Naruszenie ochrony danych: co zrobić w pierwszych godzinach?

Informacja o omyłkowo wysłanym pliku, utraconym laptopie, zaszyfrowanym serwerze albo koncie przejętym przez osobę trzecią wymaga szybkiej, uporządkowanej reakcji. Pierwszym celem jest ograniczenie skutków i ustalenie faktów. Równolegle trzeba zabezpieczyć informacje potrzebne do oceny, czy doszło do naruszenia ochrony danych osobowych oraz czy należy zawiadomić organ nadzorczy lub osoby, których dane dotyczą.

RODO nie nakazuje zgłaszania każdego zdarzenia technicznego. Definiuje naruszenie jako naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub dostępu do danych. Może więc dotyczyć poufności, integralności albo dostępności. Każde potwierdzone naruszenie trzeba udokumentować, nawet gdy po ocenie nie podlega zgłoszeniu.

Najpierw odróżnij alarm od naruszenia danych

Alert systemu, podejrzana wiadomość lub awaria są sygnałami do sprawdzenia. Naruszenie występuje dopiero, gdy zdarzenie dotyczy danych osobowych i wywołuje jeden ze skutków wskazanych w definicji. Utrata dostępności może być naruszeniem, jeśli administrator nie ma dostępu do danych potrzebnych do świadczenia istotnej usługi, nawet gdy nikt obcy ich nie odczytał. Nieuprawniony wgląd może być naruszeniem mimo braku kopiowania pliku.

Nie należy czekać z analizą na pełny raport techniczny. Trzeba ustalić minimalny zestaw faktów: system i czas zdarzenia, kategorie danych, potencjalnych odbiorców, liczbę osób, możliwość odzyskania oraz zastosowane zabezpieczenia. Jeżeli wstępne informacje są niepewne, powinny zostać oznaczone jako takie i regularnie aktualizowane.

Ogranicz skutki i zachowaj materiał do analizy

Działania techniczne zależą od zdarzenia. Mogą obejmować cofnięcie wiadomości, prośbę o usunięcie załącznika, zablokowanie konta, zmianę poświadczeń, odłączenie zagrożonego urządzenia, wyłączenie publicznego linku albo przywrócenie danych z bezpiecznej kopii. Należy działać proporcjonalnie, aby nie zniszczyć dowodów i nie pogłębić awarii. Osoby odpowiedzialne za system oraz ochronę danych powinny koordynować decyzje.

Warto zachować dzienniki, nagłówki wiadomości, kopie konfiguracji, czas wykrycia, historię działań i komunikację z dostawcą. Dokumentacja powinna rozróżniać fakt, założenie i wniosek. Ułatwia to późniejszą ocenę ryzyka oraz wykazanie, dlaczego podjęto daną decyzję. Publiczna komunikacja przed potwierdzeniem faktów może zwiększyć chaos, dlatego powinna być przygotowana wspólnie przez osoby znające zdarzenie i obowiązki prawne.

Ustal role oraz moment stwierdzenia naruszenia

Administrator ocenia naruszenie i podejmuje decyzję o zgłoszeniu organowi. Podmiot przetwarzający, który stwierdzi naruszenie dotyczące danych powierzonych, zawiadamia administratora bez zbędnej zwłoki. Umowa powinna zapewniać taki przepływ informacji, lecz nie może przesuwać ustawowej odpowiedzialności administratora. Przy wielu dostawcach trzeba szybko ustalić, który proces obejmuje zdarzenie i kto ma dane techniczne.

Termin 72 godzin liczy się od stwierdzenia naruszenia przez administratora, czyli uzyskania rozsądnego stopnia pewności, że wystąpiło zdarzenie obejmujące dane osobowe. Nie każdy automatyczny alarm rozpoczyna termin, ale organizacja nie może celowo opóźniać weryfikacji. Należy zapisać, kiedy wpłynął sygnał, jakie czynności podjęto oraz kiedy osiągnięto wymaganą pewność.

Oceń ryzyko dla praw i wolności osób

Zgłoszenie organowi jest wymagane, chyba że jest mało prawdopodobne, aby naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób. Ocena nie sprowadza się do rodzaju pliku. Znaczenie mają charakter, wrażliwość i zakres danych, możliwość identyfikacji osób, liczba osób, łatwość wykorzystania informacji, szczególna sytuacja osób oraz potencjalne następstwa, takie jak kradzież tożsamości, strata finansowa, dyskryminacja, szkoda reputacyjna lub ujawnienie tajemnicy.

Trzeba uwzględnić zabezpieczenia działające w chwili zdarzenia. Skuteczne szyfrowanie może znacznie ograniczyć ryzyko, jeśli klucz nie został naruszony. Samo zabezpieczenie hasłem bez wiedzy o jego jakości nie wystarcza do automatycznego wniosku. Ocenę warto zapisać w sposób pozwalający zrozumieć dane wejściowe, scenariusze skutków, ich prawdopodobieństwo i powody końcowej decyzji.

Zgłoszenie do UODO może być etapowe

Jeżeli zgłoszenie jest wymagane, administrator zawiadamia właściwy organ bez zbędnej zwłoki, w miarę możliwości nie później niż 72 godziny po stwierdzeniu naruszenia. Po przekroczeniu terminu należy wyjaśnić przyczyny opóźnienia. Nie trzeba czekać na zakończenie analizy kryminalistycznej. Gdy wszystkich informacji nie można przekazać jednocześnie, RODO pozwala uzupełniać je etapami bez dalszej zbędnej zwłoki.

Zgłoszenie powinno co najmniej opisywać charakter naruszenia, w miarę możliwości kategorie i przybliżoną liczbę osób oraz rekordów, dane kontaktowe inspektora ochrony danych lub innego punktu kontaktowego, możliwe konsekwencje i zastosowane albo proponowane środki. Treść musi być spójna z aktualnym stanem wiedzy. Nowe ustalenia mogą wymagać uzupełnienia wcześniejszego zgłoszenia.

Osoby informuje się przy prawdopodobnym wysokim ryzyku

Próg zawiadomienia osoby jest wyższy niż próg zgłoszenia organowi. Informacja jest potrzebna, gdy naruszenie może powodować wysokie ryzyko dla praw lub wolności. Powinna zostać przekazana bez zbędnej zwłoki, jasnym i prostym językiem. Należy opisać charakter naruszenia, podać punkt kontaktowy, możliwe konsekwencje oraz środki podjęte lub proponowane, w tym praktyczne działania ograniczające negatywne skutki.

RODO przewiduje wyjątki, między innymi gdy skuteczne zabezpieczenia czynią dane nieczytelnymi dla osób nieuprawnionych albo późniejsze działania usunęły prawdopodobieństwo wysokiego ryzyka. Jeżeli indywidualny kontakt wymagałby niewspółmiernie dużego wysiłku, możliwy jest publiczny komunikat lub podobnie skuteczny środek. Wyjątki wymagają uzasadnienia. Informacja nie powinna bagatelizować zdarzenia ani przerzucać odpowiedzialności na osobę.

Praktyczny przykład: załącznik wysłany do niewłaściwej osoby

Pracownik wysyła zestawienie klientów do jednego niewłaściwego odbiorcy. Po kilku minutach zgłasza zdarzenie, a organizacja prosi adresata o usunięcie wiadomości i potwierdzenie, czy plik został otwarty lub przekazany. Zabezpiecza kopię korespondencji, ustala zakres danych, liczbę osób, relację z odbiorcą oraz możliwe skutki. Samo zapewnienie o usunięciu jest jednym z elementów oceny, ale nie zastępuje analizy charakteru informacji.

Jeżeli plik zawierał zwykłe dane kontaktowe, był skutecznie zabezpieczony, a wiarygodny odbiorca nie miał dostępu do hasła, ryzyko może być inne niż przy niezaszyfrowanym zestawieniu danych zdrowotnych lub finansowych. Nie można z góry przesądzić decyzji wyłącznie na podstawie liczby odbiorców. Przykład pokazuje pytania, które należy zadać, a nie gotową kwalifikację każdego omyłkowego wysłania.

Lista działań przygotowawczych na pierwsze godziny

• Zapisz czas alarmu, osobę zgłaszającą, system i wstępny opis zdarzenia.
• Ogranicz dalszy dostęp lub utratę, zachowując potrzebne dowody.
• Ustal, czy zdarzenie dotyczy danych osobowych i jakiego typu naruszenia.
• Wskaż administratora, procesorów, właściciela systemu i punkt kontaktowy.
• Oszacuj kategorie oraz liczbę osób i rekordów.
• Sprawdź zabezpieczenia, możliwość identyfikacji i potencjalne skutki.
• Zapisz moment stwierdzenia naruszenia i uruchom kontrolę terminu 72 godzin.
• Przygotuj decyzję o zgłoszeniu, komunikacji do osób oraz dalszych środkach.
• Aktualizuj rejestr zdarzenia wraz z nowymi faktami i decyzjami.

Lista powinna być elementem wcześniej przygotowanej procedury, wraz z danymi zastępczych osób na wypadek nieobecności. Ćwiczenia na neutralnych scenariuszach pomagają wykryć brak dostępu do logów, nieaktualne kontakty i zbyt długą ścieżkę zatwierdzania.

Najczęstsze błędy podczas obsługi naruszenia

• Oczekiwanie na pełny raport techniczny przed rozpoczęciem oceny prawnej.
• Liczenie 72 godzin od wygodnie wybranej daty zamiast od stwierdzenia naruszenia.
• Automatyczne zgłaszanie każdego alarmu bez sprawdzenia definicji i ryzyka.
• Brak dokumentacji naruszenia, które po ocenie nie zostało zgłoszone.
• Oparcie decyzji wyłącznie na liczbie rekordów lub zapewnieniu odbiorcy.
• Niejasny podział obowiązków między administratorem, procesorem i dostawcą systemu.
• Wiadomość do osób pozbawiona praktycznych wskazówek ograniczających skutki.

Szkodliwe jest także ukrywanie zdarzenia wewnątrz jednego działu. Zespół techniczny może znać logi, dział biznesowy kontekst osób, a osoba odpowiedzialna za ochronę danych progi prawne. Decyzja wymaga połączenia tych informacji bez niepotrzebnego rozpowszechniania treści naruszenia.

Wnioski i bezpieczny kontakt w sprawie incydentu

Pierwsze godziny służą jednocześnie ograniczeniu skutków, ustaleniu faktów, ocenie ryzyka i pilnowaniu terminu. Nie każde zdarzenie podlega zgłoszeniu, lecz każde potwierdzone naruszenie wymaga udokumentowania. Przy wysokim ryzyku może być potrzebna szybka, zrozumiała informacja dla osób. Ocena powinna być aktualizowana, gdy pojawiają się nowe dane.

W pierwszym kontakcie można podać czas alarmu, rodzaj systemu, ogólne kategorie danych, przybliżoną skalę, role podmiotów i podjęte środki. Nie należy wysyłać pełnej bazy, haseł, kluczy, złośliwych plików ani danych osób przez zwykły formularz. Pilność warto zaznaczyć w temacie, a materiały przekazać dopiero po ustaleniu bezpiecznego kanału i potwierdzeniu możliwości przyjęcia sprawy.

Źródła i data weryfikacji

Źródła sprawdzono 18 lipca 2026 r. Linki prowadzą do tekstów urzędowych lub materiałów instytucji publicznych. Przy konkretnej sprawie zawsze trzeba sprawdzić aktualny stan prawny i pełny kontekst.

• RODO, rozporządzenie 2016/679, tekst urzędowy w języku polskim

Powiązany obszar pomocy: RODO i ochrona danych.