Czy każde naruszenie ochrony danych trzeba zgłosić?

Dlaczego to pytanie w ogóle powstaje

Wątpliwość ma dwa źródła i oba są organizacyjne, nie prawne.

Pierwsze: nie każde zdarzenie bezpieczeństwa jest naruszeniem ochrony danych osobowych. Zablokowane logowanie, wykryta i odparta próba phishingu, awaria serwera bez utraty danych — to zdarzenia, którymi zajmuje się zespół bezpieczeństwa, ale które nie uruchamiają obowiązków z RODO. Naruszeniem jest zdarzenie, które doprowadziło do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych. Dopóki organizacja nie rozstrzygnie tej kwalifikacji, dyskusja o zgłoszeniu jest przedwczesna.

Drugie: część organizacji przyjmuje zasadę „zgłaszamy wszystko, na wszelki wypadek”. Wygląda to na postawę ostrożną, a w praktyce osłabia pozycję administratora. Zgłoszenie jest oświadczeniem o wyniku oceny ryzyka — jeżeli organizacja zgłasza bez tej oceny, pokazuje organowi, że jej nie przeprowadziła. Ten sam mechanizm działa w drugą stronę: brak zgłoszenia bez udokumentowanej analizy jest równie trudny do obrony.

Do tego dochodzi mechanika terminu. Siedemdziesiąt dwie godziny liczy się od stwierdzenia naruszenia przez administratora, a nie od momentu, w którym zdarzenie zaistniało. W dużych organizacjach większość tego czasu zwykle zużywa droga informacji: od pracownika, przez przełożonego i dział IT, do inspektora ochrony danych. Decyzja zapada na końcu tej ścieżki i wtedy dopiero widać, ile czasu realnie zostało.

Co trzeba ustalić przed decyzją

Czy zdarzenie jest naruszeniem ochrony danych osobowych

Kwalifikacja obejmuje trzy wymiary: poufność (dane trafiły do osoby nieuprawnionej), integralność (dane zostały zmienione w sposób nieuprawniony lub przypadkowy) i dostępność (dane utracono albo dostęp do nich jest niemożliwy). Utrata dostępności bywa pomijana, choć jest naruszeniem tak samo jak wyciek — organizacja, która po ataku ransomware odtworzyła dane z kopii, nadal ma do czynienia z naruszeniem, jeżeli przez pewien czas nie mogła realizować przetwarzania.

To ustalenie odpowiada wyłącznie na pytanie „czy RODO w ogóle wchodzi w grę”. Nie przesądza jeszcze niczego o zgłoszeniu.

Kiedy organizacja stwierdziła naruszenie

Stwierdzenie to moment, w którym administrator uzyskał wystarczającą pewność, że doszło do zdarzenia dotyczącego danych osobowych. Krótka weryfikacja sygnału mieści się przed tym momentem, ale przeciąganie jej w nieskończoność go nie odsuwa. W praktyce rozstrzygające jest, czy organizacja potrafi wskazać datę i godzinę oraz pokazać, co się między zgłoszeniem wewnętrznym a tą chwilą działo.

Jeżeli naruszenie wykrył podmiot przetwarzający, jego obowiązkiem jest zgłoszenie administratorowi bez zbędnej zwłoki. Termin administratora biegnie od chwili, w której otrzymał tę informację — dlatego umowa powierzenia powinna wyznaczać konkretny czas na powiadomienie i kanał, którym ma ono trafić do organizacji.

Jakie ryzyko powstaje dla osób, a nie dla organizacji

To jest punkt, w którym najczęściej rozjeżdża się perspektywa. Ocena dotyczy skutków dla osób, których dane dotyczą — kradzieży tożsamości, oszustwa finansowego, ujawnienia informacji objętych szczególną ochroną, dyskryminacji, straty finansowej, naruszenia dobrego imienia. Ryzyko reputacyjne administratora nie należy do tej analizy.

Ocena łączy dwa wymiary: prawdopodobieństwo wystąpienia skutku i wagę jego wpływu na prawa lub wolności osoby. W wyroku z 24 października 2025 r. (III OSK 1830/22) Naczelny Sąd Administracyjny wskazał, że ustalenie, iż prawdopodobieństwo nie jest małe, w połączeniu z wysoką wagą potencjalnego wpływu, przesądza o możliwości wystąpienia wysokiego ryzyka, a obowiązek zawiadomienia nie wymaga, by prawa osoby zostały już faktycznie naruszone. Sąd potwierdził również, że ujawnienie numeru PESEL wraz z imieniem i nazwiskiem tworzy wysokie ryzyko. Dla praktyki oznacza to jedno: argument „nic się nie stało, nikt z tych danych nie skorzystał” nie jest przesłanką oceny.

Analizę porządkują wytyczne EROD zawierające osiemnaście przykładowych przypadków — ransomware, eksfiltracja danych, ryzyko wewnętrzne, zgubione urządzenia, błędna wysyłka korespondencji, socjotechnika — wraz ze wskazaniem, kiedy w każdym z nich powstaje obowiązek zgłoszenia i zawiadomienia. Wytyczne nie są źródłem prawa, ale wyznaczają praktykę nadzoru i są dobrym punktem odniesienia przy budowaniu własnych kryteriów oceny.

Czy ryzyko jest wysokie — czyli druga, odrębna decyzja

Zgłoszenie organowi i zawiadomienie osób to dwa różne obowiązki z różnymi progami. Zgłoszenie do UODO odpada dopiero wtedy, gdy ryzyko jest mało prawdopodobne. Zawiadomienie osób powstaje w odwrotnym układzie — dopiero gdy ryzyko jest wysokie — i ma nastąpić bez zbędnej zwłoki, bez sztywnego terminu godzinowego.

RODO przewiduje trzy sytuacje, w których zawiadomienie osób nie jest wymagane mimo wysokiego ryzyka: gdy dane były zabezpieczone środkami czyniącymi je nieczytelnymi dla osób nieuprawnionych, gdy administrator zastosował po naruszeniu środki eliminujące prawdopodobieństwo wysokiego ryzyka oraz gdy zawiadomienie indywidualne wymagałoby niewspółmiernie dużego wysiłku — wtedy właściwy jest publiczny komunikat. Powołanie się na pierwszy z tych wyjątków wymaga wykazania, że zabezpieczenie działało w chwili naruszenia; deklaracja, że „dane były szyfrowane”, bez wskazania zakresu i sposobu zarządzania kluczami, nie zamyka sprawy.

Który organ i jakie obowiązki biegną równolegle

Przy przetwarzaniu transgranicznym trzeba ustalić, czy Prezes UODO jest organem wiodącym, czy właściwy jest organ innego państwa. Administrator, który nie ma jednostki organizacyjnej w Unii, a podlega RODO, nie korzysta z mechanizmu kompleksowej współpracy — zgodnie z wytycznymi EROD 9/2022 zgłasza naruszenie organom nadzorczym wszystkich państw, w których przebywają osoby dotknięte naruszeniem. Wyznaczenie przedstawiciela w UE tego nie zmienia.

Niezależnie od RODO to samo zdarzenie może uruchamiać inne reżimy: obowiązki wobec CSIRT dla podmiotów objętych ustawą o krajowym systemie cyberbezpieczeństwa, obowiązki sektorowe wynikające z DORA, prawa telekomunikacyjnego czy rozporządzenia eIDAS. Terminy i progi są w nich różne i nie zastępują się nawzajem. Organizacje, które dopiero układają ten obszar, zwykle zaczynają od ustalenia zakresu obowiązków w ramach przygotowania do NIS2 i KSC, a dopiero potem łączą ścieżki zgłoszeniowe w jedną procedurę.

Cztery typowe rozstrzygnięcia

Sytuacja	Zgłoszenie do UODO	Zawiadomienie osób	Co zostaje w dokumentacji
Zdarzenie bezpieczeństwa bez wpływu na dane osobowe	Nie	Nie	Rejestr incydentów bezpieczeństwa; uzasadnienie kwalifikacji, jeżeli sygnał dotyczył danych
Naruszenie, przy którym ryzyko dla osób jest mało prawdopodobne	Nie	Nie	Wpis w rejestrze naruszeń wraz z oceną ryzyka i podstawą decyzji o niezgłaszaniu
Naruszenie z ryzykiem, które nie jest wysokie	Tak, w 72 godziny od stwierdzenia	Nie	Wpis w rejestrze, zgłoszenie, korespondencja z organem, działania naprawcze
Naruszenie z wysokim ryzykiem	Tak, w 72 godziny od stwierdzenia	Tak, bez zbędnej zwłoki — chyba że zachodzi jeden z wyjątków	Wpis w rejestrze, zgłoszenie, treść i sposób zawiadomienia albo uzasadnienie wyjątku

Tabela porządkuje typowe układy, ale nie zastępuje oceny. Ten sam rodzaj zdarzenia — na przykład wysłanie korespondencji do niewłaściwego adresata — trafia do różnych wierszy zależnie od tego, jakie dane obejmował załącznik i kto go otrzymał.

Najczęstsze błędy

• Liczenie terminu od zdarzenia zamiast od stwierdzenia. Prowadzi albo do niepotrzebnego pośpiechu, albo — częściej — do przekonania, że termin już upłynął, i do rezygnacji ze zgłoszenia.
• Traktowanie 72 godzin jako terminu na wyjaśnienie sprawy. RODO dopuszcza zgłoszenie wstępne i uzupełnianie informacji sukcesywnie; zgłoszenie po terminie wymaga wyjaśnienia przyczyn opóźnienia. Czekanie na komplet ustaleń jest ryzykowniejsze niż zgłoszenie niepełne.
• Ocena ryzyka z perspektywy organizacji. Pytanie brzmi, co grozi osobom, a nie jak zdarzenie wygląda z zewnątrz.
• Pomijanie naruszeń dostępności. Utrata danych i brak dostępu do nich są naruszeniem także wtedy, gdy nikt niepowołany danych nie zobaczył.
• Brak rejestru naruszeń niezgłoszonych. Rejestr obejmuje wszystkie naruszenia. Przy kontroli to on pokazuje, że decyzja o niezgłoszeniu była decyzją, a nie przeoczeniem.
• Zawiadomienie osób napisane językiem prawnym. Komunikat ma pozwolić odbiorcy zrozumieć, co się stało i co może zrobić — jeżeli tego nie robi, obowiązek został wykonany formalnie, ale nie faktycznie.

Wnioski i dalsze kroki

Odpowiedź na pytanie z tytułu rozstrzyga się w dwóch krokach: najpierw kwalifikacja zdarzenia, potem ocena ryzyka dla osób. Obowiązek zgłoszenia jest regułą, od której organizacja może odstąpić wyłącznie na podstawie udokumentowanej oceny — a nie odwrotnie.

W praktyce większość problemów bierze się nie z samej decyzji, lecz z tego, co ją poprzedza. Dlatego przed kolejnym naruszeniem trzeba przesądzić cztery rzeczy: kto w organizacji ma prawo uznać, że naruszenie zostało stwierdzone; jaką drogą sygnał z pierwszej linii dociera do inspektora ochrony danych i w jakim czasie; według jakich kryteriów oceniane jest ryzyko dla osób, tak aby dwie różne osoby doszły do zbliżonego wyniku; oraz gdzie zapisywana jest ocena wraz z uzasadnieniem decyzji.

Organizacja, która ma te cztery elementy, podejmuje decyzję o zgłoszeniu w kilka godzin i potrafi ją później wykazać. Organizacja, która ich nie ma, zaczyna od budowania procedury w trakcie naruszenia — i to zwykle, a nie samo zdarzenie, decyduje o przebiegu sprawy.

Materiały powiązane

• Jak ustalić, czy organizacja musi wyznaczyć IOD? — rola, która w procesie decyzji o zgłoszeniu przeprowadza ocenę ryzyka i prowadzi kontakt z organem.
• Od czego zarząd powinien rozpocząć przygotowanie do NIS2? — kolejność decyzji przesądzająca o tym, czy obok zgłoszenia do UODO biegnie równoległy obowiązek wobec CSIRT.

Źródła

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), art. 4 pkt 12, art. 33 i art. 34, tekst skonsolidowany — EUR-Lex: eur-lex.europa.eu (dostęp: 17.08.2026)
• Wniosek dotyczący rozporządzenia zmieniającego m.in. rozporządzenie (UE) 2016/679 (Digital Omnibus), COM(2025) 837 — EUR-Lex: eur-lex.europa.eu (dostęp: 17.08.2026)
• Jakie naruszenia trzeba zgłosić Prezesowi UODO, a jakie nie wymagają zgłoszenia? — Urząd Ochrony Danych Osobowych: uodo.gov.pl (dostęp: 17.08.2026)
• W jakim terminie należy zgłosić naruszenie Prezesowi UODO? — Urząd Ochrony Danych Osobowych: uodo.gov.pl (dostęp: 17.08.2026)
• Inne obowiązki i przepisy związane z naruszeniami — Urząd Ochrony Danych Osobowych: uodo.gov.pl (dostęp: 17.08.2026)
• Kiedy, przy naruszeniu, należy zawiadamiać osoby, których dane dotyczą? Wyrok NSA z 24 października 2025 r., III OSK 1830/22 — Urząd Ochrony Danych Osobowych: uodo.gov.pl (dostęp: 17.08.2026)
• Wytyczne 01/2021 w sprawie przykładów dotyczących zgłaszania naruszeń ochrony danych osobowych, wersja 2.0, przyjęte 14 grudnia 2021 r. — Europejska Rada Ochrony Danych: edpb.europa.eu (dostęp: 17.08.2026)
• Guidelines 9/2022 on personal data breach notification under GDPR, wersja 2.0, przyjęte 28 marca 2023 r. — Europejska Rada Ochrony Danych: edpb.europa.eu (dostęp: 17.08.2026)