Szef urzędu ochrony danych: Nie wiemy, kto je przetwarza. Państwo jest ślepe (WYWIAD)

Audio generowane przez AI. Może zawierać błędy.

Ochrona danych osobowych przestała być abstrakcyjnym problemem prawnym. W sierpniu cyberatak na firmę MyDr dostarczającą oprogramowanie tysiącom placówek medycznych mógł objąć dane aż 18,8 mln osób. Kilka tygodni później pojawiła się informacja o kolejnym incydencie – w firmie Qbusoft, dostawcy systemu Medyc, gdzie zagrożone mogły być dane nawet 5 mln pacjentów. Trzy lata temu głośnym ostrzeżeniem był atak ransomware na laboratoria ALAB, a jeszcze wcześniej wyciek danych 2,2 mln klientów Morele.net i wiele mniej głośnych, ale równie groźnych kradzieży danych, np. ze sklepów.

Do listy największych naruszeń trzeba dopisać system e-WUŚ: 6 października NFZ ujawnił, że nieuprawnione osoby uzyskały dane około 11,1 mln osób – imiona i nazwiska, numery PESEL oraz informacje o prawie do świadczeń zdrowotnych. Do naruszenia doszło w marcu 2024 r. – sprawcy mieli wykorzystywać dostęp do kont pracowników lub współpracowników dwóch placówek medycznych i kierować masowe zapytania do eWUŚ, przy czym – jak podkreśla NFZ – nie przełamano zabezpieczeń centralnych systemów funduszu. Sprawa wyszła ponownie na światło dzienne po skierowaniu przez Prokuraturę Regionalną w Poznaniu aktu oskarżenia do sądu, a NFZ ostrzegł poszkodowanych m.in. przed ryzykiem kradzieży tożsamości i wyłudzeń.

Po ataku na MyDr rząd zwołał Połączone Centrum Operacyjne Cyberbezpieczeństwa, uruchomił koordynację służb, resortów i UODO oraz umożliwił obywatelom sprawdzanie, czy ich dane znalazły się wśród przejętych. Minister cyfryzacji apelował o zastrzeganie numerów PESEL, a po kolejnym ataku zapowiedział „bezwzględne konsekwencje” wobec firm, które naruszyły procedury bezpieczeństwa.

Polska nie jest wyjątkiem. W USA atak na Change Healthcare objął ostatecznie ok. 192,7 mln osób, a z AT&T wykradziono dane dotyczące 109 mln kont. Z amerykańskich statystyk wynika, że w ochronie zdrowia już 32 proc. naruszeń wiąże się z podmiotami trzecimi. Dane stały się jednym z najcenniejszych aktywów – i jednym z najłatwiejszych celów przestępców.

Na ile ochrona danych ma jeszcze sens?

Katarzyna Mokrzycka, XYZ: Rozmawiamy po serii wielkich, głośnych wycieków danych. Skoro doświadczamy potężnych kradzieży milionów informacji o nas, które krążą gdzieś po sieci, to może nie ma już czego chronić? Czy instytucja, którą pan zarządza, ma jeszcze rację bytu?

Dr Mirosław Wróblewski, prezes Urzędu Ochrony Danych Osobowych: Szczerze powiem, że czasem sam sobie zadaję to pytanie. Ale zaraz też odpowiadam, że jak najbardziej ma.

Do ataków i wycieków dochodziło przecież od początku ery cyfrowej i niestety nadal będzie dochodzić. Dlatego ktoś musi pilnować firm odpowiedzialnych za dane i wymagać od nich odpowiednich zabezpieczeń. Przetwarzanie danych wiąże się z wieloma zagrożeniami. Jeżeli poziom ochrony jest wysoki, ryzyko przełamania zabezpieczeń i wycieku danych jest znacznie mniejsze.

Szczególnie duże ryzyko dotyczy danych przetwarzanych w dużych bazach, bo wtedy nawet punktowy atak może spowodować ogromne straty. To przypadki głośne, to prawda, ale jednak odosobnione. A to znaczy, że generalnie nasze dane są chronione. Na przykład bankowość elektroniczna jest bezpieczna i korzystamy z niej, powierzając bankom bardzo wiele informacji.

Czy państwo to jeszcze kontroluje?

W ostatnich miesiącach wyciekły dane kilkunastu milionów Polaków i to w różnych konfiguracjach – różne dane, z różnych firm. Ale trzy największe kradzieże dotyczyły firm zarządzających danymi medycznymi. Jedyna publiczna reakcja władz na wyciek tych danych ograniczała się do apeli o zastrzeżenie numerów PESEL. Jakby cały ciężar odpowiedzialności za to, co się stanie ze skradzionymi informacjami, został przesunięty na okradzionych ludzi. Nie słyszałam nawet raz, by któryś minister cyfryzacji zapowiedział kontrole, ukaranie firm, które nie dopilnowały zabezpieczeń i tak dalej. Brzmi to jak deklaracja o bezradności państwa. Z czego to wynika pana zdaniem?

Chciałbym zwrócić uwagę na ważną rzecz. Wszystkie duże ataki dotyczyły firm oferujących tzw. aplikacje gabinetowe, czyli podmiotów przetwarzających dane, a nie ich administratorów. Placówki medyczne i lekarze mają obowiązek zachowania tajemnicy lekarskiej. Jako administratorzy danych powinni mieć pewność, że powierzają je właściwej firmie. Zgodnie z RODO podmioty przetwarzające mają zaś obowiązek stosowania odpowiednich zabezpieczeń i zapewnienia gwarancji ochrony danych.

Niestety, prawo nie wymaga od tych firm spełniania konkretnych wymogów przy powierzaniu im przetwarzania tak szczególnej kategorii danych jak informacje o stanie zdrowia. W 2018 r., pomimo negatywnej opinii UODO, wprowadzono do ustawy o prawach pacjenta przepis pozwalający na przetwarzanie danych przy jedynie deklaratywnym wymogu zapewnienia poufności.

Z jednej strony państwo nakazuje więc lekarzom i przychodniom chronić dane pacjentów, z drugiej – nie zapewnia analogicznie wysokich standardów ochrony na kolejnym etapie, gdy przetwarzanie danych zostaje powierzone zewnętrznemu podmiotowi. Zabrakło standardów certyfikacji podmiotów przetwarzających dane oraz wymogów technicznych. Jak widać, ochrona danych pacjentów po prostu zawiodła.

Ofiary kradzieży oczekują jednak reakcji państwa, której nie dostrzegają.

Ja wiem, że taki jest odbiór, przynajmniej w części opinii publicznej. W pierwszej kolejności trzeba jednak wykryć przestępców i ograniczyć negatywne skutki ataków. Organy ścigania muszą próbować zidentyfikować sprawców, a komunikaty kierowane do obywateli mają pomóc ograniczyć ryzyko. Zastrzeżenie numeru PESEL jest jedną z form takiego zabezpieczenia.

Minister Gawkowski mówił kilka dni temu, że będą konsekwencje. Podjęcie działań w tym zakresie należy do takich instytucji jak prezes UODO oraz organy odpowiedzialne za cyberbezpieczeństwo.

Trwają kontrole w firmach, z których wykradziono dane

Co konkretnie robicie w sprawach MyDr i Medyc, którym wykradziono dane pacjentów? Jakie działania zamierza pan podjąć po tych ostatnich zmasowanych kradzieżach? Nałoży pan kary finansowe na firmy, które dały się okraść, czy uważa pan, że to nie ich wina?

Nie mogę dziś powiedzieć, że ktoś jest winny i zostanie ukarany. Gdybym przesądził, że nałożę kary, wytrąciłbym urzędowi argumenty z rąk. Najpierw trzeba przeprowadzić pełną kontrolę.

Czy w sprawach MyDr oraz systemu Medyc, należącego do firmy Qbusoft, kontrole już trwają?

W przypadku platformy MyDr postępowanie kontrolne zakończyło się kilka dni temu. Po sporządzeniu protokołu podmiot kontrolowany ma czas na odniesienie się do naszych ustaleń. Dopiero późniejsza analiza pozwoli podjąć decyzję o wszczęciu postępowania administracyjnego.

W międzyczasie rozpoczęła się kontrola w firmie Qbusoft.

Rosną kary za naruszenia ochrony danych osobowych

Przyzna pan, że dotychczasowe kary nie zrobiły na sektorze medycznym odpowiedniego wrażenia? Chyba nigdy nie osiągnęły maksymalnych pułapów, podczas gdy np. w Europie Zachodniej od razu idą w miliony. Dlaczego traktowaliście podmioty medyczne ulgowo, skoro wyciek danych o zdrowiu niesie szczególnie duże ryzyko dla obywateli?

Kieruję urzędem od stycznia 2024 r. i za ten okres mogę odpowiadać. W tym czasie skuteczność UODO znacząco wzrosła, zarówno w nakładaniu, jak i egzekwowaniu kar. Przed moim przyjściem do urzędu, w 2023 r., nałożono kary o łącznej wysokości 1,23 mln zł. W 2024 r. było to już prawie 14 mln zł, a w ubiegłym roku ponad 64 mln zł.

Według statystyk, łączna wysokość kar nakładanych przez prezesa UODO wzrosła więc w 2025 r. o ponad 330 proc. w porównaniu z 2024 r. Pani sugeruje, że są za niskie. A ja często spotykam się z krytyką ich zbyt dużej wysokości. Przeczytałem ostatnio, że kara przekraczająca 20 tys. zł jest „rażąco wysoka”, a 1500 zł nazwano „horrendalną” karą. Żeby kara była skuteczna, musi być proporcjonalna, ale także odstraszająca, zwłaszcza tam, gdzie dane mają wysoką wartość.

W 2023 r., nałożono kary o łącznej wysokości 1,23 mln zł. W 2024 r. było to już prawie 14 mln zł, a w ubiegłym roku ponad 64 mln zł.

Uznałem, że osiem lat, które firmy miały na dostosowanie się do wymogów RODO, to wystarczająco długi okres. Nadal edukujemy i pomagamy, ale stanowczo egzekwujemy też obowiązki. Dane mają swoją wartość i trzeba je chronić. W najbliższych miesiącach będę wydawał kolejne decyzje. Przeprowadzone kontrole i postępowania administracyjne zapewne zakończą się kolejnymi rozstrzygnięciami. Nie mogę powiedzieć więcej, żeby nie przesądzać o odpowiedzialności przed zakończeniem postępowań.

ALAB - decyzja UODO w najbliższych tygodniach

Młyny sprawiedliwości mielą strasznie powoli. Trzy lata temu cyberprzestępcy wykradli dane z sieci laboratoriów ALAB. Część z nich została ujawniona w internecie. Nikt jak dotąd nie odpowiedział za ten wyciek. Portal zero.pl napisał ostatnio, że ALAB obarcza teraz odpowiedzialnością za utratę tych danych platfomę MyDr – tę samą, która została zahakowana w sierpniu tego roku. Czy UODO zamierza ukarać ALAB? 

W ciągu najbliższych kilku tygodni wydam decyzję w sprawie ALAB, po bardzo skomplikowanym postępowaniu. Określimy wówczas rodzaj naruszeń i zakres odpowiedzialności. Decyzja musi być możliwie najlepiej uzasadniona, żeby mogła się później obronić w sądzie.

ALAB dostanie karę finansową?

Proszę o cierpliwość jeszcze przez kilka tygodni. Chcemy pokazać skalę nieprawidłowości w podmiotach medycznych i musimy być do tego perfekcyjnie przygotowani.

Nie wszystko jednak zależy od nas. Utrzymanie kary finansowej nałożonej na firmę zależy również od decyzji sądu, jeśli zostanie ona zaskarżona. Jeżeli sądy uchylają decyzje dotyczące wysokich kar, ich nakładanie traci sens.

Liczba ukaranych firm też rośnie? Kontrolujecie ich coraz więcej?

Liczba ukaranych podmiotów jest podobna w kolejnych latach, nie rośnie gwałtownie. To dwadzieścia kilka podmiotów rocznie. Kary wymierzane są za najpoważniejsze naruszenia przepisów o ochronie danych. Oceniam jednak, że w tym roku będzie ich więcej.

Kara tańsza niż ochrona danych?

Panie prezesie, mówi pan, że kary wzrosły, ale ostatnio dochodzi do tak ogromnych wycieków danych, że firmy, zwłaszcza w sektorze medycznym, chyba jednak nie przestraszyły się waszych działań. Ignorują was? Nie boją się?

Niektóre firmy włączyły ewentualne kary finansowe w swoje ryzyko biznesowe. Bardziej opłaca im się zapłacić kilka milionów złotych niż dostosować organizację do wymogów i zabezpieczeń. Muszą jednak mieć świadomość, że ja nie ustąpię.

Czyli banki są skuteczniej chronione przed kradzieżami danych, bo same inwestują w bezpieczeństwo bardziej niż np. firmy medyczne? To po prostu kwestia źle przygotowanych zabezpieczeń?

Tak, wszystko na to wskazuje. Nie chcę wypowiadać się o konkretnych podmiotach będących przedmiotem kontroli, ale taką tezę można postawić na podstawie wcześniej badanych przypadków i wydanych decyzji. Niemal zawsze utrata danych była skutkiem poważnych zaniedbań, począwszy od braku analizy ryzyka. Wiele podmiotów nie pomyślało o tym, co może pójść źle. Czasami wynika to z braku wiedzy, ale często decyzja, żeby nie inwestować w zabezpieczenia, jest świadoma.

Przestępcy znacznie rzadziej odnoszą sukcesy w atakach na dobrze zabezpieczone podmioty, takie jak banki, które inwestują duże środki w bezpieczeństwo danych i finansów. Pójście na łatwiznę natomiast prawie zawsze kończy się stratami.

Kogo najczęściej karze UODO

Firmy z jakich sektorów są najczęściej karane przez UODO za niedostosowanie się do wymogów i naruszanie prawa? Czy są to właśnie podmioty zarządzające danymi medycznymi?

Nie ma jednego dominującego sektora. Kary nakładaliśmy na podmioty z wielu różnych branż. Rodzaje naruszeń też są bardzo zróżnicowane. Złamaniem prawa jest już samo niezawiadomienie UODO albo poszkodowanych osób o tym, że doszło do naruszenia ochrony danych, jeśli przepisy wymagają takiego zawiadomienia.

A w tym roku jakie firmy najczęściej karaliście?

Były to platformy internetowe, osoby wykonujące zawody prawnicze, operatorzy pocztowi i kurierzy, komitet wyborczy, podmioty publiczne, takie jak ośrodki pomocy społecznej, a nawet szkoły. Mówimy o zakończonych postępowaniach. Jedne trwają krócej, inne dłużej. Czasem wynika to z dużego stopnia skomplikowania sprawy, a czasem z celowego przeciągania postępowania przez administratora danych.

Sądy administracyjne potwierdziły słuszność kar np. dla banków, ale nie chodziło o bezpieczeństwo systemów informatycznych. Były to starsze sprawy dotyczące przechowywania danych klientów, którzy nie otrzymali kredytów.

W postępowaniu oceniamy też, co zrobił sam podmiot, który padł ofiarą ataku. Pierwszą rzeczą powinno być uniemożliwienie dalszych szkód, czyli szybka reakcja. Bardzo negatywnie oceniamy sytuacje, gdy ktoś nie monitoruje infrastruktury i sieci, atak trwa, dane zaczynają wyciekać, a reakcji nie ma.

Tak wyglądało to w tych głośnych przypadkach, o których rozmawiamy?

Nie możemy jeszcze mówić o konkretnych postępowaniach. Takie zaniedbania administratorów nie należą jednak do rzadkości. Zupełnie inaczej ocenia się administratora, który szybko zareagował i uniemożliwił dalszy wyciek. To, że w niektórych przypadkach nie doszło do wycieku całej bazy, może właśnie świadczyć o szybkiej reakcji firmy.

Dlaczego brakuje kontroli prewencyjnych?

Do tej pory jako urząd działaliście głównie reaktywnie, po fakcie, czyli po kradzieży. Dlaczego nie kontrolujecie prewencyjnie? Można by wyłapać uchybienia, zanim dojdzie do wycieku danych. 

Taka jest natura urzędu jako organu nadzorczego. Staramy się jednak zwracać szczególną uwagę na sektor ochrony zdrowia, bo jest najbardziej wrażliwy. I prowadzimy coraz więcej kontroli. Kiedy przyszedłem do urzędu, było ich około 30 rocznie. Obecnie jest ich 70, praktycznie przy tym samym składzie osobowym, bo zatrudnienie nam nie rośnie.

Firm przetwarzających dane osobowe są miliony. Organ nadzorczy musiałby liczyć kilkadziesiąt tysięcy urzędników, żeby prowadzić masowe kontrole prewencyjne.

W Polsce nie ma nawet rejestru podmiotów przetwarzających dane osobowe. Domagam się utworzenia takiej bazy. W ramach tzw. Piątki Gawkowskiego znalazła się deklaracja utworzenia rejestru podmiotów przetwarzających duże ilości danych, w szczególności zdrowotnych. W sektorze medycznym taki rejestr pozwoliłby wprowadzić wymagania techniczne i dotyczące bezpieczeństwa, a także dałby państwu większą wiedzę o podmiotach, na które należy zwracać uwagę. Ułatwiłby również planowanie kontroli prewencyjnych i wskazywałby, gdzie występują największe zagrożenia.

Dzisiaj państwo jest w tym zakresie praktycznie ślepe.

Nie ma w Polsce nawet rejestru podmiotów przetwarzających dane osobowe. Domagam się powstania takiej bazy. Dzisiaj państwo jest w tym zakresie praktycznie ślepe.

Ten brak wiedzy dotyczy tylko sektora medycznego czy generalnie wszystkich podmiotów przetwarzających nasze dane?

Jako państwo nie mamy wystarczającej wiedzy o podmiotach przetwarzających duże ilości danych. Minister cyfryzacji chce, aby w rejestrze ujmować firmy przetwarzające dane co najmniej 100 tys. obywateli. Uważam jednak, że w przypadku danych wrażliwych, takich jak dane dotyczące zdrowia, w spisie powinny się znaleźć także znacznie mniejsze podmioty.

Czy ma pan jakieś mechanizmy weryfikacji, żeby się upewnić, że na przykład firma medyczna nie zataiła przed urzędem kluczowych faktów o skradzionych bazach? Bo jeśli ona sama się nie przyzna, to my nie do końca musimy wiedzieć, co tak naprawdę zostało skradzione.

Obowiązek zgłaszania naruszeń wynika bezpośrednio z RODO. Mechanizm weryfikacji istnieje, a za niedopełnienie obowiązku zgłoszenia często nakładane są wysokie kary. UODO dowiaduje się też o naruszeniach z innych źródeł, np. od osób, których dane dotyczą. Więc wszystko prędzej czy później wychodzi na jaw. Po nitce można dojść do kłębka. Administratorzy, którzy lekceważą ten obowiązek, muszą liczyć się z konsekwencjami.

Jak chronić dane w erze AI?

A wasza kadra przygotowuje się do kontrolowania firm przetwarzających dane przy użyciu sztucznej inteligencji? Macie pracowników, którzy potrafią np. przeprowadzić audyt kodu algorytmu pod kątem zgodności z RODO? Bo to jest coś, co u nas dopiero raczkuje, ale za kilka lat zapewne będzie powszechnie potrzebne.

W ubiegłym roku, po kolejnych doświadczeniach i wyciekach, utworzyłem w Departamencie Kontroli i Naruszeń Wydział Wsparcia Informatycznego. Przeniosłem do niego część osób już zatrudnionych w urzędzie i przyjąłem kilku nowych pracowników z doświadczeniem informatycznym. Wydział wspiera urząd w kontrolach i innych postępowaniach.

Jeżeli chodzi o samą sztuczną inteligencję, mamy w kraju osobnego regulatora. Rząd zdecydował się powołać Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, która powinna dysponować odpowiednią wiedzą techniczną. Komisja jeszcze nie rozpoczęła działalności – zgodnie z ustawą ma zostać utworzona do 11 listopada. Na razie powołano jej przewodniczącą.

Minister cyfryzacji, na moją prośbę, zgłosił Komisji Europejskiej UODO jako tzw. organ ochrony praw podstawowych, zgodnie z europejskim aktem w sprawie sztucznej inteligencji. Pozwoli nam to zwracać się do organu nadzoru rynku, czyli Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, o przeprowadzanie badań technicznych związanych z AI.

Nie ma sensu budować mechanizmu kontroli AI w każdym urzędzie, bo wymaga to bardzo specjalistycznej wiedzy. Bardzo liczę na dobrą współpracę z Komisją. To partnerstwo jest niezbędne, żeby oceniać algorytmy przetwarzające dane osobowe.

Czy ostatnie kradzieże danych miały jakiś związek z AI, czy były to, że tak powiem, zwykłe arkusze Excela?

Wedle mojej wiedzy te przypadki nie były związane z systemami sztucznej inteligencji. Nie wykluczam natomiast, że przestępcy pozyskują takie dane do trenowania modeli AI.

Gdzie są wykradzione dane Polaków

Czy „nie wykluczam” oznacza, że nie wiadomo, co się dzieje ze skradzionymi danymi Polaków? Co się z nimi stało?

To bardzo dobre pytanie. Niestety nie wiemy tego do końca. Wiemy jednak, że skradzione dane nie są publicznie dostępne w internecie. Tak wynika z wiedzy UODO, informacji uzyskanych od poszkodowanych podmiotów oraz komunikatów Centralnego Biura Zwalczania Cyberprzestępczości i Ministerstwa Cyfryzacji.

A jeśli tak, to po co ostrzeżenia: zastrzeż PESEL? 

Bo istnieje ryzyko, że ktoś wykorzysta te dane – jeśli nie od razu, to w przyszłości.

Możemy mieć wrażenie, że wyciekły wszystkie dane medyczne polskich pacjentów. Tak nie jest. Często są to informacje z małych gabinetów, np. tylko o wizycie u specjalisty czy wystawionych receptach. Niektóre z tych informacji to zwykłe dane rodziców – opiekunów nieletnich pacjentów.

Czy pana zdaniem jesteśmy gotowi do tego, żeby oddać dane medyczne sztucznej inteligencji? Nawet tuzy big-techów mówią już głośno, że nie mają pewności, jak się zachowają algorytmy. Ten tzw. black box, w którym AI działa poza ludzką kontrolą, rozrasta się. Pół biedy, jeśli algorytmy tylko się trenują na naszych danych, ale my nawet nie wiemy do czego mogą je wykorzystać.

Właśnie dlatego, że istnieje ryzyko, którego nawet nie potrafimy nazwać, sugestie dotyczące zastrzeżenia numeru PESEL są słuszne. Potrzebna jest jednak także ostrożność na co dzień, nie tylko w sytuacjach kryzysowych.

RODO daje prawo do żądania usunięcia danych. W tradycyjnej bazie kasuje się rekord i dane usunięte. Ale z modelu AI nie da się mnie w prosty sposób wymazać. Zajmowaliście się już tym problemem?

Absolutnie tak. Analizowaliśmy to i będziemy do tego wracać. To sprawa transgraniczna, dlatego pracowaliśmy nad nią w ramach Europejskiej Rady Ochrony Danych, przygotowując opinię dotyczącą modeli sztucznej inteligencji. Będzie to też element wytycznych dotyczących stosowania aktu w sprawie sztucznej inteligencji, które ukażą się do końca tego roku.

"Przekroczyliśmy pułap 10 mln zł kar"

Czy jako prezes UODO może pan wystąpić z pozwem zbiorowym w imieniu obywateli, których dane osobowe zostały skradzione?

Nie. Nie mamy ani takiego narzędzia, ani możliwości wytoczenia przez UODO powództwa cywilnego. Jeżeli takie powództwo zostanie natomiast wytoczone przez kogoś innego, UODO może przedstawić stanowisko w postępowaniu sądowym, jeśli sąd nas o nim zawiadomi.

UODO może nałożyć karę sięgającą 20 mln euro (w przypadku przedsiębiorstw – do 4 proc. ich całkowitego rocznego obrotu). Czy w świetle rosnącego ryzyka utraty danych klientów uważa pan, że stosowane kary powinny być wysokie?

W przypadku danych dotyczących zdrowia mamy do czynienia z informacjami o szczególnie dużej wartości, więc takiej tendencji należy się spodziewać. Na wysokość kary nie mogą jednak wpływać oczekiwania społeczne czy wrażenia medialne. Każda sprawa jest rozpatrywana indywidualnie. Decydują waga naruszenia i liczba poszkodowanych, ale także mnóstwo innych czynników.

Kary już rosną, jak mówiłem. Ale zamiast zapowiadać, że będę drapieżny i bezwzględny, wolę pokazywać skuteczność działania urzędu poprzez fakty.

Do tej pory do urzędu wpływało po kilkaset tysięcy złotych z tytułu kar. W ubiegłym roku po raz pierwszy przekroczyliśmy milion złotych, a w tym roku – 10 mln zł. Dzięki nowym przepisom od tego roku część środków z tych kar będzie trafiać m.in. do funduszu cyberbezpieczeństwa, który wspiera działania państwa.

Sądy coraz częściej utrzymują kary za naruszenia ochrony danych

Czy ten wzrost zależy również od tego, że sądy też się edukują i zaczynają rozumieć wagę problemu kradzieży danych?

W moim przekonaniu tak. Sądy powoli zmieniają podejście. Akceptują już kary opiewające na kilka milionów złotych. Nie udało nam się jeszcze przekonać ich w sprawach, w których kary były kilkunastomilionowe.

Czy zatem prawo dotyczące ochrony danych spełnia swoją rolę? Dlaczego sądy wciąż mają wątpliwości i uchylają decyzje o finansowym ukaraniu firm?

Sąd stwierdza, czy nasza decyzja była zgodna z prawem. To sytuacja zero-jedynkowa: albo przyjmuje naszą argumentację, albo uchyla decyzję [wówczas nie ma żadnej kary – red.]. Czasem wystarczy promil wątpliwości.

Ile takich decyzji o karach dla firm i instytucji, które utraciły nasze dane, sądy uchyliły w ostatnim roku?

Uchylonych decyzji jest coraz mniej, a coraz więcej jest skutecznych. W latach 2023–2024 sądy odrzuciły 20 proc. decyzji prezesa UODO, w zeszłym roku 19 proc. Liczę, że na koniec tego roku wynik będzie jeszcze lepszy – liczba wydawanych przez Urząd decyzji także rośnie. Stale się uczymy, także w argumentowaniu przed sądami. W sprawach przeciwko międzynarodowym korporacjom, korzystającym z najlepszych kancelarii prawnych, ta rywalizacja jest bardzo trudna. A nasz zespół każdego roku angażuje się jednocześnie w tysiące spraw.

Sądy powoli zmieniają podejście. Akceptują już kary opiewające na kilka milionów złotych. Nie udało nam się jeszcze przekonać ich w sprawach, w których kary były kilkunastomilionowe.

Administrator danych musi być gotowy na najgorsze

Patrzę na kradzież danych jak na rynek, gdzie popyt rządzi podażą. Gdyby nie było kupca, nie byłoby kradzieży? Czy słyszał pan o przypadkach, gdy kradzież danych została zlecona przez legalnie działające przedsiębiorstwo? W przypadku danych medycznych łatwo sobie potencjalnego kupca zwizualizować – firma ubezpieczeniowa, farmaceutyczna, twórca oprogramowania AI itp.

Oczywiście słyszałem i czytałem o takich sytuacjach na świecie. Znamy nawet przypadki, gdy firma przetwarzająca dane niejako sama na siebie napadała, żeby później móc je sprzedać.

W Polsce też?

Jako prezes UODO nie spotkałem się jeszcze z taką sytuacją, którą moglibyśmy udowodnić.

Co jest dziś największą luką, którą należałoby załatać, żeby zwiększyć bezpieczeństwo danych każdego z nas?

Firmy muszą przygotowywać się na najgorsze scenariusze, bo przy rosnącej liczbie ataków nie ma podmiotu całkowicie bezpiecznego. Może to dotknąć każdego, w każdej branży, niezależnie od wielkości firmy. Trzeba myśleć o tym, co może pójść źle. Za tym powinno iść wdrażanie rozwiązań informatycznych, organizacyjnych, prawnych i kadrowych. W ten sposób minimalizuje się ryzyko.

Dziś w firmach często panuje zbyt duża beztroska. Wciąż zapadają świadome decyzje, żeby odpuścić tę sferę: „To nie jest mój problem, mnie to nie dotknie”. Chwalimy się, że na ulicach w Polsce jest bezpieczniej. Wie pani, dlaczego? Bo przestępczość przeniosła się do internetu. Tam napaść i obrabować jest o wiele prościej, a do tego jest to bardziej dochodowe.

Główne wnioski

1. Urząd Ochrony Danych Osobowych zaostrza podejście do naruszeń przepisów o ochronie danych. W ciągu dwóch lat łączna wartość nakładanych kar znacząco wzrosła, a prezes UODO zapowiada dalsze egzekwowanie obowiązków. Szczególnie krytycznie ocenia sytuację w sektorze ochrony zdrowia, gdzie część firm traktuje potencjalne kary jako element ryzyka biznesowego.
2. Problemem są niewystarczające zabezpieczenia oraz brak pełnej wiedzy państwa o firmach przetwarzających duże ilości danych. UODO prowadzi coraz więcej kontroli przy niemal niezmienionym zatrudnieniu i domaga się utworzenia rejestru podmiotów przetwarzających duże zbiory informacji, zwłaszcza danych dotyczących zdrowia. Rejestr miałby ułatwić identyfikowanie zagrożeń i prowadzenie kontroli prewencyjnych.
3. Sztuczna inteligencja stwarza nowe wyzwania dla ochrony prywatności. UODO rozwija kompetencje informatyczne i zamierza współpracować z krajowym regulatorem AI. Prezes Mirosław Wróblewski przyznaje jednak, że nie wiadomo dziś w pełni, co dzieje się ze skradzionymi danymi Polaków ani do czego mogą zostać wykorzystane w przyszłości.