{"id":4824,"date":"2026-08-11T20:59:14","date_gmt":"2026-08-11T18:59:14","guid":{"rendered":"https:\/\/www.sycope.com\/?post_type=dictionary-item&#038;p=4824"},"modified":"2026-08-11T22:47:00","modified_gmt":"2026-08-11T20:47:00","slug":"rodo-gdpr","status":"publish","type":"dictionary-item","link":"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/rodo-gdpr","title":{"rendered":"RODO \/ GDPR"},"content":{"rendered":"<p><strong>RODO<\/strong> (Rozporz\u0105dzenie o Ochronie Danych Osobowych), po angielsku <strong>GDPR<\/strong> (General Data Protection Regulation), to unijne rozporz\u0105dzenie <code>2016\/679<\/code>, kt\u00f3re reguluje, jak organizacje mog\u0105 zbiera\u0107 i wykorzystywa\u0107 dane osobowe ludzi. Parlament Europejski przyj\u0105\u0142 je 27 kwietnia 2016 r., a obowi\u0105zuje od 25 maja 2018 r. we wszystkich krajach Unii Europejskiej. Jako rozporz\u0105dzenie dzia\u0142a wprost \u2014 nie trzeba go przepisywa\u0107 do prawa krajowego, cho\u0107 kraje mog\u0105 doda\u0107 w\u0142asne u\u015bci\u015blenia (w Polsce m.in. ustawa o ochronie danych osobowych z 2018 r.).<\/p>\n<h2>Czego dotyczy RODO i kogo obejmuje?<\/h2>\n<p>RODO chroni <strong>dane osobowe<\/strong> \u2014 czyli ka\u017cd\u0105 informacj\u0119 o konkretnej osobie lub o kim\u015b, kogo da si\u0119 rozpozna\u0107. To nie tylko imi\u0119 i nazwisko: tak\u017ce identyfikator, adres IP, dane o lokalizacji czy identyfikatory online. Osobno wyr\u00f3\u017cnia dane wra\u017cliwe (np. o zdrowiu, pochodzeniu, pogl\u0105dach, dane biometryczne), kt\u00f3re chroni surowiej (art. 9).<\/p>\n<p>Przepisy obowi\u0105zuj\u0105 szeroko (art. 3). Dotycz\u0105 firm i instytucji dzia\u0142aj\u0105cych w UE, ale te\u017c organizacji spoza Unii, je\u015bli oferuj\u0105 towary lub us\u0142ugi osobom w UE albo \u015bledz\u0105 ich zachowanie. RODO rozr\u00f3\u017cnia dwie role. <strong>Administrator<\/strong> decyduje, po co i jak przetwarza dane. <strong>Podmiot przetwarzaj\u0105cy<\/strong> robi to w imieniu administratora, na podstawie umowy powierzenia (art. 28) \u2014 tak dzia\u0142a np. dostawca chmury czy zewn\u0119trzna firma IT.<\/p>\n<h2>Jakie s\u0105 zasady przetwarzania danych wed\u0142ug art. 5 RODO?<\/h2>\n<p>Artyku\u0142 5 ustala siedem zasad. Administrator musi ich przestrzega\u0107 i umie\u0107 to wykaza\u0107:<\/p>\n<ol>\n<li><strong>Zgodno\u015b\u0107 z prawem, rzetelno\u015b\u0107 i przejrzysto\u015b\u0107<\/strong> \u2014 trzeba mie\u0107 podstaw\u0119 prawn\u0105, dzia\u0142a\u0107 uczciwie i jasno informowa\u0107 osob\u0119, co si\u0119 dzieje z jej danymi.<\/li>\n<li><strong>Ograniczenie celu<\/strong> \u2014 dane zbiera si\u0119 w konkretnym, z g\u00f3ry okre\u015blonym celu, a nie \u201ena wszelki wypadek&#8221;.<\/li>\n<li><strong>Minimalizacja danych<\/strong> \u2014 bierze si\u0119 tylko tyle danych, ile naprawd\u0119 potrzeba.<\/li>\n<li><strong>Prawid\u0142owo\u015b\u0107<\/strong> \u2014 dane maj\u0105 by\u0107 poprawne i w razie potrzeby aktualizowane.<\/li>\n<li><strong>Ograniczenie przechowywania<\/strong> \u2014 nie trzyma si\u0119 danych d\u0142u\u017cej, ni\u017c jest to potrzebne.<\/li>\n<li><strong>Integralno\u015b\u0107 i poufno\u015b\u0107<\/strong> \u2014 dane trzeba zabezpieczy\u0107 przed nieuprawnionym dost\u0119pem, utrat\u0105 i zniszczeniem.<\/li>\n<li><strong>Rozliczalno\u015b\u0107<\/strong> \u2014 administrator odpowiada za zgodno\u015b\u0107 i musi umie\u0107 j\u0105 udokumentowa\u0107.<\/li>\n<\/ol>\n<p>Rozliczalno\u015b\u0107 spina ca\u0142o\u015b\u0107. Nie wystarczy dzia\u0142a\u0107 zgodnie z prawem \u2014 trzeba to umie\u0107 udowodni\u0107: rejestrem czynno\u015bci przetwarzania (art. 30), ocenami skutk\u00f3w i politykami.<\/p>\n<h2>Jakie s\u0105 podstawy prawne przetwarzania danych (art. 6)?<\/h2>\n<p>Nie wolno przetwarza\u0107 danych \u201eot tak&#8221;. Ka\u017cde przetwarzanie musi opiera\u0107 si\u0119 na co najmniej jednej z sze\u015bciu podstaw z art. 6:<\/p>\n<ul>\n<li><strong>Zgoda<\/strong> \u2014 dobrowolna, konkretna, \u015bwiadoma i jednoznaczna; mo\u017cna j\u0105 wycofa\u0107 w ka\u017cdej chwili.<\/li>\n<li><strong>Wykonanie umowy<\/strong> \u2014 gdy dane s\u0105 potrzebne, by zrealizowa\u0107 umow\u0119 lub przygotowa\u0107 j\u0105 do zawarcia.<\/li>\n<li><strong>Obowi\u0105zek prawny<\/strong> \u2014 gdy przetwarzania wymaga prawo (np. przepisy podatkowe czy kadrowe).<\/li>\n<li><strong>\u017bywotne interesy<\/strong> \u2014 ochrona \u017cycia lub zdrowia cz\u0142owieka.<\/li>\n<li><strong>Zadanie w interesie publicznym<\/strong> lub w ramach sprawowania w\u0142adzy publicznej.<\/li>\n<li><strong>Prawnie uzasadniony interes<\/strong> administratora lub kogo\u015b trzeciego \u2014 o ile nie przewa\u017caj\u0105 nad nim prawa i wolno\u015bci osoby (wymaga to testu r\u00f3wnowagi).<\/li>\n<\/ul>\n<p>Dane szczeg\u00f3lnych kategorii (art. 9) maj\u0105 w\u0119\u017cszy zestaw przes\u0142anek \u2014 np. wyra\u017an\u0105 zgod\u0119, przepisy prawa pracy albo cele medyczne.<\/p>\n<h2>Jakie prawa przys\u0142uguj\u0105 osobie, kt\u00f3rej dane dotycz\u0105?<\/h2>\n<p>RODO daje ludziom konkretne prawa wobec swoich danych:<\/p>\n<ul>\n<li><strong>Prawo do informacji<\/strong> (art. 13\u201314) i <strong>dost\u0119pu<\/strong> do danych (art. 15).<\/li>\n<li><strong>Prawo do sprostowania<\/strong> b\u0142\u0119dnych danych (art. 16).<\/li>\n<li><strong>Prawo do usuni\u0119cia<\/strong> danych \u2014 tzw. \u201eprawo do bycia zapomnianym\u201d (art. 17).<\/li>\n<li><strong>Prawo do ograniczenia przetwarzania<\/strong> (art. 18).<\/li>\n<li><strong>Prawo do przenoszenia danych<\/strong> w czytelnym, powszechnie u\u017cywanym formacie (art. 20).<\/li>\n<li><strong>Prawo do sprzeciwu<\/strong> wobec przetwarzania, w tym wobec marketingu bezpo\u015bredniego (art. 21).<\/li>\n<li><strong>Prawo do niepodlegania decyzjom podejmowanym wy\u0142\u0105cznie automatycznie<\/strong>, w tym profilowaniu (art. 22).<\/li>\n<\/ul>\n<h2>Jakie s\u0105 obowi\u0105zki bezpiecze\u0144stwa wed\u0142ug art. 32 RODO?<\/h2>\n<p>Artyku\u0142 32 m\u00f3wi, \u017ce administrator i podmiot przetwarzaj\u0105cy musz\u0105 wdro\u017cy\u0107 <strong>odpowiednie \u015brodki techniczne i organizacyjne<\/strong> \u2014 dopasowane do tego, jak du\u017ce jest ryzyko. RODO wprost wymienia:<\/p>\n<ul>\n<li><strong>pseudonimizacj\u0119 i szyfrowanie<\/strong> danych osobowych,<\/li>\n<li>zdolno\u015b\u0107 do zapewnienia <strong>poufno\u015bci, integralno\u015bci, dost\u0119pno\u015bci i odporno\u015bci<\/strong> system\u00f3w,<\/li>\n<li>zdolno\u015b\u0107 do <strong>szybkiego przywr\u00f3cenia dost\u0119pu<\/strong> do danych po awarii lub incydencie,<\/li>\n<li>proces <strong>regularnego testowania i oceny<\/strong>, czy te \u015brodki naprawd\u0119 dzia\u0142aj\u0105.<\/li>\n<\/ul>\n<p>RODO nie narzuca konkretnych technologii. Stosuje podej\u015bcie oparte na ryzyku (risk-based) i ka\u017ce bra\u0107 pod uwag\u0119 stan wiedzy technicznej, koszt wdro\u017cenia oraz powag\u0119 zagro\u017ce\u0144 dla praw ludzi.<\/p>\n<h2>Jak dzia\u0142a zg\u0142aszanie narusze\u0144 ochrony danych?<\/h2>\n<p>Naruszenie ochrony danych (data breach) to incydent, w kt\u00f3rym dane zostaj\u0105 przypadkowo lub bezprawnie zniszczone, utracone, zmienione albo ujawnione osobie nieuprawnionej. RODO przewiduje tu dwie \u015bcie\u017cki:<\/p>\n<ul>\n<li><strong>Zg\u0142oszenie do organu nadzorczego<\/strong> (art. 33) \u2014 bez zb\u0119dnej zw\u0142oki, w miar\u0119 mo\u017cliwo\u015bci <strong>w ci\u0105gu 72 godzin<\/strong> od wykrycia naruszenia. Wyj\u0105tek: gdy jest ma\u0142o prawdopodobne, by naruszenie grozi\u0142o prawom i wolno\u015bciom os\u00f3b. W Polsce organem jest <strong>PUODO<\/strong> (Prezes Urz\u0119du Ochrony Danych Osobowych).<\/li>\n<li><strong>Zawiadomienie samych os\u00f3b<\/strong>, kt\u00f3rych dane dotycz\u0105 (art. 34) \u2014 gdy naruszenie mo\u017ce powodowa\u0107 <strong>wysokie ryzyko<\/strong> dla ich praw i wolno\u015bci.<\/li>\n<\/ul>\n<p>Te 72 godziny maj\u0105 realne konsekwencje techniczne. \u017beby zd\u0105\u017cy\u0107, trzeba umie\u0107 szybko <strong>wykry\u0107 incydent i oceni\u0107 jego zasi\u0119g<\/strong> \u2014 to ju\u017c nie jest tylko sprawa prawna, lecz operacyjna. Tu RODO styka si\u0119 wprost z monitoringiem bezpiecze\u0144stwa.<\/p>\n<h2>Kim jest inspektor ochrony danych (DPO)?<\/h2>\n<p>Inspektor ochrony danych (Data Protection Officer, IOD\/DPO) to osoba, kt\u00f3ra pilnuje, by przetwarzanie by\u0142o zgodne z RODO. Trzeba go powo\u0142a\u0107 (art. 37), gdy: dane przetwarza organ lub podmiot publiczny; g\u0142\u00f3wna dzia\u0142alno\u015b\u0107 polega na regularnym, systematycznym monitorowaniu os\u00f3b na du\u017c\u0105 skal\u0119; albo g\u0142\u00f3wna dzia\u0142alno\u015b\u0107 polega na przetwarzaniu na du\u017c\u0105 skal\u0119 danych wra\u017cliwych. DPO dzia\u0142a niezale\u017cnie, doradza i jest punktem kontaktowym dla organu nadzorczego.<\/p>\n<h2>Jakie s\u0105 kary za naruszenie RODO?<\/h2>\n<p>RODO przewiduje administracyjne kary pieni\u0119\u017cne w dw\u00f3ch progach (art. 83):<\/p>\n<ul>\n<li><strong>Pr\u00f3g ni\u017cszy: do 10 mln EUR lub 2% rocznego \u015bwiatowego obrotu<\/strong> (liczy si\u0119 wy\u017csza kwota) \u2014 np. za braki w rejestrach, s\u0142abe zabezpieczenia czy uchybienia podmiotu przetwarzaj\u0105cego.<\/li>\n<li><strong>Pr\u00f3g wy\u017cszy: do 20 mln EUR lub 4% rocznego \u015bwiatowego obrotu<\/strong> (liczy si\u0119 wy\u017csza kwota) \u2014 za z\u0142amanie zasad przetwarzania, brak podstawy prawnej, naruszenie praw os\u00f3b czy zasad transferu danych poza EOG.<\/li>\n<\/ul>\n<p>Najwy\u017csza dotychczas kara na\u0142o\u017cona na podstawie RODO wynios\u0142a <strong>1,2 mld EUR<\/strong> i zosta\u0142a na\u0142o\u017cona w 2023 r. na Meta Platforms Ireland w zwi\u0105zku z przekazywaniem danych u\u017cytkownik\u00f3w z UE\/EOG do USA. Do innych wysokich kar nale\u017c\u0105 m.in. Amazon (746 mln EUR), Meta\/Instagram (405 mln EUR), TikTok (345 mln EUR) i WhatsApp (225 mln EUR). Poza karami osoba poszkodowana ma te\u017c prawo do odszkodowania za szkod\u0119 (art. 82).<\/p>\n<h2>Jak RODO ma si\u0119 do ISO 27001 i NIS2?<\/h2>\n<p>RODO m\u00f3wi, <em>co<\/em> trzeba osi\u0105gn\u0105\u0107 (bezpiecze\u0144stwo danych dopasowane do ryzyka), ale nie m\u00f3wi, <em>jak<\/em>. <strong>ISO\/IEC 27001<\/strong> daje gotowe ramy zarz\u0105dzania bezpiecze\u0144stwem informacji (ISMS) i cz\u0119sto s\u0142u\u017cy do spe\u0142nienia wymog\u00f3w art. 32. Sam certyfikat nie jest jednak formalnym dowodem zgodno\u015bci z RODO \u2014 to mocny argument przy wykazywaniu rozliczalno\u015bci, ale nie zwolnienie z odpowiedzialno\u015bci.<\/p>\n<p><strong>Dyrektywa <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/nis2\">NIS2<\/a><\/strong> reguluje cyberbezpiecze\u0144stwo podmiot\u00f3w kluczowych i wa\u017cnych i nak\u0142ada w\u0142asne obowi\u0105zki, w tym zg\u0142aszanie incydent\u00f3w. NIS2 i RODO mog\u0105 patrze\u0107 na ten sam incydent z r\u00f3\u017cnych stron: NIS2 chroni ci\u0105g\u0142o\u015b\u0107 i bezpiecze\u0144stwo us\u0142ug, RODO \u2014 prawa os\u00f3b, kt\u00f3rych dane wyciek\u0142y. W praktyce jeden incydent mo\u017ce wymaga\u0107 dw\u00f3ch osobnych zg\u0142osze\u0144.<\/p>\n<h2>Dlaczego RODO jest istotne dla monitoringu i bezpiecze\u0144stwa sieci?<\/h2>\n<p>RODO to akt prawny, ale ma bardzo konkretne skutki techniczne. Zasada integralno\u015bci i poufno\u015bci (art. 5), \u015brodki z art. 32 i 72-godzinny termin zg\u0142oszenia (art. 33) wymagaj\u0105, \u017ceby umie\u0107 <strong>wykry\u0107 naruszenie, sklasyfikowa\u0107 je i oceni\u0107 jego zasi\u0119g<\/strong> niemal na bie\u017c\u0105co. Pomagaj\u0105 w tym telemetria sieciowa, logi dost\u0119pu i monitoring ruchu \u2014 pozwalaj\u0105 ustali\u0107, czy kto\u015b nieuprawniony dosta\u0142 si\u0119 do danych, jak daleko si\u0119gn\u0105\u0142 i czy dane zosta\u0142y wyniesione (eksfiltracja).<\/p>\n<p>Jest tu jednak haczyk. Same dane telemetryczne \u2014 np. adresy IP czy identyfikatory online \u2014 cz\u0119sto s\u0105 danymi osobowymi w rozumieniu RODO. Dlatego sam monitoring bezpiecze\u0144stwa te\u017c musi by\u0107 zgodny z rozporz\u0105dzeniem: mie\u0107 podstaw\u0119 prawn\u0105, zbiera\u0107 tylko to, co potrzebne, i nie trzyma\u0107 log\u00f3w d\u0142u\u017cej ni\u017c trzeba.<\/p>\n<h2>Dowiedz si\u0119 wi\u0119cej<\/h2>\n<ul>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/compliance-and-regulation-with-sycope\">Compliance i regulacje z Sycope<\/a> \u2014 Opisuje spe\u0142nianie wymog\u00f3w zgodno\u015bci, w tym zasad ochrony danych osobowych z RODO.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/data-retention\">Data Retention<\/a> \u2014 Retencja danych musi uwzgl\u0119dnia\u0107 ograniczenie przechowywania danych osobowych wymagane przez RODO.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/bledy-konfiguracji-sieci-jak-ich-uniknac-i-poprawic-konfiguracje-routera\">B\u0142\u0119dy konfiguracji sieci \u2013 jak unika\u0107 network configuration errors i poprawi\u0107 konfiguracj\u0119 routera<\/a> \u2014 B\u0142\u0119dy konfiguracji sieci mog\u0105 os\u0142abia\u0107 ochron\u0119 danych osobowych i narusza\u0107 wymagania RODO.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/data-mining\">Data mining<\/a> \u2014 Analiza danych musi uwzgl\u0119dnia\u0107 legalno\u015b\u0107 przetwarzania danych osobowych zgodnie z RODO.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/shadow-it\">Shadow IT<\/a> \u2014 Shadow IT utrudnia kontrol\u0119 przetwarzania danych osobowych i zgodno\u015b\u0107 z RODO.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/man-in-the-middle-mitm\">Man-in-the-Middle (MitM)<\/a> \u2014 Ataki MitM mog\u0105 ujawni\u0107 dane osobowe, co stanowi ryzyko naruszenia RODO.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/deep-packet-inspection\">Deep Packet Inspection<\/a> \u2014 DPI wspiera kontrol\u0119 ruchu, ale musi uwzgl\u0119dnia\u0107 zasady ochrony danych z RODO.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/monitoring-sieci-i-network-visibility-analiza-ruchu-sieciowego-jako-podstawa-visibility-cybersecurity\">Monitoring sieci i network visibility \u2013 analiza ruchu sieciowego jako podstawa visibility cybersecurity<\/a> \u2014 Monitoring sieci pomaga wykrywa\u0107 incydenty wp\u0142ywaj\u0105ce na bezpiecze\u0144stwo danych obj\u0119tych RODO.<\/li>\n<\/ul>\n","protected":false},"featured_media":0,"template":"","class_list":["post-4824","dictionary-item","type-dictionary-item","status-publish","hentry"],"acf":{"tytul":"RODO \/ GDPR","ikona":"","krotki_opis":"Unijne rozporz\u0105dzenie 2016\/679 o ochronie danych osobowych, obowi\u0105zuj\u0105ce od 25.05.2018. Ustala zasady przetwarzania, podstawy prawne, prawa os\u00f3b i obowi\u0105zki bezpiecze\u0144stwa."},"_links":{"self":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/dictionary-item\/4824","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/dictionary-item"}],"about":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/types\/dictionary-item"}],"wp:attachment":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/media?parent=4824"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}