Kancelaria Radcy Prawnego Martyna Ciuja-Marczewska

30/08/2026

📌 Wyciek danych – można już sprawdzić, czy nasze dane znalazły się w wycieku

W związku ze zdarzeniem dotyczącym bezpieczeństwa danych w MyDr uruchomiono możliwość sprawdzenia, czy nasze dane znalazły się wśród danych objętych wyciekiem.

🔎 Można to zweryfikować w serwisie:

bezpiecznedane.gov.pl⁠

Zainteresowanie jest jednak bardzo duże dlatego też po wejściu na stronę możemy trafić do kolejki oczekujących. System działa, ale na możliwość sprawdzenia danych trzeba czasem chwilę poczekać.

🔐 Warto sprawdzić, czy zdarzenie dotyczy również naszych danych.

⚠️ Niezależnie jednak od wyniku weryfikacji warto zachować ostrożność. Brak informacji o naszych danych w wycieku nie powinien usypiać czujności. Nadal warto uważnie podchodzić do wiadomości SMS, e-maili czy telefonów z prośbą o podanie danych, kliknięcie w link lub wykonanie określonej czynności.

13/08/2026

🔐 Wyciek danych – co powinny zrobić placówki korzystające z systemu?

O zdarzeniu związanym z bezpieczeństwem danych pacjentów wie już chyba każdy. To sytuacja, która budzi niepokój nie tylko wśród pacjentów, ale także wśród placówek medycznych, lekarzy i innych podmiotów korzystających z systemu.
Coraz częściej pojawia się jednak pytanie: co dalej i jakie obowiązki mogą mieć w takiej sytuacji placówki?

👉 Co powinna zrobić placówka, jeżeli okaże się, że zdarzenie może dotyczyć danych jej pacjentów?

Naturalnie może pojawić się przekonanie, że skoro problem wystąpił po stronie dostawcy systemu, to właśnie on powinien zająć się całą sprawą. Z punktu widzenia RODO placówka nie może jednak poprzestać wyłącznie na takim założeniu.
Korzystanie z zewnętrznego systemu i powierzenie danych jego dostawcy nie oznacza przeniesienia na niego wszystkich obowiązków administratora.

Jeżeli dostawca pełni rolę podmiotu przetwarzającego, po stwierdzeniu naruszenia powinien bez zbędnej zwłoki poinformować o nim administratora, czyli placówkę, która powierzyła mu dane. Obowiązek ten wynika z art. 33 ust. 2 RODO.

Co to oznacza w praktyce?

Przede wszystkim placówka powinna ustalić, czy zdarzenie rzeczywiście objęło dane jej pacjentów. UODO zwraca uwagę, że administrator powinien uzyskać od podmiotu przetwarzającego informację potwierdzającą, że naruszenie dotyczy również danych przetwarzanych w jego imieniu.

Jeżeli okaże się, że tak, samo oczekiwanie na dalszy rozwój sytuacji może nie wystarczyć.

🏥 Placówka powinna wtedy m.in.:
✔️ ustalić, jakie dane i ilu pacjentów mogło zostać objętych naruszeniem,
✔️ ocenić, jakie konsekwencje naruszenie może powodować dla tych osób,
✔️ przeprowadzić i udokumentować ocenę ryzyka naruszenia praw lub wolności pacjentów,
✔️ ustalić, czy zachodzi obowiązek zgłoszenia naruszenia Prezesowi UODO zgodnie z art. 33 RODO,
✔️ ocenić, czy naruszenie może powodować wysokie ryzyko dla praw lub wolności osób fizycznych, a tym samym czy konieczne będzie również zawiadomienie pacjentów zgodnie z art. 34 RODO.

W przypadku placówek medycznych kwestia ta ma szczególne znaczenie, ponieważ naruszenie może obejmować dane dotyczące zdrowia, należące do szczególnych kategorii danych osobowych.

Warto przy tym pamiętać, że nie każda placówka znajdzie się w identycznej sytuacji. Zakres jej obowiązków będzie zależał m.in. od tego, czy incydent rzeczywiście objął dane jej pacjentów, jaki był zakres tych danych, jakie informacje przekazał procesor oraz jakie ryzyko dla osób, których dane dotyczą, wynika z konkretnego naruszenia.

💡 To dobry moment, aby zweryfikować umowę powierzenia przetwarzania danych, procedurę reagowania na naruszenia oraz zasady współpracy z dostawcą na wypadek incydentów bezpieczeństwa. W sytuacji naruszenia danych czas i właściwa ocena zdarzenia mają bowiem duże znaczenie.
Więcej informacji oraz stanowisko UODO:

W związku z doniesieniami medialnymi dotyczącymi wycieku danych osobowych niemal 19 mln Polaków u dostawcy systemu Elektronicznej Dokumentacji Medycznej MyDr Prezes Urzędu Ochrony Danych Osobowych przypomina administratorom danych osobowych, którzy powierzyli przetwarzanie danych osobowych firm...

12/08/2026

Dziś Ministerstwo Cyfryzacji przekazało oficjalne informacje dotyczące incydentu cyberbezpieczeństwa obejmującego dane pacjentów.
👉 https://www.gov.pl/web/cyfryzacja/komunikat-po-spotkaniu-polaczonego-centrum-operacyjnego-cyberbezpieczenstwa

To zdarzenie dotyczy zarówno pacjentów, jak i administratorów. Dla pacjentów oznacza przede wszystkim potrzebę świadomego reagowania na informacje o możliwym naruszeniu ich danych. Dla administratorów stanowi natomiast przypomnienie, że reakcja na incydent nie może ograniczać się wyłącznie do działań technicznych. Konieczna jest także równoległa ocena zdarzenia z perspektywy obowiązków wynikających z RODO.

⚖️ W takich przypadkach należy ustalić rzeczywisty zakres zdarzenia, wskazać kategorie danych, których ono dotyczy, oraz ocenić, czy doszło do naruszenia ochrony danych osobowych w rozumieniu art. 4 pkt 12 RODO.

Pamiętać należy również, że jeżeli naruszenie może powodować ryzyko dla praw lub wolności osób fizycznych, należy co do zasady zgłosić je Prezesowi UODO bez zbędnej zwłoki, w miarę możliwości nie później niż w terminie 72 godzin od stwierdzenia naruszenia (art. 33 RODO). Gdy ryzyko jest wysokie, administrator powinien również zawiadomić osoby, których dane dotyczą, chyba że zastosowanie ma jeden z wyjątków przewidzianych w RODO (art. 34 RODO).

W przypadku danych pacjentów analiza zdarzenia jest szczególnie istotna, ponieważ dane dotyczące zdrowia należą do szczególnych kategorii danych osobowych (art. 9 RODO), a konsekwencje ich nieuprawnionego ujawnienia mogą wykraczać poza ryzyka związane z utratą podstawowych danych identyfikacyjnych.

👤Co to oznacza dla pacjentów?

Każdy pacjent powinien pamiętać, że informacje o możliwym naruszeniu danych należy traktować poważnie. Warto śledzić oficjalne komunikaty, zachować większą ostrożność przy podawaniu danych przez Internet lub telefon oraz zwracać szczególną uwagę na wiadomości SMS i e-mail, które mogą być próbą phishingu.

🔐Jednym z działań, które może ograniczyć ryzyko nieuprawnionego wykorzystania danych, jest również zastrzeżenie numeru PESEL.

UODO zebrał praktyczne wskazówki dotyczące tego, jak reagować w przypadku wycieku danych i jakie działania mogą pomóc ograniczyć jego potencjalne skutki.
👉 https://uodo.gov.pl/pl/138/4539

🏢A z perspektywy administratorów?

Warto pamiętać, że przygotowanie na naruszenie ochrony danych zaczyna się na długo przed wystąpieniem incydentu. Dobrze przygotowana procedura reagowania, jasno określone zasady współpracy z podmiotami przetwarzającymi oraz możliwość szybkiej oceny zakresu zdarzenia i związanego z nim ryzyka pozwalają sprawnie podjąć działania wymagane przez RODO.

⏱️Ma to szczególne znaczenie, gdyż na zgłoszenie naruszenia Prezesowi UODO przepisy przewidują – co do zasady – 72 godziny od jego stwierdzenia.

W kontekście obecnego incydentu UODO zwrócił również uwagę na obowiązki administratorów korzystających z usług podmiotu przetwarzającego, w tym konieczność przeprowadzenia analizy ryzyka i oceny obowiązków wynikających z art. 33 i 34 RODO.

👉 Pełny komunikat UODO dotyczący obowiązków administratorów: https://uodo.gov.pl/pl/138/4538

🔐Informacje o skali zdarzenia ponownie pokazują, jak ściśle ochrona danych osobowych łączy się z cyberbezpieczeństwem. To także przypomnienie dla każdego z nas, aby zachować czujność wobec prób nieuprawnionego wykorzystania naszych danych.

06/07/2026

⚖️ Dzień Radcy Prawnego to dla mnie coś więcej niż święto zawodu. To okazja, by z wdzięcznością spojrzeć na drogę, którą wybrałam – pełną wyzwań, odpowiedzialności, ale także satysfakcji z niesienia pomocy innym.

Jestem dumna, że mogę wykonywać zawód radcy prawnego i każdego dnia wspierać moich Klientów w podejmowaniu ważnych decyzji oraz poszukiwaniu najlepszych rozwiązań.

Z tej okazji życzę wszystkim Koleżankom i Kolegom Radcom Prawnym niegasnącej pasji, zawodowej satysfakcji, odwagi w podejmowaniu wyzwań, życzliwych ludzi na swojej drodze oraz pomyślności – zarówno w życiu zawodowym, jak i prywatnym.

Wszystkiego dobrego z okazji Dnia Radcy Prawnego! ⚖️💙

03/04/2026

Wesołych Świąt Wielkanocnych 🐣
Życzę Państwu spokoju, nadziei oraz wszelkiej pomyślności.

19/01/2026

❄️ Ferie zimowe a odwołanie pracownika z urlopu.

Okres ferii zimowych to czas, w którym wielu pracowników korzysta z urlopu wypoczynkowego. W praktyce pojawiają się jednak wątpliwości, czy pomimo udzielonego urlopu pracownik może zostać wezwany do pracy.

Ta wątpliwość pojawia się regularnie – zarówno u pracowników jaki pracodawców. Spójrzmy więc co na to przepisy prawa.

🔍 Jak wynika z art. 167 Kodeksu pracy "pracodawca może odwołać pracownika z urlopu tylko wówczas, gdy jego obecności w zakładzie wymagają okoliczności nieprzewidziane w chwili rozpoczynania urlopu".

Z przytoczonego przepisu jednoznacznie wynika więc, że jak najbardziej taka możliwość istnieje, tzn. pracodawca może odwołać swojego pracownika z urlopu. Ważne jest jednak to, że taka sytuacja powinna mieć charakter wyjątkowy i powinna dotyczyć szczególnych potrzeb pracodawcy, których nie mógł przewidzieć w chwili udzielania urlopu.

📍 Przykładowo: u pracodawcy wystąpiła awaria systemów informatycznych, a jedyną osobą, która może to naprawić jest przebywający na urlopie pracownik, gdyż jest on jedynym informatykiem w firmie.

Warto jednak pamiętać, że w przypadku skutecznego odwołania pracownika z urlopu, pracodawca ma obowiązek pokryć koszty poniesione przez pracownika w bezpośrednim związku z wcześniejszym powrotem z urlopu, takie jak koszty niewykorzystanego pobytu czy zmiany terminu podróży. Niewykorzystana część urlopu powinna zostać udzielona w innym, uzgodnionym terminie.

Z perspektywy pracowników warto więc pamiętać, że:
- odwołanie z urlopu powinno mieć charakter incydentalny i uzasadniony,
- pracownik nie powinien ponosić negatywnych konsekwencji finansowych takiej decyzji,
- sam fakt udzielonego urlopu nie wyłącza możliwości jego przerwania, ale tylko w granicach art. 167 Kodeksu pracy.

☃️ Ferie zimowe są czasem wypoczynku, dlatego zarówno pracodawcy, jak i pracownicy powinni mieć świadomość, że odwołanie z urlopu nie jest regułą, lecz wyjątkiem, który musi być każdorazowo oceniany przez pryzmat ustawowych przesłanek.

16/01/2026

📌 Abolicja w KSeF – ważna informacja dla przedsiębiorców

Z informacji Szefa Krajowej Administracji Skarbowej wynika, że rok 2026 będzie okresem ochronnym w zakresie obowiązkowego korzystania z Krajowego Systemu e-Faktur. Oznacza to, że w tym czasie nie będą nakładane kary m.in. za błędy związane z obsługą systemu.

Rozwiązanie to ma umożliwić przedsiębiorcom spokojne przygotowanie się do nowych obowiązków i stopniowe wdrożenie systemu w praktyce. Jednocześnie nie zmienia to faktu, że KSeF stanie się obowiązkowy, a okres abolicji warto potraktować jako czas na testy, szkolenia i dostosowanie procesów księgowych.

Więcej informacji tutaj:https://rzecznikmsp.gov.pl/w-2026-roku-nie-bedzie-kar-za-brak-rejestracji-w-ksef-albo-bledy-w-obsludze-systemu/

Szef Krajowej Administracji Skarbowej ogłosił oficjalnie abolicję, która pozwoli firmom na spokojne zapoznanie się z Krajowym Systemem e-Faktur (KSeF). Przedsiębiorcy, ... Read More…

15/01/2026

Dziś miałam przyjemność uczestniczyć w konferencji „AI a zamówienia publiczne” organizowanej przez Przetargi Publiczne.

Było to bardzo wartościowe wydarzenie ponieważ poruszana tematyka ma istotne znaczenie dla praktyki prawa zamówień publicznych, zwłaszcza w kontekście dynamicznego rozwoju narzędzi opartych na sztucznej inteligencji oraz ich coraz szerszego zastosowania w procesach zakupowych sektora publicznego.

Nie oznacza to jednak, że należy obawiać się stosowania AI. Jednym bowiem z kluczowych wniosków płynących z poruszanej tematyki jest fakt, że sztuczna inteligencja nadal wymaga nadzoru człowieka. Konferencja potwierdziła, że AI może wspierać pracę w obszarze zamówień publicznych, jednak nie zastąpi wiedzy, doświadczenia i odpowiedzialności praktyka😊

Dziś miałam przyjemność uczestniczyć w konferencji „AI a zamówienia publiczne” organizowanej przez Przetargi Publiczne.

Było to bardzo wartościowe wydarzenie ponieważ poruszana tematyka ma istotne znaczenie dla praktyki prawa zamówień publicznych, zwłaszcza w kontekście dynamicznego rozwoju narzędzi opartych na sztucznej inteligencji oraz ich coraz szerszego zastosowania w procesach zakupowych sektora publicznego.

Nie oznacza to jednak, że należy obawiać się stosowania AI. Jednym bowiem z kluczowych wniosków płynących z poruszanej tematyki jest fakt, że sztuczna inteligencja nadal wymaga nadzoru człowieka. Konferencja potwierdziła, że AI może wspierać pracę w obszarze zamówień publicznych, jednak nie zastąpi wiedzy, doświadczenia i odpowiedzialności praktyka😊

01/01/2026

📍 Nowy wniosek w eZUS – ważna informacja dla pracowników i pracodawców

📅 Od dziś, tj. od 1 stycznia 2026 r., w systemie eZUS dostępny jest nowy wniosek – USP, czyli wniosek o wydanie zaświadczenia o ubezpieczeniu dla celów doliczenia okresów do stażu pracy.

Złożenie tego wniosku pozwala uzyskać z ZUS zaświadczenie potwierdzające okresy podlegania ubezpieczeniom, które mogą być uwzględniane przy ustalaniu stażu pracy, a w konsekwencji także uprawnień pracowniczych, takich jak dodatkowy urlop czy inne świadczenia zależne od długości zatrudnienia 📈

Warto jednak pamiętać, że:
✔️ wniosek składa się wyłącznie elektronicznie za pośrednictwem konta w eZUS,
✔️ zaświadczenie, decyzja oraz cała korespondencja z ZUS są doręczane tylko w formie elektronicznej,
✔️ dokumenty trafiają bezpośrednio na konto osoby, która złożyła wniosek.

Kiedy warto złożyć wniosek USP? 🤔
Przede wszystkim wtedy, gdy:
– zmieniamy pracę i chcemy potwierdzić swój staż,
– przygotowujemy dokumenty związane z uprawnieniami pracowniczymi,
– mamy wątpliwości co do uwzględnienia wcześniejszych okresów ubezpieczenia,
– chcemy uporządkować swoją dokumentację na początku roku.

To niewielka zmiana proceduralna, ale dla wielu osób może mieć realne znaczenie w praktyce. Warto więc wiedzieć, że taka możliwość już funkcjonuje.