W dyskusjach o RODO często koncentrujemy się na obowiązkach administratorów, wysokości kar administracyjnych czy kolejnych zmianach przepisów. Znacznie rzadziej zadajemy sobie pytanie, co jest impulsem do ich powstawania.

Tymczasem odpowiedź bardzo często jest zaskakująco prosta. Człowiek.

To właśnie zgłoszenia obywateli, skargi, petycje czy sygnalizowanie problemów przez organizacje i instytucje niejednokrotnie stają się początkiem szerszej dyskusji o potrzebie zmian. Organ nadzorczy analizuje konkretną sytuację, identyfikuje lukę systemową, a następnie przedstawia rekomendacje lub inicjuje dialog z ustawodawcą.

Dobrym przykładem jest ostatnia petycja przekazana przez Prezesa UODO do Ministra Zdrowia dotycząca potrzeby uregulowania zasad korzystania ze smartfonów przez pacjentów przebywających na zamkniętych oddziałach psychiatrycznych.

Co istotne, impulsem do podjęcia tego tematu nie była kontrola ani postępowanie administracyjne. Punktem wyjścia była petycja przygotowana przez rodzinę jednego z pacjentów.

Sprawa dotyczy niezwykle wrażliwego obszaru – ochrony danych dotyczących zdrowia oraz prawa pacjentów do prywatności. Dzisiejsze smartfony nie służą wyłącznie komunikacji. Umożliwiają nagrywanie obrazu i dźwięku, prowadzenie transmisji na żywo czy natychmiastową publikację materiałów w mediach społecznościowych. W przypadku oddziałów psychiatrycznych może to prowadzić do ujawnienia szczególnych kategorii danych osobowych oraz naruszenia praw innych pacjentów.

Prezes UODO, mimo że nie posiada inicjatywy ustawodawczej, zadeklarował gotowość wsparcia eksperckiego przy ewentualnych pracach legislacyjnych.

Ta sytuacja pokazuje coś znacznie szerszego.

W obszarze ochrony danych osobowych prawo nie funkcjonuje w oderwaniu od rzeczywistości. Ewoluuje wraz z pojawiającymi się wyzwaniami technologicznymi oraz problemami zgłaszanymi przez obywateli i organizacje.

To ważna lekcja również dla administratorów danych.

Czasmi można spotkać się z przekonaniem, że skoro określona praktyka od lat funkcjonuje w organizacji i nikt dotychczas jej nie zakwestionował, nie wymaga ona zmian. To ryzykowne założenie. Za każdym procesem przetwarzania danych stoi człowiek – pracownik, klient, pacjent, rodzic czy kontrahent. Każda z tych osób ma prawo zadać pytanie, złożyć skargę do organu nadzorczego, zwrócić uwagę na potencjalne naruszenie lub zakwestionować sposób przetwarzania swoich danych.

To właśnie pojedyncze zgłoszenia bardzo często stają się początkiem znacznie większych zmian. Dlatego zgodność z przepisami nie powinna być postrzegana jako działanie podejmowane wyłącznie z obawy przed kontrolą. To przede wszystkim budowanie organizacji, która rozumie, że ochrona danych osobowych zaczyna się od poszanowania praw człowieka. A tam, gdzie te prawa są traktowane poważnie, zgodność z przepisami staje się naturalną konsekwencją, a nie jedynie obowiązkiem.

Do ekosystemu RODO, NIS2, KSC czy AI Act dołącza Data Governance Act. To nie są kolejne regulacje dla prawników. To początek zmian w sposobie myślenia o danych jako zasobie gospodarczym, którym można dzielić się w sposób bezpieczny, kontrolowany i zgodny z prawem.

Celem nowych przepisów jest zwiększenie zaufania do dzielenia się danymi poprzez wprowadzenie mechanizmów, które zapewnią osobom, których dane dotyczą, oraz ich posiadaczom większą kontrolę nad sposobem ich wykorzystywania. Jednym z głównych założeń DGA jest rozwój europejskich przestrzeni danych, czyli środowisk umożliwiających bezpieczną wymianę informacji pomiędzy organizacjami.

Przepisy mają wspierać współpracę m.in. w obszarach: ochrony zdrowia, środowiska, administracji, czy badań naukowych.

Wraz z wejściem w życie ustawy znacząco rozszerzyły się zadania Prezesa UODO. Od teraz organ odpowiada również za:

✔ nadzór nad usługami pośrednictwa danych,

✔ rejestrację organizacji altruizmu danych,

✔ kontrolę przestrzegania przepisów dotyczących przekazywania danych nieosobowych do państw trzecich.

To oznacza, że UODO staje się nie tylko organem odpowiedzialnym za ochronę danych osobowych, ale również jednym z kluczowych regulatorów europejskiej gospodarki danych.

Obowiązek zgłoszenia usług pośrednictwa danych

Jedną z najważniejszych zmian jest obowiązek zgłoszenia działalności przez dostawców usług pośrednictwa danych. Od 23 lipca 2026 r. każdy podmiot planujący świadczenie takich usług musi dokonać zgłoszenia do Prezesa UODO zgodnie z art. 11 DGA. Po pozytywnej weryfikacji dostawca może otrzymać potwierdzenie spełniania wymagań określonych w DGA oraz posługiwać się oznaczeniem: „Uznany w Unii dostawca usług pośrednictwa danych” wraz z logo UE.

Co ważne, zgłoszenie umożliwia świadczenie usług pośrednictwa danych na terenie wszystkich państw członkowskich Unii Europejskiej.

Czym są usługi pośrednictwa danych?

Usługa pośrednictwa danych polega na tworzeniu bezpiecznych relacji pomiędzy podmiotami posiadającymi dane a podmiotami, które chcą z nich korzystać.

W praktyce mogą to być m.in.:

• platformy umożliwiające wymianę danych,
• infrastruktura służąca bezpiecznemu udostępnianiu danych,
• rozwiązania wspierające wykonywanie praw osób, których dane dotyczą,
• spółdzielnie danych.

Warto jednocześnie pamiętać, że nie każda działalność związana z danymi będzie usługą pośrednictwa. DGA wyłącza z tej definicji m.in. podmioty, które przetwarzają dane we własnym celu, wzbogacają je i następnie udzielają licencji na gotowy produkt, usługi dotyczące treści chronionych prawem autorskim czy zamknięte systemy wymiany danych funkcjonujące wyłącznie pomiędzy podmiotami jednej grupy.

Altruizm danych – nowe rozwiązanie w prawie UE

Drugim istotnym elementem DGA jest altruizm danych. Polega on na dobrowolnym udostępnianiu danych osobowych lub nieosobowych bez osiągania korzyści finansowych, wyłącznie na cele leżące w interesie publicznym.

Może to dotyczyć między innymi:

• badań naukowych,
• ochrony zdrowia,
• przeciwdziałania zmianom klimatu,
• rozwoju usług publicznych,
• tworzenia statystyk publicznych.

Organizacje spełniające wymagania określone w DGA mogą dobrowolnie zarejestrować się w krajowym rejestrze prowadzonym przez Prezesa UODO i uzyskać status: „Uznanej w Unii organizacji altruizmu danych”.

Rejestracja obowiązuje na terenie całej Unii Europejskiej i uprawnia do posługiwania się wspólnym oznaczeniem oraz logo.

Dlaczego warto śledzić te zmiany?

Data Governance Act pokazuje, że europejskie regulacje dotyczące danych wchodzą w nowy etap. Ochrona danych osobowych pozostaje niezwykle ważna, jednak coraz większy nacisk kładziony jest również na bezpieczne, transparentne i odpowiedzialne wykorzystywanie danych.

To kierunek, który będzie miał znaczenie nie tylko dla dużych organizacji, ale również dla przedsiębiorców rozwijających nowe technologie, startupów, podmiotów publicznych oraz wszystkich organizacji, które w swojej działalności opierają się na wymianie i przetwarzaniu danych.

Ponad 26 tysięcy kary nałożył PUODO na osobę, która nie wykonała jego decyzji i nie zaprzestała przetwarzania danych osobowych z użyciem monitoringu wizyjnego.

Problemem jednak nie okazały się same kamery, a lekceważenie decyzji organu nadzorczego.

Co wydarzyło się w tej sprawie?

Sąsiedzi złożyli skargę na właściciela jednej z posesji, dotyczącą monitoringu. Kamery obejmowały nie tylko teren prywatny, ale również drogę publiczną i sąsiednie nieruchomości. Ponadto urządzenia nagrywały nie tylko obraz, ale również dźwięk – przez całą dobę.

Po przeprowadzeniu postępowania Prezes UODO nakazał zmianę ustawienia kamer lub ich usunięcie w zakresie, w jakim naruszały prawa innych osób.

– Właściciel monitoringu miał siedem dni na usunięcie kamer lub zmianę ich usytuowania w taki sposób, by obejmowały tylko jego posesję. Nie wniósł skargi na decyzję Prezesa UODO do Wojewódzkiego Sądu Administracyjnego w Warszawie w związku z czym stała się ona prawomocna. Nie wykonał też decyzji organu nadzorczego, pomimo upomnienia ze strony UODO. Pisma z Urzędu nie były odbierane i po dwukrotnej awizacji – na podstawie art. 44 par. 4 k.p.a. – zostały uznane za doręczone adresatowi – czytamy na stronie www.uodo.gov.pl.

Niewykonanie decyzji wiązało się ze wszczęciem kolejnego postępowania administracyjnego i nałożeniem kary pieniężnej za nieprzestrzeganie nakazu nałożonego przez organ nadzorczy. W tym przypadku mowa jest o prawie półrocznym nieusprawiedliwionym stanie niewykonania nakazu PUODO. Kara wyniosła dokładnie 26 711zł a uchylenie się od jej zapłaty będzie skutkowało egzekucją przez Urząd Skarbowy, a co za tym idzie zajęcie wynagrodzenia, rachunków bankowych, czy innych składników majątku.

Ta decyzja UODO jest kolejnym przypomnieniem, że RODO nie zakazuje monitoringu, ale wymaga, aby był on stosowany zgodnie z zasadami legalności, proporcjonalności i minimalizacji danych.

Jako Inspektorzy Ochrony Danych zawsze powtarzamy, że najlepszy monitoring to taki, którego zakres został dobrze przemyślany. Kamery nie powinny być pierwszym wyborem, lecz rozwiązaniem stosowanym wyłącznie wtedy, gdy jest to rzeczywiście konieczne i odpowiednio uzasadnione.

W przeciwnym razie monitoring zamiast zwiększać bezpieczeństwo może stać się źródłem naruszeń prawa i kosztownych konsekwencji dla administratora.

Potrzebujesz wsparcia we wdrożeniu RODO? Lub chcesz sprawdzić, czy korzystasz z monitoringu zgodnie z prawem? Skontaktuj się z nami! TUTAJ.

Cyberprzestępcy nie omijają małych firm. Wręcz przeciwnie 

Podczas rozmów z przedstawicielami sektora MŚP często słyszymy, że cyberprzestępcy koncentrują swoją uwagę głównie na dużych firmach. Badanie Mastercard pokazuje całkiem odwrotny trend. MŚP jest obecnie jednym z najatrakcyjniejszych celów dla cyberprzestępców. Dlaczego? Zasada jest prosta, otóż firmy dysponują cennymi danymi, środkami finansowymi, czy dostępami do systemów partnerów, a jednocześnie posiadają znacznie słabsze zabezpieczenia niż większe organizacje.  

Skala problemu jest naprawdę alarmująca. Aż 25% właścicieli małych firm w Europie przyznaje, że ich przedsiębiorstwo było celem cyberoszustów. W Polsce odsetek ten wynosi 18%, co oznacza, że niemal co piąta firma zetknęła się bezpośrednio z próbą cyberataku. 

Najwyższe wskaźniki odnotowano w Irlandii (38%), Danii (35%) oraz Francji (29%), co pokazuje, że problem ma charakter paneuropejski i dotyka przedsiębiorstw niezależnie od wielkości rynku czy poziomu rozwoju gospodarki. 

– Według badania Mastercard, 11% ankietowanych europejskich przedsiębiorców twierdzi, że straciło pieniądze w wyniku cyberoszustw, podczas gdy 9% badanych doświadczyło utraty klientów po tym, jak ich firma stała się celem ataków. W Polsce odsetek ten wyniósł odpowiednio 7% i 13%. Skutki oszustw odczuwalne są nie tylko przez firmy, których dotyczyły one bezpośrednio, lecz także przez ich partnerów, klientów i cały ekosystem biznesowy. Aż 44% ankietowanych właścicieli polskich firm przyznaje, że choć sami nie zostali ofiarami ataków, znają innych przedsiębiorców, którzy doświadczyli takich incydentów – czytamy w analizie badania przeprowadzonej przez Mastercard. 

Cyberataki stają się realnym zagrożeniem dla przetrwania biznesu 

Jednym z najbardziej niepokojących wniosków płynących z badania jest fakt, że aż 25% polskich przedsiębiorców obawia się, że ich firma mogłaby nie przetrwać poważnego cyberataku. To pokazuje, że cyberbezpieczeństwo przestało być wyłącznie problemem działów IT, a stało się kwestią ciągłości działania przedsiębiorstwa. 

Obawy te nie są bezpodstawne. Skuteczny atak może prowadzić do: 

• utraty danych klientów, 

• wycieku informacji handlowych, 

• przestojów operacyjnych, 

• utraty reputacji, 

• kar regulacyjnych związanych z ochroną danych, 

• utraty kontrahentów i klientów. 
   

Polskie MŚP mają świadomość zagrożeń, ale brakuje im wiedzy 

Pomimo rosnącej liczby incydentów cyberbezpieczeństwa przedsiębiorcy nadal nie czują się odpowiednio przygotowani do obrony przed zagrożeniami. 

Według badania: 

• 82% właścicieli małych firm w Polsce uważa, że ich wiedza dotycząca cyberbezpieczeństwa jest niewystarczająca, 

• 48% nie wie, jak skutecznie chronić swoją firmę przed cyberatakami, 

• 79% przyznaje, że obawy związane z cyberprzestępczością hamują rozwój ich działalności. 
   

To jedne z najwyższych wskaźników w Europie. Wyniki pokazują wyraźnie, że przedsiębiorcy dostrzegają problem, jednak często nie posiadają kompetencji ani zasobów niezbędnych do wdrożenia skutecznych zabezpieczeń. 

Cyberbezpieczeństwo jako element strategii biznesowej 
 

Wyniki badań Mastercard pokazują jednoznacznie, że cyberataki nie są już problemem wyłącznie dużych korporacji. Co czwarta mała firma w Polsce doświadczyła już incydentu bezpieczeństwa, a jedna czwarta przedsiębiorców obawia się, że poważny cyberatak mógłby doprowadzić do upadku ich biznesu. Jednocześnie ponad 80% właścicieli MŚP przyznaje, że nie posiada wystarczającej wiedzy w zakresie ochrony przed cyberzagrożeniami. 

Dla współczesnych przedsiębiorstw cyberbezpieczeństwo nie jest już kosztem technologicznym. To inwestycja w ciągłość działania, zaufanie klientów i długoterminową stabilność biznesu. Firmy, które odpowiednio wcześnie wdrożą podstawowe mechanizmy ochrony i edukacji pracowników, będą znacznie lepiej przygotowane na rosnącą falę cyberzagrożeń. 
 
Potrzebujesz wsparcia w zabezpieczeniu Twojej firmy lub organizacji szkoleń? Poznaj nasz zespół z obszaru prawa, rodo i cyberbezpieczeństwa  i skontaktuj się z nami! 

Źródło danych: badanie przeprowadzone przez MASTERCARD.COM

Prezes UODO nałożył karę administracyjną w wysokości 7 700 zł na Burmistrza Miasta i Gminy Myślenice za naruszenie RODO związane z publikacją niezanonimizowanej petycji w Biuletynie Informacji Publicznej.

Choć sama wysokość sankcji może wydawać się relatywnie niewielka, znaczenie tej decyzji jest znacznie szersze niż wymiar finansowy. To kolejny wyraźny sygnał ze strony organu nadzorczego, że nawet „pozornie incydentalne” błędy organizacyjne mogą prowadzić do odpowiedzialności administracyjnej — szczególnie wtedy, gdy administrator błędnie oceni obowiązki wynikające z RODO po wystąpieniu incydentu.

Sprawa dotyczyła ujawnienia danych osobowych 749 osób popierających petycję. Opublikowany dokument zawierał m.in.:
• imiona i nazwiska,
• adresy zamieszkania,
• wzory podpisów.

Plik pozostawał publicznie dostępny przez kilkanaście dni.

Administrator argumentował, że doszło do niezamierzonego błędu, który został następnie skorygowany poprzez podmianę pliku. Podnosił również, że pracownikom nie można przypisać działania celowego czy świadomego naruszenia prawa.

Jednak z perspektywy RODO okoliczność „braku zamiaru” ma znaczenie ograniczone.

RODO opiera się bowiem na zasadzie rozliczalności (accountability), zgodnie z którą administrator musi być w stanie wykazać, że wdrożył skuteczne środki organizacyjne i techniczne zapewniające zgodność przetwarzania z przepisami. Organ nadzorczy bada więc nie tylko sam incydent, ale również jakość procesów bezpieczeństwa funkcjonujących u administratora.

Kluczowym elementem tej sprawy okazał się jednak nie tylko sam fakt ujawnienia danych, ale również brak zgłoszenia naruszenia ochrony danych osobowych do Prezesa UODO.

Administrator uznał, że incydent nie wymaga notyfikacji do organu nadzorczego. Prezes UODO zajął jednak odmienne stanowisko i przypomniał bardzo ważną zasadę interpretacyjną: wyjątek zwalniający z obowiązku zgłoszenia naruszenia należy interpretować wąsko.

Innymi słowy — brak obowiązku zgłoszenia istnieje wyłącznie wtedy, gdy administrator jest w stanie wykazać, że ryzyko naruszenia praw lub wolności osób fizycznych jest praktycznie nieistniejące.

W tej sprawie trudno było mówić o „braku ryzyka”, skoro publicznie udostępniono:
• dane identyfikacyjne,
• adresy zamieszkania,
• wzory podpisów,
• dane dużej grupy osób,
• w publicznie dostępnej przestrzeni internetowej.

To bardzo ważny sygnał dla praktyki compliance.

W wielu organizacjach nadal funkcjonuje błędne przekonanie, że skoro incydent został szybko usunięty albo był wynikiem omyłki, to zgłoszenie do Prezesa UODO nie jest konieczne. Tymczasem obowiązek notyfikacji zależy przede wszystkim od oceny ryzyka dla osób, których dane dotyczą — a nie od intencji administratora czy czasu reakcji.

Co istotne, Prezes UODO wskazał również, że administrator — mimo wezwania organu nadzorczego — nie zmienił swojego stanowiska w zakresie obowiązku zgłoszenia naruszenia. Do momentu wydania decyzji incydent nadal nie został formalnie zgłoszony.

W praktyce to właśnie ten element mógł mieć istotny wpływ na decyzję o nałożeniu administracyjnej kary pieniężnej.

Decyzja pokazuje również rosnące znaczenie dokumentowania procesu oceny ryzyka po incydencie. Samo przeprowadzenie analizy nie wystarcza. Administrator musi być w stanie wykazać:
• jakie okoliczności zostały ocenione,
• jakie ryzyka zidentyfikowano,
• dlaczego podjęto decyzję o zgłoszeniu albo o jego braku,
• jakie działania naprawcze wdrożono.

To właśnie praktyczny wymiar zasady rozliczalności.

Warto zwrócić uwagę, że Prezes UODO podkreślił również szczególną rolę podmiotów publicznych. Organ wskazał, że jednostki samorządu terytorialnego — jako podmioty wykonujące zadania publiczne — powinny odznaczać się podwyższonym standardem znajomości i stosowania prawa.

W praktyce oznacza to, że sektor publiczny nie może tłumaczyć naruszeń wyłącznie „błędem ludzkim”. Organ oczekuje istnienia procedur, mechanizmów kontroli publikacji dokumentów oraz skutecznych procesów minimalizujących ryzyko ujawnienia danych.

Kwota 7 700 zł nie jest w tej sprawie najważniejsza. Znacznie istotniejsze jest stanowisko Prezesa UODO, zgodnie z którym:
• przypadkowa publikacja danych nadal pozostaje naruszeniem RODO,
• brak zgłoszenia naruszenia może stanowić odrębne naruszenie przepisów,
• administrator ma obowiązek aktywnie wykazywać prawidłowość swojej analizy ryzyka,
• podmioty publiczne podlegają szczególnie wysokim standardom zgodności.

To kolejna decyzja pokazująca, że współczesny compliance w obszarze ochrony danych osobowych nie kończy się na usunięciu błędnie opublikowanego pliku. Decydujące znaczenie ma dziś sposób zarządzania incydentem, udokumentowanie procesu decyzyjnego oraz zdolność administratora do wykazania zgodności z zasadą rozliczalności.

Media społecznościowe sprawiły, że granica pomiędzy dokumentowaniem rzeczywistości a naruszaniem prywatności staje się coraz bardziej płynna. Coraz częściej publikowane są nagrania interwencji służb, kontroli drogowych czy sytuacji konfliktowych. Wiele osób wychodzi z założenia, że skoro zdarzenie miało miejsce w przestrzeni publicznej, można bez ograniczeń udostępniać je dalej w internecie.

Tymczasem najnowszy wyrok Sądu Okręgowego w Warszawie pokazuje wyraźnie:
nagrywanie interwencji policji może być legalne, ale publikacja wizerunku funkcjonariusza już niekoniecznie.

Sprawa kontroli drogowej w Warszawie

Sprawa dotyczyła kontroli drogowej przeprowadzonej przez funkcjonariusza Wydziału Ruchu Drogowego Komendy Stołecznej Policji. Kierująca pojazdem poruszała się z prędkością 171 km/h przy ograniczeniu do 80 km/h.

Podczas interwencji pasażer pojazdu nagrywał przebieg czynności służbowych, w tym wizerunek policjanta. Problem pojawił się jednak w momencie publikacji materiału w mediach społecznościowych.

Jak wskazywały relacje policji, funkcjonariusz wyraźnie nie wyraził zgody na rozpowszechnianie swojego wizerunku. Mimo to nagranie zostało opublikowane w sieci i — zgodnie z zapowiedzią autora — miało trafić do tysięcy odbiorców.

Sprawa zakończyła się procesem cywilnym.

Wizerunek funkcjonariusza także podlega ochronie

Sąd Okręgowy w Warszawie jednoznacznie podkreślił, że policjant wykonujący codzienne obowiązki służbowe nie staje się automatycznie „osobą powszechnie znaną”.

To bardzo istotne rozróżnienie.

Zgodnie z art. 81 ustawy o prawie autorskim i prawach pokrewnych rozpowszechnianie wizerunku osoby fizycznej co do zasady wymaga jej zgody — chyba że zachodzą szczególne wyjątki przewidziane przez przepisy.

Sąd wskazał, że:

• funkcjonariusz realizujący standardowe czynności służbowe nie traci prawa do ochrony swojego wizerunku,
• publikacja nagrania bez anonimizacji może naruszać dobra osobiste,
• „tworzenie contentu” kosztem czyjegoś wizerunku może prowadzić do odpowiedzialności cywilnej.

10 tysięcy złotych kary i obowiązek usunięcia nagrania

Konsekwencje dla autora publikacji okazały się bardzo konkretne.

Sąd nakazał:

• usunięcie materiału z platform internetowych,
• publikację przeprosin,
• zapłatę 10 000 zł zadośćuczynienia.

Wyrok ma charakter nie tylko represyjny, ale również edukacyjny. Pokazuje, że internet i media społecznościowe nie są przestrzenią „bez prawa”.

Nagrywanie interwencji a publikacja w internecie — to nie to samo

W praktyce bardzo często mylone są dwa pojęcia:

• rejestrowanie przebiegu interwencji,
• publiczne rozpowszechnianie nagrania.

Obywatel ma prawo dokumentować działania służb — szczególnie gdy materiał może stanowić dowód w postępowaniu lub zabezpieczenie własnych praw.

Jednak publikacja materiału:

• bez anonimizacji twarzy,
• bez podstawy prawnej,
• bez zgody osoby widocznej na nagraniu

może już prowadzić do naruszenia prawa.

Co ma do tego RODO?

Choć sprawa była rozpatrywana przede wszystkim w kontekście ochrony dóbr osobistych i prawa do wizerunku, warto pamiętać, że wizerunek osoby fizycznej może również stanowić dane osobowe.

Jeżeli nagranie:

• pozwala zidentyfikować konkretną osobę,
• jest publikowane w sposób systematyczny,
• trafia do szerokiego grona odbiorców,

to pojawiają się również kwestie związane z:

• legalnością przetwarzania danych,
• zasadą minimalizacji,
• adekwatnością publikacji,
• odpowiedzialnością administratora publikującego materiał.

W praktyce coraz więcej organizacji, firm i osób prowadzących profile społecznościowe powinno zadawać sobie pytanie nie tylko:

„Czy mogę to nagrać?”

ale przede wszystkim:

„Czy mogę to legalnie opublikować?”

Media społecznościowe nie zwalniają z odpowiedzialności

Dzisiejszy internet premiuje emocje, zasięgi i szybkie reakcje. Jednak prawo nadal obowiązuje — również w świecie rolek, relacji i viralowych filmów.

Publikacja czyjegoś wizerunku bez anonimizacji może skutkować:

• odpowiedzialnością cywilną,
• roszczeniami o naruszenie dóbr osobistych,
• obowiązkiem usunięcia materiału,
• konsekwencjami finansowymi,
• a w określonych przypadkach również problemami na gruncie ochrony danych osobowych.

Wnioski dla firm i organizacji

Sprawa warszawskiej kontroli drogowej to ważny sygnał także dla biznesu.

Nagrania z:

• monitoringu,
• wydarzeń firmowych,
• szkoleń,
• interwencji,
• obsługi klienta,
• social mediów

powinny być analizowane nie tylko pod kątem marketingowym, ale również prawnym i compliance.

W erze cyfrowej odpowiedzialność za publikację treści jest realna — i coraz częściej egzekwowana.

---

Potrzebujesz wsparcia w zakresie RODO, ochrony wizerunku i compliance?

W ODO Szkolenia pomagamy organizacjom wdrażać praktyczne procedury związane z:

• ochroną danych osobowych,
• politykami publikacji wizerunku,
• bezpieczeństwem informacji,
• compliance w mediach społecznościowych,
• szkoleniami dla pracowników i kadry zarządzającej.

RODO to nie dokument. To system działania firmy.

W związku z wejściem w życie nowych kompetencji Państwowej Inspekcji Pracy coraz częściej pojawiają się pytania ze strony pracodawców dotyczące zakresu uprawnień kontrolnych oraz ich relacji do przepisów o ochronie danych osobowych.

Wątpliwości koncentrują się przede wszystkim wokół kwestii dostępu do dokumentacji pracowniczej oraz możliwości prowadzenia czynności kontrolnych w formie zdalnej.

Z perspektywy praktyki compliance warto te kwestie uporządkować.

Zakres nowych kompetencji PIP

Zmiany legislacyjne wzmacniają kompetencje PIP w obszarze kontroli prawidłowości zatrudnienia, w szczególności w zakresie:

• weryfikacji umów cywilnoprawnych,
• przeciwdziałania zastępowaniu umów o pracę innymi formami zatrudnienia,
• egzekwowania minimalnych standardów zatrudnienia.

Kluczową zmianą jest przyznanie PIP uprawnienia do wydawania decyzji administracyjnych prowadzących do ustalenia istnienia stosunku pracy w sytuacjach, w których umowa cywilnoprawna została zawarta w warunkach charakterystycznych dla stosunku pracy .

Jednocześnie przewidziano rozszerzenie możliwości wymiany danych pomiędzy organami publicznymi, w tym z ZUS oraz KAS, co istotnie zwiększa efektywność działań kontrolnych .

Kontrola dokumentów – również w formie elektronicznej

W praktyce nowe kompetencje oznaczają, że inspektor pracy może żądać udostępnienia dokumentów nie tylko w formie tradycyjnej, ale również elektronicznej. Nie oznacza to jednak nieograniczonego dostępu do systemów informatycznych pracodawcy. Kontrola nadal odbywa się w ramach określonych procedur, a zakres żądania dokumentów musi pozostawać w związku z przedmiotem kontroli.

RODO a uprawnienia inspektora pracy

Nowe kompetencje PIP nie zmieniają jednego: administratorem danych osobowych pozostaje pracodawca. Przekazanie danych inspektorowi pracy nie opiera się na zgodzie pracownika, lecz wynika z realizacji obowiązku prawnego ciążącego na pracodawcy.

Podstawą prawną takiego działania jest w szczególności:

• art. 6 ust. 1 lit. c RODO – czyli przetwarzanie niezbędne do wypełnienia obowiązku prawnego,
• przepisy ustawy z dnia 13 kwietnia 2007 r. o Państwowej Inspekcji Pracy oraz regulacje prawa pracy.

Warto doprecyzować, że w przypadku organu publicznego, jakim jest PIP, podstawą przetwarzania danych po jego stronie będzie co do zasady art. 6 ust. 1 lit. e RODO, odnoszący się do realizacji zadania w interesie publicznym. Natomiast po stronie pracodawcy, który udostępnia dane w toku kontroli, właściwą podstawą pozostaje najczęściej art. 6 ust. 1 lit. c RODO.

W związku z tym:

Przepisy dotyczące ochrony danych osobowych nie stanowią podstawy do odmowy udostępnienia dokumentów inspektorowi pracy.

Inspektorzy pracy działają na podstawie ustawy o Państwowej Inspekcji Pracy, która przyznaje im wyraźne uprawnienie do:

• żądania przedłożenia akt osobowych,
• wglądu do wszelkich dokumentów związanych z zatrudnianiem pracowników.

Oznacza to, że przekazanie danych osobowych w toku kontroli ma wyraźną podstawę prawną i mieści się w obowiązkach pracodawcy.

Granice udostępniania danych

W tym kontekście kluczowe znaczenie mają podstawowe zasady przetwarzania danych wynikające z art. 5 RODO, w szczególności zasada minimalizacji danych, ograniczenia celu oraz rozliczalności. Zasada minimalizacji oznacza, że zakres udostępnianych informacji powinien być adekwatny i ograniczony wyłącznie do tego, co jest niezbędne dla realizacji celu kontroli. Pracodawca nie powinien przekazywać danych „na zapas” ani w szerszym zakresie, niż wynika to z żądania inspektora i charakteru postępowania. Z kolei zasada ograniczenia celu wymaga, aby dane były przetwarzane wyłącznie w jasno określonym celu – w tym przypadku w związku z realizacją czynności kontrolnych przez Państwową Inspekcję Pracy. Oznacza to, że zarówno zakres żądania, jak i sposób wykorzystania danych musi pozostawać w bezpośrednim związku z przedmiotem kontroli.

Istotna jest również zasada rozliczalności, która nakłada na pracodawcę obowiązek wykazania, że przetwarzanie danych – w tym ich udostępnienie organowi – odbywa się zgodnie z przepisami. W praktyce oznacza to konieczność posiadania odpowiednich procedur, dokumentowania działań oraz zapewnienia kontroli nad tym, jakie dane, komu i w jakim zakresie zostały przekazane.

W praktyce oznacza to konieczność posiadania procedur pozwalających na sprawne i zgodne z prawem przekazanie dokumentacji.

---

Konsekwencje dla organizacji

Nowe kompetencje PIP oznaczają istotną zmianę podejścia do kontroli.

Dotychczasowe środki, takie jak wystąpienia czy kierowanie spraw do sądu, były oceniane jako niewystarczająco efektywne. Nowe rozwiązania mają na celu zwiększenie realnej skuteczności egzekwowania przepisów prawa pracy .

W praktyce oznacza to, że:

• kontrola staje się bardziej bezpośrednia i skuteczna,
• większe znaczenie ma faktyczny sposób wykonywania pracy, a nie tylko treść dokumentów,
• ryzyko zakwestionowania formy zatrudnienia istotnie rośnie.

Z perspektywy pracodawcy kluczowe staje się nie tylko posiadanie dokumentacji, ale przede wszystkim jej zgodność z rzeczywistym sposobem organizacji pracy. To właśnie ten element będzie w najbliższym czasie podlegał najdokładniejszej weryfikacji.W związku z wejściem w życie nowych kompetencji Państwowej Inspekcji Pracy coraz częściej pojawiają się pytania ze strony pracodawców dotyczące zakresu uprawnień kontrolnych oraz ich relacji do przepisów o ochronie danych osobowych.

Wątpliwości koncentrują się przede wszystkim wokół kwestii dostępu do dokumentacji pracowniczej oraz możliwości prowadzenia czynności kontrolnych w formie zdalnej.

Z perspektywy praktyki compliance warto te kwestie uporządkować.

Zakres nowych kompetencji PIP

Zmiany legislacyjne wzmacniają kompetencje PIP w obszarze kontroli prawidłowości zatrudnienia, w szczególności w zakresie:

• weryfikacji umów cywilnoprawnych,
• przeciwdziałania zastępowaniu umów o pracę innymi formami zatrudnienia,
• egzekwowania minimalnych standardów zatrudnienia.

Kluczową zmianą jest przyznanie PIP uprawnienia do wydawania decyzji administracyjnych prowadzących do ustalenia istnienia stosunku pracy w sytuacjach, w których umowa cywilnoprawna została zawarta w warunkach charakterystycznych dla stosunku pracy .

Jednocześnie przewidziano rozszerzenie możliwości wymiany danych pomiędzy organami publicznymi, w tym z ZUS oraz KAS, co istotnie zwiększa efektywność działań kontrolnych .

Kontrola dokumentów – również w formie elektronicznej

W praktyce nowe kompetencje oznaczają, że inspektor pracy może żądać udostępnienia dokumentów nie tylko w formie tradycyjnej, ale również elektronicznej. Nie oznacza to jednak nieograniczonego dostępu do systemów informatycznych pracodawcy. Kontrola nadal odbywa się w ramach określonych procedur, a zakres żądania dokumentów musi pozostawać w związku z przedmiotem kontroli.

RODO a uprawnienia inspektora pracy

Administratorem danych osobowych pozostaje pracodawca. Przekazanie danych inspektorowi pracy nie opiera się na zgodzie pracownika, lecz wynika z realizacji obowiązku prawnego ciążącego na pracodawcy.

Podstawą prawną takiego działania jest w szczególności:

• art. 6 ust. 1 lit. c RODO – czyli przetwarzanie niezbędne do wypełnienia obowiązku prawnego,
• przepisy ustawy z dnia 13 kwietnia 2007 r. o Państwowej Inspekcji Pracy oraz regulacje prawa pracy.

Warto doprecyzować, że w przypadku organu publicznego, jakim jest PIP, podstawą przetwarzania danych po jego stronie będzie co do zasady art. 6 ust. 1 lit. e RODO, odnoszący się do realizacji zadania w interesie publicznym. Natomiast po stronie pracodawcy, który udostępnia dane w toku kontroli, właściwą podstawą pozostaje najczęściej art. 6 ust. 1 lit. c RODO.

W związku z tym:

Przepisy dotyczące ochrony danych osobowych nie stanowią podstawy do odmowy udostępnienia dokumentów inspektorowi pracy.

Inspektorzy pracy działają na podstawie ustawy o Państwowej Inspekcji Pracy, która przyznaje im wyraźne uprawnienie do:

• żądania przedłożenia akt osobowych,
• wglądu do wszelkich dokumentów związanych z zatrudnianiem pracowników.

Oznacza to, że przekazanie danych osobowych w toku kontroli ma wyraźną podstawę prawną i mieści się w obowiązkach pracodawcy.

Granice udostępniania danych

W tym kontekście kluczowe znaczenie mają podstawowe zasady przetwarzania danych wynikające z art. 5 RODO, w szczególności zasada minimalizacji danych, ograniczenia celu oraz rozliczalności. Zasada minimalizacji oznacza, że zakres udostępnianych informacji powinien być adekwatny i ograniczony wyłącznie do tego, co jest niezbędne dla realizacji celu kontroli. Pracodawca nie powinien przekazywać danych „na zapas” ani w szerszym zakresie, niż wynika to z żądania inspektora i charakteru postępowania. Z kolei zasada ograniczenia celu wymaga, aby dane były przetwarzane wyłącznie w jasno określonym celu – w tym przypadku w związku z realizacją czynności kontrolnych przez Państwową Inspekcję Pracy. Oznacza to, że zarówno zakres żądania, jak i sposób wykorzystania danych musi pozostawać w bezpośrednim związku z przedmiotem kontroli.

Istotna jest również zasada rozliczalności, która nakłada na pracodawcę obowiązek wykazania, że przetwarzanie danych – w tym ich udostępnienie organowi – odbywa się zgodnie z przepisami. W praktyce oznacza to konieczność posiadania odpowiednich procedur, dokumentowania działań oraz zapewnienia kontroli nad tym, jakie dane, komu i w jakim zakresie zostały przekazane.

W praktyce oznacza to konieczność posiadania procedur pozwalających na sprawne i zgodne z prawem przekazanie dokumentacji.

---

Konsekwencje dla organizacji

Nowe kompetencje PIP oznaczają istotną zmianę podejścia do kontroli.

Dotychczasowe środki, takie jak wystąpienia czy kierowanie spraw do sądu, były oceniane jako niewystarczająco efektywne. Nowe rozwiązania mają na celu zwiększenie realnej skuteczności egzekwowania przepisów prawa pracy .

W praktyce oznacza to, że:

• kontrola staje się bardziej bezpośrednia i skuteczna,
• większe znaczenie ma faktyczny sposób wykonywania pracy, a nie tylko treść dokumentów,
• ryzyko zakwestionowania formy zatrudnienia istotnie rośnie.

Z perspektywy pracodawcy kluczowe staje się nie tylko posiadanie dokumentacji, ale przede wszystkim jej zgodność z rzeczywistym sposobem organizacji pracy. To właśnie ten element będzie w najbliższym czasie podlegał najdokładniejszej weryfikacji.

Potrzebujesz wsparcia we wdrożeniu RODO? Skontaktuj się nami lub umów na bezpłatny audyt RODO – 30 kwietnia 2026r. – tutaj znajdziesz zapisy! podczas którego możemy omówić równiez wejście w życie nowych kompetencji PIP!

Strategia Cyberbezpieczeństwa na lata 2025-2029 przyjęta. Rada Ministrów podjęła tym samym 10 marca 2026 roku kluczową decyzję dla bezpieczeństwa narodowego. Dokument ten zastępuje poprzednią strategię, która wygasła z końcem 2024 roku, i stanowi fundament dla budowy odpornego cyfrowo państwa w obliczu rosnącej agresji w cyberprzestrzeni. Jak podkreślił wicepremier Krzysztof Gawkowski, bezpieczeństwo w internecie stało się obecnie polską racją stanu.

Nowy fundament prawny i organizacyjny

Strategia jest ściśle powiązana z niedawną nowelizacją ustawy o Krajowym Systemie Cyberbezpieczeństwa, która wdraża unijną dyrektywę NIS2. Polska, plasująca się w czołówce najczęściej atakowanych krajów Europy, stawia na systemowe wzmocnienie ochrony.

Do najważniejszych zmian organizacyjnych i technicznych należą:

• Powołanie centralnej instytucji koordynującej: Ma ona powstać na bazie Połączonego Centrum Operacyjnego Cyberbezpieczeństwa (PCOC).
• Rozwój systemu S46: To zaawansowane narzędzie teleinformatyczne wspierające zgłaszanie i obsługę incydentów oraz wymianę informacji między uczestnikami systemu.
• Rozbudowa CSIRT-ów sektorowych: Planowane jest tworzenie nowych zespołów reagowania na incydenty w kluczowych sektorach gospodarki.
• Centrum Cyberbezpieczeństwa NASK: Strategia przewiduje utworzenie tej nowej jednostki w celu wzmocnienia potencjału analitycznego państwa.
• Ochrona Anty-DDoS: Rozszerzenie systemów ochrony przed atakami typu DDoS, szczególnie dla instytucji publicznych i Sił Zbrojnych RP.

Innowacje: Kryptografia postkwantowej i AI

Polska zamierza stać się jednym z liderów regionu w przygotowaniach na nadejście ery komputerów kwantowych. Strategia zawiera oficjalny harmonogram migracji do kryptografii postkwantowej, co ma chronić np. certyfikaty SSL przed złamaniem przez maszyny nowej generacji o ogromnej mocy obliczeniowej.

Ważnym, choć pełnym wyzwań obszarem, jest wykorzystanie sztucznej inteligencji. Choć AI oferuje nowe możliwości obrony, źródła wskazują na ryzyka takie jak deanonimizacja użytkowników czy wykorzystanie narzędzi AI przez hakerów do manipulacji (np. ataki typu „Sugar-Coated Poison”). Z tego powodu Strategia kładzie nacisk na rozwój własnych, suwerennych technologii i bezpieczeństwo łańcucha dostaw.

Bezpieczeństwo obywatela: SIM swapping i ochrona samorządów

Dla przeciętnego użytkownika kluczowe są inicjatywy uderzające w cyberprzestępczość finansową. Strategia zakłada walkę z tzw. SIM swappingiem – dzięki porozumieniu czterech największych operatorów w Polsce, banki zyskają nową tarczę chroniącą przed nieuprawnionym przejmowaniem kart SIM. Kontynuowane i rozwijane będą także programy takie jak „Cyberbezpieczny Samorząd” oraz „Cyberbezpieczne Wodociągi”, mające chronić infrastrukturę lokalną, z której korzystamy na co dzień.

Ochrona danych i prywatność: Kluczowy wkład PUODO

Niezwykle istotnym aspektem nowej strategii jest ochrona danych osobowych, co zostało podkreślone dzięki poprawkom zgłoszonym przez Prezesa Urzędu Ochrony Danych Osobowych (PUODO). Organ ten aktywnie uczestniczył w procesie tworzenia dokumentu, stojąc na straży praw i wolności obywateli.

Zgodnie z postulatami PUODO, strategia kładzie silny nacisk na:

• Podejście oparte na ryzyku: Konieczność przeprowadzania „testów prywatności” i analiz ryzyka już na etapie projektowania nowych przepisów i systemów IT.
• Ochronę rejestrów publicznych: Rewizję rejestrów, w których numer PESEL jest jawny (np. księgi wieczyste), co uznano za poważne cyberzagrożenie.
• Bezpieczeństwo biometrii i AI: Uwzględnienie ryzyk związanych z kradzieżą tożsamości przy użyciu sztucznej inteligencji oraz powszechnym wykorzystaniem danych biometrycznych.

Wyzwania i kontrowersje

Mimo ambitnych planów, przed strategią stoją poważne przeszkody. Budżet na cyberochronę wzrósł do ok. 1 mld euro, jednak sytuację komplikuje fakt, że Prezydent Karol Nawrocki, podpisując nowelizację ustawy o KSC, skierował ją jednocześnie do Trybunału Konstytucyjnego.

Zastrzeżenia dotyczą m.in. instytucji „dostawcy wysokiego ryzyka”, co budzi opór części biznesu obawiającego się ograniczeń w korzystaniu ze sprzętu zagranicznych producentów. Ewentualny wyrok TK może wpłynąć na harmonogram wdrażania strategii, co w dynamicznym świecie cyberzagrożeń stanowi ryzyko, które państwo musi brać pod uwagę. Bez względu na to, przyjęcie Strategii do 2029 roku jest jasnym sygnałem, że Polska traktuje cyfrową obronę jako priorytet.

Źródła:
1. Urząd Ochrony Danych Osobowych, „Projekt Strategii Cyberbezpieczeństwa – Uwagi PUODO”, 04.02.2025.

2. Ministerstwo Cyfryzacji, „Nowa strategia cyberbezpieczeństwa. Polska wzmacnia ochronę przed cyberatakami”, Portal Gov.pl, 10.03.2026.

3. Prawo.pl, „Rząd przyjął Strategię Cyberbezpieczeństwa na lata 2025–2029”, Robert Horbaczewski, 11.03.2026.

Jako eksperci RODO często powtarzamy naszym klientom: ochrona danych to przede wszystkim procesy i ich rzetelna dokumentacja. Najnowsza decyzja Prezesa Urzędu Ochrony Danych Osobowych dotycząca spółki DPD Polska jest bolesnym, ale niezwykle pouczającym potwierdzeniem tej tezy.

Łączna kara dla DPD Polska w wysokości ponad 11 mln zł to jasny sygnał dla rynku – „skróty” w obszarze umów powierzenia i upoważnień mogą kosztować fortunę.

Gdzie leżał problem? Dwa kluczowe uchybienia

Postępowanie PUODO, wszczęte po kontroli w siedzibie spółki, wykazało naruszenia w dwóch fundamentalnych obszarach: relacjach z podwykonawcami oraz wewnętrznym systemie upoważnień.

1. Transport to przetwarzanie: brak umów powierzenia (Art. 28 RODO)

Spółka korzystała z usług zewnętrznych przewoźników (tzw. LNH) do transportu przesyłek między oddziałami. Argumentacja DPD była ryzykowna: twierdzono, że sam przewóz paczek nie wiąże się z przetwarzaniem danych osobowych.

To klasyczny błąd interpretacyjny. Przewoźnicy brali udział w załadunku i rozładunku, mając bezpośredni dostęp do etykiet adresowych (imiona, nazwiska, adresy, numery telefonów). Co więcej, transport odbywał się pojazdami, nad którymi kontrolę sprawowali przewoźnicy, a nie administrator.

• Werdykt PUODO: Naruszenie art. 28 ust. 3 RODO.
• Kara: 6,251 mln zł.

2. „Automatyczne” upoważnienia, które nie istnieją (Art. 29 i 32 RODO)

Spółka wdrożyła system, w którym po zaliczeniu testu na platformie e-learningowej, system generował plik mający być upoważnieniem. Plik ten nie zawierał jednak imienia i nazwiska pracownika ani podpisu osoby uprawnionej do nadawania upoważnień.

Z punktu widzenia rozliczalności, taki dokument jest bezwartościowy. Upoważnienie musi być jasnym oświadczeniem woli administratora. Automatycznie wygenerowana „ogólnikowa formułka” nie spełnia wymogów bezpieczeństwa organizacyjnego. Spółka nie przestrzegała przy tym własnej polityki ochrony danych.

• Werdykt PUODO: Naruszenie art. 32 ust. 4, art. 29 oraz art. 24 ust. 2 RODO.
• Kara: 5,209 mln zł.

---

Lekcje dla Twojej firmy – checklisty eksperta ODO

Aby uniknąć losu DPD Polska, każdy Administrator Danych Osobowych powinien zweryfikować swoje procesy pod kątem następujących punktów:

W relacjach z kontrahentami:

• Zasada ograniczonego zaufania do definicji usługi: Jeśli Twój kontrahent ma choćby potencjalny wgląd w dane (nawet na etykietach czy listach przewozowych), musisz zawrzeć umowę powierzenia.
• Audyt łańcucha dostaw: Sprawdź, kto fizycznie operuje na danych. Czy są to Twoi pracownicy, czy personel zewnętrzny?

Wewnątrz organizacji:

• Realne upoważnienia: upewnij się, że każde upoważnienie zawiera dane identyfikacyjne pracownika i czytelny podpis (lub kwalifikowany podpis elektroniczny) osoby uprawnionej.
• Zgodność z własną Polityką: jeśli Twoja wewnętrzna procedura przewiduje konkretny sposób nadawania uprawnień, musisz go bezwzględnie przestrzegać. Martwe procedury to prosta droga do kary za brak rozliczalności.

Sprawa DPD pokazuje, że PUODO odchodzi od karania jedynie za wycieki danych (naruszenie poufności). Teraz pod lupą jest brak higieny procesowej. Ponad 11 milionów złotych kary za braki w dokumentacji to koszt, którego nie udźwignie wiele firm. RODO to nie tylko 'zgody marketingowe’, to przede wszystkim szczelny system powiązań prawnych z podmiotami, którym powierzamy paczkę z danymi naszych klientów.

---

Czy Twoja firma zawarła umowy powierzenia ze wszystkimi dostawcami logistycznymi? Chętnie pomożemy Ci to zweryfikować.

Skontaktuj się z nami.

KSeF wdrożony. Co dalej z RODO i ochroną danych osobowych?

W dużych organizacjach Krajowy System e-Faktur (KSeF) już funkcjonuje. Pierwsze dni po wdrożeniu były intensywne – testy, poprawki, reagowanie na bieżące wyzwania operacyjne. Kurz po starcie powoli opada, a to najlepszy moment, aby na spokojnie przyjrzeć się jednemu z kluczowych obszarów: ochronie danych osobowych w KSeF.

Bo choć mówimy o tym od dawna, warto powiedzieć to wprost: analiza KSeF pod kątem RODO powinna być fundamentem całego wdrożenia, a nie dodatkiem „na później”.

---

Faktury ustrukturyzowane a dane osobowe – nowa rzeczywistość

Faktury ustrukturyzowane przesyłane przez KSeF zawierają dane osobowe, m.in. imię i nazwisko, adres czy NIP osób fizycznych prowadzących działalność gospodarczą. Dane te trafiają do centralnego systemu zarządzanego przez Ministerstwo Finansów, co w praktyce oznacza nowy model przetwarzania danych osobowych.

Z perspektywy RODO nie jest to jedynie zmiana techniczna, ale realna zmiana procesowa, która powinna znaleźć odzwierciedlenie w dokumentacji i procedurach wewnętrznych przedsiębiorcy.

---

KSeF a RODO – kluczowe obowiązki przedsiębiorcy

1. Nowy proces w Rejestrze Czynności Przetwarzania

KSeF to nowy proces przetwarzania danych osobowych. Powinien zostać ujęty w Rejestrze Czynności Przetwarzania, z uwzględnieniem zakresu danych, celu, podstawy prawnej oraz kategorii odbiorców.

2. Dwóch administratorów danych

W modelu KSeF występuje dwóch administratorów danych osobowych:

• przedsiębiorca – w zakresie wystawiania i odbierania faktur,
• Ministerstwo Finansów – jako podmiot zarządzający systemem KSeF.

Każdy z administratorów odpowiada za swoje działania i własne obowiązki wynikające z RODO.

3. Rejestr uprawnień do KSeF

Dostęp do KSeF powinien być ściśle kontrolowany. Konieczne jest prowadzenie rejestru uprawnień, który jasno wskazuje:

• kto ma dostęp do systemu,
• w jakim zakresie,
• na jakiej podstawie.

To jeden z kluczowych elementów zasady minimalizacji dostępu.

4. Bezpieczeństwo danych i rozliczalność

RODO wymaga nie tylko zabezpieczenia danych, ale również rozliczalności. W praktyce oznacza to:

• procedury reagowania na incydenty,
• szkolenia pracowników,
• realną analizę ryzyk, a nie tylko dokument „do szuflady”.

5. Umowy powierzenia przetwarzania

Jeżeli obsługę KSeF wspierają biura rachunkowe, dostawcy systemów IT lub inne podmioty zewnętrzne, konieczne jest zawarcie umów powierzenia przetwarzania danych osobowych – dostosowanych do rzeczywistych procesów.

---

Uniwersalna dokumentacja RODO? To się nie sprawdzi

W kontekście KSeF szczególnie wyraźnie widać, że kupiona „uniwersalna” dokumentacja RODO nie spełnia swojej roli. Każda organizacja:

• inaczej korzysta z KSeF,
• ma inną strukturę dostępu,
• inne ryzyka operacyjne.

Dokumentacja musi odpowiadać na realne procesy, a nie tylko formalnie „istnieć”.

---

To nie nowość – to konsekwencja

To, co dziś rekomendujemy po wdrożeniu KSeF, nie jest niczym nowym. Od miesięcy powtarzamy:

• zaktualizuj dokumentację przy wdrażaniu KSeF,
• zweryfikuj rzeczywiste procesy,
• sprawdź, kto faktycznie ma dostęp do systemu i czy rzeczywiście go potrzebuje.

Różnica polega na tym, że teraz masz przestrzeń na spokojne korekty, a nie działania pod presją kontroli lub incydentu naruszenia danych.

---

KSeF i RODO bez paniki – podejście praktyczne

W ODO pokazujemy, jak podejść do KSeF praktycznie, bez straszenia i bez chaosu, ale w pełnej zgodzie z RODO. Tak samo, jak robimy to podczas szkoleń i w codziennej współpracy z klientami.

Jeśli chcesz uporządkować kwestie RODO po wdrożeniu KSeF i mieć realne bezpieczeństwo, a nie tylko „papier”, skontaktuj się z nami TUTAJ.