Zawiadomienie osób o wycieku danych — art. 34 RODO i wysokie ryzyko

Stan prawny: 17 października 2026 r. WILIŃSKI LEGAL — analiza ochrony danych osobowych.

Odpowiedź w skrócie

Art. 34 RODO wymaga poinformowania osób bez zbędnej zwłoki, jeśli naruszenie ochrony danych prawdopodobnie spowoduje wysokie ryzyko naruszenia ich praw lub wolności. Ustawa określa minimalne informacje oraz wyjątki, m.in. przy skutecznych środkach eliminujących ryzyko albo niewspółmiernym wysiłku wymagającym równoważnego komunikatu publicznego.

Wysokie ryzyko jest odrębną przesłanką

Nie każdy błąd w ochronie danych wymaga powiadomienia każdej osoby. Art. 34 posługuje się progiem prawdopodobnego wysokiego ryzyka, wyższym niż standard oceny zgłoszenia do organu z art. 33. Znaczenie mają kategorie informacji, możliwość wykorzystania ich do podszycia się pod osobę, potencjalne skutki finansowe, zdrowotne i społeczne oraz prawdopodobieństwo wyrządzenia szkody. Nie wolno utożsamiać wysokiego ryzyka wyłącznie z dużą liczbą rekordów. Ujawnienie historii choroby jednego pacjenta może wymagać szczególnej ochrony.

Powiadomienie ma pomagać osobie

Celem komunikatu jest umożliwienie osobie podjęcia działań ochronnych. Wiadomość powinna wyjaśniać, jaki incydent wystąpił, które dane zostały dotknięte, jakie zagrożenia mogą się wiązać ze zdarzeniem oraz co należy zrobić. Nie jest wystarczającą realizacją obowiązku ukryty wpis w regulaminie albo ogólny komunikat marketingowy o technicznym problemie. Język powinien być zrozumiały dla odbiorców, a zalecenia wykonalne, na przykład wymiana hasła czy wzmożona ostrożność wobec prób oszustwa.

Minimalna treść komunikatu

Art. 34 ust. 2 odsyła do określonych informacji z art. 33 ust. 3. W komunikacie należy uwzględnić opis charakteru naruszenia, kontakt do IOD albo innego właściwego punktu kontaktowego, prawdopodobne konsekwencje oraz środki już podjęte lub planowane w celu ograniczenia skutków. Nie trzeba bez uzasadnienia ujawniać całej wewnętrznej analizy technicznej, ale odbiorca nie może zostać pozbawiony istotnych informacji potrzebnych do obrony przed realnym zagrożeniem.

Bez zbędnej zwłoki, nie automatycznie 72 godziny

Art. 34 nie ustanawia identycznego limitu 72 godzin jak obowiązek zgłoszenia do organu z art. 33. Wymaga przekazania informacji bez zbędnej zwłoki, uwzględniając okoliczności incydentu i potrzeby ochrony osób. Jeśli zagrożenie jest pilne, szybki komunikat może być niezbędny jeszcze przed zakończeniem pełnej analizy. Organizacja nie powinna zwlekać wyłącznie z powodów reputacyjnych. Wewnętrzny harmonogram powinien określać, kto zatwierdza treść powiadomienia, jakie informacje można już potwierdzić i jak później przekazywane będą aktualizacje.

Skuteczne zabezpieczenia i wyjątek

Art. 34 ust. 3 dopuszcza odstąpienie od bezpośredniej komunikacji w określonych warunkach, na przykład gdy odpowiednie środki techniczne uczyniły dane nieczytelnymi dla nieuprawnionych osób albo późniejsze środki usunęły prawdopodobieństwo wysokiego ryzyka. Każde takie rozstrzygnięcie wymaga faktycznych dowodów skuteczności środków. Samo twierdzenie, że firma stosuje szyfrowanie, nie wystarcza, jeśli klucze zostały ujawnione razem z danymi. Wyjątki nie powinny służyć ukrywaniu incydentów.

Niewspółmierny wysiłek i komunikat publiczny

Jeżeli indywidualne powiadomienie wymagałoby niewspółmiernie dużego wysiłku, art. 34 przewiduje komunikat publiczny lub podobny środek zapewniający równie skuteczne poinformowanie osób. Nie oznacza to, że opublikowanie krótkiej informacji na mało widocznej podstronie zawsze wystarcza. Forma i kanał mają realnie dotrzeć do osób, które mogą potrzebować działania. Należy ocenić języki odbiorców, dostępność komunikatu i możliwość kontaktu. Europejska Rada Ochrony Danych zaleca jasne, odrębne wiadomości, a nie ukrywanie incydentu w newsletterze.

Organ nadzorczy może żądać komunikacji

Nawet jeśli administrator pierwotnie uznał, że zawiadomienie osób nie jest wymagane, organ nadzorczy może ocenić prawdopodobne wysokie ryzyko i żądać komunikacji albo ustalić, że zachodzi określony wyjątek. Dlatego decyzja nie powinna być subiektywną oceną zarządu motywowaną chęcią ochrony marki. Potrzebna jest udokumentowana analiza ryzyka i materiał pozwalający wykazać środki techniczne, charakter danych i przewidywane konsekwencje. Przejrzystość służy także ograniczeniu sporów dotyczących obowiązków administratora.

Przykład: ujawnione dane o leczeniu

Placówka wysyła dokumentację medyczną do nieuprawnionego odbiorcy. Jeżeli dane mogą ujawnić wrażliwe informacje o zdrowiu i spowodować wysokie ryzyko, placówka musi przeanalizować obowiązek powiadomienia pacjenta bez zbędnej zwłoki. Komunikat powinien wyjaśniać charakter naruszenia oraz wskazywać realne działania ochronne. Równolegle trzeba ocenić zgłoszenie incydentu organowi na podstawie art. 33. Odrębność tych obowiązków zapobiega błędowi, w którym wysłanie formularza do UODO zastępuje poinformowanie osoby.

Skutki dla kancelarii i podmiotów medycznych

Przy dokumentacji objętej tajemnicą zawodową znaczenie ma nie tylko utrata poufności danych osobowych, ale również odrębny reżim ochrony tajemnicy. Administrator powinien ograniczyć zakres ujawnienia, zabezpieczyć dowody i udokumentować działania, nie rozpowszechniając dalszych informacji w trakcie wyjaśniania. Zawiadomienie ma być wystarczająco konkretne, ale nie powinno niepotrzebnie ujawniać szczegółów innym osobom. Przejrzystość wobec uprawnionego nie usprawiedliwia nowego, wtórnego naruszenia poufności.

Materiał dowodowy i dokumenty

Przy ocenie sytuacji należy zachować dokumenty źródłowe, daty wpływu żądania albo wykrycia incydentu, rejestry systemowe oraz korespondencję z dostawcami. Trzeba osobno ustalić, które fakty są pewne, a które pozostają hipotezami wymagającymi weryfikacji. Raport powinien identyfikować osobę odpowiedzialną za wykonanie decyzji, termin i zastosowane środki. Taki ślad umożliwia wykazanie rozliczalności zgodnie z art. 5 ust. 2 RODO i ogranicza ryzyko niespójnych informacji przekazywanych organowi oraz osobom zainteresowanym.

Możliwe kontrargumenty i wyjątki

Administrator może wskazywać, że określona kategoria danych jest objęta wyjątkiem, żądanie wykracza poza zakres danego uprawnienia albo ryzyko ma inny poziom niż twierdzi zainteresowany. Nie wystarczy jednak standardowa formuła bez wskazania faktów i przepisu. Osoba może z kolei kwestionować jakość analizy, brak terminowej odpowiedzi albo niedostateczne środki ochronne. Skuteczny spór wymaga wskazania konkretnej operacji przetwarzania, możliwych skutków i dowodów, nie ogólnego stwierdzenia, że przetwarzanie jest »niezgodne z RODO«.

Rola IOD i odpowiedzialność administratora

Inspektor ochrony danych może wspierać ocenę prawną i organizację odpowiedzi, ale jego udział nie znosi odpowiedzialności administratora za podejmowane decyzje. Przy współpracy z zewnętrznym dostawcą trzeba ustalić rzeczywiste role stron, zakres upoważnień i kanały wymiany informacji. Dobrą praktyką jest zachowanie spójności między polityką ochrony danych, umowami powierzenia i działającymi systemami. W dużych organizacjach przydatna jest procedura eskalacji, dzięki której pilne sprawy nie pozostają bez decyzji w okresie nieobecności jednej osoby.

Praktyczna checklista decyzji

W pierwszej kolejności należy ustalić stan faktyczny i rodzaj przetwarzanych danych. Następnie trzeba wskazać właściwy przepis, jego przesłanki oraz możliwe wyjątki. Trzeci etap obejmuje dokumentowanie oceny i wykonanie środków technicznych. Wreszcie konieczne jest przekazanie odpowiedniej informacji osobie albo organowi, jeżeli wymagają tego przepisy. Kontrola końcowa powinna sprawdzić zgodność deklaracji z rzeczywistym funkcjonowaniem systemów, a także odnotować działania zapobiegające ponownemu problemowi.

Lista kontrolna

1. Ustal stan faktyczny, zakres danych i odpowiedzialny podmiot.
2. Zweryfikuj przesłanki prawne oraz wyjątki.
3. Zabezpiecz dokumentację i ślad czynności.
4. Dobierz odpowiednie środki ochrony i komunikacji.
5. Udokumentuj ostateczną decyzję i dalszy monitoring.

Źródła pierwotne

Art. 34, 33 ust. 3 lit. b–d i art. 12 RODO; wytyczne EROD 9/2022.. Rozporządzenie (UE) 2016/679 — EUR-Lex. Wytyczne Europejskiej Rady Ochrony Danych dotyczące naruszeń.

Materiał edukacyjny; nie stanowi indywidualnej opinii prawnej.