Wiedza o ochronie danych, która sprawdza się na co dzień
Artykuły, filmy, webinary i listy kontrolne dotyczące RODO, zgodności AI z przepisami i NIS2 – prosto z codziennej praktyki doradczej, do wdrożenia przy rozsądnym nakładzie pracy.
Gdy zaginie przesyłka zawierająca dane osobowe, liczy się ryzyko dla osób, których dane dotyczą. Co firmy muszą teraz sprawdzić.
autorka: Cindy Stefanet• 27.09.2026
W sytuacji kryzysowej
Naruszenie ochrony danych zdarza się bez zapowiedzi
Zgubiony laptop, e-mail z danymi klientów wysłany pod niewłaściwy adres, udany atak phishingowy na skrzynkę pocztową: z chwilą, gdy Państwa firma dowie się o naruszeniu ochrony danych osobowych, zaczyna biec termin z art. 33 RODO – 72 godziny na zgłoszenie do organu nadzorczego, o ile naruszenie wiąże się z ryzykiem dla osób, których dane dotyczą. Kluczowe jest to, co ustalono wcześniej: kto komu zgłasza naruszenie wewnątrz firmy, kto ocenia ryzyko, kto kontaktuje się z organem. Jeśli ustala się to dopiero w sytuacji kryzysowej, traci się właśnie te godziny, które decydują o wszystkim.
Znane podatności stają się ryzykiem, jeśli informacje o bezpieczeństwie nie są wdrażane w praktyce.
autor: Jonas Buchholz• 02.09.2026
Z praktyki doradczej
Ochrona danych osobowych najczęściej zawodzi w życiu codziennym
Wymogi RODO są znane od 2018 roku. Stale zmienia się natomiast wszystko wokół: nowe narzędzia, nowi usługodawcy, nowe zakresy odpowiedzialności, współpracownicy, którzy odchodzą i przychodzą. Właśnie tam powstają luki. Nie w rejestrze czynności przetwarzania, lecz między działem merytorycznym, który chce wypróbować nowe narzędzie, a działem IT, który dowiaduje się o nim, gdy jest ono od dawna w użyciu. Dlatego w naszych artykułach piszemy nie tylko o przepisach, ale także o procesach, które działają nawet wtedy, gdy akurat nikt nie myśli o ochronie danych.
Coraz więcej firm korzysta z AI. Wymaga to jasnego podziału odpowiedzialności i przejrzystych procesów.
autorka: Jennifer Schülzky• 27.09.2026
Doradztwo w zakresie sztucznej inteligencji
AI zwykle jest w firmie od dawna, zanim ktokolwiek ją oficjalnie wdroży
W większości firm korzystanie z AI nie zaczyna się od decyzji zarządu, lecz od pojedynczych pracowników: chatbot do pierwszej wersji tekstu, usługa transkrypcji na spotkaniu, narzędzie do tłumaczenia umowy. Kluczowe pytanie nie brzmi więc, który model jest najlepszy, lecz jakie dane opuszczają firmę i na jakiej podstawie prawnej. Wspólnie z Państwem ustalamy, które zastosowania są bezproblemowe, które wymagają uregulowania, a z których lepiej zrezygnować.
Czy w formularzu kontaktowym mogę jeszcze w ogóle pytać o zwrot grzecznościowy?
Tak. TSUE nie zakazał zadawania tego pytania, lecz zakwestionował obowiązek odpowiedzi na nie. Jeśli zwrot grzecznościowy nie jest niezbędny do Państwa celu, warto oznaczyć to pole jako dobrowolne – albo całkiem z niego zrezygnować. Kto chce zwracać się do klientów w sposób spersonalizowany, może zaoferować to opcjonalnie, najlepiej w formie pola do swobodnego wpisania zamiast wyboru jednej z dwóch opcji.
Co dokładnie orzekł TSUE 9 stycznia 2025 r.?
W sprawie C-394/23 chodziło o francuskiego przewoźnika kolejowego, który przy zakupie biletów online zmuszał klientki i klientów do wyboru między „Pan“ a „Pani“. Trybunał wyjaśnił: do zawarcia umowy przewozu zwrot grzecznościowy co do zasady nie jest niezbędny. Taki obowiązek podania danych narusza zasadę minimalizacji danych.
Co oznacza minimalizacja danych w rozumieniu art. 5 ust. 1 lit. c RODO w praktyce?
Mogą Państwo zbierać wyłącznie te dane, które są niezbędne do konkretnego celu – a nie te, które są przydatne, wygodne lub zbierane „od zawsze”. Miarą jest cel, a nie możliwości techniczne. Minimalizacja danych nie zaczyna się więc od usuwania, lecz już w formularzu.
Które pola obowiązkowe powinniśmy teraz sprawdzić?
Typowe przykłady to zwrot grzecznościowy, tytuł, numer telefonu, data urodzenia, adres pocztowy oraz branża i wielkość firmy. Warto sprawdzić nie tylko formularz kontaktowy, ale też rejestrację i konto klienta, formularze rekrutacyjne, zapis do newslettera, portale wsparcia, system CRM i wewnętrzne formularze ewidencyjne. Praktyczna zasada: cel każdego pola obowiązkowego musi dać się uzasadnić jednym zdaniem.
Co się stanie, jeśli nadal będziemy zbierać zwrot grzecznościowy jako pole obowiązkowe?
Zbieranie danych, które nie są niezbędne, to przetwarzanie bez wystarczającej podstawy. Może to skutkować działaniami organu nadzorczego i administracyjnymi karami pieniężnymi, a osobom, których dane dotyczą, dawać podstawę do roszczeń. W praktyce zwykle ważniejszy jest nakład pracy: im więcej zbędnych pól Państwo prowadzą, tym większe są obowiązki w zakresie udzielania informacji, usuwania danych i dokumentacji.
Jak to wdrożyć, nie pogarszając komunikacji z klientami?
W trzech krokach. Po pierwsze: zinwentaryzować wszystkie formularze i dla każdego pola udokumentować cel. Po drugie: wszystko, co nie przejdzie testu celu, oznaczyć jako dobrowolne lub usunąć. Po trzecie: włączyć ten wymóg do standardowego procesu wdrażania nowych aplikacji, aby te same zaszłości nie powstawały na nowo. Do zwracania się do klienta z reguły wystarczy imię i nazwisko.
