RODO aktualności – 24.12.2024 r.

• Kontekst sprawy: Instruktor ZHP pozostawił plecak z laptopem należącym do Chorągwi Stołecznej ZHP w metrze, co doprowadziło do naruszenia ochrony danych osobowych przetwarzanych na urządzeniu.
• Zawartość danych: Na laptopie znajdowały się m.in. imiona, nazwiska, PESEL, dane dotyczące zdrowia, adresy, numery telefonów, szczegóły majątkowe i inne wrażliwe informacje.
• Decyzja prezesa UODO: Nałożono na Chorągiew Stołeczną ZHP karę administracyjną w wysokości 24 555 zł za niewystarczające zabezpieczenie danych osobowych.
• Zarzuty UODO: Chorągiew nie wdrożyła odpowiednich środków technicznych i organizacyjnych (np. szyfrowania dysków), mimo że analiza ryzyka powinna obejmować takie ryzyka jak zagubienie urządzeń przenośnych.
• Postępowanie Chorągwi: Incydent został zgłoszony do policji oraz UODO. Policja nie podjęła działań ze względu na brak kradzieży, a jedynie zagubienie plecaka.
• Braki w procedurach: Dopiero po utracie laptopa uwzględniono w analizie ryzyka kwestie przewożenia danych na nośnikach poza budynkami administratora oraz konieczność szyfrowania danych.
• Wnioski prezesa UODO: Wskazano, że administrator musi nie tylko wdrożyć środki ochrony, ale także regularnie testować, mierzyć i oceniać ich skuteczność. Dotychczasowe zabezpieczenia uznano za niewystarczające.
• Obowiązki do realizacji: Chorągiew Stołeczna ZHP zobowiązana została do wdrożenia odpowiednich środków ochrony danych w ciągu trzech miesięcy od wydania decyzji.

Źródło: https://www.prawo.pl/samorzad/kara-uodo-za-zagubienie-plecaka-z-danymi-osobowymi,530318.html

• Kontekst: Sztuczna inteligencja (AI) coraz częściej wspiera procesy rekrutacyjne, oferując rozwiązania, które personalizują oferty pracy i automatyzują przygotowywanie dokumentów aplikacyjnych.
• Badanie: W marcu 2024 roku portal Pracuj.pl przeprowadził badanie „Wpływ technologii na pracę i rekrutację” na próbie 2059 Polaków w wieku 18-65, analizując stosunek użytkowników do narzędzi rekrutacyjnych opartych na AI.
• Główne wyniki:
  • 61% respondentów pozytywnie ocenia automatyczne rekomendacje ofert pracy dostosowane do ich doświadczenia zawodowego.
  • Kobiety są bardziej entuzjastycznie nastawione do tych funkcji (67%) w porównaniu do mężczyzn (55%).
  • Funkcja automatycznego dopasowywania ofert na podstawie kryteriów takich jak wynagrodzenie czy lokalizacja również zdobyła 61% pozytywnych opinii.
  • 57% badanych doceniło automatyczne uzupełnianie CV na podstawie informacji użytkownika dostępnych na portalu, co oszczędza czas i zwiększa efektywność.
  • Kwestia automatycznego uzupełniania CV na bazie danych z dostępnych informacji w sieci budziła większe wątpliwości – tylko 37% badanych oceniło tę funkcję pozytywnie, a 28% wyraziło się zdecydowanie negatywnie.
• Znaczenie personalizacji: Dzięki AI pracodawcy i kandydaci mogą lepiej dopasowywać się do swoich potrzeb, co oszczędza czas i zwiększa efektywność rekrutacji.
• Uwagi eksperckie: Filip Łabędzki, Product Designer w Pracuj.pl, zaznacza, że personalizacja ofert pracy pomaga kandydatom w świadomym zarządzaniu karierą i odpowiada nie tylko ich kwalifikacjom, ale również aspiracjom zawodowym.
• Kluczowe kwestie: Mimo zalet technologii opartych na AI, istnieją obawy dotyczące ochrony prywatności i kontroli nad własnymi danymi, które mogą wpływać na poziom akceptacji tych rozwiązań.

Źródło: https://www.prawo.pl/kadry/ai-rekrutacji-badanie-pracujpl,530322.html

• Kontekst: Artykuł prezentuje wyniki raportu „Cyberportret polskiego biznesu” opracowanego przez ESET i DAGMA Bezpieczeństwo IT, dotyczącego poziomu zabezpieczeń w polskich firmach oraz eskalacji zagrożeń cybernetycznych.
• Kluczowe dane:
  • Tylko 59% firm w Polsce korzysta z oprogramowania antywirusowego, a 41% wciąż go nie stosuje.
  • Aż 52% pracowników nie przeszło żadnego szkolenia z zakresu cyberbezpieczeństwa w ciągu ostatnich 5 lat.
  • Jedynie 32% firm przeprowadza regularne testy bezpieczeństwa teleinformatycznego.
  • W ciągu ostatnich 5 lat cyberataków doświadczyło aż 88% badanych firm.
• Główne problemy:
  • Firmy zaniedbują podstawowe środki ochrony, takie jak oprogramowanie antywirusowe i testy penetracyjne.
  • Niska świadomość w zakresie cyberzagrożeń, szczególnie wśród średnich firm (250-500 pracowników).
  • Brak regularnych szkoleń pracowników, co przekłada się na nierozpoznawanie zagrożeń i większą podatność na ataki.
• Eskalacja zagrożeń:
  • 20% pracowników przyznaje, że padło ofiarą cyberataku w pracy.
  • 39% firm zauważyło wzrost liczby cyberataków w ostatnim roku, a 50% potwierdza zwiększoną różnorodność zagrożeń.
  • Specjaliści ds. cyberbezpieczeństwa wskazują, że skala zagrożeń oraz aktywność cyberprzestępców stale rośnie.
• Konsekwencje cyberataków:
  • Straty finansowe – wskazywane jako największe zagrożenie przez 33% specjalistów ds. cyberbezpieczeństwa.
  • Pogorszenie reputacji firmy – problem dla 22% badanych.
  • Spadek zaufania klientów biznesowych i detalicznych – wskazało na to po 23% respondentów.
  • 1/3 specjalistów doświadczyła w firmach strat finansowych lub reputacyjnych spowodowanych atakiem cybernetycznym.
• Rekomendacje ekspertów:
  • Regularne testy penetracyjne, które pomogą identyfikować luki w systemach zanim zrobią to cyberprzestępcy.
  • Edukacja pracowników w zakresie mechanizmów cyberataków i zasad bezpieczeństwa cyfrowego.
  • Implementacja odpowiedniego oprogramowania ochronnego oraz budowanie świadomości w firmach każdej wielkości.

Źródło: https://www.eset.com/pl/about/newsroom/press-releases/research/polskie-firmy-powaznie-zaniedbuja-kwestie-cyberbezpieczenstwa-az-41-nie-uzywa-oprogramowania-antywirusowego-raport/

• Kontekst sprawy: Pierwszy prezes Sądu Najwyższego, Małgorzata Manowska, zwróciła się do Prezesa UODO o wyjaśnienie, w jaki sposób należy realizować przepisy ustawy o dostępie do informacji publicznej, uwzględniając jednocześnie prawo do prywatności.
• Problem: Sprawa dotyczy publikacji w Biuletynie Informacji Publicznej (BIP) danych osobowych sędziów sądów powszechnych i wojskowych, które są zawarte w orzeczeniach Sądu Najwyższego oraz ich uzasadnieniach. Wątpliwości dotyczą konieczności ich anonimizacji.
• Stanowisko PUODO:
  • Występuje zbieg dwóch konstytucyjnych praw: prawa do informacji publicznej i prawa do prywatności.
  • Żadne z tych praw nie ma charakteru absolutnego – możliwe są ich ograniczenia, zwłaszcza gdy dochodzi do ich zbiegu.
  • Dane osobowe sędziów można publikować, jeśli informacje te mają związek z pełnieniem przez nich funkcji publicznej. Ocena tego zależy od decyzji Sądu Najwyższego.
• Podstawa prawna:
  • Publikowanie orzeczeń SN i ich uzasadnień jest uregulowane art. 8 ustawy o Sądzie Najwyższym, co stanowi przesłankę legalizującą takie przetwarzanie danych zgodnie z art. 6 i art. 9 RODO.
  • Prawo do prywatności wynika z Konstytucji (art. 47 i 51) oraz unijnych przepisów, takich jak RODO i Karta Praw Podstawowych UE.
  • Prawo dostępu do informacji publicznej zostało określone w art. 61 Konstytucji i uszczegółowione w ustawie o dostępie do informacji publicznej.
• Równowaga praw: Art. 5 ust. 2 ustawy o dostępie do informacji publicznej ogranicza dostęp do informacji ze względu na prywatność, ale prywatność osób pełniących funkcje publiczne nie obejmuje informacji związanych z wykonywaniem tej funkcji.
• Praktyczne wskazówki:
  • Publikacja danych osobowych sędziów w BIP powinna uwzględniać przepisy RODO i zapewniać ich zgodność z normami prawnymi.
  • Decyzja o tym, czy dana informacja związana jest z pełnieniem funkcji publicznej, pozostaje w gestii administratora danych, czyli Sądu Najwyższego.

Źródło: https://uodo.gov.pl/pl/138/3442

• Kontekst sprawy: Niemiecki sąd zadał pytania prejudycjalne dotyczące nadmierności wniosków o informacje kierowanych do administratorów danych w świetle RODO.
• Opis przypadku: Obywatel Niemiec złożył wniosek o kopię danych za pomocą faksu, po czym powstał spór, czy żądanie było nadużyciem prawa w rozumieniu art. 12 ust. 5 RODO.
• Punktem sporu jest podejrzenie, że obywatel wykorzystuje wnioski o udzielenie informacji w celach zarobkowych, a nie rzeczywistej ochrony danych osobowych.
• Administrator danych odmówił udzielenia informacji, uznając wniosek za nadmierny i nadużywający prawa, co zostało zakwestionowane przez wnioskodawcę.
• Wnioskodawca dochodzi dodatkowo odszkodowania w wysokości 1.000 EUR na podstawie art. 82 RODO, co również pozostaje przedmiotem sporu.
• Sąd zwrócił uwagę, że nie można automatycznie odrzucić wniosku o informacje tylko dlatego, że wnioskodawca planuje dochodzić odszkodowania wobec administratora danych.
• Pytania prejudycjalne dotyczą m.in.:
  • Możliwości uznania pierwszego wniosku o informacje za nadmierny.
  • Odrzucania wniosku o informacje w kontekście potencjalnych roszczeń odszkodowawczych.
  • Znaczenia publicznych informacji o wcześniejszych działaniach wnioskodawcy w kontekście domniemanych nadużyć prawa.
  • Zakresu przetwarzania danych osobowych w rozumieniu art. 4 pkt 2 RODO.
  • Relacji między roszczeniami odszkodowawczymi a rzeczywistym przetwarzaniem danych osobowych w świetle art. 82 RODO.
  • Określenia granic szkody niematerialnej wynikającej z utraty kontroli nad danymi osobowymi.
• Sąd uważa za kluczowe zachowanie prawa osób, których dane dotyczą, do uzyskiwania informacji, nawet jeśli wcześniej dochodziły one podobnych roszczeń.
• Podkreślono konieczność rozliczalności administratorów oraz ochrony przetwarzania danych osobowych w zgodzie z założeniami RODO.

Źródło: https://judykatura.pl/tsue-zajmie-sie-stwierdzeniem-czy-pierwszy-wniosek-o-kopie-danych-moze-byc-nadmierny/

• Kontekst sprawy: Skarżący, prowadzący spółkę cywilną, złożyli skargę do Prezesa UODO, wskazując, że nieprawdziwe informacje o ich rzekomych wierzytelnościach są dostępne na stronie internetowej. Wskazano też, kto – zdaniem Skarżących – jest administratorem tych danych.
• Decyzja Prezesa UODO:
  • Postępowanie zostało umorzone z dwóch powodów:
  • Administrator wskazany przez Skarżących oświadczył, że obecnie nie przetwarza ich danych ani informacji o rzekomym długu.
  • Polityka prywatności oraz regulamin strony wskazywały, że administratorem danych nie jest wskazany podmiot, lecz H. Sp. z o.o., a ta z kolei nie jest administratorem danych dłużników, lecz jedynie podmiotem przetwarzającym dane na rzecz wierzycieli.
• Zastrzeżenia WSA w Warszawie:
  • Sąd stwierdził, że decyzja Prezesa UODO była przedwczesna, ponieważ nie wyjaśniono wszystkich kluczowych okoliczności sprawy.
  • Zwrócono uwagę, że wątpliwości dotyczące właściciela strony internetowej na wskazany dzień (grudzień 2021 r.) nie zostały rozwiane przez regulamin oraz politykę prywatności.
  • Podkreślono, że strona internetowa była opatrzona firmą przedsiębiorcy „H.”, co sugeruje powiązanie, które wymaga dalszego wyjaśnienia.
  • Sąd skrytykował też brak ponownego wezwania na właściwy adres w toku postępowania.
• Kluczowe wnioski:
  • Prezes UODO powinien dokładniej zbadać ustalenia faktyczne dotyczące właściciela strony oraz przetwarzania danych osobowych.
  • Sąd wskazał na braki w sposób prowadzenia postępowania i konieczność uwzględnienia dodatkowych dowodów.

Źródło: https://judykatura.pl/wsa-organ-nadzorczy-ma-obowiazek-zbadania-tozsamosci-administratora/

• Kontekst: Sprawa dotyczy interpretacji kontaktu banku z klientem w celu przeprowadzenia badania satysfakcji oraz zastosowania przepisów RODO i przepisów o ochronie danych osobowych.
• Tło sprawy:
  • Bank skontaktował się z klientem w 2019 r. w sprawie badania satysfakcji, mimo że klient wycofał zgody marketingowe.
  • Klient otrzymał za pośrednictwem aplikacji mobilnej komunikaty marketingowe, mimo wniesionego sprzeciwu wobec przetwarzania danych osobowych w takich celach.
• Decyzja Prezesa UODO:
  • Bankowi udzielono upomnienia za naruszenie przepisów RODO, tj. przetwarzanie danych klienta do celów marketingowych bez podstawy prawnej.
  • Badanie satysfakcji klienta zostało uznane za formę marketingu bezpośredniego.
  • Prezes UODO stwierdził brak zgód marketingowych klienta na kontakt przy użyciu urządzeń telekomunikacyjnych i środków komunikacji elektronicznej.
• Stanowisko WSA w Warszawie:
  • WSA podtrzymał stanowisko Prezesa UODO, że badanie poziomu satysfakcji klienta to działanie marketingowe, a nie „element wykonania umowy”.
  • Zaznaczono, że uznanie działania Banku jako marketingowego oparto na stosownych analizach naukowych.
  • Podkreślono, że cechę bezprawności przypisano wykorzystaniu danych klienta do inicjacji rozmowy, niezależnie od jej późniejszych rezultatów.
• Wnioski:
  • Badanie satysfakcji klienta jest uznawane za działalność marketingową, która wymaga odpowiednich zgód.
  • Wycofanie zgód marketingowych oznacza brak możliwości kontaktu z klientem w celach marketingowych – w tym w ramach badania satysfakcji.
  • Bank powinien dokładniej weryfikować podstawy prawne przetwarzania danych osobowych klientów.

Źródło: https://judykatura.pl/wsa-organ-nadzorczy-prawidlowo-upomnial-bank-za-marketing/

• Kontekst tematu: Prezes Urzędu Ochrony Danych Osobowych (UODO) co roku przedstawia sprawozdanie z działalności, które obejmuje decyzje podejmowane w związku ze skargami obywateli dotyczącymi naruszeń przepisów RODO. W 2023 roku raport przygotował obecny prezes Mirosław Wróblewski, dotyczy on jednak okresu, w którym funkcję pełnił Jan Nowak.
• Liczba decyzji: W 2023 roku prezes UODO wydał 1870 decyzji administracyjnych, z czego 1796 dotyczyło skarg obywateli.
• Środki naprawcze: W 965 przypadkach zastosowano środki naprawcze na podstawie art. 58 RODO:
  • 630 upomnień za naruszenia przepisów RODO,
  • 335 nakazów wymagających podjęcia określonych działań.
  • Liczba ta była zbliżona do wyników z 2022 roku (974 zastosowane środki naprawcze).
• Liczba skarg: W 2023 roku do UODO wpłynęło 6962 skarg, w tym:
  • 2659 na podmioty sektora prywatnego,
  • 1519 na podmioty sektora finansowego, ubezpieczeń i telekomunikacji,
  • 1454 na podmioty sektora zdrowia, zatrudnienia i szkolnictwa.
• Problemy formalne ze skargami: Częstym problemem przy wnoszeniu skarg było ich nieprecyzyjne sformułowanie, brak wskazania podmiotu, którego dotyczyły, lub niewskazanie żądania wobec UODO. W takich przypadkach organ wzywał do uzupełnienia braków formalnych.
• Procedura rozpatrywania skarg: Jeśli skarga spełnia warunki formalne, organ wzywał podmiot, którego dotyczyła skarga, do złożenia wyjaśnień oraz dowodów i wszczynał postępowanie administracyjne. O postępach skarżący byli informowani na bieżąco.
• Cel sprawozdania: Sprawozdanie jest przedstawiane Sejmowi, Radzie Ministrów, rzecznikowi praw obywatelskich, rzecznikowi praw dziecka oraz prokuratorowi generalnemu. Dodatkowo trafia do opinii publicznej, Komisji Europejskiej oraz Europejskiej Rady Ochrony Danych.

Źródło: https://www.prawo.pl/biznes/sprawozdanie-prezesa-uodo-za-2023-r-w-sejmie,530351.html

• Kontekst: Biometria behawioralna jako odpowiedź na rosnące zagrożenia cyberprzestępczością:
  • W świecie cyfrowym problem oszustw finansowych rośnie – dotyka zarówno klientów, jak i instytucje finansowe.
  • Skala strat finansowych jest dramatyczna, a użytkownik często okazuje się „słabym ogniwem” systemu z powodu niskiej świadomości zagrożeń.
• Na czym polega biometria behawioralna:
  • To technologia identyfikująca użytkownika na podstawie jego unikalnych wzorców zachowań (np. sposób pisania, korzystania z myszki czy smartfona).
  • Różni się od tradycyjnych metod uwierzytelniania (np. hasła), ponieważ analizuje zachowanie użytkownika i pozwala wykryć nieautoryzowany dostęp nawet przy użyciu poprawnych danych logowania.
• Korzyści z biometrii behawioralnej:
  • Zmniejszenie ryzyka oszustw finansowych – użytkownicy tej technologii są kilkukrotnie mniej narażeni na wyłudzenia.
  • Wsparcie nie tylko sektora bankowego – potencjał do wykorzystania w e-administracji, logowaniu do e-usług czy profilach zaufanych.
  • Ułatwienie użytkownikom korzystania z usług przy jednoczesnym zwiększeniu bezpieczeństwa.
• Wyzwania związane z biometrią behawioralną:
  • Kwestie prywatności – zgodnie z RODO, dane behawioralne mogą być uznawane za szczególną kategorię danych osobowych, wymagając zgodnej na ich przetwarzanie.
  • Oznacza to konieczność uzyskania wyraźnej zgody użytkownika na ich przetwarzanie. Ten wymóg, choć istotny z punktu widzenia prywatności, ogranicza potencjalną powszechność tej technologii.
  • Dylemat: jak połączyć ochronę prywatności z zapewnieniem wyższego poziomu bezpieczeństwa w instytucjach finansowych.
• Znaczenie edukacji i współpracy:
  • Potrzeba zwiększenia świadomości społecznej na temat potencjału technologii i zasadności jej wdrażania.
  • Współpraca między instytucjami finansowymi, publicznymi, klientami i regulatorami jest kluczowa dla skutecznego wdrożenia biometrii behawioralnej.
• Wnioski:
  • Biometria behawioralna to innowacja, która może zmienić podejście do bezpieczeństwa w erze cyfrowej.
  • Chroni konsumentów przed stratami finansowymi, wspiera walkę z cyberprzestępczością oraz zwiększa wygodę korzystania z usług.
  • Zanim technologia zyska powszechność, konieczne jest zrozumienie jej zalet oraz wypracowanie kompromisowych rozwiązań legislacyjnych.
  • Być może należy przemyśleć mniej „groźną” nazwę biometrii, by ułatwić jej odbiór przez konsumentów.

Źródło: https://prawo.gazetaprawna.pl/artykuly/9684991,biometria-behawioralna-naruszenie-prywatnosci-czy-przyszlosc-bezpiecz.html

• Kontekst: Europejska Rada Ochrony Danych (EROD) podczas 99. sesji plenarnej w dniach 2-3 grudnia 2024 roku przyjęła stanowisko w sprawie raportu Komisji Europejskiej dotyczącego stosowania RODO.
• EROD pozytywnie ocenia raporty Komisji Europejskiej oraz Agencji Praw Podstawowych dotyczące ochrony danych osobowych w UE.
• Podkreślono znaczenie zapewnienia pewności prawnej oraz spójności między RODO i nowymi przepisami cyfrowymi (m.in. Aktem o sztucznej inteligencji, europejską strategią w zakresie danych i pakietem usług cyfrowych).
• EROD zobowiązała się do wyjaśniania wzajemnego powiązania RODO z innymi kluczowymi aktami prawnymi UE.
• Zapowiedziano intensyfikację działań w zakresie tworzenia materiałów edukacyjnych, skierowanych przede wszystkim do:
  • osób niebędących ekspertami,
  • małych i średnich przedsiębiorstw (MŚP),
  • innych grup odbiorców.
• Podkreślono potrzebę większego wsparcia finansowego i kadrowego dla EROD oraz krajowych organów ochrony danych – pozwoli to sprostać rosnącym wyzwaniom oraz rozszerzającym się kompetencjom.

Źródło: https://uodo.gov.pl/pl/138/3461