ZKA Legal Zupka & Kruk - Antoszewska Adwokaci sp. p.

12/08/2026

🚨 PILNE: Gigantyczny wyciek danych medycznych w Polsce!

Minister cyfryzacji Krzysztof Gawkowski potwierdził gigantyczny atak hakerski na infrastrukturę MyDr – popularnej platformy Elektronicznej Dokumentacji Medycznej, obsługującej blisko 12 tysięcy placówek zdrowia.

Doszło do nadzwyczajnego wycieku danych, sięgającego blisko 19 mln obywateli polskich, którzy w różnych kategoriach korzystali ze wsparcia medycznego.

W sprawę włączono już organy ścigania, a śledztwem kieruje obecnie Centralne Biuro Zwalczania Cyberprzestępczości.

Potencjalnie wykradzione informacje obejmują pakiet danych wrażliwych: numery PESEL, daty urodzenia, nazwiska, numery telefonów, historia chorób, daty wizyt lekarskich oraz wypisane recepty.

Serwis MyDr jest częścią globalnej grupy DocPlanner, właściciela serwisu Znany Lekarz. Jak podkreśla DocPlanner – systemy MyDr i Znany Lekarz są rozdzielone.

Dla podmiotów danych -zrób to NATYCHMIAST: 1. Zastrzeż swój numer PESEL. To darmowe, zajmuje kilkanaście sekund i można to zrobić w aplikacji mObywatel. 2. Zachowaj czujność. Przestępca dzwoniąc do Ciebie, może znać historię Twoich wizyt lekarskich, by uwiarygodnić oszustwo (np. udając pracownika NFZ lub banku). Nigdy nie podawaj haseł, PIN-ów ani kodów BLIK przez telefon!

Jesteś placówką medyczną i powierzyłeś przetwarzanie danych MyDr? UODO przypomina o obowiązku przeprowadzenia analizy ryzyka naruszenia praw lub wolności osób fizycznych. Jeśli naruszenie może powodować ryzyko dla praw lub wolności osób fizycznych, należy zgłosić je Prezesowi UODO w ciągu 72 godzin od jego stwierdzenia. W przypadku wysokiego ryzyka konieczne jest również zawiadomienie osób, których dane dotyczą.

Jeżeli potrzebujesz wsparcia w przeprowadzeniu analizy ryzyka lub przygotowaniu zawiadomienia - skontaktuj się z nami!

07/08/2026

Od 2 sierpnia Twój chatbot ma obowiązek się przyznać, że jest botem. 🤖

AI Act wszedł w kolejny etap stosowania. Jednak nie w ten, którego wszyscy się spodziewali. Jeszcze kilka tygodni temu ta data oznaczała rozpoczęcie stosowania pełnych obowiązków dla systemów wysokiego ryzyka. Digital Omnibus przesunął jednak te terminy, wywracając do góry nogami harmonogramy compliance.

Czemu zatem od kilku dni wszyscy piszą o milionowych karach w związku z wykorzystaniem AI? Wszystko za sprawą art. 50 AI Act, który już teraz nakłada na organizacje nowe obowiązki. Od 2 sierpnia obowiązuje bowiem wymóg:

✔️ informowania o kontakcie z AI – chatboty, voiceboty i wirtualni asystenci muszą jasno komunikować, że rozmówcą jest maszyna;

✔️ oznaczenia treści generowanych przez AI – dostawcy systemów, które generują lub manipulują syntetycznymi treściami (obraz, dźwięk, wideo, tekst), muszą oznaczyć wyniki ich działania tak, by dało się wykryć, że powstały lub zostały zmanipulowane przez AI. Obowiązek nie dotyczy systemów, które jedynie wspomagają standardową edycję albo nie zmieniają w istotny sposób danych wejściowych podmiotu stosującego ani ich semantyki;

✔️ ujawnienia deepfake’ów – obowiązek spoczywa na podmiocie stosującym system. Musi on ujawnić, że obraz, treść audio lub wideo zostały sztucznie wygenerowane lub zmanipulowane. Deepfake to treść wygenerowana lub zmanipulowana przez AI, która przypomina istniejące osoby, przedmioty, miejsca, podmioty lub zdarzenia i którą odbiorca mógłby niesłusznie uznać za autentyczną lub prawdziwą. Jeżeli takie treści są częścią utworu lub programu o wyraźnie artystycznym, twórczym, satyrycznym, fikcyjnym lub analogicznym charakterze, wystarczy ujawnić ich istnienie — w sposób, który nie utrudnia wyświetlania utworu ani korzystania z niego.

Odrębny obowiązek dotyczy tekstów wygenerowanych lub zmanipulowanych przez system AI, publikowanych w celu informowania społeczeństwa o sprawach leżących w interesie publicznym. Również tutaj trzeba poinformować, że treść została sztucznie wygenerowana lub zmanipulowana, chyba że treść ta przeszła weryfikację człowieka lub kontrolę redakcyjną, a odpowiedzialność redakcyjną za publikację ponosi osoba fizyczna lub prawna;

✔️ informowanie w przypadku rozpoznawania emocji lub kategoryzacji biometrycznej - podmioty stosujące systemy rozpoznawania emocji lub kategoryzacji biometrycznej muszą poinformować o tym osoby, których te działania dotyczą, oraz zapewnić zgodność z przepisami o ochronie danych osobowych.

Od czego warto zacząć w tym miesiącu? ✅ spis narzędzi AI, których faktycznie używacie (zwykle jest ich więcej, niż zarząd myśli) ✅ przegląd umów z dostawcami ✅ ustalenie zasad korzystania z AI dla zespołu.

07/08/2026

Od 2 sierpnia Twój chatbot ma obowiązek się przyznać, że jest botem. 🤖

AI Act wszedł w kolejny etap stosowania. Jednak nie w ten, którego wszyscy się spodziewali. Jeszcze kilka tygodni temu ta data oznaczała rozpoczęcie stosowania pełnych obowiązków dla systemów wysokiego ryzyka. Digital Omnibus przesunął jednak te terminy, wywracając do góry nogami harmonogramy compliance.

Czemu zatem od kilku dni wszyscy piszą o milionowych karach w związku z wykorzystaniem AI? Wszystko za sprawą art. 50 AI Act, który już teraz nakłada na organizacje nowe obowiązki. Od 2 sierpnia obowiązuje bowiem wymóg:

✔️ informowania o kontakcie z AI – chatboty, voiceboty i wirtualni asystenci muszą jasno komunikować, że rozmówcą jest maszyna;

✔️ oznaczenia treści generowanych przez AI – dostawcy systemów, które generują lub manipulują syntetycznymi treściami (obraz, dźwięk, wideo, tekst), muszą oznaczyć wyniki ich działania tak, by dało się wykryć, że powstały lub zostały zmanipulowane przez AI. Obowiązek nie dotyczy systemów, które jedynie wspomagają standardową edycję albo nie zmieniają w istotny sposób danych wejściowych podmiotu stosującego ani ich semantyki;

✔️ ujawnienia deepfake’ów – obowiązek spoczywa na podmiocie stosującym system. Musi on ujawnić, że obraz, treść audio lub wideo zostały sztucznie wygenerowane lub zmanipulowane. Deepfake to treść wygenerowana lub zmanipulowana przez AI, która przypomina istniejące osoby, przedmioty, miejsca, podmioty lub zdarzenia i którą odbiorca mógłby niesłusznie uznać za autentyczną lub prawdziwą. Jeżeli takie treści są częścią utworu lub programu o wyraźnie artystycznym, twórczym, satyrycznym, fikcyjnym lub analogicznym charakterze, wystarczy ujawnić ich istnienie — w sposób, który nie utrudnia wyświetlania utworu ani korzystania z niego.

Odrębny obowiązek dotyczy tekstów wygenerowanych lub zmanipulowanych przez system AI, publikowanych w celu informowania społeczeństwa o sprawach leżących w interesie publicznym. Również tutaj trzeba poinformować, że treść została sztucznie wygenerowana lub zmanipulowana, chyba że treść ta przeszła weryfikację człowieka lub kontrolę redakcyjną, a odpowiedzialność redakcyjną za publikację ponosi osoba fizyczna lub prawna;

✔️ informowanie w przypadku rozpoznawania emocji lub kategoryzacji biometrycznej - podmioty stosujące systemy rozpoznawania emocji lub kategoryzacji biometrycznej muszą poinformować o tym osoby, których te działania dotyczą, oraz zapewnić zgodność z przepisami o ochronie danych osobowych.

Od czego warto zacząć w tym miesiącu? ✅ spis narzędzi AI, których faktycznie używacie (zwykle jest ich więcej, niż zarząd myśli) ✅ przegląd umów z dostawcami ✅ ustalenie zasad korzystania z AI dla zespołu.

06/07/2026

To mnie nie dotyczy… Nie wiem jak się za to zabrać… Nie mam na to teraz środków… Dlaczego mniejsze podmioty również muszą pamiętać o bezpieczeństwie danych?

Wiele małych firm wciąż żyje w przekonaniu, że wymogi RODO oraz podstawowe zasady cyberbezpieczeństwa dotyczą tylko dużych podmiotów. Ilość wydatków i obciążeń związanych z prowadzeniem działalności często bywa przytłaczająca, a dbanie o bezpieczeństwo danych wydaje się najmniejszym problemem i często przerostem formy nad treścią. Aż do momentu, gdy dochodzi do naruszenia lub podejrzenia naruszenia…

Najnowsza decyzja Prezesa UODO wobec przedsiębiorcy prowadzącego kancelarię doradztwa podatkowego, jest wyraźnym sygnałem, że bezpieczeństwo danych to obowiązek każdego administratora – niezależnie od skali działalności.

O co chodziło w sprawie?
Przedsiębiorca prowadzący działalność księgowo - podatkową zgłosił podejrzenie naruszenia ochrony danych, gdyż nieuprawniony podmiot uzyskał dostęp do skrzynki e-mail pracownika i dokonywał za jej pośrednictwem wysyłki spamu. W skrzynce znajdowały się dane ponad 100 podmiotów, w tym klientów, ich pracowników oraz dzieci zgłaszanych do ubezpieczeń, a zakres danych był szeroki obejmując m. in.: numery PESEL, dane o zarobkach, numery rachunków bankowych, świadectwa pracy oraz serie i numery dowodów osobistych czy paszportów.

Administrator ani hostingodawca nie mieli pewności czy osoba, która uzyskała dostęp do skrzynki zapoznała się z tymi informacjami, jak długo miała dostęp do skrzynki ani w jaki sposób spam był wysyłany. Niemniej jednak kontrola wszczęta na podstawie tego zgłoszenia wykazała szereg nieprawidłowości.

Kluczowe błędy administratora:
❌ brak analizy ryzyka: Administrator przed incydentem w ogóle nie przeprowadził analizy ryzyka dla procesów przetwarzania danych przez e-mail. UODO podkreśliło, że bez takiej analizy nie da się dobrać odpowiednich zabezpieczeń;
❌ zbytnie zaufanie dostawcy technologii: Przedsiębiorca twierdził, że bezpieczeństwo testował dostawca hostingu. UODO wskazało jednak, że odpowiedzialność administratora jest autonomiczna – nie można jej w całości przerzucić na hostingodawcę;
❌ brak regularnego testowania: Firma nie posiadała procedur regularnego mierzenia i oceniania skuteczności wdrożonych zabezpieczeń technicznych i organizacyjnych.

Konsekwencje:
Choć przedsiębiorca po incydencie podjął działania naprawcze (m.in. przeprowadził audyt i wdrożył polityki bezpieczeństwa), nałożono na niego administracyjną karę pieniężną w wysokości 11 594 zł. UODO uznało naruszenie za poważne ze względu na systemowy brak procedur oraz przetwarzanie danych osób, które nie przekazały ich dobrowolnie (np. dzieci pracowników klientów).

Prowadzisz mikrokancelarię? Jednoosobową działalność? Pamiętaj, że bezpieczeństwo danych to nie zbędny wydatek – to fundament zaufania Twoich klientów.

14/05/2026

SENT: Zmiany w przepisach od 13 maja 2026 r. Czy biurokracja transportowa rzeczywiście zmalała?

13 maja 2025 r. weszły w życie nowe przepisy dotyczące monitorowania przewozu odzieży i obuwia. Choć ustawodawca przewidział pewne wyłączenia, nie obejmują one wszystkich uczestników rynku.

SENT to system elektronicznego nadzoru, służący Krajowej Administracji Skarbowej do monitorowania towarów uznawanych za „wrażliwe”. Od 17 marca 2026 roku do tej kategorii dołączyły odzież oraz obuwie.

Oznacza to, że każdy transport spełniający kryteria ilościowe i niepodlegający innym wyłączeniom musi zostać zarejestrowany w systemie pod rygorem dotkliwych sankcji finansowych.

Przedsiębiorcy branży odzieżowej zostali zmuszeni do mierzenia się z tzw. biurokracją cyfrową. Problem dotyczy zwłaszcza sytuacji, gdy towar nie jest wieziony do klienta, lecz z własnego magazynu na stoisko handlowe. Organy uznają to za przewóz podlegający zgłoszeniu (tzw. „SENT na siebie”), co dla wielu firm stało się barierą operacyjną i techniczną, z uwagi na konieczność ważenia towaru, dokonywanie zgłoszenia ora korzystanie z aplikacji do geolokalizacji.

Po interwencji Rzecznika Małych i Średnich Przedsiębiorców MF zdecydowało o wprowadzeniu zmian mających na celu ochronę mikroprzedsiębiorców. Nowe rozporządzenie wprowadziło możliwość zwolnienia z monitorowania dla mikroprzedsiębiorców wpisanych do CEIDG lub prowadzących spółkę jawną.

Zwolnienie obowiązuje przy zachowaniu ścisłych limitów:
👉do 500 kg odzieży lub 👉 do 700 sztuk obuwia. Warunkiem jest transport towaru pomiędzy miejscem działalności a targowiskiem podlegającym opłacie targowej.

Należy podkreślić, że nowe przepisy mają charakter selektywny. Zwolnienie dotyczy wyłącznie przewozów na targowiska otwarte, podlegające opłacie targowej (place, ulice handlowe).
⚠️ Przedsiębiorcy przewożący towar na handel w budynkach lub ich częściach (np. w centrach handlowych), nadal muszą realizować pełne obowiązki zgłoszeniowe SENT, gdyż zgodnie z ustawą o podatkach i opłatach lokalnych opłacie targowej nie podlega sprzedaż dokonywana w budynkach lub w ich częściach.

Aby zakwalifikować się do zwolnienia przedsiębiorca musi posiadać w pojeździe szczegółowy dokument zawierający imię i nazwisko albo nazwę podmiotu, adres zamieszkania albo siedziby, NIP, rodzaj towaru, numer rejestracyjny pojazdu, datę przewozu oraz dane adresowe stałego miejsca wykonywania działalności gospodarczej lub miejsca jego zamieszkania albo siedziby i dane adresowe targowiska.

System wymagający szczególnej skrupulatności SENT nie wybacza pomyłek. Nawet drobne błędy w zgłoszeniach lub brak aktualnych danych geolokalizacyjnych mogą prowadzić do nałożenia wysokich kar.

06/05/2026

Kwiecień w ochronie danych to kilka rozstrzygnięć, które bezpośrednio uderzają w codzienne procesy firm. W dzisiejszym zestawieniu:

✔️kara za ignorowanie analizy ryzyka przy “drobnych” incydentach;
✔️czy sam numer telefonu to już dane osobowe? (wyrok NSA z 15 kwietnia);
✔️ skrzynki e-mail na celowniku - gdzie leżą najczęstsze problemy?

Zobacz rolkę, aby dowiedzieć się więcej 👉

27/03/2026

27/03/2026

Marzec w świecie RODO to kilka ciekawych decyzji niosących ze sobą ważne i praktyczne wnioski dla biznesu.

Dotykają one kwestii związanych m.in. z:

✔️ kserowaniem i skanowaniem dokumentów tożsamości,

✔️ politykami przetwarzania i nabywaniem wzorów dokumentów niedostosowanych do organizacji,

✔️ zasadami opisywania podstaw przetwarzania w obowiązkach informacyjnych czy

✔️ zmuszaniem pracowników do używania prywatnych telefonów do uwierzytelniania dwuskładnikowego.

25/02/2026

Kolejna milionowa kara od UODO! Czyli czego uczy nas przypadek pewnej firmy kurierskiej?

Prezes UODO nałożył na jedną ze spółek kurierskich potężne administracyjne kary pieniężne, których łączna suma przekracza 11 milionów złotych! Powody były dwa: brak umów powierzenia z zewnętrznymi przewoźnikami (6,2 mln zł) oraz nieprawidłowy mechanizm nadawania upoważnień (5,2 mln zł).

Ta sprawa stanowi kolejne, ciekawe lekcje dla każdego administratora danych.

Lekcja 1 - każda współpraca z zewnętrzną firmą, która ma dostęp do danych, musi być sformalizowana. Umowa powierzenia to kluczowy dowód, że administrator kontroluje, co się dzieje z danymi. Kwestia dość oczywista, gdyby nie najciekawszy aspekt sprawy, tj. uznanie zewnętrznych firm transportowych za podmioty przetwarzające.

Spółka argumentowała, że przewoźnicy jedynie prowadzą pojazdy z zaplombowanymi naczepami i nie mają dostępu do treści przesyłek. Prezes UODO odrzucił tę argumentację, wskazując, że: przewoźnicy mają fizyczne i wyłączne władztwo nad przesyłkami (i danymi na etykietach) podczas transportu; zapisy umowne zobowiązywały ich do pomocy przy załadunku i wyładunku, a przetwarzanie (w tym przechowywanie) danych odbywa się w ich środkach transportu.

Wniosek dla administratorów? Analiza procesów powierzenia przetwarzania powinna zostać przeprowadzona ze zwróceniem uwagi na tego rodzaju „pułapki”. Nawet tam, gdzie na pierwszy rzut oka może wydawać się, iż podmiot nie ma dostępu do danych – możemy mieć do czynienia z powierzeniem przetwarzania w rozumieniu RODO.

Lekcja 2 i 3 - Drugim filarem kary był system automatycznego generowania upoważnień. Po zaliczeniu testu przez pracownika system przesyłał na jego dysk plik z upoważnieniem, który nie był podpisany przez nikogo z ramienia spółki, nie zawierał danych identyfikacyjnych pracownika ani osoby udzielającej upoważnienia. Organ uznał, że: upoważnienie to oświadczenie woli, które musi być przypisane do konkretnej osoby fizycznej (np. poprzez podpis lub jednoznaczny identyfikator systemowy); automatyzm stosowany w spółce doprowadził do sytuacji, w której pracownik de facto „sam sobie udzielał upoważnienia”, co jest prawnie niemożliwe; brak wyznaczenia osoby odpowiedzialnej za nadawanie upoważnień (wbrew własnej polityce ochrony danych) stanowił rażące zaniedbanie organizacyjne.

Wnioski dla administratorów?
✔️UODO wraca do formalizmu związanego z nadawaniem upoważnień.
Co prawda, zazwyczaj rekomendujemy naszym klientom sformalizowaną procedurę udzielania upoważnień, jednak nasz upór w tej kwestii wynika właśnie z daleko idącej ostrożności przed tego rodzaju interpretacją przepisów, z którą osobiście się nie zgadzamy.
Idealnie byłoby, gdyby wytyczne organu nie zmuszały do działań "na wypadek kontroli" tylko pozwoliły skupić się na rzeczywistej, systemowej ochronie danych;
✔️polityki ochrony danych nie mogą być martwym tworem! To już kolejna decyzja, w której wskazywane są rozbieżności między praktyką a przyjętymi procedurami. Takie działanie są niestety, jak strzał w kolano.

27/01/2026