Naruszenie ochrony danych osobowych w firmie – co zrobić w ciągu 72 godzin?

Po stwierdzeniu naruszenia ochrony danych osobowych administrator powinien bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin, zgłosić je Prezesowi UODO. Obowiązek ten nie powstaje, jeżeli jest mało prawdopodobne, aby naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. W praktyce to niewiele czasu na ustalenie, co się wydarzyło, jakie informacje zostały ujawnione i czy trzeba zawiadomić także klientów lub pracowników. Sprawdź, jak zareagować na naruszenie krok po kroku, co musi zawierać zgłoszenie oraz jak przygotować organizację, zanim dojdzie do incydentu.

Czym jest naruszenie ochrony danych osobowych?

Zgodnie z art. 4 pkt 12 RODO to naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utraty, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych. Definicja obejmuje zarówno cyberataki, jak i zwykłe pomyłki. W praktyce naruszeniem może być między innymi:

• wysłanie wiadomości z danymi do niewłaściwego adresata,
• utrata niezaszyfrowanego laptopa lub nośnika danych,
• atak ransomware blokujący dostęp do danych osobowych,
• nieuprawniony wgląd pracownika w dane, do których nie powinien mieć dostępu,
• błąd konfiguracji, przez który baza danych staje się dostępna w internecie.

Z danych dotyczących zgłoszeń naruszeń ochrony danych osobowych wynika, że ich liczba wzrosła w ostatnim analizowanym okresie. Według raportu DLA Piper ze stycznia 2026 roku w badanych europejskich jurysdykcjach zgłaszano średnio 443 naruszenia ochrony danych osobowych dziennie – o 22% więcej niż rok wcześniej. Z kolei według danych UODO w 2025 roku Prezes Urzędu nałożył 32 administracyjne kary pieniężne za różnego rodzaju naruszenia RODO, o łącznej wartości ponad 64,4 mln zł.

Od kiedy liczy się termin 72 godzin?

Termin biegnie od chwili, w której administrator stwierdził naruszenie, a nie od momentu, w którym incydent faktycznie nastąpił. Chodzi o uzyskanie wystarczającej pewności, że doszło do zdarzenia dotyczącego danych osobowych. Wstępne wyjaśnienie okoliczności jest dopuszczalne, nie może jednak służyć odsuwaniu decyzji w czasie. Jeżeli zgłoszenie następuje po upływie 72 godzin, należy wskazać przyczyny opóźnienia.

Istotną rolę odgrywają podmioty przetwarzające, czyli na przykład dostawcy usług IT, chmury czy obsługi kadrowo-płacowej. Zgodnie z art. 33 ust. 2 RODO muszą one zgłosić naruszenie administratorowi bez zbędnej zwłoki po jego stwierdzeniu. Dlatego w umowach powierzenia warto określić konkretny termin i sposób przekazywania takich informacji.

Naruszenie ochrony danych osobowych – jak zareagować krok po kroku?

Pierwsze godziny mają duże znaczenie dla oceny sytuacji i terminowego dopełnienia ewentualnych obowiązków. Typowa procedura obejmuje sześć etapów:

1. Ograniczenie skutków – odcięcie nieuprawnionego dostępu, zmiana haseł, zwrócenie się do błędnego adresata o usunięcie wiadomości.
2. Ustalenie faktów – jakie kategorie danych zostały naruszone, ilu osób dotyczą i jak doszło do incydentu.
3. Ocena ryzyka – analiza charakteru danych, skali zdarzenia, łatwości identyfikacji osób oraz zastosowanych zabezpieczeń, na przykład szyfrowania.
4. Zgłoszenie do Prezesa UODO – wymagane, gdy nie można uznać za mało prawdopodobne, że naruszenie spowoduje ryzyko dla praw lub wolności osób fizycznych. Jeżeli nie wszystkie informacje są od razu dostępne, można je przekazywać etapami (art. 33 ust. 4 RODO).
5. Zawiadomienie osób, których dane dotyczą – co do zasady wymagane, gdy naruszenie może powodować wysokie ryzyko dla ich praw lub wolności, z uwzględnieniem wyjątków przewidzianych w art. 34 ust. 3 RODO. Powinno nastąpić bez zbędnej zwłoki, być sformułowane jasnym i prostym językiem oraz zawierać informacje pomocne w ograniczeniu możliwych skutków incydentu.
6. Wpis do wewnętrznego rejestru naruszeń – dotyczy każdego stwierdzonego naruszenia, także takiego, które nie wymagało zgłoszenia (art. 33 ust. 5 RODO).

Równolegle z ograniczaniem skutków naruszenia należy zabezpieczyć dostępne dowody, w tym logi systemowe i dokumentację zdarzenia, aby umożliwić późniejsze odtworzenie jego przebiegu.

Co musi zawierać zgłoszenie do UODO?

Zakres zgłoszenia określa art. 33 ust. 3 RODO. Powinno ono obejmować co najmniej:

• opis charakteru naruszenia, w tym – w miarę możliwości – kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz kategorie i przybliżoną liczbę wpisów danych osobowych objętych naruszeniem,
• imię i nazwisko oraz dane kontaktowe inspektora ochrony danych lub innego punktu kontaktowego,
• opis możliwych konsekwencji naruszenia,
• opis środków zastosowanych lub proponowanych w celu zaradzenia naruszeniu i zminimalizowania jego skutków.

Uwaga: niedopełnienie obowiązków z art. 33 i 34 RODO może skutkować administracyjną karą pieniężną do 10 mln euro lub – w przypadku przedsiębiorstwa – do 2% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, w zależności od tego, która kwota jest wyższa (art. 83 ust. 4 RODO). Wysokość ewentualnej kary zależy jednak od okoliczności konkretnego naruszenia, w tym jego charakteru, wagi oraz działań podjętych przez administratora. Zastosowanie mogą mieć również szczególne zasady dotyczące określonych kategorii podmiotów.

Jak przygotować firmę, zanim dojdzie do incydentu?

Sprawna reakcja w ciągu 72 godzin jest znacznie łatwiejsza, gdy role i procedury zostały ustalone wcześniej. W dobrze przygotowanej organizacji wiadomo, kto podejmuje decyzję o zgłoszeniu, jak przeprowadzić ocenę ryzyka i gdzie znaleźć potrzebne dokumenty. Przygotowanie obejmuje zwykle:

• procedurę obsługi naruszeń z jasnym podziałem ról – IOD, IT, dział prawny, zarząd, komunikacja,
• wzory zgłoszenia do organu, zawiadomienia osób oraz wpisu do rejestru,
• przyjętą metodykę oceny ryzyka,
• zapisy w umowach powierzenia dotyczące terminów zgłaszania incydentów przez dostawców,
• szkolenia pracowników, ponieważ wiele naruszeń wynika z codziennych pomyłek,
• okresowe testy procedury, na przykład w formie symulacji incydentu.

W sprawach związanych z RODO kancelaria prawna może wspierać przedsiębiorstwo zarówno na etapie budowania procedur, jak i podczas obsługi incydentu, gdy kluczowe znaczenie ma szybka reakcja. Przy wyborze doradcy warto zwrócić uwagę na jego doświadczenie w sprawach dotyczących naruszeń ochrony danych osobowych, reprezentacji przed Prezesem UODO oraz możliwość zapewnienia wsparcia w sytuacjach wymagających pilnej reakcji.

Przykładem podmiotu działającego w tym obszarze jest kancelaria JDP – kancelaria RODO, której praktyka obejmuje m.in. obsługę naruszeń ochrony danych, wdrożenia RODO, audyty oraz reprezentację w kontrolach i postępowaniach przed Prezesem UODO. W zespole kancelarii zajmującym się ochroną danych osobowych działa m.in. radca prawny Krzysztof Brant, specjalizujący się w prawie nowych technologii i ochronie danych.

Naruszeń ochrony danych nie da się całkowicie wyeliminować, ale można ograniczyć ich skutki. Organizacja, która ma przygotowaną procedurę, wzory dokumentów i przypisane role, może szybciej ocenić ryzyko, terminowo dopełnić obowiązków i właściwie udokumentować swoje działania na wypadek ewentualnej kontroli. Warto więc sprawdzić już teraz, czy obowiązujące w firmie procedury pozwolą na sprawną reakcję w razie incydentu – zanim rozpocznie się bieg 72-godzinnego terminu.