На рубежі серпня та вересня 2026 року було прийнято кілька важливих рішень та оголошень щодо захисту персональних даних. Рішення Верховного адміністративного суду щодо розкриття номерів PESEL, позиція UODO щодо інциденту MyDr та штраф за відсутність незалежності для співробітника із захисту даних демонструють типи помилок, які можуть призвести до відповідальності організації. Для підприємців, медичних закладів та керуючих нерухомістю спільний висновок є практичним: важливо мати змогу продемонструвати, хто оцінив порушення, на чому ґрунтувалося їхнє рішення та чи зробили вони це своєчасно. У цьому випуску серії «Відповідність» ми обговорюємо вибрані події серпня та вересня та рекомендації, що випливають з цього.
Які результати рішення Верховного адміністративного суду щодо розкриття номера PESEL?
Контролер повинен обґрунтувати рішення не повідомляти про порушення конкретним аналізом ризиків. Простого запису інциденту в журналі недостатньо для обґрунтування такого рішення.
26 серпня 2026 року Верховний адміністративний суд виніс рішення у справі III OSK 251/24. Згідно з оголошенням UODO від 28 серпня, ВАС скасував рішення Воєводського адміністративного суду на користь житлового кооперативу та відхилив його апеляцію на рішення органу влади. В результаті, штраф у розмірі майже 52 000 злотих за неповідомлення про порушення та неповідомлення суб'єкта даних було залишено без змін. Справа стосувалася розкриття копії повідомлення про підозру у злочині, що містило дані члена кооперативу. Оголошення UODO щодо рішення ВАС.
За описаних обставин Верховний адміністративний суд прийняв оцінку, що розкриття імені, прізвища, адреси та номера PESEL створює високий ризик порушення прав чи свобод цієї особи. Він також підтвердив статус кооперативу як підприємця для цілей статті 83(4) GDPR. Рішення є остаточним та обов'язковим до виконання у конкретній справі, а його значення для інших контролерів полягає, перш за все, у вказівках щодо того, як оцінювати подібні порушення. Обговорення рішення Управлінням із захисту персональних даних.
На практиці, поєднання постійного ідентифікатора, такого як PESEL (персональний ідентифікаційний номер), з даними, що дозволяють легко ідентифікувати особу та місце проживання, вимагає особливої уваги. Оцінка повинна враховувати, серед іншого, обсяг розкриття, одержувачів даних, застосовані заходи безпеки та можливі наслідки для осіб. Відсутність інформації про використання даних не обов'язково означає відсутність ризику. Ризик також оцінюється крізь призму можливих майбутніх наслідків.
Таким чином, ми рекомендуємо, щоб форма оцінки порушення вимагала включення фактів, що підтверджують передбачуваний рівень ризику. Поле «низький ризик» має бути обґрунтованим, що дозволить реконструювати обґрунтування оцінки.
Коли слід повідомляти про порушення та сповіщати суб'єктів даних?
Звітування перед Президентом Управління із захисту персональних даних (UODO) та повідомлення особи – це два окремі зобов’язання, що виникають через різні рівні ризику. Це розмежування ґрунтується на статтях 33 та 34 GDPR.
| Обов'язок | Коли його створюють? | Кінцевий термін |
| Документування порушення | У кожному випадку порушення захисту даних, навіть якщо про нього не повідомлено компетентному органу | Поточний – документація повинна відображати хід заходу та вжиті дії |
| Звітування перед Президентом Управління захисту персональних даних | Це не виникає, якщо порушення навряд чи призведе до ризику для прав чи свобод осіб | Без невиправданої затримки, і якщо можливо, не пізніше ніж через 72 години після виявлення порушення |
| Повідомлення особи | Коли порушення ймовірно призведе до високого ризику, враховуючи винятки, передбачені статтею 34(3) GDPR | Без подальших зволікань |
Джерело: GDPR, зокрема статті 33–34.
72-годинний термін застосовується до звітування до органу влади. Він не є окремим законодавчо встановленим терміном для повідомлення особи або підставою для відкладення дій до останньої години. Якщо повну інформацію неможливо надати одразу, стаття 33(4) дозволяє її надавати послідовно, без невиправданої затримки. Звіти, подані після 72 годин, вимагають пояснення причин затримки.
Оцінювання слід проводити на постійній основі та враховувати інформацію, доступну на момент прийняття рішення. Документація повинна містити час виявлення порушення, джерела висновків, відсутню інформацію, обґрунтування рішення та осіб, залучених до оцінювання. Нові факти можуть вимагати оновлених висновків. Такий підхід також дозволяє продемонструвати, чому контролер вважав звіт необхідним на певному етапі або чому було вирішено не повідомляти.
Які зобов'язання мають установи, що використовують MyDr?
Доручення обробки даних постачальнику медичної системи не звільняє заклад від його зобов’язань як контролера. У FAQ від 27 серпня 2026 року Управління із захисту персональних даних (UODO) нагадало, що заклад, який отримав підтвердження того, що його дані постраждали від інциденту MyDr, повинен оцінити порушення та свої зобов’язання щодо звітності. У випадках високого ризику також потрібне повідомлення пацієнтів. Цей FAQ є інформативним та роз’яснює застосування чинних правил. FAQ Управління із захисту персональних даних (UODO) щодо MyDr.
Для закладу першим кроком є визначення того, чи вплинув інцидент на його пацієнтів, які дані були скомпрометовані та що відомо про інцидент. Інформація від постачальника має бути корисною для власної оцінки адміністратора. Важливо зберігати всю кореспонденцію та наступні версії звітів, оскільки вони можуть уточнити, коли заклад отримав конкретну інформацію.
Однак очікування офіційного листа від постачальника не слід вважати автоматичним перенесенням терміну. За даними Європейської ради із захисту даних (ЄРЗД), встановлення порушення вимагає отримання достатньої впевненості в тому, що інцидент поставив під загрозу безпеку персональних даних. Якщо установа вже має достовірні докази, вона повинна діяти на їх основі. Керівні принципи ЄРЗД 9/2022, пункти 31-36.
Повідомлення пацієнту повинно чітко пояснювати характер порушення, можливі наслідки, вжиті заходи та способи отримання додаткової інформації. Щодо даних про здоров'я, також необхідно враховувати ризик дискримінації або порушення особистих прав. Загальна інформація про «ІТ-інцидент» може не дозволити пацієнту зрозуміти загрозу. Позиція Управління захисту персональних даних щодо зобов'язань контролерів даних.
Після того, як управління поточними порушеннями забезпечено, варто переглянути угоду про захист даних, зобов'язання постачальника щодо співпраці та умови страхування кібербезпеки. Оцінка потенційних претензій вимагає визначення відповідальності, збитків та причинно-наслідкового зв'язку. Сам факт того, що інцидент стався, не визначає обґрунтованість регресу або виплати страхового відшкодування.
Коли банк та BIK можуть обробити дані підприємця після погашення кредиту?
Захист, передбачений пунктами 2-3 статті 105a Закону про банківську діяльність, також поширюється на фізичних осіб, які здійснюють підприємницьку діяльність. Це важливо при оцінці того, чи можуть банк та Бюро кредитної інформації (BIK) продовжувати обробку даних після закінчення терміну дії зобов'язання щодо бізнес-кредиту.
У своєму рішенні від 2 вересня 2026 року, III OSK 252/24, Верховний адміністративний суд підтвердив, що вищезазначені положення не обмежуються споживачами. Згідно з оголошенням UODO від 15 вересня, суд відхилив касаційні скарги, подані PKO BP та Бюро кредитної інформації (BIK). Рішення є остаточним. Оголошення UODO щодо даних підприємців у банках та Бюро кредитної інформації (BIK).
Погашення кредиту не автоматично тягне за собою зобов'язання видалити всі дані. Подальша обробка може ґрунтуватися на згоді або на законодавчих підставах для обробки без згоди. При застосуванні статті 105a, пункту 3, необхідно перевірити умови невиконання зобов'язань або затримки погашення, а також ефективне повідомлення особи про намір продовжувати обробку своїх даних. Корпоративна мета кредиту не звільняє її від такої оцінки.
На практиці ми рекомендуємо банкам та фінансовим установам перевіряти, чи застосовуються їхні процедури обробки даних після укладення договору також до фізичних осіб-підприємців. Однак підприємства, які оскаржують внесення до BIK, повинні встановити підстави для подальшої обробки, історію своїх платежів та зміст будь-яких отриманих повідомлень. Ця інформація допоможе оцінити обґрунтованість запиту на видалення даних у конкретному випадку.
Коли поєднання функцій DPO призводить до конфлікту інтересів?
Спеціаліст із захисту даних повинен мати можливість самостійно оцінювати, як дані обробляються в організації. Проблема виникає, коли йому також доручають прийняття рішень, які він потім має контролювати.
У прес-релізі від 31 серпня 2026 року Управління із захисту персональних даних (UODO) описало випадок судового виконавця, який протягом п'яти років обіймав посади контролера персональних даних та співробітника із захисту даних (DPO) у власному офісі виконавця. Загальний штраф склав 15 500 злотих, включаючи 12 000 злотих за незабезпечення незалежності інспектора та 3 500 злотих за неповідомлення органу влади про його призначення. Номер справи DKN.5131.24.2025. Це адміністративне рішення; прес-реліз не підтверджує результат можливого судового перегляду. Прес-реліз UODO щодо незалежності DPO.
Походження цієї справи також є значним. Порушення, пов'язані з особою із захистом даних (DPO), були виявлені під час аналізу іншого повідомлення про порушення, яке стосувалося надсилання листа не тій особі. Це демонструє, що обробка одного інциденту може призвести до оцінки ширших організаційних рішень. UODO також зазначив, що неправильне поєднання функцій мало на меті заощадити кошти контролеру. Опис дій UODO.
GDPR дозволяє співробітникам з захисту даних виконувати інші завдання, якщо вони не призводять до конфлікту інтересів. У попередньому рішенні Суду ЄС від 9 лютого 2023 року, C-453/21, уточнюється, що оцінка вимагає вивчення всіх відповідних обставин, включаючи організаційну структуру та фактичну участь у визначенні цілей та засобів обробки. Рішення Суду ЄС у справі X-FAB Dresden, пункти 44-46.
Тому варто розглянути можливість поєднання функції DPO з керівними посадами в ІТ, HR, комплаєнсі або безпеці. Сама лише назва посади не замінює оцінки компетенцій. Хоча консультування щодо впровадження системи може бути частиною ролі DPO, самостійне встановлення правил обробки даних, які вони згодом контролюють, може призвести до конфлікту інтересів. Аутсорсинг DPO також вимагає такої оцінки.
Вам також слід перевірити публікацію контактних даних та своєчасність повідомлень до Управління захисту персональних даних (UODO). 14-денний термін для повідомлення про призначення Уповноваженого з захисту даних (DPO) встановлено статтею 10(1) Закону Польщі про захист персональних даних. UODO роз’яснює повідомлення щодо Уповноважених з захисту даних.
Що показує статистика UODO за 2025 рік?
Дані за 2025 рік свідчать про збільшення кількості справ та загальної суми накладених штрафів. Звіт, представлений на веб-сайті UODO 1 вересня 2026 року, містить такі цифри:
| Індикатор | 2024 рік. | 2025 рік. |
| Скарги, за винятком справ, що розглядаються в рамках міжнародного співробітництва | 8056 | 12 827 |
| Звіти про порушення даних | 14 842 | 22 435 |
| Інспекції | 50 | 76 |
| Загальна сума накладених штрафів | приблизно 13,91 млн злотих | приблизно 64,44 млн. злотих |
Джерело: обговорення звіту Голови Управління із захисту персональних даних за 2025 рік.
Загальна сума штрафів, накладених Управлінням із захисту персональних даних (UODO), зросла приблизно на 363% у річному обчисленні. Цей показник описує суму санкцій, тому він не дозволяє нам припустити, що ризик покарання конкретної компанії збільшився в тій самій пропорції. Аналогічно, збільшення кількості повідомлень саме по собі не доводить ідентичне збільшення кількості всіх порушень.
Перелік повторюваних проблем корисний для організацій: листування, спрямоване неправильним одержувачам, неправильна анонімізація, моніторинг, маркетинг, стягнення боргів та обробка медичних даних і даних співробітників. Це процеси, які роблять доцільним розпочати перегляд. Ми детальніше обговорюємо маркетингові питання у статті «UODO детальніше розглядає маркетинг у 2026 році – кінець фіктивної згоди?».
Що варто перевірити в організації?
Найкорисніший аналіз відповідності має перевіряти ефективність процедур на конкретних прикладах. Відправною точкою може бути нещодавнє порушення, нещодавно впроваджена система або поточний обсяг обов'язків співробітника служби захисту даних.
Ми рекомендуємо перевірити п'ять проблем:
1. Повідомлення про інциденти в організації. Чи знає працівник, кому повідомляти про цю інформацію та хто замінить цю особу під час її відсутності?
2. Оцінка ризиків. Чи стосується обґрунтування конкретних даних, одержувачів та персональних наслідків?
3. Терміни та відповідальність. Чи зрозуміло, хто приймає рішення щодо звітності та готує повідомлення?
4. Співпраця з постачальниками. Чи забезпечують контракти оперативне надання інформації та допомоги у вирішенні порушень?
5. Незалежність Уповноваженого з захисту даних. Чи має Уповноважений з захисту даних доступ до вищого керівництва та чи може він оцінювати діяльність, не контролюючи власні управлінські рішення?
Гарним доповненням до цього є коротка вправа: помилково надісланий список містить номери PESEL співробітників, а одержувач не відповідає на запит на видалення повідомлення. Розгляд цієї гіпотетичної ситуації дозволяє визначити, чи може організація зібрати факти, оцінити ризики та своєчасно прийняти рішення.
Якщо вам потрібна допомога в аналізі порушення, оцінці незалежності співробітника служби захисту даних або перевірці процедур, будь ласка, ознайомтеся з нашими консультаційними послугами щодо захисту персональних даних та зверніться до нашої юридичної фірми.
FAQ – часто задавані питання
Чи потрібно повідомляти про кожне порушення захисту даних до Управління захисту персональних даних?
Ні. Повідомлення не потрібне, якщо порушення навряд чи призведе до ризику для прав і свобод осіб. Однак кожне порушення має бути задокументоване, а рішення не повідомляти про нього має бути обґрунтованим.
Коли починається 72-годинний період для повідомлення про порушення?
Термін починається з моменту виявлення порушення адміністратором. Цей момент не слід вважати завершенням усього технічного розслідування або затвердженням звіту керівництвом.
Чи повідомлення особи також має бути зроблене протягом 72 годин?
Стаття 34 GDPR вимагає негайного повідомлення, якщо порушення ймовірно призведе до високого ризику. Вона не встановлює окремого 72-годинного терміну, і зобов'язання має оцінюватися з урахуванням винятків, передбачених цим положенням.
Чи може постачальник системи взяти на себе відповідальність за звітність від об'єкта?
Просте доручення обробки даних не переносить зобов'язання контролера на постачальника. Постачальник може допомогти у вирішенні проблеми порушення, але установа повинна забезпечити належне виконання своїх зобов'язань.
Чи може спеціаліст з захисту даних працювати одночасно у відділі комплаєнсу або ІТ-відділі?
Так, за умови, що інші завдання не створюють конфлікту інтересів. Фактична компетенція має бути перевірена, зокрема, чи визначає відповідна особа цілі та засоби обробки, які вона потім повинна самостійно контролювати.
Чи є штраф UODO тим самим, що й компенсація для пацієнта чи клієнта?
Ні, це окремі види відповідальності. Позов згідно зі статтею 82 GDPR вимагає доказів матеріальної або нематеріальної шкоди, завданої порушенням, і сам по собі адміністративний штраф не замінює цю оцінку. Правова підстава – стаття 82 GDPR.
Основи та джерела
Правові акти
1. GDPR – Регламент Європейського Парламенту та Ради (ЄС) 2016/679 від 27 квітня 2016 року, зокрема: стаття 5(1)(a), (e) та (f) і (2) та стаття 6(1), стаття 24, стаття 28(3)(f), стаття 32, статті 33-34, стаття 37(7), стаття 38(3) та (6) та стаття 39(1)(b), статті 82-83. Текст GDPR надано UODO.
2. Закон від 29 серпня 1997 року – Банківське право: стаття 105a, розділи 2–3 та 5. Зведений текст у ELI, с. 193–194.
3. Закон від 10 травня 2018 року про захист персональних даних – стаття 10, пункти 1 та 4, стаття 11. Зведений текст у ELI, с. 6–7.
Судова практика та джерела
4. Рішення Верховного адміністративного суду від 26 серпня 2026 року, III OSK 251/24 – оцінка ризиків після розкриття даних, включаючи номер PESEL та зобов’язання адміністратора, обговорення на основі оголошення UODO від 28 серпня 2026 року.
5. Рішення Верховного адміністративного суду від 2 вересня 2026 року, III OSK 252/24 – застосування пунктів 2–3 статті 105a Закону про банківську діяльність до фізичних осіб, які здійснюють підприємницьку діяльність, обговорення на основі оголошення Управління захисту персональних даних від 15 вересня 2026 року.
6. Рішення Суду ЄС від 9 лютого 2023 року, C-453/21, X-FAB Dresden, зокрема пункти 44-46 – конфлікт інтересів при поєднанні функції DPO з іншими завданнями. Повний текст рішення в EUR-Lex.
7. Рішення Голови Управління із захисту персональних даних, DKN.5131.24.2025 – незалежність Уповноваженого із захисту персональних даних та повідомлення про його призначення, обговорення на основі повідомлення Управління із захисту персональних даних від 31 серпня 2026 року.
8. Європейська рада із захисту даних, Керівні принципи 9/2022 щодо повідомлення про порушення захисту персональних даних відповідно до GDPR, версія 2.0, прийняті 28 березня 2023 року, зокрема пункти 31-36 – момент встановлення порушення. Текст керівних принципів англійською мовою.
9. UODO, Найчастіші запитання щодо інциденту MyDr, 27 серпня 2026 р. – інформація для постраждалих від порушення та адміністраторів. Найчастіші запитання UODO.
10. UODO, «Контролер повинен повідомити про витік, що стався на обробнику», оголошення від 12 серпня 2026 р., оновлене 31 серпня 2026 р. – зобов’язання установ, що використовують посаду MyDr. UODO.
11. Звіт про діяльність Голови Управління із захисту персональних даних у 2025 році, зокрема стор. 17–18 – статистичні дані. Повний звіт та огляд діяльності Управління із захисту персональних даних опубліковано 1 вересня 2026 року.
Оголошення UODO та керівні принципи EDPB служать для уточнення практики застосування регламентів; вони не є самостійною основою для зобов'язань контролера. Рішення Верховного адміністративного суду та рішення DPO вказують на оголошення, на яких ґрунтується їхнє обговорення.
Ця стаття призначена лише для ознайомлення та не є юридичною консультацією
Правовий статус станом на 16 вересня 2026 року.
Автор:
Редактор серії:
