27/07/2026
Prezes Urzędu Ochrony Danych Osobowych opublikował decyzję, która powinna zainteresować każdego administratora danych.
Sprawa dotyczyła kradzieży służbowego laptopa zawierającego dane osobowe ok. 700 osób, w tym m.in. numery PESEL, dane z dowodów osobistych oraz informacje o nieruchomościach.
UODO uznał, że odpowiedzialność ponoszą zarówno administrator danych, jak i podmiot przetwarzający.
Co szczególnie zwróciło uwagę organu?
Analiza ryzyka była niewystarczająca - nie uwzględniono realnego scenariusza utraty lub kradzieży laptopa podczas pracy w terenie.
Administrator nie zweryfikował faktycznie stosowanych zabezpieczeń u podmiotu przetwarzającego - samo zawarcie umowy powierzenia nie oznacza spełnienia obowiązków z art. 28 RODO.
Na urządzeniu nie stosowano odpowiednich zabezpieczeń technicznych, które mogły ograniczyć skutki incydentu. Dopiero po kradzieży wdrożono szyfrowanie dysków oraz dodatkowe środki ochrony.
Najważniejszy wniosek z tej decyzji?
👉 RODO wymaga nie tylko podpisania dokumentów, ale również realnej kontroli nad tym, czy środki bezpieczeństwa są rzeczywiście wdrożone i adekwatne do ryzyka.
To kolejna decyzja pokazująca, że:
✅ analiza ryzyka musi obejmować rzeczywiste scenariusze,
✅ administrator powinien nadzorować podmioty przetwarzające,
✅ zabezpieczenia należy wdrożyć przed incydentem, a nie dopiero po jego wystąpieniu.
To cenna lekcja dla każdej organizacji - zarówno z sektora publicznego, jak i prywatnego.
