Wyciek danych w firmie: pierwsze działania zarządu i ocena naruszenia

Opracowanie redakcyjne kancelarii · Sprawdzenie wskazanych źródeł: 18 października 2026 r.

Pracownik informuje o wysłaniu załącznika do niewłaściwej osoby. Dostawca zgłasza włamanie albo system przestaje udostępniać dane potrzebne firmie. Zarząd nie musi samodzielnie ustalać technicznej przyczyny, powinien jednak zapewnić sprawną reakcję: wskazanie odpowiedzialnych, ograniczenie skutków, zebranie informacji i ocenę obowiązków. Polecenie „IT ma to wyjaśnić” nie zamyka całej sprawy.

Poradnik dotyczy pierwszej organizacji reakcji. Nie jest instrukcją technicznego usuwania cyberzagrożenia ani gotową odpowiedzią, czy konkretny incydent zgłosić. W każdym przypadku trzeba ustalić rolę firmy, dane objęte zdarzeniem i możliwe skutki dla osób. Incydent może jednocześnie dotyczyć tajemnicy przedsiębiorstwa, umów lub obowiązków sektorowych, które wymagają osobnej analizy.

Nie każdy incydent jest wyciekiem, ale brak wycieku nie kończy oceny

Art. 4 pkt 12 RODO obejmuje nie tylko nieuprawnione ujawnienie lub dostęp, lecz również zniszczenie, utratę lub zmodyfikowanie danych osobowych wskutek naruszenia bezpieczeństwa. Trzeba więc ocenić poufność, integralność i dostępność. Przywrócenie działania systemu nie rozstrzyga samo, czy wcześniej ktoś uzyskał dostęp lub czy czasowa niedostępność miała konsekwencje dla osób.

Najpierw ustal, czy zdarzenie dotyczy danych osobowych i na czym polega. Alarm techniczny jest sygnałem do weryfikacji, a nie automatycznym dowodem każdego rodzaju naruszenia. Z drugiej strony nie trzeba czekać na ujawnienie danych w internecie, aby rozpoznać np. wysłanie imiennego dokumentu niewłaściwemu odbiorcy.

Uruchom równoległe zadania

Wyznacz koordynatora oraz osoby podejmujące decyzje. IT powinno określić fakty techniczne i bezpieczne działania w systemach; HR może ustalić uprawnienia i organizację pracy; osoba zajmująca się ochroną danych wspiera właściwą ocenę. Zarząd zapewnia zasoby, umocowanie i rozstrzygnięcie kwestii należących do kierownictwa. Nie wszystkie te role trzeba powierzać jednej osobie.

Jeżeli wyznaczono IOD, należy go właściwie i niezwłocznie włączyć, respektując jego niezależność i zadania z art. 38–39 RODO. Samo wysłanie wiadomości do inspektora nie oznacza przeniesienia na niego odpowiedzialności administratora. Ustal również zastępstwo i sposób eskalacji, jeśli osoba zwykle odpowiedzialna jest nieobecna lub związana ze zdarzeniem.

Sprawdź, czy firma jest administratorem czy podmiotem przetwarzającym

Firma może działać jako administrator własnych danych pracowników, a przy innym procesie przetwarzać dane w imieniu klienta. Rola odnosi się do konkretnego przetwarzania, nie do ogólnej nazwy przedsiębiorstwa. Przeczytaj umowy i ustal rzeczywistą organizację procesu.

Art. 33 ust. 2 nakazuje podmiotowi przetwarzającemu zgłosić stwierdzone naruszenie administratorowi bez zbędnej zwłoki. Nie przyznaje mu własnych 72 godzin na dowolne oczekiwanie. Umowa powierzenia powinna zapewniać współpracę potrzebną administratorowi do wykonania obowiązków. Dostawca nie powinien wstrzymywać przekazania podstawowych informacji wyłącznie dlatego, że końcowy raport nie jest gotowy.

Jeżeli incydent dotyczy wielu klientów, określ właściwych administratorów i potrzebny zakres informacji dla każdego z nich. Nie rozsyłaj przy tym danych jednego klienta pozostałym. Powiadomienie kontrahenta i zgłoszenie organowi to różne działania, które mogą mieć inne podstawy i odbiorców.

Zapisz momenty wykrycia i stwierdzenia

Art. 33 ust. 1 przewiduje zgłoszenie właściwemu organowi bez zbędnej zwłoki, w miarę możliwości nie później niż 72 godziny po stwierdzeniu naruszenia, chyba że jest mało prawdopodobne, by skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Nie jest to ogólny termin liczony dopiero od zatwierdzenia raportu przez zarząd.

EROD w wytycznych 9/2022 wiąże stwierdzenie z uzyskaniem rozsądnego stopnia pewności, że incydent doprowadził do naruszenia danych. Wstępna, krótka weryfikacja sygnału może być potrzebna, lecz powinna rozpocząć się szybko. Dalsze szczegółowe dochodzenie nie przesuwa dowolnie początku terminu. Zapisz, jakie informacje i kiedy uzyskała firma oraz dlaczego uznała je za potwierdzenie naruszenia.

UODO wskazuje w poradniku, że 72 godziny liczy się niezależnie od dni wolnych od pracy. Procedura powinna więc przewidywać przekazanie informacji również poza zwykłym obiegiem akceptacji. Nie oznacza to, że każda kancelaria lub każdy dostawca zapewnia całodobowy dyżur. Firma musi znać własną, rzeczywiście działającą ścieżkę reakcji.

Ogranicz skutki, zachowując potrzebny materiał

Uprawniony zespół powinien dobrać działania odpowiednie do trwającego zagrożenia. Nie pozostawiaj aktywnego ujawniania danych wyłącznie dla wygody późniejszych ustaleń. Jednocześnie zapisz, co zmieniono, z jakiej przyczyny i jaki stan można było wcześniej utrwalić. Pochopne usunięcie konta lub całej historii może utrudnić ocenę zakresu incydentu.

Nie uruchamiaj masowego kopiowania wszystkich skrzynek i nośników „na wszelki wypadek”. Zakres, osoby uprawnione, źródło materiału i sposób przechowywania wymagają oceny. Dokumentację techniczną trzeba móc odczytać w kontekście: log konta nie zawsze identyfikuje konkretną osobę, a brak wpisu nie dowodzi braku zdarzenia. Szczegółowe kwestie opisuje poradnik o legalnym zabezpieczeniu materiału po skopiowaniu danych.

Nie mieszaj zgłoszenia organowi z zawiadomieniem osób

Ocena z art. 33 dotyczy ryzyka naruszenia praw lub wolności osób, z opisanym wyjątkiem małego prawdopodobieństwa takiego ryzyka. Art. 34 wymaga odrębnie oceny wysokiego ryzyka i przewiduje własne warunki oraz wyjątki. Zgłoszenie organowi nie oznacza automatycznie obowiązku zawiadomienia wszystkich klientów, a brak obowiązku zawiadomienia osób nie rozstrzyga sam obowiązku zgłoszenia organowi.

Ryzyka nie mierzy się wyłącznie kosztem naprawy systemu lub możliwością nałożenia kary na firmę. Trzeba ocenić możliwe skutki dla osób: m.in. utratę kontroli nad danymi, oszustwo, ujawnienie informacji chronionych albo utrudnienie korzystania z uprawnień. Liczba rekordów jest jednym z faktów, a nie samodzielnym rozstrzygnięciem każdego przypadku.

Przy wysokim ryzyku zawiadomienie osoby następuje bez zbędnej zwłoki. RODO nie ustanawia tu po prostu identycznego limitu 72 godzin. Sposób i treść komunikatu powinny odpowiadać art. 34; ewentualny wyjątek wymaga sprawdzenia jego rzeczywistych przesłanek. Wewnętrzna decyzja nie może polegać wyłącznie na stwierdzeniu „nie chcemy wywoływać paniki”.

Szczegółowe pytania o dowody, wyjątki i uzasadnienie decyzji przedstawia poradnik o zgłoszeniu naruszenia i ocenie ryzyka. Pomaga oddzielić ocenę dla organu od oceny zawiadomienia osób.

Brak pełnych danych nie uzasadnia czekania bez końca

Art. 33 ust. 4 pozwala przekazywać informacje sukcesywnie, bez zbędnej zwłoki, gdy nie można podać ich jednocześnie. W zgłoszeniu należy rzetelnie oznaczyć to, co już wiadomo, oraz informacje wymagające uzupełnienia. Nie wpisuj fikcyjnej liczby osób tylko po to, by zamknąć pole formularza.

Minimalny zakres obejmuje charakter naruszenia, w miarę możliwości kategorie i przybliżone liczby osób oraz wpisów danych, punkt kontaktowy, możliwe konsekwencje i środki zaradcze. Przy zgłoszeniu po upływie 72 godzin trzeba wyjaśnić przyczyny opóźnienia. Spóźnienie nie jest argumentem, aby zaniechać dalszej oceny i wymaganych działań.

Ustal, kto sporządza treść, kto jest uprawniony do działania za administratora i kto zachowuje potwierdzenie przekazania. Jeżeli proces ma charakter transgraniczny, właściwość organu wymaga osobnej analizy. Polska siedziba jednego z uczestników nie zastępuje sprawdzenia całego układu przetwarzania.

Prowadź jedną chronologię i rejestr decyzji

Art. 33 ust. 5 wymaga dokumentowania wszelkich naruszeń ochrony danych, w tym okoliczności, skutków i środków zaradczych. Dotyczy to również naruszeń, których nie zgłoszono. Dokument powinien pozwalać wyjaśnić, na jakich faktach oparto ocenę i dlaczego wybrano dane działanie.

Praktyczna karta incydentu może obejmować: moment i źródło sygnału, przebieg wstępnej weryfikacji, stwierdzenie naruszenia, rolę firmy, zakres danych i osób, podjęte środki, ocenę obowiązków, decyzje z uzasadnieniem oraz terminy uzupełnień. Oddziel potwierdzone fakty od hipotez. Dla każdej luki wskaż osobę ustalającą informację i moment ponownej oceny.

Dokumentacja sama również wymaga ochrony. Ogranicz dostęp według zadań, ustal bezpieczne miejsce i czas zachowania. Nie rozsyłaj pełnego materiału do szerokiego grona tylko dlatego, że sprawa jest pilna. Komunikat dla zarządu, techniczne ustalenia i zawiadomienie osoby mogą wymagać odmiennego zakresu szczegółów.

Przykład: załącznik wysłany niewłaściwemu odbiorcy

Hipotetycznie pracownik wykrywa, że zamiast do uprawnionej osoby wysłał plik z danymi do innego adresata. Firma ustala treść pliku, odbiorcę, zabezpieczenia, możliwość dostępu i działania podjęte po wykryciu. Zachowuje wiadomość źródłową oraz potwierdzenia, zamiast ograniczać się do polecenia usunięcia wszystkich śladów.

Ocena uwzględnia rzeczywiste kategorie danych, kontekst i możliwe skutki. Samo zapewnienie odbiorcy o usunięciu pliku nie powinno zastępować całego uzasadnienia. Nie ma jednej odpowiedzi dla pustego zestawienia, jawnej informacji kontaktowej i szczegółowych danych zdrowotnych. Przykład nie przesądza obowiązku zgłoszenia w konkretnej sprawie.

Co zrobić po opanowaniu zdarzenia?

Sprawdź, czy środki faktycznie zadziałały, uzupełnij ocenę po nowych ustaleniach i wykonaj pozostałe obowiązki. Wyznacz odpowiedzialnych za poprawę procedury, dostępów lub warunków współpracy z dostawcą. Techniczne zamknięcie zgłoszenia serwisowego nie jest samo w sobie zakończeniem wszystkich zadań prawnych i organizacyjnych.

Przy podejrzeniu naruszenia obowiązków przez pracownika lub menedżera potrzebna jest odrębna, rzetelna ocena. Incydent nie przesądza winy konkretnej osoby. Nie odkładaj jednak analizy niezależnych terminów kadrowych lub kontraktowych wyłącznie do zakończenia długiego raportu.

Pomoc prawna przy incydentach i postępowaniach wewnętrznych może obejmować organizację reakcji, ocenę obowiązków i dokumentów w przyjętym zakresie. Opisz rodzaj zdarzenia, rolę firmy i moment jego wykrycia, bez przesyłania baz danych, haseł i szczegółów dotyczących osób. Zgłoszenie nie oznacza przyjęcia sprawy ani zabezpieczenia terminu. Pozostałe materiały zawiera mapa strony.

Źródła i granice

• RODO, art. 4 pkt 12, 28, 32–34 i 38–39.
• EROD: wytyczne 9/2022, wersja 2.0, w szczególności pkt 31–40 dotyczące stwierdzenia naruszenia i organizacji reakcji.
• UODO: poradnik dotyczący naruszeń ochrony danych osobowych, aktualizacja 2025, rozdział 9.

Materiał informacyjny. Dobór środków technicznych, właściwy organ, ocena ryzyka i obowiązki w konkretnym incydencie wymagają sprawdzenia rzeczywistych faktów oraz właściwych regulacji.