Google ukarany grzywną 403 mln euro za naruszenia prywatności danych lokalizacyjnych » Estoński Sąd Najwyższy stwierdził, że skarga do organu nie zamyka drogi sądowej » Przepisy antydopingowe wymagają zmian » Konferencja „RODO w ochronie zdrowia”. Prezes UODO o ochronie danych pacjentów » Małoletni w sieci mają być lepiej chronieni. Zadbać o to mają same platformy » Europejski Inspektor Ochrony Danych uznał zabezpieczenia PNR » WSA o migracji danych archiwalnych do platformy e-learningowej » MojeZdrowie@UE: zasady wymiany danych zdrowotnych » Wysoki Sąd Administracyjny Chorwacji utrzymał karę 675 000 kun dla sieci handlowej » Prezes UODO prosi Prezydenta RP o poparcie rozwiązań chroniących użytkowników Internetu
⬇️ Pobierz W PDF
Praktyczny poradnik o wdrażaniu RODO
Książka RODOLOGIA to kompleksowy przewodnik po RODO, który pomaga wdrożyć ochronę danych osobowych w sposób prosty, szybki i skuteczny. Ponad 500 stron praktycznej wiedzy podanej w przystępnej formie i zrozumiałym języku. A wszystko to podane w pięknej, premium formie. Dowiedz się więcej o RODOLOGII: SprawdźGoogle ukarany grzywną 403 mln euro za naruszenia prywatności danych lokalizacyjnych
- Kontekst: Irlandzki organ ochrony danych (Data Protection Commission, DPC) nałożył na Google karę 403 mln euro za naruszenia RODO dotyczące przetwarzania danych lokalizacyjnych użytkowników.
- Skąd wzięło się postępowanie: Zostało wszczęte w lutym 2020 r. po otrzymaniu kilku skarg od organizacji zajmujących się ochroną praw konsumentów.
- Jakiego okresu dotyczyła kontrola: Badano działanie wybranych funkcji Google w okresie od 25 maja 2018 r. do 4 lutego 2020 r.
- Jakie funkcje analizowano (3 obszary):
- Aktywność w internecie i aplikacjach (Web & App Activity) – ustawienie konta Google pozwalające na przetwarzanie aktywności w usługach Google (np. historia wyszukiwania/przeglądania) oraz powiązanych danych, w tym lokalizacyjnych.
- Historia lokalizacji (Location History) – opcjonalne śledzenie lokalizacji na urządzeniach mobilnych; umożliwia wnioskowanie o odwiedzanych miejscach, trasach i aktywnościach; dane mogą być widoczne w osi czasu Google Maps nawet, gdy użytkownik nie korzysta aktywnie z usług Google.
- Dokładność lokalizacji (Location Accuracy) – funkcja Androida zwiększająca precyzję określania położenia (ponad sam GPS); dostępna także bez konta Google.
- Najważniejsze zarzuty DPC:
- Google przetwarzał dane lokalizacyjne w ramach Web & App Activity oraz Location History bez spełnienia wymogów RODO.
- W przypadku Location Accuracy spółka nie była w stanie wykazać zgodności przetwarzania z zasadami RODO (problem z udowodnieniem zgodności).
- DPC wskazał naruszenia obowiązków informacyjnych i przejrzystości wobec użytkowników we wszystkich trzech funkcjach.
- Dane lokalizacyjne zbierane przez Web & App Activity i Location History miały być przechowywane dłużej, niż było to konieczne.
- Dlaczego to było istotne dla użytkowników: Według DPC użytkownicy mogli nie zdawać sobie sprawy, że ich dane lokalizacyjne mogą służyć m.in. do profilowania reklam i wnioskowania o zainteresowaniach, co prowadziło do utraty kontroli nad danymi. Zbyt długie przechowywanie danych dodatkowo pogłębiało ryzyko.
- Konsekwencje: Poza karą 403 mln euro DPC zobowiązał Google do dostosowania sposobu przetwarzania danych do wymogów RODO w ciągu 6 miesięcy.
- Status decyzji: Pełna treść decyzji DPC nie została jeszcze opublikowana, ale ma zostać udostępniona w przyszłości.
- Stanowisko Google: Firma twierdzi, że od badanego okresu znacząco zmieniła praktyki i polityki dotyczące danych lokalizacyjnych oraz że od 2019 r. wdrożono narzędzia ułatwiające zarządzanie danymi lokalizacyjnymi.
- Zmiany wskazywane przez Google (wg komentarza):
- Możliwość ustawienia automatycznego usuwania danych zapisanych na koncie po wybranym czasie.
- Informacje z osi czasu Google Maps mają być przechowywane bezpośrednio na urządzeniu i automatycznie usuwane po 3 miesiącach.
- Google podkreśla, że w ramach Web & App Activity nie zapisuje dokładnej lokalizacji, a jedynie przybliżony obszar położenia.
Estoński Sąd Najwyższy stwierdził, że skarga do organu nie zamyka drogi sądowej
- Kontekst: Postanowienie Estońskiego Sądu Najwyższego z 1 września 2026 r. wyjaśnia relację między skargą do organu ochrony danych a bezpośrednim dochodzeniem ochrony przed sądem. Sąd uznał, że dobrowolne złożenie skargi do organu nadzorczego nie odbiera osobie prawa do równoległego wniesienia sprawy przeciwko administratorowi do sądu administracyjnego.
- Najważniejszy wniosek: Środki ochrony z art. 77–79 RODO mogą być używane niezależnie i równolegle — skarga do organu nie „blokuje” drogi sądowej, jeśli prawo nie wprowadza takiego obowiązku wprost.
- Teza 1 — rozdzielność podstaw prawnych: Sąd rozróżnił dwa typy żądań:
- dostęp do danych osobowych i informacji o ich przetwarzaniu (art. 15 RODO),
- obowiązki dotyczące dokumentów/informacji publicznej, w tym rejestracji dokumentów w publicznym rejestrze.
- Teza 2 — równoległość postępowań: Jeśli postępowanie przed organem nadzorczym jest dobrowolne (nieobowiązkowe), osoba nie musi czekać na jego zakończenie, aby wnieść skargę do sądu przeciwko administratorowi lub podmiotowi zobowiązanemu do udostępnienia informacji.
- Teza 3 — granice skargi na organ: Nie można skutecznie skarżyć do sądu działania organu nadzorczego, jeśli organ nie jest jeszcze w zwłoce i nie wydał merytorycznej decyzji. To istotne w sprawach, gdzie jeden stan faktyczny dotyczy zarówno RODO, jak i dostępu do informacji.
- Czego dotyczyła sprawa (w skrócie): Skarżący zażądał od Uniwersytetu w Tartu dostępu do swoich danych (art. 15 RODO) oraz określonych dokumentów i informacji. W szczególności chciał uzyskać m.in. skargę innego studenta zawierającą jego dane oraz korespondencję uczelni ze służbą bezpieczeństwa.
- Stanowisko uniwersytetu: Uczelnia odmówiła udostępnienia skargi innego studenta (nawet po anonimizacji), powołując się na ochronę praw i wolności osób trzecich.
- Co zrobił skarżący: Skierował sprawę równocześnie do estońskiego organu ochrony danych oraz do sądu administracyjnego.
- Błąd sądów niższych instancji (wg Sądu Najwyższego): Niższe sądy uznały skargę do sądu za „przedwczesną” i kazały czekać na wynik postępowania przed organem. Sąd Najwyższy stwierdził, że brak podstaw do takiego automatycznego odrzucenia skargi przeciwko administratorowi.
- RODO: dwa różne tryby ochrony:
- art. 79 RODO — pozwala wnieść sprawę bezpośrednio przeciwko administratorowi do sądu,
- art. 78 RODO — dotyczy skargi na działanie organu nadzorczego (odrębny charakter i warunki).
- Praktyczna uwaga sądu: Równoległe postępowania mogą być nieefektywne (np. gdy organ zaspokoi żądanie), ale to nie jest powód, by ograniczać prawo do sądu, jeśli ustawa nie mówi tego wprost.
- Co pozostało nierozstrzygnięte: Sąd Najwyższy nie ocenił, czy uniwersytet prawidłowo wykonał prawo dostępu z art. 15 RODO ani czy zasadnie odmówił udostępnienia dokumentu zawierającego dane osoby trzeciej.
- Co dalej: Sprawa wróciła do sądu administracyjnego, który ma zbadać m.in. dopuszczalność skargi, kwestie terminów oraz czy skarżący ma wymagany uzasadniony interes w części dotyczącej żądania ustalenia niezgodności z prawem działania uniwersytetu.
- Końcowe przesłanie orzeczenia: Dobrowolna skarga do organu nadzorczego nie zamyka samodzielnej drogi sądowej przeciwko administratorowi; natomiast ocena, czy doszło do naruszenia prawa dostępu, wymaga dalszego rozpoznania przez sąd właściwy.
Przepisy antydopingowe wymagają zmian
- Kontekst: Prezes Urzędu Ochrony Danych Osobowych (UODO) Mirosław Wróblewski wskazuje w korespondencji z Ministerstwem Spraw Zagranicznych (MSZ), że aby wykonać wyrok Trybunału Sprawiedliwości UE dotyczący przepisów antydopingowych, potrzebne są zmiany w polskim prawie. Stanowisko przekazał do MSZ (które koordynuje wykonywanie wyroków TSUE), a także do wiadomości ministra sportu i turystyki.
- Jaki wyrok jest kluczowy: chodzi o wyrok TSUE z 14 lipca 2026 r. w sprawie C-474/24 (NADA Austria i in.), dotyczący publikowania informacji o sportowcach ukaranych za naruszenia antydopingowe.
- RODO ma zastosowanie: TSUE uznał, że przetwarzanie danych osobowych na podstawie krajowych przepisów antydopingowych podlega RODO, jeżeli przepisy przewidują publikację m.in.:
- nazwisk ukaranych sportowców,
- dyscypliny sportu,
- informacji o naruszeniu,
- nałożonej kary.
- Dane o naruszeniu a „dane o zdrowiu”: informacja, że dana osoba dopuściła się naruszenia antydopingowego, nie jest automatycznie „danymi dotyczącymi zdrowia” (art. 9 RODO) tylko wtedy, gdy nie zawiera informacji o nazwie/kategorii substancji lub metody dopingu.
- Dlaczego substancja/metoda jest wrażliwa: podanie substancji lub metody dopingu w połączeniu z innymi informacjami o sportowcu może pośrednio ujawniać jego stan zdrowia (np. gdy substancja jest związana z leczeniem określonego schorzenia, a sportowiec nie uzyskał zgody na użycie terapeutyczne).
- Publikacja w internecie może być dopuszczalna: TSUE wskazał, że RODO nie wyklucza publikowania w sieci danych o ukaranych sportowcach (z pewnymi wyjątkami), jeśli przepisy krajowe:
- pozwalają na indywidualne wyważenie interesów przed publikacją,
- uwzględniają m.in. charakter danych, skalę dostępu i zasady dostępu do informacji.
- Cel publiczny: TSUE uznał, że walka z dopingiem jest celem interesu ogólnego, a publikacja informacji może działać odstraszająco i zapobiegać naruszeniom — ale jednocześnie stanowi ingerencję w prywatność, którą trzeba oceniać proporcjonalnie.
- Co jest problemem w Polsce: polska ustawa o zwalczaniu dopingu w sporcie nie reguluje szczegółowo udostępniania danych osobowych sportowców po karze dyscyplinarnej. Przewiduje jedynie możliwość podania decyzji do publicznej wiadomości, odsyłając do zasad Światowego Kodeksu Antydopingowego oraz przepisów POLADA.
- Co jest publikowane według zasad pozaustawowych: kodeks i regulacje POLADA określają m.in.:
- zakres publikowanych danych (w tym tożsamość, dyscyplina, naruszony przepis, substancja/metoda, konsekwencje),
- czas publikacji (np. miesiąc lub okres kary — w zależności, który dłuższy),
- wyłączenia dla niektórych osób (np. nieletni, osoby chronione, sport rekreacyjny).
- Wymóg RODO co do podstawy prawnej: RODO wymaga, aby podstawa prawna przetwarzania była jasna, precyzyjna i określona w ustawie oraz żeby określała cel przetwarzania i szczegółowe warunki stosowania RODO. Prezes UODO wskazuje więc potrzebę doprecyzowania przepisów w prawie polskim.
- Wpływ na obecną praktykę: według Prezesa UODO wyrok TSUE ma znaczenie także „tu i teraz”, bo obecnie publikowane są informacje o substancji/metodzie — co w połączeniu z innymi danymi może prowadzić do ujawnienia danych o zdrowiu sportowca (art. 9 RODO).
Konferencja „RODO w ochronie zdrowia”. Prezes UODO o ochronie danych pacjentów
- Kontekst: 15 września 2026 r. prezes UODO Mirosław Wróblewski otworzył konferencję „RODO w Ochronie Zdrowia” (organizacja: Szpitale Pomorskie Sp. z o.o. we współpracy z UODO). Tematem było bezpieczeństwo i zgodne z prawem przetwarzanie danych pacjentów w realiach rosnącej cyfryzacji ochrony zdrowia.
- Dlaczego to ważne: dane o zdrowiu należą do najbardziej wrażliwych informacji o człowieku, a ich nieuprawnione wykorzystanie może naruszać prywatność i godność pacjentów.
- Cyfryzacja a zaufanie pacjentów: prezes UODO podkreślił, że rozwój e-usług medycznych musi iść w parze z ochroną danych – ma to bezpośredni wpływ na zaufanie do całego systemu ochrony zdrowia.
- Ochrona danych „od początku”: według UODO nowe technologie powinny być projektowane i wdrażane tak, aby zabezpieczenia danych osobowych były uwzględniane już na starcie (w praktyce: ochrona danych nie może być dodatkiem „na końcu”).
- Sztuczna inteligencja w medycynie: w wystąpieniu wskazano, że wdrażanie systemów AI w ochronie zdrowia wymaga szczególnej dbałości o zgodność z zasadami ochrony danych.
- Wysokie wymagania techniczne dla podmiotów przetwarzających dane: prezes UODO zwrócił uwagę na pilną potrzebę ustanowienia odpowiednio wysokich standardów technicznych dla firm i podmiotów, które przetwarzają dane medyczne masowo na zlecenie administratorów (np. placówek medycznych).
- Działania wobec administracji publicznej: postulaty dotyczące podniesienia wymagań technicznych zostały ujęte w wystąpieniu skierowanym do Ministra Cyfryzacji.
- Głos UODO w panelu: w konferencji uczestniczyła także Monika Krasińska (dyrektor Departamentu Prawa i Nowych Technologii UODO), omawiając wyzwania na styku ochrony danych, praw pacjenta i nowych technologii w placówkach ochrony zdrowia.
- Cel konferencji: zwiększenie świadomości oraz promowanie dobrych praktyk ochrony danych osobowych w sektorze zdrowia.
- Przypomnienie po incydencie MyDr: UODO opublikował materiały dla administratorów danych w związku z atakiem hakerskim na spółkę MyDr oraz odpowiedzi na najczęstsze pytania i wskazówki dla osób, których dane mogły zostać naruszone:
- Obowiązki administratorów: https://uodo.gov.pl/pl/138/4538
- FAQ z infolinii UODO: https://uodo.gov.pl/pl/615/4550
- Wskazówki dla osób dotkniętych naruszeniem (ten sam link): https://uodo.gov.pl/pl/615/4550
- Kodeksy postępowania dla ochrony zdrowia: UODO zachęca do korzystania z branżowych kodeksów, które doprecyzowują zasady ochrony danych. Lista wszystkich zatwierdzonych kodeksów: https://uodo.gov.pl/pl/426/1110. Szczególnie rekomendowane:
- Kodeks dla małych placówek medycznych (Porozumienie Zielonogórskie)
- Kodeks dla sektora ochrony zdrowia (Polska Federacja Szpitali)
- Inne działania prezesa UODO w 2026 r. dotyczące danych o zdrowiu:
- Szkolenie dla medyków (Okręgowa Izba Lekarska): https://uodo.gov.pl/pl/138/4105
- Dwudniowa konferencja nt. Europejskiej Przestrzeni Danych dot. Zdrowia (EHDS): https://uodo.gov.pl/pl/531/4134
- Stanowisko dot. podstaw prawnych wysyłania zaproszeń na badania przesiewowe: https://uodo.gov.pl/pl/138/4126
- Udział w debacie przy premierze raportu „Mapa źródeł danych medycznych w Polsce”: https://uodo.gov.pl/pl/138/4335
- Panel o danych zdrowotnych podczas Kongresu Ochrony Danych Osobowych i Nowych Technologii: https://uodo.gov.pl/pl/643/4060#n13
- Główne przesłanie artykułu: cyfrowa transformacja ochrony zdrowia (w tym AI i przetwarzanie danych na dużą skalę) musi być prowadzona z silnymi zabezpieczeniami i jasnymi standardami technicznymi, bo od tego zależy bezpieczeństwo pacjentów i zaufanie do systemu.
Małoletni w sieci mają być lepiej chronieni. Zadbać o to mają same platformy
- Kontekst: Komisja Europejska pracuje nad rozporządzeniem EU Kids Act, którego celem jest ograniczenie dostępu najmłodszych do mediów społecznościowych oraz przeniesienie większej odpowiedzialności za ich bezpieczeństwo na platformy. Równolegle Polska przygotowuje własne przepisy wzmacniające ochronę małoletnich w internecie.
- Co zapowiedziano na poziomie UE (EU Kids Act):
- Zakaz posiadania kont w mediach społecznościowych dla dzieci do 13. roku życia.
- Dla młodzieży 13–15 lat: tylko specjalne „minikonta” pod nadzorem rodziców/opiekunów, z ograniczonymi funkcjami i limitem korzystania do maks. 1 godziny dziennie.
- Weryfikacja wieku ma odbywać się przy użyciu certyfikowanych narzędzi unijnych (np. aplikacji do weryfikacji wieku).
- Kluczowa zmiana podejścia: limit wieku nie ma zwalniać platform z odpowiedzialności — to platformy mają udowadniać, że ich usługi są bezpieczne dla osób poniżej 18 lat (zasada “safety by design”).
- Jakie obowiązki dla platform wobec osób <18 lat:
- Ograniczenie lub zakaz funkcji uzależniających (mechanizmy mające „wciągać” najmłodszych w dłuższe korzystanie).
- Utrudnienie/uniemożliwienie bezpośredniego kontaktu dorosłych z dziećmi, których nie znają.
- Zakaz reklam spersonalizowanych oraz ograniczenia algorytmów opartych na aktywności dziecka (profilowanie).
- Testowanie ryzyk przed wdrożeniem produktu oraz stały monitoring jego potencjalnie szkodliwego wpływu po wdrożeniu.
- Zakres szerszy niż social media: EU Kids Act ma obejmować także platformy streamingowe, gamingowe oraz chatboty AI.
- Wymogi dla chatbotów/asystentów AI:
- Nie będą mogły zachowywać się jak „przyjaciel” w sposób prowadzący do emocjonalnego uzależnienia dziecka.
- Nie będą mogły zapamiętywać wcześniejszych rozmów dziecka.
- Oceny i komentarze ekspertów:
- Fundacja Panoptykon ocenia propozycje generalnie pozytywnie, wskazując, że przeniesienie odpowiedzialności na firmy jest dojrzalsze niż podejście oparte głównie na zakazach.
- Jednocześnie pojawia się obawa, że nagłośnienie EU Kids Act może osłabić prace nad Digital Fairness Act (inicjatywa mająca m.in. ograniczać manipulacyjne interfejsy i wzmocnić ochronę konsumentów w całym internecie).
- Fundacja Dajemy Dzieciom Siłę postuluje próg 15 lat jako lepszy dla świadomego korzystania z mediów społecznościowych; jeśli jednak granica pozostanie na 13 latach, „minikonta” mogą być formą dodatkowego zabezpieczenia.
- Podkreślono też, że jednolity próg wieku w całej UE ułatwi egzekwowanie zasad wobec dużych firm technologicznych.
- Polska: równoległe prace nad przepisami:
- Prace nad rozwiązaniami prowadzą Ministerstwo Cyfryzacji i Ministerstwo Edukacji Narodowej.
- Polski system weryfikacji wieku ma być gotowy do końca roku; wtedy ma być znany ostateczny projekt ustawy.
- Wstępnie w Polsce rozważano ograniczenie dostępu do mediów społecznościowych poniżej 15 lat, ale pojawia się zapowiedź, że projekt może zostać dostosowany do rozwiązań unijnych.
- Najważniejszy wniosek: kierunek zmian w UE (i prawdopodobnie także w Polsce) zmierza do tego, aby to platformy ponosiły realną odpowiedzialność za bezpieczeństwo dzieci i młodzieży — poprzez ograniczenie ryzykownych funkcji, profilowania i kontaktów z nieznajomymi oraz poprzez obowiązek bezpiecznego projektowania usług.
Europejski Inspektor Ochrony Danych uznał zabezpieczenia PNR
- Kontekst: Opinia Europejskiego Inspektora Ochrony Danych (EIOD) z 18 września 2026 r. dotyczy projektu umowy UE–Republika Korei o przekazywaniu danych PNR (Passenger Name Record) przez przewoźników lotniczych. EIOD uznał, że mechanizmy ochrony danych przewidziane w projekcie są wystarczające, aby umowa była zgodna z unijnymi ramami ochrony danych.
- Czym są dane PNR i po co miałyby być przekazywane: PNR to dane zbierane przy rezerwacji i odprawie (np. trasa podróży, dane kontaktowe, informacje o płatności, numer miejsca, dane o bagażu). Zgodnie z projektem umowy miałyby być przetwarzane przez organy Republiki Korei w celu zapobiegania terroryzmowi i poważnej przestępczości, ich wykrywania oraz ścigania.
- Teza 1 – „Adekwatność” nie obejmuje PNR: Decyzja Komisji Europejskiej z 2021 r. o odpowiednim stopniu ochrony danych w Korei (tzw. decyzja adekwatności) dotyczy transferów danych między podmiotami komercyjnymi. Nie obejmuje ona jednak przekazywania danych PNR na potrzeby organów publicznych w ramach tej umowy, więc sama w sobie nie wystarcza jako podstawa dla takiego transferu.
- Wniosek praktyczny z tezy 1: Umowa PNR musi samodzielnie zawierać komplet zabezpieczeń wymaganych przez prawo UE (w tym zasady konieczności i proporcjonalności oraz wymogi wynikające z Karty praw podstawowych i orzecznictwa TSUE).
- Teza 2 – Zabezpieczenia w umowie zapewniają „zasadniczo równoważny” poziom ochrony: Ze względu na ryzyka związane z przetwarzaniem danych w kontekście egzekwowania prawa, zabezpieczenia muszą realnie ograniczać te ryzyka. EIOD ocenił, że projekt umowy zawiera odpowiednie gwarancje i zapewnia poziom ochrony zasadniczo równoważny z UE.
- Kluczowe zabezpieczenia wskazane przez EIOD:
- zakaz przetwarzania szczególnych kategorii danych (danych wrażliwych),
- wymogi bezpieczeństwa i integralności danych,
- zasady dotyczące przechowywania i ujawniania danych PNR,
- mechanizmy skutecznego i niezależnego nadzoru,
- ochrona praw pasażerów (w tym przejrzystość i możliwość korzystania z uprawnień),
- precyzyjne określenie kategorii danych PNR objętych umową.
- Odniesienie do standardu TSUE: Punktem odniesienia dla oceny była opinia TSUE 1/15 dotycząca wymogów dla umów PNR.
- Uwzględnienie wcześniejszych zaleceń EIOD: EIOD odnotował, że w finalnym tekście uwzględniono jego wcześniejsze uwagi (m.in. silniejsza ochrona praw podstawowych, bardziej szczegółowe prawo do informacji – w tym indywidualne powiadomienie o ujawnieniu danych – oraz możliwość zmian umowy, jeśli zajdzie taka potrzeba).
- Teza 3 – Dostęp Europolu i Eurojustu jest ograniczony dyrektywą PNR: Projekt umowy dopuszcza przekazywanie Europolowi i Eurojustowi wyników przetwarzania PNR lub informacji analitycznych opartych na PNR, ale tylko gdy jest to konieczne w konkretnych sprawach i w ramach mandatów tych agencji.
- Najważniejsze zastrzeżenie dotyczące agencji UE: „Mandaty” Europolu i Eurojustu należy rozumieć łącznie z ograniczeniami z unijnej dyrektywy PNR. Umowa nie może tworzyć pośredniej ścieżki dostępu do danych PNR, których agencje UE nie mogłyby uzyskać od państwa członkowskiego (np. dyrektywa nie przewiduje bezpośredniego dostępu Eurojustu do PNR, a dostęp Europolu jest ściśle warunkowany).
- Znaczenie opinii dla praktyki: Opinia wyraźnie rozdziela dwie podstawy transferu:
- decyzję adekwatności (transfery komercyjne), oraz
- odrębną ocenę umowy PNR (transfer do celów zwalczania terroryzmu i poważnej przestępczości).
- Podsumowanie wniosków:
- Transfer danych do organów państwa trzeciego w ramach umowy PNR wymaga niezależnej oceny konieczności, proporcjonalności i zabezpieczeń.
- Postanowienia o udostępnianiu informacji Europolowi/Eurojustowi muszą być zgodne z ograniczeniami dostępu wynikającymi z dyrektywy PNR – współpraca z państwem trzecim nie może osłabiać standardów obowiązujących w UE.
- W ocenie EIOD projekt umowy UE–Korea zawiera wymagane zabezpieczenia i może być uznany za zgodny z unijnymi ramami ochrony danych.
WSA o migracji danych archiwalnych do platformy e-learningowej
- Kontekst: Wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z 8 kwietnia 2026 r. dotyczy zasad RODO przy przenoszeniu (migracji) danych użytkowników do nowego systemu. Sąd wyraźnie rozróżnił archiwalne przechowywanie danych od ich wykorzystania przy uruchamianiu nowej platformy i potwierdził, że migracja wymaga własnej podstawy prawnej z art. 6 ust. 1 RODO.
- Sprawa w skrócie: Krajowa Szkoła Sądownictwa i Prokuratury uruchomiła w 2020 r. nową platformę szkoleniową i przeniosła na nią konta użytkowników wraz z danymi (m.in. imię i nazwisko, kontakt, miejsce pracy, daty logowania).
- Reakcja organu: Prezes UODO udzielił dwóch upomnień:
- za utworzenie i utrzymywanie konta na nowej platformie bez podstawy prawnej,
- za udostępnienie danych osobom trzecim w wyniku wycieku danych podczas migracji.
- Rozstrzygnięcie: Sąd oddalił skargę Szkoły – podtrzymał stanowisko UODO w obu kwestiach.
- Migracja to przetwarzanie danych: Sąd uznał, że przenoszenie danych między platformami mieści się w definicji „przetwarzania” z art. 4 pkt 2 RODO (obejmuje m.in. przechowywanie, adaptowanie, wykorzystywanie, ujawnianie przez przesłanie i łączenie danych).
- Nazwa operacji nie ma znaczenia: To, czy administrator nazywa działanie „modernizacją”, „zmianą wersji” czy „wdrożeniem nowego narzędzia”, nie zwalnia z obowiązku wykazania podstawy prawnej dla przetwarzania.
- Zgoda ze starej platformy nie przechodzi automatycznie: Zgoda na konto w dotychczasowym systemie nie obejmuje z automatu konta utworzonego na nowej platformie (nawet jeśli cel szkoleniowy pozostał podobny).
- Znaczenie sytuacji użytkownika: W sprawie istotne było, że osoba, której dane dotyczyły, od 2017 r. nie była czynnym wykładowcą – a administrator nie wykazał innej podstawy prawnej do utrzymywania jej konta na nowej platformie.
- Archiwizacja a uruchomienie konta to różne rzeczy: Legalne przechowywanie danych w celach archiwalnych (np. z uwagi na obowiązki ustawowe) nie oznacza automatycznie, że te same dane można legalnie wykorzystać do utworzenia konta w nowym systemie. Każdy cel i każda operacja wymagają osobnej oceny.
- Wyciek danych podczas migracji ma konsekwencje: Sąd potwierdził, że w razie ujawnienia danych osobom trzecim w wyniku migracji organ nadzorczy może zastosować środek naprawczy (tu: upomnienie). W tej sprawie doszło do pozyskania danych przez nieustaloną osobę.
- Najważniejsze wnioski praktyczne dla organizacji:
- Migracja danych do nowego systemu to pełnoprawne przetwarzanie danych osobowych i wymaga podstawy z art. 6 ust. 1 RODO.
- Stara zgoda na konto/usługę nie musi obejmować nowej platformy – trzeba to sprawdzić i ewentualnie pozyskać nową podstawę.
- Tożsamy cel i podobna funkcjonalność systemów nie zwalniają z oceny legalności konkretnej operacji (np. przeniesienia i uruchomienia kont).
- Retencja/archiwizacja może być legalna, ale nie daje automatycznie prawa do ponownego użycia danych w nowym systemie.
- Nieuprawnione ujawnienie danych w trakcie migracji może skutkować działaniami organu nadzorczego (np. upomnieniem), niezależnie od tego, że incydent miał „techniczny” charakter.
MojeZdrowie@UE: zasady wymiany danych zdrowotnych
- Kontekst: 21 września 2026 r. Komisja opublikowała rozporządzenie wykonawcze (UE) 2026/2083 (przyjęte 18 września 2026 r.). Akt ustala szczegółowe zasady działania infrastruktury MojeZdrowie@UE, która ma umożliwiać transgraniczną wymianę elektronicznych danych zdrowotnych w UE w sposób bezpieczny i ujednolicony.
- Co reguluje akt: określa zasady w zakresie cyberbezpieczeństwa, interoperacyjności (technicznej i semantycznej) oraz zarządzania usługami w ramach MojeZdrowie@UE.
- Cztery centralne usługi zapewniane przez Komisję:
- oprogramowanie wzorcowe,
- centralna usługa terminologiczna,
- bezpieczna sieć łączności,
- centralna usługa konfiguracyjna.
Obowiązkowe dla krajowych punktów kontaktowych jest korzystanie z bezpiecznej sieci łączności i centralnej usługi konfiguracyjnej. - Kogo dotyczy:
- przede wszystkim krajowych punktów kontaktowych ds. e-zdrowia (NCPeH),
- także upoważnionych uczestników wskazanych w rozporządzeniu (UE) 2025/327 (w określonym zakresie),
- Komisji Europejskiej, która odpowiada za centralne elementy infrastruktury.
- Podział ról w ochronie danych:
- Krajowe punkty kontaktowe działają jako współadministratorzy (m.in. informowanie osób, obsługa żądań dot. praw, rejestrowanie wymiany danych, dokumentowanie zabezpieczeń).
- Komisja działa jako podmiot przetwarzający (m.in. zapewnia centralną bezpieczną łączność i przetwarza dane wyłącznie na instrukcje współadministratorów).
- Ograniczenie przetwarzania danych: w infrastrukturze wolno przetwarzać tylko wskazane kategorie elektronicznych danych zdrowotnych oraz dane niezbędne do zarządzania infrastrukturą i wsparcia technicznego.
- Katalog wymogów i specyfikacje techniczne:
- Komisja (we współpracy z grupą sterującą) przygotowuje i prowadzi katalog wymogów oraz proponuje specyfikacje.
- Grupa sterująca zatwierdza katalog i specyfikacje.
- Zmiany o dużym znaczeniu (np. niewstecznie zgodne) wchodzą jako wersje główne według harmonogramu; mniejsze zmiany mają odrębną procedurę.
- Uczestnicy muszą dostosowywać systemy do zatwierdzonych wersji i terminów.
- Zezwolenia jako warunek wymiany danych: rozpoczęcie i kontynuowanie wymiany danych jest uzależnione od zezwoleń grupy sterującej, opartych o testy i kontrole zgodności.
- Testy i kontrole zgodności:
- obowiązkowe przed rozpoczęciem wymiany,
- potem co 5 lat,
- dodatkowo doraźnie, gdy Komisja uzna, że istnieje krytyczne ryzyko dla bezpieczeństwa/poufności/ochrony danych.
Ustalenia z testów i kontroli klasyfikuje się jako: drobne, średnie lub krytyczne. - Terminy reakcji na ustalenia oraz skutki braku zezwolenia:
- plan działania trzeba przekazać Komisji w ciągu 15 dni roboczych od informacji o ustaleniach,
- zezwolenie po operacyjnej kontroli zgodności powinno być uzyskane maksymalnie w 2 miesiące od otrzymania wyniku kontroli,
- brak zezwolenia może skutkować środkami łagodzącymi, w tym czasowym zawieszeniem wymiany danych.
- Zgłaszanie poważnych incydentów:
- poważny incydent trzeba zgłosić jak najszybciej, nie później niż w 24 godziny od uzyskania informacji,
- zgłoszenie trafia do: przewodniczącego grupy sterującej, Komisji oraz właściwych krajowych punktów kontaktowych,
- możliwe środki łagodzące obejmują czasowe zawieszenie wymiany,
- informacja dla grupy sterującej (opis, skutki, przyczyna, środki) ma być przekazana najpóźniej w miesiąc od zgłoszenia.
- Przepisy przejściowe: krajowe punkty kontaktowe, które przed 26 marca 2029 r. wymieniały dane w dotychczasowej infrastrukturze (decyzja 2019/1765) i zostały wyznaczone na podstawie rozporządzenia (UE) 2025/327, mogą kontynuować wymianę w MojeZdrowie@UE i są uznawane za spełniające wymogi początkowego zezwolenia.
- Od kiedy stosuje się nowe zasady:
- rozporządzenie wchodzi w życie 20. dnia po publikacji w Dzienniku Urzędowym UE,
- stosuje się je od 26 marca 2027 r.
- Etapy obowiązkowej wymiany danych (wynikające z rozporządzenia (UE) 2025/327):
- od 26 marca 2029 r.: skrócone karty zdrowia pacjenta, e-recepty i realizacja e-recept,
- od 26 marca 2031 r.: badania obrazowe z opisami, wyniki badań medycznych z opisami oraz wypisy.
- Najważniejsze konsekwencje praktyczne dla podmiotów:
- zapewnienie zgodności rozwiązań krajowych z katalogiem wymogów i specyfikacjami,
- gotowość do testów, cyklicznych kontroli i szybkiego usuwania ustaleń,
- wdrożenie spójnych zabezpieczeń (organizacyjnych, fizycznych i logicznych),
- przygotowanie procesów obsługi praw osób, których dane dotyczą, oraz rejestrowania wymiany danych,
- procedury zgłaszania i obsługi incydentów w wymaganych terminach.
Wysoki Sąd Administracyjny Chorwacji utrzymał karę 675 000 kun dla sieci handlowej
- Kontekst: artykuł omawia wyrok dotyczący wycieku nagrania z monitoringu sklepu i pokazuje, że samo posiadanie „wewnętrznych zasad” nie wystarcza, jeśli w praktyce nie zapobiegają one nieuprawnionemu użyciu nagrań. Sprawa dotyczy obowiązków administratora danych wynikających z art. 32 RODO (bezpieczeństwo przetwarzania).
- Co się wydarzyło: pracownik uzyskał dostęp do systemu monitoringu (korzystając z danych logowania uprawnionej osoby), odtworzył nagranie sprzeczki klientów, nagrał ekran telefonem i rozesłał materiał przez WhatsApp; nagranie trafiło potem do mediów i mediów społecznościowych.
- Kluczowa teza wyroku: administrator odpowiada za brak odpowiednich środków bezpieczeństwa także wtedy, gdy naruszenie jest skutkiem umyślnego działania pracowników, a nie „przypadkowego błędu”.
- Dlaczego sąd uznał, że to nie był „błąd ludzki”: pracownicy działali świadomie: zdobyli dostęp, wyszukali materiał, odtworzyli go, nagrali telefonem i udostępnili osobom trzecim (działanie celowe).
- Jak sąd rozumie wymogi art. 32 RODO: środki bezpieczeństwa nie muszą gwarantować 100% ochrony, ale powinny:
- zapobiegać naruszeniom na wczesnym etapie lub je wyraźnie utrudniać,
- ograniczać ryzyko podobnych zdarzeń do możliwie najniższego poziomu.
- Co przesądziło o negatywnej ocenie zabezpieczeń w praktyce: mimo deklarowanych procedur i zabezpieczeń ustalono m.in., że hasło do systemu było widocznie umieszczone przy krawędzi monitora, a administrator nie prowadził regularnych kontroli dostępu i korzystania z monitoringu.
- Jakie środki wskazano jako szczególnie istotne (przykłady):
- regularna kontrola logów (kto i kiedy oglądał nagrania),
- realny zakaz udostępniania haseł osobom nieuprawnionym,
- ograniczenie dostępu do pomieszczenia z systemem monitoringu,
- jasne zasady używania telefonów/urządzeń mobilnych przy ekranach z monitoringiem (aby utrudnić nagrywanie ekranu).
- Wniosek praktyczny: administrator nie może poprzestać na formalnym wdrożeniu procedur (papierowo). Musi regularnie sprawdzać, czy w praktyce działają i czy realnie ograniczają ryzyko nieuprawnionego dostępu, kopiowania i rozpowszechniania danych.
- Decyzja sądu i kara: Wysoki Sąd Administracyjny Chorwacji (wyrok z 16 czerwca 2026 r.) oddalił odwołanie spółki i utrzymał karę administracyjną 675 000 kun, uznając ją za skuteczną, proporcjonalną i odstraszającą (zgodnie z kryteriami z art. 83 ust. 2 i 4 lit. a RODO).
- Dodatkowa okoliczność obciążająca: sąd zwrócił uwagę, że nagranie było nadal dostępne na portalu internetowym jeszcze 14 września 2023 r. (i także później).
- Szersze znaczenie wyroku: sprawa wykracza poza monitoring — potwierdza, że organizacja bezpieczeństwa musi uwzględniać również ryzyko nadużyć wewnętrznych (celowych działań pracowników), a odpowiedzialność za to pozostaje po stronie administratora.
Prezes UODO prosi Prezydenta RP o poparcie rozwiązań chroniących użytkowników Internetu
- Kontekst: Prezes UODO Mirosław Wróblewski zwrócił się do Prezydenta RP o poparcie rozwiązań, które mają skuteczniej chronić użytkowników Internetu (zwłaszcza dzieci i młodzież) przed nielegalnym wykorzystywaniem wizerunku i innych danych osobowych oraz przed nielegalnymi treściami.
- Dlaczego temat jest pilny: rozwój nowych technologii, w tym narzędzi opartych na sztucznej inteligencji, ułatwia przetwarzanie i modyfikowanie danych osobowych, co tworzy nowe zagrożenia dla prywatności.
- Deepfake jako realne zagrożenie: tworzenie i rozpowszechnianie fałszywych zdjęć i nagrań (np. intymnych) narusza ochronę danych osobowych oraz dobra osobiste (prywatność, cześć i dobre imię).
- Szczególna wrażliwość dzieci: cyberprzemoc dotyka najmocniej dzieci i młodzież; wizerunki małoletnich bywają bezprawnie używane do generowania fałszywych materiałów, także o charakterze seksualnym.
- Przykład z praktyki: wskazano sprawę uczniów szkoły podstawowej, którzy wygenerowali fałszywe zdjęcie nagiej koleżanki i zachęcali do jego rozpowszechniania; Prezes UODO zawiadomił organy ścigania o możliwości popełnienia przestępstwa.
- Wniosek z tego przypadku: łatwo dostępne technologie mogą prowadzić do głębokiej ingerencji w prywatność i godność człowieka, a konsekwencje dla dziecka lub młodej osoby mogą być szczególnie dotkliwe.
- Nie wystarczy karać po fakcie: ochrona przed zagrożeniami cyfrowymi nie powinna ograniczać się do penalizacji; potrzebne są także działania prewencyjne, edukacyjne, prawne i technologiczne.
- Postulowane mechanizmy techniczne: potrzebne są rozwiązania do weryfikacji autentyczności treści i wykrywania manipulacji (w tym materiałów kwalifikowanych jako dane osobowe).
- Kompetencje cyfrowe: kluczowe jest budowanie świadomości zagrożeń i umiejętności bezpiecznego korzystania z sieci, szczególnie wśród najmłodszych.
- Działania edukacyjne już wdrażane: w wyniku postulatów Prezesa UODO Ministerstwo Edukacji Narodowej ujęło w programie kształcenia klas 4–6 m.in. tematykę cyberprzemocy, hejtu, deepfake’ów, kradzieży tożsamości, phishingu, child groomingu, szantażu oraz korzyści i zagrożeń związanych z AI i VR.
- Kluczowy kierunek prawny: jednym z najważniejszych elementów ochrony użytkowników sieci ma być wdrożenie rozwiązań wynikających z aktu o usługach cyfrowych (DSA) oraz stworzenie skutecznej procedury reagowania na nielegalne treści.
- Postulat szybkiego blokowania treści: w pracach nad zmianami ustaw Prezes UODO zabiegał o szczególny tryb postępowania dla najpoważniejszych zagrożeń, w tym możliwość niezwłocznego blokowania treści związanych z seksualnym wykorzystywaniem małoletnich.
- Zmiany w projekcie: projekt został uzupełniony o rozwiązanie umożliwiające nadawanie decyzjom rygoru natychmiastowej wykonalności w sprawach dotyczących określonych nielegalnych treści (powiązanych z przestępstwami wskazanymi w Kodeksie karnym).
- Wskazana luka i jej uzupełnienie: Prezes UODO zwrócił uwagę, że katalog przestępstw nie obejmował wszystkich czynów dotyczących treści pornograficznych z udziałem małoletnich lub ich wizerunku (art. 202 § 3–4c k.k.) i postulował usunięcie tej luki.
- Efekt prac: 3 września 2026 r. Komisja Cyfryzacji, Innowacyjności i Nowoczesnych Technologii przyjęła odpowiednią poprawkę jednogłośnie (wśród obecnych posłów).
- Apel do Prezydenta RP: Prezes UODO poprosił o akceptację rozwiązań ustawowych wypracowanych przy wdrażaniu DSA, podkreślając ich znaczenie dla ochrony prywatności, danych osobowych i praw podstawowych dzieci.
- Znaczenie wdrożenia DSA: według Prezesa UODO wprowadzenie ustaw wdrażających DSA jest kluczowe dla skutecznej ochrony danych osobowych w Internecie i ograniczania nadużyć związanych z nowymi technologiami.
- Deklaracja wsparcia: Prezes UODO zadeklarował gotowość do dalszego eksperckiego wsparcia działań przeciwdziałających zagrożeniom cyfrowym i chroniących prawa użytkowników Internetu.
Administratorem danych osobowych jest Lex Artist sp. z o.o., ul. Szańcowa 74/1, 01-458 Warszawa. Dane osobowe będą przetwarzane w celu umieszczenia i obsługi komentarza na blogu. Przysługują Panu/Pani następujące prawa: prawo dostępu do treści danych, prawo do sprostowania danych, prawo do usunięcia danych, prawo do ograniczenia przetwarzania danych, prawo do wniesienia sprzeciwu, prawo do wniesienia skargi do organu nadzorczego. Pełna treść klauzuli informacyjnej znajduje się tutaj.
Zanonimizowany ciąg znaków stworzony na podstawie Pani/Pana adresu email (tak zwany hash) może zostać przesłany do usługi Gravatar w celu sprawdzenia czy jej Pan/Pani używa. Polityka prywatności usługi Gravatar jest dostępna tutaj. Po zatwierdzeniu komentarza obrazek profilowy jest widoczny publicznie w kontekście twojego komentarza.