Szkolenia RODO - najczęstsze błędy. Sprawdź, jak uniknąć kar!

1. Nieregularne szkolenia RODO

Badania przeprowadzone pod patronatem Urzędu Ochrony Danych Osobowych wykazały, że 81% firm z sektora MŚP szkoli swoich pracowników z zakresu ochrony danych osobowych, jednak 59% z nich robi to tylko raz – podczas wdrożenia do pracy. Aż 20% przedsiębiorstw nie prowadzi takich szkoleń wcale. UODO zwraca uwagę na konieczność regularnych i cyklicznych szkoleń, dostosowanych do pojawiających się nowych zagrożeń.

Szkolenie jednorazowe, albo raz na kilka lat to zdecydowanie za mało. Powinno się je powtarzać co najmniej raz w roku, a w razie potrzeby także po incydentach związanych z ochroną danych. Regularne szkolenia pomagają utrzymać wysoki poziom świadomości w organizacji.

Błąd ludzki stanowi ponad 70% przyczyn wszystkich incydentów bezpieczeństwa informacji, w związku z czym budowanie świadomości pracowników jest niezbędne. Administrator może wdrożyć najbardziej restrykcyjne zabezpieczenia fizyczne i organizacyjne, natomiast jeśli nie zadba o budowanie świadomości swoich pracowników o ochronie danych osobowych, to pozostałe zabezpieczenia nie uchronią go przed niepożądanymi sytuacjami, które mogą wystąpić w organizacji.

2. Szkolenie oderwane od rzeczywistości

Unikajmy ogólników i prawniczej retoryki. Zamiast tego koncentrujmy się na realnych zagrożeniach, z którymi pracownicy mogą się spotkać. Szkolenia powinny być dostosowane do specyfiki różnych grup pracowników, np. działu IT, marketingu czy obsługi klienta. Szkolenia powinny też być dostosowane do rodzaju zagrożeń bezpieczeństwa jakie niesie środowisko pracy indywidualne dla każdej organizacji, stąd w jednym przypadku położymy szczególny nacisk na obszar pracy zdalnej a w innym dojdą tematy cyberataków z użyciem AI i zasad użycia narzędzi opartych o technologię AI.

Data Protection Impact Assessment (ocena skutków dla ochrony danych). Sprawdź, jak wypełnić DPIA!

3. Brak dokumentacji uczestnictwa

Administrator zobowiązany jest do wykazania działań podjętych w związku z prowadzonymi szkoleniami, bowiem ciąży na nim stosowanie zasady "rozliczalności" wynikającej z art. 5 ust. 2 ogólnego rozporządzenia. Zasada to odnosi się do przetwarzania danych osobowych i i mówi o tym, że administrator jest odpowiedzialny za przestrzeganie przepisów RODO i musi być w stanie to wykazać.

Należy rejestrować daty szkoleń, listy uczestników oraz metody uczestnictwa. W przypadku szkoleń online warto zachować dane logowania, np. adresy IP uczestników. W szkoleniach stacjonarnych można stosować listy obecności lub podpisy.

Prowadzisz JDG? Dokumentacja RODO przygotowana przez LexDigital to kompletny pakiet, zawierający m.in rejestr kategorii czynności przetwarzania i wzór umowy powierzenia. Rozwiąż kwestię dokumentacji jednym kliknięciem!

4. Szkolenia fakultatywne

Szkolenia z ochrony danych osobowych nie powinny być opcjonalne! Firmy powinny wprowadzić mechanizmy egzekwowania obowiązku szkoleniowego, a w przypadku odmowy udziału – wdrażać odpowiednie sankcje, np. ostrzeżenia lub ograniczenie dostępu do niektórych systemów.

5. Pomijanie AI

System ochrony danych osobowych musi być na bieżąca aktualizowany, aby działać prawidłowo. W ostatnich latach obserwujemy gwałtowny wzrost cyberataków opartych na technologii AI, takich jak:

• Deepfake phishing (vishing) – ataki wykorzystujące syntetyzowany głos lub wideo do podszywania się pod osoby zaufane (np. CEO), co prowadzi do wyłudzenia danych lub środków finansowych.
• AI-powered spear phishing – zautomatyzowane kampanie phishingowe generowane przez modele językowe, które personalizują treść ataku na podstawie danych dostępnych online.
• Automatyczne skanowanie podatności – AI wykorzystywana do szybkiego identyfikowania luk bezpieczeństwa w systemach.
• Ataki na modele AI (np. model stealing, data poisoning) – coraz istotniejsze w kontekście organizacji wdrażających AI do przetwarzania danych osobowych.

W związku z tym szkolenia muszą uwzględniać aktualne techniki ataków wykorzystujących AI, ich charakterystykę oraz sposoby reagowania. To nie tylko kwestia bezpieczeństwa informatycznego, ale również zgodności z zasadą integralności i poufności (art. 5 ust. 1 lit. f RODO). Nowym, ale coraz pilniejszym obszarem szkoleń są tematy związane z użytkowaniem narzędzi opartych na AI (np. Copilot, ChatGPT, Claude, Gemini) przez pracowników różnych działów.

Punkt styku z RODO i AI Act:

AI Act w art. 4 ust. 4 i art. 29 wprowadza obowiązek zapewnienia odpowiedniego poziomu „AI literacy” (kompetencji w zakresie korzystania z AI) dla osób mających styczność z systemami AI – zarówno jako użytkownicy, jak i twórcy. Z kolei RODO wymaga, by przetwarzanie danych osobowych było minimalne, adekwatne i ograniczone do celu (art. 5 ust. 1 lit. c) – co ma zastosowanie również w kontekście wprowadzania danych do systemów AI.

AI literacy, czyli „kompetencje cyfrowe dotyczące sztucznej inteligencji”, oznacza nie tylko wiedzę, jak korzystać z AI, ale również rozumienie ryzyk, zasad etycznych i zgodności z prawem. Zgodnie z (art. 4 ust. 4 i art. 29) AI Act pracodawcy (zwłaszcza administracje publiczne) są zobowiązani do zapewnienia pracownikom odpowiedniego przeszkolenia z korzystania z AI – nie tylko pod kątem wydajności, ale również odpowiedzialnego i zgodnego z prawem przetwarzania danych.

W przypadku stosowania systemów wysokiego ryzyka (high-risk AI), organizacje muszą udowodnić, że użytkownicy rozumieją sposób działania, ograniczenia i ryzyka systemów– co wprost wymusza szkolenia dedykowane.

Szkolenia ochrony danych osobowych w kontekście AI - podstawowe zagadnienia:

• Jakie dane można wprowadzać do narzędzi AI? Czym różni się „prompt” bezpieczny od ryzykownego?
• Dlaczego nie należy podawać danych osobowych (np. PESEL, CV klientów, dane zdrowotne) do ogólnodostępnych systemów AI?
• Kiedy dane wprowadzone do AI mogą być przetwarzane poza EOG i jakie są tego konsekwencje?
• Jakie są ryzyka związane z wykorzystaniem danych w promptach (np. utrata kontroli nad danymi, transfer do państw trzecich)?
• Jak identyfikować systemy “black box”, które nie pozwalają użytkownikowi zrozumieć, gdzie trafiają dane?
• Czym różni się AI lokalna/on-premise od AI w chmurze i jakie to ma znaczenie dla ochrony danych?
• Co zrobić, gdy przez pomyłkę użytkownik wprowadził dane osobowe do nieautoryzowanego systemu AI?
• Jakie narzędzia w firmie wspierają bezpieczne korzystanie z AI?

Rekomendacje praktyczne dotyczące uzupełnienia szkoleń o komponenty AI

1. Wprowadź moduły o AI do istniejących szkoleń RODO – np. 30-minutowy blok o zasadach bezpiecznego promptowania i minimalizacji danych.
2. Dostosuj szkolenia AI literacy do ról, przykładowo:
   • HR: korzystanie z AI w rekrutacji → ryzyko dyskryminacji, profilowania.
   • IT: analiza danych logów w AI → ochrona identyfikatorów użytkowników.
   • Marketing: generowanie treści z AI → ryzyko naruszenia prywatności klientów.
3. Uwzględnij w polityce bezpieczeństwa zakaz korzystania z nieautoryzowanych systemów AI do przetwarzania danych osobowych.
4. Dokumentuj szkolenia AI i ich zakres jako część dowodu zgodności z RODO i AI Act.

Szkolenie RODO - najczęściej zadawane pytania

Jak mierzyć skuteczność szkoleń RODO?

Uwaga – zwiększenie częstotliwości szkoleń prowadzonych przez IOD nie zmniejszy ilości rejestrowanych incydentów. Szkolenia mają wpływać na rozwój świadomości pracowników dotyczącej między innymi tego, jakie zdarzenia są incydentami z obszaru ochrony danych osobowych oraz jakie konsekwencje mogą spotkać pracowników za brak zgłoszenia incydentu.

Zatem efektem szkoleń nie będzie zmniejszenie liczby incydentów w rejestrze administratora, a wręcz przeciwnie, świadomy personel będzie przekazywał informacje o każdym, nawet niegroźnym incydencie, w związku z czym liczba incydentów w rejestrze będzie przyrastała. Jest to pożądane zjawisko, bowiem w przypadku kontroli pracowników Urzędu Ochrony Danych Osobowych taki rejestr incydentów wewnętrznych będzie potwierdzeniem wysokiej świadomości pracowników, w przeciwieństwie do rejestru, w którym liczba pozycji byłaby równa zeru.

Pełna lista zadań IOD (dawniej: administrator bezpieczeństwa informacji). Sprawdź nasz artykuł!

Kiedy trzeba przeprowadzać szkolenia RODO?

Kurs RODO jest konieczny w następujących sytuacjach:

• rozpoczęcie pracy przez nowo zatrudnionego pracownika;
• zmiana przepisów prawnych — dotyczy to nie tylko samego RODO, ale także zmian w przepisach branżowych stanowiących w wielu organizacjach podstawę do przetwarzania danych osobowych;
• zmiana regulacji wewnętrznych w firmie;
• zmiana struktury organizacyjnej firmy;
• postępowanie po incydencie lub naruszeniu;

Pierwsze szkolenie powinno być przeprowadzone w procesie onboardingu pracownika, czyli w pierwszych dniach zatrudnienia. Jest to absolutne minimum przy dopuszczeniu pracownika do przetwarzania danych osobowych. Szkolenie to powinno być pierwszym, ale oczywiście nie jedynym, w jakim będzie uczestniczył zatrudniony. Kolejne szkolenia powinny być dostosowane do potrzeb danego stanowiska pracy i zakresu zadań, jakie wykonuje pracownik na danych osobowych.

Konieczność organizacji i przeprowadzenia szkolenia może być też konsekwencją zgłoszenia naruszenia do Prezesa UODO, w którym takie działanie wskazano jako środek zaradczy występowaniu kolejnych naruszeń. Takie rodzaje szkoleń są niezwykle ważne dla organizacji, ponieważ z jednej strony są oparte na własnym doświadczeniu organizacji (na zdarzeniu, któremu nie udało się zapobiec), a z drugiej strony mają ograniczyć występowanie podobnych naruszeń w przyszłości.

Prezes UODO w toku postępowania wyjaśniającego może zwrócić się do administratora nie tylko o potwierdzenie uczestnictwa pracowników w szkoleniu, ale także może poprosić o dostarczenie treści materiałów szkoleniowych.

Szkolenie RODO a kontrola organu nadzorczego

Należy pamiętać, że świadomość personelu to jedna z podstawowych kwestii, która może być weryfikowana podczas każdej kontroli prowadzonej przez Urząd Ochrony Danych Osobowych. Każdy z nas bowiem może być tzw. świadkiem w czasie kontroli i zostać poproszony o wyjaśnienie zasad przetwarzania danych w określonym obszarze.

Ile kosztuje szkolenie RODO?

Wszystko zależy od poziomu umiejętności, jaki chcesz osiągnąć. Podstawowe szkolenie RODO w formie kursu online to wydatek rzędu kilkuset złotych za osobę. Interaktywne szkolenie online "na żywo" będzie droższe (300-700 zł/osoba), ale praktyczna wiedza prowadzącego może okazać się bezcenne. Szkolenie stacjonarne może kosztować 500-1200 zł, a szkolenie zamknięte dla firmy 1500-5000 zł za grupę.

Szukasz tańszej i szybszej opcji? Skorzystaj z naszego pakietu ze szkoleniem dla pracowników! Znajdziesz w nim prezentację, broszurę dotyczącą RODO oraz test wiedzy.

Ile trwa szkolenie RODO?

Szkolenie RODO trwa zazwyczaj od 2 do 4 godzin w przypadku pracowników, którzy nie pełnią funkcji Inspektora ochrony danych osobowych w organizacji. IOD obowiązują znacznie bardziej rygorystyczne wymagania, co w praktyce oznacza konieczność przejścia specjalnego, dłuższego kursu w obszarze ochrony danych osobowych oraz aktualizowania wiedzy co najmniej raz na rok.

Czy prowadzenie szkoleń należy do funkcji IOD?

Budowanie świadomości osób pracujących to jedno z elementarnych zadań inspektora ochrony danych. Organizacje, które powołały inspektorów ochrony danych osobowych powinny mieć regularne szkolenia z zakresu przepisów o ochronie danych osobowych. Trzeba jednak pamiętać, że nawet podmioty niezobligowane do powołania inspektora ochrony danych muszą tego typu kursy dla pracowników przeprowadzać, a obowiązek ten spoczywa wówczas na administratorze danych.

Inspektor Ochrony Danych - outsourcing. Szukasz komfortu i bezpieczeństwa? Wybierz LexDigital!

Top 5 błędów w szkoleniach RODO - lista LexDigital

Uniknij tych najczęstszych błędów, aby znacząco poprawić obszar bezpieczeństwa informacji w miejscu pracy:

• nieregularne szkolenia
• szkolenie oderwane od rzeczywistości, skupione na teorii
• pomijanie AI
• brak dokumentacji uczestnictwa
• brak obowiązku szkolenia

Jaki zakres szkolenia RODO wybrać dla swojej organizacji?

Podstawowe szkolenie z zakresu ochrony danych osobowych powinno obejmować następujące zagadnienia:

• przepisy prawa z zakresu ochrony danych osobowych;
• podstawowe definicje (np. dane osobowe, przetwarzanie danych osobowych, administrator, podmiot przetwarzający);
• role poszczególnych osób/stanowisk w systemie ochrony danych;
• podstawy prawne przetwarzania danych;
• szczególne obowiązki pracownika (praktyczne przykłady);
• naruszenia ochrony danych (przykłady, zasady dotyczące zgłaszania);
• konsekwencje nieprzestrzegania zasad i przepisów dotyczących bezpieczeństwa informacji;
• najlepsze praktyki ochrony danych.

Coraz bardziej popularne stają się np. szkolenia z zakresu analizy ryzyka, z zasady privacy by design i privacy by default, transferu danych poza EOG, a także przeznaczone dla poszczególnych grup pracowników np. dla działu marketingu, dla HR, biura obsługi klienta, dla DevOps i obsługi infrastruktury IT. Są to tylko przykładowe szkolenia, ale wachlarz zagadnień związanych z tematyką ochrony danych osobowych jest naprawdębardzo szeroki i spersonalizowany. Nowym, ale coraz pilniejszym obszarem szkoleń są tematy związane z użytkowaniem narzędzi opartych na AI (np. Copilot, ChatGPT, Claude, Gemini) przez pracowników różnych działów.

Wnioski – dlaczego szkolenia są kluczowe dla ochrony danych?

Organy ochrony danych w UE jednoznacznie wskazują na konieczność i znaczenie szkoleń personelu w zakresie ochrony danych osobowych jako kluczowego elementu zapewnienia zgodności z RODO i budowania kultury bezpieczeństwa w organizacji. Szkolenia z zakresu ochrony danych osobowych są nie tylko środkiem zapewniającym zgodność z przepisami, ale także kluczowym elementem budowania świadomości wśród pracowników. Przeszkolony personel jest bardziej świadomy potencjalnych zagrożeń i potrafi skuteczniej reagować na naruszenie ochrony danych osobowych. Regularne i dostosowane do specyfiki organizacji szkolenia minimalizują ryzyko naruszeń i potencjalnych kar finansowych.

Mimo to szkolenia są jednym z najczęściej pomijanych środków organizacyjnych, choć mają kluczowe znaczenie dla bezpieczeństwa danych. Brak wiedzy i świadomości wśród pracowników może prowadzić do błędów, które skutkują poważnymi naruszeniami RODO i wysokimi karami finansowymi.

Warto więc spojrzeć na szkolenia nie jako przykry obowiązek, ale jako strategiczne narzędzie zarządzania ryzykiem. Pamiętajmy, że dobre szkolenia to nie tylko zgodność z RODO – to także budowanie kultury bezpieczeństwa w organizacji, która minimalizuje ryzyko incydentów i zapewnia większą ochronę zarówno firmie, jak i jej klientom.

Nie ryzykuj kar za błędy w szkoleniach RODO. Kliknij przycisk, aby umówić bezpłatną 15-minutową konsultację i otrzymać plan naprawczy [Chcę uniknąć kar]