Co zrobić, gdy e-mail z danymi osobowymi trafił do niewłaściwej osoby?

Dlaczego to pytanie w ogóle powstaje

Według poradnika UODO działania lub zaniechania pracowników, w tym zwykła pomyłka, należą do najczęstszych przyczyn naruszeń. Typowym przykładem takiej pomyłki jest błędna wysyłka e-maila w organizacjach codziennie korespondujących z klientami, pacjentami albo pracownikami. Zwykle stoi za nią pomyłka w adresie albo autouzupełnianie. Często też niewłaściwy załącznik albo lista odbiorców wpisana w pole „Do” zamiast „UDW”. Europejska Rada Ochrony Danych (EROD) zauważa, że po takim błędzie administrator może zrobić niewiele. Zapobieganie ma więc tu jeszcze większe znaczenie niż przy innych naruszeniach (wytyczne 01/2021, pkt 106).

W praktyce organizacje popełniają przy tym dwa przeciwne błędy. Pierwszy to przekonanie, że wiadomość do jednej osoby to „nic się nie stało”. Drugi to automatyczne zgłaszanie każdej pomyłki bez oceny ryzyka. Oba wynikają z pominięcia pytań, od których zależy decyzja.

Co trzeba ustalić przed decyzją

Czy e-mail do niewłaściwej osoby jest naruszeniem

Naruszenie ochrony danych osobowych to naruszenie bezpieczeństwa prowadzące między innymi do nieuprawnionego ujawnienia danych lub nieuprawnionego dostępu do nich (art. 4 pkt 12 RODO). Gdy e-mail do niewłaściwej osoby zawiera dane osobowe, w grę wchodzi właśnie nieuprawnione ujawnienie. Definicja obejmuje także zdarzenia przypadkowe, więc brak złej woli niczego nie zmienia. Poradnik Prezesa UODO wymienia omyłkowe wysłanie e-maila z danymi osobowymi do niewłaściwego i nieuprawnionego odbiorcy jako przykład możliwego naruszenia poufności. Wyjątkiem jest sytuacja, w której administrator ma dowód niedostarczenia wiadomości.

Granica przebiega więc przez uprawnienie odbiorcy, a nie przez to, czy jest on spoza organizacji. Według poradnika naruszeniem nie jest omyłkowe wysłanie e-maila do niewłaściwego, lecz uprawnionego odbiorcy w organizacji. Poradnik przypomina jednocześnie, że działanie w ramach jednej organizacji nie czyni każdej osoby uprawnioną do wszystkich danych. Wiadomość z wynagrodzeniami wysłana do pracownika bez dostępu do takich danych jest więc naruszeniem poufności. Spółka z tej samej grupy kapitałowej jest odrębnym podmiotem. Jeżeli nie jest współadministratorem tych danych ani nie przetwarza ich w imieniu administratora, wiadomość do jej pracownika ujawnia je stronie trzeciej (art. 4 pkt 10 RODO).

Uznanie zdarzenia za naruszenie nie przesądza jeszcze o zgłoszeniu, bo o nim decyduje ocena ryzyka. Według poradnika UODO administrator powinien udokumentować także incydent uznany za nienaruszenie, wraz z przyczyną takiej decyzji.

Co zrobić w pierwszych godzinach

Najważniejszy jest czas. Pracownik powinien od razu przekazać pomyłkę inspektorowi ochrony danych albo osobie wskazanej w procedurze. Samodzielne załatwianie sprawy opóźnia ocenę. Pierwsze działania mają ograniczyć skutki i zachować materiał do oceny ryzyka. Inspektor doradza przy ocenie ryzyka, a o zgłoszeniu decyduje administrator przez upoważnioną osobę. Warto od razu sprawdzić, kto nią jest i kto ją zastępuje.

1. Kontakt z odbiorcą. EROD zaleca wysłanie do niezamierzonych odbiorców wiadomości w polu „UDW” z przeprosinami i poleceniem usunięcia błędnie wysłanego e-maila (wytyczne 01/2021, pkt 117). Wiadomość ma też informować, że odbiorcy nie mają prawa dalej korzystać z ujawnionych im adresów e-mail. To samo warto napisać o każdej innej ujawnionej informacji. Poradnik UODO wskazuje dodatkowo uzyskanie od odbiorcy zapewnienia, że nie wykorzysta otrzymanych informacji. Wiadomość może brzmieć tak.

2. Potwierdzenie usunięcia. Warto poprosić odbiorcę o krótkie pisemne potwierdzenie usunięcia wiadomości i załączników. Odbiorca potwierdza w nim też, że nikomu ich nie przekazał i nie wykorzysta zawartych w nich informacji. W opisanym przez EROD przypadku agent ubezpieczeniowy potwierdził usunięcie danych w pisemnym oświadczeniu (wytyczne 01/2021, przypadek nr 9).
3. Zatrzymanie dalszej wysyłki i dostępu. Gdy błąd powstał w automatycznej wysyłce, poradnik UODO wymienia jej zatrzymanie jako metodę powstrzymania naruszenia. Przy odbiorcy z tej samej organizacji administrator poczty może usunąć wiadomość z jego skrzynki. Gdy zamiast załącznika poszedł odnośnik do pliku, trzeba od razu cofnąć udostępnienie.
4. Zabezpieczenie materiału. Kopia wysłanej wiadomości z nagłówkami pokazuje, czyje dane wyszły i w jakim zakresie. Dział IT zabezpiecza też zapis z dziennika serwera pocztowego, który pokazuje faktycznych odbiorców i to, czy serwer odbiorcy przyjął wiadomość. Wysłanej wiadomości nie należy usuwać z folderu wysłanych przed oceną.

Prośba o usunięcie ogranicza ryzyko, ale go nie wyklucza. EROD zwraca uwagę, że administrator nie może zmusić odbiorców do usunięcia wiadomości. Nie może więc mieć pewności, że to zrobili (wytyczne 01/2021, pkt 112). W praktyce wycofanie wiadomości w programie pocztowym wobec odbiorcy zewnętrznego zwykle nie działa. Nie zastępuje więc kontaktu z odbiorcą.

Od kiedy liczyć 72 godziny

Zgłoszenie do Prezesa UODO ma nastąpić bez zbędnej zwłoki – w miarę możliwości nie później niż w terminie 72 godzin po stwierdzeniu naruszenia (art. 33 ust. 1 RODO). Przy błędnej wysyłce stwierdzenie zwykle nie wymaga długiego postępowania. EROD podaje przykład osoby trzeciej, która informuje administratora o przypadkowym otrzymaniu danych jego klienta i przedstawia dowody. W takiej sytuacji nie można mieć wątpliwości, że administrator stwierdził naruszenie (wytyczne 9/2022, pkt 33, przykład 2). Podobną pewność daje zwykle kopia w folderze wysłanych, gdy pomyłkę zauważy sam nadawca. Według EROD z RODO wynika obowiązek utrzymania zdolności do terminowego stwierdzania naruszeń (wytyczne 9/2022, pkt 32). Rekomenduję więc przyjąć w procedurze, że termin biegnie od chwili, w której pomyłkę zauważył nadawca. Ustalanie zakresu danych nie wstrzymuje biegu terminu. Informacje, których nie da się podać od razu, administrator może przekazywać sukcesywnie bez zbędnej zwłoki (art. 33 ust. 4 RODO).

Inaczej jest, gdy e-mail do niewłaściwej osoby wysłał podmiot przetwarzający, na przykład biuro rachunkowe albo dostawca usług kadrowych. Podmiot przetwarzający po stwierdzeniu naruszenia zgłasza je administratorowi bez zbędnej zwłoki (art. 33 ust. 2 RODO). Ocenę ryzyka i decyzję o zgłoszeniu do organu podejmuje administrator. Stwierdza on naruszenie co do zasady w chwili, gdy podmiot przetwarzający go o nim poinformuje (wytyczne 9/2022, pkt 44). Gdy pomyłka centrum usług wspólnych działającego jako podmiot przetwarzający dotyczy danych kilku spółek, centrum zgłasza naruszenie każdej z nich (wytyczne 9/2022, pkt 47). Zasady liczenia terminu w weekend opisuje materiał Jak liczyć 72 godziny na zgłoszenie naruszenia?.

Jak ocenić ryzyko, gdy e-mail do niewłaściwej osoby zawierał dane

Ocena dotyczy ryzyka dla osób, których dane dotyczą, a nie dla organizacji (poradnik UODO, rozdz. 7.1). Administrator powinien ocenić łącznie wagę potencjalnego wpływu na prawa lub wolności osób i prawdopodobieństwo jego wystąpienia (wytyczne 9/2022, pkt 119). Według poradnika UODO ocenie podlega ryzyko wystąpienia skutków, a nie faktycznie powstałe szkody. Na wynik wpływa zwykle sześć okoliczności.

• Rodzaj danych. Według poradnika UODO o wysokim ryzyku mogą świadczyć m.in. dane wrażliwe, w tym finansowe i dotyczące zdrowia. Poradnik wymienia też numer PESEL oraz serię i numer dowodu osobistego. Według EROD przy danych o zdrowiu należy uznać, że szkoda prawdopodobnie nastąpi (wytyczne 9/2022, pkt 102). Danymi o zdrowiu są też informacje o korzystaniu z opieki zdrowotnej, jeżeli ujawniają stan zdrowia (art. 4 pkt 15 RODO). Przykładem jest nazwa poradni w skierowaniu. EROD traktuje hasło startowe w wiadomości jako czynnik wysokiego ryzyka (wytyczne 9/2022, załącznik B, przykład x).
• Zakres i liczba osób. Im szerszy zakres danych i im więcej osób, tym wyższe ryzyko. Poważne skutki może jednak ponieść nawet jedna osoba, zależnie od rodzaju danych.
• Osoby i możliwe skutki. Poradnik UODO wskazuje, że ryzyko podnoszą dane dzieci i osób starszych oraz osób potrzebujących albo w trudnej sytuacji życiowej. Podnosi je też dotkliwość możliwych skutków, takich jak kradzież tożsamości czy strata finansowa.
• Kim jest odbiorca. Odbiorca znany i zaufany obniża prawdopodobieństwo wykorzystania danych. Odbiorca nieznany albo przypadkowy go nie obniża.
• Szyfrowanie. Silne szyfrowanie załącznika uniemożliwia odczyt, jeżeli hasła nie da się odgadnąć i nie trafiło ono do błędnego odbiorcy. Hasło wysłane kolejnym e-mailem na ten sam adres tego warunku nie spełnia.
• Reakcja odbiorcy. Szybkie potwierdzenie usunięcia obniża prawdopodobieństwo nadużycia. Nie usuwa jednak ryzyka wynikającego z rodzaju danych, jeżeli administrator nie może wykazać, że odbiorca się z nimi nie zapoznał.

Kiedy odbiorca jest zaufany

EROD dopuszcza uwzględnienie w ocenie ryzyka tego, że dane trafiły do odbiorcy „zaufanego” (wytyczne 9/2022, pkt 114). Przykładem jest inny dział organizacji albo dostawca, z którego usług administrator stale korzysta. Administrator pozostaje z takim odbiorcą w stałych stosunkach i może znać jego procedury. Może więc racjonalnie oczekiwać, że odbiorca nie odczyta danych i wykona polecenie ich zwrotu. Nawet po odczycie może ufać, że odbiorca nic z danymi nie zrobi. EROD zaznacza, że naruszenie mimo to wystąpiło i trzeba je udokumentować. Zaufanie do odbiorcy może jednak usunąć prawdopodobieństwo ryzyka dla osób. Zgłoszenie organowi i zawiadomienie osób mogą wtedy przestać być potrzebne, ale rozstrzyga to ocena konkretnej sprawy.

Poradnik UODO stawia tu dwa warunki minimalne. Administrator pozostaje z odbiorcą w stałych stosunkach i zna istotne szczegóły jego działania. Chodzi na przykład o procedury bezpieczeństwa i historię dotychczasowej pozytywnej współpracy.

Administrator musi też być gotów wykazać, że prawidłowo zastosował tę koncepcję. Współpracownik z innego działu albo spółka z grupy mogą więc być zaufanym odbiorcą tylko po sprawdzeniu obu warunków.

Granicę dobrze pokazuje sprawa, w której Naczelny Sąd Administracyjny wydał wyrok z 1 października 2025 r. (III OSK 1830/22). Ubezpieczyciel wysłał byłemu klientowi e-mail z niezaszyfrowanym załącznikiem zawierającym m.in. imię, nazwisko i numer PESEL innej osoby oraz ofertę ubezpieczenia. Prezes UODO ukarał administratora za niezgłoszenie naruszenia i niezawiadomienie tej osoby. Sąd pierwszej instancji uznał, że byłego klienta nie można traktować jak odbiorcy zaufanego. Uchylił jednak decyzję, bo jego zdaniem organ nie wyjaśnił dostatecznie przyjęcia wysokiego ryzyka. NSA uznał, że już samo ujawnienie numeru PESEL w powiązaniu z imieniem i nazwiskiem powodowało wysokie ryzyko, choć dotyczyło jednej osoby i jednego odbiorcy. Uznał też, że administrator miał obowiązek zawiadomić tę osobę o naruszeniu. NSA uchylił wyrok i przekazał sprawę do ponownego rozpoznania sądowi pierwszej instancji.

Jak wyglądają typowe rozstrzygnięcia

Wytyczne EROD i wyrok NSA pokazują, jak te same okoliczności przekładają się na decyzję. Każde rozstrzygnięcie zależy od pełnego stanu faktycznego i nie przenosi się wprost na inne zdarzenie. Dokumentacja wewnętrzna jest obowiązkowa w każdym z poniższych przypadków.

Sytuacja	Rozstrzygnięcie	Podstawa	Okoliczności decydujące, wyjątki i ograniczenia
Arkusz wysłany e-mailem agentowi ubezpieczeniowemu zawiera dane kontaktowe i ubezpieczeniowe dwudziestu kilku klientów spoza jego zakresu obowiązków. Agent jest związany tajemnicą zawodową, zgłasza błąd i potwierdza usunięcie na piśmie	tylko dokumentacja	wytyczne 01/2021, przypadek nr 9	odbiorca zaufany; mało osób i brak szczególnych kategorii danych; natychmiastowe zgłoszenie i potwierdzone usunięcie
Lista 15 uczestników kursu z imionami i nazwiskami, adresami e-mail i informacją o nietolerancji laktozy dwóch osób trafia do 15 byłych uczestników zamiast do hotelu	tylko dokumentacja	wytyczne 01/2021, przypadek nr 15	przy danych o zdrowiu zwykle zakłada się wysokie ryzyko; EROD nie dostrzegł tu możliwej szkody ze względu na charakter tej konkretnej informacji; bardzo mało danych i osób; administrator niezwłocznie skontaktował się z odbiorcami
E-mail marketingowy z adresami odbiorców widocznymi w polu „Do” lub „DW”	zgłoszenie może być obowiązkowe przy dużej liczbie osób, danych wrażliwych albo innych czynnikach wysokiego ryzyka, np. hasłach startowych; zawiadomienie zależnie od danych i skutków	wytyczne 9/2022, załącznik B, przykład x	zgłoszenie może nie być konieczne przy niewielkiej liczbie adresów i bez danych wrażliwych
Dane znacznej liczby studentów omyłkowo wysłane do niewłaściwej listy adresowej z ponad 1000 odbiorców	zgłoszenie, zawiadomienie zależnie od danych i skutków	wytyczne 9/2022, załącznik B, przykład ix	EROD uzależnia zawiadomienie od zakresu i rodzaju danych oraz wagi skutków; rodzaju danych nie podaje
Załącznik m.in. z imieniem, nazwiskiem i numerem PESEL jednej osoby wysłany byłemu klientowi	zgłoszenie i zawiadomienie według NSA; sprawa wróciła do ponownego rozpoznania	wyrok NSA III OSK 1830/22	PESEL z imieniem i nazwiskiem przesądził o wysokim ryzyku (NSA); odbiorca niezaufany, brak szyfrowania i dane wprost identyfikujące osobę przesądziły o obowiązku zgłoszenia (sąd pierwszej instancji)
Załącznik z danymi ponad 60 000 osób poszukujących pracy, w tym numerami ubezpieczenia społecznego, dołączony do wiadomości wysłanej do tych osób	zgłoszenie i zawiadomienie	wytyczne 01/2021, przypadek nr 14	duża liczba osób i numer ubezpieczenia społecznego; prośby o usunięcie administrator nie mógł wyegzekwować

Niskie ryzyko wynika zwykle z kilku okoliczności naraz. Ograniczony zakres danych łączy się wtedy z małą liczbą osób i szybką reakcją, a często także z zaufanym odbiorcą. Jedna okoliczność podnosząca ryzyko, na przykład numer PESEL w załączniku, może przesądzić o wysokim ryzyku. Przy wątpliwościach EROD wskazuje, że administrator powinien zgłosić naruszenie (wytyczne 9/2022, pkt 119).

Kiedy trzeba zawiadomić osoby

Zawiadomienie osób jest odrębną decyzją od zgłoszenia organowi i zapada przy wyższym progu. Administrator zawiadamia osobę bez zbędnej zwłoki, jeżeli naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych (art. 34 ust. 1 RODO). Przy błędnej wysyłce takie ryzyko powstaje zwykle przy danych pozwalających podszyć się pod osobę albo dotyczących jej zdrowia lub finansów. Podnosi je odbiorca, którego nie można uznać za zaufanego.

RODO przewiduje trzy sytuacje, w których zawiadomienie nie jest wymagane (art. 34 ust. 3). Pierwsza dotyczy danych zabezpieczonych wcześniej, w szczególności szyfrowaniem uniemożliwiającym odczyt osobom nieuprawnionym (lit. a). Druga dotyczy środków zastosowanych po naruszeniu, które eliminują prawdopodobieństwo wysokiego ryzyka (lit. b). Trzecia dotyczy niewspółmiernie dużego wysiłku i wymaga zastąpienia zawiadomienia równie skutecznym publicznym komunikatem lub podobnym środkiem (lit. c). Jeżeli administrator jeszcze nie zawiadomił osób, organ nadzorczy może zażądać zawiadomienia albo stwierdzić spełnienie jednego z tych trzech warunków (art. 34 ust. 4 RODO). Obie decyzje organ podejmuje, biorąc pod uwagę prawdopodobieństwo wysokiego ryzyka.

W mojej ocenie samo oświadczenie nieznanego odbiorcy o usunięciu wiadomości nie wystarcza do skorzystania z drugiego wyjątku. Administrator nie może takiego oświadczenia sprawdzić. W przypadku nr 14 administrator poprosił odbiorców o usunięcie wiadomości, ale według EROD nie mógł mieć pewności, że to zrobili (wytyczne 01/2021, pkt 112). Przy wysokim ryzyku EROD uznał tam zawiadomienie osób za oczywiste (wytyczne 01/2021, pkt 111 i 113). Inaczej może być przy odbiorcy zaufanym, którego procedury administrator zna.

Zawiadomienie jasnym i prostym językiem opisuje charakter naruszenia. Podaje też co najmniej imię i nazwisko oraz dane kontaktowe inspektora lub oznaczenie innego punktu kontaktowego. Do tego dochodzą możliwe konsekwencje oraz środki zastosowane lub proponowane przez administratora (art. 34 ust. 2 w zw. z art. 33 ust. 3 lit. b–d RODO). Kanał i język zawiadomienia opisuje materiał Jak zawiadomić osoby o naruszeniu i co musi zawierać zawiadomienie?.

Co zapisać w dokumentacji

Administrator dokumentuje wszelkie naruszenia wraz z okolicznościami, skutkami i podjętymi działaniami zaradczymi (art. 33 ust. 5 RODO). Dokumentacja ma pozwolić organowi zweryfikować przestrzeganie art. 33. Przy niezgłoszonej błędnej wysyłce to ona jest głównym dowodem, że decyzja wynikała z oceny ryzyka.

Wpis o błędnej wysyłce warto podzielić na cztery grupy informacji. Pierwsza to fakty, czyli godzina wysyłki i stwierdzenia, rodzaj odbiorcy i przyczyna pomyłki. Do faktów należą też liczba osób i zakres danych w treści i załącznikach. Druga to działania, czyli wiadomość do odbiorcy i data potwierdzenia usunięcia. Trzecia to ocena ryzyka z możliwymi skutkami dla osób. Obejmuje ona argumenty za uznaniem odbiorcy za zaufanego, jeżeli administrator się na to powołuje. Czwartą jest decyzja wraz ze wskazaniem funkcji osoby, która ją podjęła. EROD zaleca dokumentować uzasadnienie decyzji, w szczególności przy niezgłoszeniu naruszenia (wytyczne 9/2022, pkt 125). Przy wyjątku z art. 34 ust. 3 administrator powinien mieć dowody jego spełnienia. Zgłoszenie po upływie 72 godzin wymaga wyjaśnienia przyczyn opóźnienia (art. 33 ust. 1 RODO). Według poradnika UODO administrator powinien przechowywać informacje o naruszeniach jak najdłużej, bo RODO nie przewiduje okresu, po którym można je usunąć. Z tego powodu poradnik wskazuje, że wpisywanie do wewnętrznego rejestru naruszeń jakichkolwiek danych osobowych nie jest wymagane ani zalecane. Przypomina też, że ocena ryzyka może wymagać aktualizacji wraz z nowymi informacjami. Brak odpowiedzi odbiorcy albo przekazanie danych dalej może zmienić ocenę i decyzję.

Jak ograniczyć powtórkę

Według EROD połączenie środków organizacyjnych i technicznych dobranych do specyfiki przypadku powinno pomóc ograniczyć powtórkę (wytyczne 01/2021, pkt 122–123). Lista zalecanych środków nie jest zamknięta ani wyczerpująca. Obejmuje między innymi domyślne użycie pola „UDW” przy wielu odbiorcach i dodatkowe potwierdzenie wysyłki do wielu adresów poza tym polem. Dalej wymienia zasadę „czworga oczu” i opóźnienie wysyłki pozwalające cofnąć wiadomość. Wśród zalecanych środków jest też wyłączenie autouzupełniania adresów. Poradnik UODO dodaje szyfrowanie e-maili i załączników unikalnym hasłem dostępnym tylko dla odbiorcy. Wskazuje też sprawdzanie, czy załącznik zawiera wyłącznie dane przeznaczone do przesłania.

Dobór tych środków służy wykonaniu obowiązku zapewnienia bezpieczeństwa odpowiedniego do ryzyka. Obejmuje on ryzyko nieuprawnionego ujawnienia danych przesyłanych (art. 32 ust. 1 i 2 RODO). Warto zacząć od procesów z największą liczbą wysyłek danych, na przykład od kadr, rozliczeń i obsługi klienta. Analiza przyczyny każdej błędnej wysyłki pokazuje, czy błąd był jednostkowy, czy wynika z wadliwego procesu.

Najczęstsze błędy

• Czekanie na odpowiedź odbiorcy przed oceną. Termin 72 godzin biegnie od stwierdzenia naruszenia, a nie od potwierdzenia usunięcia.
• Uznanie odbiorcy za zaufanego tylko dlatego, że jest znany. Były klient nie jest odbiorcą zaufanym tylko z tego powodu, że kiedyś współpracował z administratorem.
• Ocena samej treści wiadomości bez załącznika. Gdy wiadomość miała załącznik, o ryzyku przesądza zwykle zawartość pliku.

Wnioski i dalsze kroki

E-mail do niewłaściwej osoby wymaga reakcji szybkiej i uporządkowanej zarazem. Przygotowany wcześniej wzór wiadomości przyspiesza kontakt z odbiorcą, a kryteria oceny pozwalają ocenić zdarzenie w terminie.

1. Przygotuj wzór wiadomości do niezamierzonego odbiorcy z poleceniem usunięcia i prośbą o potwierdzenie.
2. Zapisz w procedurze, komu pracownik zgłasza pomyłkę i jak ustalasz chwilę stwierdzenia naruszenia.
3. Wskaż osobę, która decyduje o zgłoszeniu, i jej zastępcę.
4. Ustal kryteria zaufanego odbiorcy i sposób ich dokumentowania.
5. Wprowadź środki techniczne w procesach z największą liczbą wysyłek, takie jak pole „UDW” i opóźnienie wysyłki.

Materiały powiązane

• Czy każde naruszenie ochrony danych trzeba zgłosić? — próg zgłoszenia i ogólne zasady oceny ryzyka.
• Jak liczyć 72 godziny na zgłoszenie naruszenia? — moment stwierdzenia i liczenie terminu.
• Jak zawiadomić osoby o naruszeniu i co musi zawierać zawiadomienie? — treść, kanał i język zawiadomienia.
• Co powinien zawierać rejestr naruszeń ochrony danych? — wpis o naruszeniu, w tym o naruszeniu niezgłoszonym.

Źródła

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), wersja skonsolidowana — art. 4 pkt 10, 12 i 15, art. 32 ust. 1 i 2, art. 33 ust. 1, 2, 3 lit. b–d, 4 i 5 oraz art. 34 — eur-lex.europa.eu.
• Europejska Rada Ochrony Danych, Wytyczne 01/2021 w sprawie przykładów dotyczących zgłaszania naruszeń ochrony danych osobowych, wersja 2.0 przyjęta 14 grudnia 2021 r. — przypadek nr 9 (sekcja 4.2) oraz przypadki nr 14 i 15, pkt 106, 111–113, 117, 122 i 123 (sekcja 6) — edpb.europa.eu.
• Europejska Rada Ochrony Danych, Wytyczne 9/2022 dotyczące zgłaszania naruszenia ochrony danych osobowych na podstawie RODO, wersja 2.0 przyjęta 28 marca 2023 r. — pkt 32, 33, 44, 47, 102, 114, 119 i 125 oraz załącznik B — edpb.europa.eu.
• Urząd Ochrony Danych Osobowych, Poradnik dotyczący naruszeń ochrony danych osobowych, wersja z 20 lutego 2025 r. — rozdziały 2.1, 2.3, 2.4, 4.2, 6.1, 7 i 8.1 — uodo.gov.pl.
• Wyrok Naczelnego Sądu Administracyjnego z dnia 1 października 2025 r., sygn. akt III OSK 1830/22, Centralna Baza Orzeczeń Sądów Administracyjnych — orzeczenia.nsa.gov.pl.