Ochrona danych osobowych Gdańsk – RODO, naruszenia, postępowania przed UODO

Od 25 maja 2018 r. stosuje się RODO – rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (art. 99 ust. 2 RODO). Uzupełnia je polska ustawa o ochronie danych osobowych z 10 maja 2018 r. (dalej u.o.d.o.). Organem nadzorczym jest Prezes Urzędu Ochrony Danych Osobowych – Prezes UODO (art. 34 u.o.d.o.). Generalny Inspektor Ochrony Danych Osobowych (GIODO) działał na podstawie poprzedniej ustawy z 1997 r. i dziś już nie istnieje, choć ta nazwa wciąż pojawia się w starych klauzulach i umowach – to sygnał, że dokumentacja wymaga aktualizacji.

Pomagamy firmom, szkołom, wspólnotom, organizacjom i osobom prywatnym: wdrażamy RODO i porządkujemy dokumentację, przygotowujemy umowy powierzenia, prowadzimy firmy przez naruszenia ochrony danych i kontrole, reprezentujemy przed Prezesem UODO i sądami administracyjnymi oraz w sporach o odszkodowanie. Poniżej opisujemy, jak to wygląda w praktyce.

Kogo dotyczą obowiązki

RODO dotyczy każdego, kto przetwarza dane osobowe – informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej (art. 4 pkt 1 RODO): imię i nazwisko, adres e-mail, numer telefonu, PESEL, nagranie z monitoringu, numer rejestracyjny w połączeniu z innymi danymi. Przepisy rozróżniają:

• administratora – kto decyduje o celach i sposobach przetwarzania (np. sklep internetowy wobec swoich klientów, pracodawca wobec pracowników),
• podmiot przetwarzający – kto przetwarza dane w imieniu administratora (np. biuro rachunkowe, dostawca systemu CRM, firma hostingowa, agencja marketingowa).

Od tego podziału zależą obowiązki i odpowiedzialność, dlatego zaczynamy od ustalenia, w jakiej roli występuje firma w każdej relacji z kontrahentem.

Wdrożenie RODO krok po kroku

RODO nie przewiduje jednego „certyfikatu zgodności”. Opiera się na zasadzie rozliczalności – administrator musi przestrzegać zasad przetwarzania i być w stanie to wykazać (art. 5 ust. 2 RODO). Wdrożenie prowadzimy zwykle tak:

1. Inwentaryzacja danych. Ustalamy, jakie dane firma zbiera, od kogo, w jakim celu, gdzie je przechowuje, komu przekazuje i jak długo trzyma. Rozmawiamy z osobami odpowiedzialnymi za kadry, sprzedaż, marketing i IT.
2. Podstawy prawne. Każda operacja musi mieć podstawę z art. 6 ust. 1 RODO: zgodę, wykonanie umowy, obowiązek prawny, ochronę żywotnych interesów, zadanie publiczne albo prawnie uzasadniony interes administratora. Częsty błąd to opieranie wszystkiego na zgodzie – także tam, gdzie właściwą podstawą jest umowa lub przepis prawa. Zgodę można w każdej chwili wycofać (art. 7 ust. 3 RODO), a administrator musi umieć wykazać, że została wyrażona (art. 7 ust. 1 RODO).
3. Obowiązek informacyjny. Przygotowujemy klauzule informacyjne zgodne z art. 13 RODO (dane zbierane od osoby) i art. 14 RODO (dane pozyskane z innego źródła) – dla klientów, kontrahentów, kandydatów do pracy, pracowników, osób nagrywanych przez monitoring, użytkowników strony.
4. Rejestr czynności przetwarzania. Rejestr prowadzi się w formie pisemnej, także elektronicznej, i udostępnia na żądanie organu nadzorczego (art. 30 ust. 3 i 4 RODO). Firmy zatrudniające mniej niż 250 osób są zwolnione z tego obowiązku tylko wtedy, gdy przetwarzanie jest sporadyczne, nie powoduje ryzyka i nie obejmuje danych szczególnych kategorii ani danych o wyrokach (art. 30 ust. 5 RODO). W praktyce większość firm prowadzących stałą działalność – choćby kadry i płace – i tak powinna prowadzić rejestr.
5. Umowy powierzenia. Z każdym podmiotem przetwarzającym administrator zawiera umowę lub inny instrument prawny określający przedmiot, czas trwania, charakter i cel przetwarzania, rodzaj danych, kategorie osób oraz obowiązki stron (art. 28 ust. 3 RODO). Przeglądamy też umowy proponowane przez dostawców – często przerzucają na klienta ryzyka i nie przewidują prawa audytu.
6. Bezpieczeństwo. Administrator i podmiot przetwarzający wdrażają środki techniczne i organizacyjne odpowiednie do ryzyka – np. szyfrowanie, kopie zapasowe, kontrolę dostępu, regularne testy (art. 32 ust. 1 RODO). Analizę ryzyka przygotowujemy we współpracy z działem IT lub zewnętrznym informatykiem.
7. Ocena skutków (DPIA). Gdy przetwarzanie – zwłaszcza z użyciem nowych technologii – może powodować wysokie ryzyko dla praw osób, przed jego rozpoczęciem trzeba przeprowadzić ocenę skutków dla ochrony danych (art. 35 ust. 1 RODO). Dotyczy to np. rozbudowanego monitoringu, profilowania czy przetwarzania danych o zdrowiu na dużą skalę.
8. Inspektor ochrony danych. Wyznaczenie IOD jest obowiązkowe m.in. w podmiotach publicznych oraz gdy główna działalność polega na regularnym i systematycznym monitorowaniu osób na dużą skalę albo na przetwarzaniu na dużą skalę danych szczególnych kategorii (art. 37 ust. 1 RODO). W pozostałych przypadkach jest dobrowolne – pomagamy ocenić, czy obowiązek występuje.
9. Procedury i szkolenia. Polityka ochrony danych, procedura obsługi żądań, procedura reagowania na naruszenia, upoważnienia dla pracowników, okresy retencji. Szkolimy pracowników na przykładach z ich codziennej pracy.
10. Strona internetowa i sklep. Polityka prywatności, mechanizm zgód na pliki cookies i marketing, formularze kontaktowe, newsletter. Przy sprzedaży online zob. też reklamacje i spory konsumenckie.

Ochrona danych powinna być uwzględniona już przy projektowaniu nowych procesów i systemów (art. 25 RODO) – taniej jest to zrobić przed wdrożeniem niż po kontroli.

Żądania osób, których dane dotyczą

Osoby mają m.in. prawo dostępu do danych (art. 15 RODO), sprostowania, usunięcia (art. 17 RODO), ograniczenia przetwarzania, przenoszenia danych (art. 20 RODO) i sprzeciwu (art. 21 RODO). Wobec marketingu bezpośredniego sprzeciw jest skuteczny bez dodatkowych warunków (art. 21 ust. 2 i 3 RODO).

Administrator odpowiada bez zbędnej zwłoki, a najpóźniej w ciągu miesiąca od otrzymania żądania. Termin można przedłużyć o kolejne dwa miesiące ze względu na skomplikowany charakter lub liczbę żądań – ale o przedłużeniu trzeba poinformować w ciągu pierwszego miesiąca, podając przyczyny (art. 12 ust. 3 RODO). Odmowa również wymaga odpowiedzi w terminie miesiąca, z informacją o prawie do skargi i do sądu (art. 12 ust. 4 RODO).

Pomagamy odpowiadać na żądania, zwłaszcza te składane przy okazji sporu – np. przez byłego pracownika lub klienta, który żąda „wszystkich danych” w celu przygotowania pozwu. W takich sprawach trzeba wyważyć obowiązek udzielenia informacji z ochroną tajemnicy przedsiębiorstwa i danych innych osób.

Naruszenie ochrony danych – pierwsze 72 godziny

Wyciek bazy klientów, wysłanie e-maila z listą adresów w polu „Do”, zgubiony laptop bez szyfrowania, atak ransomware, dokumenty wyrzucone do zwykłego śmietnika – to naruszenia ochrony danych. Postępowanie wygląda tak:

1. Opanowanie sytuacji – zabezpieczenie systemów, odcięcie dostępu, próba odzyskania danych (np. prośba do adresata błędnej wysyłki o usunięcie wiadomości).
2. Ocena ryzyka – jakie dane, ilu osób, czy mogą zostać wykorzystane (np. do kradzieży tożsamości), czy dane były zaszyfrowane.
3. Zgłoszenie do Prezesa UODO – bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia, chyba że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem dla praw lub wolności osób. Zgłoszenie po terminie wymaga wyjaśnienia przyczyn opóźnienia (art. 33 ust. 1 RODO). Minimalną treść zgłoszenia określa art. 33 ust. 3 RODO.
4. Zawiadomienie osób – jeżeli naruszenie może powodować wysokie ryzyko, administrator bez zbędnej zwłoki zawiadamia osoby, których dane dotyczą, jasnym i prostym językiem (art. 34 ust. 1 i 2 RODO).
5. Dokumentacja – każde naruszenie, także niezgłaszane, trzeba udokumentować: okoliczności, skutki i działania zaradcze (art. 33 ust. 5 RODO).

Podmiot przetwarzający, który stwierdzi naruszenie, zgłasza je administratorowi bez zbędnej zwłoki (art. 33 ust. 2 RODO) – warto, by umowa powierzenia precyzowała ten termin w godzinach. Gdy naruszenie wiąże się z przestępstwem (np. włamanie do systemu, kradzież danych przez pracownika), pomagamy też w zawiadomieniu organów ścigania – zob. prawo karne.

Termin 72 godzin liczy się od stwierdzenia naruszenia, także w weekend. Dlatego procedurę i kontakt do osoby decyzyjnej warto mieć przygotowane wcześniej.

Kontrola Prezesa UODO

Prezes UODO kontroluje przestrzeganie przepisów zgodnie z planem kontroli albo na podstawie uzyskanych informacji, np. skargi (art. 78 u.o.d.o.). Kontrolujący ma prawo wstępu do pomieszczeń w godzinach 6:00–22:00, wglądu do dokumentów, oględzin systemów, żądania wyjaśnień i przesłuchiwania pracowników jako świadków (art. 84 ust. 1 i art. 86 u.o.d.o.). Kontrolowany pisemnie wskazuje osobę upoważnioną do reprezentowania go w trakcie kontroli (art. 83 ust. 2 u.o.d.o.). Kontrola co do zasady trwa nie dłużej niż 30 dni (art. 89 ust. 1 u.o.d.o.). Utrudnianie kontroli jest przestępstwem (art. 108 ust. 1 u.o.d.o.).

Uczestniczymy w kontroli, pomagamy przygotować dokumenty i zgłosić zastrzeżenia do protokołu. Jeżeli kontrola ujawni możliwe naruszenie, Prezes UODO wszczyna postępowanie administracyjne (art. 90 u.o.d.o.).

Postępowanie przed Prezesem UODO

Postępowanie w sprawie naruszenia przepisów prowadzi Prezes UODO (art. 60 u.o.d.o.), stosując Kodeks postępowania administracyjnego w sprawach nieuregulowanych w ustawie. Postępowanie jest jednoinstancyjne (art. 7 ust. 1 i 2 u.o.d.o.) – nie ma odwołania do organu drugiej instancji. Decyzję zaskarża się skargą do wojewódzkiego sądu administracyjnego, w terminie 30 dni od jej doręczenia, za pośrednictwem Prezesa UODO (art. 53 § 1 i art. 54 § 1 Prawa o postępowaniu przed sądami administracyjnymi). Właściwy jest sąd według siedziby organu (art. 13 § 2 p.p.s.a.). Wniesienie skargi wstrzymuje wykonanie decyzji w zakresie administracyjnej kary pieniężnej (art. 74 u.o.d.o.).

Ważne elementy, o które dbamy w postępowaniu:

• zastrzeżenie tajemnicy przedsiębiorstwa w składanych dokumentach – z obowiązkiem przedłożenia wersji jawnej, inaczej zastrzeżenie jest nieskuteczne (art. 65 ust. 1 i 2 u.o.d.o.),
• wykazanie okoliczności łagodzących z art. 83 ust. 2 RODO – Prezes UODO musi wskazać je w uzasadnieniu decyzji o karze (art. 72 u.o.d.o.),
• reakcja na postanowienie ograniczające przetwarzanie, które może zostać wydane w toku postępowania (art. 70 u.o.d.o.).

Prezes UODO może opublikować informację o decyzji w Biuletynie Informacji Publicznej, jeżeli przemawia za tym interes publiczny (art. 73 ust. 1 u.o.d.o.) – skutki wizerunkowe bywają dla firmy równie odczuwalne jak sama kara.

Administracyjne kary pieniężne

Kary nakłada się zależnie od okoliczności sprawy, biorąc pod uwagę m.in. charakter, wagę i czas trwania naruszenia, umyślność, działania podjęte w celu zminimalizowania szkody, wcześniejsze naruszenia i stopień współpracy z organem (art. 83 ust. 2 RODO). Górne granice:

• do 10 000 000 euro, a w przypadku przedsiębiorstwa do 2% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym stosuje się kwotę wyższą – m.in. za naruszenie obowiązków z art. 25–39 RODO (bezpieczeństwo, rejestr, zgłaszanie naruszeń, umowy powierzenia, IOD) – art. 83 ust. 4 RODO,
• do 20 000 000 euro albo do 4% obrotu – m.in. za naruszenie podstawowych zasad przetwarzania i warunków zgody (art. 5, 6, 7 i 9 RODO) oraz praw osób (art. 12–22 RODO) – art. 83 ust. 5 RODO.

Kwoty w euro przelicza się według średniego kursu NBP z 28 stycznia danego roku (art. 103 u.o.d.o.). Jednostki sektora finansów publicznych podlegają karom do 100 000 zł, a niektóre z nich – do 10 000 zł (art. 102 u.o.d.o.).

Niezależnie od kar administracyjnych przetwarzanie danych bez uprawnienia lub gdy przetwarzanie nie jest dopuszczalne jest przestępstwem zagrożonym grzywną, karą ograniczenia wolności albo pozbawienia wolności do lat dwóch (art. 107 ust. 1 u.o.d.o.).

Odszkodowanie i zadośćuczynienie za naruszenie RODO

Każda osoba, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia RODO, ma prawo do odszkodowania od administratora lub podmiotu przetwarzającego (art. 82 ust. 1 RODO). W sprawach nieuregulowanych w RODO stosuje się Kodeks cywilny (art. 92 u.o.d.o.).

• Sąd właściwy – w pierwszej instancji sąd okręgowy, niezależnie od wartości sporu (art. 93 u.o.d.o. i art. 17 pkt 4⁵ Kodeksu postępowania cywilnego).
• Relacja z postępowaniem przed UODO – sąd zawiesza sprawę, jeżeli postępowanie dotyczące tego samego naruszenia zostało wszczęte przed Prezesem UODO (art. 95 u.o.d.o.), a prawomocna decyzja stwierdzająca naruszenie wiąże sąd co do faktu naruszenia (art. 97 u.o.d.o.).
• Co trzeba wykazać – naruszenie przepisów, szkodę (także niemajątkową, np. stres, utratę kontroli nad danymi) i związek przyczynowy. Samo naruszenie przepisów, bez wykazania szkody, zwykle nie wystarczy.

Reprezentujemy zarówno osoby dochodzące roszczeń, jak i firmy pozwane – zob. też spory sądowe.

Pomoc dla osób prywatnych

Jeżeli uważasz, że ktoś przetwarza Twoje dane niezgodnie z prawem – np. firma windykacyjna, pracodawca, wspólnota mieszkaniowa czy sklep wysyłający niechciany marketing – możesz:

1. złożyć żądanie do administratora (dostęp, usunięcie, sprzeciw) – to często najszybsza droga,
2. wnieść skargę do Prezesa UODO (art. 77 ust. 1 RODO); jeżeli organ w ciągu trzech miesięcy nie rozpatrzy skargi lub nie poinformuje o postępach, przysługuje środek ochrony prawnej przed sądem (art. 78 ust. 2 RODO),
3. wystąpić do sądu o zaprzestanie naruszeń i odszkodowanie (art. 79 i 82 RODO).

Pomagamy wybrać właściwą drogę i przygotować pisma. Nie każda sytuacja podlega RODO – np. przetwarzanie danych przez osobę fizyczną w ramach czynności czysto osobistych lub domowych jest z niego wyłączone (art. 2 ust. 2 lit. c RODO); wtedy w grę wchodzi ochrona dóbr osobistych z Kodeksu cywilnego.

Co przygotować na pierwsze spotkanie

• obecną dokumentację RODO (polityki, rejestr, klauzule, umowy powierzenia) – nawet jeśli jest nieaktualna,
• listę systemów i dostawców (księgowość, kadry, CRM, hosting, poczta, marketing),
• przy naruszeniu: chronologię zdarzeń z godzinami, informację o rodzaju i liczbie danych, korespondencję,
• przy kontroli lub postępowaniu: upoważnienie do kontroli, protokół, pisma z UODO,
• przy sporze: żądania, odpowiedzi, dowody szkody.

Typowe błędy

• kopiowanie gotowych wzorów z internetu, które nie odpowiadają rzeczywistym procesom w firmie,
• odwołania do GIODO i nieobowiązującej ustawy z 1997 r. w klauzulach i umowach,
• brak umów powierzenia z biurem rachunkowym, dostawcą oprogramowania czy firmą IT,
• zbieranie zgód tam, gdzie podstawą jest umowa lub przepis, a potem problem, gdy osoba zgodę wycofa,
• „przeczekanie” naruszenia i liczenie, że nikt się nie dowie – przy ustalaniu kary organ bierze pod uwagę, czy i w jakim zakresie administrator sam zgłosił naruszenie (art. 83 ust. 2 lit. h RODO),
• przechowywanie danych „na zawsze”, bez okresów retencji.

Jak wygląda współpraca

1. Rozmowa – ustalamy cel: wdrożenie, audyt, pilne naruszenie, kontrola, spór.
2. Analiza – przegląd dokumentów i rozmowy z osobami odpowiedzialnymi za procesy.
3. Raport – lista ryzyk i rekomendacji z priorytetami, bez zbędnej dokumentacji „na półkę”.
4. Dokumenty i wdrożenie – przygotowujemy dokumenty, szkolimy pracowników.
5. Stałe wsparcie – odpowiadamy na bieżące pytania, aktualizujemy dokumenty, reagujemy na naruszenia i żądania.

W sprawach pilnych – naruszenie, zapowiedziana kontrola – staramy się zareagować tego samego dnia. Placówkom oświatowym pomagamy także w ramach prawa oświatowego.

Sztuczna inteligencja w firmie – RODO i AI Act

Firma, która tylko korzysta z gotowego narzędzia – chatbota na stronie, asystenta obsługi klienta, generatora tekstów – jest w rozumieniu AI Act (rozporządzenie (UE) 2024/1689) podmiotem stosującym i ma własne obowiązki. W lipcu 2026 r. AI Act zmieniło rozporządzenie (UE) 2026/1744 (tzw. Digital Omnibus). Od 2 lutego 2025 r. obowiązuje art. 4 o kompetencjach w zakresie AI – po zmianie trzeba podejmować środki wspierające rozwój kompetencji personelu, bez obowiązku zapewnienia określonego poziomu. Od 2 sierpnia 2026 r. stosuje się obowiązki przejrzystości z art. 50: dostawca ma zadbać, by użytkownik wiedział, że rozmawia z AI, i oznaczać treści generowane (ust. 1 i 2; dla systemów generatywnych wprowadzonych do obrotu wcześniej – do 2 grudnia 2026 r.), a podmiot stosujący ujawnia m.in. deepfake'i (ust. 4). Obowiązki dla systemów wysokiego ryzyka przesunięto na 2 grudnia 2027 r. (załącznik III, np. rekrutacja) i 2 sierpnia 2028 r. (systemy wbudowane w produkty regulowane).

Polska ustawa o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003) obowiązuje od 11 sierpnia 2026 r., a jej przepisy o kontroli, postępowaniu i karach – od 28 października 2026 r. (art. 127 pkt 2). Organem nadzoru rynku jest Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji – KRiBSI (art. 5 ust. 1). Komisja kontroluje przestrzeganie AI Act i ustawy, wydaje decyzje w sprawach naruszeń, tworzy piaskownice regulacyjne i wydaje opinie indywidualne (art. 6), a w Biuletynie Informacji Publicznej publikuje wykaz systemów AI, co do których wydano decyzję o nałożeniu kary (art. 66 ust. 2).

KRiBSI nie zastępuje Prezesa UODO. Jeżeli narzędzie AI przetwarza dane osobowe, nadal stosuje się RODO. Trzeba ustalić cel i podstawę prawną (art. 6 ust. 1 RODO), ocenić potrzebę oceny skutków dla ochrony danych (art. 35 RODO), zawrzeć z dostawcą umowę powierzenia (art. 28 RODO) – z wyraźnym zapisem, czy dane mogą służyć do trenowania modelu – i sprawdzić, gdzie dane są przetwarzane: przekazanie poza Europejski Obszar Gospodarczy wymaga podstawy z rozdziału V RODO. Typowy problem: pracownik wkleja CV kandydatów do publicznego narzędzia AI – bez umowy z dostawcą i bez informacji dla kandydatów.

W czym pomagamy:

• umowy z dostawcami AI – kwalifikacja systemu, przejrzystość, umowa powierzenia, poufność, prawa do wyników, odpowiedzialność; zob. też umowy cywilnoprawne,
• polityka korzystania z AI – dozwolone narzędzia, dane, których nie wolno wprowadzać, udokumentowane szkolenia personelu (art. 4 AI Act),
• ocena skutków – DPIA dla wdrożeń AI i analiza, czy zastosowanie może oznaczać system wysokiego ryzyka,
• obowiązki przejrzystości – informacje dla klientów i kandydatów, ujawnianie treści generowanych (art. 50 AI Act),
• kontrole – przygotowanie dokumentacji, udział w kontroli KRiBSI lub Prezesa UODO i reprezentacja w postępowaniu.

Zaczynamy od inwentaryzacji – większość firm nie wie, z ilu narzędzi AI korzystają pracownicy.

Gdzie działamy

Kancelaria mieści się w Gdańsku przy al. Grunwaldzkiej 87/91 lok. 10. Obsługujemy firmy i instytucje z całego Trójmiasta – Gdańska, Gdyni i Sopotu – oraz z Pruszcza Gdańskiego, Rumi, Redy, Wejherowa, Kartuz, Żukowa, Kościerzyny, Tczewa, Starogardu Gdańskiego i Malborka. Wdrożenia, audyty i reprezentację przed Prezesem UODO prowadzimy także zdalnie, dla klientów z całej Polski. Skontaktuj się z nami.

Najczęstsze pytania

Czy mała firma musi prowadzić rejestr czynności przetwarzania?

Zwolnienie dla firm zatrudniających mniej niż 250 osób nie działa, jeżeli przetwarzanie nie ma charakteru sporadycznego, może powodować ryzyko albo obejmuje dane szczególnych kategorii (art. 30 ust. 5 RODO). Stała obsługa klientów czy kadry to przetwarzanie regularne, więc w praktyce większość firm powinna prowadzić rejestr.

Czy każde naruszenie trzeba zgłaszać do UODO?

Nie. Zgłoszenia nie wymaga naruszenie, przy którym jest mało prawdopodobne, by skutkowało ryzykiem naruszenia praw lub wolności osób (art. 33 ust. 1 RODO). Każde naruszenie trzeba jednak udokumentować wewnętrznie (art. 33 ust. 5 RODO), a ocenę ryzyka warto zapisać, bo organ może ją zweryfikować.

Czy muszę mieć inspektora ochrony danych?

Tylko w przypadkach z art. 37 ust. 1 RODO – m.in. w podmiotach publicznych oraz gdy główna działalność polega na monitorowaniu osób lub przetwarzaniu danych szczególnych kategorii na dużą skalę. W pozostałych firmach wyznaczenie IOD jest dobrowolne.

Od decyzji Prezesa UODO przysługuje odwołanie?

Nie do organu drugiej instancji – postępowanie jest jednoinstancyjne (art. 7 ust. 2 u.o.d.o.). Przysługuje skarga do wojewódzkiego sądu administracyjnego w terminie 30 dni od doręczenia decyzji.

Ile mam czasu na odpowiedź na żądanie dostępu do danych?

Miesiąc od otrzymania żądania, z możliwością przedłużenia o dwa miesiące w sprawach skomplikowanych lub przy dużej liczbie żądań – o przedłużeniu trzeba poinformować przed upływem pierwszego miesiąca (art. 12 ust. 3 RODO).

Gdzie pozwać firmę za wyciek moich danych?

Do sądu okręgowego – jest właściwy w sprawach o roszczenia z tytułu naruszenia przepisów o ochronie danych osobowych, bez względu na wartość sporu (art. 93 u.o.d.o.). Trzeba wykazać naruszenie, szkodę i związek przyczynowy.

Czy GIODO jeszcze istnieje?

Nie. Od 25 maja 2018 r. organem nadzorczym jest Prezes Urzędu Ochrony Danych Osobowych. Jeżeli Twoje dokumenty powołują się na GIODO, najpewniej wymagają aktualizacji.