Pytanie:  Czy dyrektor szkoły może poprosić opiekuna prawnego ucznia o wyrażenie zgody na przekazanie/udostępnienie dokumentów dziecka z poradni specjalistycznej np. orzeczenia o kształceniu specjalnym, opinii o wczesnym wspomaganiu rozwoju itp. do organu prowadzącego lub do Centrum Usług Wspólnych? Organ prowadzący chce zweryfikować np. liczbę godzin wynikającą z organizacji kształcenia specjalnego deklarowaną przez szkołę, co wiąże się z potrzebą poznania jednostki chorobowej np. autyzm? Czy zgoda rodzica może stanowić wystarczającą podstawę prawną do udostępnienia danych wrażliwych?

Brak szczegółowych przepisów dotyczących przejmowania dokumentacji medycznej przez okręgowe izby lekarskie może prowadzić do ograniczenia dostępu pacjentów do informacji o ich stanie zdrowia. Prezes UODO zwraca uwagę na niepewność prawną w zakresie postępowania z dokumentacją pozostawioną przez zmarłego lekarza oraz ryzyka związane z ochroną danych osobowych, w tym danych wrażliwych. W związku z tym PUODO wystąpił do Ministerstwa Zdrowia z propozycją zmian legislacyjnych. 

Udostępnienie wykonawcy sieci wodociągowej danych osobowych właścicieli nieruchomości w ramach zamówienia publicznego rodzi istotne wątpliwości na gruncie RODO. Dokumentacja przekazywana przez przedsiębiorstwo wodociągowe może zawierać m.in. imiona i nazwiska właścicieli, adresy nieruchomości oraz numery ksiąg wieczystych, wskazane w oświadczeniach dotyczących lokalizacji przyłączy wodociągowych. Kluczowe jest ustalenie, czy wykonawca robót budowlanych przetwarza te dane w imieniu przedsiębiorstwa wodociągowego, co wymaga zawarcia umowy powierzenia przetwarzania danych osobowych, czy też działa jako odrębny administrator danych.

Do 3 kwietnia 2027 r. podmioty kluczowe i ważne, które spełniały kryteria ustawy o krajowym systemie cyberbezpieczeństwa (KSC) już 3 kwietnia 2026 r., powinny co do zasady wdrożyć obowiązki wynikające z nowych przepisów związanych z dyrektywą NIS2. Obejmują one m.in. system zarządzania bezpieczeństwem informacji (SZBI), zarządzanie ryzykiem cyberbezpieczeństwa, bezpieczeństwo łańcucha dostaw, zgłaszanie incydentów oraz szkolenia kierownictwa. Jakie działania należy podjąć, jakie terminy obowiązują podmioty kluczowe i ważne oraz jakie sankcje grożą za naruszenie przepisów KSC? Sprawdź harmonogram, zasady audytu i listę kontrolną obowiązków. Pamiętaj, że termin 3 kwietnia 2027 r. nie dotyczy automatycznie wszystkich podmiotów – zależy od daty spełnienia ustawowych przesłanek lub właściwej decyzji.

Czy bank może kopiować dowód osobisty klienta, powołując się na obowiązki wynikające z ustawy AML? Sprawa ING Banku Śląskiego pokazuje, że stosowanie procedur bezpieczeństwa bez oceny niezbędności przetwarzania danych może prowadzić do naruszenia RODO. Wojewódzki Sąd Administracyjny w Warszawie oddalił nieprawomocnym wyrokiem skargę banku na decyzję Prezesa UODO nakładającą ponad 18,4 mln zł kary za nieuzasadnione kopiowanie dokumentów tożsamości. Spór dotyczy nie tylko zasad minimalizacji danych osobowych, lecz także granic compliance w przedsiębiorstwie i odpowiedzialności za nadmiernie rozbudowane procedury.

Wyciek danych przez odpowiedzi systemu sztucznej inteligencji (AI) może prowadzić do nieuprawnionego ujawnienia danych osobowych, tajemnicy przedsiębiorstwa lub informacji poufnych. Jeżeli ujawnienie danych osobowych wynika z naruszenia bezpieczeństwa, może stanowić naruszenie ochrony danych osobowych w rozumieniu RODO i powodować obowiązek zgłoszenia incydentu Prezesowi UODO, a także odpowiedzialność administracyjną lub cywilną. Jakie zagrożenia wiążą się z korzystaniem z dużych modeli językowych (LLM), kto odpowiada za wyciek danych przez system AI i jakie obowiązki mają administrator oraz dostawca technologii? Wyjaśniamy, kiedy stosuje się przepisy RODO i AI Act, jakie mogą być konsekwencje prawne wycieku oraz jak ograniczyć ryzyko ujawnienia danych przez odpowiedzi generowane przez sztuczną inteligencję.

Pytanie:  Czy między IOD, a stanowiskiem pełnomocnika ds. ochrony informacji niejawnych występuje konflikt interesów? Ogólnie pełnomocnik podobnie jak IOD jest umiejscowiony w schemacie organizacyjnym bezpośrednio pod zarządem. Zabezpieczenia kancelarii niejawnej, jak i zasady jej funkcjonowania wynikają z ustawy i rozporządzeń, a zarząd podejmuje decyzję, czy takie rozwiązania przyjmuje. Dodatkowo ilość obowiązków pełnomocnika w tym przypadku jest niewielka, a więc to stanowisko nie wpływa negatywnie na zadania IOD.

Pytanie:  Nasza Instytucja zleca funkcję Inspektora Ochrony Danych kancelarii prawnej. Pojawił się pomysł, aby administrator wyznaczył zastępcę IOD spośród własnych pracowników, aby zapewnić „ciągłość działania”. Czy jest to słuszne? Według mnie „ciągłość działania” zapewnić powinna kancelaria prawna przyjmująca zlecenie. Zgodnie z art. 11a ustawy o ochronie danych osobowych, podmiot, który wyznaczył Inspektora może wyznaczyć osobę zastępującą inspektora w czasie jego nieobecności, rozumiem jednak, że dotyczy to wyznaczenia zastępcy IOD wewnętrznego, zatrudnionego w Instytucji.

Pytanie:  Czy jedna i ta sama firma zewnętrzna może świadczyć usługi inspektora ochrony danych, bezpieczeństwa informacji oraz ASI?

Czy spółdzielnia mieszkaniowa musi usunąć dane osobowe byłego członka na jego żądanie?   Nie zawsze. Zgodnie z art. 17 RODO prawo do bycia zapomnianym nie jest bezwzględne. Spółdzielnia może odmówić usunięcia danych, jeżeli ich dalsze przechowywanie jest niezbędne do realizacji obowiązków prawnych lub dochodzenia i obrony roszczeń. Sprawdź, jak długo należy przechowywać dokumentację członkowską, finansową i dotyczącą lokali, kiedy możliwa jest anonimizacja danych oraz jak prawidłowo odpowiedzieć na wniosek o ich usunięcie. Wyjaśniamy również zasady prowadzenia rejestru żądań i postępowania z danymi znajdującymi się w kopiach zapasowych.

Pytanie:  Kiedy anonimizujemy dane jednoosobowej działalności gospodarczej składającej się z imienia i nazwiska. Najczęściej również adresem firmy jest adres zamieszkania. Otrzymaliśmy wniosek na podstawie u.i.p o przekazanie rejestru pism wychodzących. W szeregu pism - upomnień wysłanych z wydziału finansowego są również adresowane do jednoosobowej działalności gospodarczej. Czy tu anonimizujemy dane adresata i nazwę przesyłki? Czy tylko nazwę przesyłki? Chociaż i tak można się połapać, że jest to upomnienie. Jeśli wysłane byłoby pismo inne, czy również anonimizować adresata, którym jest jednoosobowa działalność gospodarcza?

Pytanie:  Czy numer działki podanej na BIP powinien być zanonimizowany jako dana osobowa, czy też można ją umieszczać np. przy wyrażeniu zgody przez Zarząd na dzierżawę działki?

Pytanie:  Na podstawie art. 21 ustawy z 13 maja 2016 r. o przeciwdziałaniu zagrożeniom przestępczością na tle seksualnym i ochronie małoletnich moja organizacja jest zobligowana do pozyskania informacji z Rejestru z dostępem ograniczonym (dalej: Rejestr) lub z Rejestru osób, w stosunku do których Państwowa Komisja do spraw przeciwdziałania wykorzystaniu seksualnemu małoletnich poniżej lat 15 (..) oraz informacji z Krajowego Rejestru Karnego lub rejestru karnego innego państwa, przed zatrudnieniem nowej osoby. Obowiązki te należy wypełnić przed nawiązaniem z osobą stosunku pracy lub przed dopuszczeniem osoby do innej działalności związanej z wychowaniem i edukacją. Zatem, czy w przypadku rekrutacji na wolne stanowisko mamy prawo sprawdzić w Rejestrze wszystkich kandydatów i żądać od nich informacji z KRK na etapie poboru dokumentów rekrutacyjnych? Czy sprawdzenie w Rejestrze i żądanie okazania informacji z KRK dotyczy wyłącznie kandydata, który został wybrany na wolne stanowisko pracy?

Pytanie:  Osoba Pani Y złożyła skargę na podstawie art. 227 kpa na sposób wykonywania przez pracowników OPS usług opiekuńczych oraz pracowników socjalnych wykonujących wywiad środowiskowy u  jej ojca pana Y. Ojciec  w/w nie jest osobą ubezwłasnowolnioną, nie ma przedstawiciela ustawowego ani pełnomocnika. Najpierw wyraził zgodę na umieszczenie w domu pomocy społecznej, a później ją wycofał. Pracownicy socjalni stwierdzili, że jest świadomy swojej decyzji, podczas wizyt pozostawał w logicznym kontakcie słownym. Pani Y żąda przeprowadzenia postępowania wyjaśniającego mającego ustalić: a)     jak doszło do wycofania przez Pana Y zgody na umieszczenie w Domu Pomocy Społecznej; b)     w jakich okolicznościach doszło do powyższego zdarzenia; c)      czy pracownik socjalny przekonywał lub w jakikolwiek sposób wywierał wpływ na zmianę stanowiska Pana X -jej ojca; d)      czy została sporządzona dokumentacja dotycząca rozmowy Pana X z pracownikami socjalnymi przeprowadzającymi ponownie wywiad środowiskowy lub inne dokumenty dotyczące sprawy. Następnie mamy poinformować Panią Y o sposobie rozpatrzenia niniejszej skargi oraz ustaleniach poczynionych w toku postępowania. Jaki zakres danych możemy udostępnić osobie, która nie jest stroną postępowania?

Gminna komisja rozwiązywania problemów alkoholowych (GKRPA) realizuje ustawowe zadania związane z profilaktyką i rozwiązywaniem problemów alkoholowych, w tym prowadzi czynności zmierzające do zobowiązania osoby do poddania się leczeniu odwykowemu. W ramach tych działań komisja przetwarza dane osobowe, również dane szczególnej kategorii, w szczególności informacje dotyczące zdrowia i uzależnienia od alkoholu.  Czy GKRPA ma podstawę prawną do przetwarzania takich danych? Jakie przepisy RODO regulują jej uprawnienia i obowiązki? Wyjaśniamy, na jakich zasadach członkowie gminnej komisji mogą legalnie przetwarzać dane osobowe, jakie ograniczenia muszą respektować oraz jak zapewnić właściwą ochronę informacji na każdym etapie postępowania, także w sprawach kierowanych do sądu.

Czy zamawiający, udostępniając konkurencyjnym wykonawcom oferty złożone w postępowaniu o udzielenie zamówienia publicznego, powinien anonimizować dane osobowe znajdujące się w załączonych dokumentach, takich jak świadectwa kwalifikacyjne? Wątpliwości dotyczą w szczególności numeru PESEL, numeru dowodu osobistego, daty urodzenia oraz adresu zamieszkania. Wyjaśniamy, jak pogodzić zasadę jawności postępowania wynikającą z Prawa zamówień publicznych z obowiązkami administratora danych wynikającymi z RODO oraz jakie podstawy prawne powinien uwzględnić urząd przed udostępnieniem dokumentacji.

Pytanie:  Po zakończeniu okresu archiwizacji dokumentów wersji papierowej np. faktur, czy jednocześnie powinny zniknąć wszelkie informacje w ramach danych w systemach księgowych? Cel przetwarzania zakończył się, zgodnie z terminem wyznaczonym przez ustawę o rachunkowości, wskazanym w JRWA. Organy nadrzędne już nie mają podstaw do kontroli.

Wizerunek jest daną osobową i podlega ochronie prawnej zarówno w ujęciu prawa do ochrony danych osobowych jak również w ujęciu cywilnoprawnym, gdyż uznany jest za dobro osobiste. Wszystkie bezprawne działania związane z przetwarzaniem wizerunku w tym jego publikacją w sieci i bezwiednym udostępnianiem w celach promocyjnych stanowią realne zagrożenia do prywatności oraz bezpieczeństwa zwłąszcza wśród dzieci i uczniów. Dlatego warto prześledzić, jakimi skutecznymi narzędziami dysponuje szkoła, żeby zapewnić uczniom ochronę w zakresie wizerunku.

Pytanie:  Jak powinna wyglądać klauzula RODO dla bonu senioralnego? Proszę o wzór takiej klauzuli.

Pytanie:  W związku z nowelizacją Kodeksu pracy m.in. w zakresie mobbingu, pracodawcy zostali zobowiązani do dostosowania regulaminu pracy do nowych wymogów w terminie 6 miesięcy od dnia wejścia w życie ustawy. Zmiany obejmują obowiązek określenia zasad, procedur oraz częstotliwości działań podejmowanych w celu przeciwdziałania naruszaniu godności i innych dóbr osobistych pracowników, naruszaniu zasady równego traktowania w zatrudnieniu, dyskryminacji oraz mobbingowi. Proszę o wskazanie, jakie wytyczne należy uwzględnić przy opracowywaniu klauzul informacyjnych dotyczących przetwarzania danych osobowych pracowników zgłaszających skargi, ewentualnych świadków oraz członków stałej komisji rozpatrującej zgłoszenia.

Usługi hotelarskie mogą być świadczone zarówno w obiektach hotelarskich, jak i w innych obiektach, takich jak gospodarstwa agroturystyczne czy pokoje gościnne. W obu przypadkach różne są zasady rejestracji działalności, wymagania stawiane przedsiębiorcom i właścicielom, a także sposób przetwarzania ich danych osobowych. Szczególne znaczenie ma ochrona danych właścicieli obiektów niebędących obiektami hotelarskimi, ponieważ działalność tę często prowadzą osoby fizyczne, a informacje o obiektach trafiają do ewidencji prowadzonych przez samorządy. Warto zatem wyjaśnić, jakie przepisy regulują udostępnianie i ochronę tych danych oraz jakie obowiązki w tym zakresie mają gminy.

W toku postępowania pracownik przekazał stronie nieaktualny, nieużywany już adres kontaktowy do IOD. Strona przesłała na wskazany adres wiadomość dotyczącą żądania usunięcia danych osobowych. Ponieważ nie otrzymała odpowiedzi, skontaktowała się telefonicznie, informując o zaistniałej sytuacji. Czy w takim przypadku doszło do naruszenia ochrony danych osobowych w rozumieniu art. 4 pkt 12 RODO? Czy zdarzenie należy zakwalifikować jako incydent związany z ochroną danych osobowych i odnotować w wewnętrznym rejestrze incydentów lub naruszeń? Jakie działania powinien podjąć administrator danych, aby prawidłowo ocenić i udokumentować to zdarzenie?

Prezes UODO zapowiedział dodatkowe, zintensyfikowane kontrole podmiotów sektora ochrony zdrowia do końca 2026 r. To reakcja m.in. na cyberatak i wyciek danych związany z systemem MyDr oraz inne naruszenia dotyczące danych medycznych. Kontrolerzy mają weryfikować przede wszystkim, czy placówki właściwie zabezpieczają dane pacjentów, stosują odpowiednie środki techniczne i organizacyjne oraz prawidłowo przeprowadzają analizę ryzyka. Sprawdź, czego może zażądać UODO i jakie obszary warto zweryfikować przed kontrolą.

Pytanie:  Osoba zatrudniona w spółdzielni mieszkaniowej w ramach obowiązków protokołowała posiedzenia rady nadzorczej. Aby sumiennie wywiązać się z obowiązku, z własnej inicjatywy nagrywała dźwięk w trakcie posiedzenia prywatnym telefonem, a nagranie wykorzystywała do przygotowania protokołu. O nagrywaniu nie powiadomiła nikogo, ani osób nagrywanych, ani przełożonych. Po sporządzeniu protokołu nagranie usuwała (nie publikowała, nie ujawniała, etc.). W trakcie drugiego nagrywanego posiedzenia sprawa wyszła na jaw. Członkowie rady zgłosili do zarządu spółdzielni, że naruszono ich prywatność. Czy takie zdarzenie kwalifikuje się do zgłoszenia do UODO?