Sprawozdanie UODO za 2025: 22 435 naruszeń i cztery razy wyższa kara

We wtorek 1 września 2026 roku, o godzinie 13:57, Edyta Madziar z Departamentu Komunikacji Społecznej Urzędu Ochrony Danych Osobowych opublikowała na stronie urzędu stanowisko Prezesa UODO w sprawie e-Dziennika. Godzinę i dwadzieścia osiem minut później, o 15:25, w tym samym miejscu pojawił się komunikat numer 4555 — sprawozdanie z działalności Prezesa UODO Mirosława Wróblewskiego za rok 2025. Był pierwszy dzień roku szkolnego. Oba dokumenty dotyczyły, w gruncie rzeczy, tej samej sprawy: tego, jak wygląda ochrona danych w Polsce, gdy zejdzie się z poziomu deklaracji na poziom liczb.

Sprawozdanie roczne Prezes UODO musi przedstawić do 31 sierpnia parlamentowi, Radzie Ministrów, Rzecznikowi Praw Obywatelskich, Rzecznikowi Praw Dziecka oraz Prokuratorowi Generalnemu. Obowiązek wynika z art. 59 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679, czyli RODO, oraz z art. 50 ustawy z 10 maja 2018 r. o ochronie danych osobowych. Dokument trafia też do Komisji Europejskiej, do Europejskiej Rady Ochrony Danych i do opinii publicznej. Ta ostatnia zwykle go nie czyta. Szkoda, bo to najtańsza analiza ryzyka dostępna w Polsce — sporządzona przez organ, który potem będzie te ryzyka egzekwował, i opublikowana za darmo.

Cztery liczby, które zmieniają rachunek ryzyka

Zacznijmy od czterech pozycji, które w sprawozdaniu za 2025 rok wyglądają inaczej niż rok wcześniej. Administratorzy zgłosili 22 435 naruszeń ochrony danych osobowych wobec 14 842 w 2024 roku — wzrost o 51 procent. Do urzędu wpłynęło 12 827 skarg indywidualnych, przy 8 056 rok wcześniej; sam Urząd podaje ten wzrost jako 61-procentowy. Kontrolerzy przeprowadzili 76 kontroli zamiast pięćdziesięciu, czyli o 52 procent więcej. I wreszcie: w dwudziestu sprawach Prezes UODO nałożył na 23 podmioty łącznie 32 administracyjne kary pieniężne na kwotę 64 436 940,25 złotych.

Każda z tych liczb rośnie, ale rosną w różnym tempie i z różnych powodów. Zgłoszenia naruszeń i skargi to ruch oddolny — organizacje i obywatele robią więcej. Kontrole i kary to ruch odgórny — urząd robi więcej. Dopiero zestawienie obu stron pokazuje, gdzie w 2026 roku realnie leży ryzyko, a gdzie leżą tylko nasze wyobrażenia o nim.

Warto od razu odnotować proporcję, która w sprawozdaniu przechodzi bez komentarza. W 2025 roku Prezes UODO wydał ogółem 2 092 decyzje administracyjne. Z tego 2 020 to decyzje w indywidualnych sprawach skargowych, 31 dotyczyło kontroli i naruszeń, 20 zapadło w ramach współpracy z organami nadzorczymi innych państw Unii, jedna dotyczyła kodeksu postępowania, a dwadzieścia — nałożenia administracyjnej kary pieniężnej. Kara pieniężna to zatem niecały jeden procent rozstrzygnięć organu. Cała reszta to sprawy, w których ktoś złożył skargę i dostał odpowiedź.

Kara średnia urosła prawie czterokrotnie

Najciekawsza liczba w tym sprawozdaniu nie jest w nim wprost zapisana. Trzeba ją policzyć.

W 2025 roku nałożono 32 kary na łączną kwotę 64 436 940,25 zł. To daje średnią 2 013 654 złote na jedną karę. W 2024 roku kar było 27, a ich suma wyniosła 13 907 740,96 zł — średnio 515 102 złote. Średnia kara wzrosła zatem niemal czterokrotnie, przy wzroście liczby kar o zaledwie 18,5 procent. Urząd sam podaje, że łączna kwota kar poszła w górę o 363 procent.

Te dwie dynamiki — 18,5 procent więcej decyzji karnych i 363 procent więcej pieniędzy — mówią o strategii organu więcej niż niejeden komunikat prasowy. UODO nie rozsiewa kar szerzej. UODO trafia mocniej w mniejszą liczbę spraw. Rok 2025 i pierwsza połowa 2026 przyniosły rozstrzygnięcia, których wcześniej w polskiej praktyce nie było: prawie pięć milionów złotych wobec Fortum w sprawie danych produkcyjnych w środowisku testowym, jedenaście milionów wobec DPD Polska za łańcuch podwykonawców przetwarzania, blisko sześć milionów wobec Glovo za skanowanie dowodów kurierów. Kilka takich decyzji wystarczy, by przesunąć średnią o rząd wielkości.

Trzeba przy tym pamiętać, jak liczy się wysokość kary. Art. 83 ust. 2 RODO każe organowi uwzględnić między innymi charakter, wagę i czas trwania naruszenia, umyślność lub niedbalstwo, działania podjęte w celu zminimalizowania szkody, stopień współpracy z organem oraz — co w polskiej praktyce ostatnich dwóch lat okazało się szczególnie dotkliwe — wcześniejsze naruszenia tego samego administratora. To znaczy, że organizacja, która raz dostała upomnienie i nie wyciągnęła z niego wniosków, wchodzi w kolejne postępowanie z gorszej pozycji niż taka, która trafia przed organ po raz pierwszy. Upomnienie jest darmowe tylko wtedy, gdy się je wykona.

Praktyczny wniosek dla zarządu jest niewygodny, ale prosty. Rachunek „prawdopodobieństwo kary razy jej wysokość" przestał być korzystny dla dużych organizacji przetwarzających dane na dużą skalę. Prawdopodobieństwo pozostało niewielkie. Wysokość — już nie. A ponieważ art. 83 ust. 5 RODO wiąże górny pułap z obrotem grupy, a nie spółki, sam fakt bycia częścią większej struktury zmienia arytmetykę bez żadnego działania po stronie administratora.

Zgłoszenie naruszenia to nie jest samodonos

Zestawmy dwie liczby, które w sprawozdaniu stoją w oddalonych od siebie rozdziałach. Naruszeń zgłoszono 22 435. Decyzji o karze pieniężnej zapadło 20. Nawet gdyby wszystkie kary wynikały ze zgłoszonych naruszeń — a tak nie jest, część wzięła się z kontroli i ze skarg — proporcja wynosiłaby mniej więcej jedną karę na tysiąc sto zgłoszeń.

To jest odpowiedź na najczęstsze pytanie, jakie pada w polskich firmach i urzędach w dniu incydentu: „czy zgłaszając naruszenie, sami się nie wsypiemy". Statystyka mówi jednoznacznie, że nie. Prezes UODO sam interpretuje wzrost liczby zgłoszeń jako dowód rosnącej świadomości administratorów, a nie jako dowód rosnącej liczby wpadek. Zgłoszenie jest wykonaniem obowiązku z art. 33 ust. 1 RODO, a nie przyznaniem się do winy. Winą — i to samodzielną, odrębnie sankcjonowaną — jest dopiero niezgłoszenie.

Statystyka nie zwalnia jednak z drugiego, znacznie bardziej kosztownego obowiązku. Art. 34 RODO nakazuje zawiadomić o naruszeniu same osoby, których dane dotyczą, jeżeli ryzyko dla ich praw i wolności jest wysokie. Ten obowiązek nie ma progu wielkości podmiotu ani progu liczby rekordów, a przy danych o zdrowiu — jak pokazała sierpniowa sprawa dostawcy dokumentacji medycznej — ryzyko wysokie przyjmuje się właściwie z definicji. Zgłoszenie do organu jest formalnością na formularzu. Zawiadomienie kilkuset pacjentów albo kilku tysięcy rodziców jest operacją logistyczną, którą trzeba mieć przygotowaną wcześniej, bo w trakcie kryzysu nie da się jej wymyślić.

Warto przy tym pamiętać o art. 33 ust. 5 RODO, o którym w praktyce zapomina się najczęściej. Administrator dokumentuje wszystkie naruszenia, także te, których nie zgłosił, wraz z okolicznościami, skutkami i podjętymi działaniami naprawczymi. Rejestr naruszeń, w którym za cały rok nie ma ani jednego wpisu, nie dowodzi, że w organizacji nic się nie wydarzyło. Dowodzi, że nikt nie klasyfikował zdarzeń. Kontroler czyta to natychmiast — a lipcowa kara dla jednoosobowej kancelarii podatkowej pokazała, że wielkość podmiotu nie jest tu żadną tarczą.

Katalog naruszeń to katalog procesów, nie technologii

Sprawozdanie wymienia najczęściej zgłaszane rodzaje naruszeń w określonej kolejności, i ta kolejność jest w tym dokumencie chyba najważniejszą informacją operacyjną. Na czele: błędnie zaadresowana korespondencja. Dalej: udostępnienie danych niewłaściwej osobie, nieprawidłowa anonimizacja danych lub ich niezamierzona publikacja, zagubienie korespondencji. Dopiero za nimi pojawiają się nieuprawniony dostęp do baz danych, kradzież nośnika i złośliwe oprogramowanie ingerujące w poufność, integralność lub dostępność danych.

Cztery pierwsze pozycje mają wspólną cechę: żadna z nich nie jest awarią technologii. Wszystkie są awariami procesu. Koperta z niewłaściwym adresem, załącznik wysłany do złego odbiorcy, skan z czarnym prostokątem narysowanym nad żywą warstwą tekstu, teczka zostawiona w tramwaju. To nie są zdarzenia, którym zapobiega się kupnem systemu klasy EDR. To są zdarzenia, którym zapobiega się procedurą, szablonem, drugą parą oczu i szkoleniem — czyli pozycjami, które w budżecie bezpieczeństwa zwykle przegrywają z licencjami.

W praktyce Fib.Code widać to co miesiąc. Organizacja, która wydała sześciocyfrową kwotę na warstwę techniczną, wywraca się na pliku PDF, w którym anonimizacja została zrobiona graficznie zamiast trwale, i tekst wraca po zaznaczeniu i wklejeniu do notatnika. Kara dla Burmistrza Miasta i Gminy Myślenice za dane w Biuletynie Informacji Publicznej oraz sierpniowe upomnienie dla Prezydenta Wejherowa za rozesłanie pisma z danymi wnioskodawcy to dwa warianty tego samego mechanizmu: informacja poszła tam, gdzie nie miała iść, i nie zatrzymał jej żaden formalny punkt kontrolny.

Skarga obywatela jest dziś głównym wejściem do postępowania

Skoro 2 020 z 2 092 decyzji zapadło w sprawach skargowych, to znaczy, że 96 procent rozstrzygnięć organu ma jedno źródło: kogoś, kto się poskarżył. Nie audyt, nie donos konkurencji, nie wpadka medialna — obywatel z pretensją i formularzem.

Sprawozdanie wylicza, czego te skargi najczęściej dotyczyły, i tę listę można potraktować dosłownie jako gotowy rejestr ryzyk. Udostępnianie danych na stronie Biuletynu Informacji Publicznej. Udostępnianie danych w korespondencji e-mailowej. Wysyłanie korespondencji do nieuprawnionego adresata. Przetwarzanie danych z wykorzystaniem monitoringu wizyjnego. Przetwarzanie w związku z windykacją oraz w celach marketingowych. Minimalizacja danych dotyczących dziecka. Przetwarzanie przez banki informacji objętych tajemnicą bankową na potrzeby oceny zdolności kredytowej i udostępnianie tych danych innym podmiotom. Przetwarzanie danych na potrzeby wystawienia recept. I wreszcie: udostępnianie przez pracodawcę danych o stanie zdrowia pracownika jego współpracownikom.

Ostatnia pozycja zasługuje na osobne zdanie, bo pojawia się w niemal każdej organizacji i niemal nigdy nie jest ujęta w rejestrze czynności przetwarzania. Informacja, że ktoś jest na zwolnieniu „bo miał zabieg", przekazana zespołowi w dobrej wierze przez przełożonego, to przetwarzanie danych z art. 9 RODO bez podstawy prawnej. Kosztuje zero złotych, nie wymaga żadnego systemu i wystarcza do skutecznej skargi.

W szkolnictwie sprawozdanie odnotowuje trzy powtarzające się zarzuty: ujawnianie informacji o dzieciach, przekazywanie danych przez dzienniki elektroniczne i publikowanie wizerunku uczniów. Do tej ostatniej sprawy zaraz wrócimy, bo tego samego dnia urząd wypowiedział się o niej osobno.

Plan kontroli przewiduje, kto dostanie wizytę

Z 76 kontroli przeprowadzonych w 2025 roku 41 wynikało z przyjętego planu kontroli sektorowych. Pięć miało źródło w zgłoszonych naruszeniach, pięć dotyczyło przetwarzania w wielkoskalowych systemach Unii Europejskiej, w tym na podstawie art. 34 ustawy z 24 sierpnia 2007 r. o udziale Rzeczypospolitej Polskiej w Systemie Informacyjnym Schengen oraz Wizowym Systemie Informacyjnym. Pozostałe 25 kontroli wzięło się z informacji o nieprawidłowościach, które do urzędu dotarły inną drogą — najczęściej z mediów i ze skarg. Osobno Prezes UODO przeprowadził 20 sprawdzeń stosowania art. 11 ust. 1 ustawy o ochronie danych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości.

Ponad połowa kontroli była więc przewidywalna z wyprzedzeniem, bo plan sektorowy na dany rok jest publikowany. Plan na 2026 rok Prezes UODO ogłosił 8 stycznia; obejmuje między innymi monitoring wizyjny w podmiotach leczniczych ze szczególnym uwzględnieniem danych dzieci, platformy dostawcze i pośrednictwa online, podmioty marketingowe oraz wielkoskalowe systemy unijne. Jeżeli organizacja mieści się w którymkolwiek z tych obszarów, pytanie nie brzmi „czy przyjdą", tylko „co znajdą".

Jest jeszcze jeden wskaźnik, który w sprawozdaniu łatwo przeoczyć, a który działa jak sygnał wyprzedzający. W 2025 roku Prezes UODO wystosował 43 wystąpienia z wnioskami do różnych podmiotów, wobec 14 rok wcześniej — trzykrotnie więcej. Dotyczyły monitoringu wizyjnego w placówkach oświatowych, przechowywania odcisków palców w dowodach osobistych, incydentów przy doręczaniu przesyłek pocztowych, nieuprawnionego korzystania z bazy PESEL przez funkcjonariuszy Straży Granicznej, zagubionych bloczków mandatowych i notatników służbowych policjantów, zatrzymania dokumentacji medycznej pacjentek oraz ujawniania danych przy dotacjach dla związków sportowych. Wystąpienie nie jest karą. Jest zapowiedzią, że organ przygląda się danemu zjawisku i będzie do niego wracał. Sektor, który dostał wystąpienie, ma jeszcze czas. Sektor, który dostał decyzję, już go nie ma.

Oświata: dwa komunikaty tego samego dnia

Nie jest przypadkiem, że sprawozdanie i stanowisko w sprawie e-Dziennika ukazały się 1 września w odstępie półtorej godziny. Prezes UODO odniósł się w tym drugim dokumencie do ustawy z 31 lipca 2026 r. o zmianie ustawy — Prawo oświatowe oraz ustawy o systemie informacji oświatowej, zawetowanej przez Prezydenta RP. Poparł ideę publicznej, bezpłatnej dokumentacji szkolnej, ale postawił trzy warunki i jedno ostrzeżenie.

Warunki: pełna i transparentna ocena skutków dla ochrony danych obejmująca zarówno funkcjonalność systemu, jak i podstawy prawne jego działania; realizacja zasady „privacy by design" w szczególności w zakresie niezbędnego zakresu danych; precyzyjne ustalenie ról w procesach przetwarzania. Ostrzeżenie: konsolidacja danych oświatowych w jednej centralnej bazie tworzy klasyczny single point of failure i eksponuje wrażliwe informacje o milionach osób objętych obowiązkiem szkolnym na incydenty o skali masowej.

Najmocniejsze zdanie tego stanowiska jest jednak wtrącone mimochodem. Prezes UODO stwierdza, że obecne komercyjne rozwiązania o analogicznej funkcjonalności często nie zapewniają odpowiedniej ochrony danym, że wpływają na nie liczne skargi obywateli, a kontrola w jednym z takich podmiotów wykazała nieprawidłowości. Mowa o dostawcy dziennika elektronicznego — czyli o podmiocie przetwarzającym, z którym umowę powierzenia ma podpisaną kilka tysięcy szkół, każda występująca we własnym imieniu jako odrębny administrator.

W tym samym sprawozdaniu jest jeszcze jeden wątek oświatowy, który warto przeczytać uważnie. W 2025 roku Prezes UODO złożył osiem zawiadomień o podejrzeniu popełnienia przestępstwa. To, które wzbudziło największe zainteresowanie opinii publicznej, dotyczyło uczniów szkoły podstawowej, którzy przy użyciu aplikacji wykorzystującej sztuczną inteligencję wygenerowali zdjęcia nagiej koleżanki. Dziewczynka miała mniej niż piętnaście lat, a prawdopodobieństwo jej identyfikacji było wysokie. Zawiadomienie oparto w szczególności na art. 107 ust. 1 ustawy o ochronie danych osobowych.

Ta sprawa jest miniaturą całego problemu, o którym mówi stanowisko w sprawie e-Dziennika. Narzędzie było darmowe, powszechnie dostępne i nie wymagało żadnych kompetencji technicznych. Szkoła nie kupiła go, nie wdrożyła i nie mogła go zablokować. A jednak to szkoła jest miejscem, w którym takie zdarzenie ujawnia się jako pierwsze i w którym ktoś musi je sklasyfikować, zgłosić i zawiadomić rodziców. Placówka oświatowa, która nie ma procedury reagowania na incydent z udziałem generatywnej sztucznej inteligencji, nie ma jej dlatego, że nikt jej takiej procedury nie kazał napisać — a nie dlatego, że ryzyko jest teoretyczne.

To dokładnie ta sama struktura, którą opisywaliśmy przy wycieku u dostawcy elektronicznej dokumentacji medycznej MyDr i przy wycieku z systemu rezerwacyjnego Hotres: jeden procesor, tysiące administratorów, obowiązki z art. 33 i 34 RODO rozproszone na tysiące adresatów, z których żaden nie ma pełnej wiedzy o zdarzeniu. Dyrektor szkoły, który dziś nie potrafi wskazać, w jakim terminie i jakim kanałem dostawca dziennika zawiadomi go o naruszeniu, jest w tej samej sytuacji, w której w sierpniu znalazło się dwanaście tysięcy placówek medycznych. Klauzula z art. 28 ust. 3 lit. f RODO, przepisana na konkretne godziny i imienny punkt kontaktowy, kosztuje jedno spotkanie z dostawcą. Jej brak kosztuje znacznie więcej.

Sprawozdanie czyta się dziś razem z kalendarzem NIS-2

Sprawozdanie opisuje rok 2025, ale czytamy je w konkretnym momencie 2026 roku. Od 4 września do 3 października 2026 zostało dwadzieścia dziewięć dni. To termin, w którym podmioty objęte znowelizowaną ustawą o krajowym systemie cyberbezpieczeństwa, wdrażającą dyrektywę NIS-2, muszą się samodzielnie zidentyfikować i złożyć wniosek o wpis do wykazu podmiotów kluczowych i ważnych.

Zbieg tych dwóch porządków jest w praktyce źródłem największego zamieszania. RODO liczy naruszenia ochrony danych osobowych i daje na zgłoszenie 72 godziny od stwierdzenia. Ustawa o krajowym systemie cyberbezpieczeństwa liczy incydenty i wymaga wczesnego ostrzeżenia w 24 godziny, zgłoszenia właściwego w 72 godziny i raportu końcowego w miesiąc. To dwa różne zegary, dwa różne organy i dwie różne definicje zdarzenia — a bardzo często jeden i ten sam incydent. Organizacja, która ma procedurę tylko pod jeden z nich, dowie się o tym w najgorszym możliwym momencie.

Do tego dochodzi element, którego w RODO nie ma w ogóle: od 3 kwietnia 2026 roku kierownik podmiotu odpowiada osobiście, a kara może sięgnąć 300 procent jego wynagrodzenia. Statystyka UODO mówi, że kara pieniężna z RODO to niecały jeden procent decyzji organu. Ustawa o krajowym systemie cyberbezpieczeństwa nie oferuje takiej pociechy, bo nie zaczyna od skargi obywatela, tylko od obowiązku rejestracyjnego z twardą datą.

Jak przerobić sprawozdanie na własną listę zadań

Sprawozdanie liczy kilkaset stron i nikt przy zdrowych zmysłach nie przeczyta go w całości. Nie trzeba. Wystarczy potraktować je jak listę kontrolną i przejść przez pięć ruchów.

Pierwszy: wziąć katalog najczęstszych naruszeń i sprawdzić, ile pozycji z tej listy fizycznie może się wydarzyć w naszej organizacji. Jeżeli wysyłamy korespondencję papierową, pierwsza pozycja nas dotyczy. Jeżeli publikujemy cokolwiek w BIP-ie, dotyczy nas trzecia.

Drugi: otworzyć rejestr naruszeń z art. 33 ust. 5 i policzyć wpisy za ostatnie dwanaście miesięcy. Zero wpisów przy dodatnim wyniku pierwszego kroku oznacza, że problemem nie są naruszenia, tylko ich klasyfikacja.

Trzeci: zestawić listę tematów skargowych ze sprawozdania z własnym rejestrem czynności przetwarzania z art. 30 RODO. Każdy temat, który występuje w rzeczywistości, a nie występuje w rejestrze, jest luką — i to luką, którą kontroler znajduje w ciągu pierwszej godziny.

Czwarty: sprawdzić w planie kontroli sektorowych na 2026 rok, czy nasz sektor jest na liście, i przeczytać opis obszaru dosłownie, bo opis jest jednocześnie zakresem przyszłego protokołu.

Piąty: wypisać wszystkich dostawców, którzy przetwarzają dane w naszym imieniu, i przy każdym odpowiedzieć na jedno pytanie — w ile godzin i na jaki adres poinformuje nas o naruszeniu. Jeżeli odpowiedź brzmi „bez zbędnej zwłoki", to znaczy, że odpowiedzi nie ma.

Dlaczego z Fib.Code przy wnioskach ze sprawozdania UODO

Fib.Code łączy trzy kompetencje, które w tej sprawie muszą działać razem: prawną — znajomość RODO, ustawy o ochronie danych osobowych i orzecznictwa, w tym linii wypracowanej przez sądy administracyjne i Trybunał Sprawiedliwości; techniczną — audyt zabezpieczeń, kontrola dostępu, logowanie zdarzeń, testy skuteczności; i organizacyjną — procedury, rejestry, szkolenia i realne przypisanie odpowiedzialności do imion i nazwisk. Sprawozdanie Prezesa UODO pokazuje, że rozdzielenie tych trzech warstw jest właśnie tym miejscem, w którym organizacje przegrywają.

Pracujemy według trzech zasad. Po pierwsze, dowód przed dokumentem — polityka, która nie ma za sobą logu, protokołu albo listy obecności, jest w postępowaniu bezwartościowa. Po drugie, proces przed narzędziem — cztery najczęstsze kategorie naruszeń w Polsce to błędy obiegu informacji, nie awarie systemów, więc naprawiamy je w tej kolejności. Po trzecie, jeden rejestr, dwa zegary — incydent klasyfikujemy równolegle pod RODO i pod ustawę o krajowym systemie cyberbezpieczeństwa, bo w praktyce to zwykle to samo zdarzenie.

Produktem końcowym nie jest opinia prawna do segregatora, tylko zestaw działających artefaktów: zaktualizowany rejestr czynności przetwarzania, uzupełniony rejestr naruszeń, przepisane klauzule powierzenia z konkretnymi terminami, procedura klasyfikacji zdarzenia z progiem decyzyjnym oraz przećwiczony scenariusz zgłoszenia — do Prezesa UODO i do właściwego CSIRT-u.

Co zrobić w ten poniedziałek ze sprawozdaniem UODO

Jedno spotkanie, godzina, trzy osoby: kierownik jednostki, inspektor ochrony danych i osoba odpowiedzialna za IT. Na stole trzy dokumenty: katalog najczęstszych naruszeń ze sprawozdania za 2025 rok, własny rejestr naruszeń z art. 33 ust. 5 i lista dostawców przetwarzających dane. Trzy pytania do zamknięcia w tej godzinie. Które z wymienionych przez UODO kategorii naruszeń mogą u nas wystąpić i czy mamy na nie punkt kontrolny. Ile zdarzeń wpisaliśmy do rejestru w ostatnim roku i czy ta liczba jest wiarygodna. Który dostawca zawiadomi nas o naruszeniu w mierzalnym terminie, a który tylko „bez zbędnej zwłoki". Czwarte pytanie — czy złożyliśmy wniosek o wpis do wykazu podmiotów kluczowych i ważnych — zadajemy tylko wtedy, gdy termin 3 października jeszcze nas dotyczy. Zostało na to niespełna trzydzieści dni.

Zapraszamy do kontaktu: l.grabowski@fibcode.com | fibcode.com/pl/kontakt. Bezpośrednio powiązane materiały: Kara UODO dla Myślenic — dane w BIP i kontrole sektorowe, Dane wnioskodawcy o informację publiczną — upomnienie UODO, Wyciek u MyDr — dostawca dokumentacji medycznej i dane pacjentów, Samoidentyfikacja NIS-2 — wpis do wykazu cyberbezpieczeństwa — cztery teksty, które pokazują, jak statystyka ze sprawozdania przekłada się na konkretne postępowania i terminy.