnerów” zwykle nie wystarcza, aby nowy podmiot mógł legalnie rozpocząć kampanię.
- Główna teza: Zgoda na marketing elektroniczny musi być „świadoma”, a to co do zasady wymaga, by osoba znała tożsamość administratora (firmy), która będzie wysyłać komunikację marketingową.
- „Partnerzy” to za mało: Zgoda udzielona na wykorzystanie danych przez „partnerów” dostawcy (bez wskazania, kim są ci partnerzy) nie daje każdemu podmiotowi z tej nieokreślonej kategorii prawa do rozpoczęcia marketingu bezpośredniego drogą elektroniczną.
- Informacja warunkiem świadomej zgody: Żeby zgoda była ważna, osoba musi wcześniej dostać informacje pozwalające jej podjąć decyzję w sposób samodzielny i przy pełnej znajomości faktów. Kluczowym elementem jest informacja o tym, kto będzie administratorem danych w celach marketingowych.
- Link „wypisz się” nie naprawia braku zgody: Możliwość rezygnacji po otrzymaniu pierwszej wiadomości (unsubscribe) jest ważna dla wykonywania praw, ale nie legalizuje wstecz rozpoczęcia marketingu bez uprzedniej, świadomej zgody obejmującej tożsamość administratora.
- Nie można przerzucać obowiązku informacyjnego na odbiorcę: Prawo dostępu (wniosek o informacje składany przez osobę) nie zastępuje obowiązku aktywnego poinformowania z art. 13 i 14 RODO. Jeśli informacji było za mało, zgoda ma ograniczony zakres i może nie wystarczyć do marketingowego wykorzystania danych.
- Dlaczego kategoria „partner” jest problemem: To pojęcie jest nieprecyzyjne i nie pozwala zrozumieć, jakie podmioty mogą się kontaktować ani jakich towarów/usług mogą dotyczyć oferty. Relacja abonenta z dostawcą internetu nie pozwala przewidzieć kręgu firm, które skorzystają z danych.
- Co było przedmiotem sprawy: W 2021 r. Groupe Canal+ wysłała kampanie marketingu bezpośredniego do ok. 3,9 mln osób na podstawie danych od dwóch dostawców internetu. Zgody były zbierane na „marketing przez partnerów” dostawców, ale partnerzy nie byli wskazani ani w formularzu, ani przez link/listę. Francuski organ ochrony danych nałożył karę 600 000 euro. Sprawa trafiła do francuskiej Rady Stanu, która zadała pytania prejudycjalne do TSUE.
- Rozróżnienie etapów przetwarzania:
- Przy pierwotnym zbieraniu danych (np. przez dostawcę internetu) stosuje się art. 13 RODO i można wskazywać kategorie odbiorców.
- Gdy nowy podmiot pozyskuje dane pośrednio i chce prowadzić własny marketing, stosuje się art. 14 RODO i musi przekazać informacje w rozsądnym terminie, a najpóźniej przy pierwszym kontakcie.
- Wniosek praktyczny dla marketingu: Firma chcąca korzystać z danych zebranych przez inny podmiot powinna sprawdzić nie tylko treść zgody, ale też czy osoba znała jej tożsamość w momencie wyrażania zgody lub została o niej odpowiednio poinformowana przed startem kampanii. Jeśli nie — konieczna może być nowa zgoda.
- Możliwe rozwiązania wskazane w tekście: wyraźne wskazanie odbiorców danych przy zbieraniu danych, udostępnienie aktualnej i wyczerpującej listy odbiorców lub uzyskanie przez nowego administratora nowej zgody przed rozpoczęciem marketingu.
- Ważne zastrzeżenie: To nadal opinia rzecznika generalnego, a nie wyrok TSUE. Ostateczną wykładnię przedstawi dopiero Trybunał.
Administratorem danych osobowych jest Lex Artist sp. z o.o., ul. Szańcowa 74/1, 01-458 Warszawa. Dane osobowe będą przetwarzane w celu umieszczenia i obsługi komentarza na blogu. Przysługują Panu/Pani następujące prawa: prawo dostępu do treści danych, prawo do sprostowania danych, prawo do usunięcia danych, prawo do ograniczenia przetwarzania danych, prawo do wniesienia sprzeciwu, prawo do wniesienia skargi do organu nadzorczego. Pełna treść klauzuli informacyjnej znajduje się tutaj.
Zanonimizowany ciąg znaków stworzony na podstawie Pani/Pana adresu email (tak zwany hash) może zostać przesłany do usługi Gravatar w celu sprawdzenia czy jej Pan/Pani używa. Polityka prywatności usługi Gravatar jest dostępna tutaj. Po zatwierdzeniu komentarza obrazek profilowy jest widoczny publicznie w kontekście twojego komentarza.