Dwudziestego czwartego sierpnia 2026 roku o godzinie 11:09 Edyta Madziar z Departamentu Komunikacji Społecznej Urzędu Ochrony Danych Osobowych wprowadziła do systemu komunikat numer 4548. Tekst wytworzył Łukasz Kuligowski. Nagłówek był krótki i pozbawiony dramatyzmu: Prezes UODO upomniał Prezydenta Wejherowa za udostępnienie danych osobowych. Pod komunikatem — jeden odnośnik do portalu orzeczeń i sygnatura akt DS.523.2582.2024. Dwa dni później, dwudziestego szóstego sierpnia o 15:58, ktoś jeszcze raz otworzył wpis do edycji.

Sprawa zaczęła się od czynności, którą wykonuje w Polsce codziennie kilkaset osób. Mieszkaniec Wejherowa zwrócił się do prezydenta miasta o udostępnienie informacji publicznej: chciał poznać treść umów, jakie samorząd zawarł z pewną firmą, i zobaczyć skany powiązanych faktur. Klasyczny instrument obywatelskiej kontroli wydatków publicznych, tak stary jak sama ustawa o dostępie do informacji publicznej.

Odpowiedź przyszła. Zawierała jednak coś jeszcze — adnotację, że to samo pismo zostało wysłane również do firmy, o którą pytał wnioskodawca. Bez anonimizacji. Przedsiębiorca, którego umowy z gminą były przedmiotem obywatelskiego zainteresowania, dowiedział się, kto konkretnie się nimi interesuje.

Adnotacja „do wiadomości", która przesądziła sprawę

Wyjaśnienie prezydenta miasta było spójne i, na pierwszy rzut oka, zdroworozsądkowe. Właściciel firmy złożył równolegle własny wniosek — pytał, czy i komu Urząd Miasta udzielał informacji w sprawie umów z jego przedsiębiorstwem. Skoro w obrocie były dwa wnioski dotyczące tego samego zakresu, a zainteresowanych okazało się więcej niż jeden, prezydent uznał, że sprawę należy prowadzić zgodnie z Kodeksem postępowania administracyjnego. Jedno postępowanie, dwóch uczestników, korespondencja doręczana obu.

Ta konstrukcja rozsypuje się w punkcie, którego z wnętrza urzędu nie widać, bo jest zbyt oczywisty. Prezes UODO wskazał, że procedura rozpatrzenia wniosku o dostęp do informacji publicznej nie jest postępowaniem administracyjnym w rozumieniu KPA. Jest odrębną procedurą o charakterze informacyjnym, opartą na przepisach ustawy o dostępie do informacji publicznej. Złożenie dwóch lub więcej wniosków, nawet jeśli dotyczą tożsamego albo zbliżonego zakresu informacji, nie skutkuje prowadzeniem jednej wspólnej procedury. Każdy wniosek stanowi odrębne żądanie i podlega samodzielnemu rozpatrzeniu.

W konsekwencji — czytamy dalej w rozstrzygnięciu — na prezydencie miasta jako administratorze danych spoczywają obowiązki wynikające z RODO, nakazujące ograniczenie przetwarzania do niezbędnego minimum. Błędna interpretacja przepisów doprowadziła do przesłania przedsiębiorcy danych osobowych wnioskodawcy bez wcześniejszej anonimizacji. Doszło do udostępnienia danych bez podstawy prawnej i do naruszenia zasady poufności.

W trybie informacyjnym nie ma żadnych stron postępowania

Sedno pomyłki leży w jednym pojęciu: strona. Kodeks postępowania administracyjnego zbudowany jest wokół niej. Artykuł 28 KPA definiuje stronę jako każdego, czyjego interesu prawnego lub obowiązku dotyczy postępowanie. Strona ma prawo wglądu w akta, prawo do czynnego udziału, prawo do zawiadomień i doręczeń. Artykuł 62 KPA pozwala rozpoznać w jednym postępowaniu sprawy, w których prawa lub obowiązki stron wynikają z tego samego stanu faktycznego oraz tej samej podstawy prawnej, jeżeli właściwy jest ten sam organ. Prezydent Wejherowa sięgnął dokładnie po ten instrument.

Rzecz w tym, że w trybie dostępu do informacji publicznej stron nie ma. Udostępnienie informacji jest czynnością materialno-techniczną, nie rozstrzygnięciem o niczyich prawach. KPA wchodzi do gry dopiero wtedy, gdy organ odmawia — artykuł 16 ustęp 2 ustawy o dostępie do informacji publicznej nakazuje stosować przepisy Kodeksu do decyzji o odmowie udostępnienia informacji i o umorzeniu postępowania. To wąskie okno, otwierane wyjątkowo. Poza nim urząd nie prowadzi postępowania, tylko wykonuje obowiązek informacyjny wobec konkretnego pytającego.

Firma, o którą pytał mieszkaniec, nie była zatem stroną niczego. Nie miała prawa wglądu, nie miała prawa do zawiadomienia, nie miała statusu, który uzasadniałby wpisanie jej na rozdzielnik. Miała własny, całkowicie niezależny wniosek, na który należało odpowiedzieć osobno — i, co istotne, odpowiedzieć zgodnie z prawdą, ale bez ujawniania tożsamości osoby trzeciej. Pytanie „czy komuś udzielono informacji w mojej sprawie" i pytanie „kto to był" to dwa różne pytania, a odpowiedź na drugie nie mieści się w zakresie informacji publicznej dotyczącej działalności organu.

Warto zauważyć, jak subtelnie zadziałał tu mechanizm. Przedsiębiorca nie musiał pytać wprost o dane wnioskodawcy. Wystarczyło, że zapytał o fakt udzielenia informacji — a urząd, chcąc być procesowo poprawny, sam dołożył resztę.

Ten schemat powtarza się w polskiej administracji w kilku wariantach i wart jest zapamiętania, bo poznaje się go po jednym objawie. Wszędzie tam, gdzie ustawa szczególna tworzy własną, odrębną procedurę — dostęp do informacji publicznej, zgłoszenia sygnalistów, realizacja praw osoby z rozdziału trzeciego RODO, petycje — urząd odruchowo sięga po Kodeks postępowania administracyjnego, bo to jedyne narzędzie, które zna dobrze i którym posługuje się codziennie. Skutek jest zawsze podobny: do sprawy zostaje dopuszczony ktoś, kogo w niej nie powinno być, albo do akt trafia informacja, która nie powinna była do nich trafić. Objaw diagnostyczny brzmi więc prosto — jeśli w piśmie z trybu szczególnego pojawia się słowo „strona", „doręczenie" albo „postępowanie", warto sprawdzić, czy ktoś nie pomylił reżimów.

Tożsamość pytającego to nie jest szczegół techniczny

Ustawa o dostępie do informacji publicznej zawiera w artykule 2 ustęp 2 zdanie, które przesądza charakter całej instytucji: od osoby wykonującej prawo do informacji publicznej nie wolno żądać wykazania interesu prawnego lub faktycznego. Prawo do informacji jest powszechne i bezwarunkowe. Urząd nie ma prawa pytać, po co komuś dokumenty, ani oceniać, czy motywacja pytającego zasługuje na uwzględnienie.

Z tej zasady wynika konsekwencja, którą praktyka utrwaliła, a Rzecznik Praw Obywatelskich wielokrotnie potwierdzał: wniosek o udostępnienie informacji publicznej może być złożony anonimowo. Przepisy nie wymagają podania danych osobowych, bo dane nie są organowi do niczego potrzebne w warstwie merytorycznej. Są potrzebne wyłącznie technicznie — żeby dostarczyć odpowiedź. Wyjątki są nieliczne i dobrze opisane: identyfikacja bywa konieczna, gdy udostępnienie generuje dodatkowe koszty, gdy chodzi o informację przetworzoną i trzeba wykazać szczególnie istotny interes publiczny, albo gdy organ odmawia i musi wydać decyzję, którą komuś doręczy.

Dane wnioskodawcy są więc w tym trybie danymi o statusie szczególnym: zbieranymi na potrzeby doręczenia, nie na potrzeby oceny. Przetwarzanymi wyłącznie w relacji urząd–wnioskodawca. Wypuszczenie ich poza tę relację, a już zwłaszcza w kierunku podmiotu będącego przedmiotem pytania, odwraca sens instytucji o sto osiemdziesiąt stopni.

Bo instytucja ma sens praktyczny, nie tylko formalny. Wydatków publicznych nie kontroluje abstrakcyjny obywatel. Kontroluje je konkretny człowiek — lokalny działacz, radny opozycji, dziennikarz małego portalu, pracownik konkurencyjnej firmy, sąsiad, którego coś zaniepokoiło. Każda z tych osób funkcjonuje w małej społeczności, gdzie firma mająca kontrakty z gminą bywa też pracodawcą, sponsorem klubu sportowego albo sąsiadem zza płotu. Ujawnienie tożsamości nie musi prowadzić do żadnej dramatycznej represji, żeby zadziałać. Wystarczy jeden telefon „chciałem porozmawiać, słyszałem że się pan mną interesuje", żeby następnym razem pytanie nie padło.

Prawnicy nazywają ten efekt mrożącym. W skali jednej gminy wygląda niepozornie. W skali kraju to różnica między samorządem, który jest kontrolowany, a samorządem, który tylko formalnie podlega kontroli.

Której podstawy prawnej zabrakło

Rozstrzygnięcie mówi, że doszło do udostępnienia danych bez podstawy prawnej. Warto przejść ten katalog po kolei, bo ćwiczenie jest pouczające i daje się powtórzyć w każdej podobnej sytuacji.

Zgoda, czyli artykuł 6 ustęp 1 litera a RODO — odpada, nikt jej nie zbierał, a zbieranie jej w takim układzie byłoby zresztą pozorne. Wykonanie umowy, litera b — nie ma umowy. Obowiązek prawny administratora, litera c — najbardziej kuszący trop, bo urzędnik intuicyjnie sięga właśnie tutaj, ale wymaga wskazania konkretnego przepisu nakazującego przekazanie danych, a takiego przepisu w ustawie o dostępie do informacji publicznej nie ma. Żywotne interesy, litera d — nie ten kaliber. Zadanie realizowane w interesie publicznym, litera e — najbliżej, ale to podstawa dla przetwarzania niezbędnego do wykonania zadania, a odpowiedź na wniosek przedsiębiorcy dałoby się udzielić bez ujawniania czyjejkolwiek tożsamości, więc kryterium niezbędności upada.

I zostaje litera f, prawnie uzasadniony interes — ta, po którą sięga się, gdy zawiodły wszystkie inne. Tyle że artykuł 6 ustęp 1 RODO kończy się zdaniem, które w organach publicznych zamyka sprawę: litera f nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań. Prezydent miasta rozpatrujący wnioski o informację publiczną realizuje zadanie publiczne. Furtki nie ma.

Pusty katalog podstaw oznacza naruszenie artykułu 5 ustęp 1 litera a — zasady zgodności z prawem. Do tego dochodzi litera c, minimalizacja, bo przekazano dane, które w tej konkretnej sprawie nie były potrzebne, oraz litera f, poufność, którą UODO wskazał wprost. A ponieważ artykuł 5 ustęp 2 nakłada na administratora obowiązek wykazania zgodności z zasadami, ciężar dowodu w takich sprawach leży po stronie urzędu — i urząd, który nie potrafi wskazać podstawy, przegrywa niezależnie od intencji.

Anonimizacja to czynność, której się nie boi orzecznictwo

W praktyce urzędowej anonimizacja obrosła dwoma mitami, które ciągną się od 2018 roku i oba są szkodliwe.

Pierwszy mit: anonimizacja to ograniczenie dostępu do informacji publicznej, więc wymaga decyzji odmownej. Nie wymaga. Orzecznictwo sądów administracyjnych ustabilizowało się w kierunku przeciwnym — organ może zanonimizować dane osobowe bez wydawania decyzji o odmowie, pod warunkiem że zabieg nie pozbawia dokumentu charakteru informacyjnego i cel wniosku zostaje osiągnięty. Naczelny Sąd Administracyjny w wyroku z 13 maja 2022 roku, sygnatura III OSK 2398/21, uznał wręcz, że sama anonimizacja nie stanowi przetwarzania danych w rozumieniu RODO. Linia orzecznicza rozwijana w kolejnych latach, między innymi w wyroku z 7 czerwca 2024 roku o sygnaturze III OSK 2102/22, potwierdza to podejście.

Drugi mit jest lustrzanym odbiciem pierwszego: skoro anonimizacja jest bezpieczna, to zaczerniajmy wszystko. Nadmierna anonimizacja bywa w istocie ukrytą odmową — dokument, z którego usunięto zbyt wiele, przestaje być odpowiedzią na pytanie, a organ nie wykonał obowiązku, choć formalnie coś wysłał. Sądy administracyjne wielokrotnie to piętnowały, zwłaszcza gdy urzędy zaczerniały nazwiska osób pełniących funkcje publiczne albo kwoty z umów.

Właściwa praktyka mieści się między tymi biegunami i wymaga jednej decyzji na starcie: kto w tym dokumencie występuje jako osoba prywatna, a kto jako podmiot dysponujący środkami publicznymi. Pierwsza kategoria podlega ochronie. Druga, co do zasady, nie.

Do tego dochodzi warstwa czysto techniczna, o której w decyzjach się nie pisze, a która jest źródłem sporej części realnych wycieków. Anonimizacja w edytorze przez zmianę koloru czcionki na biały nie jest anonimizacją. Czarny prostokąt narysowany nad tekstem w programie do obsługi PDF nie jest anonimizacją, dopóki warstwa tekstowa pod nim istnieje i daje się skopiować. Wysłanie skanu z niewyczyszczonymi metadanymi zostawia nazwisko autora pliku i ścieżkę katalogu. Poprawnie zanonimizowany dokument to dokument spłaszczony do obrazu albo przepuszczony przez narzędzie faktycznie usuwające treść, a nie ją przykrywające — i sprawdzony przez zaznaczenie całości i wklejenie do notatnika. To ćwiczenie na trzydzieści sekund, którego prawie nikt nie wykonuje.

Upomnienie kosztuje zero złotych i właśnie to bywa mylące

Prezes UODO dysponuje wachlarzem środków naprawczych z artykułu 58 ustęp 2 RODO. Upomnienie z litery b siedzi na jego łagodnym końcu — stwierdza naruszenie, nie sięga do kasy. Naturalna reakcja urzędu brzmi więc: obyło się.

Ta reakcja jest przedwczesna z czterech powodów.

Po pierwsze, wysokość kar dla sektora publicznego w Polsce i tak jest ograniczona ustawowo. Artykuł 102 ustęp 1 ustawy o ochronie danych osobowych z 10 maja 2018 roku pozwala nałożyć na jednostki sektora finansów publicznych karę do 100 000 złotych, a na jednostki z artykułu 9 punkt 13 ustawy o finansach publicznych — do 10 000 złotych. Dwadzieścia milionów euro z RODO nie ma tu zastosowania. Gdyby więc Prezes UODO sięgnął po karę, mówilibyśmy o kwocie, która w budżecie średniego miasta jest zaokrągleniem. Prawdziwa dolegliwość leży gdzie indziej.

Po drugie, upomnienie jest odnotowane. Artykuł 83 ustęp 2 litera e RODO nakazuje przy wymierzaniu kary uwzględnić wszelkie stosowne wcześniejsze naruszenia. Urząd, który raz dostał upomnienie w sprawie obiegu dokumentów, przy drugim podobnym zdarzeniu startuje z zupełnie innej pozycji — i tym razem ograniczenie ze stu tysięcy złotych przestaje być teoretyczne.

Po trzecie, decyzja jest jawna i trafia do portalu orzeczeń UODO. Zostaje w internecie na lata, wraz z sygnaturą i opisem, i jest znajdowana przez każdego, kto wpisze w wyszukiwarkę nazwę miasta obok słowa RODO. To nie jest kara finansowa, tylko koszt reputacyjny rozłożony w czasie.

Po czwarte i najistotniejsze: postępowanie przed organem nadzorczym w ogóle nie zamyka sprawy wobec osoby, której dane ujawniono. Artykuł 82 RODO daje jej samodzielne roszczenie odszkodowawcze przed sądem cywilnym, w tym za szkodę niemajątkową. Trybunał Sprawiedliwości Unii Europejskiej w kolejnych orzeczeniach z lat 2023–2024 doprecyzował, że samo naruszenie nie tworzy automatycznie roszczenia — trzeba wykazać szkodę — ale też że nie istnieje próg istotności, poniżej którego szkoda niemajątkowa nie podlega naprawieniu. Decyzja organu nadzorczego stwierdzająca naruszenie jest w takim procesie materiałem dowodowym o sporej wadze.

Naruszenie na papierze też jest naruszeniem podlegającym zgłoszeniu

Jest w tej sprawie wątek, którego komunikat nie porusza, a który powinien zainteresować każdego inspektora ochrony danych w samorządzie.

Artykuł 4 punkt 12 RODO definiuje naruszenie ochrony danych osobowych jako naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych. Nie ma tu ani słowa o systemach informatycznych, o skali, o liczbie osób. Przesłanie jednego pisma do jednego niewłaściwego adresata mieści się w definicji w całości.

Oznacza to, że zdarzenie z Wejherowa uruchamiało własną ścieżkę: ocenę ryzyka dla praw i wolności osoby, decyzję o zgłoszeniu do Prezesa UODO w trybie artykułu 33 w ciągu 72 godzin od stwierdzenia, decyzję o zawiadomieniu osoby w trybie artykułu 34 przy wysokim ryzyku, oraz — niezależnie od obu poprzednich — wpis do wewnętrznego rejestru naruszeń z artykułu 33 ustęp 5, który obejmuje także naruszenia niezgłaszane.

W praktyce samorządowej ten typ zdarzeń wypada z systemu, bo nie wygląda na incydent. Nikt niczego nie zaszyfrował, nikt się nie włamał, nie było alertu. Był urzędnik, koperta i lista rozdzielnika. Tymczasem w statystykach organów nadzorczych błędy w korespondencji — pismo do złego adresata, ukryta kopia użyta jako jawna, załącznik z cudzymi danymi — od lat konkurują liczebnością z atakami. Różnica polega na tym, że przed atakiem trzeba się bronić technologią, a przed tym błędem — procedurą i chwilą uwagi.

Warto tę myśl domknąć jednym zdaniem, bo dotyczy każdej organizacji, nie tylko urzędu miasta: rejestr naruszeń, w którym nie ma ani jednego zdarzenia dotyczącego korespondencji, nie dowodzi, że takich zdarzeń nie było. Dowodzi, że nikt ich nie klasyfikuje.

Jak to poukładać w kancelarii, w EZD i w umyśle pracownika

Rozstrzygnięcie z Wejherowa da się przełożyć na cztery konkretne zmiany, z których żadna nie wymaga budżetu.

Pierwsza dotyczy znakowania spraw. Wnioski o dostęp do informacji publicznej powinny mieć w systemie EZD odrębną kategorię z własnym symbolem, oddzieloną od spraw prowadzonych w trybie KPA. Nie jest to kosmetyka — kategoria niesie ze sobą szablon, a szablon niesie zachowanie. Jeśli sprawa o informację publiczną trafia do tej samej teczki co postępowanie administracyjne, prędzej czy później ktoś sięgnie po instytucje z KPA, bo będzie je miał pod ręką.

Druga dotyczy rozdzielnika. W szablonie odpowiedzi na wniosek o informację publiczną pole „do wiadomości" powinno być domyślnie puste i opatrzone ostrzeżeniem. Wpisanie do niego kogokolwiek innego niż wnioskodawca wymaga wskazania podstawy prawnej w metryce sprawy. Jedno pole, jedna reguła, jedna adnotacja — i cała klasa zdarzeń znika.

Trzecia dotyczy odpowiedzi na pytania o pytania. Urząd powinien mieć gotową formułę na wniosek typu „czy ktoś pytał o moją firmę". Odpowiedź brzmi: tak, w takim a takim zakresie udzielono informacji publicznej dotyczącej umów zawartych przez gminę, przy czym dane osobowe wnioskodawców nie podlegają udostępnieniu, ponieważ nie stanowią informacji o działalności organu. Zdanie gotowe do wklejenia, przemyślane raz, na spokojnie — a nie improwizowane w piątek po południu.

Czwarta dotyczy standardu. Kto pracuje w systemie zarządzania bezpieczeństwem informacji zgodnym z normą ISO/IEC 27001:2022, znajdzie w załączniku A gotowe zaczepienie dla wszystkich trzech powyższych: zabezpieczenie A.5.14 dotyczy przekazywania informacji i wymaga ustalenia zasad dla każdego kanału, A.8.11 to wprost maskowanie danych, a A.5.12 i A.5.13 to klasyfikacja i oznaczanie informacji, bez których dwa pierwsze nie mają czego chronić. Wdrożenie tych zabezpieczeń w urzędzie oznacza dokładnie to, co opisano wyżej: reguły dla rozdzielnika, reguły dla anonimizacji i etykietę na dokumencie mówiącą, co wolno z nim zrobić.

Na koniec kalendarz, bo trzeba go tu przypomnieć. Do 3 października 2026 roku podmioty objęte znowelizowaną ustawą o krajowym systemie cyberbezpieczeństwa mają czas na samoidentyfikację i wpis do wykazu podmiotów kluczowych i ważnych. Zostało trzydzieści sześć dni. Jednostki samorządu terytorialnego są w tym gronie, a przygotowanie do wpisu jest doskonałym momentem, żeby przy okazji poukładać obieg korespondencji — bo w obu reżimach, tym z RODO i tym z ustawy o KSC, punktem wyjścia jest to samo pytanie: czy wiemy, jakie informacje mamy, dokąd wychodzą i kto o tym decyduje.

Dlaczego z Fib.Code w sprawach obiegu informacji

Prowadzimy funkcje inspektora ochrony danych i pełnomocnika do spraw bezpieczeństwa informacji w jednostkach samorządu terytorialnego, spółkach komunalnych, sądach i firmach prywatnych. Znamy tryb dostępu do informacji publicznej od strony praktycznej — nie jako rozdział w podręczniku, tylko jako codzienny ruch dokumentów przez kancelarię, sekretariat i komórki merytoryczne. Wiemy, gdzie w tym ruchu powstają zdarzenia takie jak wejherowskie i dlaczego prawie zawsze powstają w dobrej wierze.

Pracujemy według trzech zasad. Zaczynamy od prześledzenia realnej ścieżki dokumentu, a nie od lektury instrukcji kancelaryjnej, ponieważ te dwie rzeczy rozjeżdżają się w każdej organizacji i cała wartość pracy leży w różnicy. Projektujemy zabezpieczenia w miejscu, gdzie zapada decyzja, a nie w szkoleniu przypominającym o ostrożności, bo pole formularza działa zawsze, a pamięć bywa zawodna. I zostawiamy po sobie dokument, który da się przeczytać w piętnaście minut i zastosować bez konsultacji z prawnikiem, bo tylko taki jest używany.

Efektem jest opisany obieg wniosków o informację publiczną z rozdzielonymi trybami, szablonami i regułą anonimizacji, uzupełniony o procedurę klasyfikacji zdarzeń jako naruszeń ochrony danych wraz z gotowym rejestrem. Do tego krótka lista miejsc, w których obieg jest podatny na powtórzenie tego samego błędu — zwykle jest ich od trzech do pięciu i wszystkie da się domknąć w ciągu miesiąca.

Co zrobić w poniedziałek w kancelarii urzędu

Jedno spotkanie, czterdzieści pięć minut, poniedziałek rano. Uczestnicy: sekretarz gminy lub miasta, inspektor ochrony danych, osoba prowadząca kancelarię, osoba odpowiadająca za system EZD. Przed spotkaniem każdy przynosi po dwie ostatnie odpowiedzi na wnioski o informację publiczną ze swojego obszaru — w oryginalnej formie, z rozdzielnikiem i załącznikami.

Na spotkaniu trzy rozstrzygnięcia. Pierwsze: czy w przyniesionych pismach w polu „do wiadomości" figuruje ktokolwiek poza wnioskodawcą, a jeśli tak, na jakiej podstawie prawnej. Drugie: kto do końca września napisze jednostronicową instrukcję rozdzielającą tryb informacyjny od trybu KPA i kto ją zatwierdzi — dwa nazwiska, nie dwa działy. Trzecie: czy w rejestrze naruszeń z ostatnich dwunastu miesięcy jest choć jeden wpis dotyczący korespondencji, a jeśli nie ma, kto sprawdzi, czy takich zdarzeń rzeczywiście nie było, czy tylko nikt ich tak nie nazwał.

Test na sprawność całego układu jest jeden i zajmuje minutę. Proszę wziąć ostatni wysłany skan udostępnionego dokumentu, zaznaczyć w nim całą treść, skopiować i wkleić do zwykłego notatnika. Jeżeli spod czarnych prostokątów wysypią się nazwiska, to nie jest temat na kolejne szkolenie. To temat na najbliższy poniedziałek.

Zapraszamy do kontaktu: l.grabowski@fibcode.com | fibcode.com/pl/kontakt. Bezpośrednio powiązane materiały: Kontrola sektorowa UODO w Myślenicach i BIP samorządowy, Klauzula informacyjna pod lupą kontroli CEF 2026, Nadzór nad upoważnieniami po karze dla Ministra Sprawiedliwości — trzy różne sprawy, w których organ nadzorczy pytał administratora nie o to, czy miał procedurę, lecz o to, co się stało w chwili, gdy ktoś podejmował decyzję.