Naruszenie ochrony danych osobowych (wyciek, utrata, nieuprawniony dostęp) — administrator

Obowiązki firmy po wycieku, utracie lub nieuprawnionym dostępie do danych osobowych: ocena ryzyka, zgłoszenie do Prezesa UODO i zawiadomienie osób.

Dla: przedsiębiorcy, spółki i inne osoby prawne, fundacje i stowarzyszenia · stan prawny na 15.10.2026 · następny przegląd 15.04.2027

Kroki

Kroki oznaczone „gdy dotyczy” pojawiają się tylko w części spraw — panel pokaże je po Twoich odpowiedziach.

1. Opanowanie incydentu i zabezpieczenie śladów

   • odciąć wektor (konta, hasła, klucze API)
   • odłączyć zainfekowane maszyny od sieci bez wyłączania
   • zapisać datę i GODZINĘ stwierdzenia w dzienniku
   • zabezpieczyć logi z SHA-256
   • ustalić podmioty przetwarzające
   • ransomware — bez okupu bez decyzji zarządu

   Gdzie: CERT Polska

   Podstawa: art. 33 ust. 2 RODO

2. Procesor — zgłoszenie administratorowi (gdy dotyczy)

   • zgłosić administratorowi bez zbędnej zwłoki (umowa powierzenia — zwykle 24–48 h)
   • przekazać dane do art. 33 ust. 3
   • nie zgłaszać do UODO za administratora

   Gdzie: Administrator danych (klient procesora)

   Podstawa: art. 33 ust. 2 RODO, art. 28 RODO

3. Wpis do rejestru naruszeń (gdy dotyczy)

   • wpis o każdym naruszeniu
   • uzasadnienie na piśmie decyzji o niezgłoszeniu

   Podstawa: art. 33 ust. 5 RODO

4. Ocena ryzyka (gdy dotyczy)

   • rodzaj danych
   • liczba osób
   • szyfrowanie
   • możliwe skutki
   • wątpliwość = zgłaszamy

   Twoja decyzja: Wynik oceny ryzyka i decyzja o zgłoszeniu (z uzasadnieniem)

   Podstawa: art. 4 pkt 12 RODO, art. 33 ust. 1 RODO

5. Zgłoszenie do Prezesa UODO (72 h) (gdy dotyczy)

   • zgłoszenie wstępne w 72 h — uzupełnienie później
   • treść z art. 33 ust. 3 lit. a–d
   • po 72 h — wyjaśnienie opóźnienia
   • zachować UPO / numer zgłoszenia w dzienniku

   Gdzie: Prezes Urzędu Ochrony Danych Osobowych

   Podstawa: art. 33 ust. 1 RODO, art. 33 ust. 3 RODO, art. 33 ust. 4 RODO, art. 55 RODO

6. Zgłoszenie do ICO (Wielka Brytania) (gdy dotyczy)

   • zgłoszenie w 72 h od „becoming aware”
   • formularz ICO

   Gdzie: Information Commissioner's Office (UK)

   Podstawa: art. 33 UK GDPR (do weryfikacji)

7. Zawiadomienie osób, których dane dotyczą (gdy dotyczy)

   • jasny język
   • treść z art. 33 ust. 3 lit. b–d
   • zalecenia (zastrzeżenie PESEL, unieważnienie dowodu, hasła)
   • kanał zwykłego kontaktu
   • wyjątki z art. 34 ust. 3 — publiczny komunikat przy niewspółmiernym wysiłku

   Twoja decyzja: Treść i kanał zawiadomienia; czy zachodzi wyjątek z art. 34 ust. 3

   Podstawa: art. 34 ust. 1 RODO, art. 34 ust. 2 RODO, art. 34 ust. 3 RODO, art. 23e u.e.l., art. 48a u.d.o.

8. Zawiadomienie o przestępstwie (gdy dotyczy)

   • zawiadomienie z wnioskiem o ściganie (art. 267 k.k. wnioskowy)
   • logi z SHA-256
   • oś czasu
   • przy wyniesieniu danych do konkurencji — tajemnica przedsiębiorstwa i zabezpieczenie

   Gdzie: Policja (cyberprzestępczość) albo prokuratura rejonowa; CERT Polska

   Podstawa: art. 267 k.k., art. 287 k.k., art. 107 u.o.d.o., art. 11 u.z.n.k.

9. Zgłoszenia sektorowe (KSC/NIS2, DORA, telekomunikacja) (gdy dotyczy)

   • ustalić obowiązki sektorowe i terminy (KSC — wczesne ostrzeżenie 24 h, do weryfikacji)
   • sprawdzić klauzule umów B2B o powiadamianiu

   Gdzie: CSIRT sektorowy / KNF / organ sektorowy

10. Po incydencie — raport, umowy powierzenia, regres

    • raport końcowy do rejestru
    • przegląd umów powierzenia
    • regres wobec procesora
    • aktualizacja analizy ryzyka / DPIA
    • szkolenie

    Podstawa: art. 28 RODO, art. 82 ust. 5 RODO, art. 35 RODO

Terminy, których pilnuje procedura

• Zgłoszenie do UODO — 72 h od stwierdzenia (art. 33 ust. 1 RODO)
• Zgłoszenie do ICO — 72 h (art. 33 UK GDPR)
• Zawiadomienie osób — bez zbędnej zwłoki (art. 34 ust. 1 RODO)

Opis służy orientacji i nie jest opinią prawną w Twojej sprawie. Przed upływem terminu albo wysłaniem pisma sprawdź projekt z prawnikiem — także z kancelarią prowadzącą serwis.

Zacznij tę procedurę w panelu