rodo

AI w rekrutacji – obowiązki z AI Act i RODO

AI w rekrutacji i HR – jakie obowiązki nakładają na pracodawcę AI Act i RODO?

Wykorzystanie sztucznej inteligencji (AI) w rekrutacji i zarządzaniu pracownikami wiąże się z obowiązkami wynikającymi z AI Act, RODO i Kodeksu pracy. Systemy AI służące do oceny kandydatów, selekcji CV czy monitorowania pracowników mogą zostać zakwalifikowane jako systemy wysokiego ryzyka. Choć stosowanie części obowiązków wynikających z AI Act przesunięto na 2 grudnia 2027 r., pracodawcy już dziś muszą przestrzegać przepisów dotyczących ochrony danych osobowych, zautomatyzowanego podejmowania decyzji, przejrzystości i zakazu dyskryminacji. Jakie wymagania powinien uwzględnić inspektor ochrony danych (IOD) podczas oceny narzędzi AI wykorzystywanych w HR i rekrutacji? Które obowiązki już obowiązują, a na jakie trzeba przygotować organizację?

Korzyści 
  1. AI w rekrutacji i HR podlega przepisom AI Act i RODO. Systemy sztucznej inteligencji wykorzystywane do selekcji CV, oceny kandydatów czy monitorowania pracowników są co do zasady klasyfikowane jako systemy AI wysokiego ryzyka. Stosowanie związanych z nimi obowiązków wynikających z AI Act przesunięto na 2 grudnia 2027 r., ale część wymagań obowiązuje już wcześniej.
  2. Profilowanie kandydatów i automatyczne podejmowanie decyzji wymagają zgodności z RODO. Artykuł 22 RODO ogranicza podejmowanie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywołują skutki prawne lub podobnie istotnie wpływają na kandydata. Pracodawca musi również przestrzegać zasad ochrony danych osobowych, minimalizacji danych i niedyskryminacji.
  3. Obowiązki pracodawcy korzystającego z AI obejmują przejrzystość, nadzór człowieka i kontrolę ryzyka.Inspektor ochrony danych (IOD) powinien zwrócić szczególną uwagę na zakres danych przetwarzanych przez systemy AI w HR, sposób weryfikacji decyzji algorytmicznych, informowanie kandydatów oraz potrzebę przeprowadzenia oceny skutków dla ochrony danych (DPIA).
  4. Pobierz wzory dokumentów:

Klauzula informacyjna dotycząca przetwarzania danych osobowych osoby, której dotyczy zgłoszenie do Gminnej/Miejskiej Komisji Rozwiązywania Problemów Alkoholowych przekazana w momencie wezwania do stawiennictwa i spisania protokołu lub w momencie samodzielnego zgłoszenia się.

Wezwanie do stawiennictwa przed Gminną lub Miejską Komisją Rozwiązywania Problemów Alkoholowych (GKRPA/MKRPA) wiąże się nie tylko z podjęciem czynności wyjaśniających, ale również z koniecznością zapewnienia odpowiedniej ochrony danych osobowych. Jeżeli osoba, której dotyczy zgłoszenie, stawia się przed komisją w celu spisania protokołu lub zgłasza się z własnej inicjatywy, powinna zostać poinformowana o zasadach przetwarzania jej danych zgodnie z art. 13 RODO. Skorzystaj z gotowego wzoru klauzuli informacyjnej, który ułatwi prawidłowe wypełnienie obowiązku informacyjnego wobec osób objętych działaniami komisji alkoholowej.

Nieaktualny adres e-mail IOD – czy to naruszenie RODO?

Czy podanie nieaktualnego adresu e-mail do IOD stanowi naruszenie RODO?

W toku postępowania pracownik przekazał stronie nieaktualny, nieużywany już adres kontaktowy do IOD. Strona przesłała na wskazany adres wiadomość dotyczącą żądania usunięcia danych osobowych. Ponieważ nie otrzymała odpowiedzi, skontaktowała się telefonicznie, informując o zaistniałej sytuacji. Czy w takim przypadku doszło do naruszenia ochrony danych osobowych w rozumieniu art. 4 pkt 12 RODO? Czy zdarzenie należy zakwalifikować jako incydent związany z ochroną danych osobowych i odnotować w wewnętrznym rejestrze incydentów lub naruszeń? Jakie działania powinien podjąć administrator danych, aby prawidłowo ocenić i udokumentować to zdarzenie?

(I) Jak przygotować się do kontroli UODO, przeprowadzić audyt RODO i prawidłowo reagować na naruszenia danych?

Jak przygotować się do kontroli UODO, przeprowadzić audyt RODO i reagować na naruszenia danych?

Jak skutecznie reagować na naruszenia ochrony danych, przeprowadzać audyty RODO i przygotować organizację do kontroli Prezesa UODO? To jedne z najważniejszych wyzwań w codziennej pracy Inspektora Ochrony Danych. Szkolenie online „Naruszenia, audyty i kontrola UODO w 2026 r.  RODO w zderzeniu z KSC/NIS2, AI Act i CRA. Od przypadku do decyzji: praktyczny warsztat IOD na realnych sytuacjach , które odbędzie się 13 października 2026 r., pozwoli uczestnikom rozwinąć praktyczne kompetencje w zakresie dokumentowania zgodności z RODO, zarządzania incydentami i oceny ryzyka. Program obejmuje analizę konkretnych przypadków, praktyczne wskazówki eksperta oraz gotowe narzędzia wspierające pracę IOD.

RODO a ewidencja obiektów noclegowych w gminie – dane osobowe

Jak samorządy chronią dane osobowe właścicieli obiektów niebędących obiektami hotelarskimi?

Usługi hotelarskie mogą być świadczone zarówno w obiektach hotelarskich, jak i w innych obiektach, takich jak gospodarstwa agroturystyczne czy pokoje gościnne. W obu przypadkach różne są zasady rejestracji działalności, wymagania stawiane przedsiębiorcom i właścicielom, a także sposób przetwarzania ich danych osobowych. Szczególne znaczenie ma ochrona danych właścicieli obiektów niebędących obiektami hotelarskimi, ponieważ działalność tę często prowadzą osoby fizyczne, a informacje o obiektach trafiają do ewidencji prowadzonych przez samorządy. Warto zatem wyjaśnić, jakie przepisy regulują udostępnianie i ochronę tych danych oraz jakie obowiązki w tym zakresie mają gminy.

Korzyści 
  • RODO a ewidencja obiektów noclegowych to istotne zagadnienie dla gmin, ponieważ ewidencja innych obiektów, w których świadczone są usługi hotelarskie, może zawierać dane osobowe właścicieli obiektów noclegowych, w tym osób fizycznych i rolników.
  • Gmina prowadząca ewidencję obiektów noclegowych musi przetwarzać dane zgodnie z zasadami RODO, w szczególności z zasadą minimalizacji danych osobowych wynikającą z art. 5 RODO.
  • Jawność ewidencji i publikowanie informacji w BIP nie oznaczają nieograniczonej możliwości udostępniania wszystkich zgromadzonych danych osobowych. Zakres publikowanych informacji powinien wynikać z przepisów i odpowiadać celowi ich przetwarzania.
  • Gmina powinna prawidłowo realizować obowiązek informacyjny z art. 13 RODO wobec osoby zgłaszającej obiekt do ewidencji. Pomocna jest w tym odpowiednio przygotowana klauzula informacyjna dla wnioskodawcy.

Pobierz wzór klauzuli informacyjnej >>>>

  • Także właściciel obiektu świadczącego usługi hotelarskie jest administratorem danych swoich klientów i musi przestrzegać zasad RODO, m.in. przy identyfikowaniu gości oraz realizacji obowiązku informacyjnego.
Akt o cyberodporności CRA: art. 14, obowiązki i RODO

Akt o cyberodporności (CRA): nowe obowiązki producentów i większa ochrona danych

Od 11 września 2026 r. stosowany jest art. 14 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/2847, czyli aktu o cyberodporności (Cyber Resilience Act, CRA). Przepis dotyczy produktów z elementami cyfrowymi, takich jak aplikacje mobilne, urządzenia internetu rzeczy czy systemy IT instalowane na lokalnej infrastrukturze. Nakłada na producentów m.in. obowiązek zgłaszania aktywnie wykorzystywanych podatności i poważnych incydentów bezpieczeństwa. Jak wskazuje Prezes UODO Mirosław Wróblewski, nowe regulacje mogą wzmocnić bezpieczeństwo systemów oraz ochronę danych, w tym danych osobowych.

Numer działki w BIP a RODO – czy trzeba go anonimizować?

Czy numer działki w BIP trzeba anonimizować?

Pytanie:  Czy numer działki podanej na BIP powinien być zanonimizowany jako dana osobowa, czy też można ją umieszczać np. przy wyrażeniu zgody przez Zarząd na dzierżawę działki?
Korzyści 
  1. Czy numer działki jest daną osobową w rozumieniu RODO?
  2. Czy numer działki można publikować w Biuletynie Informacji Publicznej?
  3. Czy przy publikacji uchwały o dzierżawie działki trzeba anonimizować dane dzierżawcy?
  4. Czym różni się publikacja numeru działki od publikacji numeru księgi wieczystej?
RODO a zamówienia poniżej progów PZP i najem nieruchomości

Klauzula informacyjna RODO w zamówieniach poniżej progów PZP – jak wskazać właściwą podstawę prawną?

Pytanie:  Jak powinny prawidłowo brzmieć zapisy w klauzuli informacyjnej dotyczącej postępowania o udzielenie zamówienia prowadzonego poniżej progów stosowania ustawy z dnia 11 września 2019 r. – Prawo zamówień publicznych oraz pisemnego przetargu nieograniczonego na najem pomieszczenia na okres dłuższy niż 3 lata, prowadzonego na podstawie ustawy o gospodarce nieruchomościami.
Korzyści 
  • Jaka podstawa prawna RODO ma zastosowanie w zamówieniach poniżej progów PZP?
  • Czy art. 44 ustawy o finansach publicznych może być podstawą przetwarzania danych osobowych oferentów?
  • Kiedy w postępowaniu zakupowym można zastosować art. 6 ust. 1 lit. b RODO?
  • Czy dane przedstawicieli, pełnomocników i osób kontaktowych kontrahenta można przetwarzać na podstawie art. 6 ust. 1 lit. f RODO?
  • Jaka podstawa prawna RODO obowiązuje przy pisemnym przetargu nieograniczonym na najem pomieszczenia na okres dłuższy niż 3 lata?
  • Jak prawidłowo sformułować klauzulę informacyjną RODO dla oferentów w postępowaniu podprogowym lub przetargu nieograniczonym?
Inteligentne okulary rejestrują obraz i dźwięk niemal niezauważalnie, a zebrane informacje mogą analizować przy wykorzystaniu sztucznej inteligencji.

Inteligentne okulary nagrywają więcej, niż myślisz. UODO ostrzega przed ryzykiem dla prywatności

Inteligentne okulary rejestrują obraz i dźwięk niemal niezauważalnie, a zebrane informacje mogą analizować przy wykorzystaniu sztucznej inteligencji. To bardzo wygodne rozwiązanie technologiczne. W pewnych okolicznościach może jednak prowadzić do poważnych naruszeń prywatności. UODO przypomina, że nagrywanie innych osób może oznaczać przetwarzanie danych osobowych, za które odpowiada użytkownik urządzenia. Sprawdź, jakie ryzyka wiążą się z używaniem inteligentnych okularów i jak korzystać z nich z poszanowaniem zasad ochrony danych.

RODO i KSC – zgłaszanie naruszeń i incydentów

Lista kontrolna: Obowiązki zgłoszeniowe z perspektywy RODO i przepisów o Krajowym Systemie Cyberbezpieczeństwa

Jedno zdarzenie związane z bezpieczeństwem może jednocześnie stanowić naruszenie ochrony danych osobowych w rozumieniu RODO oraz incydent podlegający przepisom ustawy o krajowym systemie cyberbezpieczeństwa. Organizacje powinny więc zadbać o właściwą kwalifikację zdarzenia, dotrzymanie terminów zgłoszeniowych oraz spójność dokumentacji przekazywanej do Prezesa UODO i właściwego CSIRT. Artykuł przedstawia praktyczną listę kontrolną oraz przykładowe zapisy, które można wykorzystać przy aktualizacji procedur bezpieczeństwa.

Korzyści 
  1. Zgłaszanie incydentów RODO i KSC powinno opierać się na jednej, spójnej procedurze, która pozwala szybko ustalić, czy zdarzenie stanowi naruszenie ochrony danych osobowych, incydent w rozumieniu uKSC, czy zdarzenie hybrydowe podlegające obu regulacjom.
  2. Procedura reagowania na incydenty powinna uwzględniać współpracę inspektora ochrony danych, działu IT i innych odpowiedzialnych osób, a także terminy zgłoszeniowe: 24 godziny na wczesne ostrzeżenie o incydencie poważnym oraz 72 godziny na zgłoszenia wymagane przez RODO i przepisy o Krajowym Systemie Cyberbezpieczeństwa.
  3. Dokumentacja incydentu przygotowywana dla Prezesa UODO i właściwego CSIRT musi być spójna pod względem opisu zdarzenia, czasu jego wystąpienia, skutków oraz podjętych działań naprawczych, nawet jeżeli zakres informacji wymaganych przez RODO i uKSC jest różny.
Naruszenie danych czy incydent cyberbezpieczeństwa? RODO i uKSC

Naruszenie ochrony danych osobowych czy incydent cyberbezpieczeństwa? Jak stosować RODO i uKSC przy zgłaszaniu zdarzeń

Zdarzenie dotyczące bezpieczeństwa może być jednocześnie naruszeniem ochrony danych osobowych w rozumieniu RODO oraz incydentem cyberbezpieczeństwa objętym przepisami uKSC. Kluczowe jest ustalenie, czy zdarzenie dotyczy danych osobowych, bezpieczeństwa systemów informacyjnych, ciągłości świadczenia usług, czy wszystkich tych obszarów naraz. Od tej kwalifikacji zależy, czy organizacja powinna dokonać zgłoszenia do Prezesa UODO, właściwego CSIRT, poinformować osoby fizyczne lub użytkowników usługi oraz zachować odpowiednie terminy zgłoszeniowe.

Korzyści 
  1. Naruszenie ochrony danych osobowych w RODO dotyczy wyłącznie danych osobowych, natomiast incydent cyberbezpieczeństwa w uKSC odnosi się przede wszystkim do bezpieczeństwa systemów informacyjnych i ciągłości świadczenia usług.
  2. To samo zdarzenie, np. atak ransomware, może jednocześnie stanowić naruszenie ochrony danych osobowychoraz incydent poważny, co oznacza konieczność równoległego zastosowania przepisów RODO i uKSC.
  3. Administratorzy i podmioty objęte uKSC muszą prawidłowo ocenić obowiązki zgłoszeniowe, w tym terminy zgłoszenia do UODO, właściwego CSIRT oraz ewentualne obowiązki informacyjne wobec osób fizycznych lub użytkowników usług.
Rzeczy znalezione w ZKM a RODO – czy trzeba weryfikować tożsamość?

Czy Zakład Komunikacji Miejskiej musi weryfikować tożsamość osoby odbierającej rzecz znalezioną?

Pytanie:  Przygotowujemy projekt zarządzenia w sprawie postępowania z rzeczami znalezionymi w środkach transportu Zakładu Komunikacji Miejskiej. Jako zakład chcemy ograniczyć przetwarzanie danych osobowych, zatem zapis dotyczący ustalenia tożsamości osoby uprawnionej i pisemna zgoda na udostępnienie danych wydaje się zbyteczna. Być może wystarczy tylko wysłuchać od osoby uprawnionej do odbioru rzeczy informacji o charakteryzujących daną rzecz, porównać ją z zapisami wynikającymi z rejestru i wydać rzecz bez pokwitowania. ZKM nie pełni funkcji Biura rzeczy znalezionych, dlatego też chcemy uniknąć zbierania i przechowywania danych pasażerów. Czy następujący zapis w kontekście danych osobowych jest prawidłowy: W związku z wydaniem rzeczy, pracownik Działu DO jest zobowiązany do: 1) ustalenia tożsamości osoby uprawnionej; 2) porównania opisu rzeczy znalezionej podanego przez osobę uprawnioną z zapisami wynikającymi z zapisów rejestru; 3) odebrania pisemnej zgody na udostępnienie danych osobowych; 4) uzupełnienie zapisów rejestru w części dotyczącej wydanej rzeczy.
Korzyści 
  1. Czy ZKM może wydać rzecz znalezioną wyłącznie na podstawie jej opisu?
  2. Czy pracownik ZKM powinien ustalić tożsamość osoby odbierającej rzecz znalezioną?
  3. Czy podstawą przetwarzania danych osoby odbierającej rzecz znalezioną powinna być zgoda?
  4. Jaka podstawa prawna przetwarzania danych będzie właściwa przy wydaniu rzeczy znalezionej?
  5. Jakie dane można zebrać przy wydaniu rzeczy znalezionej?
  6. Czy pokwitowanie odbioru rzeczy znalezionej powinno zawierać klauzulę informacyjną RODO?
(I) Straż gminna a dane osobowe: zakres uprawnień i obowiązki administratora

Straż gminna a dane osobowe: zakres uprawnień i obowiązki administratora

Strażnicy gminni, realizując zadania związane z porządkiem publicznym, przetwarzają dane osobowe na podstawie szczególnych przepisów prawa. Artykuł wyjaśnia, jakie dane mogą być legalnie gromadzone, kto pełni rolę administratora oraz jakie ograniczenia i obowiązki wynikają z regulacji.

Korzyści 
  • Straż gminna może przetwarzać dane osobowe bez zgody osoby, jeśli jest to niezbędne do realizacji ustawowych zadań, ale z wyłączeniem danych szczególnych kategorii.
  • Administratorem danych jest co do zasady komendant straży, chyba że straż wykonuje zadania zlecone przez gminę – wtedy administratorem jest organ wykonawczy.
  • Zakres przetwarzanych danych jest ściśle określony przepisami i zależy od rodzaju podejmowanych czynności, takich jak legitymowanie czy kontrola osobista.

Z artykułu dowiesz się m.in.:

  • Kto jest administratorem danych w straży gminnej?
  • Czy straż gminna może przetwarzać dane bez zgody osoby?
  • Jakich danych nie może przetwarzać straż gminna?
  • Jakie dane są zbierane podczas legitymowania?
  • Czy strażnik musi mieć upoważnienie do przetwarzania danych?
  • Czy dane strażników podlegają ochronie prywatności?
Czy gmina przekazuje dane uczniów do OHP? Zakres danych i RODO (IOD/ADO)

Czy gmina musi przekazać dane uczniów do Ochotniczych Hufców Pracy?

Pytanie:  Ustawa o rynku pracy i służbach zatrudnienia nakłada na Ochotnicze Hufce Pracy obowiązek podejmowania działań środowiskowych mających na celu identyfikację młodzieży wymagającej wsparcia. Działając na podstawie art. 351 ust. 13 ustawy, OHP zwraca się z prośbą o przekazanie informacji o młodzieży zamieszkałej na terenie gminy. Czy gmina powinna udzielić informacje o uczniach np.:
  • imię (imiona) i nazwisko;
  • numer PESEL (lub w przypadku jego braku — datę i miejsce urodzenia oraz dane dokumentu tożsamości);
  • adres zamieszkania oraz adres do doręczeń;
  • informacje o ukończonych szkołach;
  • dane o ostatniej szkole i klasie, do której dana osoba uczęszczała.
W związku z tym, że wnioskowane dane dotyczą osób małoletnich, proszę również o podanie danych osobowych rodziców/opiekunów prawnych. Czy pismo powinny otrzymać szkoły i one powinny udzielać odpowiedzi?
Korzyści 

Z porady dowiesz się m.in.:

  • Czy gmina ma obowiązek przekazać dane uczniów do OHP?
  • Jaki zakres danych można przekazać do OHP?
  • Czy można przekazać dane rodziców lub opiekunów prawnych?
  • Czy szkoły powinny odpowiadać na wniosek OHP?
  • Kto jest administratorem danych w OHP?
  • Czy potrzebna jest zgoda na przekazanie danych do OHP?
  • Jaką rolę ma IOD w tej sytuacji?
Gmina, biegły, rzeczoznawca: RODO – powierzenie czy udostępnienie?

Czy wynajęcie rzeczoznawcy przez gminę wymaga zawarcia umowy powierzenia

Pytanie:  Czy z biegłym w zakresie zmiany stanu wody lub rzeczoznawcą majątkowym wykonującym usługę/zlecenie dla gminy (na działkach/nieruchomościach prywatnych), gmina powinna zawrzeć umowę powierzenia przetwarzania danych osobowych? Warto dodać, iż gmina przekazuje biegłym nr działki, nr księgi wieczystej, imię i nazwisko właściciela, adres nieruchomości. Czy może biegli/rzeczoznawcy są odrębnymi administratorami, którym udostępnia się dane niezbędne do wykonania umowy?
Korzyści 

Z porady dowiesz się m.in.:

1. Czy gmina powinna zawrzeć umowę powierzenia RODO z biegłym lub rzeczoznawcą majątkowym?

2. Co decyduje o statusie administratora vs procesora według EDPB i UODO?

3. Jakie dane gmina może przekazywać biegłemu (nr działki, KW, dane właściciela)?

4. Kiedy jednak potrzebna jest umowa powierzenia z art. 28 RODO?

5. Jakie klauzule w umowie z biegłym/rzeczoznawcą?

Poznaj kluczowe zagadnienia, z jakimi możesz się zetknąć podczas codziennej pracy IODO.
E-kurs dla początkującego Inspektora Danych Osobowych. Rzetelna wiedza i praktyczne ćwiczenia.

SPRAWDŹ »

© Portal Poradyodo.pl

24-h bezpłatny test portalu!
Zyskaj pełen dostęp do bazy porad i aktualności!

SPRAWDŹ »

x