UODO przypomniał 5 października 2026 roku, że nie każde naruszenie ochrony danych musi zostać zgłoszone organowi nadzorczemu. Wyjaśnienie odnosi się do niedawnych przypadków nieuprawnionego dostępu do baz kontrahentów i systemów fakturowych. Nie jest ogólnym zwolnieniem przedsiębiorców z obowiązków po ataku. Decydująca pozostaje ocena ryzyka dla osób, których dane dotyczą. Nawet odstąpienie od zgłoszenia wymaga uzasadnienia i udokumentowania zdarzenia.
Publiczny rejestr nie wyjaśnia całego wycieku
Urząd wskazuje przykład danych przedsiębiorcy dostępnych w CEIDG: imienia, nazwiska, nazwy firmy, NIP i oficjalnego adresu działalności. Ujawnienie samych informacji, które już znajdują się w jawnym rejestrze, może nie tworzyć nowej możliwości wyrządzenia szkody. Ważne jest słowo „samych”. Baza kontrahentów może zawierać również informacje, których rejestr nie pokazuje.
Faktura może łączyć dane identyfikacyjne z informacją o zakupie, usłudze albo płatności. Wtedy analiza nie może ograniczać się do stwierdzenia, że nazwa firmy była publiczna. Trzeba sprawdzić rzeczywisty zakres ujawnionego materiału i to, co można z niego wywnioskować o osobie. Takie rozróżnienie stanowi sedno wyjaśnienia UODO.
Oznaczenie pliku jako „dane firmowe” również nie przesądza sprawy. Przedsiębiorca prowadzący działalność jako osoba fizyczna nadal może być osobą, której dotyczą chronione informacje. Ocena wymaga przyjrzenia się konkretnym polom i powiązaniom. Sama nazwa bazy ani rozmiar pliku nie rozstrzygają obowiązku.
Dwa poziomy ryzyka i dwa rodzaje zawiadomień
Artykuł 33 RODO przewiduje zgłoszenie naruszenia organowi nadzorczemu, z wyjątkiem sytuacji, gdy mało prawdopodobne jest ryzyko naruszenia praw lub wolności osób. Artykuł 34 dotyczy zawiadomienia samych osób, gdy występuje wysokie ryzyko. Są to odrębne obowiązki. Nie należy stosować obu progów zamiennie ani przedstawiać jednej decyzji jako automatycznie rozstrzygającej drugą.
Rozporządzenie wskazuje także, że zgłoszenie organowi powinno nastąpić bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin po stwierdzeniu naruszenia. Późniejszemu zgłoszeniu musi towarzyszyć wyjaśnienie opóźnienia. Ten termin dotyczy określonego obowiązku administratora, a nie dowolnego użytkownika, który przeczytał informację o ataku.
Wiadomość dla osoby, której dane dotyczą, powinna umożliwiać zrozumienie sytuacji. Sama informacja, że firma „analizuje incydent”, może nie wyjaśniać, jakie dane objęto zdarzeniem i jaki kontakt zapewnia administrator. Nie zastępujemy jednak oceny konkretnego zawiadomienia: wymagałaby ona przeczytania jego pełnej treści i poznania okoliczności sprawy.
Które informacje mogą zwiększać zagrożenie?
UODO wymienia między innymi PESEL, informacje finansowe oraz szczegóły zakupów lub usług ujawniające stan zdrowia. Takie dane mogą zostać wykorzystane do oszustwa, kradzieży tożsamości, profilowania albo manipulowania odbiorcą wiadomości. Wspólne występowanie kilku informacji może mieć większe znaczenie niż każda z nich osobno.
Przykład praktyczny to fałszywe żądanie zapłaty, które zawiera prawdziwą nazwę kontrahenta i opis wcześniejszego zakupu. Odbiorcy może być trudniej zauważyć oszustwo niż w przypadku przypadkowego, ogólnego e-maila. Jest to wyjaśnienie możliwego mechanizmu, nie potwierdzenie, że w każdym z opisanych przez urząd incydentów doszło do takiego działania.
Ryzyko dla osoby różni się od samego kosztu naprawy systemu. Firma może szybko przywrócić działanie aplikacji, podczas gdy ujawnione informacje nadal pozostają poza jej kontrolą. Z drugiej strony awaria bez naruszenia danych nie daje podstaw do automatycznego opisania jej jako wycieku. Ustalenie rodzaju zdarzenia powinno poprzedzać publiczne podanie jego skutków.
Dokumentacja także wtedy, gdy zgłoszenia nie ma
UODO podkreśla obowiązek dokumentowania wszystkich naruszeń. Jeżeli administrator uznaje, że nie powinien zgłaszać zdarzenia, musi zachować ocenę ryzyka i przesłanki swojej decyzji. Brak zgłoszenia nie oznacza więc braku pracy ani dowolności. Późniejsza kontrola powinna móc odtworzyć, na jakich ustaleniach oparto wniosek.
Ważna jest również aktualizacja ustaleń. Na początku analizy może być znany tylko jeden element zdarzenia, a później może ujawnić się szerszy zakres dostępu. Ocena wykonana na niepełnych danych nie powinna być przedstawiana publicznie jako pewność dotycząca całości. Artykuł nie wyznacza dodatkowego terminu takiej aktualizacji, lecz pokazuje znaczenie rzetelnego rozpoznania faktów.
Dla klientów oznacza to potrzebę uważnego czytania informacji administratora. Komunikat powinien dotyczyć ich sytuacji, a nie jedynie deklarować, że firma wdrożyła zabezpieczenia. Nie każdy klient jest automatycznie osobą objętą naruszeniem. Zakres tej grupy wymaga sprawdzenia na podstawie danych o konkretnym incydencie.
Wyjaśnienie urzędu nie rozstrzyga pojedynczej sprawy
Stan wiedzy na 11 października obejmuje październikowe wyjaśnienie UODO i treść odpowiednich przepisów RODO. Urząd nie podaje w tym materiale pełnego wykazu incydentów ani decyzji dotyczącej każdego administratora. Nie można na jego podstawie potwierdzić, że konkretna firma została zwolniona z obowiązku lub że wykonała go prawidłowo.
Do indywidualnej oceny potrzebne są rzeczywiste dane o zdarzeniu, jego zasięgu i osobach objętych ryzykiem. Materiał wyjaśnia zasadę, której aktualność sprawdzono w rozporządzeniu. Najistotniejszy wniosek dotyczy procesu: najpierw rzetelne ustalenie i udokumentowanie ryzyka, następnie decyzja o wymaganych zawiadomieniach. Skrót „dane były publiczne” nie zastępuje tej analizy.
Zastrzeżenie braku ryzyka nie powinno opierać się wyłącznie na braku skarg klientów. Osoba może jeszcze nie wiedzieć o zdarzeniu, a administrator powinien oceniać także możliwe skutki ujawnienia. To odróżnia analizę ryzyka od podsumowania szkód już zgłoszonych.
Źródła
Stan wiedzy: 11 października 2026 roku. Materiały sprawdzono przed zaplanowaniem publikacji.
Źródła obrazów
Różne nośniki danych na wystawie w Berlinie w 2019 roku; ilustracja bezpieczeństwa przechowywania informacji. Autor: stiefkind. Strona pliku w Wikimedia Commons. Licencja: Creative Commons CC0 1.0 Universal. Zmniejszono rozdzielczość; bez kadrowania i retuszu.
Dołącz do dyskusji