Zgłoszenia naruszeń przekroczyły już cały 2025 rok

Zgłoszenia naruszeń ochrony danych przekroczyły już w połowie roku sumę z całego 2025 r. W pierwszym półroczu 2026 r. odnotowano 1803 zgłoszone naruszenia.

Jeden incydent waży więcej niż wszystkie pozostałe razem

Naruszenie platformy Canvas należącej do Instructure, używanej w sektorze edukacji, wygenerowało samo w sobie około 275 milionów powiadomień osób, których dane dotyczą: 58% sumy półrocza.

To liczba, którą inspektor ochrony danych powinien mieć na uwadze przy lekturze takich statystyk. Liczba osób dotkniętych nie mierzy częstości ryzyka, lecz jego koncentrację. Kilka szeroko używanych platform przesuwa całą sumę, a większość organizacji w niczym nie przypomina średniej.

SI pojawia się w jednym naruszeniu na cztery

Między marcem 2025 a lutym 2026 r. jedno naruszenie na cztery wiązało się ze sztuczną inteligencją — o 56% więcej niż rok wcześniej.

Tu potrzebna jest ostrożność: „z udziałem SI" obejmuje bardzo różne rzeczy — lepiej napisany phishing, automatyzację rozpoznania, użycie narzędzi generatywnych przez atakujących. To nie kategoria prawna, lecz obserwacja o technikach.

Co z tego wynika dla oceny ryzyka

Art. 32 wymaga odpowiednich środków „uwzględniając stan wiedzy technicznej". Jeśli zmienia się stan techniki po stronie atakującego, zmienia się też miara, którą ocenia się adekwatność zabezpieczeń. Ocena ryzyka napisana dwa lata temu i nigdy nieprzejrzana opisuje dziś inny świat.

A przypadek Canvas przypomina o czymś, o czym łatwo zapomnieć: największe naruszenie, jakiego doświadczy klient, prawie nigdy nie zdarzy się w jego własnych systemach, lecz u dostawcy. Dlatego rejestr podmiotów przetwarzających i gwarancje z art. 28 nie są formalnością.

Warto sprawdzić u klientów tylko dwie rzeczy: jakie platformy zewnętrzne przetwarzają ich dane oraz czy istnieje procedura pozwalająca dowiedzieć się o naruszeniu, które zdarzyło się gdzie indziej. W większości przypadków odpowiedź na drugie pytanie brzmi: wiadomość przychodzi z prasy.