Co musi zrobić administrator, gdy dostawca zgłosi naruszenie danych?

Dlaczego to pytanie w ogóle powstaje

Art. 33 ust. 2 RODO poświęca podmiotowi przetwarzającemu jedno zdanie. Po stwierdzeniu naruszenia zgłasza je administratorowi bez zbędnej zwłoki. Zgłoszenie do organu nadzorczego i zawiadomienie osób przepisy powierzają administratorowi. Kolejności działań między wiadomością od dostawcy a zgłoszeniem RODO nie opisuje.

W sierpniu 2026 r. Prezes UODO wydał komunikat zatytułowany „Administrator musi zgłosić wyciek, do którego doszło w podmiocie przetwarzającym”. Skierował go do administratorów, którzy powierzyli dane dostawcy systemu elektronicznej dokumentacji medycznej MyDr. Przypomniał w nim, że konieczna jest analiza ryzyka dla praw lub wolności osób. Od jej wyniku zależy zgłoszenie do organu i zawiadomienie osób.

Co trzeba ustalić po wiadomości od dostawcy

Administrator ustala zakres zdarzenia w swoich danych i moment stwierdzenia naruszenia. Od razu ogranicza też skutki po swojej stronie. Potem ocenia ryzyko i decyduje o zgłoszeniu oraz zawiadomieniu. Niezależnie od wyniku dokumentuje naruszenie. Jeżeli zdarzenie jest też incydentem w rozumieniu ustawy o krajowym systemie cyberbezpieczeństwa (art. 2 pkt 5), podmiot kluczowy lub ważny klasyfikuje go według progów incydentu poważnego (art. 11 ust. 1 pkt 3). Wczesne ostrzeżenie o incydencie poważnym przekazuje do właściwego CSIRT sektorowego niezwłocznie, najpóźniej w ciągu 24 godzin od jego wykrycia. Zgłoszenie incydentu poważnego przekazuje niezwłocznie, najpóźniej w ciągu 72 godzin od wykrycia (art. 11 ust. 1 pkt 4 i 4a). Administrator będący dostawcą usług zaufania zgłasza incydent poważny do właściwego CSIRT sektorowego niezwłocznie, najpóźniej w ciągu 24 godzin od wykrycia (art. 11 ust. 1a). Wszystkie te terminy biegną od wykrycia incydentu poważnego, a nie od stwierdzenia naruszenia ochrony danych. Tych obowiązków nie stosuje się w sektorze bankowości i infrastruktury rynków finansowych (art. 8i ust. 1). Progi incydentu poważnego są inne niż próg ryzyka z art. 33 ust. 1 RODO. Administrator objęty tymi obowiązkami klasyfikuje więc incydent według progów i osobno ocenia ryzyko z art. 33 ust. 1 RODO, bo jedna ocena nie zastępuje drugiej.

Czy naruszenie u dostawcy objęło dane administratora

Pierwsze pytanie dotyczy zakresu. Według komunikatu Prezesa UODO z 12 sierpnia 2026 r. administrator przed przystąpieniem do obowiązków z art. 33 ust. 1 i art. 34 powinien otrzymać od podmiotu przetwarzającego informację potwierdzającą, że incydent dotyczył danych związanych z jego działalnością. Ogólny komunikat o „incydencie w naszych systemach” takiej informacji nie zawiera.

Administrator ma podstawę, żeby o nią poprosić. Umowa powierzenia musi przewidywać, że podmiot przetwarzający pomaga administratorowi wywiązać się z obowiązków z art. 32–36 RODO. Pomoc uwzględnia charakter przetwarzania oraz informacje dostępne dostawcy (art. 28 ust. 3 lit. f). Pierwsze odpowiedzi mogą więc być niepełne. EROD zaleca, żeby dostawca zgłaszał naruszenie szybko i stopniowo przekazywał dalsze informacje, gdy je uzyska (pkt 45).

W pierwszym pytaniu do dostawcy warto zawrzeć cztery prośby.

• potwierdzenie, czy zdarzenie objęło dane powierzone przez tego administratora, z kategoriami i przybliżoną liczbą osób oraz wpisów;
• opis, co się stało i czy dane trafiły do osób nieuprawnionych, czy tylko stały się niedostępne;
• informację o działaniach, które dostawca podjął, i o terminie kolejnych ustaleń;
• okres narażenia danych oraz konta i klucze, które mogły zostać przejęte.

Te pytania pomagają zebrać informacje, które administrator podaje w zgłoszeniu do Prezesa UODO (art. 33 ust. 3). Prośbę warto wysłać kanałem kontaktu wskazanym w umowie, który zostawia ślad z datą i godziną. Tym samym kanałem warto potwierdzić, że wiadomość o naruszeniu rzeczywiście pochodzi od dostawcy, bo głośne wycieki bywają wykorzystywane do podszywania się pod dostawców.

Gdy naruszenie nastąpiło u dalszego podmiotu przetwarzającego

Dostawca usługi często korzysta z kolejnych podmiotów, na przykład z centrum danych albo chmury obliczeniowej. Dostawca musi nałożyć na taki dalszy podmiot te same obowiązki ochrony danych, które ma wobec administratora (art. 28 ust. 4). Jeżeli dalszy podmiot się z nich nie wywiąże, pierwotny dostawca ponosi wobec administratora pełną odpowiedzialność za wypełnienie obowiązków dalszego podmiotu.

W praktyce administrator kieruje pytania do swojego dostawcy, który odpowiada wobec niego za dalszy podmiot. Obowiązki administratora z art. 33 i 34 się nie zmieniają.

Od kiedy administrator liczy 72 godziny

Według EROD administrator korzysta z usług podmiotu przetwarzającego, żeby realizować własne cele. Dlatego zasadniczo należy przyjąć, że stwierdza naruszenie w chwili, w której dostawca go o nim poinformował (wytyczne 9/2022, pkt 44). Poradnik UODO przyjmuje tę samą zasadę i dodaje, że administrator pozostaje odpowiedzialny za weryfikację informacji oraz ostateczną analizę i kwalifikację incydentu.

Komunikat Prezesa UODO można odczytać tak, jakby termin startował dopiero z potwierdzeniem zakresu. Bezpieczniej jest liczyć 72 godziny od pierwszej wiadomości dostawcy o naruszeniu, także gdy potwierdzenie jeszcze nie przyszło. Sama wiadomość, że dostawca bada podejrzenie incydentu, zwykle nie jest jeszcze informacją o naruszeniu. Według EROD działania wstępne po takim początkowym ostrzeżeniu powinny jednak w większości przypadków zakończyć się wkrótce (pkt 36). Wiadomość może być informacją o naruszeniu, gdy już z niej wynika dostateczna pewność narażenia danych (pkt 31). Poradnik UODO nie uznaje czekania na koniec dochodzenia ani na komplet informacji za usprawiedliwienie opóźnienia. Przy brakujących informacjach wskazuje zgłoszenie wstępne i późniejsze uzupełnienie (przykład 9.2.1).

Bywa też odwrotnie. Administrator dowiaduje się o zdarzeniu z mediów albo od pacjenta, zanim napisze do niego dostawca. EROD dopuszcza wtedy krótkie postępowanie wstępne, w trakcie którego naruszenia nie uważa się jeszcze za stwierdzone. Postępowanie powinno jednak rozpocząć się jak najszybciej. W większości przypadków powinno zakończyć się wkrótce po pierwszym sygnale, a później tylko wyjątkowo (pkt 34 i 36).

W mojej ocenie milczenie dostawcy nie wydłuża postępowania wstępnego po sygnale z innego źródła. Gdy administrator ma dostateczną pewność, że zdarzenie objęło jego dane, stwierdza naruszenie także bez potwierdzenia od dostawcy. Za tym odczytem przemawia pkt 31 wytycznych, czyli dostateczna pewność co do incydentu, który doprowadził do narażenia danych osobowych. Pkt 34 wiąże początek krótkiego postępowania wstępnego także z pierwszą informacją od osoby fizycznej, z mediów lub z innego źródła. Przeciwko przemawia komunikat Prezesa UODO, według którego administrator przed realizacją obowiązków powinien otrzymać od dostawcy informację potwierdzającą, że incydent dotyczył jego danych. Przy odczycie opartym na pkt 31 i 34 brak potwierdzenia przed upływem 72 godzin nie wstrzymuje zgłoszenia. Jeżeli ryzyko nie jest mało prawdopodobne, bezpieczniej złożyć zgłoszenie wstępne i uzupełniać je bez zbędnej zwłoki po odpowiedziach dostawcy (art. 33 ust. 4, poradnik UODO 9.2). W zgłoszeniu warto wskazać, że zakres danych czeka na potwierdzenie dostawcy, i podać datę pytań. Niezależnie od odczytu warto zapisywać, kiedy wysłano pytania do dostawcy i kiedy przyszły odpowiedzi.

Według poradnika UODO termin biegnie także w weekendy i dni wolne od pracy. Szczegółowe liczenie terminu opisuje materiał Jak liczyć 72 godziny na zgłoszenie naruszenia?.

Czego dostawca nie wie, a administrator musi ocenić

Według EROD dostawca nie musi oceniać ryzyka przed zgłoszeniem naruszenia administratorowi. Ma jedynie ustalić, czy doszło do naruszenia, i je zgłosić. Odpowiedzialność za ocenę ryzyka w chwili stwierdzenia naruszenia spoczywa na administratorze (pkt 44).

Administrator wie o swoich danych więcej niż dostawca. Wie, czy dane dotyczą pacjentów, dzieci albo pracowników. Wie, jakie dane wprowadził do systemu i czy ma ich kopię. EROD wymienia czynniki oceny ryzyka, wśród nich rodzaj naruszenia oraz charakter, wrażliwość i ilość danych. Liczą się też łatwość identyfikacji osób, waga konsekwencji i liczba osób (pkt 106–118). Dwa czynniki dotyczą osób i samego administratora, więc administrator zna je zwykle lepiej niż dostawca. Pierwszy to cechy szczególne osób, na przykład dzieci. Drugi to cechy samego administratora, na przykład placówki medycznej (pkt 116 i 117). W przypadku jakichkolwiek wątpliwości administrator powinien zgłosić naruszenie (pkt 119).

EROD dodaje, że administrator może sam zbadać naruszenie, bo dostawca może nie znać wszystkich faktów. Przykładem jest kopia danych zniszczonych lub utraconych przez dostawcę, którą nadal ma administrator. Może ona wpłynąć na to, czy administrator musi zgłosić naruszenie (pkt 44). Poradnik UODO opisuje pożar serwerów z kopiami zapasowymi u dostawcy. Administrator ustalił, że ma własną kompletną kopię tych danych, i według poradnika słusznie nie stwierdził naruszenia (przykład 5.2.4). Kopia ogranicza skutki utraty lub zniszczenia danych, ale nie usuwa ryzyka po nieuprawnionym ujawnieniu danych lub nieuprawnionym dostępie do nich. Nawet przy utracie nie zawsze zamyka sprawę. W części o szyfrowaniu EROD wskazuje, że utrata zaszyfrowanych danych może wymagać zgłoszenia mimo kopii zapasowej. Zależy to od czasu przywracania danych i wpływu braku dostępu na osoby (pkt 79).

Według poradnika UODO administratorzy powinni znać proces oceny ryzyka na tyle dobrze, by go nadzorować i w każdym przypadku samodzielnie podejmować ostateczne decyzje. Muszą też być gotowi wykazać, że właściwie ocenili ryzyko i na tej podstawie podjęli działania. Przy danych zaszyfrowanych EROD zauważa, że z czasem sytuacja może się zmienić i wymagać kolejnej oceny ryzyka (pkt 78). Podobnie warto traktować każdą nową informację od dostawcy, na przykład potwierdzenie wycieku po wcześniejszej wiadomości o samej niedostępności danych.

Co administrator robi sam, zanim dostawca skończy analizę

W zgłoszeniu do Prezesa UODO administrator opisuje środki zastosowane lub proponowane przez siebie w celu zaradzenia naruszeniu (art. 33 ust. 3 lit. d). Według poradnika UODO zaradzanie naruszeniom dotyczy wszystkich stwierdzonych naruszeń, niezależnie od wyników oceny ryzyka.

Część działań administrator może podjąć po swojej stronie. W praktyce chodzi o zmianę haseł i kluczy API oraz unieważnienie aktywnych sesji w usłudze dostawcy. Dochodzi do tego wyłączenie integracji, które pobierają albo wysyłają dane. Czasem potrzebne jest też ograniczenie dostępu do czasu wyjaśnienia zdarzenia. Poradnik UODO wymienia podobne metody powstrzymywania naruszeń, w tym zablokowanie kont i odseparowanie systemów objętych naruszeniem. Część działań w usłudze może wykonać tylko dostawca, na przykład wymuszenie zmiany haseł wszystkich użytkowników administratora. Prośby o takie działania warto wysłać tym samym kanałem co pytania, żeby został ślad z godziną. Warto też unieważnić dane dostępowe do systemów administratora, które przechowywał dostawca, na przykład konta serwisowe i tokeny integracji. Każde takie działanie warto zapisać z godziną, bo trafi do zgłoszenia i do dokumentacji.

Czy ocena dostawcy zwalnia administratora

Nie zwalnia. Dostawca może napisać, że jego zdaniem zgłoszenie do organu nie jest potrzebne. Taka opinia jest dla administratora jedną z informacji do oceny, a nie decyzją. Podstawą jest pkt 44 wytycznych oraz poradnik UODO, który przypisuje administratorowi ostateczną kwalifikację incydentu.

To samo dotyczy zapowiedzi dostawcy, że „zajmie się zgłoszeniem”. Według EROD podmiot przetwarzający mógłby dokonać zgłoszenia w imieniu administratora, gdyby administrator udzielił mu stosownego zezwolenia uregulowanego w umowie. Odpowiedzialność za zgłoszenie nadal spoczywa na administratorze (pkt 48). Poradnik UODO dopuszcza zgłoszenie przez dostawcę wyłącznie z pisemnym zezwoleniem administratora.

Kto zgłasza naruszenie u dostawcy do Prezesa UODO

Zgłasza administrator, chyba że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób (art. 33 ust. 1). Według EROD dostawca obsługujący wielu administratorów musi zgłosić incydent każdemu z nich, na którego wywiera wpływ (pkt 47). Każdy z tych administratorów ocenia ryzyko i, jeżeli nie jest ono mało prawdopodobne, zgłasza naruszenie we własnym imieniu. W grupie kapitałowej obowiązek ma każda spółka będąca odrębnym administratorem. Gdy spółki z grupy są współadministratorami, uzgodnienia z art. 26 powinny wskazać, która z nich odpowiada za zgłoszenie naruszenia i zawiadomienie osób (EROD pkt 42). Spółka będąca odrębnym administratorem nie może oprzeć się na zgłoszeniu, które inna spółka z grupy złożyła we własnym imieniu.

Administrator nie musi czekać na pełny raport dostawcy. Jeżeli i w zakresie, w jakim informacji nie da się udzielić w tym samym czasie, administrator może je udzielać sukcesywnie bez zbędnej zwłoki (art. 33 ust. 4). Zgłoszenie po 72 godzinach wymaga dołączenia wyjaśnienia przyczyn opóźnienia (art. 33 ust. 1). Poradnik UODO nie uznaje za usprawiedliwienie opóźnienia urlopu osoby odpowiedzialnej bez zapewnionego zastępstwa ani braku czasu kierownictwa na zatwierdzenie zgłoszenia (przykład 9.2.1). Prezes UODO zaleca korzystanie z szablonu formularza zgłoszenia dostępnego na stronie urzędu. Poradnik UODO wymienia formularz elektroniczny na biznes.gov.pl, wysłanie wypełnionego formularza przez ePUAP lub pismem ogólnym oraz pocztę tradycyjną.

Kiedy zawiadomić osoby o naruszeniu u dostawcy

Administrator zawiadamia osoby bez zbędnej zwłoki, gdy naruszenie może powodować wysokie ryzyko naruszenia ich praw lub wolności (art. 34 ust. 1). Zawiadomienie jasnym i prostym językiem opisuje charakter naruszenia i zawiera co najmniej informacje z art. 33 ust. 3 lit. b–d (art. 34 ust. 2). Chodzi o imię i nazwisko oraz dane kontaktowe inspektora ochrony danych lub oznaczenie innego punktu kontaktowego. Do tego dochodzą możliwe konsekwencje naruszenia i środki opisane w art. 33 ust. 3 lit. d.

Art. 34 ust. 3 wylicza trzy sytuacje, w których zawiadomienie nie jest wymagane. Pierwsza dotyczy odpowiednich środków ochrony zastosowanych do danych objętych naruszeniem, w szczególności uniemożliwiających odczyt osobom nieuprawnionym, takich jak szyfrowanie. Druga dotyczy późniejszych środków eliminujących prawdopodobieństwo wysokiego ryzyka. Trzecia dotyczy niewspółmiernie dużego wysiłku. W tym ostatnim przypadku wydaje się publiczny komunikat albo stosuje podobny środek, który informuje osoby w równie skuteczny sposób.

W komunikacie z 12 sierpnia 2026 r. Prezes UODO podał przykłady treści zawiadomienia. Przy numerze PESEL administrator może wskazać ryzyko wyłudzenia pożyczki i zarekomendować zastrzeżenie numeru. Przy danych o zdrowiu może wskazać m.in. ryzyko dyskryminacji i zaproponować wsparcie psychologiczne w sytuacjach silnego stresu lub niepokoju.

Dostawca może zawiadomić osoby w imieniu administratora. Według poradnika UODO wymaga to pisemnego zezwolenia, a sprawa powinna być precyzyjnie uregulowana w umowie. Administrator pozostaje przy tym ostatecznie odpowiedzialny. Według poradnika dostawca musi wtedy jasno wskazać w treści komunikatu, kto jest administratorem, a kto działa w jego imieniu. Kanał i język zawiadomienia opisuje materiał Jak zawiadomić osoby o naruszeniu i co musi zawierać zawiadomienie?.

Jak udokumentować naruszenie u dostawcy

Administrator dokumentuje wszelkie naruszenia ochrony danych osobowych, w tym okoliczności, skutki i podjęte działania zaradcze (art. 33 ust. 5). Według poradnika UODO dokumentowanie dotyczy wszystkich stwierdzonych naruszeń, niezależnie od wyniku oceny ryzyka. Dokumentacja może mieć postać rejestru naruszeń, choć według poradnika odrębna ewidencja nie jest obowiązkowa.

Przy naruszeniu u dostawcy warto wpisać chwilę otrzymania wiadomości oraz daty pytań i odpowiedzi. Warto dołączyć też uzasadnienie oceny ryzyka i zachować całą korespondencję z dostawcą. Jeżeli administrator czekał na potwierdzenie od dostawcy, warto zapisać powód i czas oczekiwania. Dokumentacja musi pozwolić organowi zweryfikować przestrzeganie art. 33, dlatego powinna pokazywać także moment stwierdzenia naruszenia. Według poradnika UODO administrator powinien udokumentować także incydent uznany za niebędący naruszeniem, wraz z przyczyną tej decyzji.

Co dalej z dostawcą po naruszeniu

Administrator korzysta wyłącznie z usług podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych (art. 28 ust. 1). Naruszenie u dostawcy jest powodem, żeby te gwarancje ocenić ponownie. Umowa powierzenia przewiduje, że dostawca udostępnia informacje niezbędne do wykazania spełnienia obowiązków z art. 28 i umożliwia audyty (art. 28 ust. 3 lit. h). Obejmuje to informacje o środkach wymaganych na mocy art. 32, które dostawca podejmuje zgodnie z art. 28 ust. 3 lit. c.

Warto też sprawdzić, czy umowa określa termin zgłoszenia naruszenia w godzinach i zakres pierwszej informacji. Według EROD umowa powinna określać, jak strony zapewnią spełnienie wymogów z art. 33 ust. 2 (pkt 46). Stronę dostawcy opisuje materiał Jak i kiedy podmiot przetwarzający ma zgłosić naruszenie administratorowi?.

Kroki administratora po naruszeniu u dostawcy

Za wszystkie kroki z tabeli odpowiada administrator. Przy krokach z art. 32–36 RODO dostawca pomaga w zakresie z art. 28 ust. 3 lit. f. Udostępnia też informacje niezbędne do wykazania spełnienia obowiązków z art. 28 i umożliwia audyty (lit. h).

Krok	Podstawa	Kiedy	Wyjątki i ograniczenia
Potwierdzenie, czy zdarzenie objęło dane administratora	art. 28 ust. 3 lit. f RODO, komunikat Prezesa UODO z 12.08.2026	od razu po wiadomości od dostawcy	bezpieczniej nie czekać z terminem na potwierdzenie
Ustalenie momentu stwierdzenia	art. 33 ust. 1 RODO, EROD 9/2022 pkt 31, 34 i 44	zasadniczo chwila wiadomości od dostawcy	gdy sygnał przyszedł z innego źródła, krótkie postępowanie wstępne
Działania zaradcze po stronie administratora	art. 33 ust. 3 lit. d RODO, poradnik UODO 6.1 i 7.1	od razu	niezależnie od wyniku oceny ryzyka
Ocena ryzyka dla osób	art. 33 ust. 1 i art. 34 ust. 1 RODO, EROD pkt 44 i 106–119	w terminie 72 godzin i ponownie po nowej informacji od dostawcy	ocena dostawcy nie zastępuje oceny administratora
Klasyfikacja incydentu (podmiot kluczowy lub ważny)	art. 11 ust. 1 pkt 3, 4 i 4a i ust. 1a oraz art. 8i ust. 1 ustawy o KSC	od razu; wczesne ostrzeżenie niezwłocznie, najpóźniej 24 godziny od wykrycia; zgłoszenie niezwłocznie, najpóźniej 72 godziny od wykrycia, a administrator będący dostawcą usług zaufania 24 godziny (ust. 1a)	tylko incydent w rozumieniu ustawy; nie w sektorze bankowości i infrastruktury rynków finansowych
Zgłoszenie do Prezesa UODO	art. 33 ust. 1, 3 i 4 RODO	bez zbędnej zwłoki, w miarę możliwości w 72 godziny; później z wyjaśnieniem przyczyn opóźnienia	nie, gdy ryzyko jest mało prawdopodobne; kopia danych u administratora może to zmienić przy utracie lub zniszczeniu danych, choć nie zawsze; EROD pokazuje to na przykładzie danych zaszyfrowanych (pkt 79); dostawca w imieniu administratora tylko z zezwoleniem uregulowanym w umowie, według poradnika UODO pisemnym
Zawiadomienie osób	art. 34 RODO	bez zbędnej zwłoki	tylko przy wysokim ryzyku; wyjątki z art. 34 ust. 3; dostawca w imieniu administratora tylko z zezwoleniem uregulowanym w umowie, według poradnika UODO pisemnym
Dokumentacja naruszenia	art. 33 ust. 5 RODO, poradnik UODO 8.1	po stwierdzeniu naruszenia albo decyzji o jego braku i przy każdej nowej informacji	niezależnie od wyniku oceny ryzyka; według poradnika UODO także incydent uznany za nienaruszenie; rejestr nie jest obowiązkową formą
Ponowna ocena dostawcy	art. 28 ust. 1 i ust. 3 lit. h RODO	po opanowaniu zdarzenia	zakres audytu według umowy

Wnioski i dalsze kroki

Dostawca ustala, czy doszło do naruszenia, i bez zbędnej zwłoki zgłasza je administratorowi. Administrator weryfikuje zdarzenie i ostatecznie je kwalifikuje. Ocenia też ryzyko, podejmuje decyzje i za nie odpowiada.

1. Zapisz godzinę wiadomości od dostawcy, sprawdź jej prawdziwość kanałem z umowy i od razu poproś o potwierdzenie, czy zdarzenie objęło Twoje dane.
2. Od razu ogranicz skutki po swojej stronie i zapisz każde działanie z godziną.
3. Ustal, czy masz kopię danych i jakich osób dotyczą, a potem oceń ryzyko we własnym zespole.
4. Jeżeli jesteś podmiotem kluczowym lub ważnym spoza sektora bankowości i infrastruktury rynków finansowych, sprawdź, czy zdarzenie jest incydentem poważnym. Wczesne ostrzeżenie o incydencie poważnym zgłoś do właściwego CSIRT sektorowego niezwłocznie, najpóźniej w 24 godziny od wykrycia. Zgłoszenie incydentu poważnego przekaż niezwłocznie, najpóźniej w 72 godziny od wykrycia, a jako dostawca usług zaufania w 24 godziny.
5. Zgłoś naruszenie Prezesowi UODO bez zbędnej zwłoki i w miarę możliwości w 72 godziny. Wyjątkiem jest naruszenie, przy którym ryzyko dla osób jest mało prawdopodobne. Informacje, których nie masz, uzupełniaj sukcesywnie. Wskaż osobę, która zatwierdzi zgłoszenie także w weekend.
6. Zdecyduj o zawiadomieniu osób i uzgodnij z dostawcą, kto je wyśle i w czyim imieniu.
7. Udokumentuj naruszenie i zaplanuj ponowną ocenę dostawcy oraz przegląd umowy powierzenia.

Materiały powiązane

• Jak i kiedy podmiot przetwarzający ma zgłosić naruszenie administratorowi? — obowiązki po stronie dostawcy i zapisy umowy.
• Jak liczyć 72 godziny na zgłoszenie naruszenia? — moment stwierdzenia i liczenie terminu.
• Czy każde naruszenie ochrony danych trzeba zgłosić? — próg zgłoszenia i ogólne zasady oceny ryzyka.
• Jak zawiadomić osoby o naruszeniu i co musi zawierać zawiadomienie? — treść, kanał i język zawiadomienia.
• Co powinien zawierać rejestr naruszeń ochrony danych? — wpis o naruszeniu, w tym o naruszeniu niezgłoszonym.
• Co musi zawierać umowa powierzenia przetwarzania danych osobowych? — postanowienia o zgłaszaniu naruszeń i audytach.

Źródła

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), wersja skonsolidowana — art. 26 ust. 1, art. 28 ust. 1, ust. 3 lit. c, f i h oraz ust. 4, art. 33 i art. 34 — eur-lex.europa.eu.
• Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, tekst ujednolicony ze stanem na 18 sierpnia 2026 r. — art. 2 pkt 5, art. 8i ust. 1 oraz art. 11 ust. 1 pkt 3, 4 i 4a i ust. 1a — isap.sejm.gov.pl.
• Europejska Rada Ochrony Danych, Wytyczne 9/2022 dotyczące zgłaszania naruszenia ochrony danych osobowych na podstawie RODO, wersja 2.0 przyjęta 28 marca 2023 r. — pkt 31, 34, 36, 42, 44–48, 78, 79 i 106–119 — edpb.europa.eu.
• Urząd Ochrony Danych Osobowych, Poradnik dotyczący naruszeń ochrony danych osobowych, wersja z 20 lutego 2025 r. — rozdziały 5.2, 6.1, 7.1, 8.1, 9.2 i 10.2 — uodo.gov.pl.
• Urząd Ochrony Danych Osobowych, komunikat „Administrator musi zgłosić wyciek, do którego doszło w podmiocie przetwarzającym” z 12 sierpnia 2026 r. — uodo.gov.pl.