Podejrzany e-mail wysłany do niewłaściwego odbiorcy, utrata laptopa, udostępnienie pliku osobie bez uprawnień, ransomware albo wyciek z systemu informatycznego — każde z tych zdarzeń może uruchomić obowiązki wynikające z RODO.

Nie każdy incydent bezpieczeństwa jest jednak automatycznie naruszeniem ochrony danych osobowych, a nie każde naruszenie trzeba zgłaszać Prezesowi UODO. Kluczowe są: charakter zdarzenia, rodzaj danych, skala, możliwe skutki dla osób oraz poziom ryzyka.

Najważniejszy termin to 72 godziny od stwierdzenia naruszenia. To nie oznacza jednak, że firma ma trzy dni na rozpoczęcie analizy. Działania trzeba podjąć bez zbędnej zwłoki, a zegar zaczyna mieć znaczenie od momentu, w którym administrator ma wystarczającą pewność, że doszło do naruszenia ochrony danych.

Jeżeli sprawa jest niejednoznaczna albo może prowadzić do wysokiego ryzyka dla osób, warto szybko skonsultować ocenę zdarzenia. Na EkspertOnline możesz wybrać eksperta i rozpocząć od konsultacji online, bez konieczności uruchamiania od razu pełnego projektu.

Czym jest incydent RODO?

W praktyce pojęcie „incydent RODO” jest szersze niż ustawowe „naruszenie ochrony danych osobowych”.

Incydentem bezpieczeństwa może być każde zdarzenie, które potencjalnie wpływa na poufność, integralność lub dostępność informacji. Dopiero po analizie trzeba ustalić, czy doszło do naruszenia danych osobowych w rozumieniu RODO.

Art. 4 pkt 12 RODO definiuje naruszenie ochrony danych osobowych jako naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem:

• zniszczenia danych,
• utracenia danych,
• zmodyfikowania danych,
• nieuprawnionego ujawnienia danych,
• nieuprawnionego dostępu do danych osobowych.

To ważne, bo naruszeniem może być nie tylko „wyciek”.

Trzy podstawowe rodzaje naruszeń danych

Europejska Rada Ochrony Danych wyróżnia trzy typy naruszeń.

Naruszenie poufności

Dochodzi do nieuprawnionego lub przypadkowego ujawnienia danych albo dostępu do nich.

Przykłady:

• wysłanie dokumentu do niewłaściwego odbiorcy,
• publiczne udostępnienie pliku z danymi pracowników,
• włamanie do systemu i pobranie danych,
• utrata niezabezpieczonego nośnika.

Naruszenie integralności

Dane zostają nieuprawnienie lub przypadkowo zmienione.

Przykład: błędna modyfikacja danych klienta powodująca podjęcie decyzji na podstawie nieprawidłowych informacji.

Naruszenie dostępności

Dochodzi do utraty dostępu do danych albo ich zniszczenia.

Przykłady:

• ransomware szyfrujący dane bez dostępnej kopii bezpieczeństwa,
• trwałe usunięcie danych,
• awaria powodująca niedostępność danych, gdy może mieć realne konsekwencje dla osób.

Czy każdy incydent trzeba zgłaszać do UODO?

Nie.

Zgodnie z art. 33 ust. 1 RODO administrator zgłasza naruszenie organowi nadzorczemu, chyba że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych.

W uproszczeniu:

• brak prawdopodobnego ryzyka → zgłoszenie do UODO może nie być wymagane,
• ryzyko dla praw lub wolności osób → zgłoszenie do UODO jest wymagane,
• wysokie ryzyko → oprócz zgłoszenia do UODO może być konieczne także zawiadomienie osób, których dane dotyczą.

To nie jest jednak automatyczny test oparty wyłącznie na liczbie rekordów.

Trzeba ocenić m.in.:

• rodzaj danych,
• ich wrażliwość,
• liczbę osób,
• możliwość identyfikacji osób,
• potencjalne skutki finansowe, społeczne lub osobiste,
• to, czy dane zostały zabezpieczone,
• kto mógł uzyskać do nich dostęp,
• czy skutki można skutecznie ograniczyć.

72 godziny – od kiedy liczyć termin?

RODO mówi o 72 godzinach po stwierdzeniu naruszenia.

W praktyce nie zawsze jest to ten sam moment, w którym technik, pracownik albo dostawca po raz pierwszy zauważył nieprawidłowość. Najpierw trzeba ustalić, czy rzeczywiście doszło do naruszenia danych osobowych.

Nie wolno jednak sztucznie przedłużać „fazy sprawdzania”, żeby odwlec rozpoczęcie terminu.

Administrator powinien mieć procedurę umożliwiającą:

1. szybkie wykrycie zdarzenia,
2. eskalację do właściwych osób,
3. ocenę, czy doszło do naruszenia,
4. ocenę ryzyka,
5. podjęcie decyzji o zgłoszeniu.

Jeżeli zgłoszenie następuje po 72 godzinach, trzeba do niego dołączyć wyjaśnienie przyczyn opóźnienia.

Co zrobić w pierwszych godzinach po incydencie?

Najgorszym rozwiązaniem jest czekanie, aż firma „będzie wiedziała wszystko”.

W pierwszej kolejności trzeba działać równolegle.

1. Zabezpiecz zdarzenie

W zależności od sytuacji może to oznaczać:

• zablokowanie konta,
• zmianę haseł,
• odcięcie dostępu,
• cofnięcie publicznego linku,
• zdalne zablokowanie urządzenia,
• odtworzenie danych z kopii bezpieczeństwa,
• kontakt z niewłaściwym odbiorcą z prośbą o usunięcie danych.

2. Zabezpiecz dowody

Nie usuwaj logów i śladów potrzebnych do ustalenia:

• co się wydarzyło,
• kiedy,
• jakie dane były objęte zdarzeniem,
• kto mógł mieć dostęp,
• jak długo trwało naruszenie.

3. Ustal zakres danych

Trzeba określić m.in.:

• kategorie danych,
• przybliżoną liczbę osób,
• przybliżoną liczbę rekordów,
• czy występowały numery PESEL, dokumenty tożsamości, dane finansowe, zdrowotne lub inne dane szczególnej kategorii.

4. Oceń skutki dla osób

Pytanie nie brzmi tylko: „czy wyciekły dane?”, ale przede wszystkim:

co realnie może stać się osobie w wyniku tego zdarzenia?

Możliwe skutki obejmują np.:

• kradzież tożsamości,
• oszustwo,
• stratę finansową,
• utratę poufności danych chronionych,
• dyskryminację,
• szkodę reputacyjną,
• wykorzystanie danych do phishingu lub podszywania się.

5. Udokumentuj decyzję

Nawet jeśli uznasz, że zgłoszenie do UODO nie jest wymagane, naruszenie powinno zostać udokumentowane w wewnętrznym rejestrze.

Kto zgłasza naruszenie – administrator czy procesor?

Obowiązek zgłoszenia naruszenia organowi nadzorczemu ciąży na administratorze danych.

Podmiot przetwarzający, czyli procesor, po stwierdzeniu naruszenia powinien bez zbędnej zwłoki zgłosić je administratorowi.

W praktyce oznacza to, że umowy powierzenia oraz procedury współpracy z dostawcami IT, kadrowymi, chmurowymi czy marketingowymi powinny umożliwiać bardzo szybką eskalację.

Jeżeli procesor informuje administratora po kilkudziesięciu godzinach, firma może mieć bardzo mało czasu na pełną analizę i przygotowanie zgłoszenia.

Co powinno zawierać zgłoszenie do UODO?

Art. 33 ust. 3 RODO wskazuje minimalny zakres informacji.

Zgłoszenie powinno obejmować co najmniej:

• opis charakteru naruszenia,
• w miarę możliwości kategorie i przybliżoną liczbę osób, których dane dotyczą,
• kategorie i przybliżoną liczbę rekordów danych,
• dane kontaktowe inspektora ochrony danych lub innego punktu kontaktowego,
• opis możliwych konsekwencji naruszenia,
• opis środków zastosowanych lub proponowanych w celu zaradzenia naruszeniu i ograniczenia jego skutków.

Jeżeli wszystkich informacji nie da się przekazać od razu, RODO pozwala przekazywać je etapami — bez dalszej zbędnej zwłoki.

To ważne: brak pełnej wiedzy nie zawsze uzasadnia czekanie ze zgłoszeniem do końca 72. godziny.

Kiedy trzeba zawiadomić osoby, których dane dotyczą?

To osobny obowiązek od zgłoszenia do UODO.

Zgodnie z art. 34 RODO, jeżeli naruszenie może powodować wysokie ryzyko dla praw lub wolności osób fizycznych, administrator powinien bez zbędnej zwłoki zawiadomić te osoby.

Komunikat powinien być napisany jasnym i prostym językiem i zawierać m.in.:

• opis charakteru naruszenia,
• punkt kontaktowy,
• opis możliwych konsekwencji,
• opis działań podjętych w celu ograniczenia skutków.

Celem takiego zawiadomienia nie jest formalne „odhaczenie obowiązku”, ale umożliwienie osobie podjęcia działań ochronnych.

Jeżeli wyciekł PESEL, dane dokumentu, hasła, dane finansowe albo inne informacje umożliwiające nadużycie, komunikat powinien pomagać odbiorcy zrozumieć, co powinien teraz zrobić.

Kiedy nie trzeba informować osoby o naruszeniu?

RODO przewiduje wyjątki.

Zawiadomienie osoby może nie być wymagane, jeśli administrator np.:

• zastosował skuteczne środki techniczne, takie jak szyfrowanie, które powodują, że dane są nieczytelne dla osób nieuprawnionych,
• później zastosował środki eliminujące prawdopodobieństwo wysokiego ryzyka,
• indywidualne zawiadomienie wymagałoby niewspółmiernie dużego wysiłku — wtedy może być potrzebny publiczny komunikat lub podobny skuteczny środek.

Każdy taki przypadek trzeba jednak oceniać w konkretnym kontekście.

Czy utrata zaszyfrowanego laptopa zawsze wymaga zgłoszenia?

Nie zawsze.

Jeżeli urządzenie jest skutecznie zaszyfrowane, zabezpieczenia są aktualne, klucz nie został przejęty, a dane można odtworzyć z kopii, ryzyko dla osób może być bardzo niskie.

Europejska Rada Ochrony Danych wskazuje podobny przykład z zaszyfrowanym nośnikiem: przy skutecznych zabezpieczeniach, bez kompromitacji klucza i z możliwością odtworzenia danych zgłoszenie może nie być konieczne.

Nie oznacza to jednak, że każde hasło do laptopa jest wystarczającym zabezpieczeniem. Trzeba ocenić rzeczywisty poziom ochrony.

Wysłanie danych do niewłaściwego odbiorcy – czy zgłaszać?

To jeden z najczęstszych incydentów.

Ocena zależy m.in. od:

• rodzaju danych,
• liczby osób,
• tego, kto otrzymał wiadomość,
• relacji z odbiorcą,
• możliwości potwierdzonego usunięcia danych,
• tego, czy plik był szyfrowany,
• możliwych konsekwencji ujawnienia.

Inaczej ocenia się omyłkowe przesłanie ogólnej informacji kontaktowej do znanego kontrahenta, który natychmiast potwierdził usunięcie, a inaczej przesłanie listy pracowników z PESEL i danymi wynagrodzeń do przypadkowego odbiorcy.

Ransomware a naruszenie RODO

Atak ransomware może prowadzić do kilku typów naruszenia jednocześnie.

Może dojść do:

• utraty dostępności danych,
• ich nieuprawnionego skopiowania,
• modyfikacji,
• zniszczenia.

Samo zaszyfrowanie danych przez atakującego nie oznacza automatycznie, że dane zostały wykradzione. Trzeba jednak ustalić zakres incydentu.

Jeżeli nie ma kopii zapasowych i dane są niedostępne, naruszenie dostępności może samo w sobie powodować ryzyko dla osób — szczególnie gdy dane są potrzebne np. do zapewnienia świadczeń medycznych, wypłat lub realizacji innych istotnych praw.

Czy każdy wyciek danych osobowych trzeba zgłaszać?

Nie każdy, ale wyciek danych jest sygnałem do natychmiastowej oceny ryzyka.

Szczególnie ostrożnie należy traktować zdarzenia dotyczące:

• numerów PESEL,
• dokumentów tożsamości,
• danych bankowych,
• danych logowania,
• danych zdrowotnych,
• danych dzieci,
• danych dotyczących sytuacji finansowej,
• danych mogących prowadzić do szantażu, dyskryminacji lub kradzieży tożsamości.

W decyzjach Prezesa UODO wielokrotnie podkreślano wysokie ryzyko związane z ujawnieniem zestawów danych obejmujących np. imię i nazwisko, adres, PESEL i dane dokumentu tożsamości.

Czy brak zgłoszenia też trzeba uzasadnić?

Wewnętrznie — tak.

Art. 33 ust. 5 RODO wymaga dokumentowania naruszeń, ich skutków i działań naprawczych.

Jeżeli firma uznaje, że naruszenie nie wymaga zgłoszenia, dokumentacja powinna pozwalać odtworzyć tok rozumowania:

• co się wydarzyło,
• jakie dane były objęte naruszeniem,
• jakie mogły być skutki,
• dlaczego uznano ryzyko za mało prawdopodobne,
• jakie środki zastosowano.

To realizuje także zasadę rozliczalności.

Najczęstsze błędy po incydencie RODO

1. Czekanie na pełny raport techniczny

RODO pozwala przekazywać część informacji etapami. Brak pełnego obrazu nie powinien automatycznie blokować zgłoszenia.

2. Liczenie 72 godzin od samego zdarzenia bez analizy „stwierdzenia”

Termin jest związany ze stwierdzeniem naruszenia, ale firmy nie mogą sztucznie odwlekać momentu, w którym uznają je za stwierdzone.

3. Automatyczne zgłaszanie każdego zdarzenia

To również błąd procesowy. Najpierw trzeba przeprowadzić ocenę ryzyka.

4. Brak dokumentacji incydentów niezgłoszonych

Brak obowiązku zgłoszenia nie oznacza braku obowiązku dokumentowania naruszenia.

5. Skupienie się wyłącznie na UODO

Przy wysokim ryzyku trzeba rozważyć również zawiadomienie osób.

6. Brak rekomendacji dla osób

Komunikat powinien pomagać ograniczyć skutki, a nie tylko informować, że „doszło do incydentu”.

7. Za późna informacja od procesora

Jeśli dostawcy nie mają procedury szybkiej eskalacji, administrator może stracić znaczną część 72-godzinnego okna.

Prosta checklista: incydent RODO w firmie

Po wykryciu zdarzenia:

1. zabezpiecz system i dane,
2. ustal, czy zdarzenie dotyczy danych osobowych,
3. określ typ naruszenia: poufność, integralność, dostępność,
4. ustal zakres i kategorie danych,
5. oceń ryzyko dla praw i wolności osób,
6. udokumentuj analizę,
7. jeśli występuje ryzyko — przygotuj zgłoszenie do UODO,
8. jeśli występuje wysokie ryzyko — oceń obowiązek zawiadomienia osób,
9. wdroż działania ograniczające skutki,
10. zapisz zdarzenie w rejestrze naruszeń i wyciągnij wnioski na przyszłość.

Kiedy warto skonsultować incydent z ekspertem?

Szybka konsultacja jest szczególnie uzasadniona, gdy:

• nie wiadomo, czy zdarzenie jest naruszeniem w rozumieniu RODO,
• do końca 72-godzinnego terminu zostało niewiele czasu,
• naruszenie obejmuje PESEL lub dokumenty tożsamości,
• występują dane szczególnej kategorii,
• incydent dotyczy dużej liczby osób,
• nie wiadomo, czy trzeba informować osoby,
• wystąpił atak ransomware,
• dane mogły zostać wyprowadzone poza organizację,
• w zdarzeniu uczestniczy procesor lub kilku dostawców,
• firma musi połączyć analizę prawną, organizacyjną i techniczną.

W takim przypadku warto przygotować chronologię zdarzenia, listę systemów i danych, logi, informację o zabezpieczeniach oraz podjętych działaniach.

Jeżeli problem dotyczy szerszego obszaru zgodności i ochrony danych, zobacz specjalizację Compliance i ochrona danych osobowych.

Jak EkspertOnline może pomóc po incydencie RODO?

EkspertOnline nie jest kancelarią. To platforma, na której możesz samodzielnie wybrać eksperta właściwego dla problemu i umówić konsultację online.

Jeżeli nie wiesz, czy incydent trzeba zgłosić, jak ocenić ryzyko albo jak przygotować komunikację do osób, pierwsza konsultacja może służyć diagnozie zdarzenia i ustaleniu dalszych kroków.

Nie musisz zaczynać od długiego procesu tylko po to, aby ustalić, czy ekspert może pomóc. Możesz sprawdzić, jak działa EkspertOnline, wybrać specjalistę i rozpocząć od konsultacji. Po spotkaniu możesz otrzymać podsumowanie i rekomendacje, a jeśli sprawa wymaga dalszej pracy — kontynuować z tym samym ekspertem w ramach miniprojektu lub projektu.

Więcej tematów prawnych znajdziesz w obszarze Prawo.

FAQ

Ile czasu jest na zgłoszenie naruszenia do UODO?

Administrator zgłasza naruszenie bez zbędnej zwłoki i — w miarę możliwości — nie później niż w ciągu 72 godzin po jego stwierdzeniu, chyba że jest mało prawdopodobne, aby naruszenie powodowało ryzyko dla praw lub wolności osób fizycznych.

Czy 72 godziny liczy się od wycieku danych?

Nie zawsze od momentu samego zdarzenia. RODO odnosi termin do momentu stwierdzenia naruszenia. Firma powinna jednak działać szybko i nie może sztucznie odwlekać oceny.

Czy każde naruszenie danych trzeba zgłosić?

Nie. Zgłoszenie do UODO nie jest wymagane, jeśli jest mało prawdopodobne, by naruszenie skutkowało ryzykiem dla praw lub wolności osób fizycznych.

Czy każde naruszenie trzeba wpisać do rejestru?

Stwierdzone naruszenia powinny być dokumentowane, także wtedy, gdy po ocenie uznano, że nie wymagają zgłoszenia organowi.

Kiedy trzeba poinformować osoby, których dane dotyczą?

Gdy naruszenie może powodować wysokie ryzyko dla ich praw lub wolności. Zawiadomienie powinno nastąpić bez zbędnej zwłoki.

Czy procesor zgłasza naruszenie do UODO?

Co do zasady procesor bez zbędnej zwłoki informuje administratora. To administrator realizuje obowiązek zgłoszenia do właściwego organu nadzorczego.

Czy utrata zaszyfrowanego laptopa zawsze wymaga zgłoszenia?

Nie. Skuteczne szyfrowanie, brak kompromitacji klucza i możliwość przywrócenia danych mogą znacząco obniżać ryzyko. Zdarzenie nadal wymaga jednak analizy i dokumentacji.

Czy zgłoszenie można uzupełnić później?

Tak. Jeżeli nie można przekazać wszystkich informacji jednocześnie, RODO pozwala przekazywać je etapami bez dalszej zbędnej zwłoki.

Źródła

1. EUR-Lex – Rozporządzenie (UE) 2016/679 (RODO), art. 4, 33 i 34
2. UODO – Zgłaszanie naruszeń: termin 72 godzin i ocena ryzyka
3. UODO – aktualne przypomnienie o obowiązkach z art. 33 i 34 RODO
4. Europejska Rada Ochrony Danych – Wytyczne 01/2021 w sprawie przykładów zgłaszania naruszeń
5. Europejska Rada Ochrony Danych – Wytyczne 9/2022 dotyczące zgłaszania naruszeń na podstawie RODO