Twoje dane - Twoja sprawa 2026/2027: co szkoła dostaje i co musi zrobić
czytaj więcej
Nowa osoba przychodzi do pracy, dostaje do podpisania oświadczenie, że zapoznała się z procedurami ochrony danych, czasem ogląda krótką prezentację. I na tym koniec, na kolejne lata. Jeśli tak wygląda szkolenie RODO dla pracowników w Twojej firmie, Urząd Ochrony Danych Osobowych (UODO) ma dla Ciebie złą wiadomość: to nie daje realnej ochrony.
Poniżej opisuję, co UODO napisał o szkoleniach we wrześniowym biuletynie, jak często szkolić, czego uczyć poszczególne osoby i jak udowodnić, że szkolenie zadziałało.
Spis treści
Kara dla szpitala we Francji i podstawy bezpieczeństwa - 500 tys. euro
3 września 2026 r. francuski urząd ochrony danych (CNIL) ogłosił karę 500 tys. euro dla prywatnego szpitala, w którym atakujący uzyskał dostęp do danych 524 867 pacjentów. Zawiodły zabezpieczenia, nie szkolenia: logowanie z zewnątrz bez VPN (szyfrowanego połączenia) i bez drugiego składnika logowania (np. kodu z telefonu), zbyt szerokie uprawnienia i brak wykrywania nietypowej aktywności. Drugim naruszeniem był brak zawiadomienia 202 246 „osób zaufanych” wskazanych przez pacjentów (art. 34 RODO).
Firmie w Polsce za zaniedbania w zabezpieczeniach grozi kara do 10 mln euro albo do 2% rocznego światowego obrotu, jeśli ta kwota jest wyższa (art. 83 ust. 4 RODO), a szpitalowi działającemu jako samodzielny publiczny zakład opieki zdrowotnej najwyżej 100 tys. zł (art. 102 ust. 1 ustawy o ochronie danych osobowych). Sprawę opisuje Biuletyn UODO, który w tym samym wydaniu pisze o ludzkiej stronie zabezpieczeń, czyli o szkoleniach.
Co dokładnie zawiodło w tym szpitalu i co sprawdzić w polskiej przychodni, opisuję we wpisie Wyciek danych medycznych: kara dla szpitala we Francji, kary w Polsce i co sprawdzić w przychodni.
Szkolenie przy zatrudnieniu i podpis nie wystarczą - co pisze UODO
W artykule „Skuteczne szkolenia z ochrony danych osobowych” urząd pisze, że kontrole i analiza naruszeń pokazują, iż wiele szkoleń nie buduje świadomości adekwatnej do ryzyka. Chodzi zwłaszcza o błędy pracowników, takie jak niewłaściwe udostępnienie danych czy podatność na phishing, czyli wiadomości podszywające się pod kogoś zaufanego.
UODO opisuje podejście „przeszkoliłem pracownika i mam spokój”: krótkie szkolenie po zatrudnieniu, podpis pod oświadczeniem i potem przez lata nic. Powołując się na międzynarodowe standardy, urząd ocenia takie podejście jako błędne, bo nie daje realnej ochrony. Zmieniają się przepisy, technologie, procedury i metody przestępców.
Co nie znaczy, że podpis przy zatrudnieniu jest zbędny. Jeśli pracownik odejdzie, zanim go złożył, już go nie zdobędziesz. Co wtedy zrobić, opisujemy we wpisie Upoważnienie do przetwarzania danych osobowych: pracownik odszedł bez podpisu.
Jak często robić szkolenie RODO dla pracowników
RODO nie podaje konkretnej częstotliwości. Biuletyn UODO opisuje za to, z czego ma się składać program szkoleń:
- rzetelne szkolenie wstępne dla każdej nowej osoby i dla osoby, która zmienia stanowisko,
- regularne aktualizacje polityk i procedur dla wszystkich, w zaplanowanych odstępach czasu,
- dodatkowe szkolenia po zmianach prawa, po wdrożeniu nowych technologii i po incydentach.
Roczny cykl nie daje automatycznej gwarancji. W artykule „Jak testować, mierzyć i oceniać skuteczność zabezpieczeń” UODO przywołuje wyrok Wojewódzkiego Sądu Administracyjnego (WSA) w Warszawie (II SA/Wa 1342/23, nieprawomocny), według którego szkolenie przeprowadzone rok przed naruszeniem może okazać się niewystarczające. Dlatego, jak pisze urząd, jego skuteczność trzeba sprawdzać, zwłaszcza po pewnym czasie. Częstotliwość dobierasz do ryzyka, a szkolenia po incydencie czy zmianie dokładasz do harmonogramu, a nie zastępujesz nimi harmonogramu.
Inne szkolenie dla informatyka, inne dla recepcji
Drugi błąd, który wskazuje urząd, to ten sam materiał dla wszystkich. Każde stanowisko niesie inne ryzyko, więc treść ma pasować do roli:
- dns
Informatyka
Bezpieczna konfiguracja systemów, zarządzanie siecią, zasady bezpiecznego programowania.
- calculate
Księgowość i kadry
Dokumenty z danymi osobowymi, kontrola dostępu, poczta elektroniczna i programy, z których korzystają.
- support_agent
Sekretariat i pierwsza linia kontaktu
Rygorystyczne sprawdzanie tożsamości interesantów: osób, które przychodzą, dzwonią albo piszą po informacje.
Szkolenie z cyberbezpieczeństwa dla pracowników: phishing i socjotechnika
UODO pisze, że szkolenie nie może być recytacją przepisów i regulaminów. Ma dotyczyć zagrożeń, które naprawdę pojawiają się na danym stanowisku. Plagą są ataki socjotechniczne, czyli manipulowanie ludźmi, żeby coś zrobili albo zdradzili poufne informacje, w tym phishing.
Pracownik ma umieć rozpoznać podejrzanego maila, zainfekowany plik i fałszywą stronę, wiedzieć, jak zareagować i komu zgłosić incydent. Urząd podkreśla też, że trzeba wyjaśniać nie tylko „jak”, ale i „dlaczego”, a na szkoleniu korzystać z wniosków z prawdziwych incydentów.
Szkolenie ma też uczyć zwykłych sytuacji, w których nikt nie atakuje, a dane i tak trafiają tam, gdzie nie powinny. Cztery takie sprawy z biuletynów UODO opisujemy we wpisie Naruszenie RODO przez pracownika: 4 upomnienia UODO bez kary pieniężnej: film z danymi klienta, ujawnione zwolnienie lekarskie, anonim na zebraniu w szkole i skarga z nazwiskiem w nazwie pliku.
Lista obecności nie dowodzi skuteczności szkolenia
Szkolenie to środek organizacyjny, a art. 32 ust. 1 lit. d RODO wymienia, odpowiednio do ryzyka, regularne testowanie, mierzenie i ocenianie skuteczności takich środków. Biuletyn UODO odnosi to także do szkoleń. W artykule o szkoleniach UODO stwierdza wprost: samo przeprowadzenie wykładu i zebranie podpisów to żaden dowód, że pracownicy czegoś się nauczyli.
Ten sam artykuł wymienia trzy sposoby sprawdzenia:
- test wiedzy zaraz po szkoleniu i wyrywkowo między szkoleniami,
- kontrolowane akcje phishingowe i ćwiczenia reagowania na incydent, które w bezpiecznych warunkach pokazują, czy ludzie rozpoznają atak i stosują procedurę zgłaszania,
- pętla zwrotna: wyniki testów i symulacji mają wskazywać luki i zmieniać kolejną edycję szkolenia, a nie trafiać do szuflady.
Co pokazać przy kontroli: dowód, że szkolenie zadziałało
Skoro lista obecności nie wystarcza, przy kontroli przydadzą się dokumenty, które pokazują cały cykl. Na podstawie opisu UODO proponuję taki komplet:
- plan szkoleń z terminami aktualizacji,
- materiały dopasowane do stanowisk,
- wyniki testów wiedzy,
- raporty z ćwiczeń, np. z kontrolowanego phishingu,
- wnioski i zmiany w programie po każdej edycji i po incydentach.
Nie musi to być gruby segregator. W małej firmie: krótki test po szkoleniu, zapisane wyniki i notatka, co po nich zmieniliście w następnej edycji.
Najczęstsze pytania o szkolenie RODO dla pracowników
Czy szkolenie RODO dla pracowników jest obowiązkowe?+
W praktyce tak, choć RODO nie nazywa tego wprost. Wymaga, żeby osoby z dostępem do danych przetwarzały je tylko na polecenie administratora (art. 32 ust. 4 RODO), a skuteczność zabezpieczeń była, odpowiednio do ryzyka, regularnie oceniana. Szkolenia personelu pojawiają się też wprost wśród zadań inspektora ochrony danych (art. 39 ust. 1 lit. b RODO). Biuletyn UODO zaleca szkolenia cykliczne.
Jak często powtarzać szkolenia z zakresu ochrony danych osobowych?+
Przepisy nie podają liczby miesięcy. Biuletyn UODO zaleca szkolenie wstępne, aktualizacje w zaplanowanych odstępach i dodatkowe szkolenia po zmianach prawa, nowych technologiach i incydentach.
Czy szkolenie RODO online się liczy?+
Forma nie jest przesądzona. Liczy się, czy treść pasuje do stanowiska i czy potrafisz pokazać, że pracownik się nauczył, np. wynikiem testu wiedzy.
Czym jest kontrolowany phishing?+
To przygotowana przez firmę wiadomość udająca atak, wysłana do pracowników, żeby sprawdzić, czy ją rozpoznają i zgłoszą. UODO wymienia takie akcje jako sposób oceny skuteczności szkoleń.
Od czego zacząć szkolenia RODO w firmie
Zaplanuj datę następnej aktualizacji szkolenia już dziś i zapisz ją w planie. O tym, co jeszcze składa się na ochronę danych, przeczytasz we wpisie RODO w firmie, a o tym, jaką pocztę wybrać, żeby była zgodna z RODO, we wpisie firmowy e-mail a RODO.
Szkolenia dopasowane do branży i firmy prowadzimy w ramach szkoleń RODO. Napisz do mnie, doradzę Ci, od czego zacząć.
