Baza wiedzy

Dzień Bezpiecznego Hasła (World Password Day) przypada zawsze w pierwszy czwartek maja. W 2026 roku świętujemy go 7 maja 2026 roku. To idealny moment, aby przeprowadzić w firmie audyt procedur logowania, zaktualizować dane dostępowe i przypomnieć pracownikom o najlepszych praktykach w zakresie cyberbezpieczeństwa.

Akt o usługach cyfrowych (często określany skrótem DSA od ang. Digital Services Act) to przełomowe rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2065. Jego głównym celem jest stworzenie bezpiecznego i przewidywalnego środowiska internetowego. Dokument ten reguluje odpowiedzialność platform internetowych za treści publikowane przez użytkowników oraz nakłada nowe obowiązki w zakresie przejrzystości działań cyfrowych.

Ocena skutków dla ochrony danych (DPIA) to jeden z najważniejszych obowiązków nałożonych na administratorów przez przepisy o ochronie danych. Wdrożenie nowych technologii, monitorowanie pracowników czy profilowanie klientów to tylko niektóre z działań, przy których pojawia się bezwzględny obowiązek przeprowadzenia dpia. Z niniejszego artykułu dowiesz się, jak krok po kroku zrealizować ten proces, uniknąć kar finansowych i zminimalizować ryzyka prawne.

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (w skrócie RODO) zrewolucjonizowało podejście do prywatności w Unii Europejskiej. Dokumentacja w tym obszarze to zbiór polityk, rejestrów, umów oraz instrukcji, które potwierdzają, że organizacja wdrożyła wymagane procedury i aktywnie dba o bezpieczeństwo informacji.

Obowiązek wyznaczenia Inspektora Ochrony Danych (IOD) spoczywa na organach publicznych, podmiotach monitorujących osoby na dużą skalę oraz organizacjach przetwarzających dane wrażliwe. Decyzja o tym, czy organizacja musi posiadać takiego eksperta, jest jednym z najważniejszych kroków podczas planowania procesów takich jak wdrożenie RODO. Zgodnie z art. 37 ust. 1 RODO, ignorowanie tego wymogu naraża firmę na dotkliwe sankcje finansowe.

Krótka odpowiedź na tytułowe pytanie brzmi: tak. Zgodnie z aktualnym orzecznictwem i interpretacjami urzędów, ciąg 26 cyfr rachunku (NRB) należy traktować jako dane osobowe, jeżeli występuje w kontekście pozwalającym na powiązanie go z określoną osobą. Należy jednak pamiętać, że sam w sobie nie jest on daną wrażliwą. Przekazanie samego numeru rachunku w celu wykonania przelewu jest bezpieczne i absolutnie nie daje osobie trzeciej dostępu do konta. Zagrożenie pojawia się dopiero w sytuacji, gdy udostępniamy szerszy pakiet informacji.

Dane wrażliwe to szczególne kategorie danych osobowych, których przetwarzanie z zasady jest zabronione, ponieważ ujawnienie tych informacji może narazić osobę na dyskryminację lub poważne szkody. Zgodnie z RODO (art. 9 ust. 1), zaliczamy do nich m.in. informacje o stanie zdrowia, dane biometryczne czy poglądy polityczne. Właściwe zabezpieczenie tych danych to obecnie najważniejsze wyzwanie dla administratorów, zwłaszcza w obliczu wchodzących w życie regulacji AI Act w 2026 roku.

Na samym początku rozwiejmy największe wątpliwości przedsiębiorców: Czy numer telefonu to dane wrażliwe? Nie. Czy PESEL to dane wrażliwe? Również nie. Choć oba te identyfikatory wymagają solidnej ochrony, zaliczamy je do danych zwykłych. Błędna klasyfikacja informacji w firmie może prowadzić do dwóch skrajności - nakładania niepotrzebnych, kosztownych procedur bezpieczeństwa na dane zwykłe, lub co gorsza, niedostatecznej ochrony danych wrażliwych, co kończy się dotkliwymi karami finansowymi ze strony Urzędu Ochrony Danych Osobowych (UODO).

Rozporządzenie Ogólne o Ochronie Danych (znane szerzej jako RODO) to unijny akt prawny z 2016 roku, który ujednolicił zasady przetwarzania danych w całej Europejskiej Obszarze Gospodarczym. Jego głównym celem jest ochrona fundamentalnych praw i wolności osób fizycznych, w szczególności ich prawa do prywatności, przy jednoczesnym zapewnieniu swobodnego przepływu danych w ramach rynku wewnętrznego Unii Europejskiej.

Ochrona danych dzieci wymaga od administratorów szczególnej staranności i wdrożenia odpowiednich zabezpieczeń. RODO wprowadza m.in. twardą granicę wieku zgody (16 lat w Polsce dla usług społeczeństwa informacyjnego), obowiązek zrozumiałej komunikacji z małoletnim oraz rygorystyczne procedury przy przetwarzaniu wizerunku i informacji w placówkach takich jak szkoły. Poniższy przewodnik krok po kroku wyjaśnia obowiązki spoczywające na administratorze, fundamentalne prawa rodziców i dziecka oraz praktyczne procedury działania na wypadek naruszenia poufności danych.