Siedemnastego czerwca 2026 roku, o godzinie 7:34 rano, Edyta Madziar z Departamentu Komunikacji Społecznej Urzędu Ochrony Danych Osobowych wprowadziła do systemu komunikat numer 4432. Tekst wytworzył Karol Witowski. Nagłówek brzmiał sucho: UODO bada realizację obowiązków przejrzystości i informacyjnych wynikających z RODO. Cztery akapity, jeden link do ankiety na serwerze Komisji Europejskiej i jedna data graniczna — 29 sierpnia 2026 roku.

Potem stało się coś, co warto obejrzeć z bliska. Komunikat zaczął się rozchodzić po Polsce dokładnie tą drogą, którą rozchodzą się w naszym kraju wszystkie komunikaty urzędowe: przez zakładki „Aktualności" na stronach gmin. Kawęczyn, Studzienice, Sochaczew, Przeworno, Borzechów, Krynica Morska, Starostwo Powiatowe w Nysie. Kilkadziesiąt samorządów przekleiło treść w całości, czasem skracając nagłówek do lakonicznego „Ankieta RODO". Te same podmioty, których klauzule informacyjne wiszą od lat w Biuletynach Informacji Publicznej i w większości przypadków nie były ruszane od 2018 roku, ogłosiły swoim mieszkańcom, że organ nadzorczy bada, jak administratorzy wywiązują się z obowiązków informacyjnych.

Do zamknięcia ankiety zostało osiem dni. Ale ankieta nie jest celem tej operacji. Jest jej rekonesansem.

Co dokładnie robi dwadzieścia pięć organów nadzorczych

Dziewiętnastego marca 2026 roku Europejska Rada Ochrony Danych ogłosiła start piątej edycji skoordynowanych działań egzekwowania prawa — po angielsku Coordinated Enforcement Framework, w skrócie CEF. To jedno z kluczowych narzędzi przewidzianych w strategii EROD na lata 2024–2027 i mechanizm o zupełnie innej naturze niż pojedyncza kontrola krajowa. Temat wybiera się raz w roku na posiedzeniu plenarnym, po czym organy nadzorcze z całego Europejskiego Obszaru Gospodarczego prowadzą przez dwanaście miesięcy równoległe działania według wspólnej metodyki, wymieniają się ustaleniami i na koniec publikują skonsolidowany raport, który staje się materiałem wyjściowym dla dalszych działań — tym razem już nie badawczych.

Tematem roku 2026 jest przestrzeganie przez administratorów obowiązków przejrzystości i przekazywania informacji osobom, których dane dotyczą, czyli artykuły 12, 13 i 14 RODO. W akcji bierze udział dwadzieścia pięć organów nadzorczych. Cztery poprzednie edycje dotyczyły korzystania przez sektor publiczny z usług chmurowych, wyznaczania i pozycji inspektorów ochrony danych, realizacji prawa dostępu oraz prawa do bycia zapomnianym — i każda z nich zostawiła po sobie trwały ślad w praktyce polskich postępowań kontrolnych.

Warto pamiętać, jak kończyły się poprzednie edycje, bo to najlepszy predyktor tego, co zdarzy się w 2027 roku. Akcja poświęcona wyznaczaniu i pozycji inspektorów ochrony danych zaczęła się w 2023 roku od ankiet rozesłanych do administratorów, a skończyła serią postępowań w całej Unii dotyczących niezależności i usytuowania tej funkcji w strukturze. W Polsce jej najgłośniejszym echem była decyzja Prezesa UODO ze stycznia 2026 roku, nakładająca na Pocztę Polską karę bliską miliona złotych za konflikt interesów przy sprawowaniu funkcji inspektora. Od miękkiego kwestionariusza do prawomocnej sankcji minęły niecałe trzy lata.

Najważniejsze zdanie komunikatu EROD ginie zwykle w streszczeniach. Organy uczestniczące skontaktują się z administratorami z różnych sektorów albo wszczynając formalne postępowania, albo w ramach działań rozpoznawczych. Innymi słowy: ankieta to jedna z dwóch dostępnych ścieżek, nie jedyna. Grecki organ nadzorczy zadeklarował wprost, że skieruje swoje działania do administratorów należących do dużych organizacji sektora publicznego. Polski regulator wybrał na tym etapie ścieżkę miękką. To nie jest zobowiązanie na cały rok.

Ankieta jest dobrowolna. Odpowiedzi nie są

UODO zapewnia w komunikacie, że udział w badaniu jest dobrowolny i anonimowy, a udzielone odpowiedzi nie mogą być podstawą do wszczęcia postępowań kontrolnych ani skorzystania przez organ z jakichkolwiek uprawnień naprawczych. To zapewnienie należy czytać dosłownie i traktować poważnie — nie jest pułapką. Jest natomiast czymś innym: zaproszeniem do wykonania audytu własnymi rękami, w warunkach, w których nikt nie patrzy na wynik.

Bo jeżeli ktoś siada do kwestionariusza i przy pytaniu o liczbę stosowanych w organizacji klauzul informacyjnych orientuje się, że nie zna odpowiedzi — to jest wynik. Jeżeli przy pytaniu o datę ostatniej aktualizacji trzeba sprawdzić metadane pliku PDF na serwerze — to też jest wynik. Jeżeli okazuje się, że klauzula na formularzu kontaktowym, klauzula w procesie rekrutacji i klauzula na fakturze różnią się między sobą w opisie okresu retencji, choć opisują te same dane — to jest wynik najbardziej wartościowy z całej trójki, bo pokazuje, że dokumenty powstawały niezależnie od siebie i od rejestru czynności przetwarzania.

Ten sam mechanizm zastosował Urząd zaledwie dwa tygodnie wcześniej, publikując listy pytań inicjalnych dotyczące systemów sztucznej inteligencji. Też dobrowolne, też bez obowiązku przedstawiania odpowiedzi organowi, też z konsultacjami otwartymi do końca września. Wyłania się z tego czytelna metoda pracy Prezesa UODO w 2026 roku: najpierw narzędzie do samodzielnego sprawdzenia, potem — dla tych, którzy z niego nie skorzystali — postępowanie.

Artykuł 12 nie jest przypisem do trzynastki i czternastki

Większość polskich klauzul informacyjnych została napisana jako lista kontrolna artykułu 13. Tożsamość administratora — jest. Dane kontaktowe inspektora ochrony danych — są. Cele i podstawa prawna — są, zwykle w komplecie. Odbiorcy, okres przechowywania, katalog praw, informacja o prawie skargi do Prezesa UODO, informacja o dobrowolności podania danych — wszystko jest. Dokument liczy sobie dziewięć tysięcy znaków, jest formalnie kompletny i nie da się wskazać ani jednego brakującego elementu.

I jest jednocześnie sprzeczny z artykułem 12 ustęp 1, który wymaga, by informacje były przekazane w formie zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej, jasnym i prostym językiem. To nie jest przepis ozdobny ani preambuła do dwóch kolejnych. To samodzielne kryterium jakości, którego naruszenie jest naruszeniem odrębnym — i właśnie ono stoi na pierwszym miejscu w nazwie tegorocznej akcji EROD. Grupa Robocza Artykułu 29 poświęciła mu osobne wytyczne WP260, przyjęte następnie przez EROD, w których zwięzłość i zrozumiałość zostały opisane jako wymogi mierzalne, a nie życzeniowe.

Są w tej klauzuli dwa pola, które prawie zawsze zawierają nieprawdę, i organ nadzorczy zna je na pamięć. Pierwsze to okres przechowywania. Sformułowanie „przez okres niezbędny do realizacji celu, a następnie przez okres wynikający z przepisów prawa" nie jest informacją o okresie, tylko informacją o tym, że nikt tego okresu nie ustalił. Artykuł 13 ustęp 2 litera a wymaga podania okresu albo — jeśli to niemożliwe — kryteriów jego ustalania, a kryterium musi być weryfikowalne przez czytającego. Drugie pole to odbiorcy danych. „Podmioty upoważnione na podstawie przepisów prawa oraz podmioty świadczące usługi na rzecz administratora" opisuje wszystkich i nikogo. Osoba czytająca ten fragment nie dowie się, że jej dokumentacja trafia do zewnętrznego archiwum, poczta do amerykańskiego dostawcy chmury, a księgowość do biura rachunkowego w sąsiednim mieście — czyli dokładnie tego, czego chciałaby się dowiedzieć.

Praktyczna odpowiedź na to napięcie nazywa się warstwowością. Pierwsza warstwa to kilka zdań w miejscu i momencie zbierania danych: kto, po co, jak długo, gdzie kliknąć po resztę. Druga warstwa to pełna treść, dostępna pod jednym stabilnym adresem, z widoczną datą wersji. Trzecia to informacje kontekstowe podawane dokładnie wtedy, gdy stają się istotne — przy zaznaczaniu zgody marketingowej, przy uruchamianiu monitoringu, przy przekazaniu danych do państwa trzeciego. Artykuł 12 ustęp 7 dopuszcza przy tym standardowe znaki graficzne, z których w Polsce praktycznie nikt nie korzysta, choć w kontakcie z osobą starszą albo z dzieckiem potrafią zrobić więcej niż trzy strony tekstu.

Najgorsza połowa: artykuł 14

Artykuł 13 dotyczy danych zbieranych bezpośrednio od osoby i dlatego jest łatwy — jest formularz, jest moment, jest miejsce na klauzulę. Artykuł 14 dotyczy danych pozyskanych z innego źródła i to on jest w polskich organizacjach systemowo zaniedbany, bo nie ma naturalnego punktu zaczepienia. Dane kontaktowe pracowników kontrahenta wpisane do umowy B2B. Dane z KRS, CEIDG i REGON zaciągnięte przez API do systemu sprzedażowego. Dane kandydata pobrane z portalu rekrutacyjnego. Dane dłużnika przekazane przez wierzyciela. Nagranie z kamery, na które ktoś wszedł, nie mając zamiaru wchodzić. Dane pacjenta wprowadzone przez inną placówkę. W żadnym z tych przypadków osoba nie stoi przed formularzem i w żadnym z nich obowiązek informacyjny nie znika.

Artykuł 14 ustęp 3 wyznacza trzy terminy i wystarczy przekroczyć najwcześniejszy z nich: rozsądny termin, nie później niż miesiąc od pozyskania danych; albo moment pierwszej komunikacji z osobą, jeśli nastąpi wcześniej; albo moment pierwszego ujawnienia danych innemu odbiorcy. Wyjątek z ustępu 5 litera b — niewspółmiernie duży wysiłek — jest w Polsce najczęściej nadużywanym przepisem RODO i ma już swoje prawomocne rozstrzygnięcie.

Piętnastego marca 2019 roku Prezes UODO nałożył pierwszą w historii polską karę administracyjną: 943 tysiące złotych na spółkę Bisnode za niepoinformowanie około sześciu milionów sześciuset tysięcy osób, że przetwarza ich dane pozyskane z publicznie dostępnych rejestrów. Spółka broniła się, że wysyłka listów kosztowałaby ją około trzydziestu milionów złotych. Wojewódzki Sąd Administracyjny w Warszawie przyznał jej rację częściowo, ograniczając zakres obowiązku do osób prowadzących lub zawieszających działalność w dacie decyzji. Naczelny Sąd Administracyjny oddalił skargę kasacyjną, przesądzając rzecz zasadniczą: pozyskanie danych z rejestru publicznego nie zwalnia z obowiązku poinformowania o ich przetwarzaniu. Kara za artykuł 14 była pierwszą polską karą „za RODO" i pozostaje najlepszym możliwym punktem odniesienia dla akcji, która właśnie trwa.

Lista podstaw prawnych to nie jest podstawa prawna

Jest w polskich klauzulach wzorzec, który powtarza się w tysiącach dokumentów i który organ nadzorczy rozpoznaje natychmiast. Brzmi tak: „Pani/Pana dane osobowe przetwarzane są na podstawie art. 6 ust. 1 lit. a, b, c, e i f RODO". Pięć liter obok siebie, bez przypisania do celu. Autor takiej klauzuli wybrał bezpieczeństwo pozorne — skoro wymieniłem wszystkie, na pewno trafiłem w tę właściwą.

Problem polega na tym, że podstawa prawna nie jest ozdobnikiem, tylko przełącznikiem katalogu praw. Prawo do sprzeciwu z artykułu 21 przysługuje wyłącznie przy przetwarzaniu opartym na literze e i f. Prawo do przenoszenia danych z artykułu 20 — wyłącznie przy zgodzie i umowie, i tylko w systemach zautomatyzowanych. Prawo do usunięcia z artykułu 17 wygląda zupełnie inaczej przy obowiązku prawnym niż przy prawnie uzasadnionym interesie. Osoba, która czyta listę pięciu liter, nie jest w stanie ustalić, czy ma prawo sprzeciwu, a to oznacza, że dokument nie realizuje swojej jedynej funkcji.

Do tego dochodzi artykuł 13 ustęp 1 litera d, przepis wymagający, by przy powołaniu się na prawnie uzasadniony interes wskazać, jaki to konkretnie interes. Nie „prawnie uzasadnione interesy administratora", tylko „dochodzenie roszczeń z umowy", „zapewnienie bezpieczeństwa osób i mienia na terenie zakładu", „marketing bezpośredni własnych produktów". Klauzula, która tego nie robi, nie tylko narusza artykuł 13, ale też ujawnia, że test równowagi nigdy nie został przeprowadzony — bo gdyby został, jego wynik byłby zapisany i wystarczyłoby go przepisać.

Nowa warstwa: algorytm musi dać się wytłumaczyć

Artykuł 13 ustęp 2 litera f oraz jego bliźniak w artykule 14 ustęp 2 litera g nakazują poinformować osobę o zautomatyzowanym podejmowaniu decyzji, w tym profilowaniu, oraz przekazać istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania. Przez siedem lat przepis ten był w praktyce martwy, obsługiwany zdaniem „administrator nie podejmuje decyzji w sposób zautomatyzowany", wpisywanym odruchowo także tam, gdzie system scoringowy działał od dawna.

Dwudziestego siódmego lutego 2025 roku Trybunał Sprawiedliwości Unii Europejskiej wydał wyrok w sprawie C-203/22, CK przeciwko Dun & Bradstreet Austria. Sprawa dotyczyła obywatelki Austrii, której operator telekomunikacyjny odmówił zawarcia umowy na podstawie automatycznej oceny zdolności kredytowej, przeprowadzonej bez udziału człowieka. Trybunał orzekł, że administrator musi opisać procedurę i zasady faktycznie zastosowane w taki sposób, by osoba mogła zrozumieć, które z jej danych osobowych zostały w decyzji wykorzystane. I dodał zdanie, które zmienia standard praktyczny: dla spełnienia wymogów przejrzystości i zrozumiałości właściwe może być poinformowanie osoby, w jakim zakresie zmiana uwzględnionych danych doprowadziłaby do innego wyniku.

To już nie jest opis kategorii danych wejściowych. To wymóg wyjaśnienia kontrfaktycznego — pokazania, co musiałoby być inne, żeby decyzja była inna. Dla każdej organizacji, która w ostatnich dwóch latach wdrożyła narzędzie oceniające wnioski, kandydatów, zgłoszenia serwisowe albo ryzyko kontrahenta, oznacza to konieczność napisania fragmentu klauzuli od zera. Pisaliśmy o tym w kontekście narzędzi AI stosowanych w rekrutacji, gdzie ten sam obowiązek spina się dodatkowo z artykułem 22¹ Kodeksu pracy i z klasyfikacją wysokiego ryzyka w AI Act.

Gdzie polskie organizacje mają to najsłabiej

W samorządzie problemem nie jest brak klauzul, tylko ich liczba i rozproszenie. Osobna dla mieszkańca składającego wniosek, osobna dla monitoringu wizyjnego na rynku, osobna dla Urzędu Stanu Cywilnego, osobna dla podatków lokalnych, osobna dla rekrutacji, osobna dla profilu na platformie zakupowej. Każda pisana przez inny wydział w innym roku, każda opublikowana w innym miejscu Biuletynu Informacji Publicznej, część wyłącznie jako skan podpisanego dokumentu — czyli w formie, której nie odczyta ani wyszukiwarka, ani czytnik ekranu. Kontrola sektorowa w gminie Myślenice pokazała, jak szybko organ nadzorczy przechodzi od zawartości BIP-u do oceny całego systemu zarządzania danymi.

W spółkach komunalnych klauzula pojawia się zwykle w dwóch miejscach: na odwrocie faktury za wodę i przy podpisywaniu umowy przyłączeniowej. Nie pojawia się natomiast tam, gdzie powstaje coraz więcej danych — przy telemetrii wodomierzy zdalnego odczytu, przy monitoringu obiektów technologicznych, przy systemach powiadamiania SMS o awariach. W ochronie zdrowia najsłabszym punktem jest styk z dostawcą systemu: pacjent dostaje klauzulę od przychodni, a dane wędrują do infrastruktury podmiotu, którego nazwy w tej klauzuli często nie ma. Sierpniowa historia z zawiadomieniami po incydencie u dostawcy dokumentacji medycznej pokazała, ile kosztuje ta luka w momencie, gdy trzeba się z pacjentem skontaktować.

Osobnym przypadkiem jest monitoring wizyjny, gdzie obowiązek informacyjny rozpada się na dwie warstwy, a większość organizacji realizuje wyłącznie pierwszą. Tabliczka z piktogramem kamery przy wejściu to warstwa zerowa — informacja o samym fakcie obserwacji. Pełna treść artykułu 13 musi być dostępna w miejscu, do którego tabliczka odsyła, i musi zawierać cel obserwacji, okres przechowywania nagrań, informację o dostępie do nich oraz podstawę prawną odrębną dla monitoringu pracowników i odrębną dla części ogólnodostępnych. Kontrola sektorowa w podmiotach leczniczych prowadzona w tym roku pokazała, że w praktyce zatrzymuje się to na tabliczce, a pytanie o drugą warstwę zaskakuje kierownictwo placówki.

W małych i średnich firmach klauzula żyje najczęściej w stopce maila i w regulaminie sklepu, a znika wszędzie indziej: przy formularzu kontaktowym, przy zapisie na newsletter, przy nagrywaniu rozmów w call center, przy odbiorze CV od pracownika, który „ma kogoś znajomego". Kara nałożona na małą kancelarię podatkową w lipcu tego roku przypomniała, że w RODO nie ma progu wielkości — i nie ma go również w artykułach 12, 13 i 14.

Ile kosztuje nieprzejrzystość

Naruszenie obowiązków informacyjnych mieści się w artykule 83 ustęp 5 litera b RODO, czyli w wyższym z dwóch progów sankcyjnych: do dwudziestu milionów euro albo do czterech procent całkowitego rocznego światowego obrotu. Ten sam próg co brak podstawy prawnej. Wyższy niż za brak odpowiednich środków bezpieczeństwa z artykułu 32.

Europejska praktyka pokazuje, że nie jest to zapis teoretyczny. Irlandzki organ nadzorczy nałożył we wrześniu 2021 roku karę 225 milionów euro na WhatsApp Ireland w postępowaniu dotyczącym wprost przejrzystości i obowiązków informacyjnych, w tym wobec osób niebędących użytkownikami komunikatora. W styczniu 2023 roku ten sam organ ukarał spółki grupy Meta łączną kwotą 390 milionów euro za oparcie przetwarzania na niewłaściwej podstawie prawnej i za brak przejrzystości w jej komunikowaniu. We wrześniu 2023 roku 345 milionów euro trafiło na TikTok Technology, w znacznej części za sposób informowania małoletnich użytkowników. Trzy z największych kar w historii RODO dotyczą tego, jak napisano dokument.

W Polsce sankcje za obowiązki informacyjne są o dwa rzędy wielkości niższe, ale mechanizm jest ten sam i najczęściej uruchamia się przy okazji. Postępowanie startuje od zgłoszenia naruszenia, od skargi osoby, od kontroli sektorowej dotyczącej czegoś innego — a klauzula informacyjna jest pierwszym dokumentem, o który organ prosi, bo jest publiczna, natychmiast dostępna i pokazuje w jednym akapicie, czy administrator panuje nad tym, co robi z danymi. Sprawa kary dla Glovo za skany dowodów osobistych zaczęła się od minimalizacji, ale ocena informowania kurierów o zakresie przetwarzania była jej nieodłączną częścią.

Autoaudyt, który zmieści się w jedno popołudnie

Po pierwsze — policzyć klauzule. Nie oszacować, policzyć. Strona internetowa, BIP, formularze papierowe, umowy, regulaminy, systemy dziedzinowe, tablice przy kamerach, stopki mailowe, ogłoszenia rekrutacyjne. Organizacja średniej wielkości ma ich zwykle między piętnaście a czterdzieści i prawie nigdy nie ma ich spisu.

Po drugie — zestawić listę klauzul z rejestrem czynności przetwarzania z artykułu 30. Każdej czynności powinna odpowiadać klauzula, a każda klauzula powinna dawać się przypisać do czynności. Sieroty po obu stronach są najcenniejszym wynikiem tego ćwiczenia.

Po trzecie — wyszukać frazę „art. 6 ust. 1 lit." i sprawdzić, ile liter stoi obok siebie bez przypisania do celu. Po czwarte — wyszukać „prawnie uzasadniony interes" i sprawdzić, czy przy każdym wystąpieniu ten interes jest nazwany. Po piąte — sprawdzić datę ostatniej modyfikacji każdego pliku i porównać ją z datą ostatniego wdrożenia nowego systemu.

Trzy ostatnie kroki są nietypowe, bo nie polegają na czytaniu dokumentów, tylko na ich testowaniu. Warto poświęcić na nie tyle samo czasu co na pięć poprzednich razem wziętych, ponieważ dopiero one pokazują, jak klauzula działa na człowieku, dla którego została napisana.

Po szóste — zadać jedno pytanie osobie spoza działu prawnego: czy po przeczytaniu tego dokumentu wiesz, jak długo będziemy trzymać twoje dane i komu je przekażemy. Jeżeli odpowiedź brzmi „chyba tak", artykuł 12 nie jest spełniony. Po siódme — sprawdzić, czy istnieje procedura opisująca, kto i w jakim trybie aktualizuje klauzulę po zmianie w systemach. W większości organizacji nie istnieje, a to jest właśnie przyczyna wszystkich sześciu poprzednich ustaleń.

Dlaczego z Fib.Code

Prowadzimy funkcję inspektora ochrony danych i pełnomocnika do spraw bezpieczeństwa informacji w podmiotach publicznych i prywatnych, budujemy dokumentację systemów zarządzania bezpieczeństwem informacji i przechodzimy przez audyty ISO 27001 po obu stronach stołu. Obowiązki informacyjne widzimy więc nie jako ćwiczenie redakcyjne, tylko jako końcowy odczyt tego, czy organizacja rzeczywiście wie, jakie dane przetwarza — bo klauzuli nie da się napisać poprawnie, jeśli rejestr czynności jest fikcją.

Pracujemy według trzech zasad. Zaczynamy od inwentaryzacji, nie od szablonu, ponieważ szablon jest przyczyną większości problemów, które później naprawiamy. Piszemy dokumenty przeznaczone do czytania przez człowieka, a nie do obrony przed kontrolą, bo tylko takie bronią się przed kontrolą. I domykamy każdą zmianę procedurą aktualizacji z nazwiskiem właściciela, żeby dokument nie zaczął się starzeć w dniu odbioru.

Efektem jest komplet klauzul spięty z rejestrem czynności przetwarzania, warstwowy tam, gdzie warstwowość ma sens, z wersjonowaniem i z jednoznaczną ścieżką aktualizacji. Do tego krótki raport z rozbieżności, które ujawniło zestawienie — zwykle najbardziej wartościowa część całej pracy, bo pokazuje procesy, o których nikt w organizacji nie pamiętał.

Co zrobić w ten weekend

Jedno spotkanie, sześćdziesiąt minut, w poniedziałek rano. Uczestnicy: inspektor ochrony danych, osoba odpowiedzialna za stronę internetową i BIP, osoba z kadr, osoba z działu obsługi klienta lub mieszkańca. Przed spotkaniem każdy przynosi listę klauzul informacyjnych ze swojego obszaru, wraz ze wskazaniem, gdzie dokładnie są opublikowane i kiedy powstały.

Na spotkaniu trzy decyzje. Kto jest właścicielem kompletu klauzul w organizacji — jedna osoba, z nazwiskiem, nie „dział". Do kiedy powstanie zestawienie klauzul z rejestrem czynności przetwarzania — data, nie kwartał. Kto do 29 sierpnia wypełni ankietę EROD, korzystając z niej jako z gotowego kwestionariusza autoaudytu, i przekaże kierownictwu listę pytań, na które nie znał odpowiedzi. Ta lista jest realnym produktem tego ćwiczenia i to ona powinna trafić do planu pracy na czwarty kwartał.

Zapraszamy do kontaktu: l.grabowski@fibcode.com | fibcode.com/pl/kontakt. Bezpośrednio powiązane materiały: Listy pytań inicjalnych UODO o systemach AI, Kontrola sektorowa UODO w Myślenicach i BIP samorządowy, Umowa powierzenia i łańcuch podwykonawców po karze dla DPD — trzy różne drogi do tego samego wniosku, że dokument opisujący przetwarzanie jest wart tyle, ile wart jest stojący za nim proces.