RODOaktualności #47 - Nagana za RODO-braki | Data Act | Transfer danych do USA | Dior vs. Chiny

Cześć! Dlaczego u RODO upomniał przedsiębiorcę, który pozycjonował strony internetowe i przetwarzał powierzone dane osobowe? Czyli o jakich RODO-obowiązkach lepiej nie zapominać? Czy akt w sprawie danych zastąpi RODO, czy raczej stanie się jego uzupełnieniem? Czyli najnowsze prawo regulujące przetwarzanie danych osobowych właśnie zaczęło obowiązywać? 3. Czy transfery danych osobowych z Unii Europejskiej do USA są zagrożone? Czyli mamy ważną decyzję Trybunału Sprawiedliwości Unii Europejskiej . No i 4. Francuski Dior vs. Chińskie RODO. Czyli czy to możliwe, żeby europejskie korporacje zostały ukarane poza Unią Europejską za brak stosowania odpowiednich standardów ochrony danych osobowych w tym kraju poza Unią Europejską?

W skrócie zapraszam Cię na przegląd najważniejszych RODOaktualności z września 2025 roku. Gotowi? No to czas na RODO. Dzień dobry, kontrola biletów. Proszę przygotować bilety do kontroli. Prezes u RODO przeprowadził kontrolę u przedsiębiorcy zajmującego się pozycjonowaniem stron internetowych. Firma działała jako podmiot przetwarzający dane klientów sklepu internetowego swojego klienta. Podczas kontroli okazało się, że pracownicy przedsiębiorcy nie mieli formalnych upoważnień do przetwarzania danych osobowych, A sam przedsiębiorca nie prowadził RKCP, czyli rejestru kategorii czynności przetwarzania, co jest przecież obowiązkiem dla każdego procesora, czyli podmiotu przyjmującego dane osobowe w powierzeniu.

Dodatkowo, w wyniku nieautoryzowanego dostępu do konta w panelu sklepu internetowego, Ktoś uzyskał dostęp do danych klientów platformy. Nie było tam co prawda peseli czy danych finansowych, tylko zwykłe dane kontaktowe takie jak imię, nazwisko, adres e-mail, numer telefonu i adres wysyłki. Chociaż nawet i naruszenia RODO dotyczące tak wąskiego katalogu danych mogą być w efekcie bardzo groźne dla reputacji firmy, o czym opowiem Ci w ostatnim czwartym RODO Newsie. I chociaż przedsiębiorca wdrożył finalnie wszystkie wymagane dokumenty, RODO uznał, że przez kilka lat naruszał przepisy RODO. Konkretnie artykuły 29, 30 oraz 32.

Finał całej historii okazał się dla naszego przedsiębiorcy na szczęście szczęśliwy. Niewielki zakres danych i brak szkody po stronie osób spowodowały to, że organ poprzestał na upomnieniu i nie nałożył kary finansowej. A jakie wnioski płyną z tego RODO-newsa dla Ciebie i Twojej organizacji? Po pierwsze, nawet jeśli działasz jako podmiot przetwarzający, czyli przyjmujesz dane osobowe w powierzenie, masz swoje obowiązki RODO, w tym między innymi prowadzenie rejestru kategorii czynności przetwarzania RKCP. To nie jest opcja, tylko wymóg prawa. Powiem więcej, nawet jeśli corem, czyli głównym obszarem Twojej działalności wcale nie jest przyjmowanie danych osobowych w powierzenie, ale wdrożyłeś czy wdrożyłaś dla pracowników benefity medyczne czy sportowe, to na 99% też masz obowiązek prowadzić RKCP.

Dlaczego? Dlatego, że w przypadku przetwarzania tego typu danych przyjmujesz dane w powierzenie od podmiotu świadczącego usługi benefitowe. Po drugie, każdy kto ma dostęp do danych osobowych musi mieć ważne upoważnienie do przetwarzania danych. Brak takiego dokumentu to jak dać komuś klucze do sejfu bez upewnienia się, że ma do tego prawo. Dodam jeszcze tylko, że to czy nadajesz upoważnienia do przetwarzania danych osobowych może zweryfikować zarówno UODO jak i administrator, który powierza Twojej firmie czy instytucji dane osobowe. Po trzecie, To, że spełniasz każdy z tych obowiązków, o których powiedziałem przed chwilką, musisz umieć wykazać. Czyli musisz być zgodny z rodowską zasadą rozliczalności.

W tym wypadku, jeśli przyjmujesz dane w powierzenie i nawet jeśli faktycznie przetwarzasz dane zgodnie z umową powierzenia przetwarzanie danych, musisz umieć to wykazać. W praktyce oznacza to konieczność posiadania elektronicznych albo pisemnych upoważnień, rejestrów i procedur. Nie wystarczy samo zapewnienie, że wszystko mamy pod kontrolą. No i po czwarte, kontrole UODO przebiegają często na zasadzie po nicce do kłębka. Jeśli twój podwykonawca, któremu powierzasz dane osobowe, doprowadzi do jakiegoś naruszenia ochrony danych osobowych, to na 99% UODO skontroluje zarówno tego podwykonawcę, jak i ciebie, jeżeli już do kontroli UODO dojdzie.

Dlatego jeśli korzystasz z usług firm zewnętrznych , sprawdź ich poziom zgodności z RODO, w tym prowadzenie odpowiednich rejestrów i ewidencji upoważnień. Brak porządku w papierach u podwykonawcy może skończyć się problemami także i u Ciebie jako administratora danych. Pamiętaj też, że odpowiedzialność administratora za powierzone dane osobowe nie kończy się na podpisaniu umowy powierzenia. Administrator danych powinien też okresowo weryfikować swoich podwykonawców i upewniać się, że rzeczywiście realizują wymogi RODO, a nie tylko oświadczają to w ankietach bezpieczeństwa. Jaki jeszcze możesz wyciągnąć wniosek z tego RODO-newsa? Jeśli chcesz mieć pewność, że masz pod kontrolą wszystkie rejestry, upoważnienia, szkolenia i inne obszary wymagane przez RODO, no to sprawdź koniecznie naszą aplikację sodo.com.pl.

Dzięki niej w prosty sposób ogarniesz RODO w swojej firmie bez chaosu i nerwów. Przechodzimy do newsa numer 2. Od 12 września 2025 roku obowiązuje we wszystkich krajach Unii Europejskiej akt w sprawie danych, czyli nowe rozporządzenie, które ma wprowadzić sprawiedliwy dostęp do danych nie tylko osobowych i ułatwić ich wykorzystywanie. To kolejny krok w realizacji europejskiej strategii danych po tzw. akcie w sprawie zarządzania danymi. Nowe przepisy regulują m.in. zasady dzielenia się danymi między firmami, administracją publiczną i konsumentami. Prawo ułatwia też zmianę dostawców usług chmurowych i określa standardy interoperacyjności.

W praktyce oznacza to np. że dane generowane przez Urządzenia Internetu Rzeczy , takie jak inteligentne zegarki, samochody czy sprzęty domowe, nie będą już zamknięte wyłącznie w systemach producentów. Użytkownicy zyskają realne prawo do ich współdzielenia i przenoszenia oraz np. do serwisowania tych urządzeń poza siecią autoryzowanych serwisów producenta, bo łatwiejszy ma być też dostęp do danych diagnostycznych. A jak ma się to nowe prawo do RODO? Co ważne, akt w sprawie danych nie zastępuje RODO. Jak podkreśla prezes Urzędu Ochrony Danych Osobowych u RODO, nowe przepisy uzupełniają RODO, a nie wchodzą z nim w konflikt. Przykład?

Proszę bardzo. Jeśli Twoja inteligentna pralka zbiera podstawowe informacje o użytkowaniu sprzętu, ale bez powiązania z jakimikolwiek informacjami o charakterze osobowym, zastosowanie będzie miał akt w sprawie danych. Ze swoją nieco mniejszą ochroną. Natomiast jeśli Twoje inteligentne auto przetwarza masę danych na temat użytkownika pojazdu, które to dane łatwo mogą być powiązane z konkretną osobą fizyczną, użytkownikiem tego auta, no to będą już to nie tylko informacje podpadające pod akt w sprawie danych, będą to też dane osobowe, a więc będą też podlegać pod bardziej zaawansowaną ochronę wynikającą z RODO. Dlatego też w każdej sytuacji, gdy przykładowo przetwarzane są dane osobowe, RODO będzie miało nadal pierwszeństwo.

A jakie wnioski płyną z tego RODO Newsa dla Ciebie i Twojej organizacji? Po pierwsze, przygotuj się na nowe obowiązki i możliwości. Akt w sprawie danych otwiera zupełnie nowy rozdział w gospodarce opartej na danych. Jeśli Twoja organizacja korzysta z usług chmurowych czy urządzeń internetu rzeczy IoT, warto już teraz przyjrzeć się jakie dane generuje i jak można je wykorzystać zgodnie z nowymi zasadami. Po drugie. Pamiętaj, że RODO nie odchodzi do lamusa. Wręcz przeciwnie. Jego znaczenie jeszcze wzrośnie, bo ono pozostaje nadal fundamentem ochrony danych osobowych także w kontekście Data Act. W razie kolizji między przepisami to RODO ma pierwszeństwo. Po trzecie.

Jeśli Amerykanie przestaną spełniać wymagania. Innymi słowy, tym razem most ułatwiający transfer danych między Unią a Stanami Zjednoczonymi został obroniony, ale trzymamy rękę na pulsie i monitorujemy aktywność pana Maxa Shremsa. Jeśli cokolwiek się zmieni w tym obszarze i program DPF zostanie zawieszony od razu poinformujemy Cię o tym w RODOaktualnościach. Będzie to skutkowało koniecznością podjęcia dodatkowych działań zabezpieczających transfer danych do Stanów Zjednoczonych. A jakie wnioski płyną z tego RODO Newsa dla Ciebie i Twojej organizacji? Po pierwsze, jeśli Twoja firma korzysta z amerykańskich dostawców usług takich jak Microsoft, Google, Amazon, Salesforce itd.

Bez tego przekaz danych wciąż będzie możliwy, ale będzie znacznie bardziej ryzykowny. Jak to zrobić? Wejdź na adres www.dataprivacyframework.gov. Link znajdziesz też na dole w opisie odcinka. A następnie przejdź do zakładki Data Privacy Framework List i korzystając z wyszukiwarki sprawdź czy amerykański dostawca usług, któremu powierzasz dane osobowe znajduje się na tej liście. Przechodzimy do ostatniego, czwartego RODO-newsa. We wrześniu 2025 roku chińskie organy regulacyjne nałożyły karę finansową na szanghajską spółkę-córkę francuskiej korporacji Dior.

Za co Dior otrzymał karę finansową? Za nielegalny transfer danych osobowych chińskich klientów do Francji. Dlaczego ta kara finansowa jest tak wyjątkowa? Ano dlatego, że jest to precedensowy przypadek egzekwowania nowych chińskich przepisów o ochronie danych i pierwsza tak medialna kara od czasu wejścia w życie chińskiej ustawy o ochronie danych osobowych. Tak, tak, Chińczycy też mają swoje RODO i GDPR-a, tylko nazywa się nieco inaczej, bo PIPL, czyli Personal Information Protection Law. Przepisy obowiązują od 2021 roku. A za co konkretnie Dior otrzymał karę finansową? Chińskie dochodzenie wykazało aż trzy poważne naruszenia prawa.

Scenariusz oszustwa był powiązany z wykradzionymi danymi. Przestępcy dysponując informacjami klientów proponowali np. ekskluzywne członkostwo i wyłudzali opłaty za rzekome korzyści. Część poszkodowanych zgłosiła sprawę policji i rozważała kroki prawne. Pojawiły się głosy o możliwym pozwie zbiorowym przeciw firmie za zaniedbania w ochronie danych. No a jakie wnioski płyną z tego RODO-newsa dla Ciebie i Twojej organizacji? Po pierwsze, nawet procesy przesyłu niewinnych danych kontaktowych klientów wymagają odpowiedniego zabezpieczenia. W razie wycieku danych prawdopodobnie nie będziesz musiał czy musiała zgłaszać tego typu incydentu do Urzędu Ochrony Danych Osobowych.

Jeśli Twoja organizacja działa globalnie, również poza Unią Europejską, musisz pamiętać, żeby być zgodnym nie tylko z unijnymi przepisami o ochronie danych osobowych, czyli RODO. W swoim procesie mapowania ryzyk musisz uwzględnić też nowe potencjalne ryzyko i kolejny obszar, w którym powinieneś czy powinnaś być zgodny. Pamiętaj o tym, że na świecie jest coraz więcej państw, które wdrażają swoje GDPRy, że wymienię tylko niektóre amerykańskie Stany z Kalifornią na czele, Koreę Południową, Ukrainę, Indie, Brazylię, Japonię, Australię, Kanadę, Szwajcarię, Nową Zelandię, Rosję, Meksyk, Turcję, RPA, Argentynę czy właśnie Chiny. Dlatego jeśli transferujesz dane osobowe z tych państw do innych spółek z grupy, koniecznie przeanalizuj też lokalne prawodawstwo w obszarze ochrony danych.

Podsumowując, po pierwsze, nawet jeśli tylko przetwarzasz dane osobowe jako procesor i robisz to tak tylko przy okazji, masz obowiązek prowadzić rejestr RKCP i nadawać upoważnienia osobom, które mają dostęp do tych powierzonych danych. Brak tych działań może zostać wykryty zarówno przez UODO, jak i administratora powierzającego Ci dane. Po drugie, nowe przepisy o danych Data Act otwierają kolejny etap gospodarki opartej na informacji. Jeśli dostarczasz usługi chmurowe, produkujesz albo serwisujesz inteligentne urządzenie IoT, już teraz sprawdź jakie obowiązki i możliwości dają Ci nowe przepisy. Po trzecie, jeśli korzystasz z usług amerykańskich dostawców albo transferujesz dane osobowe do spółki matki ze Stanów Zjednoczonych, możesz jeszcze robić to bezpieczniej, czyli korzystając z nadal zatwierdzonego przez Komisję Europejską programu Data Privacy Framework.

Po czwarte, jeśli działasz globalnie zadbaj o zgodność nie tylko z RODO, ale też z lokalnymi przepisami ochrony danych osobowych. Wiele krajów ma już własne odpowiedniki unijnego prawa. Po piąte, podziel się w komentarzach swoją opinią na temat swoich doświadczeń z kontroli podwykonawców przetwarzających dane osobowe na zlecenie. Z jakim RODO-obowiązkiem mieli najczęściej problemy? No i wreszcie, po szóste, żeby być na bieżąco z naszymi RODO-newsami, zasubskrybuj nasz kanał. Na dole pojawi się przycisk do subskrypcji. Kliknij w dzwoneczek. Z nami najważniejsze RODO-aktualności i wnioski z nich płynące na pewno Cię nie ominą. Daj też proszę kciuka w górę pod tym odcinkiem, jeżeli Ci się spodobał.