Zmiana, Której Nikt Nie Przewidział (A Powinien)

Prowadzisz firmę z managed hostingiem, przetwarzasz dane klientów z UE albo masz platformę usługową? Uważnie to przeczytaj. Era, w której klienci brali na siebie całą winę za GDPR, minęła na dobre.

Przez pierwsze siedem lat po wejściu GDPR w życie panował schemat: przy wyciekach dane karano firmę, która miała bezpośredni kontakt z użytkownikami. Hosting, chmura czy infrastruktura? Te dostawcy dostawali co najwyżej wzmiankę w raporcie. Kara spadała na kogoś innego. Tak było od 2018 do 2024 roku.

Rok 2025 wszystko wywrócił do góry nogami. Dowody? Dwie decyzje regulatorów, które powinny niepokoić każdego szefa w branży hostingowej.

Sprawa numer jeden: Awaria w NHS i 3,07 mln funtów kary

W marcu 2025 brytyjski ICO zrobił coś bezprecedensowego: ukarał bezpośrednio procesora danych.

Advanced Computer Software Group obsługuje IT dla Narodowej Służby Zdrowia w UK. W sierpniu 2022 ransomware wdarł się przez konto klienta bez MFA. Ujawniono dane medyczne prawie 900 pacjentów domowej opieki – w sumie zbiór 82 946 osób.

Kluczowe: Kara trafiła do Advanced nie za relację z pacjentami, lecz za niedopełnienie ochrony danych, na którą zobowiązali się umową.

ICO wskazał błędy techniczne:

• Brak MFA w systemach z danymi zdrowotnymi
• Brak skanowania podatności
• Słabe zarządzanie aktualizacjami

Początkowa kara to 6,1 mln funtów. Po ugodzie i współpracy spadła do 3,07 mln. Ale przekaz jasny: Artykuł 32 UK GDPR wymaga odpowiednich środków technicznych i organizacyjnych. Przetwarzasz dane na zlecenie? Musisz je wdrożyć. Koniec dyskusji.

To nie NHS dostało po głowie. Procesor.

Sprawa numer dwa: Pułapka z przechowywaniem danych i milion euro kary

Pięć miesięcy później francuski CNIL uderzył w Mobius Solutions – brytyjską firmę SaaS, która zarządzała danymi reklamowymi dla Deezer, serwisu streamingowego.

Po zakończeniu umowy Mobius zrobił coś, co powinno zmrozić krew w żyłach każdego hostera: zatrzymał dane.

Co gorsza – wykorzystał je do ulepszenia własnej usługi bez zgody Deezer.

CNIL naliczył trzy naruszenia:

1. Przechowywanie danych po ustaniu umowy (naruszenie art. 28(3)(g))
2. Przetwarzanie poza instrukcjami kontrolera (naruszenie art. 28(3)(a))
3. Brak rejestrów przetwarzania (naruszenie art. 30)

Kara: 1 mln euro.

Dla hostingów to bomba, bo skala ogromna – 46 mln rekordów użytkowników Deezer. Mobius bez siedziby w UE, więc CNIL działał bezpośrednio, bez mechanizmu "one-stop-shop". Trzy lata śledztwa (od listopada 2022 do grudnia 2025) i wyrok prosto w procesora.

Co to oznacza dla twojego hostingu

To nie wyjątki. To nowe standardy. Oto, co ustalają:

Odpowiadasz osobiście za swoje zabezpieczenia. Umowa DPA przenosi obowiązki kontraktowe, nie ryzyko karne. Regulatorzy ominą klienta i uderzą w ciebie, jeśli zawalisz technicznie.

Usuwanie danych to obowiązek, nie opcja. Kontrakt się kończy? Kasuj dane wg ustaleń. Trzymanie "na wszelki wypadek" czy do własnych celów skończy się karą. Mobius to udowodnił – zero tolerancji.

Bezpieczeństwo to mus. MFA, skanowanie podatności, łatki, kontrola dostępu – w 2025 to nie dodatki, a wymogi prawa. Audyt wykaże dziury, regulator je ukarze.

Dokumentacja ratuje lub gubi. Brak rejestrów przetwarzania w Mobiusie to osobne przewinienie. Twoje logi, audyty, polityki retencji – to dowody w sprawie. Bez nich regulator uzna cię za winnego.

Co zrobić już dziś

Masz hosting, managed services czy SaaS z danymi z UE? Oto plan:

1. Przejrzyj architekturę bezpieczeństwa. MFA, szyfrowanie, segmentacja sieci, skanowanie – wszystko na systemach z danymi osobowymi? Jeśli nie, ryzykujesz.

2. Sprawdź retencję danych. Kończy się umowa? Automatyzacja usuwa dane, czy wiszą w backupach? Zapisz okresy i egzekwuj.

3. Popraw umowy DPA. Określ precyzyjnie obowiązki bezpieczeństwa, procedury usuwania i prawa do audytu. Żadnych ogólników.

4. Wdroż pełne logowanie i monitoring. Udowodnij, co przetwarzasz, kto ma dostęp i jak chronisz. To twoja tarcza.

5. Rozważ ubezpieczenie cyber. Kary GDPR rosną. Nie pokryje wszystkiego, ale to element strategii.

6. Skonsultuj z prawnikiem. Te precedensy są świeże. Potrzebujesz eksperta od tech i prawa w erze 2025.

Gorzka prawda

Prawo czyniące procesorów bezpośrednio odpowiedzialnymi istnieje od 2018. Regulatorzy po prostu celowali w kontrolerów – łatwiejszy cel.

W 2025 zrozumieli: uderzmy w tych, co trzymają dane i je chronią. I robią to.

Advanced i Mobius to pierwsi. Nie ostatni. Każdy hosting, SaaS czy chmura z danymi UE jest na celowniku.

Pytanie nie brzmi, czy regulatorzy ukarzą procesorów. Już to robią. Brzmi: czy twoja firma jest gotowa, gdy zapukają do ciebie.

W NameOcean budujemy Vibe Hosting z naciskiem na compliance od podstaw. Bo zgodność to nie zakup – to fundament infrastruktury, dokumentów i operacji.

Zacznij teraz. Precedens stoi.