Zgłoszenie naruszenia danych do UODO — art. 33 RODO i termin 72 godzin

Stan prawny: 17 października 2026 r. WILIŃSKI LEGAL — analiza ochrony danych osobowych.

Odpowiedź w skrócie

Art. 33 RODO przewiduje zgłoszenie naruszenia ochrony danych osobowych organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż 72 godziny od stwierdzenia naruszenia. Wyjątek dotyczy incydentów, które z małym prawdopodobieństwem mogą skutkować ryzykiem naruszenia praw lub wolności osób. Wszystkie naruszenia podlegają dokumentowaniu.

Nie każdy problem IT jest naruszeniem danych osobowych

Awaria aplikacji, próba logowania albo wykryta luka nie zawsze oznaczają naruszenie ochrony danych osobowych. Zgodnie z art. 4 pkt 12 chodzi o naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub dostępu do danych osobowych. Trzeba ustalić, czy zdarzenie rzeczywiście dotknęło dane i jaki był jego skutek dla poufności, integralności albo dostępności. Taka kwalifikacja jest pierwszym etapem oceny, nie automatycznym wnioskiem o obowiązku zawiadomienia UODO.

Próg ryzyka a obowiązek zawiadomienia

Art. 33 ust. 1 ustanawia zasadę zgłoszenia, chyba że jest mało prawdopodobne, aby naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Nie jest wymagane wykazanie realnej szkody ani kradzieży tożsamości. Ocena powinna obejmować rodzaj danych, liczbę osób, możliwość identyfikacji, wrażliwość informacji i prawdopodobne skutki. Nie należy uznawać, że incydent dotyczący niewielu osób jest zawsze nieistotny; ujawnienie szczególnie wrażliwego dokumentu jednej osoby może uzasadniać zgłoszenie.

Kiedy biegnie termin 72 godzin

Termin wiąże się ze stwierdzeniem naruszenia przez administratora, a nie dowolnym zakończeniem wewnętrznego dochodzenia. Organizacja nie może przesuwać go tylko dlatego, że nie zakończyła analizy wszystkich logów. W przypadku braku pełnych informacji art. 33 przewiduje możliwość ich stopniowego uzupełniania w odpowiednich warunkach. Jeśli zgłoszenie następuje po 72 godzinach, trzeba uzasadnić opóźnienie. Warto dokładnie dokumentować moment uzyskania dostatecznej wiedzy o incydencie i przyjęte działania ograniczające skutki.

Zakres zgłoszenia do organu

Art. 33 ust. 3 określa minimalne informacje: charakter naruszenia, w miarę możliwości kategorie i przybliżoną liczbę osób oraz rekordów, dane kontaktowe IOD lub punktu kontaktowego, opis prawdopodobnych konsekwencji i środki podjęte lub proponowane. Nie należy zastępować zgłoszenia jednym zdaniem o awarii. Jednocześnie brak wszystkich danych technicznych nie powinien bez uzasadnienia blokować pierwszego zgłoszenia. Organizacja powinna przygotować procedurę uzupełniania informacji oraz wskazać odpowiedzialną osobę.

Podmiot przetwarzający i administrator

Procesor, który stwierdzi naruszenie ochrony danych przetwarzanych w imieniu administratora, powinien zawiadomić administratora bez zbędnej zwłoki. Nie należy przerzucać całego obowiązku na dostawcę chmury i zakładać, że firma nie ma nic więcej do wykonania. Administrator musi ocenić ryzyko i zdecydować o wymaganych zgłoszeniach. Umowa powierzenia powinna definiować kanał komunikacji i dostęp do logów, aby 72-godzinny termin nie został faktycznie zużyty na ustalanie kontaktu z podwykonawcą.

Rejestr wszystkich naruszeń

Art. 33 ust. 5 zobowiązuje administratora do dokumentowania naruszeń, obejmującego ich okoliczności, skutki i działania naprawcze. To obowiązek także w sytuacjach, w których po rzetelnej ocenie zgłoszenie nie jest wymagane. Rejestr powinien umożliwiać organowi nadzorczemu sprawdzenie prawidłowości decyzji. Dobrym rozwiązaniem jest opis sposobu wykrycia incydentu, danych dotkniętych zdarzeniem, przyjętego progu ryzyka oraz dowodów wykonania środków. Nie wolno tworzyć wrażenia, że brak zgłoszenia równa się brakowi dokumentacji.

Relacja do art. 34 — osoby dotknięte incydentem

Zawiadomienie Prezesa UODO i poinformowanie osób są dwoma odrębnymi obowiązkami. Art. 34 przewiduje co do zasady komunikację z osobami przy prawdopodobnym wysokim ryzyku naruszenia ich praw i wolności, czyli przy wyższym progu niż art. 33. Firma może być zobowiązana do zgłoszenia incydentu organowi, a jednocześnie nie musieć wysyłać informacji każdemu klientowi. Każde rozstrzygnięcie wymaga własnej oceny i dokumentacji, a nie mechanicznego stosowania jednej checklisty.

Przykład: błędny załącznik do wiadomości

Pracownik przesyła listę danych kadrowych nieuprawnionemu odbiorcy. Administrator powinien niezwłocznie ustalić zakres danych i wiarygodność informacji o ich dalszym wykorzystaniu, a następnie przeprowadzić ocenę ryzyka. Prośba do odbiorcy o skasowanie wiadomości może być jednym z działań ograniczających skutki, lecz nie gwarantuje, że naruszenie przestało istnieć. W zależności od danych i prawdopodobnych konsekwencji może być wymagane zgłoszenie w terminie przewidzianym w art. 33.

Wnioski po incydencie

Po opanowaniu zdarzenia trzeba sprawdzić nie tylko przyczynę techniczną, ale również słabość procedur dostępu, obiegu plików i szkoleń. Weryfikacja powinna ustalić, czy podobne zdarzenie może się powtórzyć i które środki są proporcjonalne do ryzyka. Warto skontrolować uprawnienia pracowników, system potwierdzania odbiorcy i zasady szyfrowania. Samo zgłoszenie organowi nie oznacza, że administrator wykonał obowiązki bezpieczeństwa z art. 32 albo że wyeliminował przyczyny incydentu.

Materiał dowodowy i dokumenty

Przy zgłaszaniu naruszenia do organu nadzorczego kluczowa jest dokumentacja chwili jego stwierdzenia oraz przyjętych ustaleń o ryzyku. Termin 72 godzin nie oznacza, że administrator ma czekać na pełne wyjaśnienie każdego szczegółu technicznego; przepisy przewidują możliwość przekazywania informacji etapami na odpowiednich warunkach. Trzeba oddzielić incydent bezpieczeństwa od naruszenia danych osobowych i wykazać, dlaczego zgłoszenie jest konieczne albo z jakich powodów ustawowych nie było wymagane.

Lista kontrolna

1. Ustal stan faktyczny, zakres danych i odpowiedzialny podmiot.
2. Zweryfikuj przesłanki prawne oraz wyjątki.
3. Zabezpiecz dokumentację i ślad czynności.
4. Dobierz odpowiednie środki ochrony i komunikacji.
5. Udokumentuj ostateczną decyzję i dalszy monitoring.

Źródła pierwotne

Art. 4 pkt 12, art. 33–34 RODO; wytyczne EROD 9/2022.. Rozporządzenie (UE) 2016/679 — EUR-Lex. Wytyczne Europejskiej Rady Ochrony Danych dotyczące naruszeń.

Materiał edukacyjny; nie stanowi indywidualnej opinii prawnej.