Czy każde naruszenie ochrony danych trzeba zgłosić?

Dlaczego to pytanie w ogóle powstaje

Wątpliwość ma dwa źródła i oba są organizacyjne, nie prawne.

Po pierwsze, nie każde zdarzenie bezpieczeństwa jest naruszeniem ochrony danych osobowych. Zablokowane logowanie albo wykryta i odparta próba phishingu nie są naruszeniem, jeżeli nie naruszyły poufności, integralności ani dostępności danych osobowych. Awaria serwera wymaga natomiast oceny, czy doprowadziła do choćby czasowej utraty dostępu do danych osobowych. Naruszeniem jest zdarzenie, które doprowadziło do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych. Dopóki organizacja nie rozstrzygnie tej kwalifikacji, dyskusja o zgłoszeniu jest przedwczesna.

Po drugie, część organizacji przyjmuje zasadę „zgłaszamy wszystko, na wszelki wypadek”. Wygląda to na postawę ostrożną, a w praktyce osłabia pozycję administratora. Zgłoszenie jest oświadczeniem o wyniku oceny ryzyka — jeżeli organizacja zgłasza bez tej oceny, pokazuje organowi, że jej nie przeprowadziła. Ten sam mechanizm działa w drugą stronę. Brak zgłoszenia bez udokumentowanej analizy jest równie trudny do obrony.

Do tego dochodzi mechanika terminu. Siedemdziesiąt dwie godziny liczy się od stwierdzenia naruszenia przez administratora, a nie od momentu, w którym zdarzenie zaistniało. W dużych organizacjach większość tego czasu zwykle zużywa droga informacji. Prowadzi ona od pracownika, przez przełożonego i dział IT, do inspektora ochrony danych. Decyzja zapada na końcu tej ścieżki i wtedy dopiero widać, ile czasu realnie zostało.

Co trzeba ustalić przed decyzją

Czy zdarzenie jest naruszeniem ochrony danych osobowych

Kwalifikacja obejmuje trzy wymiary. Są to poufność (dane trafiły do osoby nieuprawnionej), integralność (dane zostały zmienione w sposób nieuprawniony lub przypadkowy) i dostępność (dane utracono albo dostęp do nich jest niemożliwy). Utrata dostępności bywa pomijana, choć jest naruszeniem tak samo jak wyciek — organizacja, która po ataku ransomware odtworzyła dane z kopii, nadal ma do czynienia z naruszeniem, jeżeli przez pewien czas nie mogła realizować przetwarzania.

To ustalenie odpowiada wyłącznie na pytanie „czy RODO w ogóle wchodzi w grę”. Nie przesądza jeszcze niczego o zgłoszeniu.

Kiedy organizacja stwierdziła naruszenie

Stwierdzenie to moment, w którym administrator uzyskał wystarczającą pewność, że doszło do zdarzenia dotyczącego danych osobowych. Krótka weryfikacja sygnału mieści się przed tym momentem, ale przeciąganie jej w nieskończoność go nie odsuwa. W praktyce rozstrzygające jest, czy organizacja potrafi wskazać datę i godzinę oraz pokazać, co się między zgłoszeniem wewnętrznym a tą chwilą działo.

Jeżeli naruszenie wykrył podmiot przetwarzający, jego obowiązkiem jest zgłoszenie administratorowi bez zbędnej zwłoki (art. 33 ust. 2 RODO). Przepis nie reguluje jednak, od kiedy biegnie termin samego administratora; w praktyce przyjmuje się, że od chwili otrzymania informacji od podmiotu przetwarzającego — dlatego umowa powierzenia powinna wyznaczać konkretny czas na powiadomienie i kanał, którym ma ono trafić do organizacji.

Jakie ryzyko powstaje dla osób, a nie dla organizacji

To jest punkt, w którym najczęściej rozjeżdża się perspektywa. Ocena dotyczy skutków dla osób, których dane dotyczą — kradzieży tożsamości, oszustwa finansowego, ujawnienia informacji objętych szczególną ochroną, dyskryminacji, straty finansowej, naruszenia dobrego imienia. Ryzyko reputacyjne administratora nie należy do tej analizy.

Ocena łączy dwa wymiary. Są to prawdopodobieństwo wystąpienia skutku i waga jego wpływu na prawa lub wolności osoby. W wyroku z 24 października 2025 r. (III OSK 1830/22) Naczelny Sąd Administracyjny wskazał, że ustalenie, iż prawdopodobieństwo nie jest małe, w połączeniu z wysoką wagą potencjalnego wpływu, przesądza o możliwości wystąpienia wysokiego ryzyka, a obowiązek zawiadomienia nie wymaga, by prawa osoby zostały już faktycznie naruszone. Sąd potwierdził również, że ujawnienie numeru PESEL wraz z imieniem i nazwiskiem tworzy wysokie ryzyko. Dla praktyki oznacza to jedno. Argument „nic się nie stało, nikt z tych danych nie skorzystał” nie jest przesłanką oceny.

Analizę porządkują wytyczne EROD zawierające osiemnaście przykładowych przypadków — ransomware, eksfiltracja danych, ryzyko wewnętrzne, zgubione urządzenia, błędna wysyłka korespondencji, socjotechnika — wraz ze wskazaniem, kiedy w każdym z nich powstaje obowiązek zgłoszenia i zawiadomienia. Wytyczne nie są źródłem prawa, ale wyznaczają praktykę nadzoru i są dobrym punktem odniesienia przy budowaniu własnych kryteriów oceny.

Czy ryzyko jest wysokie — czyli druga, odrębna decyzja

Zgłoszenie organowi i zawiadomienie osób to dwa różne obowiązki z różnymi progami. Zgłoszenie do UODO odpada dopiero wtedy, gdy jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Zawiadomienie osób powstaje w odwrotnym układzie — dopiero gdy ryzyko jest wysokie — i ma nastąpić bez zbędnej zwłoki, bez sztywnego terminu godzinowego.

RODO przewiduje trzy sytuacje, w których zawiadomienie osób nie jest wymagane mimo wysokiego ryzyka. Chodzi o przypadki, gdy administrator wdrożył wcześniej środki ochrony czyniące dane nieczytelnymi dla osób nieuprawnionych i zastosował je do danych objętych naruszeniem, gdy administrator zastosował po naruszeniu środki eliminujące prawdopodobieństwo wysokiego ryzyka oraz gdy zawiadomienie indywidualne wymagałoby niewspółmiernie dużego wysiłku — wtedy właściwy jest publiczny komunikat. Powołanie się na pierwszy z tych wyjątków wymaga wykazania, że zabezpieczenie działało w chwili naruszenia; deklaracja, że „dane były szyfrowane”, bez wskazania zakresu i sposobu zarządzania kluczami, nie zamyka sprawy. Decyzja o skorzystaniu z wyjątku nie należy przy tym wyłącznie do administratora. Organ nadzorczy może zażądać zawiadomienia osób albo stwierdzić, że warunek wyłączający zawiadomienie został spełniony (art. 34 ust. 4 RODO).

Który organ i jakie obowiązki biegną równolegle

Przy przetwarzaniu transgranicznym trzeba ustalić, czy Prezes UODO jest organem wiodącym, czy właściwy jest organ innego państwa. Administrator, który nie ma jednostki organizacyjnej w Unii, a podlega RODO, nie korzysta z mechanizmu kompleksowej współpracy — zgodnie z wytycznymi EROD 9/2022 zgłasza naruszenie organom nadzorczym wszystkich państw, w których przebywają osoby dotknięte naruszeniem. Wyznaczenie przedstawiciela w UE tego nie zmienia.

Niezależnie od RODO to samo zdarzenie może uruchamiać inne reżimy. Są to obowiązki wobec CSIRT dla podmiotów objętych ustawą o krajowym systemie cyberbezpieczeństwa, obowiązki sektorowe wynikające z DORA, Prawa komunikacji elektronicznej czy rozporządzenia eIDAS. Terminy i progi są w nich różne i nie zastępują się nawzajem. Organizacje, które dopiero układają ten obszar, zwykle zaczynają od ustalenia zakresu obowiązków w ramach przygotowania do NIS2 i KSC, a dopiero potem łączą ścieżki zgłoszeniowe w jedną procedurę.

Cztery typowe rozstrzygnięcia

Sytuacja	Zgłoszenie do UODO	Zawiadomienie osób	Co zostaje w dokumentacji
Zdarzenie bezpieczeństwa bez wpływu na dane osobowe	Nie	Nie	Rejestr incydentów bezpieczeństwa; uzasadnienie kwalifikacji, jeżeli sygnał dotyczył danych
Naruszenie, przy którym powstanie ryzyka dla osób jest mało prawdopodobne	Nie	Nie	Wpis w rejestrze naruszeń wraz z oceną ryzyka i podstawą decyzji o niezgłaszaniu
Naruszenie z ryzykiem, które nie jest wysokie	Tak — bez zbędnej zwłoki, nie później niż 72 godziny od stwierdzenia	Nie	Wpis w rejestrze, zgłoszenie, korespondencja z organem, działania naprawcze
Naruszenie z wysokim ryzykiem	Tak — bez zbędnej zwłoki, nie później niż 72 godziny od stwierdzenia	Tak, bez zbędnej zwłoki — chyba że zachodzi jeden z wyjątków	Wpis w rejestrze, zgłoszenie, treść i sposób zawiadomienia albo uzasadnienie wyjątku

Tabela porządkuje typowe układy, ale nie zastępuje oceny. Ten sam rodzaj zdarzenia — na przykład wysłanie korespondencji do niewłaściwego adresata — trafia do różnych wierszy zależnie od tego, jakie dane obejmował załącznik i kto go otrzymał.

Najczęstsze błędy

• Liczenie terminu od zdarzenia zamiast od stwierdzenia. Prowadzi albo do niepotrzebnego pośpiechu, albo — częściej — do przekonania, że termin już upłynął, i do rezygnacji ze zgłoszenia.
• Traktowanie 72 godzin jako terminu na wyjaśnienie sprawy. RODO dopuszcza zgłoszenie wstępne i uzupełnianie informacji sukcesywnie, ale zgłoszenie musi zawierać co najmniej charakter naruszenia wraz z kategoriami i przybliżoną liczbą osób oraz wpisów danych, dane kontaktowe inspektora lub innego punktu kontaktowego, opis możliwych konsekwencji naruszenia oraz opis środków zastosowanych lub proponowanych w celu zaradzenia mu (art. 33 ust. 3 RODO); zgłoszenie po terminie wymaga wyjaśnienia przyczyn opóźnienia. Czekanie na komplet ustaleń jest ryzykowniejsze niż zgłoszenie niepełne.
• Ocena ryzyka z perspektywy organizacji. Pytanie brzmi, co grozi osobom, a nie jak zdarzenie wygląda z zewnątrz.
• Pomijanie naruszeń dostępności. Utrata danych i brak dostępu do nich są naruszeniem także wtedy, gdy nikt niepowołany danych nie zobaczył.
• Brak dokumentacji naruszeń niezgłoszonych. Art. 33 ust. 5 RODO nie nakazuje prowadzenia „rejestru”, tylko udokumentowanie każdego naruszenia. Chodzi o jego okoliczności, skutki i podjęte działania zaradcze, zapisane w sposób pozwalający organowi nadzorczemu zweryfikować przestrzeganie tego przepisu. Przy kontroli to ta dokumentacja pokazuje, że decyzja o niezgłoszeniu była decyzją, a nie przeoczeniem.
• Zawiadomienie osób napisane językiem prawnym. Komunikat ma pozwolić odbiorcy zrozumieć, co się stało i co może zrobić — jeżeli tego nie robi, obowiązek został wykonany formalnie, ale nie faktycznie.

Wnioski i dalsze kroki

Rozstrzygnięcie zapada w dwóch krokach. Najpierw następuje kwalifikacja zdarzenia, potem ocena ryzyka dla osób.

W praktyce większość problemów bierze się nie z samej decyzji, lecz z tego, co ją poprzedza. Dlatego przed kolejnym naruszeniem trzeba przesądzić cztery rzeczy. Chodzi o to, kto w organizacji ma prawo uznać, że naruszenie zostało stwierdzone; jaką drogą sygnał z pierwszej linii dociera do inspektora ochrony danych i w jakim czasie; według jakich kryteriów oceniane jest ryzyko dla osób, tak aby dwie różne osoby doszły do zbliżonego wyniku; oraz gdzie zapisywana jest ocena wraz z uzasadnieniem decyzji.

Organizacja, która ma te cztery elementy, podejmuje decyzję o zgłoszeniu w kilka godzin i potrafi ją później wykazać. Organizacja, która ich nie ma, zaczyna od budowania procedury w trakcie naruszenia — i to zwykle, a nie samo zdarzenie, decyduje o przebiegu sprawy.

Materiały powiązane

• Jak ustalić, czy organizacja musi wyznaczyć IOD? — rola, która w procesie decyzji o zgłoszeniu przeprowadza ocenę ryzyka i prowadzi kontakt z organem.
• Od czego zarząd powinien rozpocząć przygotowanie do NIS2? — kolejność decyzji przesądzająca o tym, czy obok zgłoszenia do UODO biegnie równoległy obowiązek wobec CSIRT.
• Co powinien zawierać rejestr naruszeń ochrony danych? — jak zapisać wynik oceny ryzyka i uzasadnienie decyzji o niezgłoszeniu.

Źródła

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), art. 4 pkt 12, art. 33 i art. 34, tekst skonsolidowany — EUR-Lex: eur-lex.europa.eu (dostęp: 17.08.2026)
• Wniosek dotyczący rozporządzenia zmieniającego m.in. rozporządzenie (UE) 2016/679 (Digital Omnibus), COM(2025) 837 — EUR-Lex: eur-lex.europa.eu (dostęp: 17.08.2026)
• Jakie naruszenia trzeba zgłosić Prezesowi UODO, a jakie nie wymagają zgłoszenia? — Urząd Ochrony Danych Osobowych: uodo.gov.pl (dostęp: 17.08.2026)
• W jakim terminie należy zgłosić naruszenie Prezesowi UODO? — Urząd Ochrony Danych Osobowych: uodo.gov.pl (dostęp: 17.08.2026)
• Inne obowiązki i przepisy związane z naruszeniami — Urząd Ochrony Danych Osobowych: uodo.gov.pl (dostęp: 17.08.2026)
• Kiedy, przy naruszeniu, należy zawiadamiać osoby, których dane dotyczą? Wyrok NSA z 24 października 2025 r., III OSK 1830/22 — Urząd Ochrony Danych Osobowych: uodo.gov.pl (dostęp: 17.08.2026)
• Wytyczne 01/2021 w sprawie przykładów dotyczących zgłaszania naruszeń ochrony danych osobowych, wersja 2.0, przyjęte 14 grudnia 2021 r. — Europejska Rada Ochrony Danych: edpb.europa.eu (dostęp: 17.08.2026)
• Guidelines 9/2022 on personal data breach notification under GDPR, wersja 2.0, przyjęte 28 marca 2023 r. — Europejska Rada Ochrony Danych: edpb.europa.eu (dostęp: 17.08.2026)