Zgłoszenie naruszenia danych osobowych: termin, wyjątki, zawiadomienie osób i rejestr naruszeń

Pracownik wysłał e-mail z umową klienta do zupełnie innej osoby. W umowie jest imię, nazwisko, adres i PESEL. Jeśli pierwsza myśl w firmie brzmi: „Na zgłoszenie naruszenia danych osobowych mamy 72 godziny, zajmiemy się tym pod koniec”, to… RODO mówi co innego.

Zgłaszasz bez zbędnej zwłoki, a 72 godziny to górna granica, a nie termin do wykorzystania. Poniżej znajdziesz, od kiedy liczysz czas, co robisz, gdy nie zdążysz, kiedy zgłoszenie nie jest potrzebne, kiedy zawiadamiasz osoby, których dane dotyczą, i co wpisujesz do rejestru naruszeń.

Co mówi art. 33 RODO o terminie zgłoszenia?

Art. 33 ust. 1 RODO brzmi tak: administrator zgłasza naruszenie organowi nadzorczemu „bez zbędnej zwłoki - w miarę możliwości, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia”. Administrator to Ty, czyli firma, która decyduje, po co i jak przetwarza dane. Organ nadzorczy w Polsce to Prezes Urzędu Ochrony Danych Osobowych (UODO).

W tym zdaniu są dwa terminy, nie jeden. Podstawowy to „bez zbędnej zwłoki”. 72 godziny to górna granica „w miarę możliwości”, a nie czas, który możesz spokojnie wykorzystać do końca.

Europejska Rada Ochrony Danych (EROD, unijne grono organów ochrony danych) ujmuje to jasno w wytycznych 01/2021 z przykładami naruszeń (pkt 24): przekroczenie 72 godzin jest niewskazane w każdym przypadku, a przy wysokim ryzyku nawet dotrzymanie tego terminu może zostać ocenione jako niezadowalające.

Motyw 87 RODO (motywy to wstęp do rozporządzenia, który wyjaśnia, jak czytać przepisy) dodaje, od czego zależy ocena, czy zgłoszenie było „bez zbędnej zwłoki”: od charakteru i wagi naruszenia oraz jego skutków dla osoby, której dane dotyczą. Przy groźnym wycieku „bez zbędnej zwłoki” może więc oznaczać mniej niż 72 godziny.

Od kiedy liczysz 72 godziny RODO?

Od stwierdzenia naruszenia, a nie od chwili, w której do niego doszło. W wytycznych 9/2022 w sprawie zgłaszania naruszeń EROD przyjmuje, że administrator „stwierdził” naruszenie, gdy uzyskał dostateczną pewność, że doszło do incydentu bezpieczeństwa, który naraził dane osobowe (pkt 31).

Gdy sygnał jest niepewny, możesz krótko sprawdzić, czy naruszenie w ogóle było. W tym czasie zegar jeszcze nie biegnie, ale sprawdzanie ma ruszyć możliwie jak najszybciej (pkt 34). EROD dodaje, że w większości przypadków te wstępne działania kończysz wkrótce po pierwszym sygnale, a dłużej mogą trwać tylko wyjątkowo (pkt 36).

Przykłady z tych samych wytycznych (pkt 33):

• zgubiony pendrive z niezaszyfrowanymi danymi: stwierdzasz naruszenie w chwili, gdy zorientujesz się, że go nie ma, nawet jeśli nie wiesz, czy ktoś go odczytał;
• obca osoba pisze, że dostała dane Twojego klienta, i pokazuje dowód: naruszenie jest stwierdzone od razu;
• przestępca żąda okupu za włamanie: stwierdzasz naruszenie, gdy sprawdzisz system i potwierdzisz atak.

72 godziny liczysz w godzinach zegarowych, razem z sobotą, niedzielą i świętami. Unijne rozporządzenie nr 1182/71 o terminach wlicza do terminów dni wolne (art. 3 ust. 3), a przesunięcie na najbliższy dzień roboczy dotyczy tylko terminów liczonych w dniach, tygodniach czy miesiącach, a nie w godzinach (art. 3 ust. 4). Do tego rozporządzenia odsyła EROD w wytycznych 9/2022 (przypis 27).

Jeśli naruszenie wydarzyło się u Twojego dostawcy, na przykład w programie w chmurze, czas liczysz zwykle od jego zawiadomienia. Pokazujemy to krok po kroku we wpisie Zgłoszenie naruszenia do UODO po wycieku z programu do faktur. A gdy firma podlega też ustawie o krajowym systemie cyberbezpieczeństwa, incydent zgłasza osobno do zespołu CSIRT (zespołu reagowania na incydenty bezpieczeństwa komputerowego), według terminów z tej ustawy (opisaliśmy je przy wykazie podmiotów kluczowych i ważnych).

Zgłoszenie po 72 godzinach - co wtedy?

Zgłaszasz od razu i dołączasz wyjaśnienie przyczyn opóźnienia (art. 33 ust. 1 zdanie drugie RODO). Spóźnienie nie zwalnia z obowiązku, a czekanie, aż „samo przejdzie”, tylko je wydłuża.

Nie musisz też mieć kompletu informacji, żeby zgłosić. Art. 33 ust. 4 RODO pozwala przekazywać je etapami, bez dalszej zbędnej zwłoki. EROD zaleca, żeby już w pierwszym zgłoszeniu napisać, że nie masz jeszcze wszystkich danych i doślesz je później (wytyczne 9/2022, pkt 57).

A jeśli po zgłoszeniu okaże się, że do naruszenia jednak nie doszło? Uzupełniasz zgłoszenie. EROD pisze wprost, że nie ma kary za zgłoszenie incydentu, który ostatecznie okazał się nie być naruszeniem (pkt 60).

Zgłoszenie naruszenia danych osobowych składasz przez formularz zgłoszenia naruszenia na stronie UODO, który prowadzi do e-usługi na biznes.gov.pl. W zgłoszeniu podajesz co najmniej to, co wymienia art. 33 ust. 3 RODO:

• co się stało i, w miarę możliwości, jakich kategorii osób i ilu (w przybliżeniu) oraz jakich kategorii danych i ilu rekordów (w przybliżeniu), np. wierszy w bazie albo dokumentów, dotyczy naruszenie;
• kto jest punktem kontaktowym, np. inspektor ochrony danych;
• jakie mogą być skutki dla tych osób;
• co zrobiłeś albo zrobisz, żeby zaradzić naruszeniu i ograniczyć szkody.

Jak UODO ocenia spóźnienie? Toyota Bank Polska zgłosił naruszenie półtora roku po tym, jak do niego doszło. Zrobił to dopiero wtedy, gdy urząd zwrócił się do niego po skardze poszkodowanej osoby, i dostał 78 tys. zł kary (komunikat UODO z 2 kwietnia 2024 r.). Wyjaśnienie opóźnienia bank dołączył, ale ono samo nie chroni przed karą: tłumaczył, że najpierw ocenił ryzyko jako niskie (decyzja DKN.5131.28.2023).

To sytuacja bliska tej z początku wpisu: bank wysłał dane klienta z umowy do nieuprawnionego odbiorcy, a UODO uznał ryzyko za wysokie, bo grozi np. kradzież tożsamości. Przy takim wycieku zgłaszasz naruszenie do urzędu i zawiadamiasz osobę, której dane dotyczą (o tym niżej).

Kiedy zgłoszenie naruszenia do UODO nie jest potrzebne?

Zgłoszenie naruszenia danych osobowych możesz pominąć tylko wtedy, gdy jest mało prawdopodobne, że naruszenie spowoduje ryzyko dla praw lub wolności osób, których dane dotyczą (art. 33 ust. 1 RODO). To wyjątek, a nie domyślna droga.

UODO tłumaczy, że angielskie „unlikely” z tekstu RODO znaczy więcej niż polskie „mało prawdopodobne”: chodzi o coś raczej nieprawdopodobnego, niemal niemożliwego. Skutki nie muszą się zmaterializować, wystarczy samo ryzyko (komunikat UODO z 20 kwietnia 2026 r.).

W wytycznych 01/2021 EROD pokazuje przypadki, w których zgłoszenie nie było potrzebne:

• skradzione zaszyfrowane tablety chronione silnym hasłem, z kopią zapasową danych, zdalnie wyczyszczone wkrótce po wykryciu włamania (przypadek nr 10);
• agent ubezpieczeniowy, związany tajemnicą zawodową, dostał przez pomyłkę plik z danymi około dwóch tuzinów klientów, których nie obsługiwał, sam to zgłosił i potwierdził na piśmie, że plik usunął (przypadek nr 9);
• atak oprogramowania szantażującego (ransomware) na małą firmę, która trzymała dane zaszyfrowane, miała kopię zapasową i dzienniki zdarzeń (zapisy, co i dokąd wysyłano z systemu), z których wynikało, że nic nie wyniesiono (przypadek nr 1).

Zwróć uwagę, że w każdym z nich był konkretny powód, dla którego ryzyko praktycznie znikało: szyfrowanie, zaufany odbiorca z obowiązkiem tajemnicy albo szyfrowanie, kopia zapasowa i brak wycieku.

Ocena ryzyka oczami osoby, a nie firmy

Link4 Towarzystwo Ubezpieczeń wysłało obcej osobie dokument o przyznaniu odszkodowania. Firma oceniła ryzyko jako niskie, wpisała incydent do wewnętrznego rejestru i nie zgłosiła go. UODO nałożył 103 752 zł kary i przypomniał, że ryzyko oceniasz z perspektywy osoby, której dane dotyczą, a nie interesów administratora (komunikat UODO z 23 listopada 2023 r.).

Santander Bank Polska tłumaczył, że skradzioną kurierowi przesyłkę z dokumentami znalazła jedna osoba i oddała ją na policję. UODO uznał, że to nie zwalniało z obowiązku, bo nie wiadomo, kto wcześniej miał dostęp do przesyłki, i nałożył 1,44 mln zł kary (komunikat UODO z 2 kwietnia 2024 r.).

Argument „to tylko jedna osoba” też nie działa. Wspólnota mieszkaniowa nie zgłosiła naruszenia, bo uznała, że dotyczyło jednej osoby i „zwykłych” danych, i dostała 5 tys. zł kary (to sprawa z komunikatu UODO z 20 kwietnia 2026 r.; szerzej opisaliśmy ją we wpisie Kary za naruszenie RODO w Polsce: 4 sprawy małych podmiotów).

Art. 34 RODO: kiedy zawiadomić osoby, których dane dotyczą?

Gdy naruszenie może powodować wysokie ryzyko dla ich praw lub wolności. Wtedy oprócz zgłoszenia do UODO zawiadamiasz te osoby, również bez zbędnej zwłoki (art. 34 ust. 1 RODO). EROD wyjaśnia, że oznacza to jak najszybciej, bo osoby mają zdążyć się chronić (wytyczne 9/2022, pkt 83).

Próg jest wyższy niż przy zgłoszeniu do urzędu, więc nie każde zgłoszone naruszenie wymaga zawiadomienia osób. Przykład wysokiego ryzyka z wytycznych 01/2021 (przypadek nr 14): urząd wysłał e-mailem do ponad 60 tys. osób plik z danymi ich wszystkich, łącznie z numerem ubezpieczenia społecznego. Tu potrzebne są wszystkie trzy kroki: rejestr, zgłoszenie i zawiadomienie.

W zawiadomieniu opisujesz prostym językiem (art. 34 ust. 2 RODO):

• co się stało;
• z kim się kontaktować, np. z inspektorem ochrony danych;
• jakie mogą być skutki;
• co zrobiłeś albo zrobisz, żeby zaradzić naruszeniu.

EROD radzi dopisać, co osoba może zrobić sama, na przykład zmienić hasło, gdy wyciekły dane logowania (wytyczne 9/2022, pkt 87).

Wysyłasz to osobną wiadomością, nie w newsletterze. Sam komunikat prasowy albo wpis na firmowym blogu to według EROD za mało (pkt 89-90). Uważaj też na kanał, przez który doszło do wycieku, bo przestępca może się pod Ciebie podszywać (pkt 92).

Kiedy nie musisz zawiadamiać osób?

Art. 34 ust. 3 RODO zwalnia z zawiadomienia w trzech sytuacjach:

• dane były zabezpieczone tak, że osoba nieuprawniona ich nie odczyta, w szczególności zaszyfrowane;
• po naruszeniu zastosowałeś środki, po których wysokie ryzyko nie jest już prawdopodobne;
• zawiadomienie każdej osoby wymagałoby niewspółmiernie dużego wysiłku - wtedy wydajesz publiczny komunikat albo stosujesz inny, równie skuteczny sposób.

Jeśli urząd uzna, że wysokie ryzyko jednak jest, może nakazać zawiadomienie (art. 34 ust. 4 RODO). Tak było w sprawie Santander Bank Polska: oprócz kary bank dostał nakaz zawiadomienia osób w ciągu trzech dni od otrzymania decyzji.

Rejestr naruszeń RODO: wpisujesz każde naruszenie

Także to, którego nie zgłaszasz. Art. 33 ust. 5 RODO każe dokumentować wszystkie naruszenia: okoliczności, skutki i podjęte działania zaradcze, tak żeby urząd mógł sprawdzić, czy postąpiłeś zgodnie z art. 33.

EROD zaleca, żeby w rejestrze zapisać też uzasadnienie decyzji. Gdy nie zgłaszasz, wpisujesz, dlaczego uznałeś ryzyko za mało prawdopodobne. Gdy zgłaszasz po terminie, zapisujesz przyczyny opóźnienia (wytyczne 9/2022, pkt 125-126). Rejestr nie musi być osobnym dokumentem, może być częścią rejestru czynności przetwarzania (dokumentu z art. 30 RODO, w którym opisujesz, jakie dane i po co przetwarzasz), jeśli wpisy o naruszeniach są wyraźnie oznaczone (przypis 47).

Sam wpis w rejestrze nie chroni przed karą, jeśli ocena ryzyka była błędna. Link4 miało i wpis, i analizę według metodologii ENISA (unijnej agencji do spraw cyberbezpieczeństwa), a kara i tak była. Gdy urząd zapyta o naruszenie, rejestr jest Twoją pierwszą odpowiedzią (jak taką odpowiedź przygotować, opisaliśmy we wpisie Pismo z UODO: jak odpowiedzieć i kara za brak odpowiedzi).

Wzór rejestru naruszeń i procedurę na wypadek wycieku znajdziesz w naszej dokumentacji RODO. Procedura mówi, kto w firmie przyjmuje sygnał, kto ocenia ryzyko i kto wysyła zgłoszenie, więc nie tracisz godzin na ustalanie tego w trakcie.

Najczęstsze pytania o zgłoszenie naruszenia danych osobowych

Pamiętaj: zegar rusza w chwili stwierdzenia naruszenia, a 72 godziny to granica, nie termin do wykorzystania. Każde naruszenie, zgłoszone czy nie, trafia do rejestru z uzasadnieniem. Jeśli właśnie masz naruszenie i nie wiesz, czy zgłaszać, napisz do nas albo zadzwoń, pomożemy Ci ocenić ryzyko i przygotować zgłoszenie.