Zawiadomienie osób o wycieku danych — art. 34 RODO i wysokie ryzyko

Stan prawny: 17 października 2026 r. WILIŃSKI LEGAL — analiza ochrony danych osobowych.

Odpowiedź w skrócie

Art. 34 RODO wymaga poinformowania osób bez zbędnej zwłoki, jeśli naruszenie ochrony danych prawdopodobnie spowoduje wysokie ryzyko naruszenia ich praw lub wolności. Ustawa określa minimalne informacje oraz wyjątki, m.in. przy skutecznych środkach eliminujących ryzyko albo niewspółmiernym wysiłku wymagającym równoważnego komunikatu publicznego.

Wysokie ryzyko jest odrębną przesłanką

Nie każdy błąd w ochronie danych wymaga powiadomienia każdej osoby. Art. 34 posługuje się progiem prawdopodobnego wysokiego ryzyka, wyższym niż standard oceny zgłoszenia do organu z art. 33. Znaczenie mają kategorie informacji, możliwość wykorzystania ich do podszycia się pod osobę, potencjalne skutki finansowe, zdrowotne i społeczne oraz prawdopodobieństwo wyrządzenia szkody. Nie wolno utożsamiać wysokiego ryzyka wyłącznie z dużą liczbą rekordów. Ujawnienie historii choroby jednego pacjenta może wymagać szczególnej ochrony.

Powiadomienie ma pomagać osobie

Celem komunikatu jest umożliwienie osobie podjęcia działań ochronnych. Wiadomość powinna wyjaśniać, jaki incydent wystąpił, które dane zostały dotknięte, jakie zagrożenia mogą się wiązać ze zdarzeniem oraz co należy zrobić. Nie jest wystarczającą realizacją obowiązku ukryty wpis w regulaminie albo ogólny komunikat marketingowy o technicznym problemie. Język powinien być zrozumiały dla odbiorców, a zalecenia wykonalne, na przykład wymiana hasła czy wzmożona ostrożność wobec prób oszustwa.

Minimalna treść komunikatu

Art. 34 ust. 2 odsyła do określonych informacji z art. 33 ust. 3. W komunikacie należy uwzględnić opis charakteru naruszenia, kontakt do IOD albo innego właściwego punktu kontaktowego, prawdopodobne konsekwencje oraz środki już podjęte lub planowane w celu ograniczenia skutków. Nie trzeba bez uzasadnienia ujawniać całej wewnętrznej analizy technicznej, ale odbiorca nie może zostać pozbawiony istotnych informacji potrzebnych do obrony przed realnym zagrożeniem.

Bez zbędnej zwłoki, nie automatycznie 72 godziny

Art. 34 nie ustanawia identycznego limitu 72 godzin jak obowiązek zgłoszenia do organu z art. 33. Wymaga przekazania informacji bez zbędnej zwłoki, uwzględniając okoliczności incydentu i potrzeby ochrony osób. Jeśli zagrożenie jest pilne, szybki komunikat może być niezbędny jeszcze przed zakończeniem pełnej analizy. Organizacja nie powinna zwlekać wyłącznie z powodów reputacyjnych. Wewnętrzny harmonogram powinien określać, kto zatwierdza treść powiadomienia, jakie informacje można już potwierdzić i jak później przekazywane będą aktualizacje.

Skuteczne zabezpieczenia i wyjątek

Art. 34 ust. 3 dopuszcza odstąpienie od bezpośredniej komunikacji w określonych warunkach, na przykład gdy odpowiednie środki techniczne uczyniły dane nieczytelnymi dla nieuprawnionych osób albo późniejsze środki usunęły prawdopodobieństwo wysokiego ryzyka. Każde takie rozstrzygnięcie wymaga faktycznych dowodów skuteczności środków. Samo twierdzenie, że firma stosuje szyfrowanie, nie wystarcza, jeśli klucze zostały ujawnione razem z danymi. Wyjątki nie powinny służyć ukrywaniu incydentów.

Niewspółmierny wysiłek i komunikat publiczny

Jeżeli indywidualne powiadomienie wymagałoby niewspółmiernie dużego wysiłku, art. 34 przewiduje komunikat publiczny lub podobny środek zapewniający równie skuteczne poinformowanie osób. Nie oznacza to, że opublikowanie krótkiej informacji na mało widocznej podstronie zawsze wystarcza. Forma i kanał mają realnie dotrzeć do osób, które mogą potrzebować działania. Należy ocenić języki odbiorców, dostępność komunikatu i możliwość kontaktu. Europejska Rada Ochrony Danych zaleca jasne, odrębne wiadomości, a nie ukrywanie incydentu w newsletterze.

Organ nadzorczy może żądać komunikacji

Nawet jeśli administrator pierwotnie uznał, że zawiadomienie osób nie jest wymagane, organ nadzorczy może ocenić prawdopodobne wysokie ryzyko i żądać komunikacji albo ustalić, że zachodzi określony wyjątek. Dlatego decyzja nie powinna być subiektywną oceną zarządu motywowaną chęcią ochrony marki. Potrzebna jest udokumentowana analiza ryzyka i materiał pozwalający wykazać środki techniczne, charakter danych i przewidywane konsekwencje. Przejrzystość służy także ograniczeniu sporów dotyczących obowiązków administratora.

Przykład: ujawnione dane o leczeniu

Placówka wysyła dokumentację medyczną do nieuprawnionego odbiorcy. Jeżeli dane mogą ujawnić wrażliwe informacje o zdrowiu i spowodować wysokie ryzyko, placówka musi przeanalizować obowiązek powiadomienia pacjenta bez zbędnej zwłoki. Komunikat powinien wyjaśniać charakter naruszenia oraz wskazywać realne działania ochronne. Równolegle trzeba ocenić zgłoszenie incydentu organowi na podstawie art. 33. Odrębność tych obowiązków zapobiega błędowi, w którym wysłanie formularza do UODO zastępuje poinformowanie osoby.

Skutki dla kancelarii i podmiotów medycznych

Przy dokumentacji objętej tajemnicą zawodową znaczenie ma nie tylko utrata poufności danych osobowych, ale również odrębny reżim ochrony tajemnicy. Administrator powinien ograniczyć zakres ujawnienia, zabezpieczyć dowody i udokumentować działania, nie rozpowszechniając dalszych informacji w trakcie wyjaśniania. Zawiadomienie ma być wystarczająco konkretne, ale nie powinno niepotrzebnie ujawniać szczegółów innym osobom. Przejrzystość wobec uprawnionego nie usprawiedliwia nowego, wtórnego naruszenia poufności.

Materiał dowodowy i dokumenty

Ocena potrzeby zawiadomienia konkretnej osoby wymaga ustalenia, czy naruszenie może powodować wysokie ryzyko naruszenia jej praw lub wolności. Przy znacznym zakresie danych identyfikacyjnych ważne są możliwe skutki oszustwa i przejęcia tożsamości, a przy danych zdrowotnych – skutki ujawnienia wrażliwych informacji. Administrator powinien także zbadać wyjątki od obowiązku zawiadomienia z art. 34 RODO. Komunikat musi pomagać odbiorcy ograniczyć ryzyko, a nie zawierać wyłącznie ogólną formułę o incydencie.

Lista kontrolna

1. Ustal stan faktyczny, zakres danych i odpowiedzialny podmiot.
2. Zweryfikuj przesłanki prawne oraz wyjątki.
3. Zabezpiecz dokumentację i ślad czynności.
4. Dobierz odpowiednie środki ochrony i komunikacji.
5. Udokumentuj ostateczną decyzję i dalszy monitoring.

Źródła pierwotne

Art. 34, 33 ust. 3 lit. b–d i art. 12 RODO; wytyczne EROD 9/2022.. Rozporządzenie (UE) 2016/679 — EUR-Lex. Wytyczne Europejskiej Rady Ochrony Danych dotyczące naruszeń.

Materiał edukacyjny; nie stanowi indywidualnej opinii prawnej.