naruszenie ochrony danych osobowych

wyciek danych przez system AI– RODO i odpowiedzialność

Wyciek danych przez odpowiedzi systemu AI – kiedy dochodzi do naruszenia RODO i kto ponosi odpowiedzialność?

Wyciek danych przez odpowiedzi systemu sztucznej inteligencji (AI) może prowadzić do nieuprawnionego ujawnienia danych osobowych, tajemnicy przedsiębiorstwa lub informacji poufnych. Jeżeli ujawnienie danych osobowych wynika z naruszenia bezpieczeństwa, może stanowić naruszenie ochrony danych osobowych w rozumieniu RODO i powodować obowiązek zgłoszenia incydentu Prezesowi UODO, a także odpowiedzialność administracyjną lub cywilną. Jakie zagrożenia wiążą się z korzystaniem z dużych modeli językowych (LLM), kto odpowiada za wyciek danych przez system AI i jakie obowiązki mają administrator oraz dostawca technologii? Wyjaśniamy, kiedy stosuje się przepisy RODO i AI Act, jakie mogą być konsekwencje prawne wycieku oraz jak ograniczyć ryzyko ujawnienia danych przez odpowiedzi generowane przez sztuczną inteligencję.

Korzyści 
  • Kiedy wyciek danych przez odpowiedzi systemu sztucznej inteligencji (AI) stanowi naruszenie ochrony danych osobowych w rozumieniu RODO?
  • Jakie mechanizmy, w tym prompt injection i błędy kontroli dostępu w systemach RAG, mogą prowadzić do wycieku danych przez modele językowe (LLM)?
  • Kto ponosi odpowiedzialność za wyciek danych osobowych przez system AI – administrator danych czy dostawca technologii?
  • Kiedy należy zgłosić wyciek danych przez system AI do Prezesa UODO i jakie konsekwencje prawne może powodować takie naruszenie?
  • Jakie środki techniczne i organizacyjne powinien wdrożyć administrator, aby ograniczyć ryzyko wycieku danych przez system AI i zapewnić zgodność z RODO oraz AI Act?

Sprawdź również:

Nieuprawnione wykorzystanie danych przez dostawcę AI – kto odpowiada i jakie grożą kary?

AI a ochrona danych osobowych – kiedy konieczna jest ocena skutków dla ochrony danych?

Analiza ryzyka dla przetwarzania danych osobowych w systemach informatycznych służących do przetwarzania danych osobowych w kontekście następstw dla osób fizycznych

AI w rekrutacji i HR – jakie obowiązki nakładają na pracodawcę AI Act i RODO?

Cyberatak na dostawcę IT a RODO. Kto odpowiada za bezpieczeństwo powierzonych danych?

Nieaktualny adres e-mail IOD – czy to naruszenie RODO?

Czy podanie nieaktualnego adresu e-mail do IOD stanowi naruszenie RODO?

W toku postępowania pracownik przekazał stronie nieaktualny, nieużywany już adres kontaktowy do IOD. Strona przesłała na wskazany adres wiadomość dotyczącą żądania usunięcia danych osobowych. Ponieważ nie otrzymała odpowiedzi, skontaktowała się telefonicznie, informując o zaistniałej sytuacji. Czy w takim przypadku doszło do naruszenia ochrony danych osobowych w rozumieniu art. 4 pkt 12 RODO? Czy zdarzenie należy zakwalifikować jako incydent związany z ochroną danych osobowych i odnotować w wewnętrznym rejestrze incydentów lub naruszeń? Jakie działania powinien podjąć administrator danych, aby prawidłowo ocenić i udokumentować to zdarzenie?

Kontrole UODO w ochronie zdrowia 2026 – co sprawdzą

UODO zwiększa kontrole w ochronie zdrowia. Co sprawdzi w placówkach medycznych do końca 2026 r.

Prezes UODO zapowiedział dodatkowe, zintensyfikowane kontrole podmiotów sektora ochrony zdrowia do końca 2026 r. To reakcja m.in. na cyberatak i wyciek danych związany z systemem MyDr oraz inne naruszenia dotyczące danych medycznych. Kontrolerzy mają weryfikować przede wszystkim, czy placówki właściwie zabezpieczają dane pacjentów, stosują odpowiednie środki techniczne i organizacyjne oraz prawidłowo przeprowadzają analizę ryzyka. Sprawdź, czego może zażądać UODO i jakie obszary warto zweryfikować przed kontrolą.

Kara UODO za brak zabezpieczenia danych osobowych w kancelarii podatkowej

Przejęcie skrzynki e-mail i kara UODO: administrator musi wykazać skuteczność zabezpieczeń

Prezes UODO nałożył karę finansową w wysokości 11 594 zł na administratora prowadzącego kancelarię podatkową. Powodem było niewdrożenie odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo danych osobowych. Sprawa dotyczyła przejęcia konta poczty elektronicznej pracownika, na którym przetwarzano dane 111 osób, w tym klientów, ich pracowników oraz dzieci zgłoszonych do ubezpieczenia zdrowotnego.

Naruszenie danych czy incydent cyberbezpieczeństwa? RODO i uKSC

Naruszenie ochrony danych osobowych czy incydent cyberbezpieczeństwa? Jak stosować RODO i uKSC przy zgłaszaniu zdarzeń

Zdarzenie dotyczące bezpieczeństwa może być jednocześnie naruszeniem ochrony danych osobowych w rozumieniu RODO oraz incydentem cyberbezpieczeństwa objętym przepisami uKSC. Kluczowe jest ustalenie, czy zdarzenie dotyczy danych osobowych, bezpieczeństwa systemów informacyjnych, ciągłości świadczenia usług, czy wszystkich tych obszarów naraz. Od tej kwalifikacji zależy, czy organizacja powinna dokonać zgłoszenia do Prezesa UODO, właściwego CSIRT, poinformować osoby fizyczne lub użytkowników usługi oraz zachować odpowiednie terminy zgłoszeniowe.

Korzyści 
  1. Naruszenie ochrony danych osobowych w RODO dotyczy wyłącznie danych osobowych, natomiast incydent cyberbezpieczeństwa w uKSC odnosi się przede wszystkim do bezpieczeństwa systemów informacyjnych i ciągłości świadczenia usług.
  2. To samo zdarzenie, np. atak ransomware, może jednocześnie stanowić naruszenie ochrony danych osobowychoraz incydent poważny, co oznacza konieczność równoległego zastosowania przepisów RODO i uKSC.
  3. Administratorzy i podmioty objęte uKSC muszą prawidłowo ocenić obowiązki zgłoszeniowe, w tym terminy zgłoszenia do UODO, właściwego CSIRT oraz ewentualne obowiązki informacyjne wobec osób fizycznych lub użytkowników usług.
Regularne testowanie środków bezpieczeństwa RODO – wyrok NSA

Wyrok NSA: Regularne testowanie środków bezpieczeństwa RODO obowiązkiem administratora danych

Administrator danych powinien od początku stosowania RODO posiadać rozwiązania zapewniające regularne testowanie, mierzenie i ocenę skuteczności środków bezpieczeństwa. Naczelny Sąd Administracyjny oddalił skargę kasacyjną spółki w sprawie dotyczącej naruszenia ochrony danych osobowych ponad 114 tys. klientów Virgin Mobile i potwierdził stanowisko Prezesa UODO dotyczące obowiązków administratora.

Kara UODO za przetwarzanie danych klientów przez WhatsAppa

Kara UODO za przetwarzanie danych klientów przez WhatsAppa

Prezes UODO uznał, że korzystanie przez przedstawicieli handlowych z nieautoryzowanego komunikatora do przekazywania danych klientów naruszało przepisy o ochronie danych osobowych. W sprawie administrator i podmioty przetwarzające otrzymali upomnienia, a na jeden z podmiotów przetwarzających nałożono administracyjną karę pieniężną w wysokości 10 145 zł. Sprawa pokazuje, jak istotne jest realne nadzorowanie narzędzi wykorzystywanych w procesach sprzedażowych i komunikacyjnych.

WSA potwierdził karę UODO dla Fortum i Pika | naruszenie danych

WSA: administrator danych osobowych odpowiada także za nadzór nad procesorem

Wojewódzki Sąd Administracyjny w Warszawie ponownie potwierdził, że Prezes UODO słusznie nałożył kary na Fortum Energia S.A. i Pika Sp. z o.o. za naruszenie ochrony danych osobowych dotyczące ponad 90 tys. osób. Sprawa pokazuje, że administrator musi nie tylko zgłosić incydent, ale też realnie nadzorować procesora i zadbać o skuteczne środki techniczne oraz organizacyjne.

Naruszenie ochrony danych w BIP – decyzja UODO i obowiązki administratora

Publikacja danych w BIP bez anonimizacji – kiedy trzeba zgłosić naruszenie

Publikacja niezanonimizowanych danych osobowych w Biuletynie Informacji Publicznej może stanowić poważne naruszenie RODO – nawet jeśli wynika z błędu. Najnowsza decyzja Prezesa UODO pokazuje, jak należy interpretować obowiązek zgłoszenia naruszenia i ocenę ryzyka.

Zgłaszanie naruszenia ochrony danych osobowych: kara UODO 5 tys. zł dla wspólnoty mieszkaniowej

Obowiązek zgłoszenia naruszenia RODO w 72h bez wyjątków

Prezes UODO nałożył karę administracyjną w wysokości 5 tys. zł na wspólnotę mieszkaniową za niezachowanie 72 godzin na zgłaszanie naruszenia ochrony danych osobowych. Sprawa pokazuje, jak kluczowa jest rzetelna analiza ryzyka RODO – nawet przy "danych zwykłych" i jednej osobie poszkodowanej.

Operator pocztowy a RODO: administrator danych adresowych?

Czy operator pocztowy jest administratorem danych adresowych?

Pytanie:  Pracownik placówki operatora pocztowego wydał korespondencję skierowaną do osoby fizycznej innej osobie o tym samym imieniu i nazwisku, ale zamieszkującej pod innym adresem. Osoba fizyczna, która odebrała korespondencję w momencie otwierania listu zorientowała się, że jest inny adres zamieszkania. Otwartą kopertę wraz z pismem osoba fizyczna odniosła do urzędu, który właściwie zaadresował pismo. Sporządzono protokół, w którym Pani potwierdziła fakt, iż to pracownik poczty niewłaściwie wydał pismo i wyraziła zgodę na podanie jej danych w sprawie wyjaśnienia sytuacji. Urząd złożył oficjalną reklamację do operatora pocztowego z informacją, iż doszło do naruszenia ochrony danych osobowych przez pracownika operatora. Operator pocztowy w odpowiedzi stwierdził, iż nie jest on administratorem danych osobowych i to do nadawcy należy ocena czy w zaistniałej sytuacji należy zgłosić naruszenie ochrony danych osobowych. Czy operator pocztowy udzielił prawidłowej odpowiedzi? Jakie jest orzecznictwo sądowe w tej kwestii oraz decyzje PUODO.
NSA potwierdził karę UODO dla Banku Millennium za niezgłoszenie naruszenia danych osobowych

NSA potwierdził: Bank Millennium słusznie ukarany za niezgłoszenie naruszenia danych osobowych

Naczelny Sąd Administracyjny oddalił skargę kasacyjną Banku Millennium, podtrzymując decyzję Prezesa UODO o karze ponad 350 tys. zł za niezgłoszenie naruszenia ochrony danych osobowych oraz brak zawiadomienia osób, których dane ujawniono. Wyrok potwierdza obowiązek administratora do zgłaszania incydentów, nawet gdy sprawcą zdarzenia jest podmiot zewnętrzny.

Komornik ukarany przez UODO za brak zgłoszenia naruszenia danych osobowych – jak rozumieć „mało prawdopodobne ryzyko”?

Komornik ukarany przez UODO za brak zgłoszenia naruszenia danych osobowych – jak rozumieć „mało prawdopodobne ryzyko”?

Prezes UODO nałożył niemal 21 tys. zł kary na komornika sądowego za niezgłoszenie naruszenia ochrony danych osobowych oraz brak powiadomienia osoby, której dane dotyczyły. Sprawa pokazuje, jak istotna jest prawidłowa analiza ryzyka i właściwa interpretacja pojęcia „mało prawdopodobne ryzyko” w kontekście obowiązków z art. 33 i 34 RODO.

UODO: kara 40 tys. zł za niezgłoszenie naruszenia ochrony danych pacjentki

UODO: kara 40 tys. zł za niezgłoszenie naruszenia ochrony danych pacjentki

Prezes UODO nałożył na spółkę Gyncentrum karę finansową w wysokości 40 tys. zł za niezgłoszenie naruszenia ochrony danych osobowych pacjentki. Jednocześnie wystosował upomnienie za brak bezzwłocznego zawiadomienia osób, których dane dotyczyły. Sprawa stanowi ważne przypomnienie o obowiązkach administratorów w przypadku incydentów bezpieczeństwa danych, szczególnie w sektorze medycznym.

Wysłanie wypowiedzenia na błędny adres e-mail – czy zgłosić naruszenie do UODO?

Wysłanie wypowiedzenia na błędny adres e-mail – czy zgłosić naruszenie do UODO?

Pytanie:  Pracownik naszego działu kadr i płac pomyłkowo wysłał skan wypowiedzenia umowy o pracę na niewłaściwy adres e-mail (pracownik prosił o wysłanie go na swoją prywatną skrzynkę, po tym jak nie zabrał ze sobą dokumentu po jego osobistym wręczeniu), który nie był adresem pracownika. W adresie e-mail, na który wysłane zostało wypowiedzenie, było to samo imię i nazwisko, co w adresie pracownika, ale bez cyfr, które są w adresie wskazanym przez pracownika. Wypowiedzenie to zawierało imię i nazwisko oraz adres pracownika, a także wskazywało przyczyny rozwiązania umowy o pracę. Po wysłaniu skanu wypowiedzenia pracownik działu kadr nie otrzymał z tegoż adresu żadnej informacji zwrotnej, w tym informacji o tym, że adres nie istnieje, czy też ze jest nieprawidłowy). Po odkryciu pomyłki, w ślad za tym mailem na ten sam adres został wysłany kolejny, z prośbą o usunięcie poprzedniej wiadomości skierowanej pomyłkowo oraz o potwierdzenie takiego usunięcia. Na razie odpowiedzi nie mamy. Dodatkowo w stopkach maili wysyłanych przez naszych pracowników jest standardowo zamieszczona informacja o tym, że wiadomość może zawierać informacje poufne lub zastrzeżone i jeżeli osoba otrzymująca nie jest adresatem wiadomości, prosimy o niezwłoczne powiadomienie nadawcy w zwrotnej wiadomości oraz o usunięcie wiadomości wraz ze wszystkimi załącznikami, bez zachowywania jakiejkolwiek kopii. Tak też było i w tym przypadku. Dodatkowo okres wypowiedzenia umowy o pracę w stosunku do tego pracownika upłynie na koniec października, pracownik jest zwolniony z obowiązku świadczenia pracy w okresie wypowiedzenia. Czy w takim przypadku administrator powinien powiadomić Prezesa UODO o naruszeniu oraz czy równolegle powinniśmy powiadomić pracownika o tej sytuacji?

Poznaj kluczowe zagadnienia, z jakimi możesz się zetknąć podczas codziennej pracy IODO.
E-kurs dla początkującego Inspektora Danych Osobowych. Rzetelna wiedza i praktyczne ćwiczenia.

SPRAWDŹ »

© Portal Poradyodo.pl

24-h bezpłatny test portalu!
Zyskaj pełen dostęp do bazy porad i aktualności!

SPRAWDŹ »

x