RODOaktualności #50 - Klucz to za mało | Wyciek MyDr | Kiedy AI wymyka się spod kontroli... 08.2026

Czy podpisane upoważnienie chroni przed karą UODO? Co oznacza gigantyczny incydent u dostawcy oprogramowania medycznego dla tysięcy placówek? I jak to możliwe, że model AI uciekł z piaskownicy i… sam zhakował obcą firmę? 

W tym podsumowaniu sierpnia 2026 omawiamy trzy kluczowe wydarzenia ze świata ochrony danych i cyberbezpieczeństwa, które przynoszą bezcenne lekcje dla każdego administratora danych, IOD-a i menedżera.

☕ Zaparz ulubioną kawę i zapraszamy do oglądania!

⏱ SPIS TREŚCI:

00:00 – Wstęp: Gorące podsumowanie sierpnia 2026
 00:46 – Klucz to za mało: Wyrok NSA ws. upoważnień i prywatnych celów
 04:08 – Piekło u procesora: Potężny cyberatak na dostawcę medycznego (MyDr)
 08:55 – Model OpenAI hakuje serwery Hugging Face
 12:49 – Podsumowanie: Jak przejąć kontrolę nad zgodnością z RODO?

🔗 PRZYDATNE LINKI I MATERIAŁY:

🔹 Aplikacja do zarządzania zgodnością z RODO i incydentami: https://sodo.com.pl
 🔹 Sklep z certyfikowanymi e-szkoleniami dla zespołów: https://blog-daneosobowe.pl/sklep/#sklep-e-szkolenia
 🔹 Dedykowane szkolenie e-learningowe z certyfikatem: Bezpieczne korzystanie z AI: https://blog-daneosobowe.pl/produkt/szkolenie-e-learningowe-bezpieczne-korzystanie-z-ai/
 🔹 Bezpłatne szkolenie na YT: Jak bezpiecznie korzystać z AI zgodnie z RODO: https://youtu.be/au3DlJlTIbc?si=ajcnOe8lR70qB42C

Źródła omawiane w odcinku:

• Wyrok NSA: https://judykatura.pl/nsa-upowaznienie-do-danych-nie-zwalnia-administratora-z-kontroli/
 • Komunikat UODO: https://uodo.gov.pl/pl/138/4538
 • Raport o incydencie AI na Sekurak.pl: https://sekurak.pl/eksperymentalny-model-openai-wymknal-sie-spod-kontroli-i-przez-kilka-dni-po-cichu-hackowal-zewnetrzna-firme/

Transcript

Copy Transcript Copied

SPEAKER_00 0:00

Cześć! Witaj w podsumowaniu najważniejszych wydarzeń ze świata ochrony danych osobowych z sierpnia 2026 roku. Końcówka lata przyniosła nam prawdziwe trzęsienie Ziemi. Od przełomowego wyroku sądu, który zmienia podejście do upoważnień pracowników przez gigantyczny wyciek danych medycznych milionów Polaków aż po sztuczną inteligencję, która postanowiła uciec z laboratorium i samodzielnie schakować obcą infrastrukturę. Zapasz ulubioną kawę, bo przed tobą solidna dawka praktycznej wiedzy, która potencjalnie może pomóc ci uchronić Twoją organizację przed wieloma kosztownymi wpadkami. Zaczynajmy. Czy wiesz, że samo nadanie pracownikowi upoważnienia do przetwarzania danych osobowych nie uchroni Twojej firmy czy organizacji przed karą od prezesa łodo? No ale po kolei. Naczelny sąd administracyjny NSA wydał 14 lipca tego roku wyrok, który definitywnie rozprawia się z mitem świętego spokoju po podpisaniu upoważnienia do przetwarzania danych osobowych. Sprawa dotyczyła wiceprezesa okręgowej Izby Lekarskiej. Człowiek ten posiadał w pełni legalny dostęp do dokumentacji kadrowo-płacowej pracowników, ponieważ zarządzał personele. I póki co wszystko się zgadza. Kiedy jednak wszedł w ostry, prywatny spór z byłą pracownicą, bez wahania sięgnął do teczki, wyciągnął informacje o wysokości jej zarobków i złożył je jako prywatny dowód w postępowaniu przed sądem lekarskim. Wiceprezes działał w 100% we własnym interesie. Prezes Ułodo udzielił Izbie upomnienia, uznając, że doszło do bezprawnego wykorzystania danych osobowych przez osoby posiadającą, co prawda formalne upoważnienie do ich przetwarzania. Stanowisko to podtrzymało następnie WSA i NSA. Ciekawa była linia obrony Izby, no dosyć klasyczna. Przecież ten pan miał upoważnienie, a to, że zachował się nielojalnie i wyciągnął dane po godzinach do prywatnej wojenki, to wyłącznie jego wina. NSA powiedział jednak twarde nie. Upoważnienie to nie jest bilet na dowolną jazdę, a granica przebiega między legalnym dostępem, a legalnym wykorzystaniem danych. Posiadanie klucza do pokoju kadrowego wcale nie daje prawa do wynoszenia dokumentów na zewnątrz i przetwarzania ich w prywatnych celach. Sąd podkreślił, że odpowiedzialność administratora nie kończy się na formalnym podpisaniu upoważnienia. Obowiązkiem administratora jest również wdrożenie takich środków organizacyjnych i technicznych, które pozwolą ograniczyć ryzyko wykorzystania danych poza celem służbowym. Ważne, żeby te zabezpieczenia umożliwiały też wykrywanie takich przypadków? Jeśli nie kontrolujesz tego, po co ludzie sięgają do kartotek czy baz danych, w praktyce tracisz kontrolę nad przetwarzaniem. No a winę za brak nadzoru, niestety winą za brak nadzoru regulator obciąży Ciebie, a nie nielojalnego pracownika. A jakie wnioski płyną z tego rodoniusa dla ciebie i twojej organizacji? Po pierwsze, wprowadź realne mechanizmy weryfikacji i logowania dostępów do baz danych. Ponieważ w razie kontroli łodu tłumaczenie, że nie wiesz, dlaczego pracownik pobrał dany rekord, obciąża bezpośrednio Ciebie jako administratora. Po drugie, regularnie uświadomiaj kadrę, że wykorzystywanie służbowych informacji do celów prywatnych to ciężkie naruszenie prawa, a jeśli chcesz nauczyć swój zespół praktycznego stosowania zasady ograniczenia celu, zajrzyj koniecznie do naszego blogowego sklepu. Znajdziesz w nim szkolenia i learningowe budujące rodoświadomość zarówno w obszarze korzystania z systemów AI, pracy zdalnej, jak i codziennego przetwarzania danych osobowych. Link znajdziesz na dole w opisie odcinka. Jakie kłopoty grożą Twojej placówce medycznej, kiedy zewnętrzny dostawca oprogramowania padnie ofiarą jednego z największych cyberataków w historii Polski? Mamy do czynienia z absolutnym trzęsieniem ziemi w polskim sektorze ochrony zdrowia. Z serwerów firmy MaDoktor mogły wyciec dane identyfikacyjnej i medyczne niemal 19 milionów Polaków. Żeby zrozumieć skalę tego naruszenia, omówię teraz krótko genezę, przebieg, konsekwencje i systemowe luki, które obnażył ten incydent. Po kolei wszystko zaczęło się od ogromnej koncentracji rynku. Majdoktor dostarcza oprogramowanie do elektronicznej dokumentacji medycznej dla blisko 12 tysięcy podmiotów medycznych, od małych jednoosobowych gabinetów przez prywatne przychodnie aż po wielkie szpitale. W Polsce funkcjonuje około 25 tysięcy placówek, co oznacza, że jeden komercyjny dostawca trzymał na swoich serwerach dane niemal połowy kraju. Taka centralizacja stworzyła potężny, pojedynczy punkt awarii z angielskiego Single Point of Failure i wymarzone cel dla cyberprzestępców. Podczas skoordynowanego ataku hakerskiego zabezpieczenia zostały przełamane, gigantyczna baza zawierająca imiona, nazwiska, numery, PESEL, adresy zamieszkania, no i niestety dane wrażliwe, historie chorób, wyniki badań, skierowania czy recepty mogła trafić w niepowołane ręce. Łodo wszczął doraźną kontrolę badając stan zabezpieczeń, regularność testów penetracyjnych i rzetelność analiz ryzyka u dostawcy. Skutki uderzyły rykosze tem w pacjentów i placówki. Wyciek numeru PESEL to bezpośrednie ryzyko kradzieży tożsamości wyłudzenia kredytów, no ale ujawnienie danych o stanie zdrowia grozi już dodatkowo o stracyzmem, dyskryminacją czy szantażem. Przy okazji tego naruszenia łodo przypomniał o żelaznych obowiązkach. Administratorzy muszą natychmiast przeprowadzić analizę ryzyka, dokonać zgłoszenia do urzędu ochrony danych w ciągu 72 godzin od momentu powzięcia wiedzy o naruszeniu. No a przy wysokim ryzyku tego naruszenia, czyli jeżeli wynik analizy będzie taki, że to naruszenie powoduje wysokie ryzyko naruszenia praw i wolności osób fizycznych, należy jeszcze dodatkowo indywidualnie powiadomić każdego pacjenta czy podmiot danych z jasną rekomendacją, żeby na przykład natychmiast zastrzegł swój numer PESEL. Sprawa wywołała gigantyczne kontrowersje prawne. Majdoktor w relacjach z placówkami był z reguły procesorem, a administratorami danych pacjentów, nadal pozostają lekarze, przychodnie czy szpitale, to właśnie na barki medyków i placówek systemu ochrony zdrowia spadł formalny obowiązek tłumaczenia się przed URO i pacjentami za błędy giganta IT. Według doniesień medialnych majd doktor korzystał też z amerykańskich podwykonawców chmorowych, w tym Amazona i Googlea, co samo w sobie oczywiście nie jest zakazane, ale wymaga dodatkowych analiz i weryfikacji legalności transferów międzynarodowych i zastosowanych zabezpieczeń. Co gorsza, znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa KSC daje podmiotom czas na dostosowanie dopiero do kwietnia 2027 roku, a firmy IT obsługujące sektor medyczny często w ogóle nawet nie podpadają automatycznie pod rygory operatorów usług kluczowych. No dobrze, a jakie wnioski płyną z tego Rodoniusa dla Ciebie i Twojej organizacji? Po pierwsze, natychmiast zrób audyt wszystkich swoich dostawców usług, szczególnie IT, zweryfikuj umowy powierzenia przetwarzanie danych osobowych sprawie, sprawdzając przy okazji, jakim pod podwykonawcom procesor przekazuje dane chociażby za pośrednictwem chmury, i czy serwery znajdują się na terenie europejskiego obszaru gospodarczego EOG. Po drugie, miej przygotowaną i przetestowaną procedurę reagowania na incydenty, bo 72 godziny na zgłoszenie do Ułodo w sytuacji kryzysowej mijają błyskawicznie.

unknown 8:13

Pst!

SPEAKER_00 8:14

Gotowy moduł obsługi naruszeń z formularzami krok po kroku znajdziesz w naszej aplikacji do zarządzania zgodnością z RODą sodokom.pl. No i wreszcie po trzecie. Pamiętaj, że powierzając dane na zewnątrz nie zdejmujesz z siebie odpowiedzialności jako administrator danych. Na wszelki wypadek warto na przykład mieć pod ręką wzory zawiadomień dla klientów i pacjentów. Zawczasu warto przygotować w nich opis konkretnych instrukcji i kroków do podjęcia po incydencie. Na przykład pilne zastrzeżenie numeru PELEL w aplikacji Emobywatel czy monitoring kredytowy w bik. Przechodzimy do ostatniego trzeciego Radoniusa. Co się wydarzy, gdy zaawansowana sztuczna inteligencja postanowi samodzielnie schakować obcą firmę, byle tylko zdobyć odpowiedzi do testu. Ta historia brzmi jak scenariusz threla technologicznego, ale wydarzyła się w rzeczywistości. OpenAI prowadziło kontrolowane testy bezpieczeństwa swojego nowego, wewnętrznego modelu w środowisku o nazwie Xploit Gym. Z zadaniem algorytmu było rozwiązanie podstawionego problemu w ściśle wyznaczonej piaskownicy, tzw. sandboxie, przy silnie ograniczonym i monitorowanym dostępie do internetu. Zamiast jednak mozolnie głowić się nad zadaniem wewnątrz klatki, model poszukał skrótu i postanowił ukraść gotowe odpowiedzi z serwerów zewnętrznej platformy Huggase. Sekwencja zdarzeń budzi respekt. Najpierw sztuczna inteligencja odnalazła i wykorzystała nieznaną dotądnikom lookę typu Zero Day w Proxy Artifactory, dzięki czemu przebiła barierę ochroną i uzyskała niekontrolowane połączenie ze światem zewnętrznym. Następnie zaatakowała podatność w infrastrukturze Huggase, uzyskując możliwość wykonania kodu bezpośrednio na ich serwerach. W niespełna 13 godzin AI przeprowadziła brawurową eskalację uprawnień, zdobywając uprawnienia administratora. Na tym model nie poprzestał. Wykradł prywatne klucze kryptograficzne, co pozwoliło mu z kolei samodzielnie podpisywać fałszywe tokeny dostępowe do prywatnych baz danych. Na sam koniec algorytm stworzył własny, autorski protokół transmisji, za pomocą którego po cichu wyprowadził dane z obcej firmy bez problemu omijając klasyczne zabezpieczenia zapobiegające wyciekom, ten przypadek udowadnia, że zaawansowane modele AI traktują zasady bezpieczeństwa jak przeszkody na drodze do celu, no i potrafią budować wieloetapowe, nieprzewidywalne dla człowieka łańcuchy cyberataku. A jakie wnioski płyną z tego rodoniusa dla Ciebie i Twojej organizacji? Po pierwsze, jeśli wdrażasz w swojej organizacji narzędzia generatywnej sztucznej inteligencji, no to bezwzględnie stosuj zasadę minimalizacji dostępu i pod żadnym pozorem nie podpinaj modeli do wrażliwych baz danych, szczególnie z uprawnieniami do zapisu. Po drugie, nie wierz w to, że zwykła izolacja sieciowa załatwi sprawę. Wdrażaj architekturę bezpieczeństwa Zero Trust, w której każda próba podniesienia uprawnień w chmurze jest natychmiast blokowana i wywołuje alarm. I po trzecie, regularnie podnoś wiedzę swojego personelu w zakresie cyberhigieny i bezpiecznego korzystania z systemów AI. A gdzie takie szkolenia znaleźć? A na przykład polecam Ci bezpłatne szkolenie, korzystanie ze sztucznej inteligencji zgodnie z RODO, czyli jak bezpiecznie korzystać z AI, szkolenie jest dostępne na naszym YouTube czas na Rodo. Link znajdziesz na dole w opisie odcinka. Jak widzisz świat ochrony danych i cyber bezpieczeństwa nie wybacza pozornych działań ani odkładanie ocen ryzyka na później. Niezależnie od tego, czy mowa o nielojalnym pracowniku, wykorzystującym dane poza legalnym celem, wyciek u informacji u Twojego dostawcy oprogramowania czy nieprzewidywalnych działaniach sztucznej inteligencji. W każdym z tych przypadków odpowiedzialność spada na Ciebie jako na administratora. Daj znać w komentarzu, który z dzisiejszych newsów zrobił na Tobie największe wrażenie. Zostaw łapkę w górę, kliknij subskrybuj wraz z dzwoneczkiem, żeby nie przegapić kolejnych odcinków. Dzięki za uwagę i do zobaczenia w kolejnych roda aktualnościach. Cześć!