Zgłosić naruszenie danych czy udokumentować brak zgłoszenia?

Opracowanie redakcyjne kancelarii · Sprawdzenie wskazanych źródeł: 18 października 2026 r.

Po naruszeniu firma pyta, czy musi zgłosić je UODO. W odpowiedzi często pojawia się jeden argument: danych było niewiele, odbiorca obiecał je usunąć albo dotychczas nikt nie poniósł szkody. Żaden z tych faktów nie powinien automatycznie zastępować całej analizy. Potrzebne jest ustalenie, jakie ryzyko zdarzenie stwarza dla konkretnych osób i na czym oparto ten wniosek.

Ten poradnik dotyczy decyzji administratora o zgłoszeniu naruszenia oraz jej uzasadnieniu. Pierwszą koordynację działań opisuje reakcja zarządu na wyciek danych. Przed oceną trzeba ustalić, czy doszło do naruszenia ochrony danych osobowych z art. 4 pkt 12 RODO. Awaria bez takiego skutku i stwierdzone naruszenie to różne sytuacje; także wstępna kwalifikacja wymaga rzetelnych ustaleń.

Przy decyzji o zgłoszeniu porządkuję chronologię zdarzenia, kategorie danych, możliwe skutki i źródła informacji. Udokumentowanie każdej przesłanki ułatwia odtworzyć, na jakich faktach oparto ocenę, także gdy zgłoszenia nie dokonano.

Dwa obowiązki i dwa różne progi

Art. 33 ust. 1 RODO nakazuje administratorowi zgłosić naruszenie właściwemu organowi bez zbędnej zwłoki, w miarę możliwości nie później niż 72 godziny po stwierdzeniu. Wyjątek dotyczy sytuacji, gdy jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Nie wystarczy więc ustalić jedynie, że nie ma wysokiego ryzyka.

Art. 34 odnosi się do zawiadomienia osoby, gdy naruszenie może powodować wysokie ryzyko. Obowiązek wykonuje się bez zbędnej zwłoki, z uwzględnieniem wyjątków wskazanych w tym artykule. Brak przesłanek zawiadomienia osoby nie oznacza automatycznie braku obowiązku zgłoszenia organowi. W dokumentacji należy wyraźnie oddzielić oba rozstrzygnięcia.

Podmiot przetwarzający dane na zlecenie nie powinien samowolnie zastępować administratora w tej ocenie. Art. 33 ust. 2 przewiduje jego zgłoszenie administratorowi bez zbędnej zwłoki. Należy sprawdzić rzeczywistą rolę firmy w danym procesie i warunki współpracy. Nie każda firma dotknięta tym samym incydentem występuje w identycznej roli.

Oceń skutki dla osób, a nie tylko koszty firmy

UODO w poradniku z 2025 r. podkreśla potrzebę indywidualnej oceny wagi możliwych konsekwencji oraz prawdopodobieństwa ich wystąpienia. Przedmiotem oceny jest ryzyko, a nie wyłącznie szkoda, która już powstała. Koszt naprawy systemu, obawa przed karą i utrata reputacji organizacji nie zastępują perspektywy osób, których dane dotyczą.

Przykładowo informacja może umożliwić podszywanie się pod osobę, oszustwo, ujawnienie sytuacji zdrowotnej, naruszenie poufności relacji albo utrudnienie skorzystania z uprawnień. Nie trzeba czekać na wykorzystanie danych przez sprawcę, aby rozważyć takie konsekwencje. Brak skarg w pierwszym dniu nie dowodzi, że wykorzystanie jest mało prawdopodobne.

Pytania powinny prowadzić do materiału źródłowego

To układ pomocniczy, nie kalkulator przesądzający obowiązek. Dla każdego wniosku wskaż fakt, źródło i ograniczenie pewności. Jeśli nie wiadomo, czy plik zawierał dane zdrowotne, nie wpisuj „brak danych wrażliwych” tylko dlatego, że nie odczytano jeszcze załącznika.

EROD w wytycznych 9/2022 zaleca uwzględniać m.in. rodzaj naruszenia, charakter i zakres danych, łatwość identyfikacji, dotkliwość skutków, cechy osób i administratora oraz liczbę dotkniętych osób. Ocena łączy prawdopodobieństwo z wagą konsekwencji. Nawet pojedyncza osoba może być narażona na poważne skutki. W razie wątpliwości EROD zaleca ostrożność i zgłoszenie; nie należy zastępować brakujących ustaleń arbitralnym przypisaniem niskiego wyniku.

Szyfrowanie, hasło i obietnica usunięcia nie oznaczają tego samego

Art. 34 ust. 3 lit. a przewiduje znaczenie zastosowanych do danych środków, które uniemożliwiają odczyt osobom nieuprawnionym, w szczególności szyfrowania. Nie wystarczy informacja, że komputer „miał hasło”. Trzeba ustalić, co zabezpieczono, czy środek rzeczywiście działał i czy osoba nieuprawniona mogła uzyskać dostęp do danych lub potrzebnych kluczy.

Techniczne ustalenia powinien przedstawić uprawniony specjalista. Administrator ocenia ich znaczenie dla konkretnego obowiązku. Wyjątek dotyczący zawiadomienia osób nie jest samodzielnym zwolnieniem z dokumentowania naruszenia ani automatycznym rozstrzygnięciem oceny z art. 33.

Podobnie zapewnienie omyłkowego odbiorcy o usunięciu pliku jest informacją do oceny, a nie uniwersalną gwarancją. Ustal zakres ujawnienia, charakter relacji, wiarygodność potwierdzenia i możliwe dalsze kopie. Nie pomijaj materiału, który podważa założenie o odzyskaniu pełnej kontroli nad danymi.

Wyjątki z art. 34 trzeba wykazać

Poza odpowiednimi środkami ochrony przepis obejmuje późniejsze działania eliminujące prawdopodobieństwo wysokiego ryzyka. Trzeba ustalić ich rezultat, nie wyłącznie fakt wysłania polecenia. Jeżeli środek dotyczył tylko części osób lub danych, nie przenoś skutku automatycznie na całość naruszenia.

Art. 34 ust. 3 lit. c dotyczy niewspółmiernie dużego wysiłku związanego z zawiadomieniem. Przewiduje wtedy publiczny komunikat lub podobny środek zapewniający równie skuteczne poinformowanie osób. Nie jest to możliwość milczenia dlatego, że indywidualna wysyłka byłaby niewygodna. Sam ogólny komunikat prasowy również nie zastępuje analizy wymaganej skuteczności.

Organ może zażądać zawiadomienia lub stwierdzić spełnienie warunków wyjątku. Wewnętrzna akceptacja projektu przez IOD albo doradcę nie oznacza zatwierdzenia decyzji przez UODO. Odpowiedzialność administratora wymaga zachowania podstaw oceny i wykonania właściwych działań.

Trzy zdarzenia, różne informacje potrzebne do oceny

Utracony nośnik. Sprawdź, jakie dane się na nim znajdowały, czy działało odpowiednie zabezpieczenie, czy klucz pozostał bezpieczny i czy istnieje dostępna kopia. Nie zakładaj, że odzyskanie danych z kopii rozwiązuje zarazem problem poufności.

Załącznik u niewłaściwego odbiorcy. Ustal rzeczywistą treść, odbiorcę i zakres ujawnienia. To samo pole „imię i nazwisko” może mieć inne znaczenie w publicznym spisie kontaktów i dokumencie ujawniającym szczególnie chronioną relację. Nie porównuj wyłącznie liczby kolumn.

Niedostępna lub zmieniona baza. Ustal czas, proces i konsekwencje dla osób oraz to, czy doszło także do dostępu lub ujawnienia. Przywrócenie systemu nie dowodzi, że wcześniej nikt nie skopiował danych. Weryfikacja integralności może być równie istotna jak dostępność.

Są to przykładowe pytania redakcyjne, a nie gotowe rozstrzygnięcia. Bez zgodności istotnych faktów nie można przenieść wyniku z przykładu poradnika lub innej decyzji na własne zdarzenie.

Jak udokumentować brak zgłoszenia?

Art. 33 ust. 5 wymaga dokumentowania wszelkich naruszeń, także niezgłoszonych. Dokumentacja obejmuje okoliczności, skutki i działania zaradcze oraz musi pozwolić organowi zweryfikować przestrzeganie przepisu. Sama rubryka „ryzyko niskie” nie wyjaśnia toku oceny.

Praktyczna karta uzasadnienia powinna zawierać:

1. Opis naruszenia, proces i rolę administratora.
2. Daty sygnału, stwierdzenia, decyzji i kolejnych ustaleń.
3. Dane oraz osoby objęte zdarzeniem, z oznaczeniem niepewności.
4. Możliwe skutki oraz ocenę ich wagi i prawdopodobieństwa.
5. Dowody skuteczności zabezpieczeń i środków zaradczych.
6. Osobną konkluzję dla art. 33 i dla art. 34 wraz z uzasadnieniem.
7. Osoby uczestniczące w ocenie oraz właściwą decyzję administratora.
8. Informacje wymagające uzupełnienia i przesłanki ponownego przeglądu.

Struktura jest propozycją organizacyjną, a nie urzędowym formularzem. Dostosuj ją do zdarzenia i nie twórz fikcyjnej precyzji. Jeżeli wniosek zależy od wyniku badania, wskaż, dlaczego dostępne już informacje pozwalają albo nie pozwalają zastosować wyjątku od zgłoszenia.

Nowe fakty mogą wymagać nowej decyzji

Ujawnienie szerszego zakresu danych, innego odbiorcy lub nieskutecznego zabezpieczenia może zmienić ocenę. Wyznacz osoby dostarczające informacje i termin ponownego przeglądu. Nie traktuj pierwszej notatki jako trwałego zwolnienia z dalszych obowiązków.

Nie czekaj z wymaganym zgłoszeniem wyłącznie na zamknięcie pełnego raportu. Art. 33 ust. 4 pozwala przekazywać informacje sukcesywnie, bez zbędnej zwłoki; ust. 1 wymaga wyjaśnienia opóźnienia po przekroczeniu 72 godzin. Nie zmieniaj daty stwierdzenia tylko dlatego, że wcześniejsza decyzja okazała się niewystarczająco uzasadniona. Zachowaj rzeczywistą chronologię i wskaż znaczenie nowych faktów.

Co przygotować do oceny?

Przygotuj kartę zdarzenia, opis danych i procesu, ustalenia techniczne, źródła potwierdzeń, zastosowane środki oraz dotychczasowe decyzje i zgłoszenia. Oznacz, co jest pewne, a czego nadal nie ustalono. Pierwszy kontakt powinien wskazywać rodzaj naruszenia i pilność, bez dołączania pełnej bazy lub danych osób.

Pomoc prawna przy incydentach może obejmować analizę oceny ryzyka i dokumentów w uzgodnionym zakresie. Opisz rolę firmy, etap i datę stwierdzenia. Zgłoszenie do kancelarii nie jest zgłoszeniem do UODO, przyjęciem sprawy ani zabezpieczeniem terminu. Pozostałe materiały znajdziesz w mapie strony.

Źródła i granice

• RODO, w szczególności art. 4 pkt 12, 33–34 i motywy 75–76 oraz 85–88.
• UODO: poradnik dotyczący naruszeń ochrony danych osobowych, aktualizacja 2025, rozdziały 7–10.
• EROD: wytyczne 9/2022, wersja 2.0, sekcje IV–V, w szczególności pkt 103–125.

Materiał informacyjny. Ocena wymaga rzeczywistych okoliczności, aktualnego zakresu danych i dowodów; nie przesądza obowiązku w indywidualnym przypadku ani stanowiska organu.