Znajomość zasad ochrony danych osobowych, co działa w życiu codziennym
Artykuły, filmy, webinaria i listy kontrolne dotyczące RODO, zgodności z AI i NIS-2 – uzyskane w wyniku codziennej praktyki doradczej i możliwe do wdrożenia przy odpowiednim wysiłku.
Jeśli transmisja utraci dane osobowe, ryzyko dla osób, których to dotyczy, wzrasta. Co teraz muszą sprawdzić firmy.
autorstwa Cindy Stefanet• 27.09.2026
W nagłych wypadkach
Błąd danych nie jest w zasięgu ręki
Zgubiony laptop, błędnie adresowana e-mail z danymi klienta, udany atak phishingu na skrzynkę pocztową: jak tylko Twoja firma dowie się o naruszeniu ochrony danych osobowych, rozpoczyna się termin przewidziany w art. 33 RODO – 72 godziny na zgłoszenie organowi nadzorczemu, o ile istnieje ryzyko dla osób objętych ochroną. Decydujące jest, co zostało ustalone wcześniej: kto zgłasza naruszenie wewnątrz firmy, kto ocenia ryzyko, kto rozmawia z organem nadzorczym. Jeśli to zostanie ustalone dopiero w nagłym przypadku, stracone zostaną dokładnie te godziny.
Znane luki stają się ryzykiem, jeśli informacje bezpieczeństwa nie zostaną wdrożone.
autor: Jonas Buchholz• 02.09.2026
Z praktyki doradczej
Ochrona danych osobowych najczęściej zawodzi w życiu codziennym
Wymogi Ogólnego rozporządzenia o ochronie danych są już od 2018 roku stałe. To, co stale się zmienia, dotyczy także wszystkiego wokół: nowych narzędzi, nowych dostawców usług, nowych kompetencji, kolegów i koleżanek, którzy odchodzą i przychodzą. Właśnie tam pojawiają się luki. A nie w wykazie działań przetwarzania danych, ale między działem technicznym, który chce przetestować narzędzie, a działem IT, który dowiaduje się o tym, gdy narzędzie jest już wdrożone. Dlatego w naszych artykułach oprócz paragrafów poruszamy również procesy, które działają również wtedy, gdy nikt nie myśli o ochronie danych.
Coraz więcej firm stosuje technologię sztucznej inteligencji. To wymaga jasnych obowiązków i przejrzystych procesów.
autorstwa Jennifer Schülzky• 27.09.2026
Doradztwo w zakresie sztucznej inteligencji
KI jest w domu najczęściej już dawno, zanim ktoś go włącza.
W większości firm proces wykorzystania AI rozpoczyna się nie decyzją kierownictwa, ale przez osobne działania pracowników: chatbot do pierwszego opracowania, usługa transkrypcji do spotkania, narzędzie tłumaczeniowe do umowy. Dlatego kluczowym pytaniem nie jest to, który model jest najlepszy, ale jakie dane trafiają do domu i na jakiej podstawie prawnie jest to możliwe. Z Wami przeanalizujemy, które aplikacje są niekrytyczne, które wymagają regulacji i które należy pozostawić bez regulacji.
Czy mogę wciąż pytać o nazwisko w formularzu kontaktowym?
Tak. Europejski Trybunał Sprawiedliwości nie zakazał tego pytania, lecz ograniczył jego zakres. Obowiązkowe W przypadku gdy adresowanie nie jest niezbędne dla celów danego kontekstu, należy dobrowolnie pozostawić pole wyboru – lub je zignorować. Osoby, które chcą nawiązywać kontakt z wyrafinowanym stylem, mogą w razie potrzeby skorzystać z opcji dodatkowej, najlepiej w postaci otwartej prośby o podanie danych zamiast wyboru z dwóch opcji.
Co dokładnie orzekł Trybunał Sprawiedliwości Unii Europejskiej w dniu 9 stycznia 2025 roku?
W sprawie C-394/23 chodziło o francuski przewoźnik kolejowy, który zmuszał klientki i klientów do wybierania opcji „Herr“ i „Frau“ podczas dokonywania zakupów biletów online. Trybunał wyjaśnił, że w przypadku umowy przewozu zwyczajowo nie jest wymagane określanie płci. Takie obowiązkowe podawanie danych stanowi naruszenie zasady minimalizacji danych.
Co oznacza minimalizacja danych w rozumieniu art. 5 ust. 1 lit. c RODO w praktyce?
Muszą one zbierać wyłącznie te dane, które są niezbędne do konkretnego celu – nie te, które są przydatne, praktyczne lub historyczne. Miarą jest cel, a nie techniczna możliwość. Minimalizacja danych zaczyna się nie od usuwania, ale już w formularzu.
Jakie obszary obowiązkowe powinniśmy teraz sprawdzić?
Typowymi kandydatami są nazwisko, tytuł, numer telefonu, data urodzenia, adres pocztowy oraz branża i wielkość firmy. Sprawdź nie tylko formularz kontaktowy, ale także rejestrację i konto klienta, formularze aplikacyjne, rejestrację newslettera, portale wsparcia, system CRM oraz wewnętrzne arkusze rejestracyjne. Zasadą jest, że dla każdego wymagającego pola należy uzasadnić cel w jednym zdaniu.
Co się stanie, jeśli będziemy nadal wymagać podania nazwy jako obowiązkowego pola?
Zbiórka danych bez konieczności jest przetwarzaniem bez solidnego podstawy prawnej. Może to skutkować działaniami organów kontrolnych oraz karami pieniężnymi, a tym samym stwarzać roszczenia dla osób, których to dotyczy. W praktyce najczęściej liczy się koszt: im więcej niepotrzebnych pól wprowadza się, tym większe stają się obowiązki informacyjne, usuwania danych oraz dokumentowania.
Jak to zrealizować bez pogorszenia komunikacji z klientami?
W trzech krokach: Po pierwsze, skonsolidować wszystkie formularze i w każdym polu dokumentować cel ich wypełnienia. Po drugie, w przypadku gdy cel nie został spełniony, należy wyłączyć lub usunąć tę funkcję. Po trzecie, należy w standardowym procesie tworzenia nowych aplikacji uwzględnić wymóg ten, aby nie powtarzać tej samej bzdury. Z reguły wystarczający jest pełny adres e-mail.
Bezpłatna pierwsza konsultacja
Porada – bezpłatnie i bez zobowiązań
Zostaw swoje dane kontaktowe – odezwiemy się najszybciej, jak to możliwe.
Nowości w zakresie ochrony danych osobowych, bezpieczeństwa informacji i sztucznej inteligencji – kompaktowo i praktycznie.
Newsletter
Bądźcie na bieżąco
Ok. 6 wydania rocznie zawierające orzeczenia, wskazówki praktyczne oraz listy kontrolne dotyczące ochrony danych osobowych, bezpieczeństwa informacji i sztucznej inteligencji.
