Artykuły eksperckie

Programy wykorzystujące generatywną sztuczną inteligencję do tworzenia różnego rodzaju treścii stają się coraz bardziej popularne. Choć tego typu narzędzia mogą przyśpieszyć prace nad projektem i uczynić ją bardziej wydajną, wielu „twórców” zapomina o potencjalnych problemach natury prawnej, jakie niesie ze sobą zbyt gorliwe sięganie po algorytmy AI/ML. O czym pamiętać, przygotowując umowę z klientem, aby nie narazić się na nieprzyjemności?

Wojewódzki Sąd Administracyjny w Warszawie w wyroku o sygnaturze II SA/Wa 2378/20 zmierzył się z problemem, który dotyka tysięcy konsumentów – nadmiernie skomplikowanym i wprowadzającym w błąd procesem wycofania zgody na przetwarzanie danych osobowych. Ważne w tym sporze jest to, że w wyroku z dnia 12 listopada 2024 r. Naczelny Sąd Administracyjny oddalił skargę kasacyjną spółki ClickQuickNow, przychylając się do stanowiska Wojewódzkiego Sądu Administracyjnego.

Duża część dyskusji w zakresie ochrony danych osobowych krąży wokół tego czy jakieś konkretne dane można uznać za dane osobowe czy nie. Czasami granica jest bardzo cienka. Przykładowo czy sam numer telefonu – bez imienia i nazwiska – może stanowić daną osobową. Wyrok Wojewódzkiego Sądu Administracyjnego we Wrocławiu z 27 marca 2024 r. (II SA/Wa 1378/23) rzuca nowe światło na tę problematykę, jednocześnie poruszając kluczowe aspekty odpowiedzialności administratorów danych osobowych.

13 grudnia 2024 roku zaczęło obowiązywać unijne rozporządzenie Parlamentu Europejskiego i Rady 2023/988 w sprawie ogólnego bezpieczeństwa produktów. Jego celem jest zwiększenie poziomu ochrony konsumentów przy jednoczesnym dążeniu do ujednolicenia warunków działań przedsiębiorstw. Nowe prawo wprowadza wiele nowych rozwiązań, które zmuszone będą wdrożyć przede wszystkim podmioty działające w obszarze e-commerce. Co dokładnie zmieniło rozporządzenie GPSR?

Jednym z ciekawszych przypadków wykorzystania danych szczególnej kategorii jest wykorzystanie danych biometrycznych uczniów, które mimo swojej efektywności, budzi istotne wątpliwości prawne. Właśnie tej problematyki dotyczy przełomowy wyrok Naczelnego Sądu Administracyjnego z 10 października 2024 r. (sygn. akt III OSK 4984), który w fundamentalny sposób wpłynął na interpretację przepisów o ochronie danych osobowych w kontekście autonomii woli wyrażonej w zgodzie na przetwarzanie danych.

Administrator danych osobowych prowadząc przedsiębiorstwo, organizację non-profit (NGO) lub też działając jako organ publiczny rzadko kiedy jest w stanie zrealizować wszystkie swoje cele bez udziału lub pomocy podmiotów trzecich. Taką sytuację, w której administrator chce zrealizować swój cel z pomocą innego podmiotu nazywamy powierzeniem przetwarzania danych osobowych.

W czerwcu 2024 r. Wojewódzki Sąd Administracyjny w Warszawie wydał istotny wyrok dotyczący obowiązków administratora danych w przypadku naruszenia ochrony danych osobowych (wyrok z dnia 18 czerwca 2024 r., II SA/Wa 219/24). Sprawa dotyczyła kary w wysokości blisko 283 000 zł nałożonej przez Prezesa UODO na spółkę E. S.A. za niezgłoszenie naruszenia ochrony danych osobowych oraz niepoinformowanie o tym osoby, której dane dotyczą.

Decydując się na przetwarzanie danych osobowych, administrator powinien móc wykazać, że dysponuje ku temu odpowiednią podstawą. W przeciwnym razie ryzykuje wysokie kary w związku z przetwarzaniem danych osobowych bez podstawy prawnej. W tym kontekście warto przyjrzeć się bliżej testowi równowagi. Kiedy trzeba go przeprowadzić i jak zrobić to prawidłowo?

Naruszenie praw i wolności w kontekście ochrony danych osobowych to jedno z kluczowych pojęć w RODO. Od właściwej oceny poziomu tego ryzyka zależy szereg obowiązków administratora danych – od wdrożenia odpowiednich zabezpieczeń, przez przeprowadzenie analizy skutków przetwarzania, aż po konieczność zgłoszenia naruszenia organom nadzorczym i osobom poszkodowanym. W tym artykule przyjrzymy się, jak RODO definiuje te naruszenia i jakie konkretne działania musi podjąć administrator w zależności od poziomu ryzyka.