Pytanie:  W jakiej sytuacji przy zleceniu opracowania projektu sieci wodociągowej lub jej wykonania, zlecający (wodociągi) powinien podpisać z wykonawcą umowę powierzenia?

Prezes UODO upomniał szpital specjalistyczny w Sosnowcu oraz podmiot świadczący usługę poczty elektronicznej po naruszeniu danych 224 osób. Administrator nie zweryfikował, czy procesor rzeczywiście zapewnia odpowiednie zabezpieczenia, a analiza ryzyka nie obejmowała konkretnie zewnętrznego dostawcy poczty. Sprawa pokazuje, że deklaracje zgodności z RODO i certyfikat ISO/IEC 27001 nie zwalniają administratora z obowiązku kontroli podmiotu przetwarzającego.

Pytanie:  Urząd Miasta zlecił firmie zewnętrznej pełnienie funkcji IOD. Czy zgodnie z obowiązującymi przepisami np. kodeksem pracy, czy ustawie o samorządzie gminnym dopuszczalne jest powołanie zastępcy IOD spośród pracowników urzędu? Czy to prawda, że jeżeli jakiś zakres obowiązków został zlecony zewnętrznej firmie, to nie można pracownikowi urzędu przypisać tych samych obowiązków, co miałoby miejsce w przypadku IOD i zastępcy IOD.

Ustawa o zarządzaniu danymi tworzy w naszym kraju nowe ramy bezpiecznego udostępniania i ponownego wykorzystywania danych, w tym zupełnie nową kategorię działalności regulowanej, czyli usługi pośrednictwa danych. Nie oznacza to jednak, że dane w administracji publicznej staną się nagle ogólnodostępne ani, tym bardziej, że straci na znaczeniu ochrona wynikająca z RODO, tajemnicy przedsiębiorstwa czy praw własności intelektualnej. Co więc regulują nowe przepisy?

CISO coraz rzadziej jest wyłącznie ekspertem technicznym odpowiedzialnym za zabezpieczenie systemów informatycznych. W świetle NIS2, DORA, przepisów o krajowym systemie cyberbezpieczeństwa oraz AI Act jego rola koncentruje się przede wszystkim na zarządzaniu ryzykiem technologicznym i bezpieczeństwem informacji. Dla inspektora ochrony danych właściwe umiejscowienie CISO w organizacji ma szczególne znaczenie – wpływa bowiem na skuteczność współpracy przy ocenie ryzyka, reagowaniu na incydenty i ochronie danych osobowych.

Shadow AI to zjawisko polegające na wykorzystywaniu przez pracowników narzędzi opartych na sztucznej inteligencji do realizacji zadań służbowych bez wiedzy, zgody lub nadzoru kierownictwa firmy. Dotyczy to m.in. publicznie dostępnych chatbotów, generatorów treści, asystentów programistycznych czy narzędzi do analizy dokumentów. Korzystanie z takich rozwiązań może prowadzić do niekontrolowanego ujawnienia informacji poufnych, tajemnic przedsiębiorstwa oraz danych osobowych, a w konsekwencji do naruszenia zasad bezpieczeństwa informacji i przepisów RODO. Aby ograniczyć ryzyko związane z Shadow AI, organizacja powinna uwzględnić je w analizach ryzyka, politykach bezpieczeństwa, procedurach ochrony danych oraz zasadach korzystania z narzędzi AI. Istotne są również szkolenia pracowników, określenie dozwolonych zastosowań sztucznej inteligencji i wdrożenie mechanizmów kontroli, które pozwolą zapobiegać przetwarzaniu danych poza wiedzą i kontrolą administratora.

Pytanie:  Czy między IOD, a stanowiskiem pełnomocnika ds. ochrony informacji niejawnych występuje konflikt interesów? Ogólnie pełnomocnik podobnie jak IOD jest umiejscowiony w schemacie organizacyjnym bezpośrednio pod zarządem. Zabezpieczenia kancelarii niejawnej, jak i zasady jej funkcjonowania wynikają z ustawy i rozporządzeń, a zarząd podejmuje decyzję, czy takie rozwiązania przyjmuje. Dodatkowo ilość obowiązków pełnomocnika w tym przypadku jest niewielka, a więc to stanowisko nie wpływa negatywnie na zadania IOD.

Pytanie:  Nasza Instytucja zleca funkcję Inspektora Ochrony Danych kancelarii prawnej. Pojawił się pomysł, aby administrator wyznaczył zastępcę IOD spośród własnych pracowników, aby zapewnić „ciągłość działania”. Czy jest to słuszne? Według mnie „ciągłość działania” zapewnić powinna kancelaria prawna przyjmująca zlecenie. Zgodnie z art. 11a ustawy o ochronie danych osobowych, podmiot, który wyznaczył Inspektora może wyznaczyć osobę zastępującą inspektora w czasie jego nieobecności, rozumiem jednak, że dotyczy to wyznaczenia zastępcy IOD wewnętrznego, zatrudnionego w Instytucji.

Pytanie:  Czy jedna i ta sama firma zewnętrzna może świadczyć usługi inspektora ochrony danych, bezpieczeństwa informacji oraz ASI?

Pytanie:  Czy pracodawca (sp. z o.o.) może pobierać i przetwarzać dane w postaci serii prawa jazdy pracowników użytkujących pojazdy służbowe? Od niedawna można zweryfikować ważność każdego prawa jazdy elektronicznie/online, podając nr blankietu i imię i nazwisko kierowcy. Dotychczas kierowcy potwierdzali pracodawcy ważność swoich uprawnień oświadczeniem pisemnym składanym pracodawcy raz do roku - co nie jest w każdym przypadku wiarygodne.

Pytanie:  Stacja sanitarno-epidemiologiczna, w związku z czynnościami podejmowanymi po pokąsaniu człowieka przez zwierzę, uzyskała od urzędowego lekarza weterynarii zaświadczenie lekarsko-weterynaryjne wystawione po zakończeniu obserwacji zwierzęcia prowadzonej w celu wykluczenia podejrzenia wścieklizny. Podstawę współdziałania organów stanowi art. 24 ustawy z 5 grudnia 2008 r. o zapobieganiu oraz zwalczaniu zakażeń i chorób zakaźnych u ludzi (dalej: „ustawa o zapobieganiu chorobom zakaźnym”). Zaświadczenie zawiera następujące dane: datę badania klinicznego, gatunek zwierzęcia, datę szczepienia przeciwko wściekliźnie, imię i nazwisko oraz adres zamieszkania właściciela zwierzęcia, datę pokąsania, imię i nazwisko osoby pokąsanej, daty badań zwierzęcia, a także informację o stwierdzeniu albo niestwierdzeniu wścieklizny. W aktach sprawy znajduje się również formularz dochodzenia epidemiologicznego dotyczącego pokąsania człowieka przez zwierzę, który zawiera dane osoby pokąsanej oraz dane właściciela zwierzęcia, obejmujące jego imię, nazwisko i adres zamieszkania. Czy stacja sanitarno-epidemiologiczna może udostępnić osobie pokąsanej pełną treść zaświadczenia lekarsko-weterynaryjnego wystawionego po zakończeniu obserwacji zwierzęcia, w tym zawarte w nim imię i nazwisko oraz adres zamieszkania właściciela zwierzęcia?

Pytanie:  Mamy opracowane procedury udostępniania na wypadek zdarzeń, w których priorytetem jest ochrona osób i mienia. Jeżeli na monitoringu utrwalone jest pobicie, trudno udostępnić kopie z nagraniem osobie poszkodowanej, która mimo anonimizacji wizerunku rozpozna np. sprawcę po posturze. Czy właściwym jest, by taka osoba poprosiła o zabezpieczenie nagrania, które zostanie udostępnione organom ścigania. Podobnie w przypadku dewastacji mienia, czy kradzieży.

Pytanie:  Jakie dane powinien przesłać do DPS-u, Ośrodek Pomocy Społecznej, kierując osobę do placówki całodziennej opieki w decyzji administracyjnej. Czy placówka całodziennej opieki powinna otrzymać od OPS-u nie tylko imię i nazwisko oraz adres zamieszkania, ale również PESEL i podstawowe dane o stanie zdrowia?

Pytanie:  Przygotowujemy projekt zarządzenia w sprawie postępowania z rzeczami znalezionymi w środkach transportu Zakładu Komunikacji Miejskiej. Jako zakład chcemy ograniczyć przetwarzanie danych osobowych, zatem zapis dotyczący ustalenia tożsamości osoby uprawnionej i pisemna zgoda na udostępnienie danych wydaje się zbyteczna. Być może wystarczy tylko wysłuchać od osoby uprawnionej do odbioru rzeczy informacji o charakteryzujących daną rzecz, porównać ją z zapisami wynikającymi z rejestru i wydać rzecz bez pokwitowania. ZKM nie pełni funkcji Biura rzeczy znalezionych, dlatego też chcemy uniknąć zbierania i przechowywania danych pasażerów. Czy następujący zapis w kontekście danych osobowych jest prawidłowy: W związku z wydaniem rzeczy, pracownik Działu DO jest zobowiązany do: 1) ustalenia tożsamości osoby uprawnionej; 2) porównania opisu rzeczy znalezionej podanego przez osobę uprawnioną z zapisami wynikającymi z zapisów rejestru; 3) odebrania pisemnej zgody na udostępnienie danych osobowych; 4) uzupełnienie zapisów rejestru w części dotyczącej wydanej rzeczy.

Pytanie:  Portal dziennikarski w związku z publikacją prasową skierował do jednostki wojskowej zapytanie o datę zakończenia pełnienia służby wojskowej przez konkretnego wymienionego z imienia i nazwiska żołnierza. Aktualnie wskazana osoba pełni funkcję publiczną. Podczas służby w jednostce żołnierz zajmował stanowisko oficera w sekcji wychowawczej. Jaka jest wykładnia terminu „osoby pełniącej funkcję publiczną"? Czy każda osoba zajmująca stanowisko służbowe w instytucji publicznej pełni funkcję publiczną? Czy fakt, że na zajmowanym stanowisku gospodarował mieniem Skarbu Państwa i przygotowywał dokumentację przetargową, dokonywał zakupów z budżetu jednostki oznacza, że posiadał niewielki wycinek decyzyjności i to kwalifikuje go jako osobę pełniącą funkcję publiczną. A może to, że służy jako żołnierz już świadczy o tym, że pełni funkcję publiczną? Czy art. 6. ust. 1 pkt 2 lit. d odnosi się tylko do osób pełniących funkcję publiczną czy do wszystkich zajmujących stanowiska w instytucji publicznej zobowiązanej do udzielenia informacji publicznej.

Pytanie:  Zgodnie z statutem naszej gminy, posiedzenia komisji RM są nagrywane (wizja i dźwięk) i publikowane na naszej stronie (nie są transmitowane na żywo). Ostatnie posiedzenie nagrane i opublikowane zostało z kamery głównej, która w trakcie przerw jest wyłączana - brak rejestracji wizji i dźwięku. Nagranie zostało opublikowane. Jednak osoba uczestnicząca w posiedzeniu jako gość (skarżący) zawnioskował o udostępnienie nagrania z pozostałych kamer zapasowych. Te rejestrowały sesję w sposób ciągły. Czy możemy przesłać dodatkowe zapasowe nagrania?

Pytanie:  Czy w świetle art. 34 b ust. 10 ustawy o finansach publicznych kierownik jednostki jest administratorem danych osobowych czy też zostały mu przypisane funkcje związane z realizacją obowiązków jednostki jako administratora danych?

Pytanie:  Zawarliśmy umowę z kancelarią prawną o usługi prawne. Czy kancelaria w takich usługach prawnych może być podmiotem przetwarzającym, czy jest administratorem danych?

Pytanie:  Nasza spółka organizuje spotkanie z mieszkańcami dzielnicy, aby omówić organizację imprez na terenie ich osiedla. Przed spotkaniem chcemy wyłożyć listę obecności na której uczestnicy będą wpisywać swoje imię i nazwisko, a także nr telefonu i adres e-mail oraz składali w tym samym wierszu swój podpis, w celu późniejszego ich powiadomienia o ustaleniach z dyskusji podczas spotkania. Czy zgoda na kontakt z uczestnikami spotkania, którzy podali nr telefonu lub adres e-mail, może być zapisana w klauzuli informacyjnej na odwrocie listy obecności w następującej treści: Dane osobowe udostępnione Administratorowi wpisane na liście obecności będę przetwarzane na podstawie wyrażonej przez Panią/Pana zgody potwierdzonej własnoręcznym podpisem w celu przekazania podsumowania ze spotkania.

Pytanie:  W związku z wejściem w życie KSeF biblioteka dokonała aktualizacji dokumentacji z zakresu ochrony danych osobowych. Wprowadzono nowy proces do RCP i opracowano nową klauzulę informacyjną, która miała być opublikowana na stronie internetowej od 1 lutego 2026 r. Do umów z kontrahentami np. na najem audytorium przed ich zawarciem, będzie dopisywania informacja do bieżącej klauzuli o przetwarzaniu danych również w KSe-F, żeby nie dokładać 2 klauzuli. Chcę mieć pewność, iż w klauzuli znajdują się wszystkie informacje, na co zwrócić szczególną uwage?

Pytanie:  Grupę spółek prowadzących działalność na terenie Polski łączy umowa o współadministrowaniu danymi osobowymi. Każda ze spółek, wypełniając obowiązek informacyjny z art. 13 i 14 RODO, kieruje do osób fizycznych - w przypadkach przewidzianych przepisami prawa - klauzule informacyjne (ich treść różni się w zależności od celów I podstaw przetwarzania), w których wskazuje siebie jako administratora danych, a pozostałe spółki jako współadministratorów. W związku z tym obecnie posiadamy tyle klauzul, ile spółek realizuje dany cel przetwarzania. Zależy nam jednak na uszczupleniu dokumentacji. Zastanawiamy się, czy w świetle RODO konieczne jest, aby każda spółka posiadała własną, odrębną klauzulę informacyjną, w której wskazuje siebie jako administratora i pozostałe podmioty jako współadministratorów, czy też dopuszczalne jest stosowanie jednej, wspólnej i uniwersalnej klauzuli informacyjnej dla wszystkich spółek objętych porozumieniem o współadministrowaniu, w której wskazuje się, że: 1)     współadministratorami danych osoby, której dane dotyczą, są: [lista spółek], zamiast przygotowywania odrębnej klauzuli dla każdej spółki, lub 2)     ADO są wszyscy współadministratorzy i jednocześnie opisuje się zasadę przypisania roli administratora w zależności od celu przetwarzania, np.: „Administratorem danych w procesie rekrutacji jest spółka prowadząca konkretny proces rekrutacyjny w danym momencie, a pozostałe spółki pełnią funkcję współadministratorów” (opisowo, bez podawania danych konkretnej spółki), zamiast wymieniać konkretne spółki w każdym przypadku. Zakładamy przy tym, że punkt kontaktowy do realizacji praw osób, których dane dotyczą, będzie wspólny dla wszystkich spółek. Czy takie rozwiązanie byłoby prawidłowe lub o wskazanie innego alternatywnego rozwiązania, które uprościłoby dokumentację spółek w zakresie obowiązku informacyjnego. Chodzi zwłaszcza o klauzule kierowane do osób zatrudnianych, przyszłych pracowników.  

Pytanie:  Osoba zatrudniona w spółdzielni mieszkaniowej w ramach obowiązków protokołowała posiedzenia rady nadzorczej. Aby sumiennie wywiązać się z obowiązku, z własnej inicjatywy nagrywała dźwięk w trakcie posiedzenia prywatnym telefonem, a nagranie wykorzystywała do przygotowania protokołu. O nagrywaniu nie powiadomiła nikogo, ani osób nagrywanych, ani przełożonych. Po sporządzeniu protokołu nagranie usuwała (nie publikowała, nie ujawniała, etc.). W trakcie drugiego nagrywanego posiedzenia sprawa wyszła na jaw. Członkowie rady zgłosili do zarządu spółdzielni, że naruszono ich prywatność. Czy takie zdarzenie kwalifikuje się do zgłoszenia do UODO?

Prywatny monitoring nie może bez ograniczeń obejmować drogi publicznej ani posesji sąsiadów. Prezes UODO nałożył 26 711 zł kary na osobę, która mimo prawomocnego nakazu nadal rejestrowała obraz i dźwięk poza terenem własnej nieruchomości. Sprawa jest ważnym sygnałem dla administratorów i IOD: niewykonanie decyzji organu nadzorczego może prowadzić do dotkliwej sankcji finansowej.

Prezes UODO nałożył karę administracyjną w wysokości 5 tys. zł na wspólnotę mieszkaniową za niezachowanie 72 godzin na zgłaszanie naruszenia ochrony danych osobowych. Sprawa pokazuje, jak kluczowa jest rzetelna analiza ryzyka RODO – nawet przy "danych zwykłych" i jednej osobie poszkodowanej.