Dataskydd – GDPR, personuppgiftsincidenter, förfaranden inför UODO

Sedan den 25 maj 2018 tillämpas dataskyddsförordningen (GDPR, på polska RODO) – Europaparlamentets och rådets förordning (EU) 2016/679 (art. 99.2 GDPR). Den kompletteras av den polska lagen om skydd av personuppgifter av den 10 maj 2018 (ustawa o ochronie danych osobowych, nedan u.o.d.o.). Tillsynsmyndighet är ordföranden för den polska dataskyddsmyndigheten (Prezes Urzędu Ochrony Danych Osobowych, Prezes UODO) (art. 34 u.o.d.o.). Generalinspektören för skydd av personuppgifter (Generalny Inspektor Ochrony Danych Osobowych, GIODO) verkade enligt den tidigare lagen från 1997 och finns inte längre, även om namnet fortfarande förekommer i gamla klausuler och avtal – det är en signal om att dokumentationen behöver uppdateras.

Vi hjälper företag, skolor, bostadsrättsgemenskaper (wspólnoty mieszkaniowe), organisationer och privatpersoner: vi inför GDPR och ordnar dokumentationen, upprättar personuppgiftsbiträdesavtal, leder företag genom personuppgiftsincidenter och tillsyn, företräder klienter inför ordföranden för UODO och förvaltningsdomstolarna samt i skadeståndstvister. Nedan beskriver vi hur det går till i praktiken.

Vem skyldigheterna gäller

GDPR gäller alla som behandlar personuppgifter – uppgifter om en identifierad eller identifierbar fysisk person (art. 4.1 GDPR): för- och efternamn, e-postadress, telefonnummer, PESEL-nummer, inspelning från kameraövervakning, registreringsnummer i kombination med andra uppgifter. Bestämmelserna skiljer mellan:

• personuppgiftsansvarig – den som bestämmer ändamålen med och medlen för behandlingen (t.ex. en webbutik i förhållande till sina kunder, en arbetsgivare i förhållande till de anställda),
• personuppgiftsbiträde – den som behandlar uppgifter för den personuppgiftsansvariges räkning (t.ex. en redovisningsbyrå, en leverantör av CRM-system, ett webbhotell, en marknadsföringsbyrå).

Skyldigheterna och ansvaret beror på denna uppdelning, och därför börjar vi med att fastställa vilken roll företaget har i varje relation med en motpart.

Införande av GDPR steg för steg

GDPR föreskriver inget enskilt ”intyg om efterlevnad”. Förordningen bygger på principen om ansvarsskyldighet – den personuppgiftsansvarige måste följa principerna för behandling och kunna visa att de följs (art. 5.2 GDPR). Införandet genomför vi vanligtvis så här:

1. Kartläggning av uppgifterna. Vi fastställer vilka uppgifter företaget samlar in, från vem, för vilket ändamål, var de lagras, till vem de lämnas ut och hur länge de sparas. Vi talar med de personer som ansvarar för personal, försäljning, marknadsföring och IT.
2. Rättslig grund. Varje behandling måste ha en rättslig grund enligt art. 6.1 GDPR: samtycke, fullgörande av avtal, rättslig förpliktelse, skydd av grundläggande intressen, uppgift av allmänt intresse eller den personuppgiftsansvariges berättigade intresse. Ett vanligt misstag är att grunda allt på samtycke – även där den korrekta grunden är ett avtal eller en lagbestämmelse. Samtycket kan när som helst återkallas (art. 7.3 GDPR), och den personuppgiftsansvarige måste kunna visa att det har lämnats (art. 7.1 GDPR).
3. Informationsskyldighet. Vi upprättar informationstexter enligt art. 13 GDPR (uppgifter som samlas in från den registrerade) och art. 14 GDPR (uppgifter som har erhållits från en annan källa) – för kunder, affärspartner, arbetssökande, anställda, personer som spelas in av kameraövervakning och användare av webbplatsen.
4. Register över behandling. Registret förs skriftligen, även i elektronisk form, och görs tillgängligt för tillsynsmyndigheten på begäran (art. 30.3 och 30.4 GDPR). Företag med färre än 250 anställda är undantagna från denna skyldighet endast om behandlingen är tillfällig, inte medför risker och inte omfattar särskilda kategorier av uppgifter eller uppgifter om fällande domar (art. 30.5 GDPR). I praktiken bör de flesta företag som bedriver löpande verksamhet – om så bara personal- och lönehantering – ändå föra ett register.
5. Personuppgiftsbiträdesavtal. Med varje personuppgiftsbiträde ingår den personuppgiftsansvarige ett avtal eller en annan rättsakt som anger föremålet för behandlingen, dess varaktighet, art och ändamål, typen av uppgifter, kategorierna av registrerade samt parternas skyldigheter (art. 28.3 GDPR). Vi granskar även avtal som föreslås av leverantörer – de för ofta över risker på kunden och saknar rätt till granskning.
6. Säkerhet. Den personuppgiftsansvarige och personuppgiftsbiträdet vidtar tekniska och organisatoriska åtgärder som är lämpliga i förhållande till risken – t.ex. kryptering, säkerhetskopior, åtkomstkontroll och regelbundna tester (art. 32.1 GDPR). Riskanalysen upprättar vi i samarbete med IT-avdelningen eller en extern IT-specialist.
7. Konsekvensbedömning (DPIA). När en behandling – särskilt med användning av ny teknik – kan leda till en hög risk för de registrerades rättigheter måste en konsekvensbedömning avseende dataskydd göras innan behandlingen inleds (art. 35.1 GDPR). Det gäller t.ex. omfattande kameraövervakning, profilering eller behandling av hälsouppgifter i stor omfattning.
8. Dataskyddsombud. Att utse ett dataskyddsombud (inspektor ochrony danych, IOD) är obligatoriskt bland annat för offentliga organ och när kärnverksamheten består av regelbunden och systematisk övervakning av registrerade i stor omfattning eller av behandling i stor omfattning av särskilda kategorier av uppgifter (art. 37.1 GDPR). I övriga fall är det frivilligt – vi hjälper till att bedöma om skyldigheten föreligger.
9. Rutiner och utbildning. Dataskyddspolicy, rutin för hantering av begäranden, rutin för hantering av incidenter, behörigheter för anställda, lagringstider. Vi utbildar de anställda med exempel från deras dagliga arbete.
10. Webbplats och webbutik. Integritetspolicy, mekanism för samtycke till cookies och marknadsföring, kontaktformulär, nyhetsbrev. Vid onlineförsäljning, se även reklamationer och konsumenttvister.

Dataskydd bör beaktas redan när nya processer och system utformas (art. 25 GDPR) – det är billigare att göra det före införandet än efter en tillsyn.

Begäranden från registrerade

De registrerade har bland annat rätt till tillgång till uppgifterna (art. 15 GDPR), rättelse, radering (art. 17 GDPR), begränsning av behandling, dataportabilitet (art. 20 GDPR) och rätt att göra invändningar (art. 21 GDPR). En invändning mot direktmarknadsföring får verkan utan ytterligare villkor (art. 21.2 och 21.3 GDPR).

Den personuppgiftsansvarige ska svara utan onödigt dröjsmål och senast inom en månad från mottagandet av begäran. Tiden kan förlängas med ytterligare två månader med hänsyn till hur komplicerad begäran är eller antalet begäranden – men den registrerade måste underrättas om förlängningen inom den första månaden, med angivande av skälen (art. 12.3 GDPR). Även ett avslag kräver ett svar inom en månad, med information om rätten att lämna in klagomål och att vända sig till domstol (art. 12.4 GDPR).

Vi hjälper till att besvara begäranden, särskilt sådana som framställs i samband med en tvist – t.ex. av en tidigare anställd eller en kund som begär ”alla uppgifter” för att förbereda en stämningsansökan. I sådana ärenden måste skyldigheten att lämna information vägas mot skyddet av företagshemligheter och andra personers uppgifter.

Personuppgiftsincident – de första 72 timmarna

Läckage av en kunddatabas, ett e-postmeddelande med en adresslista i fältet ”Till”, en borttappad okrypterad bärbar dator, en ransomware-attack, handlingar som har slängts i en vanlig soptunna – allt detta är personuppgiftsincidenter. Förfarandet ser ut så här:

1. Begränsa skadan – säkra systemen, stänga av åtkomst, försöka återfå uppgifterna (t.ex. be mottagaren av ett felskickat meddelande att radera det).
2. Riskbedömning – vilka uppgifter, hur många personer, om uppgifterna kan missbrukas (t.ex. för identitetsstöld), om uppgifterna var krypterade.
3. Anmälan till ordföranden för UODO – utan onödigt dröjsmål och, om möjligt, inte senare än 72 timmar efter att incidenten har upptäckts, såvida det inte är osannolikt att incidenten medför en risk för fysiska personers rättigheter och friheter. En anmälan efter fristen måste åtföljas av en förklaring till förseningen (art. 33.1 GDPR). Anmälans minsta innehåll anges i art. 33.3 GDPR.
4. Information till de registrerade – om incidenten sannolikt leder till en hög risk ska den personuppgiftsansvarige utan onödigt dröjsmål informera de registrerade på ett klart och tydligt språk (art. 34.1 och 34.2 GDPR).
5. Dokumentation – varje incident, även en som inte anmäls, måste dokumenteras: omständigheterna, effekterna och de korrigerande åtgärderna (art. 33.5 GDPR).

Ett personuppgiftsbiträde som upptäcker en incident ska anmäla den till den personuppgiftsansvarige utan onödigt dröjsmål (art. 33.2 GDPR) – det är klokt att biträdesavtalet anger denna frist i timmar. När incidenten har samband med ett brott (t.ex. dataintrång, stöld av uppgifter begången av en anställd) hjälper vi även till med polisanmälan – se straffrätt.

Fristen på 72 timmar räknas från det att incidenten upptäcktes, även under helger. Därför är det klokt att ha en rutin och kontaktuppgifter till en beslutsfattare förberedda i förväg.

Tillsyn av ordföranden för UODO

Ordföranden för UODO kontrollerar efterlevnaden av bestämmelserna enligt en tillsynsplan eller på grundval av mottagna uppgifter, t.ex. ett klagomål (art. 78 u.o.d.o.). Den som utför tillsynen har rätt att få tillträde till lokaler mellan kl. 6.00 och 22.00, att ta del av handlingar, inspektera system, begära förklaringar och höra anställda som vittnen (art. 84 ust. 1 och art. 86 u.o.d.o.). Den kontrollerade anger skriftligen en person som är behörig att företräda den kontrollerade under tillsynen (art. 83 ust. 2 u.o.d.o.). Tillsynen pågår som huvudregel inte längre än 30 dagar (art. 89 ust. 1 u.o.d.o.). Att försvåra tillsynen är ett brott (art. 108 ust. 1 u.o.d.o.).

Vi deltar i tillsynen, hjälper till att förbereda handlingar och att lämna invändningar mot protokollet. Om tillsynen avslöjar en möjlig överträdelse inleder ordföranden för UODO ett förvaltningsförfarande (art. 90 u.o.d.o.).

Förfarandet inför ordföranden för UODO

Förfarandet avseende överträdelser av bestämmelserna leds av ordföranden för UODO (art. 60 u.o.d.o.), som tillämpar förvaltningsprocesslagen (Kodeks postępowania administracyjnego) i frågor som inte regleras i lagen. Förfarandet sker i en instans (art. 7 ust. 1 och 2 u.o.d.o.) – beslutet kan inte överklagas till en andra instans inom förvaltningen. Beslutet angrips genom talan vid regional förvaltningsdomstol (wojewódzki sąd administracyjny), inom 30 dagar från delgivningen, genom ordföranden för UODO (art. 53 § 1 och art. 54 § 1 i lagen om förfarandet vid förvaltningsdomstolar, Prawo o postępowaniu przed sądami administracyjnymi, p.p.s.a.). Behörig är domstolen på den ort där myndigheten har sitt säte (art. 13 § 2 p.p.s.a.). Att talan väcks innebär att verkställigheten av beslutet skjuts upp i den del som avser den administrativa sanktionsavgiften (art. 74 u.o.d.o.).

Viktiga moment som vi bevakar i förfarandet:

• förbehåll om företagshemlighet i de handlingar som ges in – med skyldighet att lämna en offentlig version, annars saknar förbehållet verkan (art. 65 ust. 1 och 2 u.o.d.o.),
• att visa förmildrande omständigheter enligt art. 83.2 GDPR – ordföranden för UODO måste ange dem i motiveringen till beslutet om sanktionsavgift (art. 72 u.o.d.o.),
• att reagera på ett beslut om begränsning av behandlingen, som kan meddelas under förfarandets gång (art. 70 u.o.d.o.).

Ordföranden för UODO kan offentliggöra information om beslutet i den offentliga informationsbulletinen (Biuletyn Informacji Publicznej) om allmänintresset talar för det (art. 73 ust. 1 u.o.d.o.) – effekterna för företagets anseende kan vara lika kännbara som själva sanktionsavgiften.

Administrativa sanktionsavgifter

Sanktionsavgifter påförs beroende på omständigheterna i ärendet, med beaktande av bland annat överträdelsens karaktär, svårighetsgrad och varaktighet, om den var uppsåtlig, de åtgärder som har vidtagits för att lindra skadan, tidigare överträdelser och graden av samarbete med myndigheten (art. 83.2 GDPR). De övre gränserna är:

• upp till 10 000 000 euro eller, för ett företag, upp till 2 % av den totala globala årsomsättningen under föregående budgetår, beroende på vilket värde som är högst – bland annat för överträdelser av skyldigheterna enligt art. 25–39 GDPR (säkerhet, register, anmälan av incidenter, biträdesavtal, dataskyddsombud) – art. 83.4 GDPR,
• upp till 20 000 000 euro eller upp till 4 % av omsättningen – bland annat för överträdelser av de grundläggande principerna för behandling och villkoren för samtycke (art. 5, 6, 7 och 9 GDPR) samt av de registrerades rättigheter (art. 12–22 GDPR) – art. 83.5 GDPR.

Belopp i euro räknas om enligt den genomsnittliga kursen från Polens centralbank (NBP) den 28 januari det aktuella året (art. 103 u.o.d.o.). Enheter inom den offentliga sektorn kan påföras sanktionsavgifter på upp till 100 000 zł, och vissa av dem – upp till 10 000 zł (art. 102 u.o.d.o.).

Oberoende av de administrativa sanktionsavgifterna är behandling av personuppgifter utan behörighet eller när behandlingen inte är tillåten ett brott som kan leda till böter, frihetsbegränsning eller fängelse i högst två år (art. 107 ust. 1 u.o.d.o.).

Skadestånd och ersättning för ideell skada vid överträdelse av GDPR

Den som har lidit materiell eller immateriell skada till följd av en överträdelse av GDPR har rätt till ersättning från den personuppgiftsansvarige eller personuppgiftsbiträdet (art. 82.1 GDPR). I frågor som inte regleras i GDPR tillämpas civillagen (Kodeks cywilny) (art. 92 u.o.d.o.).

• Behörig domstol – i första instans regional domstol (sąd okręgowy), oberoende av tvisteföremålets värde (art. 93 u.o.d.o. och art. 17 pkt 4⁵ i civilprocesslagen, Kodeks postępowania cywilnego).
• Förhållandet till förfarandet inför UODO – domstolen vilandeförklarar målet om ett förfarande avseende samma överträdelse har inletts inför ordföranden för UODO (art. 95 u.o.d.o.), och ett lagakraftvunnet beslut som fastställer överträdelsen är bindande för domstolen i fråga om att överträdelsen har ägt rum (art. 97 u.o.d.o.).
• Vad som måste visas – en överträdelse av bestämmelserna, en skada (även immateriell, t.ex. stress eller förlorad kontroll över uppgifterna) och ett orsakssamband. Enbart en överträdelse av bestämmelserna, utan att skada visas, räcker vanligtvis inte.

Vi företräder både personer som gör anspråk gällande och företag som har stämts – se även tvister i domstol.

Hjälp för privatpersoner

Om du anser att någon behandlar dina uppgifter i strid med lagen – t.ex. ett inkassoföretag, en arbetsgivare, en bostadsrättsgemenskap eller en butik som skickar oönskad marknadsföring – kan du:

1. framställa en begäran till den personuppgiftsansvarige (tillgång, radering, invändning) – detta är ofta den snabbaste vägen,
2. lämna in ett klagomål till ordföranden för UODO (art. 77.1 GDPR); om myndigheten inte har behandlat klagomålet eller inte har informerat om hur det fortskrider inom tre månader har du rätt till ett rättsmedel inför domstol (art. 78.2 GDPR),
3. väcka talan vid domstol om att överträdelserna ska upphöra och om skadestånd (art. 79 och 82 GDPR).

Vi hjälper dig att välja rätt väg och att upprätta skrivelserna. Inte alla situationer omfattas av GDPR – t.ex. är en fysisk persons behandling av uppgifter som ett led i verksamhet av rent privat natur eller som har samband med hans eller hennes hushåll undantagen (art. 2.2 c GDPR); då kan i stället skyddet för personlighetsrättigheter (dobra osobiste) enligt civillagen bli aktuellt.

Vad du ska ta med till det första mötet

• befintlig GDPR-dokumentation (policyer, register, informationstexter, biträdesavtal) – även om den är inaktuell,
• en förteckning över system och leverantörer (bokföring, personal, CRM, webbhotell, e-post, marknadsföring),
• vid en incident: en kronologi över händelserna med klockslag, information om typen och antalet uppgifter, korrespondens,
• vid tillsyn eller förfarande: bemyndigandet för tillsynen, protokollet, skrivelser från UODO,
• vid en tvist: begäranden, svar, bevis på skadan.

Vanliga misstag

• att kopiera färdiga mallar från internet som inte motsvarar företagets faktiska processer,
• hänvisningar till GIODO och den upphävda lagen från 1997 i klausuler och avtal,
• avsaknad av biträdesavtal med redovisningsbyrån, programvaruleverantören eller IT-företaget,
• att samla in samtycken där den rättsliga grunden är ett avtal eller en lagbestämmelse, och sedan få problem när personen återkallar samtycket,
• att ”vänta ut” en incident och hoppas att ingen får reda på den – vid bestämmandet av sanktionsavgiften beaktar myndigheten om och i vilken omfattning den personuppgiftsansvarige själv har anmält incidenten (art. 83.2 h GDPR),
• att lagra uppgifter ”för alltid”, utan lagringstider.

Hur samarbetet går till

1. Samtal – vi fastställer målet: införande, granskning, akut incident, tillsyn, tvist.
2. Analys – genomgång av handlingar och samtal med de personer som ansvarar för processerna.
3. Rapport – en lista över risker och rekommendationer med prioriteringar, utan onödig dokumentation ”för hyllan”.
4. Handlingar och införande – vi upprättar handlingarna och utbildar de anställda.
5. Löpande stöd – vi besvarar löpande frågor, uppdaterar handlingarna och reagerar på incidenter och begäranden.

I brådskande ärenden – en incident, en aviserad tillsyn – försöker vi reagera samma dag. Utbildningsinstitutioner hjälper vi även inom ramen för skolrätt.

Artificiell intelligens i företaget – GDPR och AI Act

Ett företag som bara använder ett färdigt verktyg – en chattbot på webbplatsen, en kundtjänstassistent, en textgenerator – är tillhandahållare (deployer) i den mening som avses i AI Act (förordning (EU) 2024/1689) och har egna skyldigheter. I juli 2026 ändrades AI Act genom förordning (EU) 2026/1744 (den så kallade Digital Omnibus). Sedan den 2 februari 2025 gäller art. 4 om AI-kunnighet – efter ändringen ska åtgärder vidtas som stöder utvecklingen av personalens kompetens, utan skyldighet att säkerställa en viss nivå. Sedan den 2 augusti 2026 tillämpas transparenskraven i art. 50: leverantören ska se till att användaren vet att hen interagerar med AI och märka genererat innehåll (punkterna 1 och 2; för generativa system som släppts ut på marknaden tidigare – senast den 2 december 2026), medan tillhandahållaren bland annat ska upplysa om deepfakes (punkt 4). Skyldigheterna för AI-system med hög risk har skjutits upp till den 2 december 2027 (bilaga III, t.ex. rekrytering) och den 2 augusti 2028 (system inbyggda i reglerade produkter).

Den polska lagen om system för artificiell intelligens (ustawa o systemach sztucznej inteligencji, Dz.U. 2026 nr 1003) gäller sedan den 11 augusti 2026, och dess bestämmelser om tillsyn, förfarande och sanktioner gäller från den 28 oktober 2026 (art. 127 punkt 2). Marknadskontrollmyndighet är Kommissionen för utveckling och säkerhet inom artificiell intelligens (Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, KRiBSI) (art. 5.1). Kommissionen kontrollerar att AI Act och lagen följs, fattar beslut i ärenden om överträdelser, inrättar regulatoriska sandlådor och lämnar individuella yttranden (opinie indywidualne) (art. 6), och i Bulletinen för offentlig information (Biuletyn Informacji Publicznej) publicerar den en förteckning över AI-system som det har fattats beslut om sanktionsavgift för (art. 66.2).

KRiBSI ersätter inte ordföranden för UODO. Om ett AI-verktyg behandlar personuppgifter gäller GDPR fortfarande. Man måste fastställa ändamål och rättslig grund (art. 6.1 GDPR), bedöma om en konsekvensbedömning avseende dataskydd behövs (art. 35 GDPR), ingå ett personuppgiftsbiträdesavtal med leverantören (art. 28 GDPR) – med en uttrycklig bestämmelse om huruvida uppgifterna får användas för att träna modellen – och kontrollera var uppgifterna behandlas: överföring utanför Europeiska ekonomiska samarbetsområdet (EES) kräver en grund enligt kapitel V i GDPR. Ett typiskt problem: en anställd klistrar in sökandes cv:n i ett publikt AI-verktyg – utan avtal med leverantören och utan information till de sökande.

Det här hjälper vi till med:

• avtal med AI-leverantörer – klassificering av systemet, transparens, personuppgiftsbiträdesavtal, sekretess, rättigheter till resultaten, ansvar; se även avtalsrätt,
• policy för användning av AI – tillåtna verktyg, uppgifter som inte får matas in, dokumenterad utbildning av personalen (art. 4 AI Act),
• konsekvensbedömning – DPIA vid införande av AI och analys av om användningen kan innebära ett AI-system med hög risk,
• transparenskrav – information till kunder och sökande, upplysning om genererat innehåll (art. 50 AI Act),
• tillsyn – förberedelse av dokumentation, deltagande vid tillsyn av KRiBSI eller ordföranden för UODO samt ombudskap i förfarandet.

Vi börjar med en inventering – de flesta företag vet inte hur många AI-verktyg de anställda faktiskt använder.

Var vi är verksamma

Advokatbyrån ligger i Gdańsk på al. Grunwaldzka 87/91 lok. 10. Vi biträder företag och institutioner från hela Trestadsområdet (Trójmiasto) – Gdańsk, Gdynia och Sopot – samt från Pruszcz Gdański, Rumia, Reda, Wejherowo, Kartuzy, Żukowo, Kościerzyna, Tczew, Starogard Gdański och Malbork. Införanden, granskningar och ombudsuppdrag inför ordföranden för UODO utför vi även på distans, för klienter från hela Polen. Kontakta oss.

Vanliga frågor

Måste ett litet företag föra ett register över behandling?

Undantaget för företag med färre än 250 anställda gäller inte om behandlingen inte är tillfällig, kan medföra risker eller omfattar särskilda kategorier av uppgifter (art. 30.5 GDPR). Löpande kundhantering eller personalhantering är regelbunden behandling, så i praktiken bör de flesta företag föra ett register.

Måste varje incident anmälas till UODO?

Nej. En incident behöver inte anmälas om det är osannolikt att den medför en risk för fysiska personers rättigheter eller friheter (art. 33.1 GDPR). Varje incident måste dock dokumenteras internt (art. 33.5 GDPR), och det är klokt att skriva ner riskbedömningen, eftersom myndigheten kan granska den.

Måste jag ha ett dataskyddsombud?

Endast i de fall som anges i art. 37.1 GDPR – bland annat i offentliga organ och när kärnverksamheten består av övervakning av registrerade eller behandling av särskilda kategorier av uppgifter i stor omfattning. I övriga företag är det frivilligt att utse ett dataskyddsombud.

Kan beslut av ordföranden för UODO överklagas?

Inte till en andra instans inom förvaltningen – förfarandet sker i en instans (art. 7 ust. 2 u.o.d.o.). Talan kan föras vid regional förvaltningsdomstol inom 30 dagar från delgivningen av beslutet.

Hur lång tid har jag på mig att svara på en begäran om tillgång till uppgifter?

En månad från mottagandet av begäran, med möjlighet till förlängning med två månader i komplicerade ärenden eller vid ett stort antal begäranden – den registrerade måste underrättas om förlängningen innan den första månaden har löpt ut (art. 12.3 GDPR).

Var stämmer jag ett företag för läckage av mina uppgifter?

Vid regional domstol (sąd okręgowy) – den är behörig i mål om anspråk på grund av överträdelse av bestämmelserna om skydd av personuppgifter, oberoende av tvisteföremålets värde (art. 93 u.o.d.o.). Du måste visa överträdelsen, skadan och orsakssambandet.

Finns GIODO fortfarande?

Nej. Sedan den 25 maj 2018 är tillsynsmyndigheten ordföranden för den polska dataskyddsmyndigheten (Prezes Urzędu Ochrony Danych Osobowych). Om dina handlingar hänvisar till GIODO behöver de med största sannolikhet uppdateras.