Co zmieniło RODO i dlaczego dziś ta rozmowa jest trudniejsza niż w 2018 r.?28 stycznia obchodzimy Europejski Dzień Ochrony Danych Osobowych – datę nieprzypadkową. To rocznica otwarcia do podpisu Konwencji nr 108 Rady Europy (pierwszego wiążącego instrumentu międzynarodowego poświęconego ochronie danych). W 2026 r. to święto ma inny ciężar gatunkowy niż kilka lat temu: nie chodzi już o to „czy RODO dotyczy mojej organizacji?”, tylko o to, czy potrafimy zarządzać danymi w świecie, w którym przetwarzanie jest stałe, wielokanałowe i coraz częściej zautomatyzowane? RODO: jeden akt, ale kilka epok wdrożeniowych RODO zaczęło być stosowane w krajach członkowskich  25 maja 2018 […]

8 stycznia 2026 r. Urząd Ochrony Danych Osobowych opublikował plan kontroli sektorowych na rok 2026. UODO zapowiada kontrole m.in. w obszarach, w których w ostatnim roku odnotowywano incydenty, a także tam, gdzie do Urzędu napływały skargi i zgłoszenia naruszeń. Zakres kontroli sektorowych UODO na 2026 r. Zgodnie z komunikatem UODO, plan kontroli sektorowych na 2026 r. obejmuje: 1. Organy przetwarzające dane osobowe w Wielkoskalowych Systemach UE, w tym SIS/VIS – kontynuacja kontroli z 2025 r. 2. Podmioty lecznicze – przetwarzanie danych osobowych przy wykorzystaniu monitoringu wizyjnego, w szczególności danych dzieci (m.in. oddziały dziecięce, przychodnie/poradnie dla dzieci). 3. Podmioty prowadzące BIP – sposób […]

Wchodząc w 2026 r., warto mieć z tyłu głowy jedną rzecz: RODO nie „kończy się” ani nie zostaje automatycznie poluzowane z Nowym Rokiem. To, co dziś bywa nazywane „deregulacją”, jest w praktyce zbiorem projektów zmian na poziomie UE, które dopiero przechodzą normalną ścieżkę legislacyjną. Oznacza to, że w 2026 r. najpewniej zobaczymy przede wszystkim negocjacje, poprawki i doprecyzowania, a nie jednorazową rewolucję. Najbardziej konkretna i „przyziemna” propozycja dotyczy obszaru, który wiele organizacji odczuwa jako uciążliwy w codziennym compliance, czyli obowiązków dokumentacyjnych. Komisja Europejska w ramach tzw. czwartego pakietu uproszczeń (Omnibus IV) zaproponowała zmianę art. 30 ust. 5 RODO, czyli przepisu […]

Obowiązek informowania osób o naruszeniu danych ma jeden zasadniczy cel — dać im realną szansę zareagować, zanim pojawią się szkody. Nie chodzi o formalność, lecz o uczciwe uprzedzenie, że coś poszło nie tak i co można z tym zrobić. Najnowsze orzeczenia w sprawie „pomyłkowego e-maila” pokazują, jak tę zasadę stosować w praktyce, gdy w grę wchodzi choćby numer PESEL. O co poszło w tej sprawie Sprawa zaczęła się od wysłania niezaszyfrowanego załącznika z danymi osobowymi do niewłaściwego adresata. Prezes UODO uznał, że administrator powinien zgłosić naruszenie do organu oraz zawiadomić osobę, której dane dotyczą, i nałożył karę pieniężną. WSA uchylił […]

Unijny Data Act (akt w sprawie danych, rozporządzenie UE 2023/2854 z 13 grudnia 2023 r.) wszedł w życie 11 stycznia 2024 r., a jego przepisy zaczną obowiązywać od 12 września 2025 r. Jego celem jest stworzenie ram dla wymiany danych w ramach gospodarki cyfrowej — pomiędzy przedsiębiorstwami, konsumentami oraz administracją publiczną. Konieczna jest zharmonizowanie przepisów krajowych. Co to jest Data Act ? Data Act, czyli rozporządzenie Parlamentu Europejskiego i Rady (UE) 2023/2854, to kluczowy element unijnej strategii cyfrowej. Jego celem jest zapewnienie sprawiedliwego dostępu do danych i ułatwienie ich wykorzystywania zarówno przez konsumentów, przedsiębiorstwa, jak i administrację publiczną. Akt wprowadza […]

Przetwarzanie danych osobowych w kontekście obrony przed roszczeniami to temat, który budzi kontrowersje i wywołuje różne interpretacje – zarówno w orzecznictwie, jak i w praktyce stosowania RODO. Z jednej strony mamy przepisy pozwalające na przetwarzanie danych w oparciu o uzasadniony interes administratora, z drugiej – silny nacisk na zasadę minimalizacji i ograniczenia celu. UODO i stanowisko restrykcyjne wobec banków Urząd Ochrony Danych Osobowych (UODO) w kilku decyzjach zakwestionował długoterminowe przechowywanie danych klientów przez banki po wygaśnięciu relacji umownej. W ocenie organu, samo potencjalne ryzyko wystąpienia roszczeń nie wystarcza, by uzasadnić dalsze przetwarzanie danych. Naczelny Sąd Administracyjny w wyroku z dnia […]

Ustawa z 12 lipca 2024 r. Prawo komunikacji elektronicznej (pke) została opracowana w odpowiedzi na wymagania określone w Europejskim Kodeksie Łączności Elektronicznej (Dyrektywa Parlamentu Europejskiego i Rady (UE) 2018/1972 z dnia 11 grudnia 2018 r.). Akt ten stanowi fundament prawny regulujący zasady przetwarzania danych osobowych w sektorze usług komunikacyjnych. Artykuły 386–405 pke tworzą szczegółowe ramy prawne, które uzupełniają ogólne przepisy RODO (Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r.), uwzględniając specyfikę telekomunikacji. Regulacje PKE zastąpiła dotychczasowe z ustawy o świadczeniu usług drogą elektroniczną (UŚUDE) oraz przepisów Prawa telekomunikacyjnego, które obowiązywały w tym zakresie do 10 listopada […]

Urząd Ochrony Danych Osobowych poinformował o wszczęciu z urzędu postępowania administracyjnego wobec posła Przemysława Czarnka. Powodem jest podejrzenie naruszenia przepisów RODO w związku z ujawnieniem danych osobowych podczas konferencji prasowej. To kolejny przypadek, w którym osoba pełniąca funkcję publiczną staje się przedmiotem postępowania o naruszenie prawa do prywatności. Na naszym blogu pisaliśmy już o analogicznej sytuacji z udziałem byłego ministra zdrowia, który ujawnił dane pacjenta podczas publicznego wystąpienia – co zakończyło się nałożeniem administracyjnej kary pieniężnej (link). Najnowsza sprawa pokazuje, że problem nieprzestrzegania zasad ochrony danych osobowych przez osoby publiczne wciąż pozostaje aktualny. Ujawnienie danych na konferencji – co wiadomo? […]

Z Karty praw podstawowych Unii Europejskiej wynika jasno: dane osobowe muszą być przetwarzane rzetelnie, w określonych celach i w oparciu o uzasadnioną podstawę prawną określoną w przepisach prawa. Tę zasadę konkretyzuje RODO, a zwłaszcza artykuł 6, który stanowi, że przetwarzanie danych osobowych jest zgodne z prawem tylko w zakresie i w przypadku, w jakim zastosowanie ma co najmniej jedna z sześciu wskazanych tam podstaw prawnych. Jedną z nich jest tzw. „uzasadniony interes” (art. 6 ust. 1 lit. f RODO). Coraz częściej administratorzy danych sięgają właśnie po tę podstawę – kusi bowiem ona elastycznością i brakiem konieczności uzyskiwania zgody. Ale czy […]

Prezes Urzędu Ochrony Danych Osobowych opublikował najnowszy poradnik dotyczący naruszeń ochrony danych osobowych. To praktyczne źródło informacji, które krok po kroku wyjaśnia, jak rozpoznać naruszenie, odpowiednio na nie zareagować i minimalizować ryzyko jego wystąpienia. Poradnik szczegółowo omawia: Rodzaje naruszeń – poufności, integralności i dostępności danych, Obowiązki administratorów i podmiotów przetwarzających, w tym procedury zgłaszania incydentów, Metody oceny ryzyka i podejmowania działań naprawczych, Zasady informowania osób, których dane dotyczą, oraz organu nadzorczego. Publikacja uwzględnia najnowsze wytyczne Europejskiej Rady Ochrony Danych (EROD) oraz orzecznictwo Trybunału Sprawiedliwości Unii Europejskiej (TSUE). To niezbędna lektura dla wszystkich odpowiedzialnych za bezpieczeństwo danych w organizacjach, w szczególności […]