Jak skutecznie reagować na naruszenia ochrony danych, przeprowadzać audyty RODO i przygotować organizację do kontroli Prezesa UODO? To jedne z najważniejszych wyzwań w codziennej pracy Inspektora Ochrony Danych. Szkolenie online „Naruszenia, audyty i kontrola UODO w 2026 r.  RODO w zderzeniu z KSC/NIS2, AI Act i CRA. Od przypadku do decyzji: praktyczny warsztat IOD na realnych sytuacjach , które odbędzie się 13 października 2026 r., pozwoli uczestnikom rozwinąć praktyczne kompetencje w zakresie dokumentowania zgodności z RODO, zarządzania incydentami i oceny ryzyka. Program obejmuje analizę konkretnych przypadków, praktyczne wskazówki eksperta oraz gotowe narzędzia wspierające pracę IOD.

Wyciek danych z Fakturowni może oznaczać obowiązki nie tylko dla dostawcy systemu, ale również dla przedsiębiorców korzystających z usługi. Jeżeli w systemie znajdowały się dane osobowe kontrahentów, pracowników lub innych osób fizycznych, użytkownik Fakturowni powinien ustalić swoją rolę na gruncie RODO, ocenić ryzyko naruszenia oraz sprawdzić, czy musi zgłosić incydent Prezesowi UODO w ciągu 72 godzin i zawiadomić osoby, których dane dotyczą. Samo zgłoszenie wycieku przez Fakturownię nie zastępuje indywidualnej oceny obowiązków administratora danych. 

Biblioteka organizująca konkursy, ferie, spotkania i inne wydarzenia przetwarza dane osobowe ich uczestników, a często również ich wizerunek. Powstaje więc pytanie, czy właściwą podstawą prawną jest przede wszystkim zgoda z art. 6 ust. 1 lit. a RODO, czy też w określonych sytuacjach można zastosować inne przesłanki, takie jak wykonanie umowy, obowiązek prawny, realizacja zadania w interesie publicznym lub prawnie uzasadniony interes administratora.

Dane medyczne nawet 5 mln Polaków mogły zostać objęte wyciekiem po cyberataku na oprogramowanie Medyc firmy Qbusoft. Sprawą zajmuje się Centralne Biuro Zwalczania Cyberprzestępczości, a Prezes UODO zapowiedział kontrolę spółki i stosowanych przez nią zabezpieczeń danych.

Prezes UODO zapowiedział dodatkowe, zintensyfikowane kontrole podmiotów sektora ochrony zdrowia do końca 2026 r. To reakcja m.in. na cyberatak i wyciek danych związany z systemem MyDr oraz inne naruszenia dotyczące danych medycznych. Kontrolerzy mają weryfikować przede wszystkim, czy placówki właściwie zabezpieczają dane pacjentów, stosują odpowiednie środki techniczne i organizacyjne oraz prawidłowo przeprowadzają analizę ryzyka. Sprawdź, czego może zażądać UODO i jakie obszary warto zweryfikować przed kontrolą.

Naczelny Sąd Administracyjny potwierdził, że art. 105a ust. 2 i 3 Prawa bankowego ma zastosowanie również do osób fizycznych prowadzących działalność gospodarczą. Wyrok z 2 września 2026 r. (III OSK 252/24) rozstrzyga istotną dla IOD i administratorów danych kwestię dotyczącą zasad przetwarzania danych osobowych przedsiębiorców przez banki i instytucje finansowe po wygaśnięciu zobowiązania.

Od 11 września 2026 r. stosowany jest art. 14 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/2847, czyli aktu o cyberodporności (Cyber Resilience Act, CRA). Przepis dotyczy produktów z elementami cyfrowymi, takich jak aplikacje mobilne, urządzenia internetu rzeczy czy systemy IT instalowane na lokalnej infrastrukturze. Nakłada na producentów m.in. obowiązek zgłaszania aktywnie wykorzystywanych podatności i poważnych incydentów bezpieczeństwa. Jak wskazuje Prezes UODO Mirosław Wróblewski, nowe regulacje mogą wzmocnić bezpieczeństwo systemów oraz ochronę danych, w tym danych osobowych.

Wyciek danych z systemów MyDr, który może dotyczyć blisko 19 mln osób, rodzi pytania o odszkodowania i możliwość wniesienia pozwu zbiorowego. Artykuł 82 RODO pozwala osobom, które poniosły szkodę wskutek naruszenia danych osobowych, dochodzić odszkodowania. Przy tak masowym incydencie kluczowe będzie jednak ustalenie, czy roszczenia poszkodowanych są na tyle podobne, aby mogły być dochodzone w postępowaniu grupowym, a także kto – administrator danych czy podmiot przetwarzający – może ponosić odpowiedzialność.

Od 2 sierpnia 2026 r. zaczęły obowiązywać kolejne przepisy rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1689, powszechnie określanego jako AI Act. Wśród nich znalazły się regulacje dotyczące transparentności określonych systemów sztucznej inteligencji. Nie oznacza to jednak, że ustawodawca nałożył powszechny obowiązek oznaczania każdej grafiki stworzonej przez AI, każdego tekstu przygotowanego przy pomocy ChatGPT czy każdej prezentacji wygenerowanej z wykorzystaniem narzędzi opartych na sztucznej inteligencji.

Jeszcze niedawno technologia deepfake była postrzegana przede wszystkim jako ciekawostka technologiczna i efekt dynamicznego rozwoju narzędzi opartych na sztucznej inteligencji. Dziś sytuacja wygląda zupełnie inaczej. Generatywna AI umożliwia stworzenie w ciągu kilku minut realistycznego nagrania wideo lub głosu, które dla przeciętnego odbiorcy może być niemal niemożliwe do odróżnienia od autentycznego materiału. Fałszywe wypowiedzi polityków, celebrytów, przedsiębiorców czy influencerów coraz częściej pojawiają się w mediach społecznościowych, a stale rosnąca dostępność narzędzi AI sprawia, że tworzenie tego rodzaju treści nie wymaga już specjalistycznej wiedzy ani zaawansowanego zaplecza technicznego.

Powierzenie danych dostawcy IT, operatorowi SaaS czy dostawcy chmury nie oznacza automatycznego przeniesienia odpowiedzialności za ich bezpieczeństwo. Cyberatak na zewnętrzny system może więc rodzić obowiązki nie tylko po stronie dostawcy technologii, ale również administratora danych. Wyjaśniamy, co w takich sytuacjach wynika z RODO, na co zwrócić uwagę w umowie z dostawcą IT i dlaczego outsourcing technologii nie oznacza outsourcingu całego ryzyka prawnego.

Osoba, która zakończyła leczenie onkologiczne, może jeszcze przez wiele lat odczuwać jego skutki przy ubieganiu się o kredyt lub ubezpieczenie. Prezes UODO zwrócił uwagę, że dane dotyczące przebytej choroby nowotworowej mogą być wykorzystywane w sektorze finansowym praktycznie bez ograniczeń czasowych. Ministerstwo Finansów i Gospodarki potwierdziło problem. Trwają już prace nad przepisami, które mają wprowadzić prawo do bycia zapomnianym dla pacjentów onkologicznych.

Inteligentne okulary rejestrują obraz i dźwięk niemal niezauważalnie, a zebrane informacje mogą analizować przy wykorzystaniu sztucznej inteligencji. To bardzo wygodne rozwiązanie technologiczne. W pewnych okolicznościach może jednak prowadzić do poważnych naruszeń prywatności. UODO przypomina, że nagrywanie innych osób może oznaczać przetwarzanie danych osobowych, za które odpowiada użytkownik urządzenia. Sprawdź, jakie ryzyka wiążą się z używaniem inteligentnych okularów i jak korzystać z nich z poszanowaniem zasad ochrony danych.

Dnia 2 sierpnia 2026 r. wszedł w życie art. 50 unijnego AI Act, czyli przepis regulujący przejrzystość systemów sztucznej inteligencji, w tym systemów generatywnych, chatbotów, narzędzi do rozpoznawania emocji oraz rozwiązań służących do tworzenia deepfake'ów. W sieci krąży już jednak spore uproszczenie, że od tej daty każda grafika z generatora, każdy tekst i każdy film z użyciem AI musi zostać opatrzony widocznym napisem „wygenerowano przez AI”. W rzeczywistości działa to jednak inaczej, a zakres obowiązków zależy od tego, kto korzysta z systemu, jaki rodzaj treści powstaje i w jakim celu.

Jedna z największych polskich firm zajmujących się elektroniczną dokumentacją medyczną wydała oświadczenie po ujawnieniu poważnego incydentu związanego z bezpieczeństwem danych. Skala wycieku może dotyczyć 19 mln pacjentów w całym kraju.

Praca Inspektora Ochrony Danych coraz częściej wymaga podejmowania szybkich i dobrze udokumentowanych decyzji w sytuacjach, których nie da się rozwiązać wyłącznie na podstawie przepisów. Naruszenia ochrony danych, audyty, analiza ryzyka, współpraca z kierownictwem czy przygotowanie organizacji do kontroli Prezesa UODO to tylko część codziennych wyzwań IOD. Certyfikowane szkolenie „Praktyka Inspektora Ochrony Danych dla zaawansowanych” zostało przygotowane z myślą o osobach, które znają podstawy RODO i chcą rozwijać praktyczne umiejętności potrzebne w codziennej pracy. Zarejestruj się już teraz!

Zastrzeżenie numeru PESEL przed wyjazdem na urlop może ograniczyć ryzyko wykorzystania danych do wyłudzenia kredytu lub pożyczki. Ministerstwo Cyfryzacji przypomina, że usługę można uruchomić bezpłatnie m.in. w aplikacji mObywatel, a zastrzeżenie i jego cofnięcie następują natychmiast.

Od 2 sierpnia 2026 r. podmioty wykorzystujące sztuczną inteligencję muszą stosować nowe wymogi przejrzystości przewidziane w AI Act. Obejmują one m.in. informowanie o treściach wygenerowanych lub zmodyfikowanych przez AI, oznaczanie materiałów typu deepfake oraz przekazywanie użytkownikom informacji, że rozmawiają z maszyną. Jednocześnie przesunięto terminy rozpoczęcia stosowania części przepisów dotyczących systemów AI wysokiego ryzyka.

Prezes UODO przekazał ministrowi zdrowia petycję dotyczącą uregulowania dostępu do smartfonów na zamkniętych oddziałach psychiatrycznych. Problem dotyczy nagrywania pacjentów, rozpowszechniania ich wizerunku oraz ujawniania danych o stanie zdrowia. UODO podkreśla, że konieczne jest pogodzenie prawa pacjentów do kontaktu z bliskimi z ochroną ich prywatności i autonomii informacyjnej.

CISO coraz rzadziej jest wyłącznie ekspertem technicznym odpowiedzialnym za zabezpieczenie systemów informatycznych. W świetle NIS2, DORA, przepisów o krajowym systemie cyberbezpieczeństwa oraz AI Act jego rola koncentruje się przede wszystkim na zarządzaniu ryzykiem technologicznym i bezpieczeństwem informacji. Dla inspektora ochrony danych właściwe umiejscowienie CISO w organizacji ma szczególne znaczenie – wpływa bowiem na skuteczność współpracy przy ocenie ryzyka, reagowaniu na incydenty i ochronie danych osobowych.