Prezes UODO upomniał szpital specjalistyczny w Sosnowcu oraz podmiot świadczący usługę poczty elektronicznej po naruszeniu danych 224 osób. Administrator nie zweryfikował, czy procesor rzeczywiście zapewnia odpowiednie zabezpieczenia, a analiza ryzyka nie obejmowała konkretnie zewnętrznego dostawcy poczty. Sprawa pokazuje, że deklaracje zgodności z RODO i certyfikat ISO/IEC 27001 nie zwalniają administratora z obowiązku kontroli podmiotu przetwarzającego.

Europejska Rada Ochrony Danych (EROD) opublikowała nowe wytyczne dotyczące anonimizacji danych, web scrapingu wykorzystywanego do szkolenia modeli generatywnej sztucznej inteligencji oraz przetwarzania danych osobowych z wykorzystaniem technologii blockchain. Dokumenty doprecyzowują sposób stosowania przepisów RODO, wskazują kryteria oceny skuteczności anonimizacji oraz wyjaśniają zasady legalnego pozyskiwania danych z internetu na potrzeby AI. Sprawdź, jakie obowiązki i rekomendacje wynikają z nowych wytycznych EROD oraz co oznaczają one dla administratorów danych, firm rozwijających rozwiązania oparte na sztucznej inteligencji i organizacji korzystających z technologii blockchain.

Wspólna firma często zaczyna się od dobrego pomysłu, zaufania i podobnej wizji rozwoju. Z czasem pojawiają się jednak decyzje o pieniądzach, podziale obowiązków, inwestycjach, zatrudnianiu pracowników albo zmianie kierunku działania. Jeśli wspólnicy nie ustalą wcześniej, jak mają rozstrzygać trudne sprawy, nawet codzienne różnice zdań mogą zacząć obciążać firmę.

UODO poinformował o planach uruchomienia przez NASK pilotażu certyfikacji dla specjalistów ds. ochrony danych osobowych. Program ma być skierowany do osób zawodowo zajmujących się ochroną danych, w tym specjalistów ds. ochrony danych i zgodności oraz pełnomocników administratora. W przyszłości może objąć również inspektorów ochrony danych. Certyfikacja będzie zgodna z normą PN-EN ISO/IEC 17024, ale nie będzie certyfikacją w rozumieniu art. 42 RODO.

Prezes UODO nałożył karę finansową w wysokości 11 594 zł na administratora prowadzącego kancelarię podatkową. Powodem było niewdrożenie odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo danych osobowych. Sprawa dotyczyła przejęcia konta poczty elektronicznej pracownika, na którym przetwarzano dane 111 osób, w tym klientów, ich pracowników oraz dzieci zgłoszonych do ubezpieczenia zdrowotnego.

Administrator danych powinien od początku stosowania RODO posiadać rozwiązania zapewniające regularne testowanie, mierzenie i ocenę skuteczności środków bezpieczeństwa. Naczelny Sąd Administracyjny oddalił skargę kasacyjną spółki w sprawie dotyczącej naruszenia ochrony danych osobowych ponad 114 tys. klientów Virgin Mobile i potwierdził stanowisko Prezesa UODO dotyczące obowiązków administratora.

Prezes UODO zwrócił uwagę organom ścigania na prawne znaczenie technologii deepfake. W piśmie skierowanym do Komendanta Policji w Krakowie podkreślił, że wykorzystanie sztucznej inteligencji do przerobienia cudzego wizerunku, w szczególności osoby małoletniej, może stanowić przetwarzanie danych osobowych bez podstawy prawnej, a w określonych przypadkach także czyn zabroniony.

Prezes UODO uznał, że korzystanie przez przedstawicieli handlowych z nieautoryzowanego komunikatora do przekazywania danych klientów naruszało przepisy o ochronie danych osobowych. W sprawie administrator i podmioty przetwarzające otrzymali upomnienia, a na jeden z podmiotów przetwarzających nałożono administracyjną karę pieniężną w wysokości 10 145 zł. Sprawa pokazuje, jak istotne jest realne nadzorowanie narzędzi wykorzystywanych w procesach sprzedażowych i komunikacyjnych.

System Eurodac to zmodernizowany unijny system informacyjny służący identyfikacji osób ubiegających się o ochronę międzynarodową oraz migrantów objętych procedurami migracyjnymi i azylowymi. Od 12 czerwca 2026 r. stosowane jest rozporządzenie (UE) 2024/1358, które znacząco rozszerza zakres danych gromadzonych w systemie, w tym o dodatkowe dane biometryczne i wizerunki twarzy, obejmuje nowe kategorie osób oraz zmienia model nadzoru nad przetwarzaniem danych osobowych. 

Platforma S46 Cyber Hub w wersji 7.0 wprowadza scentralizowany i dwukierunkowy model zarządzania cyberbezpieczeństwem w Krajowym Systemie Cyberbezpieczeństwa. Dla IOD oznacza to nowe obowiązki operacyjne, lepszy dostęp do ostrzeżeń oraz usprawnienie zgłaszania incydentów do CSIRT.

UODO apeluje o pilne zmiany przepisów dotyczących przetwarzania danych osobowych świadków wypadków przy pracy. Brak jasnej podstawy prawnej i zakresu danych prowadzi do rozbieżnych praktyk i ryzyk naruszeń RODO.

Wojewódzki Sąd Administracyjny w Warszawie ponownie potwierdził, że Prezes UODO słusznie nałożył kary na Fortum Energia S.A. i Pika Sp. z o.o. za naruszenie ochrony danych osobowych dotyczące ponad 90 tys. osób. Sprawa pokazuje, że administrator musi nie tylko zgłosić incydent, ale też realnie nadzorować procesora i zadbać o skuteczne środki techniczne oraz organizacyjne.

Publikacja niezanonimizowanych danych osobowych w Biuletynie Informacji Publicznej może stanowić poważne naruszenie RODO – nawet jeśli wynika z błędu. Najnowsza decyzja Prezesa UODO pokazuje, jak należy interpretować obowiązek zgłoszenia naruszenia i ocenę ryzyka.

Przedsiębiorstwa wodociągowe stają dziś przed rosnącymi wymaganiami regulacyjnymi i realnymi zagrożeniami dla ciągłości dostaw wody. Szkolenie „ Cyberbezpieczeństwo w wodociągach – ochrona infrastruktury krytycznej ” pokazuje, jak połączyć wymagania NIS2, RODO i KSC z praktyką zarządzania ryzykiem, incydentami i ochroną obiektów.

Prezes UODO wskazuje na konieczność doprecyzowania przepisów dotyczących korzystania z telefonów komórkowych w szkołach. Projekt nowelizacji Prawa oświatowego powinien uwzględniać ryzyka dla prywatności uczniów, w tym nagrywanie obrazu i dźwięku oraz wykorzystanie technologii deepfake, a także wprowadzać systemowe rozwiązania ograniczające przetwarzanie danych osobowych przez małoletnich.

UODO apeluje o pilne zmiany przepisów dotyczących dokumentacji medycznej dzieci przysposobionych. Problem ujawniania danych o adopcji poprzez nieaktualne dane identyfikacyjne stwarza ryzyko naruszenia RODO i prawa do prywatności.

Przedsiębiorstwa wodociągowe stoją przed nowymi obowiązkami w zakresie cyberbezpieczeństwa i ochrony infrastruktury krytycznej. Już 26 czerwca 2026 r. odbędzie się praktyczne szkolenie, które pokazuje, jak wdrożyć wymagania NIS2, RODO i KSC w realiach sektora wodociągowego.

Prezes UODO wniósł skargę kasacyjną od wyroku WSA w Warszawie, który uchylił decyzję organu nadzorczego dotyczącą naruszenia ochrony danych osobowych przez Ministra Zdrowia. Sprawa dotyczy granic odpowiedzialności administratora danych i relacji między odpowiedzialnością karną osoby fizycznej a odpowiedzialnością administracyjną podmiotu publicznego w przypadku ujawnienia danych.

Związek Przedsiębiorstw Finansowych (ZPF) spotkał się z ekspertami Urzędu Ochrony Danych Osobowych (UODO), by omówić stworzenie kodeksu postępowania dla branży zarządzanie wierzytelnościami. Inicjatywa ma dostosować praktyki przetwarzania danych do RODO, szczególnie w erze narzędzi cyfrowych i współpracy z podmiotami zewnętrznymi jak kancelarie prawne.

W przypadku wycieku danych osobowych zastrzeżenie PESEL mObywatel to kluczowy krok rekomendowany przez Ministerstwo Cyfryzacji – trwa kilka chwil i chroni przed kradzieżą tożsamości. Sprawdź, jak tego dokonać.