Ostatnia aktualizacja: 17 sierpnia 2026
W lipcu 2026 roku Prezes UODO zwrócił uwagę na cztery główne obszary ryzyka: bezpieczeństwo poczty elektronicznej, korzystanie z nieautoryzowanych narzędzi komunikacji, nadzór nad podmiotami przetwarzającymi oraz granice prywatnego monitoringu. W tym zestawieniu opisujemy cztery sprawy, które zostały opublikowane lub szeroko omówione w branżowych materiałach z lipca. Pokazują one, że urząd kładzie nacisk na rozliczalność, analizę ryzyka i praktyczne wdrażanie środków technicznych i organizacyjnych.
W dwóch z tych spraw administratorzy danych otrzymali kary pieniężne, a w dwóch kolejnych – upomnienia. Każda sprawa dotyczyła innego modelu przetwarzania danych: pracy biurowej, sieci agencyjnej, ochrony zdrowia oraz monitoringu prowadzonego przez osobę prywatną. To ważny sygnał dla administratorów, inspektorów ochrony danych i działów compliance, że ryzyko regulacyjne obejmuje nie tylko duże wycieki, ale także codzienne praktyki, które często są postrzegane jako drobne kwestie techniczne.
Kancelaria podatkowa ukarana za słabe zabezpieczenia poczty
Organ wydający: Prezes UODO – Polska
Sprawa dotyczyła kancelarii podatkowej, w której osoba nieuprawniona uzyskała dostęp do służbowego konta e-mail jednego z pracowników. W skrzynce znajdowały się dane 111 podmiotów, w tym klientów, pracowników klientów, a także dzieci zgłoszonych do ubezpieczenia zdrowotnego; obejmowały one m.in. imiona i nazwiska, numery PESEL, dane o wynagrodzeniach, numery rachunków bankowych oraz dokumenty podatkowe i kadrowe. Administrator nie dysponował logami ani innymi narzędziami pozwalającymi ustalić, czy dane zostały pobrane przez nieuprawnioną osobę, jednak UODO uznał, że sam nieuprawniony dostęp już stanowi naruszenie ochrony danych osobowych. Organ wskazał również, że przed incydentem kancelaria nie miała odrębnych zasad ochrony danych, nie prowadziła właściwej analizy ryzyka i nie testowała regularnie skuteczności stosowanych zabezpieczeń.
Rozstrzygnięcie: administracyjna kara pieniężna w wysokości 11 594 zł.
Znaczenie praktyczne: Decyzja pokazuje, że nawet małe firmy muszą posiadać udokumentowaną analizę ryzyka, procedury bezpieczeństwa i odpowiednie zabezpieczenia poczty elektronicznej, dostosowane do rodzaju przetwarzanych danych. Te środki należy regularnie testować. UODO zaznaczył również, że działania naprawcze po incydencie mogą ograniczyć skutki naruszenia, ale nie zwalniają z odpowiedzialności za wcześniejsze zaniedbania.
Dowiedź się więcej: TUTAJ
Nieautoryzowany komunikator w sieci sprzedaży energii
Organ wydający: Prezes UODO – Polska
Tytuł opisowy: Naruszenie danych klientów po wykorzystaniu prywatnych smartfonów i nieautoryzowanego komunikatora.
Sprawa dotyczyła modelu sprzedaży bezpośredniej energii, w którym handlowcy działający w sieci agentów i podagenta używali prywatnych smartfonów oraz popularnego komunikatora do przesyłania zdjęć i skanów umów klientów. Praktyka ta była stosowana od lipca 2020 r., a ujawniono ją dopiero w marcu 2021 r., gdy były pracownik przekazał spółce zrzut ekranu z grupowej rozmowy handlowców. Zgłoszenie naruszenia objęło co najmniej 15 osób, a przetwarzane w ten sposób dane obejmowały m.in. imiona i nazwiska, adresy, numery PESEL, adresy e-mail, numery telefonów, numery klientów oraz numery punktów przyłączenia. UODO ocenił odpowiedzialność całego łańcucha przetwarzania i powiązał sprawę z naruszeniem obowiązków w zakresie bezpieczeństwa, poufności, rozliczalności oraz nadzoru nad podmiotami przetwarzającymi.
Rozstrzygnięcie: upomnienia dla administratora, dwóch agentów i subagenta oraz dodatkowa kara 10 145 zł nałożona na subagenta.
Znaczenie praktyczne: Decyzja jest ważnym ostrzeżeniem dla firm korzystających z rozproszonej sprzedaży, outsourcingu lub modeli agencyjnych, gdzie dane klientów przekazywane są między różnymi podmiotami. Pokazuje, że sama umowa powierzenia nie wystarczy, jeśli administrator i procesorzy nie mają rzeczywistej kontroli nad narzędziami używanymi przez pracowników, agentów i współpracowników na co dzień.
Dowiedź się więcej: TUTAJ
Upomnienie dla szpitala za brak weryfikacji procesora
Organ wydający: Prezes UODO – Polska
Sprawa dotyczyła specjalistycznego szpitala w Sosnowcu, w którym w 2021 r. osoba nieuprawniona uzyskała dostęp do poczty elektronicznej administratora utrzymywanej na serwerach zewnętrznego dostawcy. Z konta pobrano całą zawartość skrzynki, a incydent dotyczył danych osobowych 224 osób. Prezes UODO uznał, że administrator nie zweryfikował odpowiednio, czy podmiot przetwarzający zapewnia wystarczające gwarancje wdrożenia środków technicznych i organizacyjnych, mimo że po stronie szpitala funkcjonowały procedury związane z oceną ryzyka. Organ wskazał również, że analiza ryzyka dotycząca korzystania z poczty elektronicznej nie została przełożona na skuteczne działania ograniczające ryzyko, a sam procesor nie wdrożył właściwie środków bezpieczeństwa i nie przeprowadził adekwatnej analizy ryzyka w odniesieniu do danych powierzonych.
Rozstrzygnięcie: upomnienie dla administratora i podmiotu przetwarzającego.
Znaczenie praktyczne: Decyzja potwierdza, że administrator musi aktywnie i na piśmie ocenić, czy procesor zapewnia odpowiednie bezpieczeństwo. Dla szpitali i innych branż przetwarzających wrażliwe dane to przypomnienie, że odpowiedzialność za bezpieczeństwo usług zlecanych na zewnątrz nie kończy się na podpisaniu umowy powierzenia.
Dowiedź się więcej: TUTAJ
Pierwsza kara związana z prywatnym monitoringiem
Organ wydający: Prezes UODO – Polska
Sprawa dotyczyła osoby fizycznej, która prowadziła monitoring obejmujący nie tylko własną nieruchomość, lecz także drogę publiczną i sąsiednie posesje. Wcześniej Prezes UODO nakazał zaprzestanie takiego przetwarzania danych, wskazując na brak podstawy prawnej do rejestrowania wizerunku i głosu osób trzecich poza granicami własnej posesji. Adresat decyzji nie zaskarżył nakazu do sądu, decyzja stała się prawomocna, a mimo to nie została wykonana, co doprowadziło do dalszego bezprawnego przetwarzania danych. Organ podkreślił, że sprawa ma znaczenie precedensowe, ponieważ była to pierwsza kara Prezesa UODO związana z prywatnym monitoringiem.
Rozstrzygnięcie: administracyjna kara pieniężna w wysokości 26 711 zł.
Znaczenie praktyczne: Decyzja wyznacza praktyczne granice dopuszczalności prywatnego monitoringu i przypomina, że monitoring posesji nie może prowadzić do stałej obserwacji przestrzeni publicznej ani cudzych nieruchomości bez wyraźnej podstawy prawnej. Pokazuje też, że niewykonanie prawomocnego nakazu organu nadzorczego może skutkować realną sankcją finansową także wobec osoby fizycznej.
Dowiedź się więcej: TUTAJ
UODO ukarał po kradzieży laptopa. Sprawa pokazuje, jak ważna jest kontrola
Organ wydający: Prezes UODO – Polska
Prezes UODO ukarał Starostę Powiatu Lubartowskiego oraz podmiot przetwarzający po kradzieży służbowego laptopa, na którym znajdowały się dane około 700 osób. Sprawa dotyczyła informacji tak wrażliwych jak imiona i nazwiska, daty urodzenia, adresy zamieszkania, numery PESEL, serie i numery dowodów osobistych oraz numery ksiąg wieczystych. Dla organu nadzorczego był to punkt wyjścia do oceny, czy podmiot odpowiedzialny za dane faktycznie wdrożył zabezpieczenia adekwatne do skali ryzyka.
Rozstrzygnięcie: administracyjna kara pieniężna w wysokości 21 tys. zł. nałożona na Starostę Powiatu Lubartowskiego oraz 12,5 tys. zł na podmiot przetwarzający.
Znaczenie praktyczne: W decyzji UODO wskazał przede wszystkim na brak odpowiednich środków technicznych i organizacyjnych oraz zbyt słabą weryfikację podmiotu przetwarzającego przez administratora. Istotny był też brak analizy ryzyka uwzględniającej kradzież sprzętu komputerowego, mimo że charakter pracy wiązał się z zadaniami terenowymi. Po incydencie wdrożono szyfrowanie dysków, które wcześniej mogło ograniczyć skutki zdarzenia. UODO podkreślił, że ochrona danych musi być procesem ciągłym, a odpowiedzialność za bezpieczeństwo spoczywa zarówno na administratorze, jak i na podmiocie przetwarzającym.
Dowiedź się więcej: TUTAJ
Kierunek interpretacyjny na lipiec 2026
Podsumowanie tych czterech spraw pokazuje, że dla UODO najważniejsze jest nie tylko deklarowanie zgodności, ale przede wszystkim umiejętność wykazania, jak organizacja identyfikuje ryzyko i wdraża konkretne środki bezpieczeństwa. Urząd analizuje zarówno typowe incydenty techniczne, takie jak przejęcie skrzynki e-mail, jak i codzienne obchodzenie procedur, na przykład używanie prywatnych komunikatorów czy nieuprawnione rozszerzanie monitoringu. Dla firm oznacza to konieczność lepszego nadzoru nad codziennym przetwarzaniem danych, sprawdzania dostawców i partnerów oraz regularnego testowania, czy przyjęte zabezpieczenia rzeczywiście działają w praktyce.