Kategoria: Aktualności

Powierzenie danych zewnętrznemu dostawcy nie oznacza powierzenia mu odpowiedzialności administratora. To jedna z najważniejszych zasad, o której organizacje powinny pamiętać w przypadku incydentów bezpieczeństwa występujących u dostawców systemów IT, hostingu, chmury, usług kadrowych czy innych podmiotów przetwarzających.

Przypomniał o tym Prezes Urzędu Ochrony Danych Osobowych w związku z doniesieniami medialnymi dotyczącymi wycieku danych niemal 19 mln Polaków u dostawcy systemu Elektronicznej Dokumentacji Medycznej MyDr. UODO zwrócił się bezpośrednio do administratorów, którzy powierzyli tej firmie przetwarzanie danych, wskazując na konieczność przeprowadzenia analizy ryzyka i ustalenia, czy w konkretnym przypadku powstał obowiązek zgłoszenia naruszenia oraz zawiadomienia osób, których dane dotyczą.

Incydent jest u dostawcy. Czy to jego problem?

Nie, a właśnie tutaj w praktyce pojawia się jeden z najczęstszych błędów.

Administrator korzysta z systemu dostarczanego przez zewnętrzną firmę. Dane są przechowywane na infrastrukturze dostawcy. Atak następuje na system dostawcy, a nie bezpośrednio na infrastrukturę administratora. Może więc pojawić się przekonanie:

„To nie u nas doszło do wycieku, więc to dostawca powinien zgłosić naruszenie do UODO”.

Z punktu widzenia RODO sytuacja wygląda inaczej.

Podmiot przetwarzający po stwierdzeniu naruszenia ma obowiązek bez zbędnej zwłoki poinformować administratora. To jednak administrator dokonuje oceny ryzyka i podejmuje decyzję, czy naruszenie wymaga zgłoszenia organowi nadzorczemu oraz czy konieczne jest zawiadomienie osób, których dane dotyczą. Procesor ma więc obowiązek informacyjny wobec administratora. Nie przejmuje natomiast automatycznie jego obowiązków wynikających z art. 33 i 34 RODO.

Każdy administrator musi ocenić swoją sytuację

To szczególnie istotne w przypadku dużych dostawców obsługujących wielu klientów. Jeden incydent u procesora może oznaczać potencjalne naruszenie dotyczące danych powierzonych przez dziesiątki, setki, a nawet tysiące administratorów. Nie oznacza to jednak, że wszyscy administratorzy mają identyczną sytuację.

UODO wskazuje, że zanim administrator rozpocznie realizację obowiązków wynikających z art. 33 i 34 RODO, powinien otrzymać od procesora informację potwierdzającą, że incydent rzeczywiście obejmował dane przetwarzane w jego imieniu.

Następnie musi przeanalizować m.in.:

• jakie kategorie danych zostały objęte naruszeniem,
• ilu osób może ono dotyczyć,
• czy doszło do naruszenia poufności, integralności lub dostępności danych,
• czy osoby można łatwo zidentyfikować,
• jakie mogą być konsekwencje wykorzystania danych przez osoby nieuprawnione,
• czy zastosowane zabezpieczenia ograniczają ryzyko,
• jakie działania zostały już podjęte w celu ograniczenia skutków incydentu.

To nie procesor powinien ostatecznie odpowiedzieć za administratora na pytanie: „Czy nasze naruszenie podlega zgłoszeniu?” Ta odpowiedzialność pozostaje po stronie ADO.

Czy każde naruszenie trzeba zgłosić do UODO?

Nie — i to rozróżnienie jest bardzo ważne.

Art. 33 ust. 1 RODO przewiduje zgłoszenie naruszenia organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia, chyba że jest mało prawdopodobne, aby naruszenie skutkowało ryzykiem dla praw lub wolności osób fizycznych. UODO również podkreśla, że obowiązek zgłoszenia nie ma charakteru bezwzględnego. W praktyce możemy więc mieć trzy sytuacje.

Brak prawdopodobnego ryzyka – administrator dokumentuje naruszenie i wynik przeprowadzonej analizy, ale nie musi zgłaszać go Prezesowi UODO.

Występuje ryzyko naruszenia praw lub wolności osób fizycznych – administrator zgłasza naruszenie Prezesowi UODO.

Występuje wysokie ryzyko – oprócz zgłoszenia do UODO administrator co do zasady musi również bez zbędnej zwłoki zawiadomić osoby, których dane dotyczą.

Dlatego sformułowanie „administrator zgłasza wyciek u procesora” należy rozumieć prawidłowo: to administrator odpowiada za realizację obowiązku zgłoszeniowego, jeżeli przeprowadzona przez niego analiza wykaże, że zachodzą przesłanki do zgłoszenia.

Przy danych o zdrowiu analiza ryzyka nabiera szczególnego znaczenia

Przypadek związany z systemem Elektronicznej Dokumentacji Medycznej bardzo dobrze pokazuje, dlaczego analiza nie może ograniczać się do prostego stwierdzenia: „doszło do wycieku”. Trzeba odpowiedzieć na pytanie, jakie realne konsekwencje naruszenie może mieć dla konkretnych osób.

UODO zwraca uwagę, że ujawnienie imienia, nazwiska i numeru PESEL może wiązać się m.in. z ryzykiem wykorzystania danych do wyłudzeń. W przypadku danych dotyczących zdrowia konsekwencje mogą obejmować również dyskryminację, ostracyzm społeczny czy naruszenie dóbr osobistych. Dlatego ocena ryzyka nie może być formalnością wykonaną jedynie po to, aby „mieć dokument w teczce”. Powinna odpowiadać na rzeczywiste pytanie:

Co może się wydarzyć osobie, której dane znalazły się w rękach nieuprawnionego podmiotu?

72 godziny to bardzo mało

Jeżeli analiza wykaże konieczność zgłoszenia naruszenia, administrator ma — w miarę możliwości — maksymalnie 72 godziny od jego stwierdzenia na przekazanie zgłoszenia do Prezesa UODO. Jeżeli zgłoszenie następuje później, trzeba wyjaśnić przyczyny opóźnienia. Dlatego procedura współpracy z procesorem w przypadku incydentu nie powinna być ustalana dopiero wtedy, gdy incydent już wystąpi. Umowy powierzenia i wewnętrzne procedury powinny umożliwiać administratorowi szybkie uzyskanie informacji potrzebnych do oceny zdarzenia. W praktyce znaczenie mają m.in. jasno określone kanały komunikacji, osoby kontaktowe oraz sposób przekazywania informacji o potencjalnych naruszeniach.

Jeżeli administrator dowiaduje się jedynie, że „doszło do incydentu”, ale przez kolejne godziny nie wie, czy jego dane zostały objęte zdarzeniem, ilu osób dotyczy problem i jaki zakres informacji został ujawniony, prawidłowa realizacja obowiązków wynikających z RODO staje się niezwykle trudna.

Co powinien zrobić administrator po informacji o incydencie u procesora?

Z perspektywy IOD rekomenduję przede wszystkim uporządkowane działanie:

1. Nie opierać się wyłącznie na doniesieniach. Należy wystąpić do procesora o oficjalną informację dotyczącą incydentu.
2. Ustalić, czy naruszenie obejmuje dane konkretnego administratora.
3. Pozyskać możliwie pełne informacje o zdarzeniu – jego charakterze, zakresie danych, liczbie osób, czasie trwania, możliwym dostępie osób nieuprawnionych oraz zastosowanych środkach zaradczych.
4. Przeprowadzić i udokumentować analizę ryzyka naruszenia praw lub wolności osób fizycznych.
5. Ocenić obowiązek zgłoszenia do Prezesa UODO.
6. Jeżeli występuje wysokie ryzyko – ocenić również obowiązek zawiadomienia osób, których dane dotyczą.
7. Udokumentować cały proces decyzyjny, także wtedy, gdy ostatecznie administrator uzna, że zgłoszenie do organu nadzorczego nie jest wymagane.

IOD może doradzać. Odpowiedzialność pozostaje po stronie administratora

W sytuacji naruszenia rola Inspektora Ochrony Danych jest szczególnie istotna. IOD może wspierać administratora w pozyskaniu informacji od procesora, ocenie charakteru zdarzenia, analizie ryzyka, przygotowaniu zgłoszenia oraz opracowaniu komunikacji do osób, których dane dotyczą. Trzeba jednak pamiętać o podstawowej zasadzie: zewnętrzny dostawca systemu nie przejmuje odpowiedzialności administratora tylko dlatego, że to w jego infrastrukturze doszło do incydentu.

Procesor informuje – Administrator analizuje – Administrator ocenia ryzyko – Administrator realizuje obowiązek zgłoszeniowy, jeśli zachodzą przesłanki określone w RODO.

I właśnie dlatego incydenty u dostawców powinny być uwzględniane nie tylko w umowach powierzenia, ale również w procedurach reagowania na naruszenia i planach zarządzania kryzysowego organizacji.

W dyskusjach o RODO często koncentrujemy się na obowiązkach administratorów, wysokości kar administracyjnych czy kolejnych zmianach przepisów. Znacznie rzadziej zadajemy sobie pytanie, co jest impulsem do ich powstawania.

Tymczasem odpowiedź bardzo często jest zaskakująco prosta. Człowiek.

To właśnie zgłoszenia obywateli, skargi, petycje czy sygnalizowanie problemów przez organizacje i instytucje niejednokrotnie stają się początkiem szerszej dyskusji o potrzebie zmian. Organ nadzorczy analizuje konkretną sytuację, identyfikuje lukę systemową, a następnie przedstawia rekomendacje lub inicjuje dialog z ustawodawcą.

Dobrym przykładem jest ostatnia petycja przekazana przez Prezesa UODO do Ministra Zdrowia dotycząca potrzeby uregulowania zasad korzystania ze smartfonów przez pacjentów przebywających na zamkniętych oddziałach psychiatrycznych.

Co istotne, impulsem do podjęcia tego tematu nie była kontrola ani postępowanie administracyjne. Punktem wyjścia była petycja przygotowana przez rodzinę jednego z pacjentów.

Sprawa dotyczy niezwykle wrażliwego obszaru – ochrony danych dotyczących zdrowia oraz prawa pacjentów do prywatności. Dzisiejsze smartfony nie służą wyłącznie komunikacji. Umożliwiają nagrywanie obrazu i dźwięku, prowadzenie transmisji na żywo czy natychmiastową publikację materiałów w mediach społecznościowych. W przypadku oddziałów psychiatrycznych może to prowadzić do ujawnienia szczególnych kategorii danych osobowych oraz naruszenia praw innych pacjentów.

Prezes UODO, mimo że nie posiada inicjatywy ustawodawczej, zadeklarował gotowość wsparcia eksperckiego przy ewentualnych pracach legislacyjnych.

Ta sytuacja pokazuje coś znacznie szerszego.

W obszarze ochrony danych osobowych prawo nie funkcjonuje w oderwaniu od rzeczywistości. Ewoluuje wraz z pojawiającymi się wyzwaniami technologicznymi oraz problemami zgłaszanymi przez obywateli i organizacje.

To ważna lekcja również dla administratorów danych.

Czasmi można spotkać się z przekonaniem, że skoro określona praktyka od lat funkcjonuje w organizacji i nikt dotychczas jej nie zakwestionował, nie wymaga ona zmian. To ryzykowne założenie. Za każdym procesem przetwarzania danych stoi człowiek – pracownik, klient, pacjent, rodzic czy kontrahent. Każda z tych osób ma prawo zadać pytanie, złożyć skargę do organu nadzorczego, zwrócić uwagę na potencjalne naruszenie lub zakwestionować sposób przetwarzania swoich danych.

To właśnie pojedyncze zgłoszenia bardzo często stają się początkiem znacznie większych zmian. Dlatego zgodność z przepisami nie powinna być postrzegana jako działanie podejmowane wyłącznie z obawy przed kontrolą. To przede wszystkim budowanie organizacji, która rozumie, że ochrona danych osobowych zaczyna się od poszanowania praw człowieka. A tam, gdzie te prawa są traktowane poważnie, zgodność z przepisami staje się naturalną konsekwencją, a nie jedynie obowiązkiem.

Do ekosystemu RODO, NIS2, KSC czy AI Act dołącza Data Governance Act. To nie są kolejne regulacje dla prawników. To początek zmian w sposobie myślenia o danych jako zasobie gospodarczym, którym można dzielić się w sposób bezpieczny, kontrolowany i zgodny z prawem.

Celem nowych przepisów jest zwiększenie zaufania do dzielenia się danymi poprzez wprowadzenie mechanizmów, które zapewnią osobom, których dane dotyczą, oraz ich posiadaczom większą kontrolę nad sposobem ich wykorzystywania. Jednym z głównych założeń DGA jest rozwój europejskich przestrzeni danych, czyli środowisk umożliwiających bezpieczną wymianę informacji pomiędzy organizacjami.

Przepisy mają wspierać współpracę m.in. w obszarach: ochrony zdrowia, środowiska, administracji, czy badań naukowych.

Wraz z wejściem w życie ustawy znacząco rozszerzyły się zadania Prezesa UODO. Od teraz organ odpowiada również za:

✔ nadzór nad usługami pośrednictwa danych,

✔ rejestrację organizacji altruizmu danych,

✔ kontrolę przestrzegania przepisów dotyczących przekazywania danych nieosobowych do państw trzecich.

To oznacza, że UODO staje się nie tylko organem odpowiedzialnym za ochronę danych osobowych, ale również jednym z kluczowych regulatorów europejskiej gospodarki danych.

Obowiązek zgłoszenia usług pośrednictwa danych

Jedną z najważniejszych zmian jest obowiązek zgłoszenia działalności przez dostawców usług pośrednictwa danych. Od 23 lipca 2026 r. każdy podmiot planujący świadczenie takich usług musi dokonać zgłoszenia do Prezesa UODO zgodnie z art. 11 DGA. Po pozytywnej weryfikacji dostawca może otrzymać potwierdzenie spełniania wymagań określonych w DGA oraz posługiwać się oznaczeniem: „Uznany w Unii dostawca usług pośrednictwa danych” wraz z logo UE.

Co ważne, zgłoszenie umożliwia świadczenie usług pośrednictwa danych na terenie wszystkich państw członkowskich Unii Europejskiej.

Czym są usługi pośrednictwa danych?

Usługa pośrednictwa danych polega na tworzeniu bezpiecznych relacji pomiędzy podmiotami posiadającymi dane a podmiotami, które chcą z nich korzystać.

W praktyce mogą to być m.in.:

• platformy umożliwiające wymianę danych,
• infrastruktura służąca bezpiecznemu udostępnianiu danych,
• rozwiązania wspierające wykonywanie praw osób, których dane dotyczą,
• spółdzielnie danych.

Warto jednocześnie pamiętać, że nie każda działalność związana z danymi będzie usługą pośrednictwa. DGA wyłącza z tej definicji m.in. podmioty, które przetwarzają dane we własnym celu, wzbogacają je i następnie udzielają licencji na gotowy produkt, usługi dotyczące treści chronionych prawem autorskim czy zamknięte systemy wymiany danych funkcjonujące wyłącznie pomiędzy podmiotami jednej grupy.

Altruizm danych – nowe rozwiązanie w prawie UE

Drugim istotnym elementem DGA jest altruizm danych. Polega on na dobrowolnym udostępnianiu danych osobowych lub nieosobowych bez osiągania korzyści finansowych, wyłącznie na cele leżące w interesie publicznym.

Może to dotyczyć między innymi:

• badań naukowych,
• ochrony zdrowia,
• przeciwdziałania zmianom klimatu,
• rozwoju usług publicznych,
• tworzenia statystyk publicznych.

Organizacje spełniające wymagania określone w DGA mogą dobrowolnie zarejestrować się w krajowym rejestrze prowadzonym przez Prezesa UODO i uzyskać status: „Uznanej w Unii organizacji altruizmu danych”.

Rejestracja obowiązuje na terenie całej Unii Europejskiej i uprawnia do posługiwania się wspólnym oznaczeniem oraz logo.

Dlaczego warto śledzić te zmiany?

Data Governance Act pokazuje, że europejskie regulacje dotyczące danych wchodzą w nowy etap. Ochrona danych osobowych pozostaje niezwykle ważna, jednak coraz większy nacisk kładziony jest również na bezpieczne, transparentne i odpowiedzialne wykorzystywanie danych.

To kierunek, który będzie miał znaczenie nie tylko dla dużych organizacji, ale również dla przedsiębiorców rozwijających nowe technologie, startupów, podmiotów publicznych oraz wszystkich organizacji, które w swojej działalności opierają się na wymianie i przetwarzaniu danych.

Ponad 26 tysięcy kary nałożył PUODO na osobę, która nie wykonała jego decyzji i nie zaprzestała przetwarzania danych osobowych z użyciem monitoringu wizyjnego.

Problemem jednak nie okazały się same kamery, a lekceważenie decyzji organu nadzorczego.

Co wydarzyło się w tej sprawie?

Sąsiedzi złożyli skargę na właściciela jednej z posesji, dotyczącą monitoringu. Kamery obejmowały nie tylko teren prywatny, ale również drogę publiczną i sąsiednie nieruchomości. Ponadto urządzenia nagrywały nie tylko obraz, ale również dźwięk – przez całą dobę.

Po przeprowadzeniu postępowania Prezes UODO nakazał zmianę ustawienia kamer lub ich usunięcie w zakresie, w jakim naruszały prawa innych osób.

– Właściciel monitoringu miał siedem dni na usunięcie kamer lub zmianę ich usytuowania w taki sposób, by obejmowały tylko jego posesję. Nie wniósł skargi na decyzję Prezesa UODO do Wojewódzkiego Sądu Administracyjnego w Warszawie w związku z czym stała się ona prawomocna. Nie wykonał też decyzji organu nadzorczego, pomimo upomnienia ze strony UODO. Pisma z Urzędu nie były odbierane i po dwukrotnej awizacji – na podstawie art. 44 par. 4 k.p.a. – zostały uznane za doręczone adresatowi – czytamy na stronie www.uodo.gov.pl.

Niewykonanie decyzji wiązało się ze wszczęciem kolejnego postępowania administracyjnego i nałożeniem kary pieniężnej za nieprzestrzeganie nakazu nałożonego przez organ nadzorczy. W tym przypadku mowa jest o prawie półrocznym nieusprawiedliwionym stanie niewykonania nakazu PUODO. Kara wyniosła dokładnie 26 711zł a uchylenie się od jej zapłaty będzie skutkowało egzekucją przez Urząd Skarbowy, a co za tym idzie zajęcie wynagrodzenia, rachunków bankowych, czy innych składników majątku.

Ta decyzja UODO jest kolejnym przypomnieniem, że RODO nie zakazuje monitoringu, ale wymaga, aby był on stosowany zgodnie z zasadami legalności, proporcjonalności i minimalizacji danych.

Jako Inspektorzy Ochrony Danych zawsze powtarzamy, że najlepszy monitoring to taki, którego zakres został dobrze przemyślany. Kamery nie powinny być pierwszym wyborem, lecz rozwiązaniem stosowanym wyłącznie wtedy, gdy jest to rzeczywiście konieczne i odpowiednio uzasadnione.

W przeciwnym razie monitoring zamiast zwiększać bezpieczeństwo może stać się źródłem naruszeń prawa i kosztownych konsekwencji dla administratora.

Potrzebujesz wsparcia we wdrożeniu RODO? Lub chcesz sprawdzić, czy korzystasz z monitoringu zgodnie z prawem? Skontaktuj się z nami! TUTAJ.

Cyberprzestępcy nie omijają małych firm. Wręcz przeciwnie 

Podczas rozmów z przedstawicielami sektora MŚP często słyszymy, że cyberprzestępcy koncentrują swoją uwagę głównie na dużych firmach. Badanie Mastercard pokazuje całkiem odwrotny trend. MŚP jest obecnie jednym z najatrakcyjniejszych celów dla cyberprzestępców. Dlaczego? Zasada jest prosta, otóż firmy dysponują cennymi danymi, środkami finansowymi, czy dostępami do systemów partnerów, a jednocześnie posiadają znacznie słabsze zabezpieczenia niż większe organizacje.  

Skala problemu jest naprawdę alarmująca. Aż 25% właścicieli małych firm w Europie przyznaje, że ich przedsiębiorstwo było celem cyberoszustów. W Polsce odsetek ten wynosi 18%, co oznacza, że niemal co piąta firma zetknęła się bezpośrednio z próbą cyberataku. 

Najwyższe wskaźniki odnotowano w Irlandii (38%), Danii (35%) oraz Francji (29%), co pokazuje, że problem ma charakter paneuropejski i dotyka przedsiębiorstw niezależnie od wielkości rynku czy poziomu rozwoju gospodarki. 

– Według badania Mastercard, 11% ankietowanych europejskich przedsiębiorców twierdzi, że straciło pieniądze w wyniku cyberoszustw, podczas gdy 9% badanych doświadczyło utraty klientów po tym, jak ich firma stała się celem ataków. W Polsce odsetek ten wyniósł odpowiednio 7% i 13%. Skutki oszustw odczuwalne są nie tylko przez firmy, których dotyczyły one bezpośrednio, lecz także przez ich partnerów, klientów i cały ekosystem biznesowy. Aż 44% ankietowanych właścicieli polskich firm przyznaje, że choć sami nie zostali ofiarami ataków, znają innych przedsiębiorców, którzy doświadczyli takich incydentów – czytamy w analizie badania przeprowadzonej przez Mastercard. 

Cyberataki stają się realnym zagrożeniem dla przetrwania biznesu 

Jednym z najbardziej niepokojących wniosków płynących z badania jest fakt, że aż 25% polskich przedsiębiorców obawia się, że ich firma mogłaby nie przetrwać poważnego cyberataku. To pokazuje, że cyberbezpieczeństwo przestało być wyłącznie problemem działów IT, a stało się kwestią ciągłości działania przedsiębiorstwa. 

Obawy te nie są bezpodstawne. Skuteczny atak może prowadzić do: 

• utraty danych klientów, 

• wycieku informacji handlowych, 

• przestojów operacyjnych, 

• utraty reputacji, 

• kar regulacyjnych związanych z ochroną danych, 

• utraty kontrahentów i klientów. 
   

Polskie MŚP mają świadomość zagrożeń, ale brakuje im wiedzy 

Pomimo rosnącej liczby incydentów cyberbezpieczeństwa przedsiębiorcy nadal nie czują się odpowiednio przygotowani do obrony przed zagrożeniami. 

Według badania: 

• 82% właścicieli małych firm w Polsce uważa, że ich wiedza dotycząca cyberbezpieczeństwa jest niewystarczająca, 

• 48% nie wie, jak skutecznie chronić swoją firmę przed cyberatakami, 

• 79% przyznaje, że obawy związane z cyberprzestępczością hamują rozwój ich działalności. 
   

To jedne z najwyższych wskaźników w Europie. Wyniki pokazują wyraźnie, że przedsiębiorcy dostrzegają problem, jednak często nie posiadają kompetencji ani zasobów niezbędnych do wdrożenia skutecznych zabezpieczeń. 

Cyberbezpieczeństwo jako element strategii biznesowej 
 

Wyniki badań Mastercard pokazują jednoznacznie, że cyberataki nie są już problemem wyłącznie dużych korporacji. Co czwarta mała firma w Polsce doświadczyła już incydentu bezpieczeństwa, a jedna czwarta przedsiębiorców obawia się, że poważny cyberatak mógłby doprowadzić do upadku ich biznesu. Jednocześnie ponad 80% właścicieli MŚP przyznaje, że nie posiada wystarczającej wiedzy w zakresie ochrony przed cyberzagrożeniami. 

Dla współczesnych przedsiębiorstw cyberbezpieczeństwo nie jest już kosztem technologicznym. To inwestycja w ciągłość działania, zaufanie klientów i długoterminową stabilność biznesu. Firmy, które odpowiednio wcześnie wdrożą podstawowe mechanizmy ochrony i edukacji pracowników, będą znacznie lepiej przygotowane na rosnącą falę cyberzagrożeń. 
 
Potrzebujesz wsparcia w zabezpieczeniu Twojej firmy lub organizacji szkoleń? Poznaj nasz zespół z obszaru prawa, rodo i cyberbezpieczeństwa  i skontaktuj się z nami! 

Źródło danych: badanie przeprowadzone przez MASTERCARD.COM

Prezes UODO nałożył karę administracyjną w wysokości 7 700 zł na Burmistrza Miasta i Gminy Myślenice za naruszenie RODO związane z publikacją niezanonimizowanej petycji w Biuletynie Informacji Publicznej.

Choć sama wysokość sankcji może wydawać się relatywnie niewielka, znaczenie tej decyzji jest znacznie szersze niż wymiar finansowy. To kolejny wyraźny sygnał ze strony organu nadzorczego, że nawet „pozornie incydentalne” błędy organizacyjne mogą prowadzić do odpowiedzialności administracyjnej — szczególnie wtedy, gdy administrator błędnie oceni obowiązki wynikające z RODO po wystąpieniu incydentu.

Sprawa dotyczyła ujawnienia danych osobowych 749 osób popierających petycję. Opublikowany dokument zawierał m.in.:
• imiona i nazwiska,
• adresy zamieszkania,
• wzory podpisów.

Plik pozostawał publicznie dostępny przez kilkanaście dni.

Administrator argumentował, że doszło do niezamierzonego błędu, który został następnie skorygowany poprzez podmianę pliku. Podnosił również, że pracownikom nie można przypisać działania celowego czy świadomego naruszenia prawa.

Jednak z perspektywy RODO okoliczność „braku zamiaru” ma znaczenie ograniczone.

RODO opiera się bowiem na zasadzie rozliczalności (accountability), zgodnie z którą administrator musi być w stanie wykazać, że wdrożył skuteczne środki organizacyjne i techniczne zapewniające zgodność przetwarzania z przepisami. Organ nadzorczy bada więc nie tylko sam incydent, ale również jakość procesów bezpieczeństwa funkcjonujących u administratora.

Kluczowym elementem tej sprawy okazał się jednak nie tylko sam fakt ujawnienia danych, ale również brak zgłoszenia naruszenia ochrony danych osobowych do Prezesa UODO.

Administrator uznał, że incydent nie wymaga notyfikacji do organu nadzorczego. Prezes UODO zajął jednak odmienne stanowisko i przypomniał bardzo ważną zasadę interpretacyjną: wyjątek zwalniający z obowiązku zgłoszenia naruszenia należy interpretować wąsko.

Innymi słowy — brak obowiązku zgłoszenia istnieje wyłącznie wtedy, gdy administrator jest w stanie wykazać, że ryzyko naruszenia praw lub wolności osób fizycznych jest praktycznie nieistniejące.

W tej sprawie trudno było mówić o „braku ryzyka”, skoro publicznie udostępniono:
• dane identyfikacyjne,
• adresy zamieszkania,
• wzory podpisów,
• dane dużej grupy osób,
• w publicznie dostępnej przestrzeni internetowej.

To bardzo ważny sygnał dla praktyki compliance.

W wielu organizacjach nadal funkcjonuje błędne przekonanie, że skoro incydent został szybko usunięty albo był wynikiem omyłki, to zgłoszenie do Prezesa UODO nie jest konieczne. Tymczasem obowiązek notyfikacji zależy przede wszystkim od oceny ryzyka dla osób, których dane dotyczą — a nie od intencji administratora czy czasu reakcji.

Co istotne, Prezes UODO wskazał również, że administrator — mimo wezwania organu nadzorczego — nie zmienił swojego stanowiska w zakresie obowiązku zgłoszenia naruszenia. Do momentu wydania decyzji incydent nadal nie został formalnie zgłoszony.

W praktyce to właśnie ten element mógł mieć istotny wpływ na decyzję o nałożeniu administracyjnej kary pieniężnej.

Decyzja pokazuje również rosnące znaczenie dokumentowania procesu oceny ryzyka po incydencie. Samo przeprowadzenie analizy nie wystarcza. Administrator musi być w stanie wykazać:
• jakie okoliczności zostały ocenione,
• jakie ryzyka zidentyfikowano,
• dlaczego podjęto decyzję o zgłoszeniu albo o jego braku,
• jakie działania naprawcze wdrożono.

To właśnie praktyczny wymiar zasady rozliczalności.

Warto zwrócić uwagę, że Prezes UODO podkreślił również szczególną rolę podmiotów publicznych. Organ wskazał, że jednostki samorządu terytorialnego — jako podmioty wykonujące zadania publiczne — powinny odznaczać się podwyższonym standardem znajomości i stosowania prawa.

W praktyce oznacza to, że sektor publiczny nie może tłumaczyć naruszeń wyłącznie „błędem ludzkim”. Organ oczekuje istnienia procedur, mechanizmów kontroli publikacji dokumentów oraz skutecznych procesów minimalizujących ryzyko ujawnienia danych.

Kwota 7 700 zł nie jest w tej sprawie najważniejsza. Znacznie istotniejsze jest stanowisko Prezesa UODO, zgodnie z którym:
• przypadkowa publikacja danych nadal pozostaje naruszeniem RODO,
• brak zgłoszenia naruszenia może stanowić odrębne naruszenie przepisów,
• administrator ma obowiązek aktywnie wykazywać prawidłowość swojej analizy ryzyka,
• podmioty publiczne podlegają szczególnie wysokim standardom zgodności.

To kolejna decyzja pokazująca, że współczesny compliance w obszarze ochrony danych osobowych nie kończy się na usunięciu błędnie opublikowanego pliku. Decydujące znaczenie ma dziś sposób zarządzania incydentem, udokumentowanie procesu decyzyjnego oraz zdolność administratora do wykazania zgodności z zasadą rozliczalności.

Media społecznościowe sprawiły, że granica pomiędzy dokumentowaniem rzeczywistości a naruszaniem prywatności staje się coraz bardziej płynna. Coraz częściej publikowane są nagrania interwencji służb, kontroli drogowych czy sytuacji konfliktowych. Wiele osób wychodzi z założenia, że skoro zdarzenie miało miejsce w przestrzeni publicznej, można bez ograniczeń udostępniać je dalej w internecie.

Tymczasem najnowszy wyrok Sądu Okręgowego w Warszawie pokazuje wyraźnie:
nagrywanie interwencji policji może być legalne, ale publikacja wizerunku funkcjonariusza już niekoniecznie.

Sprawa kontroli drogowej w Warszawie

Sprawa dotyczyła kontroli drogowej przeprowadzonej przez funkcjonariusza Wydziału Ruchu Drogowego Komendy Stołecznej Policji. Kierująca pojazdem poruszała się z prędkością 171 km/h przy ograniczeniu do 80 km/h.

Podczas interwencji pasażer pojazdu nagrywał przebieg czynności służbowych, w tym wizerunek policjanta. Problem pojawił się jednak w momencie publikacji materiału w mediach społecznościowych.

Jak wskazywały relacje policji, funkcjonariusz wyraźnie nie wyraził zgody na rozpowszechnianie swojego wizerunku. Mimo to nagranie zostało opublikowane w sieci i — zgodnie z zapowiedzią autora — miało trafić do tysięcy odbiorców.

Sprawa zakończyła się procesem cywilnym.

Wizerunek funkcjonariusza także podlega ochronie

Sąd Okręgowy w Warszawie jednoznacznie podkreślił, że policjant wykonujący codzienne obowiązki służbowe nie staje się automatycznie „osobą powszechnie znaną”.

To bardzo istotne rozróżnienie.

Zgodnie z art. 81 ustawy o prawie autorskim i prawach pokrewnych rozpowszechnianie wizerunku osoby fizycznej co do zasady wymaga jej zgody — chyba że zachodzą szczególne wyjątki przewidziane przez przepisy.

Sąd wskazał, że:

• funkcjonariusz realizujący standardowe czynności służbowe nie traci prawa do ochrony swojego wizerunku,
• publikacja nagrania bez anonimizacji może naruszać dobra osobiste,
• „tworzenie contentu” kosztem czyjegoś wizerunku może prowadzić do odpowiedzialności cywilnej.

10 tysięcy złotych kary i obowiązek usunięcia nagrania

Konsekwencje dla autora publikacji okazały się bardzo konkretne.

Sąd nakazał:

• usunięcie materiału z platform internetowych,
• publikację przeprosin,
• zapłatę 10 000 zł zadośćuczynienia.

Wyrok ma charakter nie tylko represyjny, ale również edukacyjny. Pokazuje, że internet i media społecznościowe nie są przestrzenią „bez prawa”.

Nagrywanie interwencji a publikacja w internecie — to nie to samo

W praktyce bardzo często mylone są dwa pojęcia:

• rejestrowanie przebiegu interwencji,
• publiczne rozpowszechnianie nagrania.

Obywatel ma prawo dokumentować działania służb — szczególnie gdy materiał może stanowić dowód w postępowaniu lub zabezpieczenie własnych praw.

Jednak publikacja materiału:

• bez anonimizacji twarzy,
• bez podstawy prawnej,
• bez zgody osoby widocznej na nagraniu

może już prowadzić do naruszenia prawa.

Co ma do tego RODO?

Choć sprawa była rozpatrywana przede wszystkim w kontekście ochrony dóbr osobistych i prawa do wizerunku, warto pamiętać, że wizerunek osoby fizycznej może również stanowić dane osobowe.

Jeżeli nagranie:

• pozwala zidentyfikować konkretną osobę,
• jest publikowane w sposób systematyczny,
• trafia do szerokiego grona odbiorców,

to pojawiają się również kwestie związane z:

• legalnością przetwarzania danych,
• zasadą minimalizacji,
• adekwatnością publikacji,
• odpowiedzialnością administratora publikującego materiał.

W praktyce coraz więcej organizacji, firm i osób prowadzących profile społecznościowe powinno zadawać sobie pytanie nie tylko:

„Czy mogę to nagrać?”

ale przede wszystkim:

„Czy mogę to legalnie opublikować?”

Media społecznościowe nie zwalniają z odpowiedzialności

Dzisiejszy internet premiuje emocje, zasięgi i szybkie reakcje. Jednak prawo nadal obowiązuje — również w świecie rolek, relacji i viralowych filmów.

Publikacja czyjegoś wizerunku bez anonimizacji może skutkować:

• odpowiedzialnością cywilną,
• roszczeniami o naruszenie dóbr osobistych,
• obowiązkiem usunięcia materiału,
• konsekwencjami finansowymi,
• a w określonych przypadkach również problemami na gruncie ochrony danych osobowych.

Wnioski dla firm i organizacji

Sprawa warszawskiej kontroli drogowej to ważny sygnał także dla biznesu.

Nagrania z:

• monitoringu,
• wydarzeń firmowych,
• szkoleń,
• interwencji,
• obsługi klienta,
• social mediów

powinny być analizowane nie tylko pod kątem marketingowym, ale również prawnym i compliance.

W erze cyfrowej odpowiedzialność za publikację treści jest realna — i coraz częściej egzekwowana.

---

Potrzebujesz wsparcia w zakresie RODO, ochrony wizerunku i compliance?

W ODO Szkolenia pomagamy organizacjom wdrażać praktyczne procedury związane z:

• ochroną danych osobowych,
• politykami publikacji wizerunku,
• bezpieczeństwem informacji,
• compliance w mediach społecznościowych,
• szkoleniami dla pracowników i kadry zarządzającej.

RODO to nie dokument. To system działania firmy.

W związku z wejściem w życie nowych kompetencji Państwowej Inspekcji Pracy coraz częściej pojawiają się pytania ze strony pracodawców dotyczące zakresu uprawnień kontrolnych oraz ich relacji do przepisów o ochronie danych osobowych.

Wątpliwości koncentrują się przede wszystkim wokół kwestii dostępu do dokumentacji pracowniczej oraz możliwości prowadzenia czynności kontrolnych w formie zdalnej.

Z perspektywy praktyki compliance warto te kwestie uporządkować.

Zakres nowych kompetencji PIP

Zmiany legislacyjne wzmacniają kompetencje PIP w obszarze kontroli prawidłowości zatrudnienia, w szczególności w zakresie:

• weryfikacji umów cywilnoprawnych,
• przeciwdziałania zastępowaniu umów o pracę innymi formami zatrudnienia,
• egzekwowania minimalnych standardów zatrudnienia.

Kluczową zmianą jest przyznanie PIP uprawnienia do wydawania decyzji administracyjnych prowadzących do ustalenia istnienia stosunku pracy w sytuacjach, w których umowa cywilnoprawna została zawarta w warunkach charakterystycznych dla stosunku pracy .

Jednocześnie przewidziano rozszerzenie możliwości wymiany danych pomiędzy organami publicznymi, w tym z ZUS oraz KAS, co istotnie zwiększa efektywność działań kontrolnych .

Kontrola dokumentów – również w formie elektronicznej

W praktyce nowe kompetencje oznaczają, że inspektor pracy może żądać udostępnienia dokumentów nie tylko w formie tradycyjnej, ale również elektronicznej. Nie oznacza to jednak nieograniczonego dostępu do systemów informatycznych pracodawcy. Kontrola nadal odbywa się w ramach określonych procedur, a zakres żądania dokumentów musi pozostawać w związku z przedmiotem kontroli.

RODO a uprawnienia inspektora pracy

Nowe kompetencje PIP nie zmieniają jednego: administratorem danych osobowych pozostaje pracodawca. Przekazanie danych inspektorowi pracy nie opiera się na zgodzie pracownika, lecz wynika z realizacji obowiązku prawnego ciążącego na pracodawcy.

Podstawą prawną takiego działania jest w szczególności:

• art. 6 ust. 1 lit. c RODO – czyli przetwarzanie niezbędne do wypełnienia obowiązku prawnego,
• przepisy ustawy z dnia 13 kwietnia 2007 r. o Państwowej Inspekcji Pracy oraz regulacje prawa pracy.

Warto doprecyzować, że w przypadku organu publicznego, jakim jest PIP, podstawą przetwarzania danych po jego stronie będzie co do zasady art. 6 ust. 1 lit. e RODO, odnoszący się do realizacji zadania w interesie publicznym. Natomiast po stronie pracodawcy, który udostępnia dane w toku kontroli, właściwą podstawą pozostaje najczęściej art. 6 ust. 1 lit. c RODO.

W związku z tym:

Przepisy dotyczące ochrony danych osobowych nie stanowią podstawy do odmowy udostępnienia dokumentów inspektorowi pracy.

Inspektorzy pracy działają na podstawie ustawy o Państwowej Inspekcji Pracy, która przyznaje im wyraźne uprawnienie do:

• żądania przedłożenia akt osobowych,
• wglądu do wszelkich dokumentów związanych z zatrudnianiem pracowników.

Oznacza to, że przekazanie danych osobowych w toku kontroli ma wyraźną podstawę prawną i mieści się w obowiązkach pracodawcy.

Granice udostępniania danych

W tym kontekście kluczowe znaczenie mają podstawowe zasady przetwarzania danych wynikające z art. 5 RODO, w szczególności zasada minimalizacji danych, ograniczenia celu oraz rozliczalności. Zasada minimalizacji oznacza, że zakres udostępnianych informacji powinien być adekwatny i ograniczony wyłącznie do tego, co jest niezbędne dla realizacji celu kontroli. Pracodawca nie powinien przekazywać danych „na zapas” ani w szerszym zakresie, niż wynika to z żądania inspektora i charakteru postępowania. Z kolei zasada ograniczenia celu wymaga, aby dane były przetwarzane wyłącznie w jasno określonym celu – w tym przypadku w związku z realizacją czynności kontrolnych przez Państwową Inspekcję Pracy. Oznacza to, że zarówno zakres żądania, jak i sposób wykorzystania danych musi pozostawać w bezpośrednim związku z przedmiotem kontroli.

Istotna jest również zasada rozliczalności, która nakłada na pracodawcę obowiązek wykazania, że przetwarzanie danych – w tym ich udostępnienie organowi – odbywa się zgodnie z przepisami. W praktyce oznacza to konieczność posiadania odpowiednich procedur, dokumentowania działań oraz zapewnienia kontroli nad tym, jakie dane, komu i w jakim zakresie zostały przekazane.

W praktyce oznacza to konieczność posiadania procedur pozwalających na sprawne i zgodne z prawem przekazanie dokumentacji.

---

Konsekwencje dla organizacji

Nowe kompetencje PIP oznaczają istotną zmianę podejścia do kontroli.

Dotychczasowe środki, takie jak wystąpienia czy kierowanie spraw do sądu, były oceniane jako niewystarczająco efektywne. Nowe rozwiązania mają na celu zwiększenie realnej skuteczności egzekwowania przepisów prawa pracy .

W praktyce oznacza to, że:

• kontrola staje się bardziej bezpośrednia i skuteczna,
• większe znaczenie ma faktyczny sposób wykonywania pracy, a nie tylko treść dokumentów,
• ryzyko zakwestionowania formy zatrudnienia istotnie rośnie.

Z perspektywy pracodawcy kluczowe staje się nie tylko posiadanie dokumentacji, ale przede wszystkim jej zgodność z rzeczywistym sposobem organizacji pracy. To właśnie ten element będzie w najbliższym czasie podlegał najdokładniejszej weryfikacji.W związku z wejściem w życie nowych kompetencji Państwowej Inspekcji Pracy coraz częściej pojawiają się pytania ze strony pracodawców dotyczące zakresu uprawnień kontrolnych oraz ich relacji do przepisów o ochronie danych osobowych.

Wątpliwości koncentrują się przede wszystkim wokół kwestii dostępu do dokumentacji pracowniczej oraz możliwości prowadzenia czynności kontrolnych w formie zdalnej.

Z perspektywy praktyki compliance warto te kwestie uporządkować.

Zakres nowych kompetencji PIP

Zmiany legislacyjne wzmacniają kompetencje PIP w obszarze kontroli prawidłowości zatrudnienia, w szczególności w zakresie:

• weryfikacji umów cywilnoprawnych,
• przeciwdziałania zastępowaniu umów o pracę innymi formami zatrudnienia,
• egzekwowania minimalnych standardów zatrudnienia.

Kluczową zmianą jest przyznanie PIP uprawnienia do wydawania decyzji administracyjnych prowadzących do ustalenia istnienia stosunku pracy w sytuacjach, w których umowa cywilnoprawna została zawarta w warunkach charakterystycznych dla stosunku pracy .

Jednocześnie przewidziano rozszerzenie możliwości wymiany danych pomiędzy organami publicznymi, w tym z ZUS oraz KAS, co istotnie zwiększa efektywność działań kontrolnych .

Kontrola dokumentów – również w formie elektronicznej

W praktyce nowe kompetencje oznaczają, że inspektor pracy może żądać udostępnienia dokumentów nie tylko w formie tradycyjnej, ale również elektronicznej. Nie oznacza to jednak nieograniczonego dostępu do systemów informatycznych pracodawcy. Kontrola nadal odbywa się w ramach określonych procedur, a zakres żądania dokumentów musi pozostawać w związku z przedmiotem kontroli.

RODO a uprawnienia inspektora pracy

Administratorem danych osobowych pozostaje pracodawca. Przekazanie danych inspektorowi pracy nie opiera się na zgodzie pracownika, lecz wynika z realizacji obowiązku prawnego ciążącego na pracodawcy.

Podstawą prawną takiego działania jest w szczególności:

• art. 6 ust. 1 lit. c RODO – czyli przetwarzanie niezbędne do wypełnienia obowiązku prawnego,
• przepisy ustawy z dnia 13 kwietnia 2007 r. o Państwowej Inspekcji Pracy oraz regulacje prawa pracy.

Warto doprecyzować, że w przypadku organu publicznego, jakim jest PIP, podstawą przetwarzania danych po jego stronie będzie co do zasady art. 6 ust. 1 lit. e RODO, odnoszący się do realizacji zadania w interesie publicznym. Natomiast po stronie pracodawcy, który udostępnia dane w toku kontroli, właściwą podstawą pozostaje najczęściej art. 6 ust. 1 lit. c RODO.

W związku z tym:

Przepisy dotyczące ochrony danych osobowych nie stanowią podstawy do odmowy udostępnienia dokumentów inspektorowi pracy.

Inspektorzy pracy działają na podstawie ustawy o Państwowej Inspekcji Pracy, która przyznaje im wyraźne uprawnienie do:

• żądania przedłożenia akt osobowych,
• wglądu do wszelkich dokumentów związanych z zatrudnianiem pracowników.

Oznacza to, że przekazanie danych osobowych w toku kontroli ma wyraźną podstawę prawną i mieści się w obowiązkach pracodawcy.

Granice udostępniania danych

W tym kontekście kluczowe znaczenie mają podstawowe zasady przetwarzania danych wynikające z art. 5 RODO, w szczególności zasada minimalizacji danych, ograniczenia celu oraz rozliczalności. Zasada minimalizacji oznacza, że zakres udostępnianych informacji powinien być adekwatny i ograniczony wyłącznie do tego, co jest niezbędne dla realizacji celu kontroli. Pracodawca nie powinien przekazywać danych „na zapas” ani w szerszym zakresie, niż wynika to z żądania inspektora i charakteru postępowania. Z kolei zasada ograniczenia celu wymaga, aby dane były przetwarzane wyłącznie w jasno określonym celu – w tym przypadku w związku z realizacją czynności kontrolnych przez Państwową Inspekcję Pracy. Oznacza to, że zarówno zakres żądania, jak i sposób wykorzystania danych musi pozostawać w bezpośrednim związku z przedmiotem kontroli.

Istotna jest również zasada rozliczalności, która nakłada na pracodawcę obowiązek wykazania, że przetwarzanie danych – w tym ich udostępnienie organowi – odbywa się zgodnie z przepisami. W praktyce oznacza to konieczność posiadania odpowiednich procedur, dokumentowania działań oraz zapewnienia kontroli nad tym, jakie dane, komu i w jakim zakresie zostały przekazane.

W praktyce oznacza to konieczność posiadania procedur pozwalających na sprawne i zgodne z prawem przekazanie dokumentacji.

---

Konsekwencje dla organizacji

Nowe kompetencje PIP oznaczają istotną zmianę podejścia do kontroli.

Dotychczasowe środki, takie jak wystąpienia czy kierowanie spraw do sądu, były oceniane jako niewystarczająco efektywne. Nowe rozwiązania mają na celu zwiększenie realnej skuteczności egzekwowania przepisów prawa pracy .

W praktyce oznacza to, że:

• kontrola staje się bardziej bezpośrednia i skuteczna,
• większe znaczenie ma faktyczny sposób wykonywania pracy, a nie tylko treść dokumentów,
• ryzyko zakwestionowania formy zatrudnienia istotnie rośnie.

Z perspektywy pracodawcy kluczowe staje się nie tylko posiadanie dokumentacji, ale przede wszystkim jej zgodność z rzeczywistym sposobem organizacji pracy. To właśnie ten element będzie w najbliższym czasie podlegał najdokładniejszej weryfikacji.

Potrzebujesz wsparcia we wdrożeniu RODO? Skontaktuj się nami lub umów na bezpłatny audyt RODO – 30 kwietnia 2026r. – tutaj znajdziesz zapisy! podczas którego możemy omówić równiez wejście w życie nowych kompetencji PIP!

Strategia Cyberbezpieczeństwa na lata 2025-2029 przyjęta. Rada Ministrów podjęła tym samym 10 marca 2026 roku kluczową decyzję dla bezpieczeństwa narodowego. Dokument ten zastępuje poprzednią strategię, która wygasła z końcem 2024 roku, i stanowi fundament dla budowy odpornego cyfrowo państwa w obliczu rosnącej agresji w cyberprzestrzeni. Jak podkreślił wicepremier Krzysztof Gawkowski, bezpieczeństwo w internecie stało się obecnie polską racją stanu.

Nowy fundament prawny i organizacyjny

Strategia jest ściśle powiązana z niedawną nowelizacją ustawy o Krajowym Systemie Cyberbezpieczeństwa, która wdraża unijną dyrektywę NIS2. Polska, plasująca się w czołówce najczęściej atakowanych krajów Europy, stawia na systemowe wzmocnienie ochrony.

Do najważniejszych zmian organizacyjnych i technicznych należą:

• Powołanie centralnej instytucji koordynującej: Ma ona powstać na bazie Połączonego Centrum Operacyjnego Cyberbezpieczeństwa (PCOC).
• Rozwój systemu S46: To zaawansowane narzędzie teleinformatyczne wspierające zgłaszanie i obsługę incydentów oraz wymianę informacji między uczestnikami systemu.
• Rozbudowa CSIRT-ów sektorowych: Planowane jest tworzenie nowych zespołów reagowania na incydenty w kluczowych sektorach gospodarki.
• Centrum Cyberbezpieczeństwa NASK: Strategia przewiduje utworzenie tej nowej jednostki w celu wzmocnienia potencjału analitycznego państwa.
• Ochrona Anty-DDoS: Rozszerzenie systemów ochrony przed atakami typu DDoS, szczególnie dla instytucji publicznych i Sił Zbrojnych RP.

Innowacje: Kryptografia postkwantowej i AI

Polska zamierza stać się jednym z liderów regionu w przygotowaniach na nadejście ery komputerów kwantowych. Strategia zawiera oficjalny harmonogram migracji do kryptografii postkwantowej, co ma chronić np. certyfikaty SSL przed złamaniem przez maszyny nowej generacji o ogromnej mocy obliczeniowej.

Ważnym, choć pełnym wyzwań obszarem, jest wykorzystanie sztucznej inteligencji. Choć AI oferuje nowe możliwości obrony, źródła wskazują na ryzyka takie jak deanonimizacja użytkowników czy wykorzystanie narzędzi AI przez hakerów do manipulacji (np. ataki typu „Sugar-Coated Poison”). Z tego powodu Strategia kładzie nacisk na rozwój własnych, suwerennych technologii i bezpieczeństwo łańcucha dostaw.

Bezpieczeństwo obywatela: SIM swapping i ochrona samorządów

Dla przeciętnego użytkownika kluczowe są inicjatywy uderzające w cyberprzestępczość finansową. Strategia zakłada walkę z tzw. SIM swappingiem – dzięki porozumieniu czterech największych operatorów w Polsce, banki zyskają nową tarczę chroniącą przed nieuprawnionym przejmowaniem kart SIM. Kontynuowane i rozwijane będą także programy takie jak „Cyberbezpieczny Samorząd” oraz „Cyberbezpieczne Wodociągi”, mające chronić infrastrukturę lokalną, z której korzystamy na co dzień.

Ochrona danych i prywatność: Kluczowy wkład PUODO

Niezwykle istotnym aspektem nowej strategii jest ochrona danych osobowych, co zostało podkreślone dzięki poprawkom zgłoszonym przez Prezesa Urzędu Ochrony Danych Osobowych (PUODO). Organ ten aktywnie uczestniczył w procesie tworzenia dokumentu, stojąc na straży praw i wolności obywateli.

Zgodnie z postulatami PUODO, strategia kładzie silny nacisk na:

• Podejście oparte na ryzyku: Konieczność przeprowadzania „testów prywatności” i analiz ryzyka już na etapie projektowania nowych przepisów i systemów IT.
• Ochronę rejestrów publicznych: Rewizję rejestrów, w których numer PESEL jest jawny (np. księgi wieczyste), co uznano za poważne cyberzagrożenie.
• Bezpieczeństwo biometrii i AI: Uwzględnienie ryzyk związanych z kradzieżą tożsamości przy użyciu sztucznej inteligencji oraz powszechnym wykorzystaniem danych biometrycznych.

Wyzwania i kontrowersje

Mimo ambitnych planów, przed strategią stoją poważne przeszkody. Budżet na cyberochronę wzrósł do ok. 1 mld euro, jednak sytuację komplikuje fakt, że Prezydent Karol Nawrocki, podpisując nowelizację ustawy o KSC, skierował ją jednocześnie do Trybunału Konstytucyjnego.

Zastrzeżenia dotyczą m.in. instytucji „dostawcy wysokiego ryzyka”, co budzi opór części biznesu obawiającego się ograniczeń w korzystaniu ze sprzętu zagranicznych producentów. Ewentualny wyrok TK może wpłynąć na harmonogram wdrażania strategii, co w dynamicznym świecie cyberzagrożeń stanowi ryzyko, które państwo musi brać pod uwagę. Bez względu na to, przyjęcie Strategii do 2029 roku jest jasnym sygnałem, że Polska traktuje cyfrową obronę jako priorytet.

Źródła:
1. Urząd Ochrony Danych Osobowych, „Projekt Strategii Cyberbezpieczeństwa – Uwagi PUODO”, 04.02.2025.

2. Ministerstwo Cyfryzacji, „Nowa strategia cyberbezpieczeństwa. Polska wzmacnia ochronę przed cyberatakami”, Portal Gov.pl, 10.03.2026.

3. Prawo.pl, „Rząd przyjął Strategię Cyberbezpieczeństwa na lata 2025–2029”, Robert Horbaczewski, 11.03.2026.