В августе и сентябре 2026 года было принято несколько важных решений и сделано несколько важных заявлений, касающихся защиты персональных данных. Решение Высшего административного суда о раскрытии номеров PESEL, позиция Управления по защите персональных данных (UODO) по инциденту с MyDr и штраф за отсутствие независимости у сотрудника, ответственного за защиту данных, демонстрируют типы ошибок, которые могут повлечь за собой ответственность для организации. Для предпринимателей, медицинских учреждений и управляющих недвижимостью общий вывод носит практический характер: важно иметь возможность продемонстрировать, кто оценивал нарушение, на каком основании было принято решение и было ли это сделано своевременно. В этом выпуске серии «Соответствие требованиям» мы обсуждаем отдельные события августа и сентября и вытекающие из них рекомендации.
Каковы результаты решения Верховного административного суда относительно раскрытия номера PESEL?
Контролер данных должен обосновать решение не сообщать о нарушении конкретным анализом рисков. Простой записи об инциденте в журнале недостаточно для оправдания такого решения.
26 августа 2026 года Верховный административный суд вынес решение по делу III ОСК 251/24. Согласно сообщению Управления по защите данных (УОД) от 28 августа, УОД отменил благоприятное для жилищного кооператива решение Провинциального административного суда и отклонил его апелляцию на решение управления. В результате штраф в размере почти 52 000 злотых за несообщение о нарушении и неуведомление субъекта данных был оставлен в силе. Дело касалось разглашения копии уведомления о предполагаемом преступлении, содержащей данные члена кооператива. ( Сообщение УОД о решении УОД).
В описанных обстоятельствах Верховный административный суд принял оценку, согласно которой раскрытие имени, фамилии, адреса и номера PESEL представляет высокий риск нарушения прав или свобод данного лица. Он также подтвердил статус кооператива как предпринимателя в соответствии со статьей 83(4) GDPR. Это решение является окончательным и обязательным для исполнения в конкретном случае, и его значение для других операторов персональных данных заключается прежде всего в том, что оно дает рекомендации по оценке аналогичных нарушений. Обсуждение решения Управлением по защите персональных данных.
На практике сочетание постоянного идентификатора, такого как PESEL (персональный идентификационный номер), с данными, позволяющими легко установить личность и место жительства, требует особого внимания. При оценке следует учитывать, помимо прочего, объем раскрытия информации, получателей данных, применяемые меры безопасности и возможные последствия для отдельных лиц. Отсутствие информации об использовании данных не обязательно означает отсутствие риска. Риск также оценивается с точки зрения возможных будущих последствий.
Поэтому мы рекомендуем включить в форму оценки нарушений факты, подтверждающие предполагаемый уровень риска. Поле «низкий риск» должно быть обосновано, чтобы можно было восстановить логику оценки.
Когда следует сообщать о нарушении безопасности данных и уведомлять субъектов данных?
Уведомление Президента Управления по защите персональных данных (УОД) и информирование физического лица — это две отдельные обязанности, возникающие при разных уровнях риска. Различие основано на статьях 33 и 34 GDPR.
| Долг | Когда оно создается? | Крайний срок |
| Документирование нарушения | В каждом случае нарушения защиты данных, даже если об этом не было сообщено в соответствующие органы | Текущий процесс – документация должна отражать ход событий и предпринятые действия |
| Подчиняется Президенту Управления по защите персональных данных | Это не возникает, если нарушение вряд ли повлечет за собой риск для прав или свобод отдельных лиц | Без неоправданной задержки, и по возможности не позднее чем через 72 часа после обнаружения нарушения |
| Уведомление лица | Когда нарушение, вероятно, приведет к высокому риску, с учетом исключений, предусмотренных в статье 34(3) GDPR | Без дальнейших задержек |
Источник: GDPR, в частности, статьи 33–34.
72-часовой срок применяется к сообщению в орган власти. Он не является отдельным установленным законом сроком для уведомления физического лица или основанием для откладывания действий до последнего часа. Если полная информация не может быть предоставлена сразу, статья 33(4) позволяет дополнять ее последовательно, без неоправданной задержки. В сообщениях, представленных после 72 часов, требуется объяснение причин задержки.
Оценка должна проводиться на постоянной основе и учитывать информацию, доступную на момент принятия решения. Документация должна включать время обнаружения нарушения, источники информации, недостающие сведения, обоснование решения и лиц, участвовавших в оценке. Новые факты могут потребовать обновления выводов. Такой подход также позволяет обосновать, почему контролер счел отчет необходимым на данном этапе или почему было принято решение не сообщать о нарушении.
Каковы обязанности учреждений, использующих MyDr?
Передача обработки данных поставщику медицинской системы не освобождает медицинское учреждение от его обязанностей как контролера данных. В разделе часто задаваемых вопросов (FAQ) от 27 августа 2026 года Управление по защите персональных данных (UODO) напомнило, что медицинское учреждение, получившее подтверждение о том, что его данные были затронуты инцидентом MyDr, должно оценить масштабы нарушения и свои обязательства по отчетности. В случаях высокого риска также требуется уведомление пациентов. Данный раздел FAQ носит информативный характер и разъясняет применение действующих правил. Раздел часто задаваемых вопросов (FAQ) Управления по защите персональных данных (UODO) относительно MyDr.
Для медицинского учреждения первым шагом является определение того, затронул ли инцидент пациентов, какие данные были скомпрометированы и что известно об инциденте. Информация от поставщика должна помочь администратору в проведении собственной оценки. Важно сохранять всю переписку и последующие версии отчетов, поскольку они могут прояснить, когда учреждение получило конкретную информацию.
Однако ожидание официального письма от поставщика услуг не следует рассматривать как автоматическую отсрочку крайнего срока. Согласно Европейскому совету по защите данных (EDPB), для установления факта нарушения необходимо получить разумную уверенность в том, что инцидент поставил под угрозу безопасность персональных данных. Если у учреждения уже есть достоверные доказательства, оно должно принять меры на их основании. Руководство EDPB 9/2022, пункты 31-36.
Уведомление для пациента должно четко разъяснять характер нарушения, возможные последствия, принятые меры и способы получения дополнительной информации. В случае с медицинскими данными необходимо также учитывать риск дискриминации или нарушения личных прав. Общая информация об «ИТ-инциденте» может не позволить пациенту понять угрозу. Позиция Управления по защите персональных данных в отношении обязанностей операторов данных.
После того как будет обеспечено надлежащее управление последствиями инцидента, стоит пересмотреть соглашение о защите данных, обязательства поставщика по сотрудничеству и условия страхования кибербезопасности. Оценка потенциальных претензий требует определения ответственности, ущерба и причинно-следственной связи. Сам факт инцидента не определяет правомерность предъявления претензий или выплаты страхового возмещения.
Когда банк и БИК могут обработать данные предпринимателя после погашения кредита?
Защита, предусмотренная в статье 105а, пунктах 2-3 Закона о банковской деятельности, распространяется также на физических лиц, осуществляющих предпринимательскую деятельность. Это важно при оценке того, могут ли банк и Бюро кредитной информации (БКИ) продолжать обработку данных после истечения срока действия обязательства по бизнес-кредиту.
В своем решении от 2 сентября 2026 г. III ОСК 252/24 Верховный административный суд подтвердил, что вышеупомянутые положения не ограничиваются потребителями. Согласно сообщению УОДО от 15 сентября, суд отклонил кассационные апелляции, поданные ПКО БП и Бюро кредитной информации (БИК). Решение является окончательным. Сообщение УОДО о данных предпринимателей в банках и Бюро кредитной информации (БИК).
Погашение кредита не влечет за собой автоматического возникновения обязанности удалить все данные. Дальнейшая обработка может осуществляться на основании согласия или на основании установленных законом оснований для обработки без согласия. При применении статьи 105а, пункта 3, необходимо проверить условия невыполнения или задержки погашения кредита, а также фактическое уведомление физического лица о намерении продолжить обработку его данных. Корпоративная цель кредита не освобождает от такой оценки.
На практике мы рекомендуем банкам и финансовым учреждениям проверять, распространяются ли их процедуры обработки данных после заключения договора также на индивидуальных предпринимателей. Однако предприятия, оспаривающие запись о налоговых льготах, должны установить основания для дальнейшей обработки, историю своих платежей и содержание любых полученных уведомлений. Эта информация поможет оценить обоснованность запроса на удаление данных в конкретном случае.
В каких случаях объединение функций DPO приводит к конфликту интересов?
Специалист по защите данных должен уметь самостоятельно оценивать, как обрабатываются данные внутри организации. Проблема возникает, когда ему также поручают принимать решения, за выполнением которых он затем несет ответственность.
В пресс-релизе от 31 августа 2026 года Управление по защите персональных данных (УОДО) описало случай судебного пристава, который в течение пяти лет одновременно выполнял функции контролера персональных данных и сотрудника по защите данных (DPO) в своей собственной судебной канцелярии. Общий штраф составил 15 500 злотых, включая 12 000 злотых за несоблюдение требований по обеспечению независимости инспектора и 3 500 злотых за неуведомление органа власти о его назначении. Номер дела DKN.5131.24.2025. Это административное решение; пресс-релиз не подтверждает исход возможного судебного разбирательства. Пресс-релиз УОДО о независимости DPO.
Истоки этого дела также имеют важное значение. Нарушения со стороны руководителя по защите данных (DPO) были выявлены в ходе анализа другого отчета о нарушении, касающегося отправки письма не тому человеку. Это демонстрирует, что обработка единичного инцидента может привести к оценке более широких организационных решений. UODO также отметила, что ошибочное сочетание функций было направлено на экономию средств для контролера данных. Описание разбирательства UODO.
GDPR позволяет сотрудникам по защите данных выполнять другие задачи, если это не приводит к конфликту интересов. Предыдущее решение Суда ЕС от 9 февраля 2023 г., C-453/21, уточняет, что оценка требует изучения всех соответствующих обстоятельств, включая организационную структуру и фактическое участие в определении целей и способов обработки данных. Решение Суда ЕС по делу X-FAB Dresden, пункты 44-46.
Поэтому стоит рассмотреть возможность совмещения функций DPO с руководящими должностями в ИТ, HR, сфере соответствия нормативным требованиям или безопасности. Название должности само по себе не заменяет оценку компетенций. Хотя консультирование по внедрению систем может входить в обязанности DPO, самостоятельная разработка правил обработки данных, которые он впоследствии контролирует, может привести к конфликту интересов. Аутсорсинг DPO также требует такой оценки.
Также следует проверить публикацию контактных данных и своевременность уведомлений в Управление по защите персональных данных (УОД). 14-дневный срок для уведомления о назначении сотрудника по защите персональных данных установлен в статье 10(1) польского Закона о защите персональных данных. УОД разъясняет порядок уведомлений в отношении сотрудников по защите персональных данных.
Что показывают статистические данные UODO за 2025 год?
Данные за 2025 год указывают на увеличение числа дел и общей суммы наложенных штрафов. В отчете, представленном на сайте UODO 1 сентября 2026 года, содержатся следующие цифры:
| Индикатор | 2024. | 2025. |
| Жалобы, за исключением дел, рассматриваемых в рамках международного сотрудничества | 8056 | 12 827 |
| отчеты о нарушениях безопасности данных | 14 842 | 22 435 |
| Инспекции | 50 | 76 |
| Общая сумма наложенных штрафов | приблизительно 13,91 млн злотых | приблизительно 64,44 млн злотых |
Источник: обсуждение доклада Президента Управления по защите персональных данных за 2025 год.
Общая сумма штрафов, наложенных Управлением по защите персональных данных (УОД), увеличилась примерно на 363% в годовом исчислении. Этот показатель описывает сумму санкций, поэтому он не позволяет предположить, что риск наложения санкций на конкретную компанию увеличился в той же пропорции. Аналогично, увеличение числа сообщений само по себе не доказывает идентичного увеличения числа всех нарушений.
Для организаций полезно составить список повторяющихся проблем: корреспонденция, направленная не тем адресатам, некорректная анонимизация, мониторинг, маркетинг, взыскание долгов, а также обработка медицинских и кадровых данных. Именно эти процессы стоит начать пересматривать. Вопросы маркетинга мы обсуждаем более подробно в статье «UODO более внимательно рассматривает маркетинг в 2026 году – конец фиктивного согласия?»
Что стоит проверить в организации?
Наиболее эффективная проверка соответствия должна оценивать эффективность процедур на конкретных примерах. Отправной точкой может служить недавнее нарушение безопасности, недавно внедренная система или текущий объем обязанностей сотрудника по защите данных.
Мы рекомендуем проверить пять пунктов:
1. Сообщение об инцидентах внутри организации. Знает ли сотрудник, кому следует сообщить информацию и кто заменит его во время его отсутствия?
2. Оценка рисков. Учитывает ли обоснование конкретные данные, получателей и личные последствия?
3. Сроки и ответственность. Понятно ли, кто принимает решение о подаче жалобы и готовит уведомления?
4. Сотрудничество с поставщиками. Гарантируют ли контракты оперативное предоставление информации и помощи в урегулировании нарушений?
5. Независимость DPO. Имеет ли DPO доступ к высшему руководству и может ли оценивать деятельность, не контролируя при этом собственные управленческие решения?
В качестве дополнения можно использовать короткий пример: ошибочно отправленный список содержит номера PESEL сотрудников, а получатель не отвечает на просьбу удалить сообщение. Проработка этой гипотетической ситуации позволяет определить, способна ли организация своевременно собирать факты, оценивать риски и принимать решения.
Если вам нужна помощь в анализе нарушений, оценке независимости специалиста по защите данных или пересмотре процедур, ознакомьтесь с нашими консультационными услугами по защите персональных данных и свяжитесь с нашей юридической фирмой.
Часто задаваемые вопросы (FAQ)
Нужно ли сообщать в Управление по защите персональных данных о каждом нарушении правил защиты данных?
Нет. Уведомление не требуется, если нарушение вряд ли создаст угрозу правам и свободам отдельных лиц. Однако каждое нарушение должно быть задокументировано, а решение не сообщать о нем должно быть обоснованным.
Когда начинается отсчет 72-часового периода для сообщения о нарушении?
Отсчет времени начинается с момента выявления администратором нарушения. Этот момент не следует рассматривать как завершение всего технического расследования или утверждение отчета руководством.
Необходимо ли уведомить об этом человеке в течение 72 часов?
Статья 34 GDPR требует незамедлительного уведомления, если нарушение может повлечь за собой высокий риск. Она не устанавливает отдельный 72-часовой срок, и обязанность должна оцениваться с учетом исключений, предусмотренных в этом положении.
Может ли поставщик системы взять на себя ответственность за предоставление отчетности, которая ранее принадлежала учреждению?
Простое поручение обработки данных не перекладывает обязательства контролера на поставщика услуг. Поставщик услуг может оказать помощь в устранении нарушения, но организация должна обеспечить надлежащее выполнение своих обязательств.
Может ли специалист по защите данных (DPO) одновременно работать в отделе соответствия нормативным требованиям или в ИТ-отделе?
Да, при условии, что выполнение других задач не создаст конфликта интересов. Необходимо проверить фактическую компетентность, в частности, определяет ли данное лицо цели и средства обработки данных, которые оно затем должно самостоятельно контролировать.
Является ли штраф, наложенный UODO, равноценной компенсации пациенту или клиенту?
Нет, это разные виды ответственности. Для предъявления иска в соответствии со статьей 82 GDPR требуется доказательство материального или нематериального ущерба, причиненного нарушением, и административный штраф сам по себе не заменяет эту оценку. Правовая основа – статья 82 GDPR.
Основы и источники
Правовые акты
1. GDPR – Регламент (ЕС) 2016/679 Европейского парламента и Совета от 27 апреля 2016 г., в частности: статья 5(1)(a), (e) и (f) и (2) и статья 6(1), статья 24, статья 28(3)(f), статья 32, статьи 33-34, статья 37(7), статья 38(3) и (6) и статья 39(1)(b), статьи 82-83. Текст GDPR предоставлен UODO.
2. Закон от 29 августа 1997 г. – Банковское право: статья 105а, разделы 2–3 и 5. Сводный текст в ELI, стр. 193–194.
3. Закон от 10 мая 2018 г. о защите персональных данных – Статья 10, пункты 1 и 4, Статья 11. Сводный текст в ELI, стр. 6–7.
Судебная практика и исходные материалы
4. Решение Высшего административного суда от 26 августа 2026 г., III ОСК 251/24 – оценка рисков после раскрытия данных, включая номер ПЭСЕЛ и обязанности администратора, обсуждение на основе заявления УОДО от 28 августа 2026г.
5. Решение Верховного административного суда от 2 сентября 2026 г., III ОСК 252/24 – применение статьи 105а, пунктов 2–3 Закона о банковской деятельности к физическим лицам, осуществляющим предпринимательскую деятельность, обсуждение на основе заявления Управления по защите персональных данных от 15 сентября 2026г.
6. Решение Суда ЕС от 9 февраля 2023 г., C-453/21, X-FAB Дрезден, в частности, пункты 44-46 – конфликт интересов при совмещении функций DPO с другими задачами. Полный текст решения доступен в EUR-Lex.
7. Решение Председателя Управления по защите персональных данных, ДКН.5131.24.2025 – независимость Уполномоченного по защите персональных данных и уведомление о его назначении, обсуждение на основе сообщения Управления по защите персональных данных от 31 августа 2026г.
8. Европейский совет по защите данных, Руководство 9/2022 по уведомлению о нарушении защиты персональных данных в соответствии с GDPR, версия 2.0, принятое 28 марта 2023 г., в частности, пункты 31-36 – момент установления факта нарушения. Текст руководства представлен на английском языке.
9. UODO, Часто задаваемые вопросы по инциденту с MyDr, 27 августа 2026 г. – информация для пострадавших от утечки данных и администраторов. Часто задаваемые вопросы UODO.
10. UODO, «Контроллер должен сообщить об утечке, произошедшей на стороне процессора», объявление от 12 августа 2026 г., обновлено 31 августа 2026 г. – обязательства учреждений, использующих MyDr. Позиция UODO.
11. Отчет о деятельности Президента Управления по защите персональных данных за 2025 год, в частности, стр. 17–18 – статистические данные. Полный отчет и обзор деятельности Управления по защите персональных данных опубликованы 1 сентября 2026 года.
Объявления UODO и руководящие принципы EDPB служат для разъяснения практики применения правил; они не являются самостоятельной основой для обязанностей контролера. Решения Высшего административного суда и решение DPO указывают на объявления, на которых основано наше обсуждение.
Данная статья носит исключительно информационный характер и не является юридической консультацией
Правовой статус по состоянию на 16 сентября 2026 года.
Автор:
Редактор серии:
