Przegląd zmian w prawie: kara CNIL za śledzenie w aplikacji, zarzuty UOKiK, DSA i AI Act

Stan prawny na dzień 2 listopada 2026.

Francuski organ ochrony danych CNIL ukarał Fnac kwotą 7 mln euro za zbieranie historii przeglądania w aplikacji bez zgody użytkowników i używanie jej do rekomendacji oraz trenowania algorytmu. Prezes UOKiK postawił zarzuty Legimi w sprawie dopłat do abonamentu i przycisku okresu próbnego oraz spółce Holiday Park & Resort w sprawie ceny noclegu bez obowiązkowych opłat. Komisja Europejska przyjęła plan naprawczy Temu, a 6 listopada wchodzi w życie polska ustawa, która wyznacza organy i kary za naruszenia DSA. Według serwisu 2EU Brussels Komisja ocenia odpowiedzi ponad 30 firm w kontroli AI Act, a incydenty w Chainalysis i belgijskim ministerstwie finansów pokazują, jak cyberatak przekłada się na obowiązki prawne.

Za co CNIL ukarała Fnac kwotą 7 mln euro?

Według komunikatu, który CNIL opublikowała 29 października, aplikacja Fnac zbierała historię przeglądania użytkowników, chociaż nie wyrazili na to zgody, a sieć wykorzystywała te dane do rekomendowania produktów i trenowania algorytmu. Sprawa obejmuje więc dwa etapy: odczyt danych z urządzenia użytkownika oraz ich późniejsze użycie w systemie personalizacji i w modelu.

W Polsce tę samą granicę wyznacza art. 399 ust. 1 ustawy z dnia 12 lipca 2024 r. Prawo komunikacji elektronicznej (Pke). Przepis pozwala przechowywać informacje albo uzyskiwać do nich dostęp w urządzeniu końcowym użytkownika pod warunkiem, że użytkownik został uprzednio poinformowany o celu „w sposób jednoznaczny, łatwy i zrozumiały” i po otrzymaniu tej informacji wyraził zgodę. Art. 399 Pke mówi o urządzeniu końcowym, dlatego obejmuje także telefon, na którym działa aplikacja sklepu.

Sklep, który personalizuje ofertę w aplikacji mobilnej, powinien sprawdzić, czy narzędzia analityczne i rekomendacyjne uruchamiają się dopiero po zgodzie oraz czy informacja dla użytkownika wymienia trenowanie algorytmu jako odrębny cel.

Co UOKiK zarzuca Legimi?

W zarzutach, które Prezes UOKiK postawił Legimi 26 października, urząd kwestionuje dwie praktyki: przeniesienie części książek z opłaconego abonamentu do katalogu, za który trzeba dodatkowo zapłacić, oraz sposób oznaczenia przycisku, który uruchamia darmowy okres próbny. W drugim przypadku rzecz w tym, czy konsument przed kliknięciem wie, że po okresie próbnym zacznie płacić.

Zarzuty otwierają postępowanie na gruncie ustawy z dnia 16 lutego 2007 r. o ochronie konkurencji i konsumentów (u.o.k.k.) i nie przesądzają jeszcze, że spółka naruszyła prawo. Art. 24 ust. 2 u.o.k.k. zalicza do praktyk naruszających zbiorowe interesy konsumentów m.in. „naruszanie obowiązku udzielania konsumentom rzetelnej, prawdziwej i pełnej informacji” oraz nieuczciwe praktyki rynkowe. Za taką praktykę Prezes UOKiK może nałożyć karę do 10% obrotu z roku poprzedzającego rok nałożenia kary (art. 106 ust. 1 pkt 4 u.o.k.k.).

Operator usługi subskrypcyjnej, który zmienia regulamin albo projektuje ścieżkę zakupu, powinien sprawdzić dwie rzeczy, o które UOKiK pyta w tej sprawie: co dokładnie obejmuje opłacony abonament i od którego momentu konsument zaczyna płacić.

Jak pokazywać cenę noclegu? Zarzuty dla Holiday Park & Resort

W zarzutach z 28 października wobec spółki Holiday Park & Resort Prezes UOKiK wskazuje, że obowiązkowe sprzątanie przedstawiano w procesie rezerwacji jako wybrane przez klienta ulepszenie, a opłaty za media w ogóle w nim pomijano. W efekcie konsument widział cenę noclegu niższą niż ta, którą ostatecznie płacił.

Postępowanie toczy się na podstawie u.o.k.k., tak jak sprawa Legimi, i obowiązuje w nim ten sam limit kary. Opłata, której klient nie może uniknąć, nie jest dodatkiem do wyboru i moim zdaniem powinna być widoczna już w pierwszej cenie, jaką wynajmujący pokazuje w ofercie. Dotyczy to obiektów turystycznych, wynajmujących apartamenty na doby i pośredników, którzy prowadzą dla nich rezerwacje.

Temu i DSA: plan naprawczy w Brukseli, nowa ustawa w Polsce

Komisja Europejska 26 października przyjęła plan, w którym Temu zobowiązało się poprawić ocenę ryzyka związanego z nielegalnymi produktami na platformie, aby zakończyć naruszenie aktu o usługach cyfrowych (DSA). Platforma ma cztery miesiące na wdrożenie planu, a jego skutki oceni niezależny audyt. Sprawa pokazuje, że Komisja ocenia działanie mechanizmów platformy, w tym rekomendacji, i nie poprzestaje na deklaracji, że oferty są kontrolowane.

W Polsce 6 listopada 2026 r. wchodzi w życie ustawa z dnia 4 września 2026 r. o zmianie ustawy o świadczeniu usług drogą elektroniczną oraz niektórych innych ustaw (Dz.U. 2026 poz. 1296). Zmieniony art. 1 ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (u.ś.u.d.e.) obejmuje m.in. zadania organów właściwych na podstawie DSA, w tym koordynatora do spraw usług cyfrowych, tryb postępowania w sprawie naruszeń, odpowiedzialność cywilną oraz administracyjne kary pieniężne. Platformy i inni pośrednicy, do których stosuje się DSA, mają od tego dnia krajowy organ, który może prowadzić wobec nich postępowanie.

Kontrola AI Act i spór o trenowanie modeli na cudzych treściach

Według serwisu 2EU Brussels Komisja Europejska otrzymała w ramach kontroli AI Act odpowiedzi na wszystkie wezwania, których terminy już upłynęły. Kontrola obejmuje ponad 30 firm i dotyczy bezpieczeństwa modeli oraz przestrzegania praw autorskich, a części firm Komisja przedłużyła terminy. Dokumentacja, którą dostawcy przygotowali na potrzeby AI Act, trafia więc do rzeczywistej oceny.

W Stanach Zjednoczonych Fundacja Wikimedia wystąpiła o zgodę na złożenie stanowiska w procesie, który wydawcy prowadzą przeciwko OpenAI i Microsoftowi o prawa autorskie przy trenowaniu modeli. Fundacja broni w nim amerykańskiej doktryny fair use jako podstawy otwartej wiedzy, a jednocześnie wskazuje, że automatyczne pobieranie treści obciąża jej infrastrukturę. To stanowisko podmiotu trzeciego, nie rozstrzygnięcie sądu, a fair use nie obowiązuje w Unii Europejskiej. Dostawcy i integratorzy modeli powinni opisać źródła danych treningowych tak, żeby opis wytrzymał lekturę organu nadzoru.

Cyberatak a obowiązki prawne: Chainalysis i belgijskie ministerstwo finansów

Chainalysis poinformowała 30 października, że napastnik uzyskał dostęp do danych użytkowników, w tym nazwisk, adresów e-mail i ról w organizacji. Według komunikatu firmy atak wykorzystywał techniki agentowe, ale Chainalysis nie przedstawiła dowodów, że przebiegał w pełni autonomicznie. Wyciek takich danych ułatwia ukierunkowany phishing wobec klientów. Administrator, który w Polsce stwierdzi podobne naruszenie, zgłasza je Prezesowi UODO w miarę możliwości w ciągu 72 godzin (art. 33 ust. 1 RODO), a jeżeli naruszenie może powodować wysokie ryzyko dla osób, których dane dotyczą, zawiadamia także te osoby (art. 34 ust. 1 RODO). Komunikat do klientów powinien precyzyjnie wskazywać, jakie dane wyciekły, ponieważ od tego zależy, na jakie wiadomości mają uważać.

Według The Brussels Times i agencji Belga belgijskie ministerstwo finansów po cyberataku wyłączyło część usług cyfrowych i przesunęło termin złożenia deklaracji objętych awarią z 31 października na 16 listopada, choć nie stwierdziło wycieku danych. Skutkiem prawnym ataku był tu przesunięty termin administracyjny, dlatego plan ciągłości działania i umowy z dostawcami IT powinny przewidywać także dłuższą niedostępność systemu.

Przegląd zgód, regulaminów i umów z dostawcami

Jeśli chcesz sprawdzić, czy zgody w aplikacji, regulamin subskrypcji albo procedura obsługi incydentów wytrzymają kontrolę UODO lub UOKiK, napisz do mnie. Zakres pomocy dla firm opisuję na stronie oferty dla przedsiębiorców, a termin rozmowy możesz ustalić przez formularz kontaktowy.

Tekst ma charakter informacyjny i nie zastępuje indywidualnej porady prawnej.

Źródła

• CNIL, komunikat o karze 7 mln euro dla Fnac za śledzenie użytkowników aplikacji (29.10.2026). link

• UOKiK, komunikat o zarzutach dla Legimi (26.10.2026). link

• UOKiK, komunikat o zarzutach dla Holiday Park & Resort (28.10.2026). link

• Komisja Europejska, komunikat o przyjęciu środków naprawczych Temu na podstawie DSA (26.10.2026). link

• Ustawa z dnia 4 września 2026 r. o zmianie ustawy o świadczeniu usług drogą elektroniczną oraz niektórych innych ustaw, Dz.U. 2026 poz. 1296. link

• Ustawa o świadczeniu usług drogą elektroniczną, art. 1 w brzmieniu od 6.11.2026. link

• Ustawa Prawo komunikacji elektronicznej, art. 399 ust. 1. link

• Ustawa o ochronie konkurencji i konsumentów, art. 24 ust. 2. link

• Ustawa o ochronie konkurencji i konsumentów, art. 106 ust. 1. link

• RODO, art. 33 ust. 1, zgłoszenie naruszenia organowi nadzorczemu. link

• RODO, art. 34 ust. 1, zawiadomienie osób, których dane dotyczą. link

• 2EU Brussels, odpowiedzi firm AI na wezwania Komisji Europejskiej (28.10.2026). link

• Unite.AI, Fundacja Wikimedia w sporze o prawa autorskie z OpenAI (29.10.2026). link

• Chainalysis, komunikat o incydencie bezpieczeństwa (30.10.2026). link

• The Brussels Times / Belga, cyberatak na belgijskie ministerstwo finansów (29.10.2026). link