Czy spółdzielnia mieszkaniowa musi usunąć dane osobowe byłego członka na jego żądanie?   Nie zawsze. Zgodnie z art. 17 RODO prawo do bycia zapomnianym nie jest bezwzględne. Spółdzielnia może odmówić usunięcia danych, jeżeli ich dalsze przechowywanie jest niezbędne do realizacji obowiązków prawnych lub dochodzenia i obrony roszczeń. Sprawdź, jak długo należy przechowywać dokumentację członkowską, finansową i dotyczącą lokali, kiedy możliwa jest anonimizacja danych oraz jak prawidłowo odpowiedzieć na wniosek o ich usunięcie. Wyjaśniamy również zasady prowadzenia rejestru żądań i postępowania z danymi znajdującymi się w kopiach zapasowych.

Do 3 kwietnia 2027 r. podmioty kluczowe i ważne, które spełniały kryteria ustawy o krajowym systemie cyberbezpieczeństwa (KSC) już 3 kwietnia 2026 r., powinny co do zasady wdrożyć obowiązki wynikające z nowych przepisów związanych z dyrektywą NIS2. Obejmują one m.in. system zarządzania bezpieczeństwem informacji (SZBI), zarządzanie ryzykiem cyberbezpieczeństwa, bezpieczeństwo łańcucha dostaw, zgłaszanie incydentów oraz szkolenia kierownictwa. Jakie działania należy podjąć, jakie terminy obowiązują podmioty kluczowe i ważne oraz jakie sankcje grożą za naruszenie przepisów KSC? Sprawdź harmonogram, zasady audytu i listę kontrolną obowiązków. Pamiętaj, że termin 3 kwietnia 2027 r. nie dotyczy automatycznie wszystkich podmiotów – zależy od daty spełnienia ustawowych przesłanek lub właściwej decyzji.

Nieuprawnione wykorzystanie danych przez dostawcę AI może prowadzić do odpowiedzialności na gruncie RODO, AI Act, prawa cywilnego, karnego i autorskiego. Dotyczy to m.in. trenowania modeli sztucznej inteligencji na danych klientów bez odpowiedniej podstawy prawnej, przekazywania danych osobowych osobom trzecim oraz przetwarzania informacji poza zakresem umowy powierzenia. Kiedy dostawca AI staje się administratorem danych? Kto odpowiada za naruszenie RODO – dostawca czy jego klient? Jakie kary i roszczenia grożą za bezprawne wykorzystanie danych? Wyjaśniamy zasady odpowiedzialności oraz obowiązki przedsiębiorców korzystających z systemów AI.

Wykorzystanie sztucznej inteligencji (AI) w rekrutacji i zarządzaniu pracownikami wiąże się z obowiązkami wynikającymi z AI Act, RODO i Kodeksu pracy. Systemy AI służące do oceny kandydatów, selekcji CV czy monitorowania pracowników mogą zostać zakwalifikowane jako systemy wysokiego ryzyka. Choć stosowanie części obowiązków wynikających z AI Act przesunięto na 2 grudnia 2027 r., pracodawcy już dziś muszą przestrzegać przepisów dotyczących ochrony danych osobowych, zautomatyzowanego podejmowania decyzji, przejrzystości i zakazu dyskryminacji. Jakie wymagania powinien uwzględnić inspektor ochrony danych (IOD) podczas oceny narzędzi AI wykorzystywanych w HR i rekrutacji? Które obowiązki już obowiązują, a na jakie trzeba przygotować organizację?

Gminna komisja rozwiązywania problemów alkoholowych (GKRPA) realizuje ustawowe zadania związane z profilaktyką i rozwiązywaniem problemów alkoholowych, w tym prowadzi czynności zmierzające do zobowiązania osoby do poddania się leczeniu odwykowemu. W ramach tych działań komisja przetwarza dane osobowe, również dane szczególnej kategorii, w szczególności informacje dotyczące zdrowia i uzależnienia od alkoholu.  Czy GKRPA ma podstawę prawną do przetwarzania takich danych? Jakie przepisy RODO regulują jej uprawnienia i obowiązki? Wyjaśniamy, na jakich zasadach członkowie gminnej komisji mogą legalnie przetwarzać dane osobowe, jakie ograniczenia muszą respektować oraz jak zapewnić właściwą ochronę informacji na każdym etapie postępowania, także w sprawach kierowanych do sądu.

Placówki medyczne znajdują się w obszarze szczególnego zainteresowania Prezesa Urzędu Ochrony Danych Osobowych już od 2025 r. Trudno się temu dziwić. Dokumentacja medyczna, wyniki badań, rozpoznania, informacje o przyjmowanych lekach czy odbytych wizytach należą do danych, których ujawnienie może szczególnie dotkliwie ingerować w prywatność pacjenta.

Usługi hotelarskie mogą być świadczone zarówno w obiektach hotelarskich, jak i w innych obiektach, takich jak gospodarstwa agroturystyczne czy pokoje gościnne. W obu przypadkach różne są zasady rejestracji działalności, wymagania stawiane przedsiębiorcom i właścicielom, a także sposób przetwarzania ich danych osobowych. Szczególne znaczenie ma ochrona danych właścicieli obiektów niebędących obiektami hotelarskimi, ponieważ działalność tę często prowadzą osoby fizyczne, a informacje o obiektach trafiają do ewidencji prowadzonych przez samorządy. Warto zatem wyjaśnić, jakie przepisy regulują udostępnianie i ochronę tych danych oraz jakie obowiązki w tym zakresie mają gminy.

Do 3 października 2026 r. podmioty, które spełniały kryteria podmiotu kluczowego lub ważnego i nie zostały wpisane do Wykazu KSC z urzędu, muszą złożyć elektroniczny wniosek o wpis. Sprawdź, jak przeprowadzić samoidentyfikację zgodnie z ustawą o krajowym systemie cyberbezpieczeństwa i NIS2, jakie dane przygotować do Wykazu KSC, kto podpisuje wniosek oraz jakie obowiązki w zakresie cyberbezpieczeństwa trzeba wdrożyć po wpisie.

Czy zamawiający, udostępniając konkurencyjnym wykonawcom oferty złożone w postępowaniu o udzielenie zamówienia publicznego, powinien anonimizować dane osobowe znajdujące się w załączonych dokumentach, takich jak świadectwa kwalifikacyjne? Wątpliwości dotyczą w szczególności numeru PESEL, numeru dowodu osobistego, daty urodzenia oraz adresu zamieszkania. Wyjaśniamy, jak pogodzić zasadę jawności postępowania wynikającą z Prawa zamówień publicznych z obowiązkami administratora danych wynikającymi z RODO oraz jakie podstawy prawne powinien uwzględnić urząd przed udostępnieniem dokumentacji.

Nie istnieje jedna oficjalna i uniwersalna lista pytań służących do przeprowadzenia oceny skutków transferu danych (Transfer Impact Assessment – TIA), w tym przy transferze danych osobowych do USA lub Chin. Obowiązek przeprowadzenia TIA wynika przede wszystkim z wyroku TSUE w sprawie Schrems II, a zakres oceny zależy m.in. od państwa docelowego, rodzaju przekazywanych danych osobowych oraz zastosowanego mechanizmu transferu, np. standardowych klauzul umownych (SCC). Metodologię przeprowadzania TIA oraz kluczowe obszary, które należy przeanalizować, wskazują przede wszystkim zalecenia Europejskiej Rady Ochrony Danych (EROD).