Wyciek danych w firmie — co zrobić w 72 godziny
Ta strona jest dla firm i organizacji, którym wyciekły, zginęły albo zostały udostępnione dane osobowe klientów, pracowników lub innych osób. Stan prawny na 15 października 2026 r.
Najważniejsze: 72 godziny na zgłoszenie do Prezesa UODO liczy się od chwili, w której dowiedziałeś się o naruszeniu. Nie liczy się ich od zakończenia analizy informatyka. Zgłoszenie można złożyć wstępnie i uzupełnić później (art. 33 ust. 4 RODO).
Rejestr prowadzisz zawsze. Zgłoszenie do UODO i zawiadomienie osób zależą od oceny ryzyka.
- 0Opanuj incydentZablokuj konta, zmień hasła, odłącz zainfekowane komputery od sieci, ale ich nie wyłączaj. Zapisz, kiedy dowiedziałeś się o naruszeniu.
- 1Rejestr naruszeńWpis o każdym naruszeniu, także takim, którego nie zgłaszasz. Przy braku zgłoszenia zapisz uzasadnienie.
- 2Ocena ryzykaJakie dane, ile osób, czy były zaszyfrowane, co może się stać. Masz trzy możliwe wyniki: brak ryzyka, ryzyko albo wysokie ryzyko.
- 3Zgłoszenie do UODOW 72 godziny, gdy istnieje ryzyko dla osób. Zgłoszenie złożone później wymaga wyjaśnienia opóźnienia.
- 4Zawiadomienie osóbBez zbędnej zwłoki, gdy ryzyko jest wysokie, np. wyciekły PESEL z numerem dowodu, dane o zdrowiu albo hasła.
- 5Policja i inne zgłoszeniaPrzy włamaniu lub kradzieży: zawiadomienie z wnioskiem o ściganie. Przy cyberataku: CERT Polska. Niektóre branże mają osobne obowiązki zgłoszeń.
Kiedy trzeba zgłosić
Naruszeniem jest każde zdarzenie, w którym dane zostały zniszczone, utracone, zmienione, ujawnione albo udostępnione komuś nieuprawnionemu. Przykłady: mail z listą klientów wysłany do złej osoby, zgubiony laptop bez szyfrowania, atak ransomware, błędne uprawnienia w systemie.
| Wynik | Co robisz | Przykład |
|---|---|---|
| Ryzyko mało prawdopodobne | tylko wpis do rejestru | zaszyfrowany laptop, klucz poza urządzeniem |
| Ryzyko | rejestr + zgłoszenie do UODO w 72 h | lista adresów e-mail klientów |
| Wysokie ryzyko | rejestr + UODO + zawiadomienie osób | PESEL i numer dowodu, dane o zdrowiu, hasła, dane finansowe |
Gdy masz wątpliwość, zgłoś. Kara grozi za brak zgłoszenia, a nie za zgłoszenie ostrożne. Samodzielne zgłoszenie jest okolicznością łagodzącą.
Co musi zawierać zgłoszenie do UODO
- opis naruszenia, kategorie i przybliżoną liczbę osób oraz wpisów,
- dane kontaktowe inspektora ochrony danych albo innej osoby kontaktowej,
- możliwe skutki,
- środki, które zastosowałeś albo planujesz.
Zgłoszenie składa się elektronicznie przez formularz Prezesa UODO. Adres urzędu: ul. Stanisława Moniuszki 1A, 00-014 Warszawa. Zgłoszenie nic nie kosztuje.
Firma działająca w Wielkiej Brytanii: zgłoszenie do ICO, również w 72 godziny, przez formularz na ico.org.uk.
Co napisać osobom, których dane wyciekły
Pisz prostym językiem: co się stało, jakie dane, jakie mogą być skutki, co już zrobiłeś, z kim się kontaktować. Podaj konkretne zalecenia:
- zastrzeżenie numeru PESEL w mObywatelu, w urzędzie gminy albo w banku (bezpłatne),
- przy wycieku dowodu osobistego: zgłoszenie w gminie podejrzenia użycia danych, wtedy dowód zostanie unieważniony,
- zmiana haseł i włączenie logowania dwuetapowego,
- czujność na telefony i SMS-y „z banku”.
Odpowiedzialność
| Co | Podstawa |
|---|---|
| Kara za niezgłoszenie: do 10 mln euro albo 2% światowego obrotu | art. 83 ust. 4 RODO |
| Odszkodowanie dla osób za szkodę majątkową i niemajątkową | art. 82 RODO |
| Odpowiedzialność karna sprawcy wycieku, np. pracownika | art. 107 ustawy o ochronie danych osobowych, art. 267 k.k. |
Nie rób tego: nie czekaj na pełny raport, nie kasuj śladów podczas „porządkowania” systemu, nie zapewniaj klientów, że dane nie zostały wykorzystane, jeśli tego nie wiesz. Jeśli przetwarzasz dane na zlecenie klienta, zgłaszasz naruszenie temu klientowi, a nie do UODO.
Ta strona to informacja ogólna, nie porada prawna w Twojej sprawie.