RODO i naruszenia danych osobowych

Ostatnia aktualizacja: 17.07.2026

Ogólne rozporządzenie o ochronie danych osobowych – ramy prawne w Polsce

RODO, czyli Ogólne Rozporządzenie o Ochronie Danych Osobowych obowiązuje bezpośrednio na terenie Unii Europejskiej i nie wymaga transpozycji do porządku krajowego w ustawodawstwach krajów członkowskich. Prawo krajowe pełni jednak istotną rolę uzupełniającą. W Polsce właściwym aktem jest ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych, która wyznacza organ nadzorczy, reguluje postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych oraz zawiera szereg rozwiązań szczególnych dopuszczonych przez klauzule otwierające RODO.

Organem nadzorczym jest Prezes Urzędu Ochrony Danych Osobowych (Prezes UODO), centralny organ administracji publicznej, który z dniem 25 maja 2018 r. zastąpił Generalnego Inspektora Ochrony Danych Osobowych. Prezes UODO jednym punktem kontaktowym dla zgłoszeń naruszeń, prowadzi postępowania oraz jest uprawniony do nakładania administracyjnych kar pieniężnych i innych środków naprawczych.

RODO, nowe technologie i obowiązki administratorów danych

Obowiązki związane z naruszeniami nie funkcjonują w oderwaniu od innych regulacji i aktów prawnych. Stanowią jedną z warstw coraz gęstszego systemu prawa, na który składają się m.in.:

• ustawa o krajowym systemie cyberbezpieczeństwa (wdrażająca NIS2)
• rozporządzenie DORA dla sektora finansowego
• Prawo komunikacji elektronicznej dla przedsiębiorców telekomunikacyjnych
• przepisy sektorowe.

W dalszej części omawiamy najpierw obowiązki wynikające z RODO, a następnie ich powiązania z tym szerszym otoczeniem.

---

Czym jest naruszenie ochrony danych osobowych?

Art. 4 pkt 12 RODO definiuje naruszenie ochrony danych osobowych jako naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych.

Europejska Rada Ochrony Danych (EROD) wyróżnia trzy częściowo nakładające się kategorie naruszeń, przy czym jedno zdarzenie może obejmować więcej niż jedną z nich:

1. naruszenie poufności, nieuprawnione lub przypadkowe ujawnienie danych osobowych lub dostęp do nich;
2. naruszenie integralności, nieuprawniona lub przypadkowa zmiana danych osobowych;
3. naruszenie dostępności, przypadkowa lub nieuprawniona utrata dostępu do danych osobowych lub ich zniszczenie, (np. zaszyfrowanie przez oprogramowanie ransomware albo usunięcie bez możliwej do odtworzenia kopii zapasowej).

W praktyce istotne są dwa rozróżnienia:

1. Incydent bezpieczeństwa to nie to samo co naruszenie ochrony danych osobowych: atak powstrzymany, zanim dotknął danych osobowych, może być incydentem na gruncie cyberbezpieczeństwa, nie uruchamiając art. 33 i 34 RODO.
2. Naruszenie ochrony danych osobowych nie zawsze stanowi „poważny incydent” na gruncie KSC/NIS2. Każdy reżim stosuje do tego samego zdarzenia własny próg, dlatego kwalifikację należy przeprowadzić odrębnie dla każdego z nich, ustalając także, czego dotyczy naruszenie i czy dane zostały naruszone w rozumieniu RODO.

---

Bezpieczeństwo przetwarzania i ochrona danych w fazie projektowania

Obowiązki związane z naruszeniami stanowią reaktywne dopełnienie pozytywnego, ciągłego obowiązku zabezpieczania danych osobowych.

Zgodnie z art. 32 RODO administrator i podmiot przetwarzający wdrażają odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający ryzyku. Przy ocenie należy uwzględnić m.in.:

• stan wiedzy technicznej;
• koszt wdrożenia;
• charakter, zakres, kontekst i cele przetwarzania;

RODO wskazuje przykładowe środki bezpieczeństwa, w tym:

• pseudonimizację i szyfrowanie;
• zdolność do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów;
• zdolność do przywrócenia dostępności danych po incydencie;
• regularne testowanie i ocenę skuteczności środków bezpieczeństwa.

Ten prewencyjny fundament w znacznym stopniu pokrywa się z obowiązkami w zakresie zarządzania ryzykiem nakładanymi na podmioty kluczowe i ważne na podstawie art. 21 NIS2 (transponowanego ustawą o KSC) oraz z ramami zarządzania ryzykiem ICT wymaganymi od podmiotów finansowych na podstawie DORA.

W większości organizacji te same środki, jak zarządzanie dostępem, segmentacja sieci, rejestrowanie zdarzeń, kopie zapasowe i odtwarzanie, zarządzanie podatnościami, weryfikacja dostawców, posłużą do wykazania zgodności jednocześnie z wszystkimi trzema reżimami. Zasada rozliczalności (art. 5 ust. 2 RODO) oznacza, że administrator musi nie tylko wdrożyć te środki, lecz także być w stanie to wykazać.

---

Zgłoszenie naruszenia do Prezesa UODO (art. 33 RODO)

W razie wystąpienia naruszenia ochrony danych osobowych administrator danych zgłasza je Prezesowi UODO bez zbędnej zwłoki, w miarę możliwości nie później niż w terminie 72 godzin po stwierdzeniu naruszenia, chyba że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych.

Do zgłoszenia przekazanego po upływie 72 godzin dołącza się wyjaśnienie przyczyn opóźnienia. Termin 72 godzin najlepiej traktować jako twardy termin operacyjny, a nie jako cel orientacyjny.

Od kiedy biegnie termin?

Przyjmuje się, że administrator „stwierdza” naruszenie, gdy z rozsądnym stopniem pewności wie, że doszło do incydentu bezpieczeństwa, który doprowadził do naruszenia danych osobowych. Dopuszczalny jest krótki okres weryfikacji, czy naruszenie rzeczywiście wystąpiło, musi on jednak być niezwłoczny. Termin 72 godzin biegnie od chwili stwierdzenia, a nie od zakończenia prowadzonej analizy wewnętrznej.

Treść zgłoszenia

Art. 33 ust. 3 RODO wymaga, by zgłoszenie zawierało co najmniej:

• opis charakteru naruszenia (w tym, o ile to możliwe, kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz kategorie i przybliżoną liczbę wpisów danych osobowych)
• imię i nazwisko oraz dane kontaktowe inspektora ochrony danych lub innego punktu kontaktowego
• opis możliwych konsekwencji naruszenia
• opis środków zastosowanych lub proponowanych w celu zaradzenia naruszeniu i zminimalizowania jego negatywnych skutków.

---

Zgłoszenia etapowe i obowiązki podmiotu przetwarzającego

Jeżeli przekazanie wszystkich informacji jednocześnie nie jest możliwe, można je udostępniać sukcesywnie, bez zbędnej zwłoki. W Polsce zgłoszenia dokonuje się elektronicznie za pomocą dedykowanej e-usługi na platformie Biznes.gov.pl; formularz rozróżnia zgłoszenie kompletne, zgłoszenie wstępne (służące dochowaniu terminu 72 godzin, gdy pełny obraz zdarzenia nie jest jeszcze znany) oraz zgłoszenie uzupełniające/zmieniające.

Gdy administrator korzysta z podmiotu przetwarzającego, podmiot ten, po stwierdzeniu naruszenia, bez zbędnej zwłoki zgłasza je administratorowi, aby ten mógł dochować własnego terminu; szczegółowy tryb należy określić w umowie powierzenia przetwarzania.

---

Zawiadomienie osoby, której dane dotyczą

Zgłoszenie organowi nadzorczemu jest czym innym niż zawiadomienie osób dotkniętych naruszeniem. Zgodnie z art. 34 RODO, jeżeli naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, administrator bez zbędnej zwłoki zawiadamia o nim również te osoby, jasnym i prostym językiem, opisując charakter naruszenia oraz przekazując te same kategorie informacji (punkt kontaktowy, możliwe konsekwencje, środki zaradcze). W praktyce takie zawiadomienie realizuje także szczególny obowiązek informacyjny związany z naruszeniem.

RODO przewiduje trzy wyłączenia obowiązku zawiadomienia osób:

1. gdy administrator wdrożył wobec danych dotkniętych naruszeniem odpowiednie środki techniczne i organizacyjne czyniące je nieczytelnymi dla osób nieuprawnionych (w szczególności silne szyfrowanie)
2. gdy administrator zastosował następnie środki eliminujące prawdopodobieństwo zmaterializowania się wysokiego ryzyka;
3. gdy zawiadomienie indywidualne wymagałoby niewspółmiernie dużego wysiłku — wówczas dopuszczalny jest publiczny komunikat lub podobny środek docierający do osób w równie skuteczny sposób.

Prezes UODO zachowuje uprawnienie do nakazania zawiadomienia osób, jeżeli uzna, że próg wysokiego ryzyka został spełniony.

---

Dokumentowanie naruszeń i rozliczalność

Art. 33 ust. 5 RODO nakłada na administratora obowiązek dokumentowania każdego naruszenia ochrony danych osobowych, w tym okoliczności naruszenia, jego skutków oraz podjętych działań zaradczych, niezależnie od tego, czy naruszenie podlegało zgłoszeniu. Ten wewnętrzny rejestr naruszeń umożliwia organowi nadzorczemu weryfikację zgodności i jest w praktyce jednym z pierwszych dokumentów, o które Prezes UODO występuje, badając sposób obsługi incydentu. Uzasadniony zapis decyzji o odstąpieniu od zgłoszenia (jeżeli taki wniosek zapadł) jest równie istotny jak dokumentacja zgłoszenia, którego dokonano.

---

Relacja RODO z KSC/NIS2, DORA i innymi reżimami

Jedno zdarzenie może jednocześnie stanowić naruszenie ochrony danych osobowych na gruncie RODO, poważny incydent na gruncie ustawy o krajowym systemie cyberbezpieczeństwa wdrażającej NIS2 oraz, w przypadku banku lub innego podmiotu finansowego, poważny incydent związany z ICT na gruncie DORA. Każdy reżim ma własny organ, własny próg i własny harmonogram, a obowiązki te stosuje się niezależnie i równolegle.

Poniższa tabela podsumowuje główne kanały zgłoszeniowe, które podmiot działający w Polsce może być zobowiązany uruchomić jednocześnie.

Reżim	Organ właściwy w Polsce	Przesłanka	Kluczowe terminy
RODO	Prezes UODO	Naruszenie ochrony danych powodujące ryzyko dla praw i wolności	Organ: bez zbędnej zwłoki, ≤ 72 godz. Osoby: bez zbędnej zwłoki, przy wysokim ryzyku
NIS2 / KSC	Właściwy CSIRT — CSIRT NASK, CSIRT GOV (ABW), CSIRT MON — przez system S46	Poważny incydent u podmiotu kluczowego lub ważnego	Wczesne ostrzeżenie ≤ 24 godz.; zgłoszenie incydentu ≤ 72 godz.; raport końcowy ≤ 1 miesiąc
DORA	Komisja Nadzoru Finansowego (KNF)	Poważny incydent związany z ICT u podmiotu finansowego	Raport wstępny, pośredni i końcowy w terminach wynikających z regulacyjnych standardów technicznych
Łączność elektroniczna	Prezes UKE (oraz UODO)	Incydent bezpieczeństwa lub naruszenie danych w łączności elektronicznej (Prawo komunikacji elektronicznej; ustawa o świadczeniu usług drogą elektroniczną)	Bez zbędnej zwłoki, zgodnie z przepisami sektorowymi

Powyższe terminy odzwierciedlają ogólne ramy; dokładną kwalifikację, treść i terminy należy ocenić dla każdego incydentu z osobna.

Reguła koordynacji w NIS2

NIS2 przewiduje to nakładanie się obowiązków. Art. 35 nakazuje właściwym organom ds. cyberbezpieczeństwa – jeżeli w toku nadzoru lub egzekwowania prawa stwierdzą, że naruszenie przez podmiot jego obowiązków może wiązać się z naruszeniem ochrony danych osobowych podlegającym zgłoszeniu na podstawie art. 33 RODO – bez zbędnej zwłoki poinformować organ nadzorczy ds. ochrony danych.

Co istotne, ten sam przepis zawiera zabezpieczenie typu ne bis in idem: jeżeli organ ochrony danych nałoży administracyjną karę pieniężną za to samo zachowanie, organ ds. cyberbezpieczeństwa nie nakłada za to naruszenie kary na podstawie NIS2 (może jednak zastosować inne środki egzekucyjne). Nie zwalnia to jednak podmiotu z obowiązku dokonania każdego z odrębnych zgłoszeń.

Stanowisko Prezesa UODO w sprawie zgłaszania incydentów

Polski organ nadzorczy potwierdził, że obowiązek zgłoszenia naruszenia ochrony danych osobowych na podstawie art. 33 RODO jest niezależny od ewentualnego obowiązku zgłoszenia incydentu na podstawie ustawy o krajowym systemie cyberbezpieczeństwa. Oba zgłoszenia kieruje się do różnych organów i żadne nie zastępuje drugiego.

Prezes UODO zachęca ponadto administratorów, których naruszenia wiążą się z phishingiem, złośliwymi załącznikami, szantażem lub złośliwym oprogramowaniem, do zgłaszania takich zdarzeń również do CERT Polska. Wniosek praktyczny jest taki, że procedury reagowania na naruszenia i na incydenty powinny być zintegrowane oraz odwzorowywać każde potencjalne zdarzenie na wszystkie organy, które mogą wymagać powiadomienia, i na najkrótszy mający zastosowanie termin.

Dla podmiotów finansowych DORA pełni funkcję reżimu szczególnego w zakresie zgłaszania incydentów ICT; wzajemne relacje DORA, KSC/NIS2 oraz RODO omawiamy szczegółowo w osobnym artykule poświęconym DORA, z którym niniejszą część należy czytać łącznie.

---

Centra danych i dostawcy infrastruktury cyfrowej

Centra danych zasługują na odrębne omówienie, ponieważ znajdują się dokładnie na styku reżimów ochrony danych i cyberbezpieczeństwa.

Na gruncie NIS2 dostawcy usług centrum danych są wprost wymienieni w sektorze „infrastruktura cyfrowa” w załączniku I, obok:

• dostawców usług chmurowych;
• sieci dostarczania treści (CDN);
• punktów wymiany ruchu internetowego;
• dostawców usług DNS;
• rejestrów nazw TLD;
• dostawców usług zaufania.

Komercyjny operator centrum danych, który przekracza progi wielkości, będzie zatem co do zasady kwalifikowany jako podmiot kluczowy lub ważny, z pełnym zakresem obowiązków w zakresie zarządzania ryzykiem i zgłaszania incydentów.

Wewnętrzne (firmowe) centra danych prowadzone przez podmiot wyłącznie na własne potrzeby są wyłączone (motyw 35 NIS2), nie obowiązuje natomiast „przywilej grupowy”: spółka świadcząca usługi centrum danych lub usługi zarządzane na rzecz innych podmiotów ze swojej grupy kapitałowej jest co do zasady objęta regulacją tak samo, jak gdyby obsługiwała podmioty trzecie.

Odpowiedzialność operatora centrum danych jako podmiotu przetwarzającego

Od strony RODO operator centrum danych lub kolokacji, który przetwarza dane osobowe w imieniu swoich klientów, działa jako podmiot przetwarzający.

Status ten uruchamia m.in.:

• obowiązkowe wymogi umowne z art. 28 RODO;
• obowiązki bezpieczeństwa z art. 32 RODO;
• obowiązek zgłoszenia naruszenia administratorowi bez zbędnej zwłoki;
• obowiązki dotyczące podwykonawców;
• obowiązki pomocy administratorowi.

Jeżeli obiekt lub którykolwiek z podwykonawców znajduje się poza Europejskim Obszarem Gospodarczym, spełnione muszą być również reguły transferu danych z rozdziału V RODO.

Najczęstszym źródłem sporów po incydencie w infrastrukturze współdzielonej jest rozkład odpowiedzialności między klientem (administratorem) a operatorem (podmiotem przetwarzającym). Kto wykrywa naruszenie, kto ocenia ryzyko, kto dokonuje zgłoszenia i w jakim terminie wewnętrznym. Pytania te znacznie łatwiej rozstrzygnąć w umowie powierzenia, przed incydentem, niż bezpośrednio po nim, zwłaszcza gdy przetwarzane są dane klientów albo danych osobowych przesyłanych pomiędzy systemami dotyczy outsourcing usług IT.

---

Sankcje, egzekwowanie i odpowiedzialność cywilna za naruszenia RODO

Naruszenia RODO podlegają administracyjnym karom pieniężnym w dwóch progach określonych w art. 83. Oba progi podsumowuje poniższa tabela.

Próg	Maksymalna kara	Główne naruszenia
Niższy	10 mln EUR albo 2% całkowitego rocznego światowego obrotu (kwota wyższa)	Bezpieczeństwo przetwarzania (art. 32); zgłaszanie i zawiadamianie o naruszeniach (art. 33–34); rejestry czynności; uwzględnianie ochrony w fazie projektowania; wybrane obowiązki dot. IOD i DPIA
Wyższy	20 mln EUR albo 4% całkowitego rocznego światowego obrotu (kwota wyższa)	Podstawowe zasady i zgodność przetwarzania z prawem (art. 5, 6, 9) , w tym zgoda na przetwarzanie danych oraz szczególne kategorie danych, takie jak dane dotyczące zdrowia i dane genetyczne; prawa osób, których dane dotyczą (art. 12–22)), w tym prawo do cofnięcia zgody, prawo do bycia zapomnianym, czy prawo do usunięcia danych; transfery międzynarodowe (rozdział V)

Niedostateczne zabezpieczenia oraz brak zgłoszenia mieszczą się w progu niższym; jeżeli to samo zdarzenie ujawnia także niezgodne z prawem przetwarzanie lub naruszenie zasad podstawowych, zastosowanie może znaleźć próg wyższy.

Prawo polskie wprowadza istotną cechę krajową: ustawa z dnia 10 maja 2018 r. ogranicza administracyjne kary pieniężne, które można nałożyć na podmioty sektora publicznego, w szczególności jednostki sektora finansów publicznych, do 100 000 zł (oraz 10 000 zł dla niektórych instytucji kultury), w przeciwieństwie do znacznie wyższych pułapów mających zastosowanie do przedsiębiorców.

Egzekwowanie przepisów w Polsce jest aktywne: w 2025 r. do Prezesa UODO wpłynęło blisko 22,5 tys. zgłoszeń naruszeń, a najwyższa dotychczas nałożona kara, 27 mln zł na Pocztę Polską, pokazuje, że dotkliwe sankcje są realną perspektywą.

Poza odpowiedzialnością administracyjną art. 82 RODO przyznaje każdej osobie, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia, prawo do dochodzenia odszkodowania przed sądem cywilnym, co w polskim orzecznictwie, również w następstwie naruszeń ochrony danych, zyskuje na znaczeniu.

---

Jak możemy pomóc?

Dudkowiak & Putyra doradza polskim i międzynarodowym klientom na każdym etapie cyklu ochrony danych i cyberbezpieczeństwa.

W kontekście naruszeń ochrony danych osobowych nasze wsparcie obejmuje zwykle:

1. opracowanie i przetestowanie procedury reagowania na naruszenia, dochowującej 72-godzinnego terminu z RODO i integrującej równoległe terminy zgłoszeń z KSC/NIS2, DORA oraz przepisów sektorowych;
2. bieżące doradztwo w trakcie trwającego incydentu — kwalifikacja naruszenia, ocena ryzyka oraz sporządzanie i składanie zgłoszeń do Prezesa UODO i zawiadomień osób, których dane dotyczą;
3. przygotowanie i negocjowanie umów powierzenia przetwarzania (art. 28 RODO) oraz rozkład odpowiedzialności za naruszenia między administratorów, podmioty przetwarzające, dostawców chmury i operatorów centrów danych;
4. przeprowadzanie ocen skutków dla ochrony danych (DPIA), rejestrów czynności i przeglądów bezpieczeństwa z art. 32, zharmonizowanych z wymogami NIS2 i DORA;
5. reprezentację klientów w postępowaniach przed Prezesem UODO oraz w powiązanych sprawach cywilnych;
6. prowadzenie dedykowanych szkoleń dla kadry zarządzającej i pracowników w zakresie wykrywania, eskalacji i zgłaszania incydentów.

Aby omówić, jak te obowiązki odnoszą się do Państwa organizacji, zapraszamy do kontaktu z naszym zespołem Ochrony Danych.

---

FAQ: Naruszenia RODO