Co powinien zawierać rejestr naruszeń ochrony danych?

Dlaczego to pytanie w ogóle powstaje

Rejestr naruszeń bywa prowadzony jako lista spraw wysłanych do organu nadzorczego. Powstaje wtedy dokument powielający wiedzę, którą organ i tak ma. Milczy natomiast o sprawach rozstrzygniętych samodzielnie — a to one są przedmiotem późniejszej weryfikacji.

Drugie źródło nieporozumienia jest terminologiczne. Art. 33 ust. 5 RODO nie posługuje się słowem „rejestr” i nie narzuca formy. Prezes UODO stwierdza wprost, że wewnętrzny rejestr naruszeń może pomóc w realizacji obowiązku. Prowadzenie odrębnej ewidencji nie jest jednak obowiązkowe. Istotne jest to, żeby informacje były wyraźnie oznaczone i dostępne do wglądu. Obowiązkiem jest więc rezultat dowodowy, a nie tabela.

Trzecie źródło jest organizacyjne i widać je dopiero po czasie. Wpis powstaje zwykle w dniu zamknięcia sprawy. Zawiera wtedy skrót wystarczający dla osób, które przy niej pracowały. Rok później ten sam wpis czyta ktoś inny, najczęściej na potrzeby postępowania. Wtedy okazuje się, że brakuje w nim nie faktów, tylko uzasadnień.

Warto też rozdzielić dwa dokumenty mylone z powodu podobnej nazwy. Rejestr czynności przetwarzania z art. 30 RODO opisuje, co i po co organizacja przetwarza na co dzień. Dokumentacja naruszeń z art. 33 ust. 5 opisuje zdarzenia i decyzje. To dwa różne obowiązki o różnej funkcji dowodowej.

Co trzeba ustalić przed decyzją

Co przepis nakazuje, a czego nie nakazuje

Przepis nakazuje trzy rzeczy.

• Dokumentować wszelkie naruszenia ochrony danych osobowych.
• Ująć okoliczności naruszenia, jego skutki oraz podjęte działania zaradcze.
• Zapewnić, by dokumentacja pozwoliła organowi nadzorczemu zweryfikować przestrzeganie art. 33.

Nie nakazuje formy, systemu ani szablonu. Nie wyznacza też okresu przechowywania. Ta swoboda bywa odczytywana jako pobłażliwość przepisu. Jest odwrotnie — to administrator odpowiada za to, czy przyjęta forma udźwignie funkcję dowodową.

Rozstrzyga zdanie drugie. Weryfikacja dotyczy całego artykułu, więc obejmuje także ust. 1 i przesłankę odstąpienia od zgłoszenia. Odstąpienie opiera się na uznaniu za mało prawdopodobne, by naruszenie skutkowało ryzykiem dla praw lub wolności osób. Sprawdzeniu podlega właśnie ten wniosek. Wpis bez jego uzasadnienia nie daje organowi materiału do weryfikacji ani administratorowi podstawy do obrony.

Które zdarzenia trafiają do dokumentacji

Zakres jest szerszy, niż wynika z praktyki większości organizacji. Układa się w trzy kręgi.

Pierwszy krąg to naruszenia stwierdzone i zgłoszone organowi. Drugi to naruszenia stwierdzone i niezgłoszone — obowiązek dokumentowania obejmuje je tak samo, bo przepis mówi o wszelkich naruszeniach. Trzeci krąg wykracza poza literę art. 33 ust. 5. Prezes UODO zaleca dokumentowanie również incydentów bezpieczeństwa zakwalifikowanych przez administratora jako zdarzenia niebędące naruszeniami. Zalecenie obejmuje w szczególności przyczyny takiej decyzji.

To zalecenie opiera się na zasadzie rozliczalności z art. 5 ust. 2 RODO, a nie na odrębnym obowiązku. Ma jednak praktyczne znaczenie. Bez niego organizacja nie umie wykazać, że rozpatrywała zdarzenie znane organowi z innego źródła.

Co musi zawierać pojedynczy wpis

Poniższe zestawienie łączy elementy wymienione w przepisie z zakresem wskazanym w poradniku Prezesa UODO. Kolumna trzecia pokazuje, czemu dany element służy. To ona rozstrzyga, jak szczegółowy ma być zapis.

Element wpisu	Skąd wymóg	Czemu służy
Okoliczności: data i czas wystąpienia, stwierdzenia oraz zakończenia; sposób wykrycia; przyczyna i przebieg	art. 33 ust. 5 RODO, poradnik UODO	Ustalenie momentu stwierdzenia, od którego biegnie termin zgłoszenia
Rodzaj i zakres danych, liczba i kategorie osób	art. 33 ust. 3 lit. a, poradnik UODO	Podstawa oceny wagi potencjalnego wpływu
Skutki oraz możliwe skutki dla osób	art. 33 ust. 5 RODO	Odróżnienie skutku, który wystąpił, od skutku możliwego
Uzasadnienie oceny ryzyka	poradnik UODO, zasada rozliczalności	Element weryfikowany przez organ w pierwszej kolejności
Działania zaradcze i zapobiegawcze	art. 33 ust. 5 RODO	Wykazanie reakcji i wpływu na ryzyko powtórzenia
Szczegóły zgłoszenia albo uzasadnienie decyzji o niezgłoszeniu	art. 33 ust. 1, poradnik UODO	Weryfikacja przesłanki odstąpienia od zgłoszenia
Szczegóły zawiadomienia osób albo uzasadnienie decyzji o niezawiadomieniu	art. 34 ust. 3, poradnik UODO	Wykazanie, który z trzech wyjątków znalazł zastosowanie

Dwa wiersze wyróżnione pogrubieniem odróżniają dokumentację użyteczną od listy zdarzeń. Reszta opisuje, co się stało. Te dwa opisują, dlaczego organizacja postąpiła właśnie tak.

Uzasadnienie oceny ryzyka warto zapisywać jako rozumowanie, a nie jako wynik. Zapis „ryzyko niskie” nie mówi nic o tym, co administrator wziął pod uwagę. Sprawdzić da się natomiast zapis wskazujący kategorie danych, zastosowane zabezpieczenia i wynikające z nich prawdopodobieństwo szkody. Działa on także wtedy, gdy organ oceni sprawę inaczej.

Poniższy wzór pokazuje układ takiego zapisu. Nie jest opisem konkretnej sprawy, tylko szkieletem do wypełnienia danymi organizacji.

Ten zapis daje się sprawdzić. Wskazuje zakres danych, okoliczność ograniczającą ryzyko i wynikający z nich wniosek. Formuła „ryzyko niskie, sprawa zamknięta” nie zawiera żadnego z tych trzech elementów.

Jak dokumentacja się zmienia w czasie

Wpis nie jest zamykany raz. Informacje o naruszeniu napływają sukcesywnie, a każda nowa może zmienić ocenę ryzyka i poprawność wcześniejszego rozstrzygnięcia. Dokumentacja ma to odwzorowywać i zachowywać ślad zmiany, a nie tylko stan końcowy.

Ma to bezpośredni skutek proceduralny. Naruszenie ocenione pierwotnie jako niepodlegające zgłoszeniu może po ustaleniu pełnego zakresu danych wymagać zgłoszenia. Moment podjęcia decyzji da się wtedy wyjaśnić wyłącznie dokumentacją pokazującą, kiedy administrator dowiedział się o nowej okoliczności.

Jak długo przechowywać i czego nie umieszczać

RODO nie wskazuje okresu, po którym informacje o naruszeniach można usunąć. Prezes UODO zaleca więc przechowywanie ich możliwie długo. Z tego zalecenia wynika drugie, mniej oczywiste. W wewnętrznym rejestrze nie jest wymagane ani zalecane umieszczanie danych osobowych — ani osób, których naruszenie dotyczyło, ani osób zaangażowanych w obsługę sprawy.

To stanowisko jest w praktyce łamane najczęściej. Rejestry prowadzone w arkuszach kalkulacyjnych zwykle zawierają imiona i nazwiska osób poszkodowanych oraz autorów wpisów. Powstaje wtedy zbiór danych przechowywany bezterminowo, dla którego trzeba osobno ustalić podstawę i okres retencji. Rozwiązaniem jest rozdzielenie warstw: rejestr operuje identyfikatorem sprawy i danymi zagregowanymi, a materiał zawierający dane osobowe leży w aktach sprawy z własnym okresem przechowywania.

Jeżeli dane osobowe mimo wszystko trafiają do ewidencji, obowiązuje wobec nich zasada minimalizacji na zwykłych warunkach.

Kto prowadzi dokumentację przy przetwarzaniu powierzonym

Obowiązek z art. 33 ust. 5 RODO jest adresowany do administratora. Podmiot przetwarzający zgłasza naruszenie administratorowi bez zbędnej zwłoki i pomaga mu wywiązać się z obowiązków z art. 32–36, co obejmuje również dokumentowanie.

Wniosek praktyczny dotyczy umowy, a nie przepisu. Administrator dokumentuje okoliczności zdarzenia, które zaszło w cudzej infrastrukturze. Musi więc mieć umowną drogę do danych o czasie wykrycia, zakresie i przebiegu. Umowa powierzenia przewidująca samo powiadomienie bez zakresu przekazywanych informacji zostawia administratora z wpisem, którego nie umie uzasadnić.

Najczęstsze błędy

• Rejestr obejmujący wyłącznie naruszenia zgłoszone. Obowiązek dotyczy wszelkich naruszeń. Wpisy o sprawach niezgłoszonych są tymi, które realnie podlegają weryfikacji.
• Ocena ryzyka zapisana jako wynik. „Niskie ryzyko” nie jest uzasadnieniem. Weryfikowalny jest tok rozumowania, nie jego konkluzja.
• Mylenie dokumentacji naruszeń z rejestrem czynności przetwarzania. To dwa odrębne obowiązki o różnym przedmiocie — art. 30 opisuje przetwarzanie, art. 33 ust. 5 opisuje zdarzenia i decyzje.
• Bezterminowe przechowywanie danych osobowych w rejestrze. Zalecenie długiego przechowywania dotyczy informacji o naruszeniach, a nie danych osób. Te dwie warstwy trzeba rozdzielić przy projektowaniu ewidencji.
• Brak śladu zdarzeń zakwalifikowanych jako nie-naruszenia. Decyzja o uznaniu zdarzenia za niebędące naruszeniem wymaga zapisu wraz z przyczyną.
• Wpis zamykany w dniu zdarzenia. Dokumentacja ma być aktualizowana, bo nowa informacja może zmienić ocenę ryzyka i wymusić zgłoszenie po terminie pierwotnie uznanym za niebiegnący.

Wnioski i dalsze kroki

Dokumentacja naruszeń jest dowodem procesu decyzyjnego, a nie ewidencją zdarzeń. Ten jeden przesąd rozstrzyga o jej zawartości: wpis ma odtworzyć, co organizacja wiedziała w danym momencie i jaki wniosek z tego wyciągnęła. Sprawy zgłoszone organowi wymagają w tym układzie najmniej pracy, bo ich uzasadnienie jest już w zgłoszeniu.

Kolejność porządkowania dokumentacji, która sprawdza się przy istniejącym rejestrze.

1. Sprawdź, czy w ewidencji są wpisy o naruszeniach niezgłoszonych; ich brak oznacza, że rejestr nie realizuje funkcji z art. 33 ust. 5.
2. Przejrzyj wpisy pod kątem uzasadnienia oceny ryzyka i uzupełnij te, które podają sam wynik.
3. Rozdziel warstwę rejestru od akt sprawy i usuń z rejestru dane osobowe, które nie są tam potrzebne.
4. Ustal, skąd biorą się informacje o naruszeniach u podmiotów przetwarzających i czy umowy to zapewniają.
5. Wprowadź zasadę aktualizowania wpisu wraz z napływem informacji, z zachowaniem śladu zmian.

Uporządkowana dokumentacja daje przy okazji materiał niedostępny z innego źródła: powtarzalność błędów tego samego typu. To właściwy punkt wyjścia do zaprojektowania szkolenia dopasowanego do ról i procesów. Wskazuje bowiem procesy, w których zdarzenia rzeczywiście powstają.

Materiały powiązane

• Czy każde naruszenie ochrony danych trzeba zgłosić? — próg zgłoszenia i ocena ryzyka, której wynik rejestr utrwala.
• Co zrobić po wykryciu incydentu? — sekwencja działań, po której powstaje wpis.
• Incydent cyberbezpieczeństwa a naruszenie ochrony danych osobowych. Czym się różnią? — kwalifikacja zdarzenia przed wpisem.

Źródła

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), art. 5 ust. 2, art. 24 ust. 1, art. 28 ust. 3 lit. f, art. 30, art. 33 i art. 34, tekst skonsolidowany — EUR-Lex: eur-lex.europa.eu (dostęp: 19.08.2026)
• Prezes Urzędu Ochrony Danych Osobowych, „Obowiązki administratorów związane z naruszeniami ochrony danych osobowych”, wersja z 20 lutego 2025 r., rozdział 8 — uodo.gov.pl (dostęp: 19.08.2026)
• Europejska Rada Ochrony Danych, Wytyczne 01/2021 w sprawie przykładów dotyczących zgłaszania naruszeń ochrony danych osobowych, wersja 2.0 przyjęta 14 grudnia 2021 r. — edpb.europa.eu (dostęp: 19.08.2026)