Zgłoszenie naruszenia danych do UODO — art. 33 RODO i termin 72 godzin

Stan prawny: 17 października 2026 r. WILIŃSKI LEGAL — analiza ochrony danych osobowych.

Odpowiedź w skrócie

Art. 33 RODO przewiduje zgłoszenie naruszenia ochrony danych osobowych organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż 72 godziny od stwierdzenia naruszenia. Wyjątek dotyczy incydentów, które z małym prawdopodobieństwem mogą skutkować ryzykiem naruszenia praw lub wolności osób. Wszystkie naruszenia podlegają dokumentowaniu.

Nie każdy problem IT jest naruszeniem danych osobowych

Awaria aplikacji, próba logowania albo wykryta luka nie zawsze oznaczają naruszenie ochrony danych osobowych. Zgodnie z art. 4 pkt 12 chodzi o naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub dostępu do danych osobowych. Trzeba ustalić, czy zdarzenie rzeczywiście dotknęło dane i jaki był jego skutek dla poufności, integralności albo dostępności. Taka kwalifikacja jest pierwszym etapem oceny, nie automatycznym wnioskiem o obowiązku zawiadomienia UODO.

Próg ryzyka a obowiązek zawiadomienia

Art. 33 ust. 1 ustanawia zasadę zgłoszenia, chyba że jest mało prawdopodobne, aby naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Nie jest wymagane wykazanie realnej szkody ani kradzieży tożsamości. Ocena powinna obejmować rodzaj danych, liczbę osób, możliwość identyfikacji, wrażliwość informacji i prawdopodobne skutki. Nie należy uznawać, że incydent dotyczący niewielu osób jest zawsze nieistotny; ujawnienie szczególnie wrażliwego dokumentu jednej osoby może uzasadniać zgłoszenie.

Kiedy biegnie termin 72 godzin

Termin wiąże się ze stwierdzeniem naruszenia przez administratora, a nie dowolnym zakończeniem wewnętrznego dochodzenia. Organizacja nie może przesuwać go tylko dlatego, że nie zakończyła analizy wszystkich logów. W przypadku braku pełnych informacji art. 33 przewiduje możliwość ich stopniowego uzupełniania w odpowiednich warunkach. Jeśli zgłoszenie następuje po 72 godzinach, trzeba uzasadnić opóźnienie. Warto dokładnie dokumentować moment uzyskania dostatecznej wiedzy o incydencie i przyjęte działania ograniczające skutki.

Zakres zgłoszenia do organu

Art. 33 ust. 3 określa minimalne informacje: charakter naruszenia, w miarę możliwości kategorie i przybliżoną liczbę osób oraz rekordów, dane kontaktowe IOD lub punktu kontaktowego, opis prawdopodobnych konsekwencji i środki podjęte lub proponowane. Nie należy zastępować zgłoszenia jednym zdaniem o awarii. Jednocześnie brak wszystkich danych technicznych nie powinien bez uzasadnienia blokować pierwszego zgłoszenia. Organizacja powinna przygotować procedurę uzupełniania informacji oraz wskazać odpowiedzialną osobę.

Podmiot przetwarzający i administrator

Procesor, który stwierdzi naruszenie ochrony danych przetwarzanych w imieniu administratora, powinien zawiadomić administratora bez zbędnej zwłoki. Nie należy przerzucać całego obowiązku na dostawcę chmury i zakładać, że firma nie ma nic więcej do wykonania. Administrator musi ocenić ryzyko i zdecydować o wymaganych zgłoszeniach. Umowa powierzenia powinna definiować kanał komunikacji i dostęp do logów, aby 72-godzinny termin nie został faktycznie zużyty na ustalanie kontaktu z podwykonawcą.

Rejestr wszystkich naruszeń

Art. 33 ust. 5 zobowiązuje administratora do dokumentowania naruszeń, obejmującego ich okoliczności, skutki i działania naprawcze. To obowiązek także w sytuacjach, w których po rzetelnej ocenie zgłoszenie nie jest wymagane. Rejestr powinien umożliwiać organowi nadzorczemu sprawdzenie prawidłowości decyzji. Dobrym rozwiązaniem jest opis sposobu wykrycia incydentu, danych dotkniętych zdarzeniem, przyjętego progu ryzyka oraz dowodów wykonania środków. Nie wolno tworzyć wrażenia, że brak zgłoszenia równa się brakowi dokumentacji.

Relacja do art. 34 — osoby dotknięte incydentem

Zawiadomienie Prezesa UODO i poinformowanie osób są dwoma odrębnymi obowiązkami. Art. 34 przewiduje co do zasady komunikację z osobami przy prawdopodobnym wysokim ryzyku naruszenia ich praw i wolności, czyli przy wyższym progu niż art. 33. Firma może być zobowiązana do zgłoszenia incydentu organowi, a jednocześnie nie musieć wysyłać informacji każdemu klientowi. Każde rozstrzygnięcie wymaga własnej oceny i dokumentacji, a nie mechanicznego stosowania jednej checklisty.

Przykład: błędny załącznik do wiadomości

Pracownik przesyła listę danych kadrowych nieuprawnionemu odbiorcy. Administrator powinien niezwłocznie ustalić zakres danych i wiarygodność informacji o ich dalszym wykorzystaniu, a następnie przeprowadzić ocenę ryzyka. Prośba do odbiorcy o skasowanie wiadomości może być jednym z działań ograniczających skutki, lecz nie gwarantuje, że naruszenie przestało istnieć. W zależności od danych i prawdopodobnych konsekwencji może być wymagane zgłoszenie w terminie przewidzianym w art. 33.

Wnioski po incydencie

Po opanowaniu zdarzenia trzeba sprawdzić nie tylko przyczynę techniczną, ale również słabość procedur dostępu, obiegu plików i szkoleń. Weryfikacja powinna ustalić, czy podobne zdarzenie może się powtórzyć i które środki są proporcjonalne do ryzyka. Warto skontrolować uprawnienia pracowników, system potwierdzania odbiorcy i zasady szyfrowania. Samo zgłoszenie organowi nie oznacza, że administrator wykonał obowiązki bezpieczeństwa z art. 32 albo że wyeliminował przyczyny incydentu.

Materiał dowodowy i dokumenty

Przy ocenie sytuacji należy zachować dokumenty źródłowe, daty wpływu żądania albo wykrycia incydentu, rejestry systemowe oraz korespondencję z dostawcami. Trzeba osobno ustalić, które fakty są pewne, a które pozostają hipotezami wymagającymi weryfikacji. Raport powinien identyfikować osobę odpowiedzialną za wykonanie decyzji, termin i zastosowane środki. Taki ślad umożliwia wykazanie rozliczalności zgodnie z art. 5 ust. 2 RODO i ogranicza ryzyko niespójnych informacji przekazywanych organowi oraz osobom zainteresowanym.

Możliwe kontrargumenty i wyjątki

Administrator może wskazywać, że określona kategoria danych jest objęta wyjątkiem, żądanie wykracza poza zakres danego uprawnienia albo ryzyko ma inny poziom niż twierdzi zainteresowany. Nie wystarczy jednak standardowa formuła bez wskazania faktów i przepisu. Osoba może z kolei kwestionować jakość analizy, brak terminowej odpowiedzi albo niedostateczne środki ochronne. Skuteczny spór wymaga wskazania konkretnej operacji przetwarzania, możliwych skutków i dowodów, nie ogólnego stwierdzenia, że przetwarzanie jest »niezgodne z RODO«.

Rola IOD i odpowiedzialność administratora

Inspektor ochrony danych może wspierać ocenę prawną i organizację odpowiedzi, ale jego udział nie znosi odpowiedzialności administratora za podejmowane decyzje. Przy współpracy z zewnętrznym dostawcą trzeba ustalić rzeczywiste role stron, zakres upoważnień i kanały wymiany informacji. Dobrą praktyką jest zachowanie spójności między polityką ochrony danych, umowami powierzenia i działającymi systemami. W dużych organizacjach przydatna jest procedura eskalacji, dzięki której pilne sprawy nie pozostają bez decyzji w okresie nieobecności jednej osoby.

Praktyczna checklista decyzji

W pierwszej kolejności należy ustalić stan faktyczny i rodzaj przetwarzanych danych. Następnie trzeba wskazać właściwy przepis, jego przesłanki oraz możliwe wyjątki. Trzeci etap obejmuje dokumentowanie oceny i wykonanie środków technicznych. Wreszcie konieczne jest przekazanie odpowiedniej informacji osobie albo organowi, jeżeli wymagają tego przepisy. Kontrola końcowa powinna sprawdzić zgodność deklaracji z rzeczywistym funkcjonowaniem systemów, a także odnotować działania zapobiegające ponownemu problemowi.

Lista kontrolna

1. Ustal stan faktyczny, zakres danych i odpowiedzialny podmiot.
2. Zweryfikuj przesłanki prawne oraz wyjątki.
3. Zabezpiecz dokumentację i ślad czynności.
4. Dobierz odpowiednie środki ochrony i komunikacji.
5. Udokumentuj ostateczną decyzję i dalszy monitoring.

Źródła pierwotne

Art. 4 pkt 12, art. 33–34 RODO; wytyczne EROD 9/2022.. Rozporządzenie (UE) 2016/679 — EUR-Lex. Wytyczne Europejskiej Rady Ochrony Danych dotyczące naruszeń.

Materiał edukacyjny; nie stanowi indywidualnej opinii prawnej.