Powiadomienie osób o naruszeniu danych — art. 34 RODO i wysokie ryzyko

Stan prawny: 17 października 2026 r. Analiza WILIŃSKI LEGAL.

Odpowiedź w skrócie

Art. 34 RODO wymaga zawiadomienia osób, gdy naruszenie ochrony danych może powodować wysokie ryzyko naruszenia ich praw lub wolności. To odrębny obowiązek od zgłoszenia incydentu do organu nadzorczego z art. 33.

Zawiadomienie osoby a zgłoszenie do UODO

Art. 33 dotyczy w odpowiednich sytuacjach zgłoszenia naruszenia organowi nadzorczemu, natomiast art. 34 odnosi się do komunikatu dla osób dotkniętych incydentem. To dwa odrębne obowiązki z innymi progami ryzyka. Nie można zakładać, że zgłoszenie do UODO zawsze wystarczy ani że każda drobna pomyłka musi prowadzić do publicznego komunikatu. Konieczna jest właściwa ocena realnych następstw dla osób, których dane dotyczą.

Próg wysokiego ryzyka

Art. 34 stosuje się w razie prawdopodobnego wysokiego ryzyka naruszenia praw lub wolności osób fizycznych. Ocena uwzględnia charakter danych, skalę zdarzenia, możliwe skutki i dostępne zabezpieczenia. Szczególne znaczenie mogą mieć dane zdrowotne, dokumenty tożsamości, informacje finansowe oraz możliwość wykorzystania ich do oszustwa. Nie wystarcza sama liczba rekordów. Jedno ujawnienie bardzo wrażliwych danych może być poważniejsze niż incydent obejmujący wiele ogólnych kontaktów.

Zawiadomienie bez zbędnej zwłoki

Jeżeli występuje obowiązek z art. 34, administrator powinien zawiadomić osoby bez zbędnej zwłoki. Nie należy czekać do końca pełnego śledztwa technicznego, jeśli można już przekazać wiarygodne podstawowe informacje o ryzyku i sposobach ochrony. Komunikat powinien być jasny i zrozumiały, bez niepotrzebnego języka technicznego. W miarę poznawania nowych faktów może być potrzebne dalsze uzupełnienie informacji.

Treść zawiadomienia

Art. 34 odsyła do określonych elementów informacji dotyczących naruszenia: charakteru zdarzenia, punktu kontaktowego, możliwych konsekwencji oraz zastosowanych i proponowanych środków ograniczających ryzyko. Osoba powinna wiedzieć, co praktycznie zrobić, aby się chronić. Nie należy przesyłać ogólnego komunikatu, który zawiera wyłącznie zapewnienie, że firma „traktuje prywatność priorytetowo”. Istotne są konkrety adekwatne do rzeczywistego incydentu.

Wyjątek po zastosowaniu skutecznych zabezpieczeń

Art. 34 przewiduje sytuacje, w których indywidualne zawiadomienie nie jest wymagane, m.in. w razie zastosowania skutecznych środków uniemożliwiających osobom nieuprawnionym odczytanie danych, takich jak odpowiednie szyfrowanie. Nie można jednak posługiwać się samą deklaracją o szyfrowaniu, jeśli klucze także zostały ujawnione. Trzeba ocenić stan faktyczny i rzeczywistą skuteczność zabezpieczenia. Każda przesłanka wyjątku powinna mieć oparcie w dokumentacji.

Środki eliminujące dalsze wysokie ryzyko

Ustawa uwzględnia także późniejsze działania administratora, które eliminują prawdopodobieństwo wystąpienia wysokiego ryzyka. Nie wystarczy jednak ogólna obietnica naprawy problemu bez sprawdzenia jej skuteczności. W określonych sytuacjach reset haseł, unieważnienie tokenów albo zablokowanie dostępu mogą realnie ograniczyć skutki, ale nie zawsze zneutralizują ujawnienie dokumentów tożsamości. Ocena wymaga rozróżnienia rodzaju danych i rzeczywistych możliwości sprawcy.

Niewspółmierny wysiłek i komunikat publiczny

Jeżeli indywidualne zawiadomienie wymagałoby niewspółmiernie dużego wysiłku, art. 34 przewiduje odpowiednią formę publicznego komunikatu lub równie skuteczny środek. Nie oznacza to przyzwolenia na zastąpienie każdego listu zwykłą aktualizacją polityki prywatności. Administrator powinien wykazać przesłankę i zadbać o rzeczywistą możliwość dotarcia do zainteresowanych. Treść komunikatu musi nadal służyć ochronie osób przed skutkami incydentu.

Dokumentacja i koordynacja działań

Organizacja powinna utrwalać ocenę ryzyka, daty wykrycia incydentu, decyzje o zawiadomieniu i treść komunikatów. Ważne jest powiązanie działań prawnych, bezpieczeństwa IT oraz obsługi klientów. Jeżeli dostawca chmury przekazuje informacje etapami, administrator powinien odpowiednio aktualizować ocenę. Nie można przenosić całej odpowiedzialności na podmiot przetwarzający poprzez samo postanowienie umowy. Transparentność i wykonalne instrukcje ograniczają ryzyko wtórnych szkód.

Przykład

Z bazy organizacji wycieka zestaw danych obejmujący nazwiska, numery dokumentów oraz informacje pozwalające podszyć się pod użytkowników. Administrator musi ocenić wysokie ryzyko i ewentualny obowiązek zawiadomienia osób niezależnie od zgłoszenia organowi. Komunikat powinien wskazywać rzeczywiste środki ochrony, a nie tylko ogólną deklarację o prowadzonym dochodzeniu.

Ocena ryzyka i odpowiedzialność administratora

Przed rozstrzygnięciem kwestii powiadomienie osób o naruszeniu danych — art. 34 rodo i wysokie ryzyko konieczne jest ustalenie roli organizacji w przetwarzaniu oraz szczegółowego celu operacji. W praktyce część zadań może wykonywać dostawca technologii, ale nie oznacza to automatycznego przeniesienia ustawowej odpowiedzialności administratora. Trzeba przeanalizować umowę powierzenia, sposób zarządzania dostępem i dokumenty opisujące proces. Istotne jest odróżnienie rzeczywistego zabezpieczenia od jego opisu w procedurze. Jeżeli organizacja powołuje się na wyjątek, powinna przedstawić konkretne okoliczności uzasadniające jego zastosowanie, nie tylko powtórzyć sformułowanie z rozporządzenia.

Przejrzysta komunikacja i prawa osoby

RODO opiera się na rozliczalności oraz obowiązku komunikowania się z osobą w sposób przejrzysty. Administrator powinien wyjaśnić, jakie prawo lub obowiązek znajduje zastosowanie i czego wnioskodawca może oczekiwać. Odpowiedź pełna technicznych skrótów nie zawsze realizuje ten standard, nawet jeśli formalnie zawiera wymagane elementy. Warto oddzielić informacje konieczne dla osoby od szczegółowych wewnętrznych zapisów bezpieczeństwa. W przypadku sporu trzeba również zachować dowody doręczenia i możliwości realizacji praw, z poszanowaniem zasad minimalizacji danych.

Praktyczna kontrola procesu

Audyt powinien zacząć się od mapy systemów i przepływu danych, następnie objąć odpowiedzialność poszczególnych osób oraz realny sposób stosowania procedury. W firmach posiadających wiele aplikacji ryzyko wynika często z rozbieżności między systemem głównym, kopią roboczą i zasobami dostawców. Nie wolno zakładać, że zmiana jednego rekordu automatycznie dociera do wszystkich podmiotów. Dobra dokumentacja umożliwia sprawdzenie, kto, kiedy i na jakiej podstawie wykonał konkretną czynność. Celem nie jest produkcja formularzy, lecz ograniczenie ryzyka i wiarygodna ochrona praw osób fizycznych.

Treść komunikatu do osoby dotkniętej wyciekiem

Skuteczne zawiadomienie z art. 34 powinno przedstawiać charakter zdarzenia w języku zrozumiałym dla odbiorcy, wskazywać możliwe konsekwencje oraz środki ochrony. Jeżeli wyciekły dokumenty pozwalające na podszywanie się pod osobę, komunikat powinien wskazać adekwatne, rzeczywiście dostępne działania ograniczające ryzyko. Nie należy jednak przedstawiać jako pewnego faktu tego, czego nie potwierdziło postępowanie wyjaśniające. Administrator powinien oddzielić dane ustalone, prawdopodobne skutki i nadal badane okoliczności. Jeśli zastosowano szyfrowanie, trzeba ustalić, czy faktycznie uniemożliwia odczyt danych przez osoby nieuprawnione, w tym czy klucze pozostały bezpieczne. Zawiadomienie organu na podstawie art. 33 nie zastępuje oceny wysokiego ryzyka wymaganej dla art. 34. Należy też dokumentować daty, zakres i kanał komunikacji. W praktyce dobrze przygotowany komunikat ogranicza wtórne szkody i pomaga osobom podjąć świadome działania, zamiast wzmacniać ich niepewność.

Checklista

1. Ustal charakter naruszenia i rodzaj danych.
2. Oddziel próg art. 33 od wysokiego ryzyka z art. 34.
3. Zbadaj rzeczywistą skuteczność zabezpieczeń i wyjątki.
4. Przygotuj zrozumiały, praktyczny komunikat.
5. Zachowaj dokumentację decyzji i terminów.

Najczęstszy błąd

Utożsamienie zgłoszenia naruszenia do UODO z zawiadomieniem osób lub traktowanie skutecznego szyfrowania jako automatycznego faktu bez dowodów.

Źródła pierwotne

Art. 4 pkt 12, art. 33–34 i art. 32 RODO.. Rozporządzenie (UE) 2016/679 — EUR-Lex.

Informacja ogólna; właściwa ocena wymaga analizy rzeczywistych procesów przetwarzania.