KSeF wdrożony. Co dalej z RODO i ochroną danych osobowych?

W dużych organizacjach Krajowy System e-Faktur (KSeF) już funkcjonuje. Pierwsze dni po wdrożeniu były intensywne – testy, poprawki, reagowanie na bieżące wyzwania operacyjne. Kurz po starcie powoli opada, a to najlepszy moment, aby na spokojnie przyjrzeć się jednemu z kluczowych obszarów: ochronie danych osobowych w KSeF.

Bo choć mówimy o tym od dawna, warto powiedzieć to wprost: analiza KSeF pod kątem RODO powinna być fundamentem całego wdrożenia, a nie dodatkiem „na później”.

---

Faktury ustrukturyzowane a dane osobowe – nowa rzeczywistość

Faktury ustrukturyzowane przesyłane przez KSeF zawierają dane osobowe, m.in. imię i nazwisko, adres czy NIP osób fizycznych prowadzących działalność gospodarczą. Dane te trafiają do centralnego systemu zarządzanego przez Ministerstwo Finansów, co w praktyce oznacza nowy model przetwarzania danych osobowych.

Z perspektywy RODO nie jest to jedynie zmiana techniczna, ale realna zmiana procesowa, która powinna znaleźć odzwierciedlenie w dokumentacji i procedurach wewnętrznych przedsiębiorcy.

---

KSeF a RODO – kluczowe obowiązki przedsiębiorcy

1. Nowy proces w Rejestrze Czynności Przetwarzania

KSeF to nowy proces przetwarzania danych osobowych. Powinien zostać ujęty w Rejestrze Czynności Przetwarzania, z uwzględnieniem zakresu danych, celu, podstawy prawnej oraz kategorii odbiorców.

2. Dwóch administratorów danych

W modelu KSeF występuje dwóch administratorów danych osobowych:

• przedsiębiorca – w zakresie wystawiania i odbierania faktur,
• Ministerstwo Finansów – jako podmiot zarządzający systemem KSeF.

Każdy z administratorów odpowiada za swoje działania i własne obowiązki wynikające z RODO.

3. Rejestr uprawnień do KSeF

Dostęp do KSeF powinien być ściśle kontrolowany. Konieczne jest prowadzenie rejestru uprawnień, który jasno wskazuje:

• kto ma dostęp do systemu,
• w jakim zakresie,
• na jakiej podstawie.

To jeden z kluczowych elementów zasady minimalizacji dostępu.

4. Bezpieczeństwo danych i rozliczalność

RODO wymaga nie tylko zabezpieczenia danych, ale również rozliczalności. W praktyce oznacza to:

• procedury reagowania na incydenty,
• szkolenia pracowników,
• realną analizę ryzyk, a nie tylko dokument „do szuflady”.

5. Umowy powierzenia przetwarzania

Jeżeli obsługę KSeF wspierają biura rachunkowe, dostawcy systemów IT lub inne podmioty zewnętrzne, konieczne jest zawarcie umów powierzenia przetwarzania danych osobowych – dostosowanych do rzeczywistych procesów.

---

Uniwersalna dokumentacja RODO? To się nie sprawdzi

W kontekście KSeF szczególnie wyraźnie widać, że kupiona „uniwersalna” dokumentacja RODO nie spełnia swojej roli. Każda organizacja:

• inaczej korzysta z KSeF,
• ma inną strukturę dostępu,
• inne ryzyka operacyjne.

Dokumentacja musi odpowiadać na realne procesy, a nie tylko formalnie „istnieć”.

---

To nie nowość – to konsekwencja

To, co dziś rekomendujemy po wdrożeniu KSeF, nie jest niczym nowym. Od miesięcy powtarzamy:

• zaktualizuj dokumentację przy wdrażaniu KSeF,
• zweryfikuj rzeczywiste procesy,
• sprawdź, kto faktycznie ma dostęp do systemu i czy rzeczywiście go potrzebuje.

Różnica polega na tym, że teraz masz przestrzeń na spokojne korekty, a nie działania pod presją kontroli lub incydentu naruszenia danych.

---

KSeF i RODO bez paniki – podejście praktyczne

W ODO pokazujemy, jak podejść do KSeF praktycznie, bez straszenia i bez chaosu, ale w pełnej zgodzie z RODO. Tak samo, jak robimy to podczas szkoleń i w codziennej współpracy z klientami.

Jeśli chcesz uporządkować kwestie RODO po wdrożeniu KSeF i mieć realne bezpieczeństwo, a nie tylko „papier”, skontaktuj się z nami TUTAJ.

Decyzja Prezesa UODO o nałożeniu na Pocztę Polską S.A. administracyjnej kary pieniężnej w wysokości 978 tys. zł za brak zapewnienia niezależności inspektora ochrony danych powinna wybrzmieć szeroko – nie tylko w środowisku compliance, ale przede wszystkim wśród zarządów i kadry kierowniczej dużych organizacji.

To nie jest sprawa „techniczna”. To sprawa ustrojowa w systemie ochrony danych osobowych.

IOD nie może nadzorować samego siebie

Sednem sprawy i kary dla Poczty był konflikt interesów. Funkcję IOD powierzono osobie zajmującej jednocześnie stanowisko kierownicze i merytoryczne w obszarach bezpośrednio związanych z przetwarzaniem danych osobowych. W praktyce oznaczało to, że ta sama osoba:

• współdecydowała o sposobach i celach przetwarzania danych,
• a następnie miała monitorować zgodność tych działań z RODO.

Z perspektywy RODO to sytuacja niedopuszczalna. IOD ma kontrolować, doradzać i monitorować, a nie być częścią łańcucha decyzyjnego, który sam podlega ocenie. Niezależność inspektora nie jest deklaracją – musi być realna, organizacyjna i funkcjonalna.

Brak analizy konfliktu interesów = poważne ryzyko regulacyjne

W toku postępowania okazało się, że spółka:

• nie przeprowadziła analizy konfliktu interesów,
• nie określiła pierwszeństwa roli IOD wobec innych obowiązków,
• nie zdefiniowała jasnego podziału zadań ani wymiaru czasu pracy przeznaczonego na wykonywanie funkcji IOD.

To szczególnie istotne, bo w wielu organizacjach nadal funkcjonuje błędne założenie, że „IOD może być przy okazji” – dyrektorem, menedżerem IT, bezpieczeństwa, compliance czy audytu. Tymczasem kumulacja ról bardzo często prowadzi do konfliktu nie tylko merytorycznego, ale i czasowego, co bezpośrednio wpływa na skuteczność wykonywania zadań inspektora.

Niezależność IOD to odpowiedzialność zarządu

Decyzja Prezesa UODO po raz kolejny przypomina, że odpowiedzialność za prawidłowe usytuowanie IOD w strukturze organizacyjnej spoczywa na administratorze danych, czyli w praktyce – na zarządzie.

To zarząd powinien umieć odpowiedzieć na pytania:

• Czy IOD raportuje bezpośrednio do najwyższego kierownictwa?
• Czy nie decyduje o procesach, które później ocenia?
• Czy ma realny wpływ, czas i zasoby?
• Czy konflikt interesów został formalnie przeanalizowany i udokumentowany?

W omawianej sprawie pozytywnie oceniono fakt, że spółka w toku postępowania dokonała zmian i wyodrębniła funkcję IOD, zapewniając mu bezpośrednią podległość zarządowi. Nie zmieniło to jednak faktu, że naruszenie już wystąpiło i miało charakter systemowy.

To nie był incydent – to był problem strukturalny

Warto zwrócić uwagę, że nie była to pierwsza interwencja Prezesa UODO wobec tego administratora. Organ nadzorczy wyraźnie wskazał na długotrwałe, nierozwiązane problemy systemowe w zakresie zgodności z RODO.

To ważny sygnał: brak niezależności IOD rzadko bywa jedynym problemem. Zwykle jest objawem głębszych nieprawidłowości w kulturze organizacyjnej, podejściu do ryzyka i rzeczywistym znaczeniu ochrony danych w organizacji.

Wnioski dla praktyki

Dla administratorów danych ta decyzja powinna być impulsem do refleksji, a najlepiej – do audytu:

• usytuowania IOD,
• zakresu jego obowiązków,
• potencjalnych konfliktów interesów,
• realnych warunków wykonywania funkcji.

Dla samych IOD to również ważny argument w rozmowach z zarządem. Niezależność nie jest „przywilejem inspektora”. Jest warunkiem skuteczności całego systemu ochrony danych osobowych.

Skontaktuj się z nami i zapewnij odpowiednie bezpieczeństwo Twojej firmie!

Źródło: www.uodo.gov.pl

W ostatnich dniach dotarła do nas niepokojąca informacja z Urzędu Zamówień Publicznych dotycząca poważnego naruszenia ochrony danych, które objęło również Krajową Izbę Odwoławczą. To wydarzenie jest głośnym przypomnieniem o krytycznym znaczeniu cyberbezpieczeństwa i rzetelnej ochrony danych w każdej organizacji.

Co Się Stało?

Zgodnie z oficjalnym komunikatem UZP, naruszenie dotyczyło włamania na serwer poczty elektronicznej. Skutkiem było uzyskanie nieuprawnionego dostępu do skrzynek mailowych, które mogły zawierać szeroki zakres danych osobowych – od imion, nazwisk, adresów e-mail, po numery telefonów, a nawet dane dotyczące postępowań, w tym numerów kont bankowych.

Jakie Dane Mogły Zostać Ujawnione?

Zakres danych jest niestety bardzo szeroki i obejmuje:

• Dane identyfikacyjne: imiona i nazwiska.
• Dane kontaktowe: adresy e-mail, numery telefonów, adresy zamieszkania.
• Dane zawodowe/postępowania: informacje o pełnionych funkcjach, udostępnione w korespondencji, a także potencjalnie numery rachunków bankowych i szczegóły dotyczące postępowań odwoławczych.

🎯 Kluczowe Wnioski dla Biznesu i Administracji

To zdarzenie, choć dotyczy instytucji publicznej, jest istotną lekcją dla nas wszystkich, niezależnie od sektora.

1. Weryfikacja Bezpieczeństwa Poczty Elektronicznej

Poczta e-mail to często najsłabsze ogniwo w łańcuchu bezpieczeństwa. Niezbędne jest regularne audytowanie i wzmacnianie zabezpieczeń serwerów pocztowych, stosowanie silnego uwierzytelniania wieloskładnikowego (MFA) oraz monitorowanie nietypowej aktywności.

2. Szkolenia i Świadomość Pracowników

Włamanie często zaczyna się od błędu ludzkiego (np. phishing). Regularne i skuteczne szkolenia z cyberbezpieczeństwa i RODO dla wszystkich pracowników stanowią pierwszą linię obrony przed atakami i wspierają zgodność z przepisami.

3. Procedury Reagowania na Incydenty

UZP i KIO podjęły działania mające na celu zabezpieczenie systemów i zgłoszenie naruszenia do Prezesa UODO. Każda organizacja musi mieć jasno zdefiniowane procedury działania w przypadku naruszenia, w tym komunikacji z osobami, których dane dotyczą.

4. Minimalizacja Ryzyka

Naruszenie dotyczyło również danych wrażliwych. Warto zadawać sobie pytanie: Czy te dane musiały być przesyłane mailem? Stosowanie zasady minimalizacji danych i używanie bezpiecznych kanałów komunikacji (np. szyfrowanych platform) powinno być standardem.

---

Podsumowując: Musimy traktować to zdarzenie jako sygnał alarmowy. Nie chodzi tylko o kary finansowe wynikające z RODO, ale przede wszystkim o utratę zaufania i potencjalne szkody dla osób, których dane wyciekły.

🔔Czy Twoja organizacja jest naprawdę przygotowana? Nie czekaj na naruszenie! Zaplanuj audyt bezpieczeństwa i przeprowadź obowiązkowe szkolenie z cyberświadomości dla Twojego zespołu już dziś.

Skontaktuj się z nami TUTAJ.

Jak zabezpieczyć firmę przed ryzykiem naruszeń związanych z dyrektywą jawności wynagrodzeń? 
 
Dyrektywa o jawności wynagrodzeń, która wkrótce wejdzie w życie, to nie tylko zmiana w polityce wynagrodzeń. To poważna zmiana w sposobie przetwarzania danych osobowych pracowników. Jeśli Twoja firma nie jest odpowiednio przygotowana, ryzykujesz poważne naruszenia przepisów ochrony danych osobowych, które mogą prowadzić do drakońskich kar finansowych. 
 

Twarde fakty: 
 
Dyrektywa wymusza na firmach ujawnianie danych dotyczących wynagrodzeń w sposób, który może obejmować także dane osobowe. Brak odpowiednich procedur może doprowadzić do naruszenia zasad ochrony danych osobowych. A naruszenia przepisów dotyczących następujących kwestii podlegają, zgodnie z ust. 2, administracyjnej karze pieniężnej w wysokości do 10 000 000 EUR, a w przypadku przedsiębiorstwa – w wysokości do 2 % jego całkowitego rocznego światowego  
obrotu z poprzedniego roku obrotowego)- art. 83 pkt.4 RODO 
 

Jak pogodzić Dyrektywę o jawności wynagrodzeń z RODO? 

A. Prawo do informacji a minimalizacja danych 
Dyrektywa o jawności wynagrodzeń zmienia sposób, w jaki dane dotyczące  wynagrodzeń muszą być przetwarzane i udostępniane. Oznacza to, że firmy będą musiały otwarcie ujawniać pewne dane dotyczące wynagrodzeń, ale jak pogodzić ten obowiązek z podstawową zasadą ochrony danych osobowych –  
minimalizowaniem danych? 
 
Rozróżnienie kluczowych pojęć: 
 
Udostępnianie danych: chodzi o publiczne ujawnianie wysokości wynagrodzenia w kontekście transparentności wynagrodzeń. 
 
Informowanie o lukach w wynagrodzeniach: czyli ujawnianie szczegółowych  danych na temat różnic w wynagrodzeniu między pracownikami, co może prowadzić do ryzyka ujawnienia danych szczególnej kategorii. 
 
B. Podstawa prawna przetwarzania danych 
Warto zastanowić się, czy w przypadku jawności wynagrodzeń potrzebna  jest nowa zgoda na przetwarzanie danych, czy Dyrektywa sama w sobie  stanowi wystarczającą podstawę prawną. Dyrektywa ta może być uznana za podstawę do przetwarzania danych w celach związanych z raportowaniem wynagrodzeń, co zmienia zasady gromadzenia i wykorzystywania tych informacji. 
 
C. Audyt i procedury RODO/HR 
Jakie dokumenty HR i procedury RODO należy natychmiast zaktualizować,  
aby dostosować się do nowych wymagań? 

1. Polityka prywatności – powinna zostać zaktualizowana, by uwzględniała  
   nowe przepisy. 
   
2. Klauzule informacyjne – należy je dostosować do nowego celu  
   przetwarzania danych. 
   
3. Rejestr czynności przetwarzania – wymaga aktualizacji, uwzględniając  
   nowe procesy przetwarzania danych wynagrodzeń. 
   
4. Ocena skutków dla ochrony danych (DPIA) – każdy proces przetwarzania  
   danych osobowych, który wiąże się z nowymi ryzykami (np. raportowanie  
   wynagrodzeń), powinien być poddany ocenie skutków. 
   
   
    

Witajcie w nowej erze zarządzania danymi w Unii Europejskiej! Rozporządzenie (UE) 2023/2854, powszechnie znane jako Akt w Sprawie Danych (Data Act), choć weszło w życie już 11 stycznia 2024 r., zaczęło obowiązywać 12 września 2025 r.. To przełomowa regulacja, która ma na celu gruntowne zmiany w sposobie dostępu do danych i ich wykorzystywania. Wzmacnia pozycję użytkowników i wspieraja innowacje w europejskiej gospodarce cyfrowej.

Czym jest Data Act i dlaczego jest tak istotny?

Data Act to kompleksowa inicjatywa, która ma sprostać wyzwaniom i uwolnić możliwości stwarzane przez dane w UE. Jest kluczowym filarem europejskiej strategii w zakresie danych. Ma znaczący wkład w realizację celu cyfrowej dekady, jakim jest przyspieszenie transformacji cyfrowej. Jego głównym celem jest ustanowienie zharmonizowanych przepisów dotyczących sprawiedliwego dostępu do danych i ich wykorzystywania. Dzięki temu użytkownicy – zarówno konsumenci, jak i przedsiębiorstwa – uzyskają większą kontrolę nad danymi generowanymi przez ich urządzenia podłączone do internetu.

Regulacja ma na celu zniesienie barier w przepływie danych, zapobieganie monopolizacji dostępu do danych oraz ułatwianie współpracy rynkowej. Jak? Poprzez transparentną zmianę dostawców usług i poprawę interoperacyjności. Wszystko to dzieje się przy jednoczesnej ochronie danych osobowych i nieosobowych użytkowników oraz tajemnic przedsiębiorstwa.

Produkty Skomunikowane i Usługi Powiązane: Podstawowe Pojęcia Data Act

Aby w pełni zrozumieć zakres Data Act, kluczowe jest zapoznanie się z dwoma podstawowymi pojęciami: produktami skomunikowanymi i usługami powiązanymi. Razem tworzą sieć znaną jako Internet Rzeczy (IoT).

• Produkty skomunikowane – to fizyczne rzeczy, które zostały połączone z internetem lub inną siecią cyfrową. Gromadzą lub generują dane oraz mogą je przesyłać do użytkownika, producenta lub innych usług. Przykłady obejmują szeroki zakres urządzeń, od inteligentnych lodówek, termostatów i smartwatchy po samochody podłączone do internetu, urządzenia monitorujące stan zdrowia, roboty, maszyny przemysłowe i rolnicze.
• Usługi powiązane to natomiast usługi cyfrowe, które wykorzystują dane generowane i przesyłane przez produkty skomunikowane oraz współdziałają z nimi w celu zapewnienia pełnego funkcjonowania urządzenia. Przykładem może być aplikacja mobilna analizująca dane zdrowotne ze smartwatcha, platforma zarządzająca inteligentnym domem, system predykcyjnej konserwacji maszyn przemysłowych czy aplikacja do regulacji temperatury lodówki.

Warto zaznaczyć, że Data Act nie obejmuje produktów, których podstawową cechą jest przetwarzanie danych osobowych, np. smartfony, tablety, laptopy czy komputery osobiste. Urządzenia te, choć często połączone z internetem, nie są traktowane jako produkty skomunikowane w rozumieniu rozporządzenia. Z założenia ich główną funkcją jest przetwarzanie informacji, a nie automatyczne zbieranie danych w tle podczas użytkowania.

Rodzaje Danych Objętych Regulacją Data Act

Data Act reguluje przetwarzanie szerokiego zakresu danych. Rozdział II Aktu w sprawie danych ma zastosowanie do wszystkich surowych i wstępnie przetworzonych danych generowanych w wyniku korzystania z produktu skomunikowanego lub powiązanej usługi, które są łatwo dostępne dla posiadacza danych. Oznacza to dane, do których można łatwo uzyskać dostęp bez nieproporcjonalnego wysiłku.

Dane te obejmują zarówno dane osobowe, jak i nieosobowe. Jak również odpowiednie metadane (np. znaczniki czasu, kontekst), które są niezbędne do ich właściwej interpretacji i wykorzystania. Mogą to być informacje zebrane z pojedynczych czujników lub połączonych grup czujników. Mowa o temperaturze, ciśnieniu, natężeniu przepływu, dźwięku, wartość pH, poziomie cieczy, pozycji, przyspieszeniu lub prędkości.

Akt w sprawie danych nie obejmuje danych wywnioskowanych lub pochodnych, danych wysoko wzbogaconych ani treści audiowizualnych. Jeśli użytkownik ogląda film na podłączonym telewizorze, sam film nie jest objęty zakresem, ale dane o jasności ekranu już tak. Data Act jest w pełni zgodny z przepisami o ochronie danych, w szczególności z RODO. W przypadku danych osobowych, ich udostępnianie wymaga ważnej podstawy prawnej, np. zgody podmiotu danych.

Kto Będzie Egzekwował Data Act? Rola Właściwych Organów i Koordynatora Danych

Państwa członkowskie Unii Europejskiej są zobowiązane do wyznaczenia co najmniej jednego właściwego organu odpowiedzialnego za monitorowanie i egzekwowanie rozporządzenia.

Jeśli państwo członkowskie wyznaczy więcej niż jeden właściwy organ, musi spośród nich wyznaczyć „koordynatora danych”. Koordynator danych będzie działał jako pojedynczy punkt kontaktowy na szczeblu krajowym. Jego działania będą obejmować wszystkie kwestie związane ze stosowaniem i egzekwowaniem Data Act. Jego zadania obejmują:
– ułatwianie współpracy między właściwymi organami,
– pomaganie podmiotom objętym zakresem rozporządzenia,
– publikowanie wniosków o udostępnienie danych podmiotów prywatnych składanych przez organy sektora publicznego,
– promowanie dobrowolnych umów o dzieleniu się danymi.

W Polsce, funkcję właściwego organu, a tym samym koordynatora danych, będzie pełnił Prezes Urzędu Komunikacji Elektronicznej (UKE).

Państwa członkowskie mogą ustanowić certyfikowane organy rozstrzygania sporów. Mają one na celu pomóc stronom, które nie mogą uzgodnić sprawiedliwych warunków udostępniania danych. Mechanizmy te mają zapewnić proste, szybkie i tanie rozwiązania dla przedsiębiorstw, zwłaszcza MŚP, w egzekwowaniu ich praw wynikających z Data Act.

W celu zapewnienia spójnego stosowania Data Act w państwach członkowskich, właściwe organy będą współpracować z Europejską Radą ds. Innowacji w zakresie Danych (EDIB). EDIB będzie również doradzać Komisji Europejskiej przy tworzeniu aktów wykonawczych i delegowanych dotyczących normalizacji i interoperacyjności.

Najważniejsze Zasady Wprowadzone przez Data Act

Poza powyższymi, Data Act wprowadza szereg kluczowych zasad mających na celu kształtowanie sprawiedliwej i innowacyjnej gospodarki danych:

• Prawo dostępu i udostępniania danych dla użytkowników: użytkownicy produktów skomunikowanych uzyskują prawo dostępu do danych, które współgenerują. Ponadto otrzymają możliwość udostępniania ich stronom trzecim, co sprzyja uczciwej konkurencji i potencjalnie niższym cenom oraz wydłuża żywotność produktów.
• Łagodzenie nierównowagi umownej: Przepisy chronią przedsiębiorstwa, w szczególności MŚP, przed narzucaniem nieuczciwych warunków umownych przez podmioty o silniejszej pozycji rynkowej.
• Ułatwienie zmiany dostawców usług przetwarzania danych (chmury): Data Act ustanawia ramy umożliwiające klientom skuteczne przełączanie się między dostawcami. Od 12 stycznia 2027 r. opłaty za zmianę dostawcy, w tym opłaty za wyprowadzanie danych (egress fees), zostaną całkowicie zniesione.
• Dostęp sektora publicznego do danych prywatnych: Organy sektora publicznego mogą żądać dostępu do danych będących w posiadaniu sektora prywatnego. Jest to możliwe w sytuacjach wyjątkowej potrzeby, z zachowaniem rygorystycznych zasad ochrony tajemnic przedsiębiorstwa.
• Interoperacyjność i standardy: Rozporządzenie ustanawia zasadnicze wymogi dla uczestników przestrzeni danych. Dzięki temu dane będą mogły swobodnie przepływać w ramach wspólnych europejskich przestrzeni danych i między nimi. Ma to na celu wsparcie badania i rozwój nowych produktów/usług.
• Ochrona danych nieosobowych przed nielegalnym dostępem rządów państw trzecich – Data Act wprowadza zabezpieczenia zapobiegające bezprawnemu dostępowi organów rządowych z państw trzecich do danych nieosobowych przechowywanych w UE, jeżeli byłoby to sprzeczne z prawem UE lub prawem krajowym.

Wspieranie Wdrażania i Przyszłość

Komisja Europejska aktywnie wspiera wdrażanie Data Act. Publikuje materiały z wytycznymi, takie jak często zadawane pytania (FAQ), oraz uruchamiając specjalny punkt pomocy prawnej. Planowane jest również opracowanie wzorcowych klauzul umownych, aby ułatwić przedsiębiorstwom zawieranie sprawiedliwych i niedyskryminacyjnych umów o udostępnianiu danych.

Podsumowanie: Czas na Cyfrową Przyszłość Europy

Akt w sprawie danych to potężny motor innowacji i nowych miejsc pracy. Ma na celu zapewnienie sprawiedliwości w gospodarce opartej na danych. Wraz z Aktem o zarządzaniu danymi, Data Act przyczyni się do ustanowienia unijnego jednolitego rynku danych. Czyni to Europę liderem w gospodarce opartej na danych.

Przygotowanie do wejścia w życie Data Act wymaga przemyślanej strategii i dostosowania wewnętrznych procesów w wielu firmach. Jest to kluczowy krok w budowaniu sprawiedliwej i innowacyjnej europejskiej gospodarki opartej na danych.

---

Potrzebujesz pomocy w dostosowaniu procedur filrmowych do RODO i data ACT? Zapraszamy do kontaktu.

Instagram właśnie wprowadził funkcję, która może brzmieć jak niewinna zabawa, a w rzeczywistości jest otwartymi drzwiami do Twojego życia. Instagram Map pozwala znajomym (a czasem… nie tylko im) zobaczyć, gdzie jesteś. W teorii – po to, by łatwiej się spotkać. W praktyce – to gotowy scenariusz na koszmar związany z utratą prywatności.

Funkcja obecnie dostępna jest w USA, a niebawem również globalnie.

Kontrola prywatności:

• Funkcja jest wyłączona domyślnie — użytkownicy muszą wyraźnie się na nią zgodzić.
• Można wybrać grupę odbiorców lokalizacji: wszyscy znajomi, „Close Friends”, wybrane osoby lub nikt.
• Możliwe jest wyłączenie udostępniania lokalizacji w określonych miejscach lub dla konkretnych osób.
• W przypadku kont nastolatków—rodzice mogą być informowani i kontrolować ustawienia lokalizacji.

Dodatkowo, niezależnie od udostępnienia lokalizacji, użytkownicy widzą treści (Stories, Reels, Notatki) opatrzone geotagami — także przez 24 godziny po opublikowaniu

Jak działa Instagram Map?

Aplikacja zapisuje Twoją lokalizację za każdym razem, gdy ją uruchamiasz lub wracasz do niej z tła. Dane trafiają do mapy, na której widać, gdzie się znajdujesz. Ty decydujesz, kto ma dostęp – znajomi, wybrane osoby czy „bliscy znajomi”. Ale pamiętaj: raz udostępnione dane mogą wymknąć się spod kontroli.

Dlaczego to jest groźne?

1. Śledzenie w czasie (prawie) rzeczywistym

Ta funkcja może dać innym wgląd w Twoje codzienne nawyki – gdzie pracujesz, gdzie mieszkasz, gdzie chodzisz na zakupy. Wystarczy kilka dni obserwacji, by stworzyć dokładny profil Twojego życia.

2. Złudne poczucie bezpieczeństwa

„Tylko znajomi widzą moją lokalizację” – to często słyszane uspokojenie. Problem w tym, że wystarczy jedna osoba z dostępem, która udostępni te informacje dalej. Wtedy kontrola nad nimi znika.

3. Raj dla stalkerów

Były partner, toksyczny znajomy czy obsesyjny „fan” – dzięki Instagram Map mogą wiedzieć, gdzie jesteś, i „przypadkiem” wpadać w te same miejsca.

4. Młodzi użytkownicy na celowniku

Nastolatki, często kierujące się presją grupy, mogą włączyć funkcję, nie zdając sobie sprawy z ryzyka. To otwiera furtkę dla ludzi, którzy mają złe intencje.

5. Meta gromadzi jeszcze więcej danych

Pamiętajmy – każda informacja o Twojej lokalizacji to kolejne cegiełki w murze profilowania reklam. Meta już wie, co lubisz oglądać. Teraz będzie wiedzieć, gdzie spędzasz czas.

Jak się chronić używając Instagram Map?

• Wyłącz tę funkcję, jeśli nie masz absolutnej pewności, że chcesz dzielić się swoją lokalizacją.
• Jeśli musisz – ogranicz odbiorców do absolutnego minimum i regularnie przeglądaj listę.
• Wyłącz udostępnianie w miejscach, które chcesz zachować w tajemnicy – szczególnie w domu i pracy.
• Edukuj młodszych użytkowników – konsekwencje mogą być bardzo realne.

Ochrona przed Instagram Map dotyczy również kont firmowych. Jeśli prowadzisz konto firmowe, pamiętaj jednak, że rosnąca widoczność w sieci wiąże się też z większym ryzykiem nieautoryzowanego dostępu. Dlatego warto:

• włączyć uwierzytelnianie dwuskładnikowe,
• stosować silne, unikalne hasło,
• regularnie sprawdzać logowania i uprawnienia administratorów.

Instagram Map to nie jest tylko nowy gadżet. To funkcja, która może wystawić Twoją prywatność na poważne ryzyko. Świadome korzystanie z internetu oznacza kontrolowanie tego, co o nas wiedzą inni – a lokalizacja to jedna z najbardziej wrażliwych informacji, jakie można udostępnić.

Potrzebujesz wsparcia we wdrożeniu RODO w Twojej firmie? Zachęcamy do KONTAKTU.

W ostatnich latach coraz więcej organizacji pozarządowych profesjonalizuje swoje działania i dostosowuje je do wymogów prawa. Choć temat ochrony danych osobowych może wydawać się zarezerwowany dla dużych firm i instytucji publicznych, NGO – jako administratorzy danych – również muszą przestrzegać ustawy o RODO. Co więcej, przy projektach finansowanych ze środków publicznych lub unijnych, kwestie ochrony danych mogą być kluczowym elementem oceny formalnej i merytorycznej.

Obowiązki NGO w zakresie RODO – co trzeba wiedzieć?

Organizacje pozarządowe bardzo często przetwarzają dane osobowe: beneficjentów, wolontariuszy, darczyńców, pracowników, członków stowarzyszeń czy uczestników szkoleń i wydarzeń. W związku z tym są zobowiązane do:

• zapewnienia odpowiedniego poziomu bezpieczeństwa danych,
• realizacji obowiązku informacyjnego,
• zawierania umów powierzenia danych,
• prowadzenia rejestru czynności przetwarzania (jeśli spełnione są określone warunki),
• oraz – w niektórych przypadkach – powołania Inspektora Ochrony Danych (IOD).

IOD – obowiązek czy dobra praktyka?

Powołanie IOD jest obowiązkowe m.in. dla podmiotów publicznych oraz tych organizacji, które przetwarzają dane w sposób wymagający regularnego monitorowania na dużą skalę. Choć wiele NGO formalnie nie musi powoływać IOD, jego obecność może znacząco poprawić poziom zgodności z przepisami RODO i budować zaufanie wśród partnerów i grantodawców.

Co ważne – koszt usługi IOD można zaplanować jako element realizowanego projektu.

IOD w projekcie – jak to zrobić?

Kiedy warto już na etapie wnioskowania uwzględnić koszty związane z obsługą RODO? Jeśli NGO planuje realizację projektu, np. finansowanego ze środków publicznych, funduszy unijnych, grantów krajowych czy międzynarodowych.

W praktyce oznacza to:

• wpisanie usługi IOD jako elementu kosztów zarządzania projektem,
• oszacowanie miesięcznego wynagrodzenia IOD (rynkowo to najczęściej outsourcing),
• opisanie zakresu jego działań: audyt, opracowanie dokumentacji, itp.

Taka praktyka nie tylko ułatwia zgodność z przepisami, ale także pokazuje profesjonalne podejście do zarządzania organizacją i projektem.

Co może zrobić IOD w NGO?

Inspektor Ochrony Danych nie jest tylko „papierowym” doradcą. Jego rola obejmuje:

• bieżące doradztwo w sprawach ochrony danych,
• kontrolę zgodności działań z przepisami RODO,
• przygotowanie i aktualizację dokumentacji,
• reagowanie na incydenty naruszenia danych,
• prowadzenie szkoleń dla pracowników i wolontariuszy,
• kontakt z Urzędem Ochrony Danych Osobowych.

Wnioski

Ochrona danych osobowych w NGO to nie tylko obowiązek, ale i szansa na profesjonalizację działań. Uwzględnienie kosztów obsługi IOD w projektach to praktyczne i coraz częściej stosowane rozwiązanie, które warto znać i wdrażać.

Jeśli chcesz dowiedzieć się więcej o tym, jak realizować obowiązki RODO w organizacji i jak wpisać IOD do projektów – zapraszamy na bezpłatny webinar już 29 lipca o godz. 10:00–11:00.

📌 Temat: RODO w NGO-sach – obowiązki i dobre praktyki
📝 Rejestracja: TUTAJ

12 czerwca 2025 r. w Pałacu Larischów w Krakowie odbyła się międzynarodowa konferencja „Technologie kwantowe. Zagrożenia, wyzwania i szanse dla cyberbezpieczeństwa i ochrony danych osobowych”. Wydarzenie zorganizowane zostało przez Urząd Ochrony Danych Osobowych, Fundację Future Law Lab oraz Uniwersytet Jagielloński. Zgromadziło wybitnych ekspertów z Polski i zagranicy – fizyków, prawników, inżynierów oraz przedstawicieli administracji publicznej i sektora zbrojeniowego.

Konferencję podzielono na cztery sesje panelowe, z których każda dotyczyła innego aspektu wpływu technologii kwantowych na bezpieczeństwo informacji:

• Podejścia techniczne – od komputerów kwantowych do kryptografii postkwantowej
• Polityka i strategia – suwerenność cyfrowa i ramy prawne
• Technologia kwantowa a RODO
• Rozwój kryptografii kwantowej i postkwantowej

Szczególne znaczenie miała ostatnia sesja. Omówiono praktyczne wyzwania i perspektywy związane z rozwojem kryptografii kwantowej oraz jej wpływem na systemy ochrony danych osobowych. W panelu wzięli udział m.in. dr Mirosław Sopek (Quantum Blockchains), gen. dyw. Karol Molenda (Dowódca Wojsk Obrony Cyberprzestrzeni) oraz dr Paweł Przybyłowicz (AGH). W dyskusji uczestniczyła również Mariola Więckowska – członkini Społecznego Zespołu Ekspertów przy Prezesie UODO.

Panel moderował Rafał Prabucki, ekspert ODO Szkolenia oraz członek wspomnianego zespołu eksperckiego. Dzięki jego doświadczeniu i znajomości zarówno regulacji, jak i aktualnych wyzwań technologicznych, rozmowa przebiegła w sposób dynamiczny, a jednocześnie merytoryczny. Uczestnicy poruszali tematy związane z praktyczną adaptacją postkwantowych metod szyfrowania, wpływem standardów międzynarodowych na wdrażanie nowych zabezpieczeń oraz znaczeniem interoperacyjności systemów w świetle gwałtownego rozwoju technologii.

Udział Rafała Prabuckiego w tym wydarzeniu to kolejny przykład zaangażowania ekspertów ODO Szkolenia w debatę publiczną na temat przyszłości ochrony danych osobowych. Cieszymy się, że nasz zespół aktywnie współtworzy przestrzeń wymiany wiedzy na najwyższym poziomie.

Marketing to serce wielu firm – pozwala budować relacje z klientami, zwiększać sprzedaż i promować markę. Jednak w dobie cyfryzacji i rosnącej świadomości konsumentów na temat prywatności, działania marketingowe muszą być zgodne z przepisami o ochronie danych osobowych. Właśnie dlatego warto wiedzieć, jak stosować RODO w marketingu – skutecznie i bezpiecznie.

Czym jest RODO i dlaczego ma znaczenie w marketingu?

RODO obowiązuje od 25 maja 2018 r. i dotyczy każdej firmy, która przetwarza dane osobowe osób fizycznych w UE – również w celach marketingowych.

W praktyce oznacza to, że jeśli:

• wysyłasz newslettery,
• prowadzisz kampanie mailingowe lub SMS-owe,
• profilujesz użytkowników na stronie internetowej,
• zbierasz leady przez formularze kontaktowe,

to RODO ma zastosowanie do Twoich działań.

Zgoda – czy zawsze jest potrzebna?

Nie każda forma marketingu wymaga zgody, ale wiele z nich tak.

Kiedy zgoda jest obowiązkowa?

• Przy wysyłce newslettera lub e-mail marketingu do osób fizycznych (B2C),
• W przypadku marketingu SMS-owego i telefonicznego,
• Przy profilowaniu w celach marketingowych (np. dopasowywanie treści reklam).

Zgoda musi być:
✅ Dobrowolna
✅ Świadoma
✅ Konkretna
✅ Odwoływalna

❗ Nie można ukrywać zgody w regulaminie ani stosować domyślnie zaznaczonych checkboxów.

A co z marketingiem B2B?

W przypadku kontaktów z firmami (np. wysyłka oferty na ogólny adres typu kontakt@ firma.pl), nie zawsze jest wymagana zgoda, ale trzeba zapewnić osobie prawo do sprzeciwu oraz spełnić obowiązek informacyjny. RODO nadal ma zastosowanie, jeśli można zidentyfikować konkretną osobę.

Obowiązek informacyjny – nie zapominaj!

Zbierając dane (np. przez formularz leadowy), musisz poinformować użytkownika o:

• Administratorze danych,
• Celach przetwarzania,
• Podstawie prawnej (np. zgoda lub uzasadniony interes),
• Czasie przechowywania danych,
• Prawach osoby (dostęp, usunięcie, sprzeciw),
• Możliwości cofnięcia zgody.

Ten obowiązek można spełnić np. poprzez link do polityki prywatności.

Retargeting i cookies – jak się zabezpieczyć?

Jeśli korzystasz z narzędzi takich jak Meta Ads, Google Ads, Piksel Facebooka czy remarketing w Google Analytics – przetwarzasz dane osobowe.

Zadbaj o:

• Politykę cookies – jasną i dostępną,
• Baner cookies z opcją wyboru (zgoda na analitykę, reklamę, itp.),
• Zgody na profilowanie, jeśli reklama jest dostosowywana do konkretnego użytkownika.

Uzasadniony interes – kiedy można go stosować?

Niektóre działania marketingowe można oprzeć na uzasadnionym interesie administratora, ale wymaga to uprzedniej analizy ryzyka i oceny równowagi interesów (tzw. test równowagi).

Nie można nadużywać tej podstawy. Jeśli użytkownik nie oczekuje kontaktu marketingowego lub wyraził sprzeciw – należy to uszanować.

Podsumowanie

RODO nie zabrania marketingu – wręcz przeciwnie. Pozwala go prowadzić w sposób odpowiedzialny, transparentny i oparty na zaufaniu.

Kluczowe zasady to:

🔹 Informuj – bądź transparentny wobec użytkowników.
🔹 Uzyskaj zgodę, jeśli to konieczne.
🔹 Szanuj prawa osób – umożliwiaj rezygnację z kontaktu.
🔹 Dokumentuj wszystko – prowadź rejestry zgód i działań

Potrzebujesz wsparcia?

W ODO Magdalena Celeban pomagamy firmom prowadzić działania marketingowe zgodnie z RODO. Przeprowadzamy audyty, przygotowujemy dokumentację i szkolimy zespoły.

📩 Skontaktuj się z nami, jeśli chcesz mieć pewność, że Twoje kampanie są zgodne z prawem – i skuteczne!

---

Urząd Ochrony Danych Osobowych uruchomił nową wersję wyszukiwarki decyzji Prezesa UODO. Narzędzie, dostępne pod adresem https://orzeczenia.uodo.gov.pl, znacząco ułatwia dostęp do orzecznictwa z zakresu ochrony danych osobowych. Zostało zaprojektowane z myślą o przejrzystości, intuicyjnej obsłudze i zaawansowanej funkcjonalności.

Co oferuje nowa wyszukiwarka?

Nowoczesna wyszukiwarka UODO to nie tylko baza decyzji Prezesa Urzędu. To także praktyczne narzędzie dla prawników, inspektorów ochrony danych, naukowców i wszystkich zainteresowanych tematyką RODO. Wśród najważniejszych funkcjonalności znajdują się:

🔍 Zaawansowane filtry wyszukiwania

Użytkownicy mogą filtrować decyzje m.in. według:

• daty wydania,
• sygnatury,
• słów kluczowych,
• rodzaju naruszenia,
• sektora działalności,
• zastosowanego środka naprawczego.

📄 Pełne treści zanonimizowanych orzeczeń

Dostęp do kompletnych treści decyzji umożliwia dogłębną analizę orzecznictwa – nieocenioną dla praktyków i teoretyków ochrony danych.

🔗 Unikalne identyfikatory URN

Każda decyzja otrzymuje indywidualny identyfikator URN (Uniform Resource Name), dzięki któremu można się do niej odwołać, nawet jeśli zmieni swoją lokalizację w sieci lub nie jest dostępna online.

🔄 Regularne aktualizacje

Baza danych jest na bieżąco aktualizowana, co gwarantuje dostęp do najnowszych decyzji i orzeczeń – ważne zarówno dla specjalistów, jak i organizacji dbających o zgodność z RODO.

Współczesna technologia i rozwój

Wyszukiwarka decyzji prezesa UODO jest zbudowana przy użyciu technologii. Projekt będzie dalej rozwijany – w aktualnej wersji wdrożono m.in. możliwość sprawdzenia, czy dana decyzja jest prawomocna.

Szkolenie online – już wkrótce

UODO zapowiedziało także webinarium informacyjne, by omówić funkcjonalności wyszukiwarki oraz praktyczne sposoby jej wykorzystania. Szczegóły dotyczące terminu oraz zapisów zostaną opublikowane na stronie internetowej urzędu oraz w jego kanałach społecznościowych.

Twoja opinia ma znaczenie

Urząd zachęca użytkowników do aktywnego korzystania z wyszukiwarki oraz dzielenia się opiniami, które pomogą w dalszym jej udoskonalaniu.

Sprawdź nową wyszukiwarkę już dziś: https://orzeczenia.uodo.gov.pl

Źródło: www.uodo.gov.pl