Wyciek danych w małej firmie: plan na 72 godziny krok po kroku

Trzy zdarzenia i czy to w ogóle naruszenie

Naruszenie to każde zdarzenie, które prowadzi do przypadkowego albo niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych (art. 4 pkt 12 RODO). Nie musi być wycieku na zewnątrz, wystarczy utrata dostępu do danych.

Godzina 0-4: zatrzymaj zdarzenie i spisz fakty

• Zgubiony sprzęt: zdalna blokada i wymazanie, zmiana haseł do poczty, banku i systemów, do których sprzęt był zalogowany.
• Mail do złej osoby: od razu prośba do odbiorcy o usunięcie wiadomości i potwierdzenie na piśmie. Zachowaj tę korespondencję.
• Ransomware: odłącz zainfekowane komputery od sieci, nie płać, zabezpiecz logi, wezwij firmę IT.
• W każdym przypadku: notatka z godziną stwierdzenia naruszenia, kto je zauważył, jakie dane i ilu osób dotyczy. Od tej godziny liczysz 72 godziny.

Godzina 4-24: ocena ryzyka i decyzja

Pytania, które rozstrzygają, czy zgłaszasz: jakie dane (imię i e-mail czy PESEL, zdrowie, finanse), ilu osób, czy dane były zaszyfrowane, kto je dostał (jeden znany kontrahent czy nieznany odbiorca), czy da się je wykorzystać do kradzieży tożsamości albo straty finansowej. UODO wskazuje, że przy danych o zdrowiu, poglądach, przynależności do związków czy życiu seksualnym prawdopodobieństwo szkody jest duże. Wynik oceny zapisz w rejestrze naruszeń niezależnie od decyzji - art. 33 ust. 5 RODO każe dokumentować wszystkie naruszenia, także te niezgłoszone, a urząd może zapytać o powody, dla których nie zgłosiłeś.

Godzina 24-72: zgłoszenie do UODO

Formularz: Zgłoś naruszenie ochrony danych osobowych na biznes.gov.pl (stan na październik 2026), podpis profilem zaufanym albo kwalifikowanym, bez opłat. Zgodnie z art. 33 ust. 3 RODO zgłoszenie musi co najmniej:

1. opisywać charakter naruszenia, w tym kategorie i przybliżoną liczbę osób oraz wpisów danych;
2. podawać imię, nazwisko i dane kontaktowe inspektora ochrony danych albo innego punktu kontaktowego;
3. opisywać możliwe konsekwencje naruszenia;
4. opisywać środki zastosowane lub proponowane, w tym te, które mają zminimalizować skutki.

Nie masz wszystkiego po 72 godzinach? Art. 33 ust. 4 pozwala udzielać informacji sukcesywnie. W formularzu wybierasz typ: zgłoszenie wstępne, kompletne albo uzupełniające. Lepiej wysłać wstępne z tym, co wiesz, niż czekać na raport z IT.

Kiedy zawiadomić klientów albo pracowników (art. 34)

Osoby zawiadamiasz, gdy naruszenie może powodować wysokie ryzyko dla ich praw lub wolności (art. 34 ust. 1 RODO), czyli próg jest wyższy niż przy zgłoszeniu do urzędu. Zawiadomienie piszesz jasnym i prostym językiem i podajesz to samo, co w punktach 2-4 zgłoszenia: kontakt, konsekwencje, środki (art. 34 ust. 2). Nie musisz zawiadamiać, gdy dane były zaszyfrowane w sposób uniemożliwiający odczyt, gdy zastosowałeś potem środki eliminujące wysokie ryzyko albo gdy wymagałoby to niewspółmiernego wysiłku - wtedy wydajesz publiczny komunikat (art. 34 ust. 3). Przykład: zgubiony niezaszyfrowany laptop z umowami i numerami PESEL klientów to zwykle i zgłoszenie, i zawiadomienie; zaszyfrowany i zdalnie wymazany - często żadne z nich, ale wpis w rejestrze tak.

Po terminie lepiej niż wcale

Do zgłoszenia przekazanego po 72 godzinach dołącza się wyjaśnienie przyczyn opóźnienia (art. 33 ust. 1, ostatnie zdanie). Brak zgłoszenia, które było wymagane, to osobne naruszenie obowiązku z art. 33, objęte art. 83 ust. 4 RODO (kara do 10 000 000 EUR albo do 2% rocznego światowego obrotu). Pełny tekst przepisów: RODO na EUR-Lex, wyjaśnienia urzędu: Zgłaszanie naruszeń - UODO (stan na październik 2026).

Jeśli nie masz w firmie nikogo, kto w ciągu doby oceni ryzyko i wypełni formularz, zobacz, jak działa obsługa naruszeń przez inspektora z kancelaria365: oceniamy zdarzenie, przygotowujemy zgłoszenie i zawiadomienie osób, a w razie kontroli jesteśmy po Twojej stronie.

Najczęstsze pytania