Shadow AI to zjawisko polegające na wykorzystywaniu przez pracowników narzędzi opartych na sztucznej inteligencji do realizacji zadań służbowych bez wiedzy, zgody lub nadzoru kierownictwa firmy. Dotyczy to m.in. publicznie dostępnych chatbotów, generatorów treści, asystentów programistycznych czy narzędzi do analizy dokumentów. Korzystanie z takich rozwiązań może prowadzić do niekontrolowanego ujawnienia informacji poufnych, tajemnic przedsiębiorstwa oraz danych osobowych, a w konsekwencji do naruszenia zasad bezpieczeństwa informacji i przepisów RODO. Aby ograniczyć ryzyko związane z Shadow AI, organizacja powinna uwzględnić je w analizach ryzyka, politykach bezpieczeństwa, procedurach ochrony danych oraz zasadach korzystania z narzędzi AI. Istotne są również szkolenia pracowników, określenie dozwolonych zastosowań sztucznej inteligencji i wdrożenie mechanizmów kontroli, które pozwolą zapobiegać przetwarzaniu danych poza wiedzą i kontrolą administratora.

Jedno zdarzenie związane z bezpieczeństwem może jednocześnie stanowić naruszenie ochrony danych osobowych w rozumieniu RODO oraz incydent podlegający przepisom ustawy o krajowym systemie cyberbezpieczeństwa. Organizacje powinny więc zadbać o właściwą kwalifikację zdarzenia, dotrzymanie terminów zgłoszeniowych oraz spójność dokumentacji przekazywanej do Prezesa UODO i właściwego CSIRT. Artykuł przedstawia praktyczną listę kontrolną oraz przykładowe zapisy, które można wykorzystać przy aktualizacji procedur bezpieczeństwa.

W dyskusjach na temat sposobu korzystania z nowych technologii przez dzieci bardzo często opieramy się na subiektywnych przypuszczeniach albo doświadczeniach rodziców i nauczycieli. Jak jednak naprawdę najmłodsi korzystają z Internetu: ile czasu spędzają online, z jakich aplikacji korzystają, kiedy sięgają po smartfon oraz z jakimi treściami mają kontakt? Raport „Internet dzieci 2026" odpowiada na te pytania używając konkretnych liczb, które dla przedsiębiorców z sektora cyfrowego oraz inspektorów ochrony danych stanowią jednoznaczny sygnał ostrzegawczy. Skala zjawisk nie jest już tylko problemem wychowawczym – to przede wszystkim obszar systemowych naruszeń prawa ochrony danych osobowych, prywatności oraz cyberbezpieczeństwa najmłodszych.

Zdarzenie dotyczące bezpieczeństwa może być jednocześnie naruszeniem ochrony danych osobowych w rozumieniu RODO oraz incydentem cyberbezpieczeństwa objętym przepisami uKSC. Kluczowe jest ustalenie, czy zdarzenie dotyczy danych osobowych, bezpieczeństwa systemów informacyjnych, ciągłości świadczenia usług, czy wszystkich tych obszarów naraz. Od tej kwalifikacji zależy, czy organizacja powinna dokonać zgłoszenia do Prezesa UODO, właściwego CSIRT, poinformować osoby fizyczne lub użytkowników usługi oraz zachować odpowiednie terminy zgłoszeniowe.

Wiele organizacji przygotowujących się do wdrożenia wymogów NIS2 nadal traktuje cyberbezpieczeństwo i ochronę danych osobowych jako dwa odrębne światy. Za cyberbezpieczeństwo odpowiada dział IT lub zewnętrzny dostawca usług, za zgodność z RODO inspektor ochrony danych, a zarząd otrzymuje od czasu do czasu raport dotyczący jednego lub drugiego obszaru. Problem pojawia się w momencie wystąpienia realnego incydentu. Wówczas bardzo szybko okazuje się, że granice pomiędzy NIS2 a RODO są znacznie mniej oczywiste, niż mogłoby się wydawać.

Rezerwacja hotelu, wypożyczenie roweru, korzystanie z publicznej sieci Wi-Fi czy publikowanie zdjęć z urlopu mogą wiązać się z ryzykiem naruszenia prywatności i utraty kontroli nad danymi osobowymi. Przed wyjazdem warto wiedzieć, kiedy można okazać dokument tożsamości, dlaczego nie należy zostawiać dowodu osobistego jako kaucji oraz jak postępować w razie kradzieży dokumentów, telefonu lub danych.

Przez lata cyberbezpieczeństwo w firmach było traktowane jako domena działów IT, a odpowiedzialność za ochronę danych i systemów informatycznych delegowano do specjalistów lub zewnętrznych dostawców. Zarządy angażowały się najczęściej dopiero w sytuacjach kryzysowych, takich jak cyberatak, wyciek danych czy incydent ransomware. Obecnie, w związku z regulacjami takimi jak dyrektywa NIS2 oraz rosnącymi wymaganiami w zakresie zarządzania ryzykiem ICT, podejście to ulega zasadniczej zmianie. Cyberbezpieczeństwo staje się kluczowym elementem odpowiedzialności zarządu, a brak nadzoru i właściwych procedur może prowadzić do konsekwencji prawnych, finansowych i reputacyjnych.

Analiza ryzyka w RODO to jeden z podstawowych obowiązków każdego administratora danych osobowych, wynikający bezpośrednio z podejścia opartego na ryzyku (risk-based approach). W praktyce bywa jednak często mylona z oceną skutków dla ochrony danych (DPIA) z art. 35 RODO, która ma zastosowanie wyłącznie w określonych przypadkach. Prawidłowo przeprowadzona analiza ryzyka pozwala dobrać adekwatne środki techniczne i organizacyjne, uwzględniając charakter, zakres, kontekst i cele przetwarzania, a także ryzyko naruszenia praw i wolności osób fizycznych oraz interesów administratora.

Strażnicy gminni, realizując zadania związane z porządkiem publicznym, przetwarzają dane osobowe na podstawie szczególnych przepisów prawa. Artykuł wyjaśnia, jakie dane mogą być legalnie gromadzone, kto pełni rolę administratora oraz jakie ograniczenia i obowiązki wynikają z regulacji.

Poczta e-mail pozostaje jednym z najczęstszych źródeł naruszeń ochrony danych osobowych. UODO wskazuje, że problemy wynikają głównie z włamań na skrzynki oraz przesyłania niezabezpieczonych informacji. To dobry moment, aby zweryfikować procedury, sposób przechowywania wiadomości oraz realny poziom bezpieczeństwa komunikacji w organizacji. Urząd Ochrony Danych Osobowych (UODO, urząd) opublikował w swoim biuletynie tekst pt. „Poczta elektroniczna jako środowisko przetwarzania danych i potencjalne źródło naruszeń”. Stanowi on podstawę do ponownej weryfikacji procedur dotyczących zabezpieczenia danych osobowych w ramach poczty elektronicznej.