wtorek, 22 września 2026

CRU po 3 miesiącach – czas na monitoring RODO

⚠️ CRU DZIAŁA JUŻ 3 MIESIĄCE. CZY KTOŚ SPRAWDZIŁ, CO FAKTYCZNIE TRAFIA DO REJESTRU?

Uruchomienie Centralnego Rejestru Umów nie kończy problemu RODO.

Wręcz przeciwnie.

Po kilku miesiącach funkcjonowania CRU warto przeprowadzić monitoring zgodności procesu z RODO, zgodnie z zadaniem IOD określonym w art. 39 ust. 1 lit. b RODO.

Dlaczego?

Bo w praktyce mogą pojawić się pytania:

🔴 Czy do CRU trafiają wyłącznie dane, które powinny być ujawnione?

🔴 Czy pracownicy prawidłowo identyfikują dane osobowe znajdujące się w umowach?

🔴 Czy nie publikujemy nadmiarowych danych osób fizycznych, np. adresów zamieszkania, numerów PESEL, danych kontaktowych?

🔴 Czy prawidłowo rozróżniamy dane kontrahenta będącego przedsiębiorcą od danych osoby fizycznej?

🔴 Czy osoby odpowiedzialne za przygotowanie informacji do CRU mają jasne zasady postępowania?

🔴 Czy proces publikacji i kontroli danych jest udokumentowany?

🔴 Czy zastosowane środki organizacyjne i techniczne są skuteczne?

To właśnie jest monitorowanie przestrzegania RODO, a nie tylko sprawdzenie, czy „CRU działa”.

UODO wskazuje, że rolą IOD jest m.in. zbieranie informacji o procesach, analizowanie i sprawdzanie zgodności przetwarzania oraz rekomendowanie działań korygujących.

„Mamy własnego IOD. Po co nam zewnętrzny?”

To bardzo dobre pytanie.

Outsourcing monitoringu konkretnego procesu nie musi oznaczać zmiany IOD.

W organizacji może funkcjonować własny IOD, a jednocześnie administrator może zlecić niezależne, wyspecjalizowane sprawdzenie konkretnego obszaru, np. CRU.

Ma to szczególne znaczenie wtedy, gdy:

👉 CRU został wdrożony niedawno,
👉 proces jest nowy lub zmieniły się zasady jego realizacji,
👉 IOD jest mocno zaangażowany w bieżące doradztwo,
👉 administrator chce uzyskać drugą, niezależną perspektywę,
👉 potrzebny jest szczegółowy monit dokumentów, formularzy, instrukcji i praktyki pracowników.

Ważne: zewnętrzny specjalista nie powinien „zastępować” IOD ani przejmować jego ustawowych zadań. UODO podkreśla, że IOD nie może wyręczać administratora w jego obowiązkach, a outsourcing funkcji IOD jest odrębną kwestią.

Dlatego proponuję usługę:

🔎 „Monitoring RODO CRU – 3 miesiące po wdrożeniu”

W ramach usługi:

✔️ analiza procesu przekazywania danych do CRU,
✔️ próba kontrolna opublikowanych umów,
✔️ identyfikacja nadmiarowych danych osobowych,
✔️ ocena zasad anonimizacji/wyłączeń,
✔️ sprawdzenie zakresów odpowiedzialności,
✔️ ocena procedur i instrukcji,
✔️ rozmowy z osobami realizującymi proces,
✔️ wskazanie niezgodności i ryzyk,
✔️ raport z rekomendacjami działań korygujących.

CRU nie powinien być procesem „wdrożonym raz na zawsze”.

Po 3 miesiącach funkcjonowania warto sprawdzić nie tylko, czy procedura została wdrożona, ale czy działa prawidłowo w praktyce.

📩 Potrzebujesz niezależnego monitoringu CRU?
Możemy przeprowadzić monitoring jako zewnętrzne wsparcie Twojego systemu ochrony danych – również wtedy, gdy w organizacji funkcjonuje już własny IOD.

niedziela, 20 września 2026

Lekarzu – wyciek MyDr to nie tylko problem MyDr

🚨 LEKARZU – WYCIEK MyDr TO NIE JEST TYLKO PROBLEM MyDr.

Korzystałeś z MyDr?

To, że MyDr było procesorem, nie oznacza, że możesz odłożyć temat na półkę.

Ty jesteś administratorem danych swoich pacjentów.

A to oznacza, że po potwierdzeniu, że incydent objął dane, które Tobie podlegają, trzeba m.in.:

🔴 ustalić zakres naruszenia,
🔴 ocenić ryzyko dla praw i wolności pacjentów,
🔴 przeanalizować obowiązek zgłoszenia naruszenia do UODO,
🔴 ocenić, czy konieczne jest zawiadomienie pacjentów,
🔴 udokumentować przeprowadzoną analizę i podjęte decyzje,
🔴 sprawdzić umowę powierzenia i sposób realizacji obowiązków przez procesora.

UODO przypomina, że w przypadku MyDr administrator powinien przeprowadzić taką analizę, a jeżeli zachodzą przesłanki – zgłosić naruszenie co do zasady w ciągu 72 godzin od jego stwierdzenia.

I teraz najważniejsze:

„MyDr miało zabezpieczenia” nie jest odpowiedzią na kontrolę.

UODO już kontroluje MyDr, a we wrześniu 2026 r. zapowiedział dodatkowe kontrole podmiotów sektora ochrony zdrowia w związku z ochroną danych pacjentów.

Dlatego pytanie nie brzmi:

❌ „Czy mój dostawca zawinił?”

Tylko:

„Czy jako administrator potrafię wykazać, co zrobiłem po otrzymaniu informacji o naruszeniu?”

I właśnie w takich sytuacjach potrzebny jest IOD z outsourcingu.

Nie IOD „do segregatora”.

Nie IOD, który pojawia się raz w roku.

Tylko IOD, który potrafi przeanalizować incydent, ocenić ryzyko, uporządkować dokumentację, wesprzeć administratora w kontakcie z procesorem i przygotować praktykę lekarską na pytania UODO.

👉 Jeżeli prowadzisz praktykę lekarską i korzystasz z zewnętrznych systemów do obsługi pacjentów – sprawdź dzisiaj, kto faktycznie pilnuje Twojego RODO.

Bo procesor może mieć problem z cyberbezpieczeństwem.
Ale administrator musi mieć uporządkowane RODO.

niedziela, 10 maja 2026

Profesjonalne pismo do zarządcy parkingu — łączącej reklamację, żądania dowodowe i uprawnienia z RODO

[Miejscowość, data]

Imię i nazwisko
Adres: .............................................
E-mail / telefon: .............................................
Nr rejestracyjny pojazdu: .............................................

Do:
[Nazwa zarządcy/operatora parkingu]
Adres: .............................................

REKLAMACJA / ODWOŁANIE OD OPŁATY DODATKOWEJ

wraz z żądaniem realizacji praw wynikających z RODO

Dotyczy: opłaty dodatkowej nr .............................................
Data zdarzenia: .............................................
Lokalizacja parkingu: .............................................

Szanowni Państwo,

niniejszym składam reklamację oraz wnoszę o anulowanie nałożonej opłaty dodatkowej z uwagi na jej bezzasadność, a także wnoszę o realizację moich praw wynikających z przepisów RODO.

W dniu wskazanym powyżej zaparkowałem pojazd i niezwłocznie udałem się do punktu/kasy/parkomatu/aplikacji mobilnej celem dokonania opłaty za postój. Pomimo podjęcia przeze mnie działań w rozsądnym i niezwłocznym czasie została naliczona opłata dodatkowa.

W mojej ocenie zastosowany przez Państwa system działał w sposób automatyczny, nieproporcjonalny oraz nieuwzględniający rzeczywistego czasu potrzebnego kierowcy na dokonanie opłaty parkingowej.

W związku z powyższym wnoszę o:

I. ANULOWANIE OPŁATY DODATKOWEJ

Wnoszę o:

uchylenie/anulowanie opłaty dodatkowej w całości,
usunięcie wszelkich negatywnych wpisów lub danych związanych z rzekomym naruszeniem,
potwierdzenie zamknięcia sprawy bez dalszych roszczeń wobec mnie.

II. WYJAŚNIENIE SPOSOBU PRZETWARZANIA DANYCH OSOBOWYCH

Na podstawie art. 15 RODO wnoszę o przekazanie:

pełnej informacji, jakie dane osobowe były przetwarzane w związku ze sprawą,
źródła pozyskania danych,
celu i podstawy prawnej przetwarzania,
informacji o odbiorcach danych,
okresu przechowywania danych,
informacji, czy dane były wykorzystywane do profilowania lub automatycznego podejmowania decyzji.

III. ŻĄDANIE INFORMACJI O AUTOMATYCZNYM PODEJMOWANIU DECYZJI

Na podstawie art. 22 RODO wnoszę o wskazanie:

czy opłata została naliczona wyłącznie automatycznie,
czy wykorzystano system kamer ANPR/OCR rozpoznający tablice rejestracyjne,
jakie kryteria i parametry zastosowano przy naliczeniu opłaty,
jaki czas tolerancji („grace period”) przewidziano na dokonanie płatności po zaparkowaniu,
czy decyzja została zweryfikowana przez człowieka,
jakie środki zastosowano celem uniknięcia błędnych decyzji systemowych.

Jednocześnie wnoszę o:

przeprowadzenie ponownej indywidualnej analizy sprawy przez człowieka,
umożliwienie mi zakwestionowania decyzji systemu,
przedstawienie uzasadnienia decyzji.

IV. WNIOSEK O ZABEZPIECZENIE MATERIAŁU DOWODOWEGO

Wnoszę o niezwłoczne zabezpieczenie:

zdjęć pojazdu,
nagrań monitoringu,
logów systemowych,
historii odczytów tablic rejestracyjnych,
historii działań operatorów systemu,
danych dotyczących czasu wykrycia pojazdu i czasu naliczenia opłaty,
informacji dotyczących działania algorytmu/systemu naliczania opłat.

Wnoszę o powstrzymanie się od usuwania lub nadpisywania wskazanych danych do czasu ostatecznego zakończenia sprawy.

V. ZARZUT NARUSZENIA ZASAD RODO

W mojej ocenie mogło dojść do naruszenia:

art. 5 ust. 1 lit. a RODO — zasady rzetelności i przejrzystości,
art. 5 ust. 1 lit. d RODO — zasady prawidłowości danych,
art. 5 ust. 1 lit. c RODO — zasady proporcjonalności i minimalizacji,
art. 13 RODO — obowiązku informacyjnego,
art. 15 RODO — prawa dostępu do danych,
art. 22 RODO — prawa do niepodlegania wyłącznie zautomatyzowanej decyzji.

VI. DALSZE KROKI

W przypadku nieuwzględnienia niniejszego odwołania rozważę skierowanie sprawy do:

Urząd Ochrony Danych Osobowych,
właściwego rzecznika konsumentów,
właściwego sądu powszechnego celem ochrony moich praw oraz dochodzenia roszczeń.

Proszę o udzielenie odpowiedzi w ustawowym terminie.

Z poważaniem

.............................................
(podpis)

sobota, 9 maja 2026

Bank zablokował ci dostęp do konta za granicą tu masz wzór reklamacji z RODO

[Miejscowość, data]

Imię i nazwisko klienta
Adres: .............................................
PESEL: ............................................. (o ile chcesz podać)
Nr klienta / nr rachunku: .............................................
Telefon / e-mail: .............................................

Do:
[Nazwa Banku]
Adres: .............................................

REKLAMACJA

dotycząca blokady dostępu do rachunku bankowego oraz żądania wyjaśnień w zakresie zautomatyzowanego podejmowania decyzji zgodnie z art. 22 RODO

Szanowni Państwo,

niniejszym składam reklamację dotyczącą zablokowania mi dostępu do rachunku bankowego oraz środków finansowych podczas mojego pobytu za granicą, pomimo przeprowadzenia przeze mnie procedury weryfikacyjnej i udzielenia prawidłowych odpowiedzi na pytania weryfikacyjne.

W trakcie kontaktu z Bankiem zostałem poinformowany, że system uznał moje odpowiedzi za błędne, co skutkowało dalszym ograniczeniem dostępu do rachunku i środków finansowych. Sytuacja ta naraziła mnie na poważne konsekwencje organizacyjne, finansowe oraz osobiste, w szczególności brak możliwości swobodnego korzystania z własnych środków pieniężnych poza granicami kraju.

W mojej ocenie opisane działania mogły stanowić naruszenie przepisów RODO, w szczególności:

art. 5 ust. 1 lit. a RODO — zasady rzetelności i przejrzystości,
art. 5 ust. 1 lit. d RODO — zasady prawidłowości danych,
art. 15 RODO — prawa dostępu do informacji o przetwarzaniu danych,
art. 22 RODO — prawa do niepodlegania decyzji opierającej się wyłącznie na zautomatyzowanym przetwarzaniu, wywołującej wobec osoby fizycznej istotne skutki.

W związku z powyższym wnoszę o:

1. Szczegółowe wyjaśnienie przyczyn blokady

W szczególności:

wskazanie, czy decyzja została podjęta wyłącznie w sposób zautomatyzowany,
wskazanie, jakie kryteria, parametry lub mechanizmy zostały użyte przez system,
wskazanie, jakie konkretne odpowiedzi zostały uznane za błędne oraz z jakiego powodu.

2. Realizację uprawnień wynikających z art. 22 ust. 3 RODO

Poprzez:

zapewnienie interwencji człowieka po stronie Banku,
ponowną indywidualną analizę sprawy,
umożliwienie mi przedstawienia stanowiska,
umożliwienie zakwestionowania decyzji systemu.

3. Udzielenie informacji zgodnie z art. 15 RODO

Wnoszę o przekazanie:

informacji o logice zastosowanej w zautomatyzowanym podejmowaniu decyzji,
informacji o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania,
kopii danych osobowych przetwarzanych w związku z procedurą weryfikacyjną i blokadą rachunku,
informacji o źródle danych wykorzystywanych do oceny ryzyka lub weryfikacji.

4. Wskazanie podstawy prawnej i proceduralnej

Wnoszę o wskazanie:

podstawy prawnej zastosowanej blokady,
okresu obowiązywania ograniczenia,
procedury odwoławczej dostępnej dla klienta znajdującego się poza granicami kraju.

Jednocześnie wskazuję, że brak skutecznej możliwości odzyskania dostępu do własnych środków finansowych podczas pobytu za granicą mógł naruszyć moje prawa i wolności jako osoby, której dane dotyczą, a także doprowadzić do powstania szkody majątkowej i niemajątkowej.

W przypadku nieuwzględnienia reklamacji lub udzielenia odpowiedzi niespełniającej wymogów RODO rozważę skierowanie sprawy do:

Urząd Ochrony Danych Osobowych,
Rzecznik Finansowy,
właściwego sądu powszechnego celem dochodzenia roszczeń na podstawie art. 82 RODO.

Proszę o udzielenie odpowiedzi w ustawowym terminie.

Z poważaniem

.............................................
(podpis)

poniedziałek, 27 kwietnia 2026

Do czego rekruterzy wykorzystują DO z apek instalowanych na komputerach kandydatów

To nie działa tak szeroko, jak się często obawiamy — ale pewne praktyki faktycznie istnieją i warto je rozumieć „na chłodno”.

1. Do czego naprawdę wykorzystywane są dane z aplikacji rekrutacyjnych?

Jeśli instalujesz aplikację na komputerze kandydata (np. do testów, rozmów, monitoringu), dane mogą być używane do:

✔️ Procesu rekrutacji:

analiza CV, formularzy, wyników testów
nagrania rozmów (video interview tools)
ocena zachowania (np. czas reakcji, sposób rozwiązywania zadań)

✔️ Weryfikacji kompetencji:

testy techniczne (np. kod pisany w dedykowanej aplikacji)
testy psychometryczne / poznawcze

✔️ Zapobiegania oszustwom (proctoring):

dostęp do kamery/mikrofonu
śledzenie aktywności na ekranie
wykrywanie przełączania kart

✔️ Optymalizacji procesu rekrutacji:

statystyki (np. ilu kandydatów odpada na danym etapie)
analiza skuteczności ogłoszeń

2. Gdzie zaczyna się problem?

Problem pojawia się, gdy aplikacja zbiera więcej danych niż powinna, np.:

dostęp do całego dysku
zbieranie danych o innych aplikacjach
monitorowanie poza testem
brak jasnej informacji, co dokładnie jest zbierane

To już może naruszać zasady minimalizacji danych z RODO.

3. Czy to jest legalne?

Tak — ale tylko pod warunkami.

Zgodnie z RODO pracodawca musi:

✔️ mieć podstawę prawną

najczęściej: działania przed zawarciem umowy
czasem: zgoda (ale uwaga — w rekrutacji bywa „wymuszona”)

✔️ spełnić obowiązek informacyjny

co zbiera
po co
jak długo przechowuje
komu udostępnia

✔️ ograniczyć zakres danych

tylko to, co niezbędne

✔️ zapewnić bezpieczeństwo danych

👉 Jeśli aplikacja zbiera „za dużo” albo robi to w sposób ukryty — to już może być nielegalne.

4. Czy dane kandydatów trafiają do trenowania AI?

To jest najciekawszy i najbardziej „szary” obszar.

Teoretycznie:

Dane z rekrutacji mogą być używane do trenowania AI, np.:

systemów ATS (Applicant Tracking Systems)
modeli scoringowych kandydatów
automatycznej selekcji CV

W praktyce:

duże firmy technologiczne rozwijają takie systemy
narzędzia typu HireVue, Pymetrics itp. używają AI do analizy kandydatów

ALE:

❗ zgodnie z RODO:

musi być jasna podstawa prawna
kandydat musi być poinformowany
często wymagana jest zgoda (szczególnie przy profilowaniu)

5. Profilowanie i automatyczne decyzje

Tu wchodzi art. 22 RODO:

Kandydat ma prawo:

nie podlegać decyzji wyłącznie opartej na automatycznym przetwarzaniu
żądać „ludzkiej interwencji”

Czyli:
👉 AI może pomagać, ale nie powinno samo decydować o odrzuceniu kandydata (bez udziału człowieka). Rola człowieka nie może się ograniczyć do zaakceptowania wyniku działania AI. To jest niezgodne z RODO. Rekruterzy tak robią ponieważ oszczędzają czas a krótki czas nie sprzyja zgodności z przepisem.

6. Najważniejsze ryzyka dla kandydatów

brak świadomości, co zbiera aplikacja
nadmierna inwigilacja (szczególnie proctoring)
„ukryte” trenowanie modeli AI
błędne decyzje algorytmów (bias)

7. Jak się chronić jako kandydat?

Praktycznie:

czytaj politykę prywatności (wiem — brzmi banalnie, ale tu ma znaczenie)
sprawdzaj uprawnienia aplikacji
jeśli coś wygląda podejrzanie → pytaj rekrutera
możesz odmówić instalacji (choć to bywa „kosztowne”, bo wykluczają cię z procesu). Takie podejście można kwestionować do UODO.

8. Podsumowanie (bez straszenia, ale realistycznie)

większość firm używa tych danych do rekrutacji, nie do „szpiegowania”
AI w rekrutacji już istnieje, ale jest regulowane
największy problem to nadmiar danych i brak transparentności, nie sam fakt AI
Firma musi mieć OSOD (DPIA) oraz dokumentację techniczną potwierdzającą legalność i rzetelność narzędzia

niedziela, 26 kwietnia 2026

Czy specjalista z walki radioelektronicznej może być dobrym inspektorem ochrony danych?

Tak – może, ale nie automatycznie. Kompetencje z obszaru walki radioelektronicznej mogą stanowić istotny atut, jednak nie są wystarczające same w sobie do pełnienia funkcji inspektora ochrony danych.

1. Obszary, w których kompetencje WRE są dużą zaletą

Specjalista WRE zazwyczaj posiada:

bardzo dobrą znajomość systemów teleinformatycznych i transmisji danych,
doświadczenie w analizie zagrożeń, zakłóceń i przechwytywania informacji,
wysoki poziom świadomości bezpieczeństwa informacji i ryzyka operacyjnego,
umiejętność pracy w środowisku o podwyższonym rygorze bezpieczeństwa.

➡️ Te kompetencje są szczególnie cenne w obszarze:

art. 32 RODO (bezpieczeństwo przetwarzania),
analizy ryzyka,
oceny podatności systemów IT,
współpracy z działami IT i bezpieczeństwa.

W praktyce wielu IOD ma największe trudności właśnie w technicznej ocenie zabezpieczeń, co dla specjalisty WRE bywa naturalnym obszarem pracy.

2. Kluczowe kompetencje IOD, których WRE nie gwarantuje

RODO jasno wskazuje, że inspektor ochrony danych:

nie jest specjalistą wyłącznie od bezpieczeństwa IT,
pełni funkcję doradczą, kontrolną i edukacyjną,
musi posiadać wiedzę prawną z zakresu ochrony danych osobowych.

IOD musi m.in.:

interpretować przepisy RODO i prawa krajowego,
oceniać legalność podstaw przetwarzania danych,
analizować umowy powierzenia, zgody, obowiązki informacyjne,
komunikować się z organem nadzorczym (PUODO),
szkolić pracowników nietechnicznych.

➡️ Doświadczenie stricte wojskowe lub techniczne nie obejmuje automatycznie:

zasad legalności przetwarzania (art. 5–6 RODO),
praw osób, których dane dotyczą,
odpowiedzialności administratora,
praktyki compliance i dokumentacji RODO.

3. Niezależność i rola organizacyjna – potencjalne ryzyko

IOD:

nie może pełnić funkcji decyzyjnych w zakresie przetwarzania danych,
nie powinien sam projektować ani wdrażać zabezpieczeń, które następnie ocenia.

Specjalista WRE, przyzwyczajony do:

bezpośredniego wpływu operacyjnego,
decyzyjności technicznej,
hierarchicznego modelu działania,

może wymagać zmiany perspektywy – z roli wykonawczej na rolę doradczą i kontrolną.

4. Wniosek końcowy

Specjalista z walki radioelektronicznej może być bardzo dobrym inspektorem ochrony danych, jeżeli:

uzupełni swoje kompetencje o wiedzę prawną z zakresu RODO,
rozumie rolę IOD jako funkcji niezależnej i doradczej, a nie operacyjnej,
potrafi komunikować złożone zagadnienia techniczne w sposób zrozumiały dla biznesu.

Najczęściej będzie to szczególnie dobry IOD w organizacjach:

o wysokich wymaganiach bezpieczeństwa,
przetwarzających dane w systemach złożonych technicznie,
narażonych na incydenty i zagrożenia cybernetyczne.

piątek, 24 kwietnia 2026

Procedura Bezpiecznego Przetwarzania Danych Osobowych W Trakcie Pracy Zdalnej – Księgowość z KSeF

Procedura bezpiecznego przetwarzania danych osobowych w trakcie pracy zdalnej

(dla działu księgowości / biura rachunkowego)

1. Cel procedury

Celem niniejszej procedury jest określenie zasad bezpiecznego przetwarzania danych osobowych w trakcie wykonywania pracy zdalnej w obszarze księgowości, w sposób zapewniający zgodność z RODO oraz szczególny poziom ochrony danych finansowych, kadrowych i podatkowych.

Procedura uwzględnia podwyższone ryzyko związane z przetwarzaniem m.in. danych identyfikacyjnych, płacowych, bankowych oraz danych szczególnych kategorii (np. dane o zdrowiu zawarte w dokumentacji kadrowo-płacowej).

2. Zakres procedury

Procedura ma zastosowanie do wszystkich osób wykonujących pracę zdalną w obszarze księgowości, w szczególności: - pracowników działu księgowości, - pracowników biur rachunkowych, - współpracowników B2B, - osób prowadzących obsługę kadrowo-płacową, - innych osób upoważnionych do przetwarzania danych w systemach finansowo-księgowych.

3. Definicje

· ADO – Administrator Danych Osobowych,

· praca zdalna – wykonywanie czynności księgowych poza siedzibą ADO,

· dane osobowe – dane w rozumieniu art. 4 pkt 1 RODO, w tym dane pracownicze, kontrahentów i klientów,

· dane wrażliwe – dane szczególnych kategorii przetwarzane w ramach dokumentacji kadrowej.

4. Odpowiedzialność

1. ADO odpowiada za wdrożenie, nadzór i aktualizację procedury.

2. Osoby wykonujące pracę zdalną odpowiadają za zgodne z procedurą przetwarzanie danych oraz zachowanie tajemnicy księgowej i zawodowej.

5. Zakres i zasady przetwarzania danych w księgowości zdalnej

1. Dane osobowe mogą być przetwarzane wyłącznie w zakresie niezbędnym do realizacji:

o obowiązków księgowych i podatkowych,

o obsługi kadrowo-płacowej,

o obowiązków sprawozdawczych.

2. Zabronione jest kopiowanie danych „na zapas” oraz tworzenie prywatnych archiwów dokumentów.

3. Każda osoba przetwarzająca dane musi posiadać imienne upoważnienie.

6. Organizacja stanowiska pracy zdalnej

1. Praca zdalna musi być wykonywana w miejscu:

o zapewniającym poufność danych finansowych,

o uniemożliwiającym wgląd osób trzecich w dokumenty księgowe.

2. Zabronione jest przetwarzanie danych księgowych w miejscach publicznych.

3. Dokumenty papierowe (faktury, listy płac, umowy) należy przechowywać w zamkniętych szafach lub pojemnikach.

7. Zasady korzystania ze sprzętu i systemów księgowych

1. Dane osobowe mogą być przetwarzane wyłącznie na sprzęcie zatwierdzonym przez ADO.

2. Systemy finansowo-księgowe muszą:

o posiadać indywidualne konta użytkowników,

o rejestrować logi dostępu,

o być regularnie aktualizowane.

3. Zabronione jest eksportowanie danych do plików lokalnych bez zgody ADO.

4. Nośniki danych muszą być szyfrowane.

8. Bezpieczeństwo połączeń i transmisji danych

8A. Szczególne zasady bezpieczeństwa w związku z korzystaniem z KSeF

Dostęp do Krajowego Systemu e-Faktur (KSeF) w ramach pracy zdalnej może odbywać się wyłącznie:

o z wykorzystaniem kont i uprawnień nadanych zgodnie z zasadami określonymi przez ADO,

o z użyciem sprzętu zatwierdzonego przez ADO.

Zabronione jest korzystanie z KSeF z prywatnych urządzeń lub kont niezarejestrowanych w systemach ADO.
Dane uwierzytelniające do KSeF (tokeny, certyfikaty, dane dostępowe) podlegają szczególnej ochronie i nie mogą być:

o udostępniane osobom trzecim,

o przechowywane w formie jawnej,

o przesyłane za pośrednictwem niezabezpieczonych kanałów komunikacji.

Uprawnienia w KSeF powinny być nadawane zgodnie z zasadą minimalizacji i okresowo weryfikowane.
Dostęp do systemów księgowych musi odbywać się z wykorzystaniem:

o VPN lub innych bezpiecznych połączeń,

o uwierzytelniania wieloskładnikowego (jeśli dostępne).

Przesyłanie dokumentów księgowych odbywa się wyłącznie za pośrednictwem zatwierdzonych kanałów komunikacji.
Zabronione jest korzystanie z prywatnych skrzynek e-mail i prywatnych chmur.

9. Przetwarzanie dokumentów księgowych i faktur w KSeF

1. Faktury ustrukturyzowane przetwarzane w KSeF stanowią dokumentację zawierającą dane osobowe kontrahentów i osób fizycznych.

2. Zabronione jest pobieranie faktur z KSeF na lokalne nośniki, o ile nie jest to niezbędne do realizacji obowiązków księgowych.

3. W przypadku pobrania dokumentu z KSeF, pliki muszą:

o być przechowywane wyłącznie tymczasowo,

o zostać usunięte po wprowadzeniu danych do systemu księgowego.

4. Eksport danych z KSeF do systemów finansowo-księgowych musi odbywać się z użyciem narzędzi zatwierdzonych przez ADO.

5. Zabronione jest przekazywanie faktur pobranych z KSeF klientom lub kontrahentom z wykorzystaniem prywatnych skrzynek e-mail.

10. Przetwarzanie dokumentacji kadrowo-płacowej

1. Dokumentacja kadrowo-płacowa podlega szczególnej ochronie.

2. Zabronione jest drukowanie list płac i dokumentów kadrowych bez uzasadnionej potrzeby.

3. Dane kadrowe nie mogą być przechowywane lokalnie po zakończeniu pracy.

11. Usuwanie i archiwizacja danych

1. Dane osobowe należy archiwizować wyłącznie w systemach ADO.

2. Po zakończeniu pracy zdalnej wszelkie lokalne kopie danych muszą zostać usunięte.

3. Niszczenie dokumentów papierowych odbywa się zgodnie z obowiązującą procedurą archiwizacji.

12. Naruszenia ochrony danych osobowych (w tym KSeF)

Za naruszenie ochrony danych w kontekście KSeF uznaje się w szczególności:

o nieuprawniony dostęp do konta KSeF,

o utratę tokenu lub certyfikatu,

o błędne nadanie uprawnień w KSeF,

o pobranie lub udostępnienie faktur osobom nieuprawnionym.

Każde podejrzenie naruszenia należy niezwłocznie zgłosić ADO.
Osoby wykonujące pracę zdalną są zobowiązane do natychmiastowego podjęcia działań ograniczających skutki incydentu.
Każde podejrzenie naruszenia (np. wysłanie faktury do błędnego odbiorcy, utrata laptopa, nieuprawniony dostęp do systemu) należy niezwłocznie zgłosić.
Osoby wykonujące pracę zdalną są zobowiązane do współpracy przy analizie incydentu.

13. Szkolenia i poufność

1. Przed dopuszczeniem do pracy zdalnej osoby przetwarzające dane księgowe muszą odbyć szkolenie z RODO i bezpieczeństwa informacji.

2. Obowiązek zachowania poufności obowiązuje również po zakończeniu współpracy.

14. Postanowienia końcowe

1. Procedura wchodzi w życie z dniem zatwierdzenia przez ADO.

2. Naruszenie procedury może skutkować odpowiedzialnością porządkową, cywilną lub umowną.

3. Procedura podlega okresowym przeglądom, nie rzadziej niż raz w roku.

środa, 22 kwietnia 2026

Jak szeroki wachlarz kompetencji powinien mieć Inspektor Ochrony Danych (IOD)

Umiejętności Inspektora Ochrony Danych – znacznie więcej niż prawo

W przestrzeni publicznej coraz częściej pojawiają się publikacje i opinie na temat RODO oraz roli Inspektora Ochrony Danych (IOD). Niestety, część z nich nie jest neutralna – reprezentują interesy określonych środowisk zawodowych lub biznesowych. Problem polega na tym, że wykrycie takiego przekazu bywa trudne i wymaga stosowania krytycznego myślenia. A to umiejętność, której wielu ludzi – nawet wysoko wykształconych – nie używa w naturalny sposób. Efekt? Przyjmowanie jednostronnych narracji bez refleksji i podejmowanie decyzji w oparciu o zakodowane „kotwice”.

Dobrym przykładem jest powszechny pogląd, że RODO to wyłącznie domena prawników. To przekonanie jest nie tylko uproszczeniem, ale wręcz szkodliwym stereotypem. W rzeczywistości prawo to jedynie fragment kompetencji IOD. Skuteczny inspektor musi dysponować szeroką, interdyscyplinarną wiedzą i umiejętnościami, obejmującymi obszary znacznie wykraczające poza legislację.

1. Ochrona fizyczna

RODO dotyczy nie tylko danych w formie cyfrowej. Dane osobowe przechowywane są również w formie papierowej – w archiwach, segregatorach, dokumentach roboczych. IOD powinien znać zasady bezpieczeństwa fizycznego, takie jak kontrola dostępu, monitoring, procedury wejścia do stref chronionych, zabezpieczenia przeciwpożarowe czy systemy kontroli pracy personelu. To właśnie od tej warstwy często zaczyna się bezpieczeństwo całego procesu przetwarzania.

2. Cyberbezpieczeństwo

Nowoczesne systemy informatyczne są podstawowym nośnikiem danych osobowych. Inspektor musi zrozumieć zasady działania sieci, szyfrowania, firewalli, systemów IDS (System Wykrywania Włamań ) /IPS (System Zapobiegania Włamaniom), a także znać praktyki zarządzania podatnościami i reagowania na incydenty. Choć IOD nie jest administratorem systemów, musi umieć z nimi rozmawiać i weryfikować, czy stosowane zabezpieczenia są adekwatne do ryzyk.

3. Wywiad elektroniczny i techniczny

IOD powinien być świadomy, że zagrożenia płyną nie tylko ze strony wewnętrznych błędów organizacyjnych czy zwykłego cyberprzestępstwa. W grę wchodzi także możliwość wykorzystania zaawansowanych narzędzi szpiegowskich, ataków socjotechnicznych czy analizowania metadanych. Umiejętność identyfikacji takich ryzyk i zrozumienie metod wywiadu elektronicznego daje przewagę w ocenie faktycznych zagrożeń.

4. Znajomość procesów biznesowych

Prawo i bezpieczeństwo to tylko część układanki. IOD musi znać procesy biznesowe „od podszewki”, aby rozumieć, jak i dlaczego dane są przetwarzane. To oznacza umiejętność mapowania procesów, identyfikowania punktów krytycznych i oceny, czy dany proces jest zgodny z zasadą minimalizacji. Dzięki temu IOD staje się partnerem dla zarządów i menedżerów, a nie tylko formalnym „kontrolerem”.

5. Umiejętność przewidywania zagrożeń i podatności

Najważniejsza kompetencja IOD to zdolność przewidywania. Chodzi o analizę ryzyk i podatności na każdym etapie cyklu życia danych – od ich pozyskania, przez przechowywanie, aż po usunięcie. Inspektor powinien potrafić prognozować konsekwencje wdrażania nowych technologii, rozpoznawać potencjalne „słabe punkty” w procedurach i wskazywać działania zapobiegawcze.

Podsumowanie

Rola Inspektora Ochrony Danych jest zdecydowanie bardziej złożona, niż wynikałoby to z popularnych opinii. Prawo jest tylko jednym z narzędzi w arsenale IOD. Skuteczny inspektor to interdyscyplinarny ekspert, który łączy wiedzę prawną, techniczną, organizacyjną i biznesową.

Dlatego redukowanie zawodu IOD do „prawnika od RODO” to nieporozumienie. To właśnie szerokie kompetencje – od cyberbezpieczeństwa po znajomość procesów biznesowych – czynią z niego kluczowego strażnika prywatności i bezpieczeństwa danych w organizacji.

niedziela, 19 kwietnia 2026

Fałszywe rekrutacje mogą służyć do

Czy fałszywe rekrutacje mogą służyć do zbierania danych z Twojego komputera?

To już nie jest teoria.

Coraz częściej pojawiają się „rekrutacje”, które:
👉 wyglądają wiarygodnie
👉 prowadzą przez profesjonalne platformy lub aplikacje
👉 kończą się… instalacją oprogramowania

I tu zaczyna się prawdziwy problem.

🔎 W takim scenariuszu aplikacja może:

zbierać dane z Twojego urządzenia (pliki, historia aktywności)
przechwytywać loginy i hasła
monitorować, co robisz na komputerze
działać w tle — nawet po zakończeniu „testu”

A w bardziej zaawansowanych przypadkach:
⚠️ usuwać po sobie ślady przy deinstalacji
⚠️ ukrywać zakres zbieranych danych
⚠️ pozostawiać komponenty działające dalej

💣 Co to oznacza dla ofiary?

1. Utrata kontroli nad danymi
Nie wiesz, co dokładnie zostało skopiowane — i gdzie trafiło.

2. Ryzyko kradzieży tożsamości
CV + dane systemowe + loginy = gotowy zestaw do podszywania się.

3. Dostęp do kont firmowych
Szczególnie groźne, jeśli korzystasz z komputera służbowego.

4. Długofalowe skutki
Dane mogą być sprzedawane, wykorzystywane w atakach phishingowych lub… trenowaniu modeli (bez Twojej wiedzy).

⚖️ A co na to RODO?

W takich przypadkach najczęściej:
❌ nie ma żadnej podstawy prawnej
❌ nie ma obowiązku informacyjnego
❌ mamy do czynienia z naruszeniem, a często po prostu z cyberprzestępstwem

To nie „szara strefa”.

To czyste nadużycie lub oszustwo.

🚩 Sygnały ostrzegawcze:

konieczność instalacji „specjalnej aplikacji”
brak jasnych informacji o firmie
presja czasu („zrób test dziś”)
dziwne uprawnienia (np. dostęp do całego systemu)

📌 Wniosek:

Największym zagrożeniem nie jest dziś AI w rekrutacji.

Tylko fałszywe procesy, które udają legalne działania.

Bo kiedy oddajesz dane „rekruterowi” —
często nie masz już nad nimi żadnej kontroli.

Masz takie doświadczenia?
Albo widziałeś podejrzaną rekrutację?
Warto o tym mówić — bo skala problemu rośnie.

sobota, 18 kwietnia 2026

Proces rekrutacyjny pod kątem zgodności z RODO

Żeby „przejrzeć proces rekrutacyjny pod kątem zgodności z RODO”, zwykle analizuje się kilka kluczowych obszarów. Oto jak wygląda taki mini-audyt i jakie informacje od Ciebie byłyby potrzebne:

✅ 1. Etap pozyskiwania danych

Sprawdzamy:

Czy kandydaci dostają poprawną i pełną klauzulę informacyjną?
Czy wiesz, na jakiej podstawie prawnej przetwarzasz CV (najczęściej art. 6 ust. 1 lit. b lub c)?
Czy nie zbierasz więcej danych, niż to konieczne (np. zdjęcia, PESEL, stan cywilny – zwykle zbędne)?

Do oceny potrzebuję: aktualnej klauzuli i informacji, gdzie jest publikowana.

✅ 2. Narzędzia i systemy rekrutacyjne (ATS, AI, testy)

Weryfikujemy:

Czy używasz narzędzi, które automatycznie analizują kandydatów (np. AI, scoring, testy z algorytmami).
Czy kandydaci są o tym wyraźnie poinformowani.
Czy masz podpisane umowy powierzenia z dostawcami.

Do oceny potrzebuję: listy narzędzi wykorzystywanych w rekrutacji.

✅ 3. Przechowywanie danych