Wyciek danych i naruszenie ochrony danych – pomoc radcy prawnego

Wyciek danych, włamanie na skrzynkę pocztową, zgubiony laptop, e-mail wysłany do niewłaściwej osoby albo incydent u dostawcy systemu, z którego korzysta Twoja firma – każda z tych sytuacji może być naruszeniem ochrony danych osobowych. Kancelaria pomaga przejść przez ten proces szybko i bez błędów.

Co zrobić w pierwszych godzinach po naruszeniu?

1. Ogranicz skutki. Zmień hasła, odetnij dostęp, zabezpiecz urządzenia albo poproś odbiorcę o usunięcie błędnie wysłanej wiadomości.
2. Ustal fakty. Co się stało, kiedy, jakich danych i ilu osób dotyczy naruszenie.
3. Zapisz moment stwierdzenia naruszenia. Od niego liczy się termin 72 godzin – w godzinach, a nie w dniach roboczych, więc biegnie także w weekend.
4. Oceń ryzyko dla osób, których dane dotyczą. Od tej oceny zależy, czy naruszenie trzeba zgłosić do UODO i czy trzeba zawiadomić te osoby.
5. Udokumentuj naruszenie. Nawet jeśli nie podlega zgłoszeniu, musi trafić do wewnętrznego rejestru naruszeń (art. 33 ust. 5 RODO).

Nie wiesz, czy Twoja sytuacja wymaga zgłoszenia? Zadzwoń – ocenimy to razem, zanim minie termin.

Wyciek danych u dostawcy systemu – czy to też Twój obowiązek?

Coraz częściej do wycieku dochodzi nie w samej firmie, ale u dostawcy usługi: programu do fakturowania, systemu CRM, poczty e-mail czy platformy sklepu internetowego. Dostawca, jako podmiot przetwarzający, ma obowiązek bez zbędnej zwłoki poinformować o naruszeniu swoich klientów. Jednak to Twoja firma – jako administrator danych kontrahentów, klientów czy pracowników – odpowiada za ocenę ryzyka, decyzję o zgłoszeniu do UODO i ewentualne zawiadomienie osób, których dane dotyczą.

Komunikat dostawcy, że sytuacja jest pod kontrolą, nie zwalnia administratora z tych obowiązków. Jeśli Twój dostawca poinformował o incydencie, warto szybko sprawdzić, jakie dane Twojej firmy były w jego systemie i jakie ryzyko to rodzi.

W czym pomaga kancelaria

• Ocena, czy zdarzenie jest naruszeniem ochrony danych osobowych i jakie niesie ryzyko.
• Analiza, czy naruszenie trzeba zgłosić do Prezesa UODO.
• Przygotowanie i złożenie zgłoszenia, a w razie potrzeby także zgłoszenia uzupełniającego.
• Zgłoszenie po upływie 72 godzin wraz z wyjaśnieniem przyczyn opóźnienia.
• Przygotowanie zawiadomienia dla osób, których dane dotyczą (art. 34 RODO).
• Wpis do rejestru naruszeń i dokumentacja podjętych działań.
• Korespondencja i reprezentacja w postępowaniu przed Prezesem UODO.
• Wskazanie zmian, które zmniejszą ryzyko kolejnego incydentu.

Jak wygląda współpraca?

1. Kontakt. Dzwonisz lub piszesz – w sprawach naruszeń oddzwaniamy tego samego dnia roboczego.
2. Analiza. Ustalamy fakty, przeglądamy informacje od dostawcy lub ustalenia wewnętrzne i oceniamy ryzyko.
3. Działanie. Przygotowujemy zgłoszenie do UODO, zawiadomienia i dokumentację – w terminie.
4. Zamknięcie i wnioski. Otrzymujesz komplet dokumentów oraz rekomendacje, jak zapobiec podobnym sytuacjom.

Współpraca może odbywać się w całości zdalnie – pomagamy firmom z Białegostoku i z całej Polski.

Ile to kosztuje?

Koszt zależy od skali naruszenia i zakresu potrzebnych działań. Po krótkiej rozmowie przedstawiamy wycenę, zanim rozpoczniemy pracę. Aktualne stawki porad prawnych znajdziesz w cenniku.

Najczęstsze pytania o naruszenia ochrony danych

Kliknij pytanie, aby zobaczyć odpowiedź.

Czy każde naruszenie trzeba zgłosić do UODO?

Nie. Zgłoszenia nie trzeba dokonywać, jeżeli jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Każde naruszenie trzeba jednak udokumentować w wewnętrznym rejestrze, a ocenę ryzyka warto mieć na piśmie – to ona uzasadnia decyzję o braku zgłoszenia.

Kto zgłasza naruszenie, gdy wyciek był u dostawcy systemu?

Zgłoszenia do UODO dokonuje administrator danych, czyli zwykle firma korzystająca z usługi. Dostawca, jako podmiot przetwarzający, ma obowiązek bez zbędnej zwłoki powiadomić administratora o naruszeniu. Termin 72 godzin liczy się od chwili, gdy administrator stwierdził naruszenie.

Co zrobić, jeśli minęło już 72 godziny?

Zgłosić naruszenie mimo to, jak najszybciej, dołączając wyjaśnienie przyczyn opóźnienia (art. 33 ust. 1 RODO). Brak zgłoszenia jest zwykle poważniejszym problemem niż zgłoszenie spóźnione.

Czy zgłoszenie naruszenia oznacza karę?

Samo zgłoszenie nie oznacza kary. Organ nadzorczy ocenia sytuację, a rzetelne zgłoszenie i podjęte działania naprawcze przemawiają na korzyść administratora. Prezes UODO nakładał natomiast kary m.in. za niezgłoszenie naruszenia, które powinno było zostać zgłoszone.

Kiedy trzeba zawiadomić osoby, których dane wyciekły?

Gdy naruszenie może powodować wysokie ryzyko dla ich praw lub wolności – na przykład przy wycieku numerów PESEL, danych z dowodów osobistych, danych finansowych czy danych o zdrowiu. Zawiadomienie powinno być napisane jasnym i prostym językiem i wskazywać m.in. możliwe konsekwencje naruszenia oraz zalecane działania (art. 34 RODO).

Jak zgłasza się naruszenie do UODO?

Elektronicznie, za pomocą formularza udostępnionego przez Urząd Ochrony Danych Osobowych. Zgłoszenie obejmuje m.in. opis charakteru naruszenia, kategorie i przybliżoną liczbę osób oraz danych, możliwe konsekwencje i podjęte lub planowane środki zaradcze.

Czy e-mail wysłany do niewłaściwej osoby to naruszenie?

Może nim być – to jedno z najczęstszych naruszeń w firmach. Czy wymaga zgłoszenia do UODO, zależy m.in. od rodzaju danych w wiadomości i od tego, kim jest odbiorca.

Jak zmniejszyć ryzyko kolejnego naruszenia?

Pomagają aktualna dokumentacja, przeszkoleni pracownicy, sprawdzone umowy powierzenia z dostawcami i jasna procedura postępowania na wypadek incydentu. Najprościej zapewnić to dzięki stałej współpracy z Inspektorem Ochrony Danych.

Nie chcesz, żeby to się powtórzyło?

Najlepiej przygotowane na incydenty są firmy, które mają stałe wsparcie w ochronie danych. Kancelaria pełni funkcję zewnętrznego Inspektora Ochrony Danych: dba o dokumentację, szkoli pracowników i jest pod ręką, gdy coś się wydarzy. Sprawdź usługę Inspektora Ochrony Danych.

Autor: radca prawny Emilia Więsław, Inspektor Ochrony Danych. Podstawa prawna: art. 33 i 34 rozporządzenia RODO. Stan prawny: październik 2026 r.