Jak rozpoznać incydent, ocenić ryzyko dla osób i zdecydować o zgłoszeniu. Terminy z RODO i ustawy o KSC oraz kolejność działań w pierwszej dobie.
Stan prawny: sierpień 2026
Zobacz też: DPO i RODO NIS2 i KSC Szkolenia i warsztaty AI Act
Uporządkowana reakcja na incydenty i naruszeniaPierwsze godziny rozstrzygają o tym, co da się później wykazać. Jeżeli chcesz mieć ustaloną kolejność działań jeszcze przed zdarzeniem, zacznijmy od rozmowy o Twoich procesach. Poznaj usługę
Zgłoszenie incydentu poważnego to nie jeden dokument, tylko sekwencja czterech przekazów. Wczesne ostrzeżenie w 24 godziny, zgłoszenie w 72 godziny, sprawozdanie okresowe i końcowe. Treść każdego wyznacza ustawa, a niepełna wiedza nie jest powodem do czekania.
Art. 33 ust. 5 RODO nakazuje dokumentowanie naruszeń, a nie prowadzenie rejestru w określonej formie. Dokumentacja ma pozwolić organowi zweryfikować przestrzeganie całego artykułu, dlatego najwięcej treści wymagają wpisy o naruszeniach, których administrator nie zgłosił.
Incydent w rozumieniu ustawy o KSC i naruszenie w rozumieniu RODO to dwie niezależne kwalifikacje tego samego zdarzenia. Zakresy obu pojęć się przecinają, ale żaden nie zawiera drugiego, więc rozstrzygnięcie jednego nie zamyka drugiego.
Najpierw potwierdzić zdarzenie i zabezpieczyć ślady, potem ograniczyć skutki, a dopiero na tej podstawie kwalifikować sprawę prawnie. Wykrycie uruchamia kilka niezależnych zegarów liczonych od różnych momentów, dlatego kolejność działań jest ważniejsza od tempa.
Nie każde. Zgłoszenie do UODO jest regułą, od której można odstąpić tylko na podstawie udokumentowanej oceny ryzyka dla osób. Termin 72 godzin biegnie od stwierdzenia naruszenia, a zawiadomienie osób to odrębna decyzja.
