Uczeń powyżej 16 roku życia

 

W Polsce osoba powyżej 16 roku życia nie jest jeszcze w pełni zdolna do czynności prawnych, ale może samodzielnie zaciągać określone zobowiązania. Z punktu widzenia RODO i ochrony danych to bardzo istotna grupa – coraz częściej funkcjonująca samodzielnie w obrocie cyfrowym, a jednocześnie szczególnie narażona na nadużycia.

Poniżej masz syntetyczne ujęcie tematu.

---

1. Status prawny osoby powyżej 16 lat

Zgodnie z Kodeksem cywilnym:

• 13–18 lat → ograniczona zdolność do czynności prawnych
• oznacza to, że taka osoba:
• może zawierać niektóre umowy samodzielnie,
• inne – tylko za zgodą przedstawiciela ustawowego (zwykle rodzica).

---

2. Jakie zobowiązania może zaciągać osoba 16+ samodzielnie?

✅ Umowy powszechne, „życia codziennego”

Art. 20 k.c.:

• drobne zakupy (np. elektronika, ubrania),
• bilety, abonamenty,
• usługi online (platformy, gry, streaming),
• konta w serwisach społecznościowych.

➡️ Te umowy są ważne i skuteczne, jeśli odpowiadają typowym potrzebom osoby w tym wieku.

---

✅ Dysponowanie własnym zarobkiem

Jeżeli osoba 16+:

• pracuje legalnie (np. prace lekkie → młodociani od 15,  umowa o pracę młodocianego → od 16, umowa zlecenia),
• może samodzielnie rozporządzać wynagrodzeniem,

➡️ chyba że sąd rodzinny postanowi inaczej.

---

⚠️ Umowy wymagające zgody rodzica/opiekuna

Bez zgody przedstawiciela ustawowego nieważne lub wzruszalne są m.in.:

• kredyty i pożyczki,
• leasing, raty,
• umowy długoterminowe o wysokiej wartości,
• przeniesienie praw majątkowych (np. sprzedaż praw autorskich).

---

3. Jakie dane osobowe są przetwarzane przy tych zobowiązaniach?

W praktyce są to często:

• imię i nazwisko,
• adres e-mail i numer telefonu,
• adres zamieszkania,
• PESEL (coraz częściej),
• dane płatnicze,
• wizerunek,
• dane behawioralne (np. aktywność online).

➡️ Dane osoby małoletniej są danymi szczególnie wrażliwymi w sensie ryzyka, choć formalnie nie są „szczególną kategorią danych” z art. 9 RODO.

---

4. Zagrożenia związane z wyciekiem danych osoby 16+

🔴 1. Kradzież tożsamości „na przyszłość”

• dane mogą zostać wykorzystane latami później (np. po osiągnięciu pełnoletności),
• zakładanie kont, pożyczki „na słupa”, fraudy finansowe.

---

🔴 2. Nieuprawnione zaciąganie zobowiązań

• próby zawarcia umów w imieniu małoletniego,
• fałszywe zgody rodziców,
• wykorzystanie niewiedzy dziecka.

---

🔴 3. Profilowanie i manipulacja

• agresywny marketing,
• targetowanie treści szkodliwych (hazard, pseudo-inwestycje),
• manipulacja behawioralna w grach i aplikacjach.

➡️ RODO wprost wskazuje dzieci jako grupę wymagającą szczególnej ochrony (motyw 38).

---

🔴 4. Szkody wizerunkowe i psychiczne

• ujawnienie danych wrażliwych kontekstowo (np. szkoła, problemy zdrowotne),
• hejt, stalking, szantaż.

---

5. Obowiązki administratorów danych (w skrócie)

Administrator:

• musi stosować podwyższony standard ochrony,
• powinien jasno weryfikować:
• wiek użytkownika,
• podstawę prawną przetwarzania danych,
• czy wymagana jest zgoda rodzica,
• powinien ograniczać zakres danych do absolutnego minimum.

Brak tych działań = realne ryzyko:

• naruszenia RODO,
• kar finansowych,
• odpowiedzialności cywilnej.

---

6. Wniosek praktyczny (RODO „po ludzku”)

Osoba 16+ może zawierać umowy, ale nie jest dorosłym konsumentem.
Jej dane osobowe mają dłuższy „okres rażenia”, a skutki wycieku mogą ujawnić się dopiero po latach.

Kiedy rekruter narusza RODO i musi zgłosić naruszenie do UODO

 

Rekruter musi zgłosić naruszenie do UODO, jeśli doszło do naruszenia ochrony danych osobowych, które może powodować ryzyko naruszenia praw lub wolności osób fizycznych (np. kandydatów). To obowiązek z art. 33 RODO — i dotyczy każdej sytuacji, w której dane „wyszły spod kontroli”.

Poniżej masz praktyczną listę przykładów typowych naruszeń rekrutacyjnych, przy których zgłoszenie do UODO jest konieczne lub wysoce prawdopodobne.

---

🔥 Kiedy rekruter narusza RODO i musi zgłosić naruszenie do UODO?

1) Wyciek danych kandydatów

Naruszenie, które prawie ZAWSZE wymaga zgłoszenia:

• wysłanie CV do złego klienta lub niewłaściwego managera,
• przesłanie pliku z danymi kandydatów pod zły adres e-mail,
• pozostawienie CV w niezabezpieczonym miejscu (druk, pendrive),
• przechowywanie CV w chmurze/ATS bez odpowiednich zabezpieczeń, a dane „uciekły”.

👉 Jeśli dane trafiły do osoby nieupoważnionej — zgłoszenie jest obowiązkowe.

---

2) Udostępnienie danych osobom, które nie powinny ich widzieć

Np.:

• rekruter udostępnia CV komuś z firmy „bo może będzie pasował”, mimo braku upoważnienia,
• przesyłanie CV do zewnętrznych podmiotów bez umowy powierzenia.

Jeśli dane obejmują telefon, e-mail, historię zatrudnienia, wynagrodzenie — jest to realne ryzyko dla kandydata → zgłoszenie wymagane.

---

3) Zastosowanie AI lub narzędzi automatyzujących bez poinformowania kandydata

Np.:

• rekruter używa AI do selekcji kandydatów,
• AI profiluje, ocenia, automatycznie odrzuca kandydatów,
• kandydaci nie wiedzą, że podlegają automatycznemu przetwarzaniu.

To jest naruszenie obowiązku informacyjnego.
Czy wymaga zgłoszenia? Tak — jeśli działanie mogło realnie wpłynąć na prawa kandydatów (np. redukcja szans na zatrudnienie przez algorytm bez ich wiedzy).

---

4) Przetwarzanie danych, których nie powinno się zbierać

Np.:

• rekruter gromadzi dane wrażliwe (zdrowie, wyznanie, poglądy polityczne) z forów jak Li, FB itp.,
• dalej je przechowuje lub przekazuje dalej,
• nie ma podstawy prawnej, a kandydat nie wyraził zgody.

Dane szczególnych kategorii = wysokie ryzyko, więc zwykle → zgłoszenie do UODO.

---

5) Utrata danych

Nawet jeśli nikt ich nie „podejrzał”, ale:

• CV zostało skasowane,
• dane zostały uszkodzone,
• rekruter nie ma do nich dostępu (awaria, ransomware),

To również jest naruszenie, bo kandydat traci kontrolę nad swoimi danymi.

Zgłaszamy, jeśli może to mieć skutki dla kandydata — np. dokumenty zawierały pełną historię zatrudnienia, PESEL, dane kontaktowe.

---

⚠️ Kiedy rekruter NIE musi zgłaszać naruszenia do UODO?

Jeśli naruszenie nie niesie ryzyka dla osoby, np.:

• CV wysłano do innego rekrutera wewnątrz tej samej firmy, który ma upoważnienie,
• dane zostały chwilowo utracone, ale były w pełni zaszyfrowane i zabezpieczone.

Zawsze jednak trzeba to udokumentować w rejestrze naruszeń.

---

⏱️ Termin

Zgłoszenie do UODO trzeba wysłać w ciągu 72 godzin od stwierdzenia naruszenia. Jest to czas, w którym doszło do naruszenia i ktoś u Administratora to stwierdził np.: zorientował się, że źle wysłał maila po 2 godzinach, ale czas biegnie od wysłania maila, ponieważ oceniamy to z perspektywy danych osobowych a nie Administratora. Dlatego wysłane DO są już 2 godziny poza kontrolą u osoby nieupoważnionej, a więc naruszenia trwa już od 2 godzin.

---

Największe błędy Firmy przy obsłudze reklamacji

 

Poniżej znajdziesz najczęstsze i jednocześnie najbardziej ryzykowne błędy administratorów danych (ADO) w procesie reklamacji, które realnie mogą naruszać prawa lub wolności osób fizycznych.

---

❌ Największe błędy ADO przy obsłudze reklamacji (i dlaczego są groźne)

1) Zbieranie zbyt szerokiego zakresu danych

Błąd: żądanie PESEL-u, skanu dowodu, pełnych danych karty płatniczej, danych wrażliwych, mimo że nie są potrzebne.
Ryzyko: naruszenie zasady minimalizacji → zwiększone ryzyko wycieku danych i kradzieży tożsamości.

---

2) Przesyłanie reklamacji na prywatne maile pracowników

Błąd: doradcy proszą o wysyłkę dokumentów na „gmaila” lub odbierają korespondencję z prywatnych skrzynek.
Ryzyko: brak kontroli nad danymi, nieautoryzowany dostęp, wysokie ryzyko wycieku.

---

3) Brak klauzuli informacyjnej

Błąd: klient nie jest informowany, kto jest administratorem, jakie są cele i okresy przechowywania danych.
Ryzyko: naruszenie art. 13 RODO → naruszenie prawa do przejrzystości i kontroli nad danymi.

---

4) Przekazywanie danych producentowi lub serwisowi bez umowy powierzenia

Błąd: przesyłanie skanów faktur, danych kontaktowych czy opisów reklamacji do zewnętrznego serwisu bez odpowiednich podstaw.
Ryzyko: nielegalne udostępnienie danych → naruszenie zasady rozliczalności i art. 28 RODO.

---

5) Zbyt długie przechowywanie dokumentacji reklamacyjnej

Błąd: trzymanie reklamacji „na wszelki wypadek” dłużej niż okres rękojmi/gwarancji + przedawnienie.
Ryzyko: naruszenie zasady ograniczenia przechowywania → zwiększone konsekwencje przy ewentualnym wycieku.

---

6) Brak kontroli dostępu do systemów reklamacyjnych

Błąd: każdy w firmie może zobaczyć zgłoszenia, nawet jeśli nie powinien.
Ryzyko: naruszenie zasady need-to-know → realne zagrożenie dla poufności danych.

---

7) Niewłaściwe obchodzenie się z załącznikami

Błąd: brak szyfrowania zdjęć, nagrań, skanów dowodów zakupu; przechowywanie ich w publicznie dostępnych folderach.
Ryzyko: nieuprawniony dostęp do danych oraz potencjalne ujawnienie informacji o osobie (adresy, numery dokumentów).

---

8) Brak procedury obsługi praw osób (np. sprostowania, dostępu, usunięcia)

Błąd: nie wiadomo kto odpowiada, brak terminów, brak reakcji na żądania klientów.
Ryzyko: naruszenie praw z art. 15–22 RODO → ryzyko skarg, kontroli i sankcji.

---

9) Przesyłanie danych przez nieszyfrowane kanały

Błąd: obsługa reklamacji przez zwykłe formularze bez SSL, wysyłka dokumentów przez „goły” e-mail.
Ryzyko: ryzyko przechwycenia danych, w tym danych identyfikacyjnych i kontaktowych.

---

10) Brak rozróżnienia ról ADO–procesor

Błąd: podmiot obsługujący reklamacje (np. call center, serwis zewnętrzny) działa bez umowy, a administrator nie wie, kto odpowiada za co.
Ryzyko: brak rozliczalności → trudność w zarządzaniu naruszeniami i ochroną danych.

---

Co zrobić po wycieku danych osobowych z banku

 

Porada dla osoby, której dane osobowe wyciekły z banku:

---

Co zrobić po wycieku danych osobowych z banku?

1. Skontaktuj się natychmiast z bankiem
• Zażądaj pisemnej informacji, jakie dokładnie dane wyciekły (np. imię, nazwisko, PESEL, numer dowodu osobistego, adres, dane logowania, numery rachunków).
• Poproś o wskazanie działań naprawczych, jakie bank podjął (np. blokada starych danych logowania, monitoring transakcji, dodatkowe zabezpieczenia).
2. Zabezpiecz swoje konto bankowe
• Zmień hasło do bankowości elektronicznej i ustaw silne, unikalne dane logowania.
• Włącz dwuskładnikowe uwierzytelnianie (np. autoryzację w aplikacji mobilnej).
• Rozważ zmianę numeru telefonu używanego do autoryzacji, jeśli mógł zostać ujawniony.
3. Zastrzeż dokumenty tożsamości
• Jeśli wyciekł numer dowodu osobistego, paszportu lub prawa jazdy, niezwłocznie je zastrzeż w systemie Dokumenty Zastrzeżone.
• Zgłoś się do urzędu gminy/miasta po nowy dokument.
4. Zastrzeż PESEL
• Wejdź na https://www.gov.pl/web/gov/zastrzez-swoj-numer-pesel-lub-cofnij-zastrzezenie  i aktywuj zastrzeżenie.
• Utrudni to zaciągnięcie kredytu czy pożyczki na Twoje dane.
5. Monitoruj swoją tożsamość i finanse
• Regularnie sprawdzaj historię transakcji na koncie bankowym i ustaw powiadomienia SMS/aplikacyjne o operacjach.
• Rozważ włączenie monitoringu BIK (Biuro Informacji Kredytowej) – otrzymasz alert, jeśli ktoś spróbuje zaciągnąć zobowiązanie na Twoje dane.
6. Prawo do informacji i skargi
• Masz prawo żądać pełnej informacji od banku o skali wycieku (zgodnie z RODO – art. 34).
• Jeżeli uznasz, że bank nie zapewnił należytej ochrony Twoich danych, możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (UODO).
7. Dokumentuj wszystkie działania
• Zachowuj korespondencję z bankiem, potwierdzenia blokad, zastrzeżeń i monitów.
• Mogą być przydatne w przypadku dochodzenia roszczeń.
8. Możliwość dochodzenia odszkodowania
• Jeżeli w wyniku wycieku poniesiesz straty finansowe albo szkody niematerialne (np. stres, utrata reputacji), możesz rozważyć dochodzenie odszkodowania od banku w drodze postępowania cywilnego.

---

Co zrobić po wycieku danych osobowych i medycznych?

 

Co zrobić po wycieku danych osobowych i medycznych?

1. Skontaktuj się z przychodnią
• Zażądaj oficjalnej informacji o zakresie wycieku (jakie dane dokładnie zostały ujawnione: imię, nazwisko, PESEL, wyniki badań, historia leczenia).
• Poproś o pisemne potwierdzenie zdarzenia oraz wskazanie działań naprawczych, jakie placówka podjęła.
2. Monitoruj swoją tożsamość
• Jeżeli wśród ujawnionych danych znalazł się PESEL, zastrzeż go w państwowym systemie https://www.gov.pl/web/gov/zastrzez-swoj-numer-pesel-lub-cofnij-zastrzezenie .
• Dzięki temu nikt nie weźmie kredytu ani pożyczki na Twoje dane.
• Rozważ również skorzystanie z usług monitorowania w BIK, które powiadomi Cię o próbach zaciągnięcia zobowiązań.
3. Zabezpiecz inne dane powiązane
• Jeśli wyciek objął także adres e-mail lub numer telefonu, spodziewaj się zwiększonego ryzyka phishingu i prób wyłudzeń.
• Bądź szczególnie czujny wobec SMS-ów i e-maili, które mogą podszywać się pod bank, NFZ czy inne instytucje.
4. Prawo do informacji i skargi
• Masz prawo żądać od przychodni pełnej informacji o incydencie (zgodnie z RODO – art. 34).
• Jeśli uznasz, że przychodnia niewłaściwie chroni Twoje dane, możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (UODO).
5. Ostrożność w kontaktach medycznych
• Jeżeli wyciekły dane dotyczące historii chorób, leków czy wyników badań, mogą być wykorzystywane w próbach szantażu lub podszywania się pod Ciebie (np. w kontaktach z lekarzami czy ubezpieczycielami).
• Zachowaj szczególną ostrożność przy rozmowach telefonicznych i korespondencji, w której ktoś powołuje się na Twoje dane medyczne.
6. Dokumentuj wszystkie działania
• Zachowuj pisma i wiadomości wymieniane z przychodnią.
• W razie potrzeby mogą być podstawą do roszczeń odszkodowawczych lub skargi do UODO.
7. Możliwość dochodzenia odszkodowania
• Jeżeli poniesiesz szkodę materialną lub niematerialną (np. stres, naruszenie dobrego imienia) w wyniku wycieku danych, możesz rozważyć dochodzenie odszkodowania od placówki medycznej na drodze cywilnej.

---

Wyciek danych w szpitalu w Stalowej Woli

 

Wyciek danych w szpitalu w Stalowej Woli

Wyciekły dane w szpitalu z imieniem nazwiskiem pacjentów ich adresami PESELAMI i kodem choroby, czyli dane wrażliwe. I oczywiście za wszystko obciąża się pracownika, który miał pecha i obsługiwał tą skrzynkę pocztową. Dlaczego nie jest to tak dokładnie jego wina i kto ją ponosi omówiłem w filmie



https://youtu.be/nLDPaOUcFZU

Jak się podobało daj „łapkę w górę” oraz za „Subskrybuj” kanał.

Od kiedy liczy się naruszenie?

 

Od kiedy liczy się naruszenie?

Podejrzewamy, że ujawniono nasze dane, ale kiedy chcemy coś się dowiedzieć to zaczynają się schody. W filmie krok po kroku omawiam, jak przezwyciężyć trudności i dowiedzieć się coś w tym temacie i wywalczyć swoje prawa w tym zakresie.



https://youtu.be/svPppVAMHjI

Jak się podobało daj „łapkę w górę” oraz za „Subskrybuj” kanał.

Naruszenie RODO w KGHM

 

Naruszenie RODO w KGHM

Mamy naruszenie RODO w KGHM, ukarane osoby, ale czy tak naprawdę zidentyfikowano wszystkich winnych w tej sprawie to mam tutaj spore wątpliwości. Co może zrobić pracownik, którego nielegalnie dane przetwarzano oraz wobec kogo i w jaki sposób wystąpić oraz którym ścieżkami podążyć wyjaśniłem w filmie:

https://youtu.be/PdJ-RpvEBAU

Jak się podobało daj „łapkę w górę” oraz za „Subskrybuj” kanał.

Wyciek danych medycznych Hakerzy żądają okupu

 

Wyciekły dane medyczne co możemy zrobić i jak nam może pomóc RODO

 

https://youtu.be/MIaDTDxqwxk

Jak się podobało daj „łapkę w górę” oraz za „Subskrybuj” kanał. 

Firma kontra właściciel danych osobowych

 

Spółka XYZ przetwarza dane osobowe Jana Kowalskiego, ale sam zainteresowany ma wątpliwości czy mogą a ich postepowanie jest nachalne i irytujące. Każda osoba może skorzystać z przysługujących jej praw z RODO i napisać maila o treści:

Powołując się na artykuł 15 RODO proszę o potwierdzenie, czy przetwarzane są moje dane osobowe, a jeżeli ma to miejsce proszę o udostępnienie mi elektronicznej kopii moich danych osobowych. Jednocześnie proszę o wypełnienie w stosunku do mnie obowiązku informacyjnego.

Moje dane identyfikacyjne:

Jan Kowalski

Maile: j.kowalski@poczt.com

lub

Tlf: 123 456 789

lub

Adres zamieszkania: Katowice ul. Prawa 6/3

lub

PESEL: 12345678901

Dane identyfikacyjne podajemy w kolejności od mniej ważnych po najważniejsze tak aby mogli mnie zidentyfikować. Odpowiedź mamy otrzymać bez zbędnej zwłoki, a w każdym razie w terminie miesiąca. Czyli po wysłaniu żądania w dniu 07.02. br odpowiedź ma nadejść najpóźniej 06.03. br. Dla podgrzania atmosfery możemy co 3 dni robocze słać maila o treści:

W związku z brakiem odpowiedzi na moje zapytanie z artykułu 15 RODO z dnia 07.02.br, proszę o przesłanie odpowiedzi i podanie przyczyn opóźnienia.

I tak robimy do końca terminu. Firma nie musi nam wyjaśniać przyczyn opóźnienia, ale w przypadku skargi muszą to wyjaśnić UODO, ponieważ termin bez zbędnej zwłoki jest określony w prawie. Wszystkie maile i odpowiedzi dokumentujemy poprzez wydruk do PDF-u, mogą się przydać w procesie składania skargi. Firma powinna innym kanałem np.: telefonicznie, potwierdzić naszą tożsamość, aby być pewnym do kogo wysyła dane. Fakt przesłania danych bez potwierdzenia będzie istotny w etapie skargi. Dodatkowo innym kanałem powinni uzgodnić hasło do zaszyfrowanego załącznika z danymi osobowymi. Przesłanie mailem odpowiedzi a kolejnym hasła jest uznawane za naruszenie RODO. Dokładnie brak szyfrowania oznacza naruszenie ochrony danych osobowych poprzez nieuprawnione ujawnienie przesyłanych danych nieznanym osobom. Kiedy otrzymamy już dane o sobie należy je przeanalizować. Jak uważamy, że naruszyli nasze prawa i wolności to zgłaszamy żądanie ograniczenia przetwarzania.

Powołując się na artykuł 18 RODO żądam ograniczenia przetwarzania moich danych osobowych oraz żądam podania odbiorców moich danych osobowych.

Po takim żądaniu firma może już tylko przechowywać dane osobowe (co będzie istotne dla UODO po złożeniu skargi, bo dane nie mogą być zniszczone) a o każdej próbie innego przetwarzania muszą nas powiadomić. Kiedy otrzymamy dane odbiorców to możemy powtórzyć procedurę, ale już do nich.

Jak stwierdzimy, że naruszono nasze prawa i wolności to zgłaszamy skargę do UODO.

Składam skargę na niezgodne z przepisami RODO przetwarzanie moich danych osobowych przez firmę XYZ ….. tj tu opis co zrobili. Mając to na względzie wnoszę o przywrócenie stanu zgodnego z prawem.

I wysyłam do UODO poprzez ich stronę internetową oraz dołączam wszystkie zgromadzone dokumenty.