Doszło do naruszenia ochrony danych osobowych? Jak zgłosić je organowi nadzorczemu

Jeśli właśnie odkryłeś, że doszło do naruszenia ochrony danych osobowych – wysłany mail z załącznikiem do złej osoby, wyciek z systemu, zgubiony laptop z bazą klientów – masz maksymalnie 72 godziny od stwierdzenia incydentu, żeby zgłosić naruszenie organowi nadzorczemu (w Polsce – Prezesowi UODO), chyba że ryzyko dla osób, których dane dotyczą, jest mało prawdopodobne (art. 33 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r., RODO). Już tłumaczę, jak wygląda pierwsza godzina po odkryciu naruszenia i jak nie stracić czasu na rzeczy, które można zrobić równolegle.

Dla kogo jest ten wpis?

Ten materiał jest dla Ciebie, jeśli właśnie zauważyłeś sytuację, która może stanowić naruszenie ochrony danych – niezależnie od tego, czy to duży wyciek, czy pojedynczy mail wysłany nie do tego adresata. Może pomyślisz sobie: to tylko jeden mail, nikt się chyba nie dowie, po co robić z tego aferę. Rozumiem, że tak możesz pomyśleć,  ale to właśnie skala i rodzaj danych, nie Twoje odczucie wagi sytuacji, decydują o tym, czy zgłoszenie jest obowiązkowe.

Co stanowi naruszenie ochrony danych osobowych?

Naruszenie ochrony danych osobowych stanowi każde zdarzenie prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych. W praktyce to zarówno duże wycieki z systemów IT, jak i codzienne sytuacje: mail z danymi wysłany do złego adresata, zgubiony pendrive albo laptop służbowy, dostęp do danych osoby, która nie powinna go mieć, czy błędnie skonfigurowany formularz na stronie, przez który dane trafiają do niewłaściwego miejsca.

Co robić w przypadku naruszenia ochrony danych osobowych?

Kolejność ma znaczenie, bo część kroków robisz równolegle, nie jeden po drugim.

• Zabezpiecz sytuację od razu – jeśli to możliwe, ogranicz dalszy dostęp do danych (wyłącz konto, odzyskaj wysłaną wiadomość, zablokuj urządzenie), zanim zaczniesz analizować szczegóły.
• Ustal fakty – co dokładnie się stało, jakich danych dotyczy, ilu osób dotyczy, kto miał albo mógł mieć dostęp.
• Oceń ryzyko dla osób, których dane dotyczą – to ta ocena decyduje, czy zgłoszenie do UODO jest obowiązkowe, i czy trzeba też zawiadomić same osoby.
• Zacznij liczyć czas od stwierdzenia naruszenia – nie od momentu, w którym doszło do zdarzenia, tylko od chwili, w której masz wystarczającą pewność, że incydent faktycznie miał miejsce. Od tego momentu liczy się termin 72 godzin z art. 33 RODO.
• Dokumentuj wszystko na bieżąco – co ustaliłeś, kiedy, jakie działania podjąłeś. Ta dokumentacja jest Ci potrzebna niezależnie od tego, czy zgłoszenie okaże się obowiązkowe.

Ocena, czy naruszenie „może powodować ryzyko naruszenia praw lub wolności osób fizycznych” (art. 33 RODO) albo „wysokie ryzyko” (art. 34 RODO), to pojęcia nieostre – przepis nie podaje twardych progów (np. liczby osób czy rodzaju danych), przy których zgłoszenie do UODO lub zawiadomienie tych osób, których naruszenie dotyczy staje się obowiązkowe.

To wymaga każdorazowo analizy indywidualnej sytuacji.

Kiedy zgłoszenie naruszenia ochrony danych osobowych jest obowiązkowe?

Zgłoszenie jest obowiązkowe zawsze wtedy, gdy nie jest mało prawdopodobne, że naruszenie spowoduje ryzyko naruszenia praw lub wolności osób fizycznych – co oznacza, że to raczej reguła niż wyjątek, a brak zgłoszenia trzeba umieć uzasadnić, nie odwrotnie. Jeśli ryzyko jest wysokie, dochodzi drugi obowiązek z art. 34 RODO: zawiadomienie samych osób, których dane dotyczą, tak żeby mogły zareagować (np. zmienić hasło, uważać na próby wyłudzeń).

Jak zgłosić naruszenie ochrony danych osobowych organowi nadzorczemu?

Zgłoszenia naruszenia ochrony danych osobowych dokonujesz elektronicznie, przez dedykowany formularz na platformie biznes.gov.pl – to najszybsza droga, ważna zwłaszcza przy presji czasu wynikającej z terminu 72 godzin.

Zgłoszenie musi zawierać (art. 33 ust. 3 RODO):

• charakter naruszenia, w tym kategorie i przybliżoną liczbę osób oraz zbiorów danych, których dotyczy,
• dane kontaktowe inspektora ochrony danych albo innego punktu kontaktowego,
• opis możliwych konsekwencji naruszenia,
• opis środków zastosowanych lub proponowanych, żeby zaradzić naruszeniu i ograniczyć jego skutki.

Jeśli w ciągu 72 godzin nie masz jeszcze wszystkich informacji – to nie powód, żeby czekać z całym zgłoszeniem. RODO dopuszcza zgłoszenie etapowe: wysyłasz w terminie to, co już wiesz, i uzupełniasz zgłoszenie bez zbędnej zwłoki, gdy zbierzesz resztę.

Co grozi za brak zgłoszenia naruszenia ochrony danych osobowych?

Brak zgłoszenia naruszenia, które podlegało zgłoszeniu, podlega administracyjnej karze pieniężnej na podstawie art. 83 RODO – w tej kategorii naruszeń (obowiązki administratora związane z art. 33) górna granica to do 10 mln EUR lub 2% rocznego światowego obrotu, stosuje się kwotę wyższą. Prezes UODO nakładał już kary za brak zgłoszenia w praktyce: przykładowo decyzją DKN.5131.49.2021 z 4 kwietnia 2023 r. spółdzielnia mieszkaniowa dostała karę ok. 52 000 zł za to, że nie zgłosiła naruszenia (ujawnienia danych członka spółdzielni, w tym numeru PESEL, osobie nieuprawnionej) i nie zawiadomiła osoby, której dane dotyczyły.

Najczęstsze błędy w przypadku naruszenia ochrony danych

Nie każdy błąd popełniany po naruszeniu wynika ze złej woli – większość to efekt pośpiechu i stresu.

•  liczenie terminu 72 godzin od momentu zdarzenia zamiast od momentu jego stwierdzenia,
•  czekanie z jakimkolwiek zgłoszeniem, aż będą znane wszystkie fakty, zamiast skorzystać ze zgłoszenia etapowego,
•  brak dokumentowania działań na bieżąco – po kilku dniach trudno odtworzyć dokładny przebieg wydarzeń,
•  ocena ryzyka „na wyczucie”, bez odniesienia do konkretnych kategorii danych i liczby osób, których dotyczy naruszenie,
•  pomijanie obowiązku zawiadomienia samych osób, których dane dotyczą, przy wysokim ryzyku – firmy często pamiętają o UODO, a zapominają o tym drugim obowiązku.

Co można zrobić samodzielnie?

Jeśli masz wdrożone RODO, wiesz, jakie dane przetwarzasz, i naruszenie jest proste do ustalenia (np. jeden mail do złego adresata, bez danych szczególnych kategorii), samodzielna ocena ryzyka i – jeśli trzeba – zgłoszenie przez formularz na biznes.gov.pl są jak najbardziej wykonalne.

Kiedy warto zlecić to komuś innemu?

Warto skonsultować sprawę, gdy nie masz pewności, czy dane ryzyko kwalifikuje się jako wymagające zgłoszenia, gdy naruszenie dotyczy danych szczególnych kategorii (np. zdrowotnych) albo dużej liczby osób, albo gdy termin 72 godzin już mija, a Ty wciąż nie wiesz, jak sformułować zgłoszenie.

Błędna ocena ryzyka ma realne konsekwencje.

Jeśli w ogóle nie masz jeszcze wdrożonego RODO, to sygnał, żeby zacząć od podstaw – sprawdź ile kosztuje wdrożenie RODO.

Najczęstsze pytania

Czy każdy incydent trzeba zgłaszać do UODO?
Nie każdy – zgłoszenie jest obowiązkowe, gdy nie jest mało prawdopodobne, że naruszenie spowoduje ryzyko naruszenia praw lub wolności osób fizycznych. Jeśli ryzyko jest realnie znikome, wystarczy udokumentować zdarzenie wewnętrznie, bez zgłoszenia do organu.

Od kiedy liczy się 72 godziny?
Od momentu stwierdzenia naruszenia.

Co jeśli nie zdążę zebrać wszystkich informacji w 72 godziny?
Możesz skorzystać ze zgłoszenia etapowego – wysyłasz w terminie to, co już ustaliłeś, i uzupełniasz zgłoszenie bez zbędnej zwłoki, gdy zbierzesz resztę danych.

Czy trzeba informować osoby, których dane dotyczą?
Tak, ale tylko wtedy, gdy naruszenie może powodować wysokie ryzyko naruszenia ich praw lub wolności – to osobny obowiązek z art. 34 RODO, niezależny od zgłoszenia do UODO.

Czy mała firma też podlega tym obowiązkom?
Tak – obowiązki z art. 33 i 34 RODO dotyczą każdego administratora danych, niezależnie od wielkości firmy czy formy prowadzonej działalności. Jeśli nie masz pewności, czy RODO w ogóle Cię dotyczy, sprawdź osobny tekst Czy RODO mnie dotyczy?

Co dalej?

Jeśli właśnie masz do czynienia z naruszeniem i nie masz pewności, czy trzeba je zgłosić, czy wystarczy dokumentacja wewnętrzna – każda godzina się liczy, więc lepiej to ustalić od razu, niż czekać, aż termin zacznie uciekać.

Możesz umówić się na konsultację, żeby wspólnie ocenić ryzyko, a jeśli potrzebujesz pomocy przy wypełnieniu zgłoszeń – możesz zamówić usługę przygotowania zgłoszenia do UODO.

Informacja prawna

Ten artykuł ma charakter wyłącznie edukacyjny i nie stanowi porady prawnej. Każda sytuacja wymaga indywidualnej oceny – jeśli potrzebujesz wsparcia w swojej sprawie, skonsultuj się z prawnikiem lub skontaktuj się ze mną.

Stan prawny na: 2026-08-06