Dnia 2 sierpnia 2026 r. wszedł w życie art. 50 unijnego AI Act, czyli przepis regulujący przejrzystość systemów sztucznej inteligencji, w tym systemów generatywnych, chatbotów, narzędzi do rozpoznawania emocji oraz rozwiązań służących do tworzenia deepfake'ów. W sieci krąży już jednak spore uproszczenie, że od tej daty każda grafika z generatora, każdy tekst i każdy film z użyciem AI musi zostać opatrzony widocznym napisem „wygenerowano przez AI”. W rzeczywistości działa to jednak inaczej, a zakres obowiązków zależy od tego, kto korzysta z systemu, jaki rodzaj treści powstaje i w jakim celu.

Jedna z największych polskich firm zajmujących się elektroniczną dokumentacją medyczną wydała oświadczenie po ujawnieniu poważnego incydentu związanego z bezpieczeństwem danych. Skala wycieku może dotyczyć 19 mln pacjentów w całym kraju.

Praca Inspektora Ochrony Danych coraz częściej wymaga podejmowania szybkich i dobrze udokumentowanych decyzji w sytuacjach, których nie da się rozwiązać wyłącznie na podstawie przepisów. Naruszenia ochrony danych, audyty, analiza ryzyka, współpraca z kierownictwem czy przygotowanie organizacji do kontroli Prezesa UODO to tylko część codziennych wyzwań IOD. Certyfikowane szkolenie „Praktyka Inspektora Ochrony Danych dla zaawansowanych” zostało przygotowane z myślą o osobach, które znają podstawy RODO i chcą rozwijać praktyczne umiejętności potrzebne w codziennej pracy. Zarejestruj się już teraz!

Zastrzeżenie numeru PESEL przed wyjazdem na urlop może ograniczyć ryzyko wykorzystania danych do wyłudzenia kredytu lub pożyczki. Ministerstwo Cyfryzacji przypomina, że usługę można uruchomić bezpłatnie m.in. w aplikacji mObywatel, a zastrzeżenie i jego cofnięcie następują natychmiast.

Od 2 sierpnia 2026 r. podmioty wykorzystujące sztuczną inteligencję muszą stosować nowe wymogi przejrzystości przewidziane w AI Act. Obejmują one m.in. informowanie o treściach wygenerowanych lub zmodyfikowanych przez AI, oznaczanie materiałów typu deepfake oraz przekazywanie użytkownikom informacji, że rozmawiają z maszyną. Jednocześnie przesunięto terminy rozpoczęcia stosowania części przepisów dotyczących systemów AI wysokiego ryzyka.

Prezes UODO przekazał ministrowi zdrowia petycję dotyczącą uregulowania dostępu do smartfonów na zamkniętych oddziałach psychiatrycznych. Problem dotyczy nagrywania pacjentów, rozpowszechniania ich wizerunku oraz ujawniania danych o stanie zdrowia. UODO podkreśla, że konieczne jest pogodzenie prawa pacjentów do kontaktu z bliskimi z ochroną ich prywatności i autonomii informacyjnej.

CISO coraz rzadziej jest wyłącznie ekspertem technicznym odpowiedzialnym za zabezpieczenie systemów informatycznych. W świetle NIS2, DORA, przepisów o krajowym systemie cyberbezpieczeństwa oraz AI Act jego rola koncentruje się przede wszystkim na zarządzaniu ryzykiem technologicznym i bezpieczeństwem informacji. Dla inspektora ochrony danych właściwe umiejscowienie CISO w organizacji ma szczególne znaczenie – wpływa bowiem na skuteczność współpracy przy ocenie ryzyka, reagowaniu na incydenty i ochronie danych osobowych.

Przez wiele lat outsourcing usług IT był postrzegany przede wszystkim jako sposób na ograniczenie kosztów i uzyskanie dostępu do specjalistycznej wiedzy technicznej. Przedsiębiorstwa przekazywały obsługę infrastruktury informatycznej, bezpieczeństwa sieci, hostingu czy rozwiązań chmurowych wyspecjalizowanym podmiotom, zakładając, że wraz z usługą przejmują one również znaczną część odpowiedzialności za bezpieczeństwo systemów. Współczesne regulacje dotyczące cyberbezpieczeństwa pokazują jednak, że takie założenie jest błędne.

Prywatny monitoring nie może bez ograniczeń obejmować drogi publicznej ani posesji sąsiadów. Prezes UODO nałożył 26 711 zł kary na osobę, która mimo prawomocnego nakazu nadal rejestrowała obraz i dźwięk poza terenem własnej nieruchomości. Sprawa jest ważnym sygnałem dla administratorów i IOD: niewykonanie decyzji organu nadzorczego może prowadzić do dotkliwej sankcji finansowej.

Prezes UODO upomniał szpital specjalistyczny w Sosnowcu oraz podmiot świadczący usługę poczty elektronicznej po naruszeniu danych 224 osób. Administrator nie zweryfikował, czy procesor rzeczywiście zapewnia odpowiednie zabezpieczenia, a analiza ryzyka nie obejmowała konkretnie zewnętrznego dostawcy poczty. Sprawa pokazuje, że deklaracje zgodności z RODO i certyfikat ISO/IEC 27001 nie zwalniają administratora z obowiązku kontroli podmiotu przetwarzającego.

Europejska Rada Ochrony Danych (EROD) opublikowała nowe wytyczne dotyczące anonimizacji danych, web scrapingu wykorzystywanego do szkolenia modeli generatywnej sztucznej inteligencji oraz przetwarzania danych osobowych z wykorzystaniem technologii blockchain. Dokumenty doprecyzowują sposób stosowania przepisów RODO, wskazują kryteria oceny skuteczności anonimizacji oraz wyjaśniają zasady legalnego pozyskiwania danych z internetu na potrzeby AI. Sprawdź, jakie obowiązki i rekomendacje wynikają z nowych wytycznych EROD oraz co oznaczają one dla administratorów danych, firm rozwijających rozwiązania oparte na sztucznej inteligencji i organizacji korzystających z technologii blockchain.

Wspólna firma często zaczyna się od dobrego pomysłu, zaufania i podobnej wizji rozwoju. Z czasem pojawiają się jednak decyzje o pieniądzach, podziale obowiązków, inwestycjach, zatrudnianiu pracowników albo zmianie kierunku działania. Jeśli wspólnicy nie ustalą wcześniej, jak mają rozstrzygać trudne sprawy, nawet codzienne różnice zdań mogą zacząć obciążać firmę.

UODO poinformował o planach uruchomienia przez NASK pilotażu certyfikacji dla specjalistów ds. ochrony danych osobowych. Program ma być skierowany do osób zawodowo zajmujących się ochroną danych, w tym specjalistów ds. ochrony danych i zgodności oraz pełnomocników administratora. W przyszłości może objąć również inspektorów ochrony danych. Certyfikacja będzie zgodna z normą PN-EN ISO/IEC 17024, ale nie będzie certyfikacją w rozumieniu art. 42 RODO.

Prezes UODO nałożył karę finansową w wysokości 11 594 zł na administratora prowadzącego kancelarię podatkową. Powodem było niewdrożenie odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo danych osobowych. Sprawa dotyczyła przejęcia konta poczty elektronicznej pracownika, na którym przetwarzano dane 111 osób, w tym klientów, ich pracowników oraz dzieci zgłoszonych do ubezpieczenia zdrowotnego.

Administrator danych powinien od początku stosowania RODO posiadać rozwiązania zapewniające regularne testowanie, mierzenie i ocenę skuteczności środków bezpieczeństwa. Naczelny Sąd Administracyjny oddalił skargę kasacyjną spółki w sprawie dotyczącej naruszenia ochrony danych osobowych ponad 114 tys. klientów Virgin Mobile i potwierdził stanowisko Prezesa UODO dotyczące obowiązków administratora.

Prezes UODO zwrócił uwagę organom ścigania na prawne znaczenie technologii deepfake. W piśmie skierowanym do Komendanta Policji w Krakowie podkreślił, że wykorzystanie sztucznej inteligencji do przerobienia cudzego wizerunku, w szczególności osoby małoletniej, może stanowić przetwarzanie danych osobowych bez podstawy prawnej, a w określonych przypadkach także czyn zabroniony.

Prezes UODO uznał, że korzystanie przez przedstawicieli handlowych z nieautoryzowanego komunikatora do przekazywania danych klientów naruszało przepisy o ochronie danych osobowych. W sprawie administrator i podmioty przetwarzające otrzymali upomnienia, a na jeden z podmiotów przetwarzających nałożono administracyjną karę pieniężną w wysokości 10 145 zł. Sprawa pokazuje, jak istotne jest realne nadzorowanie narzędzi wykorzystywanych w procesach sprzedażowych i komunikacyjnych.

System Eurodac to zmodernizowany unijny system informacyjny służący identyfikacji osób ubiegających się o ochronę międzynarodową oraz migrantów objętych procedurami migracyjnymi i azylowymi. Od 12 czerwca 2026 r. stosowane jest rozporządzenie (UE) 2024/1358, które znacząco rozszerza zakres danych gromadzonych w systemie, w tym o dodatkowe dane biometryczne i wizerunki twarzy, obejmuje nowe kategorie osób oraz zmienia model nadzoru nad przetwarzaniem danych osobowych. 

Platforma S46 Cyber Hub w wersji 7.0 wprowadza scentralizowany i dwukierunkowy model zarządzania cyberbezpieczeństwem w Krajowym Systemie Cyberbezpieczeństwa. Dla IOD oznacza to nowe obowiązki operacyjne, lepszy dostęp do ostrzeżeń oraz usprawnienie zgłaszania incydentów do CSIRT.

UODO apeluje o pilne zmiany przepisów dotyczących przetwarzania danych osobowych świadków wypadków przy pracy. Brak jasnej podstawy prawnej i zakresu danych prowadzi do rozbieżnych praktyk i ryzyk naruszeń RODO.