Przełom sierpnia i września 2026 r. przyniósł kilka istotnych rozstrzygnięć i komunikatów dotyczących ochrony danych osobowych. Wyrok NSA w sprawie ujawnienia numeru PESEL, stanowisko UODO dotyczące incydentu MyDr oraz kara za brak niezależności inspektora ochrony danych pokazują, jakie błędy mogą narazić organizację na odpowiedzialność. Dla przedsiębiorców, placówek medycznych i zarządców nieruchomości wspólny wniosek jest praktyczny: trzeba umieć wykazać, kto ocenił naruszenie, na jakiej podstawie podjął decyzję i czy zrobił to w odpowiednim czasie. W tym wydaniu cyklu Compliance omawiamy wybrane wydarzenia z sierpnia i września oraz wynikające z nich zalecenia.
Co wynika z wyroku NSA dotyczącego ujawnienia numeru PESEL?
Administrator powinien poprzeć decyzję o niezgłoszeniu naruszenia konkretną analizą ryzyka. Samo odnotowanie zdarzenia w rejestrze nie wystarcza do uzasadnienia takiej decyzji.
26 sierpnia 2026 r. Naczelny Sąd Administracyjny wydał wyrok w sprawie III OSK 251/24. Jak wynika z komunikatu UODO z 28 sierpnia, NSA uchylił korzystny dla spółdzielni mieszkaniowej wyrok WSA i oddalił jej skargę na decyzję organu. W rezultacie utrzymana została kara blisko 52 tys. zł za niezgłoszenie naruszenia oraz niezawiadomienie osoby, której dane dotyczyły. Sprawa obejmowała ujawnienie kopii zawiadomienia o podejrzeniu popełnienia przestępstwa, zawierającej dane członka spółdzielni. Komunikat UODO o wyroku NSA.
W opisanym stanie faktycznym NSA zaakceptował ocenę, że ujawnienie imienia, nazwiska, adresu zamieszkania i numeru PESEL powodowało wysokie ryzyko naruszenia praw lub wolności tej osoby. Potwierdził także status spółdzielni jako przedsiębiorcy na potrzeby art. 83 ust. 4 RODO. Wyrok jest prawomocnym rozstrzygnięciem konkretnej sprawy, a jego znaczenie dla innych administratorów polega przede wszystkim na wskazaniu sposobu oceny podobnych naruszeń. Omówienie rozstrzygnięcia przez UODO.
W praktyce szczególnej uwagi wymaga połączenie trwałego identyfikatora, jakim jest PESEL, z danymi pozwalającymi łatwo ustalić tożsamość i miejsce zamieszkania. Ocena powinna uwzględniać m.in. zakres ujawnienia, odbiorców danych, zastosowane zabezpieczenia oraz możliwe konsekwencje dla człowieka. Brak informacji o wykorzystaniu danych nie przesądza jeszcze o braku ryzyka. Ryzyko ocenia się także przez pryzmat skutków, które mogą wystąpić w przyszłości.
Dlatego rekomendujemy, aby formularz oceny naruszenia wymagał wpisania faktów przemawiających za przyjętym poziomem ryzyka. Pole „ryzyko niskie” powinno mieć uzasadnienie pozwalające odtworzyć tok rozumowania osoby dokonującej oceny.
Kiedy zgłosić naruszenie i zawiadomić osoby, których dane dotyczą?
Zgłoszenie Prezesowi UODO i zawiadomienie osoby to dwa odrębne obowiązki, uruchamiane przy różnych poziomach ryzyka. Podstawą rozróżnienia są art. 33 i 34 RODO.
| Obowiązek | Kiedy powstaje? | Termin |
| Udokumentowanie naruszenia | W każdym przypadku naruszenia ochrony danych, także niezgłaszanego organowi | Na bieżąco – dokumentacja powinna odzwierciedlać przebieg zdarzenia i podejmowane działania |
| Zgłoszenie Prezesowi UODO | Nie powstaje, jeśli jest mało prawdopodobne, aby naruszenie skutkowało ryzykiem dla praw lub wolności osób | Bez zbędnej zwłoki, w miarę możliwości nie później niż 72 godziny od stwierdzenia naruszenia |
| Zawiadomienie osoby | Gdy naruszenie może powodować wysokie ryzyko, z uwzględnieniem wyjątków z art. 34 ust. 3 RODO | Bez zbędnej zwłoki |
Źródło: RODO, w szczególności art. 33–34.
Termin 72 godzin dotyczy zgłoszenia organowi. Nie stanowi osobnego, ustawowego terminu na zawiadomienie osoby ani podstawy do odkładania działań do ostatniej godziny. Jeżeli pełnych informacji nie da się przekazać jednocześnie, art. 33 ust. 4 pozwala uzupełniać je sukcesywnie, bez zbędnej zwłoki. Zgłoszenie dokonane po upływie 72 godzin wymaga wyjaśnienia przyczyn opóźnienia.
Ocena powinna powstawać na bieżąco i uwzględniać informacje dostępne w chwili podejmowania decyzji. W dokumentacji warto wskazać czas stwierdzenia naruszenia, źródła ustaleń, brakujące informacje, uzasadnienie decyzji oraz osoby uczestniczące w ocenie. Nowe fakty mogą wymagać aktualizacji wniosków. Takie podejście pozwala również wykazać, dlaczego administrator na określonym etapie uznał zgłoszenie za konieczne albo odstąpił od niego.
Jakie obowiązki mają placówki korzystające z MyDr?
Powierzenie przetwarzania danych dostawcy systemu medycznego nie zwalnia placówki z obowiązków administratora. W FAQ z 27 sierpnia 2026 r. UODO przypomniał, że placówka, która otrzymała potwierdzenie objęcia jej danych incydentem MyDr, powinna ocenić naruszenie i obowiązki związane z jego zgłoszeniem. Przy wysokim ryzyku konieczne jest również zawiadomienie pacjentów. FAQ ma charakter informacyjny i wyjaśnia stosowanie istniejących przepisów. FAQ UODO dotyczące MyDr.
Dla placówki pierwszym zadaniem jest ustalenie, czy incydent objął jej pacjentów, jakie dane zostały naruszone i co wiadomo o przebiegu zdarzenia. Informacja od dostawcy powinna zasilić własną ocenę administratora. Warto zachować całą korespondencję i kolejne wersje raportów, ponieważ mogą wyjaśniać, kiedy placówka uzyskała określoną wiedzę.
Nie można jednak traktować oczekiwania na formalne pismo od dostawcy jako automatycznego odroczenia biegu terminu. Zgodnie z wytycznymi Europejskiej Rady Ochrony Danych stwierdzenie naruszenia wiąże się z uzyskaniem wystarczającej pewności, że zdarzenie naruszyło bezpieczeństwo danych osobowych. Jeżeli placówka dysponuje już wiarygodnymi dowodami, powinna działać na ich podstawie. Wytyczne EROD 9/2022, pkt 31–36.
Zawiadomienie pacjenta powinno jasno wyjaśniać charakter naruszenia, możliwe konsekwencje, podjęte środki i sposób uzyskania dalszych informacji. Przy danych zdrowotnych trzeba uwzględnić także ryzyko dyskryminacji lub naruszenia dóbr osobistych. Ogólna informacja o „incydencie informatycznym” może nie pozwalać pacjentowi zrozumieć zagrożenia. Stanowisko UODO dotyczące obowiązków administratorów.
Po zabezpieczeniu bieżącej obsługi naruszenia warto sprawdzić umowę powierzenia, zobowiązania dostawcy do współpracy oraz warunki ubezpieczenia cybernetycznego. Ocena ewentualnych roszczeń wymaga ustalenia odpowiedzialności, szkody i związku przyczynowego. Sam fakt wystąpienia incydentu nie przesądza o zasadności regresu ani o wypłacie świadczenia z polisy.
Kiedy bank i BIK mogą przetwarzać dane przedsiębiorcy po spłacie kredytu?
Ochrona wynikająca z art. 105a ust. 2–3 Prawa bankowego obejmuje także osoby fizyczne prowadzące działalność gospodarczą. Ma to znaczenie przy ocenie, czy bank i Biuro Informacji Kredytowej (BIK) mogą nadal przetwarzać dane po wygaśnięciu zobowiązania z kredytu firmowego.
W wyroku z 2 września 2026 r., III OSK 252/24, NSA potwierdził, że wskazane przepisy nie ograniczają się do konsumentów. Jak wynika z komunikatu UODO z 15 września, sąd oddalił skargi kasacyjne PKO BP oraz BIK. Wyrok jest prawomocny. Komunikat UODO o danych przedsiębiorców w bankach i BIK.
Spłata kredytu nie powoduje automatycznie obowiązku usunięcia wszystkich danych. Dalsze przetwarzanie może opierać się na zgodzie albo na ustawowych przesłankach przetwarzania bez zgody. Przy stosowaniu art. 105a ust. 3 trzeba zweryfikować warunki dotyczące niewykonania zobowiązania lub zwłoki w spłacie oraz skutecznego poinformowania osoby o zamiarze dalszego przetwarzania jej danych. Firmowy cel kredytu nie zwalnia z takiej oceny.
W praktyce rekomendujemy, aby banki i instytucje finansowe sprawdziły, czy procedury dotyczące danych po zakończeniu umowy obejmują również klientów prowadzących jednoosobową działalność. Przedsiębiorca kwestionujący wpis w BIK powinien natomiast ustalić podstawę dalszego przetwarzania, historię spłat i treść otrzymanych zawiadomień. Te informacje pozwolą ocenić zasadność żądania usunięcia danych w konkretnej sprawie.
Kiedy łączenie funkcji IOD prowadzi do konfliktu interesów?
Inspektor ochrony danych powinien móc niezależnie oceniać sposób przetwarzania danych w organizacji. Problem pojawia się, gdy powierzono mu również podejmowanie decyzji, które następnie ma kontrolować.
W komunikacie z 31 sierpnia 2026 r. UODO opisał sprawę komornika sądowego, który przez pięć lat był jednocześnie administratorem danych osobowych i IOD we własnej kancelarii komorniczej. Łączna kara wyniosła 15 500 zł, z czego: 12 000 zł za niezapewnienie niezależności inspektora oraz 3500 zł za brak zawiadomienia organu o jego wyznaczeniu. Sprawa ma oznaczenie DKN.5131.24.2025. Jest to decyzja administracyjna, komunikat nie potwierdza wyniku ewentualnej kontroli sądowej. Komunikat UODO o niezależności IOD.
Istotny jest również początek tej sprawy. Nieprawidłowości dotyczące IOD ujawniono przy analizie zgłoszenia innego naruszenia, polegającego na wysłaniu pisma niewłaściwej osobie. Pokazuje to, że obsługa pojedynczego incydentu może prowadzić do oceny szerszych rozwiązań organizacyjnych. UODO zwrócił też uwagę, że wadliwe połączenie funkcji miało przynieść administratorowi oszczędności. Opis postępowania przez UODO.
RODO dopuszcza wykonywanie przez IOD innych zadań, jeżeli nie powodują konfliktu interesów. Wcześniejszy wyrok TSUE z 9 lutego 2023 r., C-453/21, wyjaśnia, że ocena wymaga zbadania wszystkich istotnych okoliczności, w tym struktury organizacyjnej oraz rzeczywistego udziału w ustalaniu celów i sposobów przetwarzania. Wyrok TSUE w sprawie X-FAB Dresden, pkt 44–46.
Warto zatem przeanalizować łączenie funkcji IOD ze stanowiskami kierowniczymi w IT, HR, compliance czy bezpieczeństwie. Sama nazwa stanowiska nie zastępuje oceny kompetencji. Doradzanie przy wdrożeniu systemu może należeć do roli IOD, lecz samodzielne ustalanie zasad przetwarzania danych, które później ma on monitorować, może prowadzić do konfliktu interesów. Outsourcing IOD również wymaga takiej oceny.
Należy ponadto sprawdzić publikację danych kontaktowych i terminowość zawiadomień do UODO. Termin 14 dni na zawiadomienie o wyznaczeniu IOD wynika z art. 10 ust. 1 polskiej ustawy o ochronie danych osobowych. Wyjaśnienia UODO dotyczące zawiadomień o IOD.
Co pokazują statystyki UODO za 2025 rok?
Dane za 2025 r. wskazują na wzrost liczby spraw oraz łącznej wartości nakładanych kar. Sprawozdanie przedstawione na stronie UODO 1 września 2026 r. zawiera następujące wielkości:
| Wskaźnik | 2024 r. | 2025 r. |
| Skargi, bez spraw prowadzonych we współpracy międzynarodowej | 8056 | 12 827 |
| Zgłoszenia naruszeń ochrony danych | 14 842 | 22 435 |
| Kontrole | 50 | 76 |
| Łączna kwota nałożonych kar | ok. 13,91 mln zł | ok. 64,44 mln zł |
Źródło: omówienie sprawozdania Prezesa UODO za 2025 r..
Łączna wartość kar nakładanych przez UODO wzrosła z roku na rok o około 363%. Ten wskaźnik opisuje sumę sankcji, więc nie pozwala przyjąć, że ryzyko ukarania konkretnej firmy zwiększyło się w tej samej proporcji. Podobnie wzrost zgłoszeń nie jest sam w sobie dowodem identycznego wzrostu liczby wszystkich naruszeń.
Dla organizacji użyteczna jest lista powtarzających się problemów: korespondencja kierowana do niewłaściwych odbiorców, wadliwa anonimizacja, monitoring, marketing, windykacja oraz przetwarzanie danych medycznych i pracowniczych. Właśnie od tych procesów warto rozpocząć przegląd. Kwestie marketingowe szerzej omawiamy w artykule UODO bierze marketing pod lupę w 2026 – koniec fikcyjnych zgód?.
Co warto sprawdzić w organizacji?
Najbardziej użyteczny przegląd compliance powinien sprawdzać działanie procedur na konkretnych przykładach. Punktem wyjścia mogą być ostatnie naruszenie, niedawno wdrożony system albo aktualny zakres obowiązków IOD.
Rekomendujemy zweryfikowanie pięciu kwestii:
1. Zgłaszanie incydentów wewnątrz organizacji. Czy pracownik wie, komu przekazać informację i kto zastępuje tę osobę podczas nieobecności?
2. Ocena ryzyka. Czy uzasadnienie odnosi się do konkretnych danych, odbiorców i skutków dla osób?
3. Terminy i odpowiedzialność. Czy wiadomo, kto podejmuje decyzję o zgłoszeniu oraz przygotowuje zawiadomienia?
4. Współpraca z dostawcami. Czy umowy zapewniają szybkie przekazywanie informacji i pomoc przy obsłudze naruszenia?
5. Niezależność IOD. Czy inspektor ma dostęp do najwyższego kierownictwa i może oceniać działania bez kontrolowania własnych decyzji zarządczych?
Dobrym uzupełnieniem jest krótkie ćwiczenie: omyłkowo wysłana lista zawiera numery PESEL pracowników, a odbiorca nie odpowiada na prośbę o usunięcie wiadomości. Przejście przez taką hipotetyczną sytuację pozwala ustalić, czy organizacja potrafi zebrać fakty, ocenić ryzyko i podjąć decyzję w wymaganym czasie.
Jeżeli potrzebują Państwo wsparcia przy analizie naruszenia, ocenie niezależności IOD lub przeglądzie procedur, zapraszamy do zapoznania się z zakresem naszego doradztwa w ochronie danych osobowych i do kontaktu z kancelarią.
FAQ – najczęstsze pytania
Czy każde naruszenie ochrony danych trzeba zgłosić UODO?
Nie. Zgłoszenie nie jest wymagane, jeżeli jest mało prawdopodobne, aby naruszenie skutkowało ryzykiem dla praw lub wolności osób fizycznych. Każde naruszenie trzeba jednak udokumentować, a decyzja o niezgłoszeniu powinna mieć uzasadnienie.
Od kiedy liczy się 72 godziny na zgłoszenie naruszenia?
Termin liczy się od stwierdzenia naruszenia przez administratora. Nie należy utożsamiać tego momentu z zakończeniem całego dochodzenia technicznego ani z zatwierdzeniem raportu przez zarząd.
Czy zawiadomienie osoby również musi nastąpić w ciągu 72 godzin?
Art. 34 RODO wymaga zawiadomienia bez zbędnej zwłoki, jeżeli naruszenie może powodować wysokie ryzyko. Nie ustanawia osobnego terminu 72 godzin, a obowiązek należy ocenić z uwzględnieniem wyjątków przewidzianych w tym przepisie.
Czy dostawca systemu może przejąć odpowiedzialność placówki za zgłoszenie?
Samo powierzenie przetwarzania danych nie przenosi obowiązków administratora na dostawcę. Dostawca może wspierać obsługę naruszenia, ale placówka powinna zapewnić prawidłowe wykonanie swoich obowiązków.
Czy IOD może jednocześnie pracować w dziale compliance lub IT?
Tak, jeżeli inne zadania nie powodują konfliktu interesów. Trzeba sprawdzić rzeczywiste kompetencje, w szczególności to, czy dana osoba ustala cele i sposoby przetwarzania, które następnie ma niezależnie monitorować.
Czy kara UODO jest tym samym co odszkodowanie dla pacjenta lub klienta?
Nie, są to odrębne rodzaje odpowiedzialności. Roszczenie z art. 82 RODO wymaga wykazania szkody majątkowej lub niemajątkowej spowodowanej naruszeniem, a sama kara administracyjna nie zastępuje tej oceny. Podstawa prawna – art. 82 RODO.
Podstawy i źródła
Akty prawne
1. RODO – rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r., w szczególności: art. 5 ust. 1 lit. a, e i f oraz ust. 2 i art. 6 ust. 1, art. 24, art. 28 ust. 3 lit. f i art. 32, art. 33–34, art. 37 ust. 7, art. 38 ust. 3 i 6 oraz art. 39 ust. 1 lit. b, art. 82–83. Tekst RODO udostępniony przez UODO.
2. Ustawa z 29 sierpnia 1997 r. – Prawo bankowe: art. 105a ust. 2–3 i 5. Tekst ujednolicony w ELI, s. 193–194.
3. Ustawa z 10 maja 2018 r. o ochronie danych osobowych – art. 10 ust. 1 i 4, art. 11. Tekst ujednolicony w ELI, s. 6–7.
Orzecznictwo i materiały źródłowe
4. Wyrok NSA z 26 sierpnia 2026 r., III OSK 251/24 – ocena ryzyka po ujawnieniu danych obejmujących PESEL i obowiązki administratora, omówienie na podstawie komunikatu UODO z 28 sierpnia 2026 r..
5. Wyrok NSA z 2 września 2026 r., III OSK 252/24 – stosowanie art. 105a ust. 2–3 Prawa bankowego do osób fizycznych prowadzących działalność gospodarczą, omówienie na podstawie komunikatu UODO z 15 września 2026 r..
6. Wyrok TSUE z 9 lutego 2023 r., C-453/21, X-FAB Dresden, w szczególności pkt 44–46 – konflikt interesów przy łączeniu funkcji IOD z innymi zadaniami. Pełny tekst wyroku w EUR-Lex.
7. Decyzja Prezesa UODO, DKN.5131.24.2025 – niezależność IOD i zawiadomienie o jego wyznaczeniu, omówienie na podstawie komunikatu UODO z 31 sierpnia 2026 r..
8. Europejska Rada Ochrony Danych, Wytyczne 9/2022 dotyczące zgłaszania naruszeń ochrony danych osobowych na gruncie RODO, wersja 2.0 przyjęta 28 marca 2023 r., w szczególności pkt 31–36 – moment stwierdzenia naruszenia. Tekst wytycznych w języku angielskim.
9. UODO, FAQ dotyczące incydentu MyDr, 27 sierpnia 2026 r. – informacje dla osób dotkniętych naruszeniem i administratorów. FAQ UODO.
10. UODO, „Administrator musi zgłosić wyciek, do którego doszło w podmiocie przetwarzającym”, komunikat z 12 sierpnia 2026 r., zaktualizowany 31 sierpnia 2026 r. – obowiązki placówek korzystających z MyDr. Stanowisko UODO.
11. Sprawozdanie z działalności Prezesa UODO w roku 2025, w szczególności s. 17–18 – dane statystyczne. Pełne sprawozdanie oraz omówienie UODO opublikowane 1 września 2026 r..
Komunikaty UODO i wytyczne EROD służą wyjaśnianiu praktyki stosowania przepisów; nie są samodzielną podstawą obowiązków administratora. Przy wyrokach NSA i decyzji dotyczącej IOD wskazano komunikaty, na których oparto ich omówienie.
Niniejszy artykuł ma charakter informacyjny i nie jest to porada prawna
Stan prawny na dzień 16 września 2026 r.
Autor:
Redaktor cyklu:
