AllSafe - ochrona danych osobowych - RODO

14/12/2025

Trend w kończącym się 2025 roku: organy ochrony danych coraz surowiej egzekwują obowiązki RODO

Rok 2025 potwierdził wyraźny trend w Europie: organy ochrony danych osobowych coraz częściej sięgają po wysokie kary finansowe, a argument „braku umyślności” traci na znaczeniu. W centrum zainteresowania regulatorów znalazły się:

- cookies i marketing online,

- naruszenia ochrony danych,

- brak dokumentacji decyzji administratora,

- nieprawidłowe oceny ryzyka.

W praktyce oznacza to przesunięcie akcentu z „czy doszło do wycieku” na pytanie:

- czy administrator potrafi wykazać, że działał zgodnie z zasadą rozliczalności (art. 5 ust. 2 RODO).

Dla organizacji oznacza to konieczność realnego, a nie wyłącznie deklaratywnego, wdrożenia:

- procedur reagowania na incydenty,

- analizy ryzyka,

- mechanizmów zgód i ich cofania,

- dokumentowania decyzji w obszarze ochrony danych.

Źródło:

On this page you will find EDPB news relating to our activities as well as national news on GDPR enforcement by the national supervisory authorities. The press releases of the national authorities which are gathered here do not constitute official EDPB communication nor an endorsement. They are publ...

14/12/2025

40 tys. zł kary dla podmiotu medycznego za niezgłoszenie naruszenia danych pacjentki

Prezes UODO nałożył karę 40 000 zł na podmiot leczniczy za niezgłoszenie naruszenia ochrony danych osobowych pacjentki oraz brak realizacji obowiązku informacyjnego wobec osoby, której dane dotyczyły.

W sprawie doszło do ujawnienia danych wrażliwych – danych dotyczących zdrowia – co automatycznie kwalifikuje incydent jako naruszenie o wysokim poziomie ryzyka. Mimo to administrator nie zgłosił zdarzenia ani do organu nadzorczego, ani do pacjentki.

UODO podkreślił, że:

- dane o stanie zdrowia należą do szczególnych kategorii danych osobowych,

- nawet pojedynczy incydent może rodzić poważne konsekwencje dla osoby fizycznej,

- brak procedur reagowania na incydenty jest samodzielnym naruszeniem art. 32 RODO.

Decyzja ta ma szczególne znaczenie dla placówek medycznych, które w dalszym ciągu należą do grupy najczęściej karanych administratorów danych w Polsce.

Źródło:

Prezes Urzędu Ochrony Danych Osobowych nałożył na spółkę Gyncentrum karę administracyjną w wysokości 40 tys. zł za niezgłoszenie naruszenia ochrony danych

14/12/2025

Kara UODO dla komornika sądowego za brak zgłoszenia naruszenia danych osobowych

Prezes Urzędu Ochrony Danych Osobowych nałożył karę pieniężną na komornika sądowego, który nie dopełnił obowiązków wynikających z art. 33 i 34 RODO, tj. nie zgłosił naruszenia ochrony danych osobowych oraz nie poinformował osoby, której dane dotyczyły.

Sprawa dotyczyła wysłania korespondencji zawierającej dane osobowe (m.in. imię, nazwisko, adres, PESEL) do nieuprawnionego adresata. Pomimo stwierdzenia incydentu, administrator nie dokonał zgłoszenia naruszenia do UODO, uznając błędnie, że ryzyko dla osoby fizycznej jest niewielkie.

UODO jednoznacznie wskazał, że:

- to administrator decyduje o ocenie ryzyka, ale musi ją udokumentować,

- brak zgłoszenia naruszenia wymaga realnego i uzasadnionego braku ryzyka,

- dane identyfikacyjne, takie jak PESEL, co do zasady generują co najmniej średnie ryzyko.

Decyzja ta jest istotnym przypomnieniem, że zawody zaufania publicznego (w tym komornicy, notariusze, adwokaci) nie są w żaden sposób wyłączone spod rygorów RODO, a obowiązki związane z naruszeniami danych mają charakter bezwzględny.

Źródło: https://uodo.gov.pl/pl/138/3967

14/12/2025

Francuski organ CNIL nakłada 150 mln euro kary na SHEIN za cookies bez zgody użytkowników

Francuski organ ochrony danych osobowych (CNIL) nałożył na firmę SHEIN karę administracyjną w wysokości 150 mln euro za naruszenia przepisów RODO i dyrektywy ePrivacy w zakresie stosowania plików cookies. Decyzja dotyczyła przede wszystkim instalowania plików cookies bez ważnej zgody użytkowników oraz stosowania mechanizmów, które w praktyce utrudniały odmowę zgody.

CNIL wskazał, że użytkownicy strony internetowej SHEIN mieli możliwość łatwego wyrażenia zgody na cookies, natomiast odrzucenie cookies było nieproporcjonalnie skomplikowane, co narusza zasadę dobrowolności i równowagi wyboru. Dodatkowo część plików cookies była instalowana jeszcze przed dokonaniem jakiegokolwiek wyboru przez użytkownika.

Decyzja ta wpisuje się w utrwaloną linię orzeczniczą europejskich organów nadzorczych, zgodnie z którą:

- przycisk „akceptuj” i „odrzuć” muszą być równoważne,

- brak zgody musi być równie prosty jak jej udzielenie,

- domyślne instalowanie cookies analitycznych lub marketingowych jest niedopuszczalne.

Dla administratorów stron internetowych jest to kolejny sygnał, że compliance cookies pozostaje jednym z najczęściej kontrolowanych obszarów RODO, a błędy w tym zakresie mogą prowadzić do bardzo dotkliwych sankcji finansowych.

CNIL (organ francuski):
https://www.cnil.fr/en/cookies-placed-without-consent-shein-fined-150-million-euros-cnil

EDPB – informacja o decyzji krajowego organu:
https://www.edpb.europa.eu/news/national-news/2025/french-sa-cookies-placed-without-consent-shein-fined-150-000-000-eur-cnil_en

4 September 2025 France Background information Date of final decision: September 1st, 2025 National case Controller: INFINITE STYLES SERVICES CO. LIMITED Legal Reference: The French Data Protection Act (Article 82): failure to obtain user consent before placing cookies; incomplete information banner...

18/11/2024

🚨 NSA potwierdza karę dla ClickQuickNow! 🚨

Naczelny Sąd Administracyjny podtrzymał decyzję UODO o nałożeniu na ClickQuickNow kary w wysokości 201 559,50 zł za naruszenie RODO. Spółka utrudniała wycofanie zgody, wymagając podania powodu i wprowadzając użytkowników w błąd. ⚖️

Baza ClickQuickNow zawierała dane ponad 2,1 mln osób, w tym dane osób, które nie były jej klientami. NSA potwierdził, że wycofanie zgody powinno być tak proste, jak jej wyrażenie. Ta decyzja podkreśla znaczenie ochrony praw osób, których dane dotyczą. 🔒

Źródło: https://uodo.gov.pl

05/11/2024

🚨 PUODO ukarał MOPS i MOSiR w Kutnie za naruszenie ochrony danych! 🚨

MOPS i MOSiR, a także współpracująca z nimi spółka, otrzymały kary w łącznej kwocie ponad 59 tys. zł. Powodem było zgubienie nieszyfrowanego pendrive’a zawierającego dane około 1 500 osób, w tym imiona, numery PESEL i inne poufne informacje. ⚠️

Brak analizy ryzyka oraz niewystarczająca kontrola procesu transferu danych przyczyniły się do tego incydentu. PUODO przypomina, jak ważne jest odpowiednie zabezpieczanie danych przed nieuprawnionym dostępem. Wdrożenie właściwych środków ochrony mogło zapobiec naruszeniu.

Dbajmy o bezpieczeństwo danych! 🔒


Źródło:

31/10/2024

🚨 Grecki Urząd Ochrony Danych nałożył karę 400 000 EUR na Ministerstwo Spraw Wewnętrznych! 🚨

Po skargach dotyczących niechcianych e-maili politycznych, Grecki Urząd Ochrony Danych stwierdził, że plik z danymi greckich wyborców został nieautoryzowanie przekazany poza Ministerstwo. 📧

Ministerstwo naruszyło art. 5, 25, 30, 32 i 33 RODO. Nałożono również karę 40 000 EUR na inny podmiot i nakazano usunięcie niezgodnie przetwarzanych danych. ⚠️ Sprawa partii Nowa Demokracja jest w toku.

14/10/2024

🚨 Uwaga na fałszywe e-maile podszywające się pod KAS! 🚨

Krajowa Administracja Skarbowa oraz Ministerstwo Finansów ostrzegają przed próbami wyłudzenia danych! 🛑 W fałszywych e-mailach znajduje się informacja o rzekomej notyfikacji dostępnej w Elektronicznej Skrzynce Podawczej (ESP) oraz link do jej odbioru.

KAS nie wysyła e-maili z prośbą o odbiór pism w ESP. Kliknięcie w link może prowadzić do wyłudzenia danych osobowych lub infekcji urządzenia złośliwym oprogramowaniem. ⚠️ Bądźcie czujni i unikajcie podejrzanych linków! 🔒

06/09/2024

🚨 Belgijska DPA nakłada grzywnę 8 000 euro za naruszenia RODO! 🚨
27 sierpnia 2024 r. Belgijski Urząd Ochrony Danych Osobowych (Belgijska DPA) ukarał firmę grzywną 8 000 euro za naruszenie przepisów RODO. Skarga pochodziła od osoby, która otrzymywała niechciane maile reklamowe i nie została poinformowana o prawie do rezygnacji. 📧
Dane osoby trafiły do firmy z klubu piłkarskiego, który ogłosił upadłość. Firma nie zapewniła przejrzystości przetwarzania danych i nie respektowała praw osoby fizycznej. ❌
Ochrona danych to priorytet! Firmy muszą działać transparentnie i respektować prawa jednostek. 🔍🛡️

The Belgian Data Protection Authority (Belgian DPA) published its Decision No. 108/2024 as issued on August 27, 2024, in which the Belgian DPA fined an unnamed company for violations of the General Data Protection Regulation (GDPR), following a complaint from an individual. Background to the decisio...

03/09/2024

🚨 SPZOZ w Pajęcznie ukarany przez UODO: 40 tys. zł za niewłaściwą ochronę danych! 🚨

Prezes Urzędu Ochrony Danych Osobowych (UODO) nałożył karę 40 tys. zł na Samodzielny Publiczny Zakład Opieki Zdrowotnej (SPZOZ) w Pajęcznie za brak odpowiednich zabezpieczeń danych osobowych. 🏥

W lutym 2022 r. placówka padła ofiarą ataku hakerskiego typu ransomware, który zaszyfrował dane osobowe 30 tys. pacjentów i ponad tysiąca pracowników. SPZOZ zgłosił incydent do UODO i Policji, ale początkowo zbagatelizował jego powagę, ponieważ dane nie wyciekły, a jedynie stały się niedostępne. 🔒

Jednak UODO ustaliło, że SPZOZ nie posiadał właściwej analizy ryzyka ani odpowiednich procedur, co uniemożliwiło skuteczną ochronę danych. W efekcie placówka musi wdrożyć lepsze środki bezpieczeństwa w ciągu 30 dni i poinformować poszkodowanych o incydencie. 📅

Bezpieczeństwo danych to priorytet! 🛡️