W jaki sposób zgłaszać naruszenie ochrony danych osobowych? Przewodnik dla administratorów

Jak zgłosić naruszenie elektronicznie do Prezesa UODO?

Zgłoszenie naruszenia można przesłać elektronicznie, korzystając z formularza e-usługi dostępnego na biznes.gov.pl lub na stronie Prezesa UODO. Masz na to 72 godziny od momentu wykrycia incydentu — to wymóg artykułu 33 RODO. Dokument musi być podpisany elektronicznie przez osobę upoważnioną, czyli administratora danych osobowych (ADO) lub jego pełnomocnika.

System e-usługi pozwala na zgłaszanie w różnych trybach:

• wstępnie,
• uzupełniająco,
• jako zgłoszenie kompletne.

Możliwe jest też przesyłanie informacji partiami, gdy nie wszystkie dane są jeszcze dostępne. Formularz powinien zawierać podstawowe dane kontaktowe administratora oraz informacje o inspektorze ochrony danych (IOD), jeśli taki został wyznaczony. Zgodnie z artykułem 33 RODO zgłoszenie powinno obejmować:

1. opis charakteru naruszenia,
2. kategorie ujawnionych danych i szacunkową liczbę osób, których dotyczy,
3. przybliżoną liczbę rekordów lub wpisów,
4. możliwe skutki dla osób, których dane dotyczą,
5. opis podjętych środków zaradczych i zabezpieczeń,
6. dane kontaktowe administratora/pełnomocnika oraz IOD.

W przypadku naruszeń o skutkach transgranicznych warto najpierw sprawdzić, czy Prezes UODO będzie wiodącym organem nadzorczym — wymaga to przeprowadzenia odpowiedniej analizy. Procedury wewnętrzne firmy powinny określać, kto przygotowuje formularz (np. prawnik lub IOD), jakie techniczne środki ochronne opisać oraz jak zabezpieczyć dowody. Elektroniczne zgłoszenie to szybka forma kontaktu z organem nadzorczym i ułatwiona komunikacja. Pamiętaj: niedotrzymanie 72-godzinnego terminu może skutkować karą administracyjną oraz roszczeniami odszkodowawczymi.

Jakie informacje powinno zawierać zgłoszenie naruszenia?

Opis incydentu powinien zawierać wszystkie istotne informacje:

• jakie dane ujawniono,
• w jaki sposób doszło do naruszenia,
• kto je wykrył,
• dokładna data i godzina zdarzenia,
• miejsce wystąpienia — zarówno fizyczne, jak i dotknięte systemy czy lokalizacje sieciowe.

Opis powinien określać kategorię danych osobowych i szacunkową liczbę osób oraz rekordów objętych naruszeniem; przykładowo mogą to być imiona i nazwiska, PESEL czy dane medyczne. Ważne jest też omówienie możliwych konsekwencji dla osób, w tym ryzyka naruszenia ich praw i wolności, oraz dołączenie analizy ryzyka.

W zgłoszeniu należy wyszczególnić podjęte już działania oraz proponowane środki zaradcze — zarówno techniczne zabezpieczenia, jak i procedury ograniczające skutki oraz plan naprawczy. Dołączone powinny być dane identyfikacyjne administratora:

• nazwa,
• adres,
• NIP,
• dane kontaktowe administratora lub Inspektora Ochrony Danych.

Jeśli przetwarzanie realizuje podmiot zewnętrzny, konieczne jest podanie informacji o tym procesorze. Należy jasno określić status zgłoszenia w formularzu — czy ma charakter wstępny, uzupełniający czy jest kompletne. Gdy zgłoszenie przekracza 72‑godzinny termin, trzeba dołączyć wyjaśnienie przyczyn opóźnienia.

Dokumentacja powinna obejmować:

• rejestr incydentów,
• raport z naruszenia,
• zabezpieczenie dowodów.

Warto też dołączyć dokumenty potwierdzające przeprowadzoną analizę i podjęte działania, wyniki audytu, protokoły szkoleń oraz harmonogram wdrożenia środków minimalizujących ryzyko.

Jak ocenić, czy zdarzenie stanowi naruszenie ochrony danych osobowych?

RODO (art. 4 pkt 12) opisuje naruszenie danych osobowych jako niezamierzone lub niezgodne z prawem zniszczenie, utratę, zmianę, nieautoryzowane ujawnienie lub dostęp do tych danych. Aby ocenić, czy dane zdarzenie spełnia ten próg, warto przejść przez kilka praktycznych etapów:

1. Zebranie faktów. Ustal, kto wykrył incydent, kiedy dokładnie wystąpił oraz które systemy i zasoby zostały dotknięte. Zbierz logi, zrzuty pamięci, kopie istotnych plików oraz szacunkową liczbę rekordów i typy danych (np. PESEL, informacje medyczne). Pamiętaj, że podmiot przetwarzający powinien niezwłocznie poinformować administratora.
2. Identyfikacja typu incydentu. Określ, czy miało miejsce nieautoryzowane ujawnienie, dostęp, modyfikacja, utrata danych lub czasowa niedostępność systemu. Ustalenie mechanizmu — błąd ludzki, luka techniczna, czy atak zewnętrzny — pomoże zaplanować dalsze kroki.
3. Analiza ryzyka. Oceniaj ryzyko naruszenia praw i wolności osób, których dane dotyczą: jak prawdopodobne jest wystąpienie szkody i jak poważne mogą być jej skutki. Weź pod uwagę wrażliwość danych, liczbę osób objętych incydentem oraz potencjalne konsekwencje, takie jak kradzież tożsamości, dyskryminacja czy straty finansowe.
4. Ocena wagi naruszenia. Na podstawie analizy prawnik wraz z Inspektorem Ochrony Danych kwalifikują zdarzenie jako niskie, średnie lub wysokie ryzyko dla poszkodowanych. W przypadku wysokiego ryzyka art. 34 RODO wymaga powiadomienia osób, których dane dotyczą.
5. Decyzje operacyjne i prawne. Prawnik i IOD rekomendują, czy zgłaszać incydent do organu nadzorczego, które osoby poinformować oraz jakie środki techniczne i organizacyjne wdrożyć. Przygotuj plan komunikacji i zadbaj o kompletną dokumentację działań.
6. Aspekty transgraniczne. Sprawdź, czy naruszenie ma charakter transgraniczny — to wpłynie na to, czy Prezes UODO będzie wiodącym organem, czy konieczna będzie współpraca z innymi nadzorczymi.
7. Dowody i ślad audytu. Zachowaj logi, kopie systemów, raporty techniczne i zapisy korespondencji, aby udokumentować przebieg oceny i podjęte działania. Wprowadź zdarzenie do rejestru incydentów.

Przejście przez te kroki daje rzetelną podstawę do decyzji o zgłoszeniu naruszenia i powiadomieniu osób, przy udziale prawnika oraz Inspektora Ochrony Danych.

Kiedy należy zgłosić naruszenie danych osobowych?

Zgłoszenie naruszenia danych osobowych jest konieczne, gdy incydent stwarza ryzyko dla praw lub wolności osób fizycznych. Powinno ono trafić do organu w ciągu 72 godzin od chwili, gdy administrator dowiedział się o zdarzeniu lub mógł o nim wiedzieć, zachowując wymaganą staranność. Przez moment stwierdzenia rozumiemy właśnie moment uzyskania informacji przez administratora albo ten, w którym przy dołożeniu należytej ostrożności dowiedziałby się o naruszeniu.

Obowiązek dotyczy takich sytuacji jak:

• nieautoryzowany dostęp do systemu,
• wyciek plików z danymi,
• atak ransomware ujawniający informacje,
• zgubienie nieszyfrowanego nośnika.

Nawet przy niewielkiej liczbie poszkodowanych trzeba zgłosić naruszenie, gdy chodzi o dane wrażliwe. Podmiot przetwarzający musi niezwłocznie informować administratora o każdym incydencie. Jeśli nie uda się zebrać wszystkich informacji w ciągu 72 godzin, dopuszczalne jest przesyłanie uzupełnień etapami — przy drugim zgłoszeniu trzeba wyjaśnić przyczyny opóźnienia.

W przypadku skutków transgranicznych administrator analizuje, czy zgłoszenie kierować do wiodącego organu nadzorczego. Uzasadnienie braku zgłoszenia należy udokumentować zgodnie z RODO i ustawą o ochronie danych osobowych. Decyzję o zgłoszeniu opiera się na szybkim szacunku ryzyka, biorąc pod uwagę typ i zakres danych, prawdopodobieństwo ich wykorzystania oraz możliwe konsekwencje dla zainteresowanych.

Brak zgłoszenia lub przekroczenie terminu bez wiarygodnego uzasadnienia może skutkować sankcjami, w tym karami administracyjnymi.

Kto może zgłosić naruszenie danych osobowych?

Administrator danych osobowych ma prawo zgłaszać naruszenia do organu nadzorczego. Pełnomocnik z pisemnym upoważnieniem może zrobić to w imieniu administratora. Procesor nie zgłasza incydentów bezpośrednio — musi niezwłocznie poinformować administratora. Pracownik, który zauważy naruszenie, powinien jak najszybciej powiadomić:

• przełożonego,
• Inspektora Ochrony Danych (IOD).

Do takich osób należą m.in. administrator systemu, pracownik IT czy pracownik działu obsługi klienta. IOD sporządza analizę zdarzenia i wspiera proces przygotowania zgłoszenia, ale samo zgłoszenie składa uprawniona osoba lub jej pełnomocnik, chyba że IOD otrzymał wyraźne pełnomocnictwo. Zewnętrzny prawnik lub pełnomocnik procesowy również może przesłać formularz do organu, o ile dysponuje odpowiednim upoważnieniem — np. pisemnym lub elektronicznym.

Procedury wewnętrzne powinny jasno określać, kto ma prawo do zgłaszania naruszeń, w jaki sposób udzielać pełnomocnictw oraz jak wygląda komunikacja wewnętrzna i zewnętrzna. Dokumentacja pełnomocnictw i rejestr zgłoszeń stanowią dowód prawnym uprawnień do składania zgłoszeń.

Kiedy i jak informować osoby, których dane dotyczą?

Osoby poszkodowane trzeba powiadomić zawsze, gdy istnieje wysokie ryzyko naruszenia ich praw lub wolności. Informacja powinna trafić do nich jak najszybciej i być napisana prostym, zrozumiałym językiem. Zawiadomienie powinno zawierać:

• krótki opis incydentu — co się stało i kiedy to ujawniono,
• wskazanie kategorii ujawnionych danych i przybliżonej liczby dotkniętych osób,
• możliwe konsekwencje, takie jak ryzyko kradzieży tożsamości czy straty finansowe,
• konkretne środki zaradcze podjęte przez administratora.

Praktyczne rekomendacje dla poszkodowanych, takie jak:

• zmiana haseł,
• monitorowanie aktywności kont,
• kontakt z bankiem,

ułatwiają natychmiastowe działanie. Należy podać dane kontaktowe osoby obsługującej zgłoszenia oraz informację o kolejnych krokach, które będą podejmowane. Kanały komunikacji dobiera się według dostępności i skuteczności — e-mail, list polecony, SMS, powiadomienie w systemie lub ich kombinacja. Jeśli przesył wymaga ochrony, stosuje się szyfrowanie lub wysyła treść listem poleconym. Opóźnienie powiadomienia jest dopuszczalne tylko wtedy, gdy natychmiastowe poinformowanie mogłoby utrudnić działania naprawcze albo postępowanie organów ścigania; taka decyzja powinna być dobrze uzasadniona i odnotowana w rejestrze incydentów. Komunikat przygotowuje zespół obejmujący dział prawny, Inspektora Ochrony Danych (IOD) oraz kierownictwo, a dla wygody lepiej wskazać jeden punkt kontaktowy do obsługi zapytań. Wzorce wiadomości i procedury reakcji powinny być opisane w polityce incydentów, a cała korespondencja i dokumentacja powiadomień trafiać do rejestru naruszeń i przechowywana zgodnie z wewnętrznymi zasadami. Takie zapisy nie tylko dokumentują podjęte działania, lecz także minimalizują ryzyko prawne i pomagają w budowaniu zaufania do organizacji.

Jak rejestrować i dokumentować naruszenia w organizacji?

Każde zdarzenie trafia do zabezpieczonego rejestru incydentów z unikalnym identyfikatorem. Wpis zawiera m.in.:

• datę i godzinę wykrycia oraz wystąpienia,
• krótki opis zdarzenia,
• kategorie ujawnionych danych,
• liczbę osób i rekordów objętych naruszeniem,
• dotknięte systemy i lokalizacje,
• mechanizm i przyczyny (np. błąd ludzki, luka techniczna, atak),
• sprawców lub źródła zdarzenia,
• podjęte środki techniczne i organizacyjne,
• wynik analizy ryzyka i przewidywane konsekwencje,
• status zgłoszeń (do organu nadzorczego oraz powiadomień do osób),
• odniesienia do dowodów i załączników,
• osobę odpowiedzialną wraz z harmonogramem działań naprawczych.

Dokumentacja obejmuje:

• raport z naruszenia,
• formularze zgłoszeniowe,
• kopie logów i zrzuty ekranu,
• kopie korespondencji,
• raporty techniczne,
• analizę naruszenia i ryzyka,
• notatki IOD,
• opinie prawne,
• protokoły działań oraz zapisy ze szkoleń.

Ewidencja powinna umożliwiać szybkie wyszukiwanie po ID, kategorii danych, dacie i statusie, a dostęp do rejestru musi być zapewniony organowi nadzorczemu i chroniony zgodnie z polityką przechowywania. Zabezpieczenie dowodów obejmuje:

• szyfrowanie danych w spoczynku,
• kontrolę dostępu z logowaniem operacji,
• regularne kopie zapasowe,
• mechanizmy wykrywania modyfikacji (sumy kontrolne),
• zachowanie łańcucha custodia przy przekazywaniu materiałów dowodowych.

Minimalny okres przechowywania dokumentacji to 5 lat. Proces rejestrowania przebiega według ustalonego schematu:

• natychmiastowy wpis po wykryciu,
• zabezpieczenie i dołączenie dowodów,
• przeprowadzenie analizy naruszenia i oceny ryzyka,
• aktualizacja wpisu o podjęte działania i status zgłoszeń,
• zamknięcie zdarzenia wraz z raportem końcowym, listą działań naprawczych i zapisami szkoleń.

Każda modyfikacja wpisu jest śledzona przez wersjonowanie i logi edycji. Do wspomagania rejestracji wykorzystuje się systemy SIEM, dedykowane bazy incydentów, narzędzia workflow do zarządzania zgłoszeniami oraz rozwiązania AI do automatycznego wykrywania, klasyfikacji i tworzenia szkiców raportów. Choć algorytmy przyspieszają ewidencjonowanie, ostateczna weryfikacja prawna wymaga udziału człowieka. Rejestr pełni rolę źródła dla audytu zgodności i zarządzania ryzykiem oraz umożliwia przygotowanie dowodów do audytu, analizę powtarzalności incydentów i ocenę skuteczności zastosowanych środków ochrony.

Jakie sankcje grożą za brak zgłoszenia?

Prezes UODO może nałożyć karę pieniężną na podstawie art. 83 RODO za naruszenia obowiązków administratora wymienionych w art. 25–39, w tym także za uchybienia związane ze zgłoszeniem naruszenia. Sankcje finansowe sięgają do 10 000 000 EUR lub 2% rocznego światowego obrotu przedsiębiorstwa — zależnie od tego, która kwota jest wyższa. W przypadku poważniejszych przewinień górna granica wynosi 20 000 000 EUR lub 4% globalnego obrotu.

Oprócz kar pieniężnych organ nadzorczy dysponuje szeregiem innych środków administracyjnych:

• może nakazać zgodność z przepisami,
• czasowo lub trwale ograniczyć przetwarzanie danych,
• zawiesić transfery danych,
• wystosować publiczne upomnienie.

Takie decyzje często znacząco podnoszą koszty działania firmy i utrudniają jej funkcjonowanie. Brak zgłoszenia naruszenia zwiększa też ryzyko odpowiedzialności odszkodowawczej na podstawie art. 82 RODO — poszkodowani mogą domagać się zadośćuczynienia za szkody materialne i niemajątkowe.

Dodatkowo przepisy krajowe oraz regulaminy wewnętrzne przewidują sankcje dyscyplinarne wobec pracowników:

• od nagan i kar pieniężnych,
• po, w skrajnych sytuacjach, rozwiązanie umowy o pracę.

Niezgłoszenie incydentu pociąga za sobą też koszty naprawcze, takie jak:

• obowiązkowe audyty zgodności,
• wdrożenie dodatkowych środków technicznych,
• szkolenia personelu,
• śledztwa forensyczne.

W połączeniu z utratą zaufania klientów skutkuje to często trudnymi do oszacowania stratami reputacyjnymi i finansowymi. Przy ustalaniu sankcji organ bierze pod uwagę okoliczności łagodzące i obciążające. Udokumentowana analiza ryzyka oraz szczegółowy rejestr podjętych działań mogą zmniejszyć wymiar kary. Z kolei brak zgłoszenia, zgłoszenie zbyt późne lub niekompletne są traktowane jako czynniki obciążające i zwiększają prawdopodobieństwo nałożenia wyższych kar oraz innych środków egzekucyjnych.

Aby minimalizować ryzyka prawne, warto prowadzić pełną dokumentację incydentu i utrzymywać transparentną współpracę z organem nadzorczym — są to elementy, które Prezes UODO bierze pod uwagę przy ustalaniu sankcji.