Masowy atak na urządzenia Fortinet. Prawie 74 tys. przejętych urządzeń » Prezes UODO o wyzwaniach związanych z przetwarzaniem danych w administracji publicznej » 5 mln zł kary za naruszenie RODO – WSA potwierdza decyzję UODO » TSUE: sąd może wykorzystać dowody zawierające dane osobowe pozyskane niezgodnie z prawem » Wykorzystanie nieautoryzowanych narzędzi przetwarzania danych powodem naruszenia » Europejski Portfel Tożsamości Cyfrowej zmieni sposób pozyskiwania danych klientów » LastPass: hakerzy uzyskali dostęp do danych klientów w Salesforce » Prezes UODO: będzie kontrola w Szpitalu Południowym w Warszawie » EROD spotyka się z komisarzem UE i przyjmuje wspólny szablon zgłoszenia naruszenia ochrony danych
⬇️ Pobierz W PDF
Praktyczny poradnik o wdrażaniu RODO
Książka RODOLOGIA to kompleksowy przewodnik po RODO, który pomaga wdrożyć ochronę danych osobowych w sposób prosty, szybki i skuteczny. Ponad 500 stron praktycznej wiedzy podanej w przystępnej formie i zrozumiałym języku. A wszystko to podane w pięknej, premium formie. Dowiedz się więcej o RODOLOGII: SprawdźMasowy atak na urządzenia Fortinet. Prawie 74 tys. przejętych urządzeń
- Kontekst: To kolejny przypadek, gdy urządzenia mające chronić sieć (firewalle) stają się punktem wejścia dla atakujących. W opisywanej kampanii nie użyto „wyrafinowanych” technik — wystarczyło masowe skanowanie internetu, kradzież plików konfiguracyjnych i łamanie haseł z użyciem klastra kart graficznych. Efekt: przejęto ponad 73 tys. urządzeń Fortinet.
- Co się stało: Niezależni badacze oraz Hudson Rock opisali masową kampanię przeciw systemom Fortinet (FortiGate), nazwaną FortiBleed, która doprowadziła do przejęcia ok. 73 932 aktywnych firewalli w 194 krajach.
- Skala: Według analiz liczba przejętych urządzeń może odpowiadać ok. 50% wszystkich urządzeń Fortinet wystawionych bezpośrednio do internetu; łącznie zidentyfikowano ok. 21,5 tys. unikalnych domen.
- Kto wykrył i analizował: Operację jako pierwszy zauważył badacz Volodymyr “Bob” Diachenko; później działania szczegółowo analizowali m.in. Hudson Rock oraz Kevin Beaumont.
- Prawdopodobni sprawcy: Za atakiem ma stać rosyjskojęzyczna grupa działająca jak Initial Access Brokers (IAB) — czyli podmiot, który uzyskuje dostęp do infrastruktury firm i sprzedaje go dalej na czarnym rynku.
- Jak wyglądał schemat ataku (w uproszczeniu):
- automatyczne skanowanie internetu w poszukiwaniu urządzeń Fortinet z wystawionym panelem zarządzania,
- wykorzystanie niezałatanych podatności do kradzieży plików konfiguracyjnych,
- wyciągnięcie z nich hashy haseł (kryptograficznych skrótów),
- łamanie hashy offline (poza atakowanym systemem), z użyciem klastra GPU i narzędzia Hashtopolis.
- Dlaczego „zabezpieczenia logowania” nie pomogły: Ponieważ łamanie odbywało się offline, mechanizmy typu blokady po wielu błędnych logowaniach (rate limiting) nie miały znaczenia.
- Jak łamano hasła: Nie chodziło wyłącznie o „brute force”. Pomogły słowniki budowane m.in. na podstawie haseł z wycieków i danych ze stealerów (złośliwego oprogramowania wykradającego dane). Nawet pozornie długie hasła mogły być podatne, jeśli miały przewidywalną strukturę (np. powtórzenia).
- Intensywność działań: Badacze szacują ponad 1,16 mld prób łamania zabezpieczeń wobec ok. 320 tys. systemów FortiGate.
- Po co im to było: Celem nie było tylko odzyskanie haseł, ale uzyskanie trwałego przyczółka do dalszych działań. Uporządkowana baza celów (branża, lokalizacja, przychody) sugeruje model biznesowy typowy dla IAB.
- Kogo dotknęło: Potwierdzone incydenty miały wystąpić m.in. w USA, Tajwanie, Indiach, Meksyku, Francji, Hiszpanii i Turcji. Ataki dotknęły szczególnie sektor IT, telekomunikacyjny, finansowy oraz instytucje rządowe.
- Najpoważniejszy przykład ryzyka: Wspomniano przypadek tureckiego kontrahenta NATO, z którego systemów miały zostać wykradzione dokumenty niejawne.
- Co ułatwiło atak (czynnik techniczny): Kluczowy był przestarzały mechanizm przechowywania poświadczeń. Przy SHA-256 obliczenia można łatwo zrównoleglić na GPU, co pozwala sprawdzać nawet miliardy hashy na sekundę przy odpowiedniej infrastrukturze i słownikach.
- Reakcja/zmiany po stronie Fortinet: Na początku 2025 r. Fortinet zmienił sposób przechowywania haseł na PBKDF2, co znacząco utrudnia łamanie (spadek wydajności z miliardów prób/s do kilkunastu–kilkuset prób/s zależnie od GPU).
- Najważniejszy wniosek praktyczny: Nawet „mocne” hasło może nie wystarczyć, zwłaszcza gdy poświadczenia wyciekną lub zostaną wykradzione przez malware. Najskuteczniejszym zabezpieczeniem w takim scenariuszu jest uwierzytelnianie wieloskładnikowe (MFA).
Prezes UODO o wyzwaniach związanych z przetwarzaniem danych w administracji publicznej
- Kontekst wydarzenia: 15 czerwca 2026 r. na Uniwersytecie Ekonomicznym (Centrum Nowoczesnych Technologii Informatycznych) odbyła się konferencja „Współczesne wyzwania w administracji publicznej i biznesie”. Udział wzięli m.in. prezes UODO Mirosław Wróblewski oraz dyrektor Departamentu Prawa i Nowych Technologii UODO Monika Krasińska. Organizatorem był dr Stanisław Hady-Głowiak (członek Społecznego Zespołu Ekspertów przy Prezesie UODO).
- Główna teza prezesa UODO: ochrona danych osobowych to nie tylko wymóg prawny, ale warunek sprawnego, bezpiecznego i odpowiedzialnego działania państwa.
- Skutki naruszeń danych: wycieki i inne naruszenia mogą uderzać nie tylko w prywatność obywateli, ale też osłabiać zaufanie do instytucji publicznych.
- Rosnące znaczenie cyberbezpieczeństwa: podkreślono potrzebę szczególnej ochrony rejestrów publicznych oraz traktowania ochrony danych jako elementu bezpieczeństwa państwa – zwłaszcza przy cyfryzacji, rozwoju AI i nasileniu cyberzagrożeń.
- Skala danych w sektorze publicznym: instytucje publiczne przetwarzają bardzo szeroki zakres informacji (m.in. dane identyfikacyjne, adresowe, zdrowotne, edukacyjne, socjalne i finansowe), w tym dane dzieci, pacjentów, seniorów, pracowników i osób korzystających z usług publicznych.
- Brak realnego wyboru obywatela: w wielu sprawach przekazanie danych organowi publicznemu jest obowiązkowe (wynika z prawa) lub konieczne do załatwienia sprawy.
- Rola inspektorów ochrony danych (IOD): w sektorze publicznym IOD są kluczowi, ale aby działali skutecznie, administrator musi zapewnić im niezależność, dostęp do informacji, odpowiednie zasoby oraz realny wpływ na procesy przetwarzania.
- Perspektywa praktyczna (Monika Krasińska): istotnym wyzwaniem jest dalsze dostosowywanie prawa krajowego do RODO oraz budowanie „kultury zarządzania danymi osobowymi” w instytucjach.
- Wzrost świadomości społecznej: zaznaczono, że rośnie świadomość zagrożeń związanych z ochroną danych osobowych, co zwiększa oczekiwania wobec instytucji.
- Bezpieczeństwo informacji w szkołach (dr Stanisław Hady-Głowiak): omówiono problemy i rozwiązania dotyczące ochrony wizerunku osób małoletnich oraz obowiązków administratorów danych w placówkach oświatowych.
- Ryzykowne praktyki w oświacie: wskazano, że część szkół nadal prowadzi korespondencję przez komercyjne skrzynki e-mail i domeny, często bez odpowiednich umów, co może prowadzić do nieuprawnionego przetwarzania danych i obniżać zaufanie do instytucji publicznych.
- PESEL i ograniczenia zastrzeżenia: przypomniano, że ustawa o ewidencji ludności przewiduje możliwość nieodpłatnego zastrzeżenia numeru PESEL wyłącznie dla osób pełnoletnich.
- IOD w jednostkach podległych samorządom: podkreślono, że wójt/burmistrz/prezydent miasta nie może samodzielnie wyznaczyć jednego IOD dla wszystkich podległych jednostek – każda jednostka (np. szkoła) jest odrębnym administratorem i musi wyznaczyć IOD samodzielnie.
- Telefony w szkołach podstawowych: odniesiono się do projektowanych zmian dotyczących zakazu korzystania z telefonów; zwrócono uwagę na potrzebę budowania świadomości prawnej uczniów w zakresie prywatności i ryzyk związanych z aplikacjami.
- Ochrona małoletnich w najmie krótkoterminowym: dr Dominik Borek (Dyrektor Departamentu Turystyki MSiT) przedstawił zagadnienia administracyjnoprawne dotyczące ochrony małoletnich w obiektach najmu krótkoterminowego.
- Zakończenie i podziękowania: podczas konferencji wręczono podziękowania dla organizatorów i członków Rady Naukowej od Sekretarza Stanu w MSiT Ireneusza Rasia oraz Prezesa UODO.
5 mln zł kary za naruszenie RODO – WSA potwierdza decyzję UODO
- Kontekst: sprawa dotyczy naruszenia bezpieczeństwa danych klientów Fortum Marketing and Sales S.A. podczas modernizacji systemu IT. W efekcie nałożono kary: blisko 5 mln zł dla administratora oraz ponad 250 tys. zł dla podmiotu przetwarzającego. Wojewódzki Sąd Administracyjny (WSA) w Warszawie potwierdził stanowisko Prezesa UODO.
- Co się stało: błędnie utworzona baza danych umożliwiła osobom nieuprawnionym dostęp do danych ok. 95 tys. osób.
- Jakie dane były narażone: m.in. imiona i nazwiska, adresy, numery PESEL, dane dokumentów tożsamości oraz informacje o zawartych umowach.
- Kto odpowiada: odpowiedzialność przypisano zarówno administratorowi danych, jak i podmiotowi przetwarzającemu (procesorowi).
- Ustalenia wobec administratora (Fortum):
- niewystarczająco zweryfikował procesora,
- nie skorzystał z prawa kontroli przewidzianego w art. 28 RODO,
- nie sprawował realnego nadzoru nad pracami prowadzonymi przez procesora.
- Ustalenia wobec podmiotu przetwarzającego:
- używał rzeczywistych danych osobowych do testów bez pseudonimizacji,
- nie wdrożył pełnej konfiguracji zabezpieczeń,
- nie testował skuteczności zastosowanych zabezpieczeń.
- Przebieg sprawy w sądach: po wcześniejszym uchyleniu decyzji przez WSA, Naczelny Sąd Administracyjny zakwestionował tę ocenę i przekazał sprawę do ponownego rozpoznania. W najnowszym wyroku WSA uznał, że UODO prawidłowo ustalił fakty, a kary są skuteczne, proporcjonalne i odstraszające.
- Kluczowy wniosek dla organizacji: odpowiedzialność administratora nie kończy się na wyborze dostawcy i podpisaniu umowy powierzenia. Jeśli administrator ma uprawnienia kontrolne (art. 28 RODO), powinien z nich realnie korzystać — brak nadzoru może zostać potraktowany jako odrębne naruszenie.
- Wniosek dotyczący testów i rozwoju systemów: środowiska testowe także podlegają wymaganiom RODO. Używanie prawdziwych danych bez pseudonimizacji i bez podstawowych zabezpieczeń zostało uznane za naruszenie zasad bezpieczeństwa przetwarzania.
- Praktyczna sugestia: standardy ochrony danych powinny być uwzględniane już na etapie projektowania i wdrażania zmian w systemach (zasada „privacy by design”).
- Pytanie do odbiorców (do dyskusji): czy w polskich organizacjach audyt procesora kończy się na etapie wyboru dostawcy, czy obejmuje także późniejszy nadzór nad realizacją powierzonych procesów?
TSUE: sąd może wykorzystać dowody zawierające dane osobowe pozyskane niezgodnie z prawem
- Kontekst: 18 czerwca 2026 r. TSUE wydał wyrok w sprawie C-484/24 (NTH Haustechnik GmbH przeciwko EM), dotyczący tego, jak pogodzić RODO (ochronę danych osobowych) z prawem do rzetelnego procesu, gdy w sądzie pojawiają się dowody zawierające dane osobowe pozyskane wcześniej w sposób potencjalnie niezgodny z prawem.
- Tło sporu: firma NTH twierdziła, że była pracownica (EM) sprzedawała na eBay rzeczy należące do spółki (wartość sprzedaży ok. 13 217,09 EUR), a łączną szkodę wyliczono na ok. 46 567,91 EUR. EM zaprzeczała, wskazując m.in. na zwroty/wadliwe lub przestarzałe towary oraz rzekome przekazanie jej tych przedmiotów.
- Kluczowy problem RODO: spółka miała dowiedzieć się o transakcjach przez uzyskanie dostępu do prywatnego konta eBay EM (spór dotyczył m.in. tego, jak pozyskano login i hasło). Sąd krajowy nie wykluczył, że pozyskanie danych mogło być niezgodne z prawem.
- Najważniejszy wniosek z wyroku: TSUE nie przyjął zasady automatycznego odrzucania przez sąd dowodu tylko dlatego, że zawiera dane osobowe zebrane wcześniej z naruszeniem RODO.
- RODO dotyczy także sądów: sąd, analizując dowody, włączając dokumenty do akt, doręczając pisma czy ujawniając dane w uzasadnieniu, również „przetwarza dane” i działa w reżimie RODO.
- Podstawa prawna po stronie sądu: TSUE wskazał, że przetwarzanie danych przez sąd w ramach oceny dowodów co do zasady można oprzeć na art. 6 ust. 1 lit. c RODO (obowiązek prawny ciążący na sądzie), bo sąd ma obowiązek rozstrzygać o dopuszczalności i znaczeniu dowodów.
- Przepisy procesowe nie muszą szczegółowo opisywać „danych osobowych” w dowodach: TSUE uznał, że krajowe regulacje mogą być wystarczające nawet bez szczegółowych zasad dot. dowodów zawierających dane osobowe, o ile istnieje jasne, precyzyjne i przewidywalne orzecznictwo, które określa warunki użycia takich danych oraz jest proporcjonalne do celu publicznego (wymiar sprawiedliwości).
- Bardzo ważne doprecyzowanie: art. 17 ust. 3 lit. e RODO nie „legalizuje” przetwarzania.
- Ten przepis mówi o wyjątku od prawa do usunięcia danych, gdy dane są potrzebne do ustalenia/dochodzenia/obrony roszczeń.
- TSUE wyraźnie stwierdził, że nie jest to samodzielna podstawa legalności przetwarzania.
- Jeśli ktoś przetwarza dane „na potrzeby sporu”, nadal musi mieć właściwą podstawę z art. 6 ust. 1 RODO.
- Brak bezwzględnego zakazu użycia dowodów „zebranych nielegalnie”: TSUE podkreślił, że RODO nie zakazuje ogólnie i bezwzględnie sądowi uwzględnienia danych osobowych, które wcześniej strona przetwarzała niezgodnie z prawem.
- Kluczowe „ważenie” praw: prawo do ochrony danych osobowych nie jest absolutne i musi być ważone z prawem do skutecznej ochrony sądowej i rzetelnego procesu (art. 47 Karty).
- Granica: zasada minimalizacji danych (art. 5 ust. 1 lit. c RODO). Sąd ma obowiązek pilnować, by przetwarzał tylko dane: adekwatne, stosowne i niezbędne do celu.
- Jak to ma wyglądać w praktyce (model etapowy):
- Etap 1 – ocena dopuszczalności dowodu: sąd może zapoznać się z danymi, aby ocenić, czy dowód jest dopuszczalny i istotny.
- Etap 2 – po uznaniu dowodu za dopuszczalny: przed włączeniem dokumentu do akt sąd powinien zbadać, czy wszystkie dane w dokumencie są konieczne; może stosować środki ograniczające, np. anonimizację (o ile nie narusza to praw stron).
- Etap 3 – ujawnianie/doręczanie/publikacja: przed ujawnieniem danych stronom lub osobom trzecim sąd powinien sprawdzić, czy zakres ujawnienia jest niezbędny, i w razie potrzeby stosować anonimizację/pseudonimizację.
- Naruszenie obowiązku informacyjnego (art. 13 RODO) nie blokuje automatycznie dowodu: nawet jeśli strona lub osoba trzecia zebrała dane bez spełnienia obowiązków informacyjnych, TSUE uznał, że nie wyklucza to wykorzystania tych danych przez sąd w ramach wymiaru sprawiedliwości.
- Dane osób trzecich: sąd musi stosować RODO również wtedy, gdy w materiale dowodowym pojawiają się dane osób trzecich. Natomiast to, czy strona procesu może skutecznie powoływać się na naruszenie praw innych osób, zależy od krajowych reguł proceduralnych (brak pełnej jednolitości na poziomie UE).
- Znaczenie dla pracodawców: wyrok nie zachęca do zdobywania dowodów „za wszelką cenę”. To, że sąd może później dopuścić dowód, nie legalizuje wcześniejszego pozyskania danych przez pracodawcę. Pracodawca nadal musi wykazać zgodność działań z RODO (podstawa prawna, rzetelność, proporcjonalność, celowość).
- Znaczenie dla sądów: sądy nie są zwolnione z RODO, ale też nie muszą automatycznie odrzucać dowodów z „wadą RODO”. Ich kluczowym obowiązkiem jest kontrola zakresu danych i stosowanie minimalizacji (w tym anonimizacji), zwłaszcza przy aktach, doręczeniach i treści orzeczeń.
Wykorzystanie nieautoryzowanych narzędzi przetwarzania danych powodem naruszenia
- Kontekst sprawy: Prezes UODO Mirosław Wróblewski, po postępowaniu dotyczącym naruszenia ochrony danych zgłoszonego przez Energa-Obrót, nałożył upomnienia na administratora danych (spółkę) i podmioty przetwarzające (partnerów). Dodatkowo na jeden z podmiotów przetwarzających nałożył administracyjną karę pieniężną.
- Na czym polegał problem: W sieci sprzedaży door-to-door przedstawiciele handlowi działający na rzecz Energa-Obrót mieli korzystać z nieautoryzowanego komunikatora WhatsApp do spraw służbowych, w tym do przesyłania/posiadania danych klientów.
- Tło czasowe: Sprawa sięga 2021 r. (okres pandemii), gdy handlowcy partnerów biznesowych odwiedzali klientów w domach i proponowali m.in. aneksy do umów. W mediach pojawiały się kontrowersje co do praktyk sprzedażowych.
- Jak wykryto naruszenie: Impulsem była rozmowa pracowników Energa-Obrót z byłym przedstawicielem handlowym, który prosił o pomoc w sporze o należności. W rozmowie wyszło na jaw, że on i inni handlowcy używali WhatsApp.
- Co znajdowało się na prywatnym telefonie: Na urządzeniu byłego handlowca były skany i zdjęcia umów klientów (oprócz poleceń służbowych). Zrzut ekranu wskazywał na grupowy charakter konwersacji.
- Reakcja spółki (administrator danych): Energa-Obrót przeprowadziła wewnętrzne postępowanie wyjaśniające, oceniła zdarzenie jako naruszenie ochrony danych i zgłosiła je Prezesowi UODO tego samego dnia.
- Skala naruszenia według ustaleń spółki: Administrator wskazał, że naruszenie dotyczyło co najmniej 15 osób, których dane przetwarzano w ramach projektu sprzedażowego.
- Istotna okoliczność: Nieautoryzowana aplikacja była używana jako narzędzie przetwarzania danych przez wiele miesięcy.
- Wyjaśnienia partnera biznesowego: Partner, który dopuścił używanie komunikatora, tłumaczył, że był to „narzędziowy” sposób usprawnienia komunikacji w warunkach pandemii (przy osobistych wizytach u klientów). Deklarował też m.in. upoważnienia dla pracowników oraz zobowiązania do poufności.
- Dodatkowe ryzyko: Przekazane organowi ustalenia obejmowały informację, że komunikacja w aplikacji odbywała się częściowo poza Europejskim Obszarem Gospodarczym.
- Kluczowe ustalenia Prezesa UODO wobec administratora: Energa-Obrót nie wdrożyła odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo przetwarzania oraz niewłaściwie zweryfikowała, czy podmiot przetwarzający daje wystarczające gwarancje bezpieczeństwa.
- Nieprawidłowości po stronie podmiotu przetwarzającego: Podmiot, który dopuścił korzystanie z WhatsApp przez pracowników, również nie wdrożył odpowiednich zabezpieczeń w zakresie przetwarzania danych.
- Decyzje organu: Prezes UODO udzielił upomnień oraz nałożył na jeden z podmiotów przetwarzających karę 10 145 zł.
- Problem ze spójnością wyjaśnień: W toku postępowania wykazano niespójności między wyjaśnieniami administratora a wyjaśnieniami wskazanego podmiotu przetwarzającego; podmiot ten miał też umniejszać swoją rolę i przenosić odpowiedzialność na inne osoby.
Europejski Portfel Tożsamości Cyfrowej zmieni sposób pozyskiwania danych klientów
- Kontekst: 24 grudnia 2026 r. ma zadebiutować Europejski Portfel Tożsamości Cyfrowej (EDIW) – kluczowy projekt cyfrowy UE. Przedsiębiorcy, banki i inne instytucje muszą stopniowo przygotować się do jego obsługi, bo ma on usprawnić identyfikację klientów i zawieranie umów, ograniczyć ilość przetwarzanych danych oraz zwiększyć wiarygodność informacji, ale jednocześnie wymusi kosztowne zmiany w IT i procedurach.
- EDIW to nie tylko aplikacja: to budowa wspólnej, europejskiej infrastruktury identyfikacji elektronicznej działającej we wszystkich państwach UE (wzajemne uznawanie).
- Podstawa prawna: zmiany wynikają z rozporządzenia eIDAS 2.0 (obowiązuje od maja 2024 r.), które istotnie wpływa na sposób identyfikacji i weryfikacji danych klientów w wielu sektorach (m.in. bankowość, transport, energia) oraz na dużych platformach internetowych.
- Najważniejsze daty (harmonogram):
- 24 grudnia 2026 r. – udostępnienie EDIW w każdym państwie UE i wzajemna uznawalność; możliwość korzystania z nieodpłatnego kwalifikowanego podpisu elektronicznego do celów prywatnych (skutek prawny jak podpis własnoręczny).
- 24 grudnia 2027 r. – obowiązek akceptacji EDIW jako jednej z metod silnego uwierzytelniania (SCA) oraz powiązanie z nowymi realiami AML (pakiet AML, w tym AMLR 2024/1624 obowiązujący od 10 lipca 2027 r.).
- Praktyczny „efekt narzędziowy” eIDAS 2.0 ma być szczególnie widoczny od 2027 r.
- Co będzie w portfelu: m.in. cyfrowe potwierdzenia tożsamości, prawo jazdy, dane zawodowe i inne dokumenty/atrybuty potwierdzające uprawnienia.
- Kontrola użytkownika: użytkownik sam decyduje, czy używa EDIW oraz jakie dane udostępnia i komu.
- Znaczenie dla firm: EDIW może ograniczyć potrzebę pozyskiwania kopii dokumentów tożsamości oraz uprościć zawieranie umów i weryfikację klientów.
- EDIW a AML (przeciwdziałanie praniu pieniędzy): choć AMLR nie odwołuje się wprost do eIDAS/EDIW, dopuszcza elektroniczne mechanizmy weryfikacji, a projektowane standardy techniczne (AMLA) mają promować stosowanie środków identyfikacji elektronicznej o odpowiednim poziomie pewności (znacznym lub wysokim – jak EDIW).
- Wniosek praktyczny: EDIW może stać się pełnoprawnym narzędziem identyfikacji w procesach onboardingu i innych sytuacjach wymagających środków bezpieczeństwa finansowego – to element systemu bezpieczeństwa, nie tylko „wygoda”.
- Ważny sygnał regulatora (UODO): decyzja wobec ING Banku Śląskiego (2025) wskazała, że masowe skanowanie dokumentów bez indywidualnej oceny ryzyka i bez wykazania konieczności może naruszać zasadę minimalizacji danych i proporcjonalności.
- Jak EDIW odpowiada na ten problem: umożliwia selektywne przekazywanie tylko tych atrybutów/danych, które są niezbędne do konkretnego celu, zamiast kopiowania całego dokumentu.
- Obowiązek akceptacji EDIW także „w oddziale”: ostatecznie przyjęto, że obowiązek akceptacji danych z EDIW obejmie również procesy stacjonarne (np. w banku przy okienku), ale wejdzie w życie 24 grudnia 2027 r.
- Skutki poza bankami: obowiązek może dotyczyć także podmiotów współpracujących z instytucjami finansowymi (np. sklepy oferujące sprzedaż ratalną).
- Dodatkowy kontekst nadzorczy: stanowisko UKNF z 19 marca 2026 r. porządkuje podejście do procesów AML i wskazuje m.in. na kwestie przechowywania informacji pozyskiwanych również przy użyciu środków identyfikacji elektronicznej/usług zaufania.
- Czy korzystanie z EDIW będzie „obowiązkowe”? kierunek zmian jest taki, że instytucje (zwłaszcza objęte obowiązkami AML) powinny projektować procesy tak, by były gotowe na obsługę EDIW – jeśli klient zdecyduje się użyć portfela, instytucja musi móc przeprowadzić proces w tej formie.
- Możliwy scenariusz: w wielu przypadkach onboarding może odbywać się w całości w środowisku EDIW (uwierzytelnienie + pozyskanie danych do wymogów AML).
- Największe wyzwanie: technologia i koszty
- Państwa członkowskie: integracja rejestrów publicznych (np. PESEL, rejestry praw jazdy) z nowym systemem.
- Podmioty prywatne („strony ufające”): dostosowanie systemów do bezpiecznej, zautomatyzowanej wymiany danych w czasie rzeczywistym.
- Konieczne będą nowoczesne API, spełnienie rygorystycznych wymogów bezpieczeństwa oraz certyfikacji – istotne obciążenie budżetowe i kadrowe (IT, compliance, procedury obsługi).
- Polska w lepszej pozycji startowej: dzięki doświadczeniom z mObywatel część mechanizmów jest już rozwinięta; wdrożenie EDIW ma w dużej mierze polegać na dostosowaniu istniejących rozwiązań do wspólnych unijnych standardów komunikacji.
- Podstawa prawna (wskazana w tekście): Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1183 z 11 kwietnia 2024 r. (zmiana rozporządzenia (UE) nr 910/2014) ustanawiające europejskie ramy tożsamości cyfrowej.
LastPass: hakerzy uzyskali dostęp do danych klientów w Salesforce
- Kontekst: LastPass (jeden z najbardziej znanych na świecie menedżerów haseł) poinformował o incydencie bezpieczeństwa, w wyniku którego hakerzy uzyskali dostęp do części danych klientów przechowywanych w środowisku Salesforce. Według firmy nie doszło do naruszenia sejfów haseł ani infrastruktury produktów LastPass.
- Co się stało: 12 czerwca LastPass otrzymał informację o incydencie w serwisie Klue (zewnętrzna platforma analiz rynkowych używana przez zespoły LastPass i zintegrowana z Salesforce oraz Gong).
- Przyczyna ataku: doszło do ataku na łańcuch dostaw Klue, w wyniku którego atakujący wykradli tokeny OAuth przechowywane przez Klue dla wielu klientów (w tym LastPass). Następnie użyli tych tokenów, aby uzyskać dostęp do danych w środowisku Salesforce LastPass.
- Zakres potencjalnie ujawnionych danych (Salesforce):
- imiona i nazwiska klientów,
- numery telefonów,
- adresy e-mail,
- adresy pocztowe,
- informacje dotyczące zgłoszeń do pomocy technicznej,
- dane sprzedażowe/CRM.
- Co nie zostało potwierdzone: dochodzenie nie wykazało, aby hakerzy uzyskali dostęp do danych związanych z Gong (które zwykle obejmują rozmowy telefoniczne i wiadomości e-mail klientów).
- Ryzyka dla klientów: ujawnione dane kontaktowe i informacje CRM mogą zostać wykorzystane do phishingu i inżynierii społecznej (np. podszywanie się pod wsparcie techniczne lub dział sprzedaży).
- Zalecenia ostrożności: zachować czujność wobec niechcianych telefonów i e-maili, zwłaszcza gdy nadawca prosi o podanie poufnych danych lub wykonanie nietypowych działań (np. kliknięcie linku, podanie kodu, zmiana ustawień).
- Kto przyznał się do ataku: grupa Icarus oświadczyła, że przejęła kontrolę nad infrastrukturą Klue i wykradła tokeny OAuth łączące środowiska Salesforce klientów.
- Jak doszło do przejęcia Klue (wg informacji): atakujący użyli skradzionych, starszych danych uwierzytelniających do usługi integracyjnej, co pozwoliło im uzyskać dostęp do tokenów OAuth wykorzystywanych do połączeń z usługami firm trzecich.
- Kogo dotknął incydent poza LastPass: wskazano, że skutki mogły objąć wiele organizacji, m.in. Recorded Future, Tanium, Jamf, Sprout Social, Gong i Insurity.
- Działania podjęte przez LastPass: zablokowanie pracownikom dostępu do Klue, wymiana narażonych tokenów API/OAuth, powiadomienie organów ścigania; trwa dalsze dochodzenie.
- Dodatkowe tło: w grudniu 2025 r. LastPass został ukarany grzywną 1,2 mln funtów (ok. 1,58 mln USD) w związku z poważnym wyciekiem danych z 2023 r., który dotknął 1,6 mln osób.
Prezes UODO: będzie kontrola w Szpitalu Południowym w Warszawie
- Kontekst: Prezes UODO (Urząd Ochrony Danych Osobowych) sprawdzi w kontroli Szpital Południowy w Warszawie pod kątem rejestracji dźwięku przez monitoring, możliwych naruszeń ochrony danych oraz tego, czy szpital ma prawidłowe procedury przetwarzania danych osobowych.
- Impulsem do kontroli były doniesienia medialne, że monitoring w szpitalu nagrywa nie tylko obraz, ale również dźwięk.
- Takie rozwiązanie (nagrywanie dźwięku) wymagałoby od administratora danych odpowiedniej podstawy prawnej; bez niej może być uznane za nieuprawnione.
- Prezes UODO wskazuje, że w przeszłości badał już przypadki nielegalnego monitoringu w placówkach medycznych.
- Przykład z wcześniejszych działań: na Centrum Medyczne Ujastek nałożono dwie kary o łącznej kwocie 1 145 891,25 zł m.in. za:
- monitoring wizyjny na dwóch salach neonatologii zainstalowany niezgodnie z przepisami,
- brak odpowiednich zabezpieczeń organizacyjnych i technicznych dla danych na kartach pamięci w urządzeniach monitorujących.
- Decyzję o nałożeniu kar na Centrum Medyczne Ujastek podtrzymał Wojewódzki Sąd Administracyjny w Warszawie (skarga placówki została oddalona).
- Monitoring wizyjny w szpitalach jest także elementem tegorocznych kontroli sektorowych prowadzonych przez Prezesa UODO.
- Kontrola w Szpitalu Południowym ma dotyczyć nie tylko monitoringu: według doniesień medialnych lista potencjalnych problemów jest szersza.
- Media informowały też o możliwym naruszeniu zasad RODO (art. 5), w szczególności:
- prawidłowości danych (czy dane są poprawne i aktualne),
- integralności danych (czy dane są odpowiednio chronione przed nieuprawnioną zmianą lub dostępem).
- Pojawiły się również informacje, że w placówce mogło dochodzić do ujawniania danych o stanie zdrowia, czyli danych szczególnie wrażliwych.
EROD spotyka się z komisarzem UE i przyjmuje wspólny szablon zgłoszenia naruszenia ochrony danych
- Kontekst: podczas 121. posiedzenia plenarnego EROD (Europejskiej Rady Ochrony Danych) w dniach 8–9 czerwca 2026 r. odbyło się spotkanie z komisarzem UE Michaelem McGrathem (ds. demokracji, wymiaru sprawiedliwości, praworządności i ochrony konsumentów). EROD przyjęła też wspólny szablon zgłaszania naruszeń ochrony danych.
- Cel rozmów: omówienie wspólnych priorytetów oraz bieżących działań w obszarach interesujących zarówno Komisję Europejską, jak i EROD.
- „Digital Omnibus” – kluczowy spór o definicję danych osobowych: EROD poparła część proponowanych uproszczeń, ale wyraźnie sprzeciwiła się planowanym zmianom definicji „danych osobowych”, uznając je za ryzyko istotnego osłabienia ochrony osób fizycznych.
- Nacisk na prawa podstawowe: przewodnicząca EROD Anu Talus podkreśliła, że uproszczenia regulacyjne są akceptowalne tylko wtedy, gdy nie odbywają się kosztem praw podstawowych; EROD promuje „podejście skoncentrowane na człowieku” w regulacji cyfrowej.
- Współpraca regulatorów: komisarz McGrath i EROD rozmawiali o dalszym wzmacnianiu współpracy między organami regulacyjnymi, aby skuteczniej reagować na szybko zmieniające się środowisko cyfrowe.
- Ochrona dzieci: EROD pracuje nad wytycznymi dotyczącymi przetwarzania danych dzieci; przedstawiciele EROD uczestniczyli też w spotkaniu dot. bezpieczeństwa dzieci w internecie organizowanym przez Komisję Europejską.
- Reklama polityczna: omawiano postępy prac i wytyczne EROD dotyczące przetwarzania danych osobowych przy targetowaniu i dostarczaniu reklam politycznych w ramach przepisów o przejrzystości i targetowaniu reklam politycznych; EROD przyjęła sprawozdanie z wydarzenia dla interesariuszy z 27 marca 2026 r.
- Międzynarodowe transfery danych: podkreślono znaczenie współpracy z państwami trzecimi dla wzmacniania globalnych standardów ochrony danych.
- Zasoby organów ochrony danych: EROD zaznaczyła, że odpowiednie finansowanie i obsada kadrowa organów ochrony danych są niezbędne do prawidłowego wykonywania ich zadań.
- Nowy wspólny szablon zgłaszania naruszeń: w ramach działań na rzecz ułatwienia zgodności z RODO i zwiększenia spójności w Europie EROD przyjęła wspólny szablon zgłoszenia naruszenia ochrony danych.
- Po co szablon: ma uporządkować i ujednolicić zgłaszanie naruszeń, tak aby zgłoszenia zawierały informacje wymagane przez art. 33 RODO, co ma ułatwić terminowe raportowanie przez organizacje i ocenę spraw przez organy.
- Co zawiera: gotowe opcje do wyboru oraz wskazówki do wypełniania pól; ma to ograniczyć czas i koszty, szczególnie dla mniejszych podmiotów bez dedykowanych zasobów (np. inspektora ochrony danych czy wsparcia prawnego).
- Konsultacje i wdrożenie: szablon będzie konsultowany publicznie do 5 sierpnia 2026 r.; po konsultacjach EROD ustali harmonogram praktycznego wdrożenia przez wszystkie organy ochrony danych.
Administratorem danych osobowych jest Lex Artist sp. z o.o., ul. Szańcowa 74/1, 01-458 Warszawa. Dane osobowe będą przetwarzane w celu umieszczenia i obsługi komentarza na blogu. Przysługują Panu/Pani następujące prawa: prawo dostępu do treści danych, prawo do sprostowania danych, prawo do usunięcia danych, prawo do ograniczenia przetwarzania danych, prawo do wniesienia sprzeciwu, prawo do wniesienia skargi do organu nadzorczego. Pełna treść klauzuli informacyjnej znajduje się tutaj.
Zanonimizowany ciąg znaków stworzony na podstawie Pani/Pana adresu email (tak zwany hash) może zostać przesłany do usługi Gravatar w celu sprawdzenia czy jej Pan/Pani używa. Polityka prywatności usługi Gravatar jest dostępna tutaj. Po zatwierdzeniu komentarza obrazek profilowy jest widoczny publicznie w kontekście twojego komentarza.