Czarna lista pasażerów LOT a ochrona danych osobowych » TSUE: zajęcie służbowych e-maili przez organ konkurencji bez zgody sądu jest dopuszczalne – ale z warunkami » SO w Warszawie: Rzecznik Finansowy zapłaci 40 tys. zł za wyciek danych do 28 tysięcy podmiotów » AI nie podpisuje pisma procesowego. Czego naprawdę dotyczy najnowsze postanowienie NSA? » EROD wzywa do ustanowienia podstawy prawnej dla wymiany informacji między organami regulacyjnymi » Garante: 158 tys. euro kary dla Character.AI za brak ochrony małoletnich » UODO i UKE wzmacniają współpracę w obszarze ochrony danych w usługach cyfrowych » Nie ma skutecznej ochrony danych osobowych bez dbania o cyberbezpieczeństwo » UODO w projekcie wizyt studyjnych w ramach Instrumentu Wsparcia Technicznego Komisji Europejskiej
⬇️ Pobierz W PDF
Praktyczny poradnik o wdrażaniu RODO
Książka RODOLOGIA to kompleksowy przewodnik po RODO, który pomaga wdrożyć ochronę danych osobowych w sposób prosty, szybki i skuteczny. Ponad 500 stron praktycznej wiedzy podanej w przystępnej formie i zrozumiałym języku. A wszystko to podane w pięknej, premium formie. Dowiedz się więcej o RODOLOGII: SprawdźCzarna lista pasażerów LOT a ochrona danych osobowych
- Kontekst: Polskie Linie Lotnicze LOT tworzą listę „pasażerów nieakceptowanych” (osób, którym można odmówić przewozu także w przyszłości). Rzecznik Praw Obywatelskich (RPO) pyta Urząd Ochrony Danych Osobowych (UODO), czy taka baza jest zgodna z RODO, a Urząd Lotnictwa Cywilnego (ULC) – czy odmowa przewozu na przyszłość nie wymaga jaśniejszych zasad. Problem agresywnych pasażerów trafił też na forum Rady UE.
- Co uruchomiło sprawę: punktem wyjścia były doniesienia medialne o wykazie osób, które z powodu niewłaściwego zachowania podczas lotu mogą w przyszłości nie skorzystać z usług przewoźnika.
- To nie jest praktyka unikalna: RPO wskazuje, że podobne listy lub rozwiązania stosują również inni przewoźnicy lotniczy, ale kontrowersje budzi prewencyjne wykluczanie pasażerów na podstawie wcześniejszych zdarzeń.
- Podstawa po stronie LOT-u: LOT opiera możliwość odmowy dalszego przewozu (również w przyszłości) na art. 11 własnych „Ogólnych warunków przewozu”. Regulamin przewiduje m.in. środki konieczne do powstrzymania niewłaściwego zachowania, w tym usunięcie pasażera po lądowaniu oraz odmowę przewozu.
- RPO: samo uprawnienie – co do zasady – jest, ale brakuje procedur: Rzecznik nie kwestionuje prawa przewoźnika do reagowania w wyjątkowych sytuacjach (odwołuje się do art. 199 prawa lotniczego), ale zwraca uwagę, że regulamin nie opisuje jasno, jak to uprawnienie ma być stosowane.
- Najważniejsze zastrzeżenia RPO do „odmowy na przyszłość”:
- brak określenia czasu trwania odmowy przewozu,
- brak minimalnych standardów informacji dla pasażera,
- brak wyraźnego wymogu, by decyzja była zindywidualizowana oraz zawierała powody i okres obowiązywania,
- brak jasno opisanej możliwości zakwestionowania decyzji (nawet wewnętrznie u przewoźnika).
- Ryzyko „rozszerzania” zastosowania środka: RPO wskazuje, że z relacji pasażerów wynika, iż odmowa przewozu mogła być łączona także z sytuacjami konfliktowymi (np. zdenerwowanie wobec personelu), zwłaszcza gdy pasażer uważał, że nie respektowano jego praw. Jeśli tak, mogłoby to wykraczać poza cel środka, czyli bezpieczeństwo lotu i porządek na pokładzie.
- Dane osobowe: indywidualna decyzja to nie to samo co zbiorcza baza: RPO zwraca uwagę, że przepisy dopuszczają indywidualne środki wobec konkretnej osoby, ale nie regulują wprost tworzenia zbiorczej listy. W szczególności nie są jasne:
- zakres gromadzonych danych,
- cel tworzenia bazy,
- zasady dalszego przetwarzania danych.
- Wątpliwości co do przejrzystości informacji: według RPO informacje o ochronie danych na stronie LOT-u nie mówią wprost, że dane klientów mogą być przetwarzane w celu odmowy przewozu w przyszłości lub tworzenia listy „nieakceptowanych”.
- Co RPO chce ustalić w UODO: biuro RPO poprosiło UODO o zbadanie sprawy, ewentualne zwrócenie się do LOT-u o wyjaśnienia oraz ocenę, czy praktyka może naruszać m.in. art. 6 ust. 1 RODO (podstawa legalności przetwarzania danych).
- Stanowisko ULC (bez oceny LOT-u wprost): ULC wskazał, że art. 199 prawa lotniczego mówi o przesłankach odmowy podjęcia przewozu (np. bezpieczeństwo), ale nie rozstrzyga wszystkich aspektów rozwiązań organizacyjnych stosowanych przez przewoźników wobec pasażerów naruszających porządek lub bezpieczeństwo.
- ULC: potrzeba równowagi: urząd podkreśla konieczność ważenia dwóch wartości: praw jednostki oraz zapewnienia bezpieczeństwa operacji lotniczych.
- Wątek europejski: ULC wskazuje, że rośnie problem agresywnych zachowań pasażerów w Europie i na świecie, co może uzasadniać potrzebę spójnych rozwiązań legislacyjnych. Temat był omawiany 8 czerwca na posiedzeniu Rady UE (Transport/Telekomunikacja/Energia).
- Działania miękkie: ULC przywołuje kampanię z 2025 r. „Włącz tryb pasażera z klasą”, prowadzoną wspólnie z przewoźnikami.
- Status na dziś: stanowiska UODO w tej sprawie jeszcze nie ma.
TSUE: zajęcie służbowych e-maili przez organ konkurencji bez zgody sądu jest dopuszczalne – ale z warunkami
- Kontekst: wyrok Wielkiej Izby Trybunału Sprawiedliwości UE będzie ważnym punktem odniesienia w dyskusji o tym, jak daleko mogą sięgać uprawnienia dochodzeniowe organów ochrony konkurencji (np. podczas kontroli w firmach) oraz jak mają się one do prawa do prywatności i ochrony danych osobowych.
- Czego dotyczyła sprawa (Portugalia): portugalski organ ochrony konkurencji prowadził postępowania wyjaśniające m.in. w sprawach:
- podejrzenia zmowy cenowej w usługach teleradiologii dla szpitali publicznych,
- podejrzenia porozumienia cenowego dotyczącego testów COVID-19 dla publicznych władz sanitarnych,
- podejrzenia nadużycia pozycji dominującej w obszarze przetwarzania płatności.
- Skala zajętych danych: podczas kontroli w siedzibach spółek organ zabezpieczył duże ilości plików komputerowych (m.in. 1 405, 731 oraz 10 797 plików), w tym wiadomości e-mail pracowników.
- Dlaczego sprawa trafiła do TSUE: kontrolowane spółki zakwestionowały legalność działań organu; sąd portugalski wstrzymał sprawy i zadał TSUE pytania prejudycjalne o standard ochrony korespondencji i wymóg zgody sądu.
- Wniosek 1: służbowe e-maile są chronione jak „komunikacja” (art. 7 Karty): TSUE potwierdził, że pojęcie „komunikacji” obejmuje służbowe wiadomości e-mail wysyłane przez firmowy system poczty (np. między pracownikami a kadrą kierowniczą).
- Co ważne praktycznie: ochrona nie znika tylko dlatego, że e-mail:
- dotyczy spraw firmowych,
- został lub nie został przeczytany,
- został usunięty lub pozostaje nieprzeczytany,
- jest wysłany z adresu firmowego lub na adres należący do osoby prawnej,
- ma (lub nie ma) charakter prywatny.
- Nawet zakaz prywatnego użycia poczty służbowej nie wyłącza ochrony: TSUE odwołał się do orzecznictwa ETPCz (sprawa Bărbulescu), wskazując, że wewnętrzne reguły pracodawcy zakazujące prywatnych wiadomości nie odbierają e-mailom statusu chronionej korespondencji.
- Ochrona obejmuje też dane o komunikacji (art. 8 Karty): chronione są również dane osobowe związane z ruchem/obsługą wiadomości (np. metadane), co wiąże temat także z ochroną danych osobowych.
- Wniosek 2: brak wcześniejszej zgody sądu nie zawsze czyni zajęcie nielegalnym: TSUE uznał, że co do zasady e-maile mogą zostać zajęte bez uprzedniej zgody sądu, ale tylko jeśli łącznie spełnione są trzy warunki:
- ścisłe ramy prawne regulujące uprawnienia organu,
- odpowiednie zabezpieczenia przed nadużyciami i arbitralnością,
- skuteczna kontrola sądowa następcza (ex post) tych działań.
- Co oznacza „skuteczna kontrola ex post”: osoby/firmy muszą mieć realną możliwość ochrony swoich praw, w tym kwestionowania dopuszczalności zajętych dowodów.
- Znaczenie portugalskiego modelu w tej sprawie: kontrola była prowadzona na podstawie zezwolenia Prokuratury Generalnej (uznanej za podmiot niezależny w systemie Portugalii); TSUE wskazał, że takie wcześniejsze zezwolenie może wspierać spełnienie wymogu ścisłych ram prawnych.
- Dodatkowe gwarancje proceduralne (w tle): TSUE przypomniał, że uprawnienia organów konkurencji są zwykle określone i ograniczone, a standardowo występują m.in.:
- wyłączanie z postępowania dokumentów niemających charakteru służbowego,
- prawo do pomocy prawnej,
- ochrona tajemnicy korespondencji prawnik–klient,
- obowiązek uzasadniania decyzji o kontroli,
- możliwości zaskarżenia działań.
- RODO ma zastosowanie: krajowe organy ochrony konkurencji muszą w takich postępowaniach przestrzegać zasad ochrony danych osobowych wynikających z RODO.
- Szczególna zasada dla urządzeń prywatnych pracowników: TSUE wyraźnie rozróżnił firmową pocztę od osobistych telefonów, komputerów i nośników danych pracowników/kadry. Takie urządzenia często zawierają dane prywatne i mogą ujawniać bardzo szczegółowe informacje o życiu prywatnym (np. nawyki, lokalizacje, relacje), czasem nawet dane wrażliwe (szczególne kategorie danych z art. 9 RODO).
- Konsekwencja: dostęp organu do danych na urządzeniach osobistych (po ewentualnym zabezpieczeniu/„opieczętowaniu”) powinien co do zasady podlegać uprzedniej kontroli sądu lub niezależnego organu administracyjnego, gdy ingerencja może być poważna.
- Znaczenie dla praktyki: wyrok ma znaczenie systemowe dla firm i pracowników poddawanych kontrolom organów konkurencji, a pośrednio także dla każdej organizacji korzystającej ze służbowych narzędzi komunikacji elektronicznej (polityki e-mail, procedury kontroli, współpraca z organami, ochrona danych).
SO w Warszawie: Rzecznik Finansowy zapłaci 40 tys. zł za wyciek danych do 28 tysięcy podmiotów
- Kontekst sprawy (dlaczego to ważne): Wyrok Sądu Okręgowego w Warszawie to jeden z istotniejszych przykładów zastosowania art. 82 RODO (prawo do odszkodowania/zadośćuczynienia za naruszenie danych) w sporze z podmiotem publicznym. Sąd uznał odpowiedzialność Rzecznika Finansowego jako administratora danych i zasądził 40 000 zł zadośćuczynienia, mimo braku wykazanej szkody majątkowej.
- Co się wydarzyło: 11 lutego 2021 r. w Biurze Rzecznika Finansowego doszło do naruszenia poufności danych osobowych K.S. wskutek błędu przy wysyłce pisma.
- Skala incydentu: Pismo zawierające dane (m.in. imię i nazwisko, adres, numer i nazwę polisy, sygnaturę sprawy oraz informacje o podmiotach rynku finansowego) zostało omyłkowo wysłane przez ePUAP do 28 366 instytucji i podmiotów.
- Reakcja Rzecznika: 12 lutego 2021 r. poinformowano poszkodowanego o incydencie i możliwych skutkach (stres, utrata kontroli nad danymi, niezamówiona korespondencja, ryzyko podszycia się). Równolegle poproszono odbiorców o usunięcie/anonimizację danych.
- Spór o odpowiedzialność: Pomimo podjętych działań, Rzecznik Finansowy później odmówił przyjęcia odpowiedzialności za naruszenie.
- Stanowisko UODO: Prezes UODO decyzją z 30 września 2022 r. udzielił Rzecznikowi Finansowemu upomnienia za naruszenie art. 6 ust. 1 RODO (udostępnienie danych bez podstawy prawnej). Decyzja jest ostateczna i prawomocna.
- Roszczenie poszkodowanego: Powód żądał 50 000 zł zadośćuczynienia.
- Rozstrzygnięcie sądu: Sąd zasądził 40 000 zł oraz odsetki od 7 grudnia 2021 r. (dzień po odmowie przyjęcia odpowiedzialności).
- Kluczowy powód odpowiedzialności administratora: Sąd uznał, że nie chodzi wyłącznie o „błąd ludzki”, ale o brak wystarczających zabezpieczeń technicznych i organizacyjnych po stronie administratora.
- Odrzucone argumenty pozwanego: Sąd nie uznał tłumaczeń, że używano „dedykowanych” systemów, pracownik był przeszkolony, a zdarzenie wynikało z nieprzewidywalnej awarii.
- Co konkretnie zarzucono: W szczególności wskazano na brak ograniczeń uniemożliwiających/ograniczających masową wysyłkę korespondencji w systemie (co miało być możliwe do wdrożenia jeszcze przed incydentem).
- Brak „uwolnienia się” od odpowiedzialności: Pozwany nie wykazał przesłanki z art. 82 ust. 3 RODO (że „w żaden sposób” nie ponosi winy), bo nie wykazał wdrożenia adekwatnych środków ograniczających ryzyko.
- Publiczni odbiorcy nie zmniejszają wagi naruszenia: Sąd odrzucił argument, że skoro dane trafiły do instytucji/publicznych podmiotów, ryzyko szkody jest mniejsze. Podkreślono, że nie ma gwarancji bezpieczeństwa danych u takich odbiorców.
- Szkoda niemajątkowa wystarczy: Sąd uznał, że poszkodowany wykazał szkodę niemajątkową (stres, dyskomfort, utrata poczucia kontroli nad danymi, obawa kto ma dane), co potwierdzały m.in. zeznania osoby z otoczenia powoda oraz napływ korespondencji po incydencie.
- Częściowa „publiczność” danych nie zwalnia z odpowiedzialności: Fakt, że niektóre dane powoda mogły być częściowo dostępne publicznie (np. z uwagi na działalność gospodarczą), nie wyłączył odpowiedzialności administratora – był jedynie elementem oceny całości.
- Dlaczego 40 000 zł: Sąd uznał tę kwotę za bardzo wysoką, ale adekwatną przede wszystkim z uwagi na skalę naruszenia (przekazanie danych do ponad 28 tys. podmiotów).
- Dlaczego nie 50 000 zł: Kwotę 50 000 zł uznano za zawyżoną w realiach społeczno-gospodarczych oraz na tle dotychczasowej linii orzeczniczej.
- Najważniejsze wnioski (tezy praktyczne):
- Administrator odpowiada nie tylko za błąd pracownika, ale też za brak konkretnych zabezpieczeń ograniczających ryzyko masowego ujawnienia danych.
- Żeby powołać się na „brak winy” (art. 82 ust. 3 RODO), trzeba wykazać wdrożenie realnych, adekwatnych środków technicznych – samo szkolenie i ogólne zapewnienia nie wystarczą.
- Publiczny charakter odbiorców danych nie jest okolicznością łagodzącą ani wyłączającą odpowiedzialność.
- Przy ustalaniu zadośćuczynienia duże znaczenie ma skala incydentu (liczba odbiorców danych).
AI nie podpisuje pisma procesowego. Czego naprawdę dotyczy najnowsze postanowienie NSA?
- Kontekst: korzystanie z narzędzi AI bez weryfikacji może prowadzić do powoływania się na nieistniejące orzeczenia, błędne sygnatury oraz nietrafną argumentację prawną.
- Co się wydarzyło: Naczelny Sąd Administracyjny w postanowieniu z 23 czerwca 2026 r. (sygn. I FZ 104/26) ocenił zażalenie przygotowane przez profesjonalnego pełnomocnika, w którym wykryto liczne błędy sugerujące użycie AI bez kontroli treści.
- Najważniejszy wniosek NSA: problemem nie jest samo użycie AI przez prawnika, tylko brak profesjonalnej weryfikacji tego, co AI wygenerowała.
- Sąd nie zakazał AI: NSA nie podważył dopuszczalności korzystania z modeli językowych przy pismach procesowych, ale podkreślił, że AI nie zwalnia z odpowiedzialności za treść dokumentu.
- Odpowiedzialność pozostaje po stronie człowieka: za pismo procesowe (i inne dokumenty) odpowiada ten, kto je przygotowuje i podpisuje – nie algorytm.
- Standard staranności może być wyższy: korzystanie z AI nie obniża wymagań wobec pełnomocnika; wręcz przeciwnie, może oznaczać konieczność jeszcze dokładniejszej kontroli (przepisów, orzecznictwa, sygnatur, ale też sensu i dopasowania argumentacji do faktów).
- Nie wystarczy „ładny tekst”: weryfikacja powinna obejmować nie tylko język i istnienie przepisów, ale też tok rozumowania, adekwatność argumentów i kompletność analizy.
- Zbieżność z AI Act (UE): podejście NSA jest spójne z założeniami unijnego AI Act – korzystanie z AI ma być wspierające, ale człowiek ma zachować nadzór i odpowiedzialność.
- AI Literacy – kompetencje użytkownika AI: artykuł podkreśla znaczenie umiejętności krytycznej oceny wyników AI, rozpoznawania ograniczeń i sytuacji wymagających pogłębionej weryfikacji (to więcej niż sama „obsługa narzędzia”).
- Human oversight – nadzór człowieka: użytkownik powinien mieć możliwość sprawdzenia, zakwestionowania wyniku AI i w razie potrzeby nieużycia wygenerowanej treści.
- Skutki szersze niż pisma do sądu: analogiczne ryzyka dotyczą też opinii prawnych, analiz due diligence, projektów umów, dokumentów korporacyjnych i rekomendacji dla klientów.
- Ryzyka odpowiedzialności: fakt użycia AI nie będzie sam w sobie usprawiedliwieniem – możliwa jest odpowiedzialność zawodowa, cywilna, a w pewnych sytuacjach także dyscyplinarna.
- Wniosek organizacyjny dla kancelarii: wdrożenie AI przestaje być wyłącznie decyzją technologiczną; staje się elementem zarządzania ryzykiem i wymaga zasad, szkoleń oraz procedur kontroli jakości.
- Przykładowe działania ograniczające ryzyko: ustalenie zasad używania AI, szkolenia i dokumentowanie AI Literacy, procedury weryfikacji treści, reguły użycia AI przy świadczeniu pomocy prawnej oraz analiza warunków narzędzi (np. przetwarzanie danych, odpowiedzialność dostawcy, trenowanie na danych użytkownika).
- Końcowa konkluzja: AI może przygotować szkic i usprawnić pracę, ale nie zastępuje samodzielnego myślenia i nie przejmuje odpowiedzialności – za efekt zawsze odpowiada człowiek.
EROD wzywa do ustanowienia podstawy prawnej dla wymiany informacji między organami regulacyjnymi
- Kontekst spotkania: 16–17 lipca 2026 r. w Dublinie odbyło się spotkanie wysokiego szczebla Europejskiej Rady Ochrony Danych (EROD). Uczestniczyły w nim m.in. przedstawicielki UODO: Agnieszka Grzelak (Zastępczyni Prezesa) oraz Maria Owczarek (Dyrektorka Departamentu Współpracy Międzynarodowej).
- Główny przekaz EROD: potrzebna jest jasna podstawa prawna w prawie UE, która umożliwi sprawną wymianę informacji między różnymi organami regulacyjnymi (np. działającymi w obszarze cyfrowym), nawet jeśli mają one różne kompetencje.
- Wezwanie do Komisji Europejskiej: EROD apeluje, aby Komisja zaproponowała przepisy pozwalające organom regulacyjnym wymieniać także informacje poufne, istotne dla skutecznego egzekwowania prawa w ich obszarach odpowiedzialności.
- Dlaczego to ważne: doświadczenia z praktycznej współpracy między regulatorami pokazują, że brakuje wystarczająco silnych rozwiązań ułatwiających współdziałanie i przepływ informacji, co obecnie tworzy bariery i utrudnia spójne egzekwowanie przepisów.
- Postępy, ale też rosnące obciążenie: EROD wskazuje na widoczny postęp w transgranicznym egzekwowaniu RODO, ale jednocześnie organy ochrony danych mierzą się z gwałtownym wzrostem liczby i złożoności skarg, m.in. przez coraz powszechniejsze wykorzystanie sztucznej inteligencji.
- Problem zasobów: rosnące obciążenie sprawami nadwyręża możliwości organów ochrony danych, ograniczając ich zdolność do realizacji wszystkich zadań i skutecznego stosowania uprawnień wynikających z RODO.
- Potrzeba rozwiązań praktycznych i (czasem) legislacyjnych: organy ochrony danych podkreślają konieczność wypracowania rozwiązań, które pomogą utrzymać skuteczne egzekwowanie RODO, szczególnie w sprawach dotyczących dużej liczby osób.
- Pomysły na wzmocnienie współpracy: omawiano m.in. łączenie zasobów oraz możliwość, by organy przyjmujące skargi wspierały zasobami wiodące organy nadzorcze w sprawach transgranicznych, gdy to uzasadnione.
- Wspólne działania i wymiana praktyk: zapowiedziano serię warsztatów o procedurach egzekwowania prawa i wymianę informacji o praktykach krajowych, także w kontekście przygotowywanego przyszłego rozporządzenia proceduralnego.
- Efekt dla obywateli i firm: szersze stosowanie wspólnych działań ma poprawić skuteczność i spójność egzekwowania przepisów, lepiej chronić osoby fizyczne oraz dać branży większą przejrzystość i pewność regulacyjną.
- Spójność zależy też od innych podmiotów: EROD zauważa, że jednolite stosowanie RODO zależy również od elementów wykraczających poza jej bezpośrednie kompetencje, takich jak krajowe przepisy i orzecznictwo.
- Szerszy dialog: członkowie EROD zobowiązali się do rozszerzenia dialogu z innymi uczestnikami „ekosystemu ochrony danych”, aby wzmacniać spójność stosowania RODO.
- Kontynuacja działań po „oświadczeniu helsińskim” (2025): EROD podsumowała postępy i zapowiedziała dalsze prace m.in. nad szybszymi i lepszymi wytycznymi, wytycznymi międzyregulacyjnymi, udostępnianiem szablonów oraz większym zaangażowaniem interesariuszy.
Garante: 158 tys. euro kary dla Character.AI za brak ochrony małoletnich
- Kontekst: korzystanie z narzędzi AI bez weryfikacji może prowadzić do powoływania się na nieistniejące orzeczenia, błędne sygnatury oraz nietrafną argumentację prawną.
- Decyzja i kara: 3 lipca 2026 r. Garante nałożył na Character Technologies, Inc. (operator serwisu Character.AI) karę administracyjną 158 000 euro za naruszenia przepisów RODO.
- Czym jest Character.AI: To usługa generatywnej AI, w której użytkownicy tworzą wirtualne postacie i rozmawiają z nimi na czacie (web i aplikacja mobilna).
- Dlaczego włoski organ mógł działać wobec firmy z USA: Ponieważ serwis był wyraźnie kierowany do użytkowników w EOG/Włoszech (m.in. wersja włoskojęzyczna od 8 kwietnia 2024 r.). To uruchamia stosowanie RODO na podstawie tzw. kryterium „targetingu” (art. 3 ust. 2 RODO).
- Brak „one-stop-shop”: Mechanizm „jednego okienka” (art. 56 RODO) nie ma zastosowania, gdy administrator nie ma jednostki organizacyjnej w UE. W takiej sytuacji każdy organ w UE może wykonywać uprawnienia z art. 58 RODO samodzielnie.
- Główne obszary naruszeń (5 kategorii):
- braki w obowiązkach informacyjnych i w polityce prywatności,
- brak właściwej informacji dla osób, których dane mogły zostać użyte do pre-treningu modeli językowych,
- niewystarczająca ochrona małoletnich i problemy z weryfikacją wieku,
- zbyt późne przeprowadzenie oceny skutków dla ochrony danych (DPIA),
- zbyt późne wyznaczenie przedstawiciela w UE.
- Polityka prywatności – kluczowe problemy (starsza wersja 25.10.2023 – 27.08.2025):
- po uruchomieniu wersji włoskiej serwisu polityka była tylko po angielsku (naruszenie przejrzystości),
- brak jasnej informacji o prawie sprzeciwu (samo istnienie systemu zgłoszeń nie zastępuje obowiązku poinformowania),
- brak wskazania przedstawiciela w UE,
- zapisy o wykorzystaniu danych do post-treningu mogły wprowadzać w błąd (sugerowały uruchomione przetwarzanie w EOG, gdy jeszcze go nie było).
- Polityka prywatności – problemy w wersji od 27.08.2025: wskazano błędy i nieprecyzyjne tłumaczenia na włoski, które mogły utrudniać zrozumienie praw i zasad przetwarzania (np. niefortunne terminy dotyczące „wnioskowań”, potoczne określenie „skargi”, mylące opisy kategorii danych).
- Wspólny problem obu polityk: brak jasnego powiązania: jakie dane → w jakim celu → na jakiej podstawie prawnej. Organ podkreślił, że dla jednej czynności przetwarzania powinna być wskazana jedna, konkretna podstawa prawna; podawanie wielu „alternatywnie” obniża przejrzystość.
- Transfery danych poza UE: krytyka ogólnikowych sformułowań typu „dane mogą być” przechowywane w USA – informacja ma być konkretna i pewna, a nie hipotetyczna.
- Pre-trening LLM i art. 14 RODO: Garante uznał, że spółka nie poinformowała osób we Włoszech, których dane mogły pochodzić ze źródeł publicznych i zostać użyte do wstępnego treningu modeli. Kluczowy wniosek: to administrator ma obowiązek sprawdzić, czy w zbiorach treningowych są dane osobowe (zasada rozliczalności). Tłumaczenie „mogło ich nie być” potraktowano jako dowód braku realnej weryfikacji.
- Nie uznano usprawiedliwienia „niewspółmiernego wysiłku”: nawet gdyby informowanie indywidualne było trudne, firma powinna zapewnić alternatywne, skuteczne środki informowania na własnej stronie; wpisy na Reddit/Discord (serwisy podmiotów trzecich) nie wystarczają.
- Prawo sprzeciwu a pre-trening: organ nie zarzucił naruszenia w zakresie opt-out dla pre-treningu, bo kluczowe zalecenia EROD (Opinia 28/2024) pojawiły się po zakończeniu pre-treningu; nie zastosowano ich wstecz.
- Ochrona małoletnich – najpoważniejszy wątek merytoryczny: uznano, że środki ochrony były niewystarczające, m.in.:
- brak odpowiedniej weryfikacji wieku w odniesieniu do wcześniej zarejestrowanych użytkowników (okres do listopada 2024 r.),
- możliwość rejestracji osoby deklarującej 15 lat (poniżej progu 16 lat w EOG),
- profil małoletniego domyślnie publiczny – naruszenie zasady „privacy by default” (art. 25 ust. 2 RODO).
- Brak jednego standardu weryfikacji wieku w UE nie jest wymówką: administrator musi dobrać środki adekwatne do ryzyka i zapewnić ich skuteczność (organ odwołał się m.in. do podejścia EROD z wcześniejszych spraw).
- DPIA (ocena skutków) – wykonana za późno: zdaniem Garante powinna powstać przed uruchomieniem usługi (już we wrześniu 2022 r.), bo generatywna AI, skala oraz udział małoletnich oznaczają podwyższone ryzyko. Pierwszą formalną DPIA sporządzono dopiero 14 listopada 2024 r.
- Przedstawiciel w UE – wyznaczony za późno: obowiązek z art. 27 RODO powinien być spełniony od momentu kierowania usługi do UE; przedstawiciela (VeraSafe Ireland Ltd.) wyznaczono dopiero 31 maja 2025 r.
- Dlaczego kara nie była wyższa: organ uwzględnił m.in. okoliczności łagodzące: brak wcześniejszych naruszeń, brak umyślności, współpracę z organem oraz sytuację ekonomiczną spółki (start-up).
- Nakazy poza karą finansową (środki korygujące):
- dostosowanie polityki prywatności do wymogów RODO w terminie 120 dni,
- uporządkowanie kwestii przechowywania danych zebranych do pre-treningu (ocena zgodności lub usunięcie),
- naprawa mechanizmów „age gate” oraz ustawienie profili małoletnich domyślnie jako prywatnych.
- Najważniejsze wnioski „na przyszłość” dla firm generatywnej AI spoza UE:
- jeśli usługa jest kierowana do użytkowników w UE (np. lokalizacja językowa), firma podlega RODO i nie skorzysta z „one-stop-shop”, gdy nie ma struktury w UE,
- polityka prywatności musi być w języku, w którym oferowana jest usługa,
- dla każdego celu przetwarzania trzeba jasno wskazać jedną podstawę prawną,
- administrator ma obowiązek kontrolować, czy zbiory do treningu modeli zawierają dane osobowe, nawet jeśli pochodzą z publicznych źródeł,
- ochrona małoletnich i „privacy by default” są kluczowe (w tym domyślnie prywatne profile),
- DPIA powinna być gotowa przed wdrożeniem systemów opartych o generatywną AI,
- przedstawiciel w UE powinien być wyznaczony odpowiednio wcześnie, gdy usługa jest kierowana do UE.
UODO i UKE wzmacniają współpracę w obszarze ochrony danych w usługach cyfrowych
- Kontekst: 21 lipca 2026 r. w siedzibie Urzędu Ochrony Danych Osobowych (UODO) odbyło się spotkanie przedstawicieli UODO oraz Urzędu Komunikacji Elektronicznej (UKE) poświęcone wymianie doświadczeń i rozwojowi współpracy między instytucjami.
- Uczestnicy przedstawili strukturę organizacyjną i zakres kompetencji obu urzędów, co ułatwiło wskazanie obszarów, w których ich działania się przenikają i uzupełniają.
- Szczególną uwagę poświęcono skargom wpływającym do obu instytucji oraz temu, jak je rozpatrywać w sprawach, gdzie pojawiają się podobne lub powiązane wątki.
- Omówiono punkty styczne dotyczące:
- spraw związanych z usługami cyfrowymi,
- przetwarzaniem danych osobowych w ramach tych usług,
- usprawnienia współpracy w przypadkach wymagających zaangażowania obu organów.
- Dużo miejsca poświęcono skargom dotyczącym naruszeń DSA (aktu o usługach cyfrowych) oraz wypracowaniu ram współpracy w związku z przyszłą rolą Prezesa UKE jako Koordynatora ds. usług cyfrowych.
- Przedstawiciele UODO i UKE zadeklarowali kontynuowanie współpracy i dalszą wymianę doświadczeń, aby skuteczniej reagować na wyzwania rozwoju usług cyfrowych.
- Celem współdziałania ma być m.in. większa skuteczność działań i lepsze zapewnienie bezpieczeństwa danych osobowych przetwarzanych za pośrednictwem usług cyfrowych.
Nie ma skutecznej ochrony danych osobowych bez dbania o cyberbezpieczeństwo
- Kontekst wydarzenia: 20 lipca w Urzędzie Ochrony Danych Osobowych (UODO) odbyła się konferencja „NIS2 i KSC w praktyce”. Wzięło w niej udział niemal 1500 osób (online i stacjonarnie), a w ramach czterech paneli dyskutowano m.in. o relacjach między RODO a NIS2/KSC, podziale ról w cyberbezpieczeństwie oraz miejscu Inspektora Ochrony Danych (IOD) w tym systemie.
- Skala zagrożeń w Polsce: w wystąpieniu otwierającym Konrad Komornicki (Zastępca Prezesa UODO) podkreślił, że Polska doświadcza największej liczby cyberataków w Europie.
- Wzrost incydentów: w ubiegłym roku zgłoszono w Polsce ok. 270 tys. incydentów cyberbezpieczeństwa, co oznacza wzrost o 150% (wg przytoczonych danych). Podobny trend wzrostowy UODO obserwuje w zgłoszeniach naruszeń ochrony danych.
- RODO i cyberbezpieczeństwo są ściśle powiązane: skuteczna ochrona danych osobowych jest niemożliwa bez zapewnienia cyberbezpieczeństwa – te obszary „działają jak naczynia połączone”.
- System S46: UODO jest włączony w system S46 do zgłaszania incydentów cyberbezpieczeństwa – zarówno jako użytkownik, jak i organ nadzorczy.
- Nowa odpowiedzialność w NIS2: podkreślono, że NIS2 wprowadza bezpośrednią odpowiedzialność kierownictwa podmiotów zobowiązanych do wdrożenia dyrektywy.
- Panel 1 – weryfikacja karalności (KSC): dyskutowano, kiedy i kogo można sprawdzać pod kątem karalności w kontekście zarządzania ryzykiem.
- Przepisy niejednoznaczne: paneliści zgodzili się, że art. 8 i 11 KSC (dot. prawa/obowiązku weryfikacji karalności pracownika i kandydata) pozostawiają pole do interpretacji.
- Kluczowe jest mapowanie ról i zadań: aby legalnie zbierać dane (także o osobach na umowach cywilnoprawnych), organizacja podlegająca KSC powinna najpierw rzetelnie zidentyfikować zadania wskazane w ustawie oraz osoby, które je wykonują.
- Spór o zakres osób: kontrowersje budzi m.in. to, jak oceniać osoby „pomocnicze” (np. obsługujące proces, przenoszące nośniki danych) oraz jak duży wpływ na proces powinien mieć pracownik, by objąć go weryfikacją.
- Spór o moment i tryb pozyskiwania danych: nie jest jasne, od kiedy można zbierać informacje oraz czy organizacja może robić to z własnej inicjatywy, czy jedynie żądać odpowiednich zaświadczeń od pracownika/kandydata.
- Wniosek praktyczny: podmioty realizujące zadania strategiczne muszą działać w „trójkącie” RODO – KSC – Kodeks pracy, a interpretacja wymaga wyważenia tych reżimów w zależności od sytuacji.
- Panel 2 – incydenty wg RODO i NIS2: omawiano, jak rozumieć „incydent” w różnych regulacjach i jak reagować w praktyce.
- Niska świadomość w energetyce: wskazano, że mimo wzrostu liczby podmiotów w branży energetycznej, świadomość obowiązków dot. cyberbezpieczeństwa i ochrony informacji bywa niska.
- Wrażliwość danych energetycznych: informacje o zużyciu prądu czy geolokacji mogą ujawniać bardzo dużo o osobach – nawet więcej niż dane w sektorze bankowym (wg wypowiedzi w panelu).
- Cyberincydent często oznacza też naruszenie danych: CSIRT NASK zauważa, że zgłaszający nie zawsze rozumieją, iż atak może wiązać się z wyciekiem danych; dlatego są zachęcani, by oceniać zdarzenia także pod kątem RODO i ewentualnie zgłaszać je do UODO.
- Nie zapominać o prawie karnym: oprócz KSC i RODO należy uwzględniać obowiązki związane ze zgłaszaniem cyberataków jako przestępstw; dla funkcjonariuszy państwowych brak zgłoszenia może być traktowany jako niedopełnienie obowiązków.
- Ransomware to często końcowy etap: zwrócono uwagę, że przestępcy zwykle wcześniej używają narzędzi szpiegujących, aby rozpoznać system, ustalić, jakie dane wykraść i jak na nich zarobić.
- Problem definicji „incydentu”: część dyskusji dotyczyła różnic w definiowaniu incydentu oraz jego rodzajów w poszczególnych regulacjach i praktyce raportowania.
- Panel 3 – cyberodporność i podział ról: zaakcentowano, że cyberbezpieczeństwo nie może być „zrzucane” wyłącznie na dział IT.
- Zaangażowanie całej organizacji: skuteczna ochrona wymaga udziału wszystkich pracowników, a szczególnie kierownictwa, które powinno wspierać decyzje, budżet i egzekwowanie zasad.
- Zmiana języka na „język korzyści”: rekomendowano, by mówić o cyberbezpieczeństwie jak o inwestycji (ochrona ludzi, ciągłość działania, reputacja i zaufanie do organizacji), a nie tylko koszcie.
- Ludzie jako najsłabszy i najważniejszy element: podkreślono znaczenie inwestowania w kompetencje (rekrutacja i szkolenia) oraz budowania kultury bezpieczeństwa.
- Procedury i ich egzekwowanie: potrzebne są proste, zrozumiałe procedury reagowania na incydenty oraz konsekwentne pilnowanie ich stosowania.
- Panel 4 – pozycja IOD w cyberbezpieczeństwie: omawiano rolę IOD w zarządzaniu zasobami organizacji oraz ryzyko konfliktu interesów.
- Rosnące wyzwania regulacyjne: wraz z kolejnymi regulacjami „pakietu cyfrowego” rośnie liczba zadań i oczekiwań wobec IOD, co wymaga zwiększania zasobów (czas, budżet, wsparcie).
- Interdyscyplinarność KSC: wdrożenie przepisów KSC wymaga zespołu łączącego różne kompetencje (prawo, IT, bezpieczeństwo, procesy biznesowe).
- Kto ma koordynować i odpowiadać: wskazano, że wciąż otwarte jest pytanie o to, kto powinien koordynować pracę interdyscyplinarnego zespołu i brać odpowiedzialność za decyzje.
- Rekomendowana rola IOD: uczestnicy panelu uznali, że IOD nie powinien przejmować funkcji koordynatora/decydenta w cyberbezpieczeństwie, a raczej pełnić rolę doradczą.
UODO w projekcie wizyt studyjnych w ramach Instrumentu Wsparcia Technicznego Komisji Europejskiej
- Kontekst: Pracownicy UODO wzięli udział w dwóch wizytach studyjnych w ramach projektu „Data Governance Act implementation – study visit project”, współfinansowanego przez Komisję Europejską w inicjatywie PACE (TSI). Celem było wsparcie wdrażania Aktu w sprawie zarządzania danymi (DGA) poprzez wymianę doświadczeń między Polską, Finlandią i Węgrami.
- Uczestnicy i gospodarze: wizyty odbyły się w Finlandii (Agencja Transportu i Komunikacji Traficom) oraz na Węgrzech (organ ochrony danych NAIH); projekt wspierała też organizacyjnie i merytorycznie Expertise France.
- Cel wizyt: poznanie modeli wdrożenia DGA, sposobów organizacji nadzoru i rejestracji nowych podmiotów (np. pośredników danych), a także identyfikacja dobrych praktyk i wyzwań we wdrażaniu przepisów.
- Finlandia – wdrożenie i organizacja: Finlandia jako pierwsza przyjęła krajową ustawę obejmującą zarówno DGA, jak i Data Act (DA); przepisy weszły w życie w styczniu 2024 r.
- Rozproszony model zarządzania: zadania dotyczące DGA są w Finlandii podzielone między kilka instytucji, które regularnie współpracują i wymieniają informacje.
- Uprawnienia Traficom: organ może najpierw wydać ostrzeżenie i reprymendę, dając czas na poprawę; jeśli naruszenie nie zostanie usunięte, może nałożyć karę pieniężną 1 000–100 000 EUR (niższy poziom kar uzasadniany jest tym, że wiele podmiotów to start-upy).
- Priorytetyzacja działań: Traficom może decydować, które sprawy nadzorcze prowadzić, a w części przypadków nie wszczynać postępowań.
- Praktyka wdrożeniowa: delegacja UODO poznała m.in. formularz online do rejestracji organizacji chcących działać jako pośrednicy danych oraz przykłady zastosowań pośrednictwa danych (np. przekazanie warsztatowi danych technicznych pojazdu po numerze rejestracyjnym).
- Świadomość i promocja: w Finlandii prowadzi się warsztaty i działania informacyjne dotyczące pośrednictwa i altruizmu danych, ale podkreślono ograniczenia zasobów administracyjnych oraz potrzebę lepszego komunikowania korzyści biznesowych z DGA.
- Współpraca z organem ds. danych osobowych: fiński Data Protection Ombudsman działa głównie na podstawie RODO (sprawy danych osobowych), jednak kluczowa jest jego współpraca z Traficom (wymiana informacji, konsultacje, udział w pracach powiązanych z EDIB).
- Rynek i rejestracje: w Finlandii zarejestrowano pierwszą organizację pośrednictwa danych (DataSpace Europe Oy) już w styczniu 2024 r., a pierwszą organizację spoza UE (z Wielkiej Brytanii) w czerwcu 2024 r.
- Wnioski społeczne z Finlandii: wysoka cyfryzacja, dojrzałość rynku oraz wysokie zaufanie do instytucji publicznych sprzyjają ponownemu wykorzystaniu danych oraz rozwojowi pośrednictwa i altruizmu danych.
- Węgry – podejście do wdrożenia: przygotowania koncentrowały się na analizie wymogów prawnych oraz uproszczeniu procesu rejestracji przy zachowaniu zgodności z prawem UE.
- Podstawa krajowa: przepisy krajowe (Act CXII of 2011…) w zakresie związanym z wdrażaniem DGA weszły w życie 1 marca 2024 r.
- Zmiany organizacyjne w NAIH: w styczniu 2024 r. utworzono Wydział ds. strategii UE w zakresie danych cyfrowych (AI/nowe technologie, DGA, udział w EDIB, zadania „poza RODO”); w 2026 r. przekształcono go w Departament.
- Tematy kluczowe rozmów: suwerenność danych, relacja między ochroną danych a gospodarką opartą na danych, powiązania DGA z innymi regulacjami UE oraz zasady ponownego wykorzystywania danych sektora publicznego (warunki udostępniania i zabezpieczenia).
- Model NAVÜ: wizyta objęła także węgierską Agencję (NAVÜ), która pełni rolę centralnego koordynatora wspierającego udostępnianie danych (m.in. anonimizacja i pseudonimizacja) bez przejmowania własności danych.
- „Jeden punkt kontaktu” dla danych publicznych: model opiera się na Narodowym Portalu Danych Publicznych i Katalogu Danych, zapewniając użytkownikom Single Information Point i standaryzowane formularze zapytań o dane.
- Sieć CDO: istotnym elementem jest tworzenie sieci Chief Data Officers w instytucjach publicznych, co ma ujednolicać praktyki, wzmacniać zgodność z prawem i usprawniać przepływ informacji.
- Rynek pośrednictwa i altruizmu: na Węgrzech działa obecnie jedna organizacja pośrednictwa danych i brak zarejestrowanych organizacji altruizmu danych; jako przyczynę wskazano restrykcyjne wymagania i niepewną opłacalność.
- Głos praktyków: organizacja NIDHAS wskazała, że mimo potencjału pośrednictwa danych, rynek jest na wczesnym etapie; wiele usług przyjmuje formę „data marketplace”, co wymaga jednocześnie podaży i popytu na dane, a ten rynek nie jest jeszcze dojrzały.
- Edukacja jako warunek sukcesu: węgierscy partnerzy podkreślali potrzebę budowania świadomości obywateli na temat wartości dzielenia się danymi.
- Współpraca trójstronna: podczas wizyt UODO prezentował swoją rolę i stan przygotowań do wdrożenia DGA w Polsce; rezultatem projektu mają być wspólne raporty z rekomendacjami dla UODO oraz planowane spotkanie podsumowujące Traficom–UODO–NAIH.
- Znaczenie PACE: inicjatywa KE w ramach TSI ma wzmacniać potencjał administracji poprzez wymianę praktyk między państwami UE, co ma sprzyjać bardziej spójnemu stosowaniu prawa UE i efektywniejszemu wdrożeniu DGA.
Administratorem danych osobowych jest Lex Artist sp. z o.o., ul. Szańcowa 74/1, 01-458 Warszawa. Dane osobowe będą przetwarzane w celu umieszczenia i obsługi komentarza na blogu. Przysługują Panu/Pani następujące prawa: prawo dostępu do treści danych, prawo do sprostowania danych, prawo do usunięcia danych, prawo do ograniczenia przetwarzania danych, prawo do wniesienia sprzeciwu, prawo do wniesienia skargi do organu nadzorczego. Pełna treść klauzuli informacyjnej znajduje się tutaj.
Zanonimizowany ciąg znaków stworzony na podstawie Pani/Pana adresu email (tak zwany hash) może zostać przesłany do usługi Gravatar w celu sprawdzenia czy jej Pan/Pani używa. Polityka prywatności usługi Gravatar jest dostępna tutaj. Po zatwierdzeniu komentarza obrazek profilowy jest widoczny publicznie w kontekście twojego komentarza.