Zgłoszenie naruszenia do UODO – kiedy jest obowiązkowe i jak liczyć 72 godziny?

Nie każdy wyciek danych osobowych trzeba zgłaszać Prezesowi UODO, ale każde naruszenie trzeba przeanalizować i udokumentować. Jeżeli naruszenie może powodować ryzyko naruszenia praw lub wolności osób fizycznych, administrator zgłasza je bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia. Przy wysokim ryzyku trzeba też zawiadomić osoby, których dane dotyczą. Jak zareagować na sam incydent, opisuję w artykule Wyciek danych osobowych – co zrobić w pierwszej kolejności?

Kiedy zgłoszenie do UODO jest konieczne?

Zgodnie z art. 33 ust. 1 RODO administrator zgłasza naruszenie, chyba że jest mało prawdopodobne, by skutkowało ono ryzykiem dla praw lub wolności osób fizycznych. Jeżeli administrator nie może tego wykazać, powinien dokonać zgłoszenia. Decyzja o odstąpieniu wymaga konkretnego, udokumentowanego uzasadnienia.

Prezes UODO interpretuje ten wyjątek wąsko. W decyzji z 7 kwietnia 2026 r. ukarał wspólnotę mieszkaniową, która nie zgłosiła przekazania innemu mieszkańcowi rozliczenia opłat jednego lokatora, uznając, że skoro chodziło o jedną osobę i „zwykłe” dane, zgłoszenie nie jest potrzebne (decyzja DKN.5131.16.2025).

Jak liczyć 72 godziny?

Termin biegnie od stwierdzenia naruszenia, czyli od chwili, gdy administrator ma uzasadnioną pewność, że incydent objął dane osobowe – a nie od samego zdarzenia. Biegnie nieprzerwanie, również w soboty, niedziele i święta. Jeżeli administrator uzyskał dostateczną pewność o naruszeniu w piątek o 16:20, zgłoszenie powinno być przygotowane najpóźniej do poniedziałku około 16:20, a najlepiej wcześniej.

Jeżeli w ciągu 72 godzin nie znasz wszystkich informacji, nie odkładaj zgłoszenia. Art. 33 ust. 4 RODO pozwala uzupełniać je sukcesywnie. Zgłoszenie po terminie wymaga wyjaśnienia przyczyn opóźnienia.

Co powinno zawierać zgłoszenie?

Zgodnie z art. 33 ust. 3 RODO zgłoszenie musi co najmniej:

opisywać charakter naruszenia, w tym w miarę możliwości kategorie i przybliżoną liczbę osób oraz wpisów danych,
zawierać dane kontaktowe inspektora ochrony danych lub innego punktu kontaktowego,
opisywać możliwe konsekwencje naruszenia,
opisywać środki zastosowane lub proponowane w celu zaradzenia naruszeniu.

Zgłoszenia dokonuje się na formularzu UODO, najwygodniej elektronicznie przez biznes.gov.pl.

Kiedy zawiadomić osoby, których dane dotyczą?

Przy wysokim ryzyku administrator zawiadamia te osoby bez zbędnej zwłoki (art. 34 RODO). Przepis nie przewiduje terminu 72 godzin, ale w praktyce oba działania przygotowuje się równolegle. Zawiadomienie musi być napisane prostym językiem i mówić, co odbiorca sam może zrobić – przy numerze PESEL warto rozważyć zalecenie jego bezpłatnego zastrzeżenia.

Zawiadomienie nie jest wymagane m.in. wtedy, gdy dane były skutecznie zaszyfrowane albo późniejsze działania wyeliminowały wysokie ryzyko. Gdy indywidualne zawiadomienie wymagałoby niewspółmiernego wysiłku, można zastąpić je publicznym komunikatem (art. 34 ust. 3 RODO).

Naruszenie u dostawcy – kto zgłasza?

Podmiot przetwarzający musi zgłosić naruszenie administratorowi bez zbędnej zwłoki (art. 33 ust. 2 RODO), ale decyzja o zgłoszeniu do UODO i zawiadomieniu osób należy do administratora. Przy incydencie MyDr Prezes UODO wskazał, że administrator powinien uzyskać od procesora potwierdzenie, że incydent dotyczył jego danych, a następnie samodzielnie ocenić ryzyko (UODO).

O tym, czy administrator zdąży w terminie, często decyduje umowa powierzenia przetwarzania danych: kanał kontaktu, termin raportowania i zakres przekazywanych informacji. Warto to sprawdzić już przy weryfikacji dostawcy przed podpisaniem umowy.

RODO a ustawa o KSC

Od 3 kwietnia 2026 r. obowiązuje nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (gov.pl). Podmioty kluczowe i ważne zgłaszają poważne incydenty do CSIRT. Jeżeli atak objął dane osobowe, nie zastępuje to zgłoszenia do UODO. Nie każdy przedsiębiorca, który doświadczył cyberataku, podlega jednak obowiązkom z KSC.

Konsekwencje i dokumentacja

Naruszenie art. 33 i 34 RODO zagrożone jest karą do 10 mln euro lub 2% rocznego światowego obrotu (art. 83 ust. 4 lit. a RODO), a osoby, których dane dotyczą, mogą dochodzić odszkodowania (art. 82 RODO). Z mojego doświadczenia wynika, że UODO znacznie surowiej ocenia brak reakcji i dokumentacji niż sam błąd.

Każde naruszenie trzeba udokumentować, także niezgłoszone (art. 33 ust. 5 RODO): opis i chronologię, moment stwierdzenia naruszenia, zakres danych, ocenę ryzyka, podjęte działania oraz decyzję o zgłoszeniu lub odstąpieniu od niego wraz z uzasadnieniem.

Najczęstsze pytania (FAQ)

Czy trzeba zgłaszać naruszenie u dostawcy IT?

Tak, jeżeli objęło dane, których jesteś administratorem, i powoduje ryzyko. Decyzję podejmuje administrator, nie dostawca.

Od kiedy liczy się 72 godziny?

Od stwierdzenia naruszenia, czyli od chwili, gdy administrator ma uzasadnioną pewność, że incydent objął dane osobowe. Krótka weryfikacja pierwszego sygnału jest dopuszczalna, ale musi zacząć się niezwłocznie.

Czy weekend lub święto wydłuża termin 72 godzin?

Nie. Termin jest liczony w godzinach, a zasada przesunięcia na dzień roboczy z rozporządzenia nr 1182/71 nie dotyczy terminów godzinowych.

Czy 72 godziny dotyczą też zawiadomienia osób, których dane wyciekły?

Nie. Termin 72 godzin dotyczy zgłoszenia do UODO. Osoby zawiadamia się bez zbędnej zwłoki, jeżeli ryzyko jest wysokie.

Potrzebujesz wsparcia przy zgłoszeniu?

Kancelaria pomaga ocenić, czy naruszenie wymaga zgłoszenia do Prezesa UODO lub zawiadomienia osób, oraz przygotować zgłoszenie i dokumentację. Wsparcie obejmuje też compliance i ograniczanie ryzyka.

Skontaktuj się z kancelarią telefonicznie pod numerem +48 789 841 370 lub umów konsultację online.

Stan prawny na dzień 5 października 2026 r. Artykuł ma charakter informacyjny i nie stanowi porady prawnej w indywidualnej sprawie.