rozwiń ›

Plan kontroli sektorowych UODO na rok 2026

Na podstawie art. 78 ustawy z 10 maja 2018 r. o ochronie danych osobowych, postępowania kontrolne dotyczące zgodności z przepisami o ochronie danych są prowadzone według planu kontroli zatwierdzonego przez prezesa Urzędu Ochrony Danych Osobowych (UODO), a także w oparciu o informacje, którymi dysponuje prezes instytucji, lub w ramach bieżącego nadzoru nad stosowaniem przepisów RODO. Coroczny Plan kontroli sektorowych określa nie tylko grupy podmiotów objętych kontrolą, lecz również jej zakres.

Kto został objęty planem kontroli sektorowych UODO na rok 2026? Z informacji zamieszczonej na stronie urzędu wynika, że są to podmioty lecznicze, podmioty prowadzące Biuletyn Informacji Publicznej, podmioty marketingowe, internetowe platformy dostaw oraz organy, które przetwarzają dane osobowe w Wielkoskalowych Systemach Unii Europejskiej.

Podmioty lecznicze objęte kontrolą UODO

Planem kontroli objęte są przede wszystkim podmioty lecznicze w zakresie przetwarzania danych osobowych przy wykorzystaniu monitoringu wizyjnego, w szczególności dotyczących dzieci, w tym w ramach szpitalnych oddziałów dziecięcych, przychodni/poradni dla dzieci. Mimo że w planie kontroli nie wskazano wprost, o jakie typy placówek dokładnie chodzi, odwołując się do dotychczasowej praktyki Prezesa UODO z lat ubiegłych, można założyć, że kontrola obejmie podmioty funkcjonujące w obszarze ochrony zdrowia, w szczególności szpitale, placówki POZ, indywidualne i zespołowe praktyki lekarskie, apteki oraz jednostki prowadzące diagnostykę laboratoryjną.

UODO sprawdzi podmioty prowadzące Biuletyn Informacji Publicznej

UODO ma również na oku podmioty prowadzące Biuletyn Informacji Publicznej. Kontrole sektorowe obejmować będą sposób przetwarzania danych osobowych w związku z realizacją obowiązku prowadzenia BIP, w szczególności w zakresie anonimizacji danych oraz udostępniania przebiegu sesji rad gminy.

Podmioty marketingowe

Plan kontroli sektorowych obejmuje również podmioty marketingowe, zwłaszcza w zakresie podstaw prawnych przetwarzania danych osobowych w celach marketingowych. Dlaczego? W marketingu przetwarzanie danych osobowych opiera się co do zasady na jednej z dwóch podstaw prawnych przewidzianych w RODO: zgodzie osoby, której dane dotyczą, albo prawnie uzasadnionym interesie administratora. W przypadku pierwszego z tych rozwiązań, zasadnicze znaczenie ma sposób pozyskania zgody. Co to oznacza w praktyce? Podmiot danych musi być świadomy tego, jakiego rodzaju komunikaty będzie otrzymywał i w jakim celu informacje o nim będą przetwarzane. Poza tym, udzielona zgoda musi być jednoznaczna i dobrowolna. Drugie z rozwiązań wiąże się z koniecznością przeprowadzenia testu równowagi. Wybór podstawy prawnej nie jest – wbrew powszechnej opinii - dowolny. W praktyce niektórym firmom umyka również fakt, że istotnym elementem przetwarzania danych jest spełnienie obowiązku informacyjnego.

Internetowe platformy dostaw

Zgodnie z planem kontroli, UODO ma na oku również internetowe platformy dostaw. Urząd sprawdzi prawidłowość przetwarzania danych osobowych w związku ze świadczeniem usług pośrednictwa w sprzedaży towarów i usług za pomocą aplikacji internetowych.

Organy, które przetwarzają dane osobowe w Wielkoskalowych Systemach Unii Europejskiej

Zgodnie z zapowiedziami UODO, kontrola sektorowa obejmie również organy, które przetwarzają dane osobowe w Wielkoskalowych Systemach Unii Europejskiej,w tym przetwarzanie danych osobowych SIS/VIS na podstawie przepisów ustawy z dnia 24 sierpnia 2007 r. o udziale Rzeczpospolitej Polskiej w Systemie Informacyjnym Schengen oraz Wizowym Systemie Informacyjnym (Dz.U. z 2023 r. poz. 1355 ze zm.), aktów wykonawczych oraz przepisów Unii Europejskiej). Warto podkreślić, że jest tokontynuacja trwających od kilku lat kontroli urzędu w tym obszarze.