#dane-osobowe — Public Fediverse posts

Wypłynęły dane osobowe z Urzędu Gminy w Nowym Tomyślu
https://nowytomysl.pl/zawiadomienie-o-nieuprawnionym-ujawnieniu-danych-osobowych/
#rodo #daneosobowe @niebezpiecznik_pl @avolha @sekurakbot

Dane dzieci i rodziców z kilku żłobków były dostępne publicznie

Pliki umów zawartych pomiędzy rodzicami a żłobkami w Łodzi były dostępne publicznie i możliwe do pobrania przez każdego. Powód? Błąd w aplikacji, która miała ułatwiać organizowanie pracy w żłobkach.
Co się wydarzyło?
Jak poinformowała nas pewna zaniepokojona osoba, na jednej stronie powiązanej z Politechniką Łódzką dostępny był taki oto indeks plików:

Indeks obejmował ponad 4900 plików PDF zatytułowanych jako “umowa” (większość plików) lub “aneks” (niektóre). Znajdowało się tam także kilkadziesiąt plików ZIP, ale tych nie dało się pobrać. Każdy z plików PDF był kopią umowy zawartej pomiędzy rodzicami a kierownikiem jednego z miejskich żłobków w Łodzi. W umowach znajdowały się następujące dane rodziców lub opiekunów dziecka w tym:

nazwiska,
numery PESEL,
adresy zamieszkania,
numery telefonów.

Niektóre pliki zawierały puste pola, ale nie analizowaliśmy pełnego zestawu tych danych i nie wiemy jaki odsetek mogły stanowić pliki bez danych lub z cząstkowymi danymi. Pliki z umowami były dodawane w latach 2024-2025.

 
Numery PESEL dzieci też wyciekły
Wyciekły również numery PESEL dzieci ponieważ były one zawarte w nazwach plików. Aplikacja miała też inne niezabezpieczone endpointy, które dawały dostęp do innych danych np. na temat wyżywienia. Trafiały się w nich imiona i nazwiska dzieci oraz – w niektórych przypadkach – adresy zamieszkania dzieci.
Na podstawie wszystkiego co wyciekło dałoby się wywnioskować różne dodatkowe informacje np. czy rodzice mieszkają razem albo u którego z rodziców mieszka dziecko, albo czy dieta wskazuje na jakąś chorobę. Nie dokonywaliśmy takich analiz, ale potencjał tego co ujrzeliśmy był dla nas dość oczywisty.
Co robiły dane rodziców na [...]

#Łódź #DaneOsobowe #Dzieci #RODO #Wyciek #Złobki

https://niebezpiecznik.pl/post/dane-dzieci-i-rodzicow-z-kilku-zlobkow-byly-dostepne-publicznie/

📰 "Katarzyna Szymielewicz, Wojciech Klicki: Nie ma darmowych ubezpieczeń

W 2019 r. największy polski ubezpieczyciel PZU zaoferował wszystkim rodzicom bezpłatne ubezpieczenie ich dzieci na wakacje. Bezpłatne, ale nie darmowe. Żeby skorzystać z oferty, rodzice musieli wyrazić zgodę na przetwarzanie swoich danych w celach marketingowych przez grupę kapitałową PZU. A więc de facto zapłacić danymi."

https://www.rp.pl/opinie-prawne/art43366471-katarzyna-szymielewicz-wojciech-klicki-nie-ma-darmowych-ubezpieczen

#prywatność #daneOsobowe #społeczeństwo #ubezpieczenia

Policja nie może przechowywać danych bez wyraźnego celu – ważny wyrok NSA

W 2020 roku młody mężczyzna, znany jako JK, starał się o przyjęcie do służb mundurowych. Napotkał jednak problem – w Krajowym Systemie Informacyjnym Policji (KSIP) nadal widniały informacje o postępowaniu karnym toczącym się dwa lata wcześniej. JK był podejrzany o spowodowanie wypadku komunikacyjnego, ale jego sprawę umorzono. Mężczyzna, który od tamtego czasu nie złamał prawa, zwrócił się do Komendanta Głównego Policji o usunięcie niekorzystnych danych z KSIP i… otrzymał odmowę. Postanowił zaskarżyć tę decyzję do UODO i w ten sposób rozpoczął się bardzo ciekawy, pięcioletni spór o prawo do ochrony danych osobowych.
Jak długo Policja może przechowywać Twoje dane?
Nie dłużej, niż to potrzebne. Zgodnie z art. 31 ust. 1 ustawy o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości rolą administratora danych jest m.in. zapewnienie, aby dane osobowe były przetwarzane w konkretnych i uzasadnionych celach oraz adekwatne, stosowne i nienadmierne do celów, dla których są przetwarzane.
W swojej decyzji Prezes UODO tłumaczy, że
ustalenie celu w jakim dane są przetwarzane kształtuje okres, od którego nie powinny być przetwarzane
W przypadku JK, umorzenie postępowania przeciw niemu nastąpiło w listopadzie 2019 roku. Dla prezesa UODO sprawa była jasna — dalsze przetwarzanie danych JK jest zbędne. PUODO zatem nakazał ich usunięcie.
Ale Komendant Główny Policji pozostawał przy swoim stanowisku i uzasadniał, że tylko on lub upoważnione przez niego organy mają prawo weryfikować dane osobowe zgromadzone w KSIP pod kątem przydatności do realizacji zadań Policji, a Prezes UODO nie ma takiej władzy. Zaskarżył więc decyzję najpierw do Wojewódzkiego, a następnie Naczelnego Sądu [...]

#DaneOsobowe #NSA #Policja #UODO

https://niebezpiecznik.pl/post/policja-nie-moze-przechowywac-danych-bez-wyraznego-celu-wazny-wyrok-nsa/

Dane klientów SuperGrosz na sprzedaż w sieci? Kolejna firma pada ofiarą ataku hakerskiego

Ostatnie dni przynoszą wiele informacji o incydentach bezpieczeństwa w różnych firmach. Przeglądając informacje o bieżących wydarzeniach, natrafiliśmy na wątek polskiej firmy finansowej, działającej w zakresie pożyczek oraz kart kredytowych – SuperGrosz.  TLDR: Oficjalny komunikat został opublikowany na stronie internetowej firmy. Na jednym z forów dla cyberprzestępców, ktoś zamieścił informacje o...

#WBiegu #Atak #Awareness #DaneOsobowe #Rodo #Supergrosz #Wyciek

https://sekurak.pl/dane-klientow-supergrosz-na-sprzedaz-w-sieci-kolejna-firma-pada-ofiara-ataku-hakerskiego/

⚠️ Uwaga na e-maile od NFZ o “zwrocie kosztów zakupu leków”

Otrzymujemy zgłoszenia, że oszuści podszywają się pod NFZ i wysyłają Polakom wiadomości o “zwrocie kosztów zakupu leków” oraz zachęcają do uzupełnienia formularza zwrotu.
Uzupełnienie formularza może spowodować nie zwrot, a kradzież pieniędzy z rachunku bankowego.
Jak wygląda fałszywa wiadomość?
Oto przykład wiadomości wysyłanej przez oszustów:

Wiadomości wysyłane są z adresu [email protected]. Jeśli ofiara kliknie w link, zostanie przekierowana na wiarygodnie wyglądającą stronę mojnfz.leczenie-opieka[.]com, która poprosi o uzupełnienie formularza danymi osobowymi i kontaktowymi, a następnie wyłudza dane karty płatniczej.

Po czym poznać, że to oszustwo?
Choć strona, na jaką przekierowuje link z wiadomości e-mail zawiera logotyp NFZ i ma w swoim adresie powiązane z NFZ wyrażenia, to nie jest to oficjalna strona NFZ. Jej domena nie kończy się na gov.pl. Dodatkowo, adres e-mail nadawcy e-maila nie jest adresem e-mail NFZ.
Pamiętaj, że rządowe instytucje wysyłają wiadomości z domeny gov.pl i w tej samej domenie mają swoje serwisy.
Uzupełniłem formularz, co teraz?
Jeśli podałeś dane swojej karty płatniczej, natychmiast zablokuj ją poprzez aplikację mobilną swojego banku i skontaktuj się z infolinią banku.
Uważaj także na kolejne próby kontaktu na dane, które podałeś w formularzu (e-mail, SMS, telefon). Nie jest wykluczone, że oszuści będą próbowali się z Tobą kontaktować pod różnymi pretekstami, udając nie tylko pracowników NFZ.

Przejrzyj listę popularnych w Polsce oszustw telefonicznych.

 
Ostrzeż starsze/chore osoby z rodziny
Spodziewamy się, że skuteczność tej kampanii może być największa wśród osób starszych i schorowanych, aktywnie korzystających z usług NFZ. Dlatego jeśli Wy nie [...]

#Cyberalert #DaneOsobowe #KartyPłatnicze #NFZ

https://niebezpiecznik.pl/post/uwaga-na-e-maile-od-nfz-o-zwrocie-kosztow-zakupu-lekow/

Bolt zaczął udostępniać prywatne e-maile i telefony kierowców

Jak informują nas użytkownicy aplikacji Bolt, w aplikacji zaczęły pojawiać się dane kontaktowe do kierowców. O ile wcześniej zamawiając przejazd można było zobaczyć tylko imię i ew. nazwę firmy z którą współpracował kierowca, to od wczoraj widać także:

adres email kierowcy (nawet jeśli ktoś jest podpięty pod tzw. partnera flotowego, to wyświetla się adres prywatny kierowcy)
numer telefonu kierowcy

O ile kierowcy taksówek liczą się z tym, że nie są osobami całkowicie anonimowymi (muszą prezentować imienny identyfikator w swoim samochodzie) to nagłe udostępnienie danych typu e-mail i telefon, bez wcześniejszego ostrzeżenia, że te właśnie dabe będą publicznie dostępne dla każdego klienta, budzi wśród nich niepokój.
Kierowcy zastanawiają się, czy jest to w ogóle potrzebne, bo przecież kontakt z nimi jest po zamówieniu przejazdu zawsze możliwy, zarówno poprzez chat jak i telefon (połączenie inicjowane przez aplikację i ukrywające numer).
Jeśli ten ruch Bolta nie jest pomyłką, to mam sugestię, która w zasadzie jest sugestią dla każdej firmy, która dochodzi do wniosku, że zacznie upubliczniać więcej danych na temat swoich użytkowników niż do tej pory: dajcie im szansę. Poinformujcie co będzie dostępne. I pozwólcie im zmienić te dane na inne, bo nie każdy czuje się komfortowo z udostępnianiem każdemu tego, co udostępnili swojemu np. swojemu pracodawcy.

#Bolt #DaneOsobowe

https://niebezpiecznik.pl/post/bolt-zaczal-udostepniac-prywatne-e-maile-i-telefony-kierowcow/

Konferencja „Bezpieczne dane dzieci i młodzieży oraz nowe kierunki rozwoju w obszarze kultury fizycznej. Jak sprostać współczesnym wyzwaniom?”

Już 10 października 2025 r. w Akademii Kultury Fizycznej im. Bronisława Czecha w Krakowie odbędzie się konferencja: „Bezpieczne dane dzieci i młodzieży oraz nowe kierunki rozwoju w obszarze kultury fizycznej. Jak sprostać współczesnym wyzwaniom?” Organizatorem wydarzenia jest Krakowski Szkolny Ośrodek Sportowy im. Szarych Szeregów w Krakowie, a partnerem Akademia Kultury...

#WBiegu #Bezpieczeństwo #Dane #DaneOsobowe #Dzieci #Konferencja #Medialny #Młodzień #Patronat #PatronatMedialny #Rodo #Szkoła #Uodo

https://sekurak.pl/konferencja-bezpieczne-dane-dzieci/

Kontrowersyjna zmiana na LinkedIn. Twoje CV i posty posłużą do trenowania AI, chyba że się sprzeciwisz

LinkedIn ogłosił, że od 3 listopada 2025 roku zacznie wykorzystywać dane użytkowników do trenowania własnych modeli sztucznej inteligencji.

Informacje z profili, publiczne posty, a nawet wgrywane CV posłużą jako materiał szkoleniowy dla narzędzi AI platformy. Decyzja ta wywołała falę krytyki, głównie dlatego, że zgoda na przetwarzanie danych będzie domyślna, a użytkownicy, którzy nie chcą brać w tym udziału, muszą aktywnie wyrazić swój sprzeciw.

Największe kontrowersje, oprócz automatycznego włączenia do programu, budzi kwestia danych historycznych. Jak informuje LinkedIn, ewentualna rezygnacja z udziału w trenowaniu AI będzie dotyczyła tylko tych danych, które zostaną zebrane po dacie wyrażenia sprzeciwu. Oznacza to, że cała nasza dotychczasowa aktywność – wszystkie posty, komentarze i dane profilowe zebrane do tego momentu – i tak pozostanie w środowisku treningowym i zostanie wykorzystana przez firmę.

Cyfrowa katastrofa w chmurze Microsoftu. Luka w Entra ID pozwalała na „perfekcyjną zbrodnię”

Sam proces rezygnacji jest stosunkowo prosty. Aby wyłączyć zgodę, należy wejść w „Ustawienia”, następnie przejść do sekcji „Prywatność danych” i wybrać opcję „Jak LinkedIn wykorzystuje Twoje dane”. Znajduje się tam przełącznik o nazwie „Dane na potrzeby ulepszania generatywnej sztucznej inteligencji”, który należy wyłączyć. Firma zaznacza, że w przypadku innych modeli AI i uczenia maszynowego (niegeneratywnych) należy złożyć osobny sprzeciw przez specjalny formularz.

Nowa polityka dotknie użytkowników z wielu regionów świata, w tym z całej Unii Europejskiej (a więc również z Polski), a także m.in. ze Szwajcarii, Kanady i Hongkongu. LinkedIn, którego właścicielem jest Microsoft, opiera swoje działania na klauzuli prawnej o „uzasadnionym interesie”, co pozwala firmie na wdrożenie takiej zmiany z domyślną zgodą. Firma potwierdziła jednocześnie, że dane osób poniżej 18. roku życia (konto na LinkedIn mogą założyć nie młodsi niż 16-latkowie) zostaną wykluczone z procesu trenowania.

Decyzja LinkedIn nie jest odosobnionym przypadkiem. Wpisuje się ona w szerszy trend obserwowany w branży technologicznej, gdzie giganci tacy jak Meta (właściciel Facebooka i Instagrama) również zaczęli wykorzystywać publiczne dane użytkowników do rozwoju swoich systemów AI. Dla użytkowników oznacza to, że ciężar ochrony własnej prywatności coraz częściej spoczywa na ich barkach, wymagając aktywnego działania i świadomego zarządzania ustawieniami.

Kopiuj na Windowsie, wklejaj na Androidzie. Microsoft pracuje nad nową funkcją w Phone Link

#AI #daneOsobowe #LinkedIn #mediaSpołecznościowe #Microsoft #news #prywatność #RODO #sztucznaInteligencja #trenowanieAI

„Twoje dane – Twoja sprawa” – ruszyła rekrutacja do programu organizowanego przez UODO.

Sekurak objął akcję patronatem medialnym. Szczegóły poniżej. Program „Twoje dane – Twoja sprawa” to ogólnopolski projekt edukacyjny UODO, który od 2009 r. buduje świadomość dzieci, młodzieży, nauczycieli i rodziców o ochronie danych osobowych. Zarówno forma, jak i tematyka programu ewoluują, odpowiadając na wyzwania technologiczne oraz społeczne. Program „Twoje dane –...

#WBiegu #DaneOsobowe #Patronat #PatronatMedialny #Rodo #Szkoła #Uodo

https://sekurak.pl/ruszyla-rekrutacja-do-xvi-edycji-programu-twoje-dane-twoja-sprawa/

🆕Wielka Brytania rezygnuje z żądań dostępu do zaszyfrowanych danych iCloud – triumf prywatności nad inwigilacją
➡️https://rootblog.pl/wielka-brytania-rezygnuje-z-zadan-dostepu-do-zaszyfrowanych-danych-icloud-triumf-prywatnosci-nad-inwigilacja/

#apple #bezpieczestwo #DaneOsobowe #iCloud #inwigila

Zwierzasz się AI? Twoje sekrety mogły trafić do Google. Wielka wpadka OpenAI

OpenAI, twórca popularnego chatbota ChatGPT, stanęła w obliczu poważnego kryzysu wizerunkowego po tym, jak prywatne i często bardzo osobiste rozmowy użytkowników zostały odnalezione w wynikach wyszukiwania Google.

Po fali krytyki firma w pośpiechu wycofała kontrowersyjną funkcję i rozpoczęła usuwanie zaindeksowanych czatów z sieci. Sprawę jako pierwszy nagłośnił serwis Fast Company, który poinformował o tysiącach rozmów z ChatGPT widocznych publicznie w wyszukiwarce Google. Problem wynikał z funkcji udostępniania czatów. Użytkownicy, chcąc podzielić się linkiem do rozmowy, mogli nieświadomie zaznaczyć pole opatrzone etykietą „Uczyń ten czat wykrywalnym”. Dopisek mniejszym, jaśniejszym drukiem, informujący o możliwym pojawieniu się treści w wyszukiwarkach, dla wielu okazał się niewystarczająco czytelny.

W rezultacie w sieci znalazły się niezwykle wrażliwe dane. Użytkownicy, sądząc, że prowadzą prywatną konwersację, opisywali swoje problemy ze zdrowiem psychicznym, życie intymne, zażywanie narkotyków czy traumatyczne doświadczenia. Chociaż czaty nie zawierały bezpośrednich informacji identyfikujących, ich wysoka szczegółowość mogła pozwolić na powiązanie ich z konkretnymi osobami.

Początkowo OpenAI broniło się, twierdząc, że oznaczenia funkcji były „wystarczająco jasne”. Jednak pod rosnącą presją, dyrektor ds. bezpieczeństwa informacji, Dane Stuckey, przyznał, że opcja ta stwarzała „zbyt wiele okazji do przypadkowego udostępnienia rzeczy, których nie zamierzali” udostępniać użytkownicy. Nazwał całą funkcję „krótkotrwałym eksperymentem”. Google z kolei zdystansowało się od problemu, wskazując, że to wydawcy stron – w tym przypadku OpenAI – mają pełną kontrolę nad tym, co jest indeksowane w sieci.

Incydent ten spotkał się z ostrą krytyką ekspertów. Carissa Véliz, etyczka AI z Uniwersytetu Oksfordzkiego, stwierdziła, że jest „zszokowana” całą sytuacją i oceniła, że firmy technologiczne często traktują ogół społeczeństwa jak „króliki doświadczalne”. Wpadka jest tym bardziej dotkliwa, że OpenAI walczy obecnie w sądzie przeciwko nakazowi trwałego przechowywania wszystkich usuniętych czatów użytkowników, co budzi dodatkowe obawy o prywatność.

Koniec Siri, jaką znamy? Apple może wymienić jej mózg na technologię OpenAI lub Anthropic

#AI #Bezpieczeństwo #ChatGPT #daneOsobowe #Google #news #OpenAI #prywatność #sztucznaInteligencja #wyciekDanych

Prywatne dane lekarzy w państwowym rejestrze – czy to był wyciek?

Prywatne adresy e-mail i numery telefonów pojawiły się w nowym Rejestrze Podmiotów Wykonujących Działalność Leczniczą. Tych danych nie powinno tam być ale możliwe, że pojawiły się tam w wyniku błędów lub niedopatrzeń samych lekarzy (sprawdzamy to jeszcze). Tak czy owak jest to dobra okazja żeby zwrócić uwagę na problemy jakie powstają na styku prywatności i rejestrów publicznych.

Nie każdy o tym myśli, ale nasze państwo utrzymuje setki różnego rodzaju systemów informacyjnych. Czasami są to rejestry dostępne tylko dla wybranych instytucji, innym razem dostępne publicznie. Niektóre z nich są zaledwie małymi plikami XLSX publikowanymi na stronach urzędów, inne wiążą się z utrzymaniem potężnych baz danych, wyszukiwarek lub API. Niektóre są znane wszystkim, inne tylko ludziom z pewnych branż. Tego. Jest. Dużo.
Jednym z tych wielu systemów jest RPWDL czyli Rejestr Podmiotów Wykonujących Działalność Leczniczą, który ostatnio doczekał się wersji 2.0. Wcześniej wyglądał mniej więcej tak jak na grafice poniżej. Zawierał wyszukiwarkę praktyk lekarskich, pielęgniarskich, stomatologicznych itd. Można było w nim sprawdzić m.in. posiadane przez podmioty medyczne uprawnienia, cerytyfikaty itd.
RPWDL – wersja pierwsza, grafika z naszych archiwów
Teraz mamy nowy system RPWDL 2.0, z taką oto wyszukiwarką.
Wyszukiwarka nowego RPWDL
Wyszukiwarka daje dostęp do ksiąg rejestrowych, które wyglądają mniej więcej tak.

29 czerwca 2025 roku nastąpiło pełne przejście na system RPWDL 2.0. Przy okazji poinformowano, że w systemie obsługiwanych jest prawie 45 tysięcy ksiąg Podmiotów Leczniczych i ponad 250 tysięcy ksiąg Praktyk Zawodowych. Nowy system w wersji 2.0 wziął na siebie nie tylko ciężar przechowywania danych, [...]

#DaneOsobowe #Lekarze #OSINT #Prywatność #Rejestry #Rpwdl

https://niebezpiecznik.pl/post/prywatne-dane-lekarzy-w-panstwowym-rejestrze-czy-to-byl-wyciek/