Wyciek danych w firmie. Procedura 72 godzin, która chroni Cię przed karą PUODO.

Piątek, 17:43. Twój deweloper pisze na Slacku: „Hej, chyba mamy wyciek bazy użytkowników.” Od tego momentu zegar tyka. Masz 72 godziny na zgłoszenie naruszenia do PUODO — Prezesa Urzędu Ochrony Danych Osobowych. Jeśli nie wiesz, kto w firmie odpowiada za obsługę incydentu, jak ocenić ryzyko i co dokładnie wpisać w zgłoszeniu — te 72 godziny miną szybciej, niż myślisz.

W 2024 r. do PUODO wpłynęło 14 842 zgłoszeń naruszeń ochrony danych osobowych — o ponad 5% więcej niż rok wcześniej. Łączna kwota kar nałożonych przez organ wzrosła z ok. 1,23 mln zł w 2023 r. do ok. 13,9 mln zł w 2024 r. W 2025 r. przekroczyła już 64 mln zł. Organ karze selektywnie, ale surowo — przede wszystkim za brak zgłoszenia, brak procedur i brak rzetelnej oceny ryzyka.

Ten artykuł to przewodnik po tym, co zrobić w pierwszych 72 godzinach po wykryciu wycieku danych — krok po kroku. Dowiesz się, jak ocenić ryzyko, co musi zawierać zgłoszenie, kiedy powiadomić osoby dotknięte naruszeniem i jak przygotować firmę, zanim dojdzie do incydentu.

Podstawowe pojęcia, które musisz znać

Zanim przejdziesz do procedury, ustal, co oznaczają terminy, które będą się pojawiać w dalszej części artykułu.

Jak liczyć 72 godziny — od kiedy zaczyna tykać zegar

Termin 72 godzin nie biegnie od momentu, gdy naruszenie faktycznie nastąpiło. Biegnie od momentu, gdy administrator uzyskał dostateczną pewność, że doszło do incydentu.

Co to oznacza w różnych scenariuszach:

Ważna zasada: jeśli Twój pracownik wie o naruszeniu — Ty jako administrator też wiesz. Zegar nie czeka na formalną analizę. Dlatego ścieżka eskalacji musi być krótka i znana każdemu w firmie.

Jeśli nie zdążysz zebrać wszystkich informacji w 72 godziny — zgłoś to, co wiesz, i uzupełniaj sukcesywnie. Art. 33 ust. 4 RODO wprost dopuszcza zgłoszenia etapowe. PUODO nie karze za niekompletne pierwsze zgłoszenie, o ile aktywnie współpracujesz z organem i dostarczasz brakujące dane bez zbędnej zwłoki.

Co robisz w pierwszych 72 godzinach — procedura krok po kroku

Poniżej znajdziesz timeline działań od momentu wykrycia incydentu do zgłoszenia do PUODO. Każdy krok ma konkretnego właściciela i konkretny rezultat.

Krok 1: zgłoszenie wewnętrzne (0–2 godziny od wykrycia)

Osoba, która zauważyła podejrzenie naruszenia, informuje przełożonego i IOD (lub osobę wyznaczoną do obsługi incydentów). Zgłoszenie powinno zawierać:

1. Co się wydarzyło — opis zdarzenia własnymi słowami
2. Kiedy to zauważono — data i godzina
3. Jakie dane mogą być objęte incydentem
4. Kto może być dotknięty (klienci, pracownicy, użytkownicy)

Nie czekaj na pewność. Lepiej zgłosić podejrzenie, które okaże się fałszywym alarmem, niż przegapić realne naruszenie.

Krok 2: zabezpieczenie techniczne (0–4 godziny)

Dział IT zabezpiecza dowody i ogranicza skutki incydentu:

1. Zablokowanie nieautoryzowanego dostępu (zmiana haseł, odcięcie sesji)
2. Zabezpieczenie logów systemowych i kopii zapasowych
3. Izolacja zainfekowanych systemów (przy ataku malware/ransomware)
4. Dokumentowanie działań technicznych — co, kiedy i przez kogo zostało zrobione

Role muszą być rozdzielone: IT odpowiada za reakcję techniczną, IOD ocenia ryzyko prawne. Jeśli te funkcje się mieszają — tracisz czas.

Krok 3: ocena ryzyka (4–24 godziny)

To moment, w którym decydujesz, czy naruszenie wymaga zgłoszenia do PUODO i/lub powiadomienia osób, których dane dotyczą. RODO rozróżnia dwa progi ryzyka:

Uwaga: PUODO interpretuje wyjątek od zgłoszenia bardzo restrykcyjnie. W decyzji dotyczącej komornika sądowego organ stwierdził, że „mało prawdopodobne” ryzyko oznacza w istocie sytuację graniczącą z brakiem ryzyka — czyli brak realnych szans na materializację negatywnych skutków. Jakiekolwiek dostrzegalne prawdopodobieństwo szkody zasadniczo wyklucza możliwość niezgłoszenia.

Krok 4: zgłoszenie do PUODO (do 72 godzin)

Jeśli ocena ryzyka wskazuje na obowiązek zgłoszenia — składasz je przez formularz na biznes.gov.pl. Zgłoszenie musi zawierać minimum cztery elementy:

1. Opis charakteru naruszenia — kategorie danych i przybliżona liczba osób dotkniętych incydentem oraz przybliżona liczba wpisów danych
2. Dane kontaktowe IOD lub innego punktu kontaktowego w firmie
3. Opis możliwych konsekwencji naruszenia dla osób, których dane dotyczą
4. Opis środków zaradczych — co zrobiłeś lub zamierzasz zrobić, aby zaradzić naruszeniu i zminimalizować jego skutki

Formularz umożliwia oznaczenie zgłoszenia jako „wstępne” — uzupełniaj brakujące informacje sukcesywnie, bez zbędnej zwłoki.

Jeśli zgłaszasz po upływie 72 godzin — dołącz wyjaśnienie przyczyn opóźnienia.

Krok 5: powiadomienie osób dotkniętych naruszeniem (jeśli ryzyko jest wysokie)

Jeśli naruszenie wiąże się z wysokim ryzykiem dla praw i wolności osób — musisz je powiadomić „bez zbędnej zwłoki” (art. 34 ust. 1 RODO). Zawiadomienie powinno zawierać:

1. Opis charakteru naruszenia — prostym, zrozumiałym językiem
2. Dane kontaktowe IOD lub punktu kontaktowego
3. Opis możliwych konsekwencji
4. Zalecenia dotyczące minimalizacji niekorzystnych skutków (np. zmiana haseł, monitorowanie konta bankowego)

Przygotuj szablon zawiadomienia z wyprzedzeniem. W sytuacji kryzysowej nie będziesz miał czasu pisać go od zera.

Krok 6: dokumentacja w rejestrze naruszeń

Każde naruszenie — niezależnie od tego, czy zgłosiłeś je do PUODO — musi trafić do wewnętrznego rejestru naruszeń. Rejestr powinien zawierać:

1. Datę i okoliczności naruszenia
2. Rodzaj naruszenia (poufność / integralność / dostępność)
3. Kategorie i liczbę osób dotkniętych
4. Skutki naruszenia
5. Podjęte działania zaradcze
6. Decyzję o zgłoszeniu/niezgłoszeniu do PUODO wraz z uzasadnieniem
7. Informację o powiadomieniu osób (jeśli dotyczy)

Brak rejestru podczas kontroli PUODO = dowód na systemowy brak zgodności z RODO. To osobne naruszenie art. 33 ust. 5 RODO.

Jak ocenić ryzyko naruszenia — metoda ENISA w uproszczeniu

Ocena ryzyka to punkt, w którym większość firm się zatrzymuje. Nie wiedzą, jak zdecydować, czy naruszenie wymaga zgłoszenia. ENISA (Agencja Unii Europejskiej ds. Cyberbezpieczeństwa) opracowała metodę, która pomaga ustrukturyzować tę ocenę.

Wzór: Waga naruszenia = KPD × PI + ON

Trzy składniki:

KPD — kontekst przetwarzania danych (bazowa wrażliwość):

Wartość bazową koryguj o ±1 punkt za okoliczności: szeroki zakres danych tej samej osoby (↑), dotyczą dzieci (↑), dane były wcześniej publicznie dostępne (↓), dane są nieaktualne (↓).

PI — prawdopodobieństwo identyfikacji osób:

ON — okoliczności naruszenia (przyrosty):

Interpretacja wyniku:

Metoda ENISA nie jest prawnie wiążąca — to narzędzie pomocnicze. Niski wynik nie oznacza automatycznie, że możesz nie zgłaszać naruszenia. Służy przede wszystkim do udokumentowania procesu decyzyjnego, co jest dowodem rozliczalności wobec PUODO.

Napisz do nas — pomożemy Ci przeprowadzić ocenę ryzyka i przygotować dokumentację zgodną z wymogami RODO.

Realne kary PUODO — czego uczy praktyka

PUODO w 2024 r. nałożył kary pieniężne w 22 sprawach. To niewiele w porównaniu z 14 842 zgłoszeniami. Ale kwoty rosną — a wzorzec decyzji jest wyraźny.

Wspólny mianownik tych decyzji:

1. We wszystkich sprawach PUODO karał za brak rzetelnej analizy ryzyka lub brak procedur reagowania — nie za samo nieznaczne przekroczenie terminu
2. Sankcje dotyczyły całkowitego zaniechania zgłoszenia, nie niekompletnego czy nieznacznie spóźnionego zgłoszenia
3. Sekwencja naruszeń (ponowne naruszenie po wcześniejszej karze) stanowiła okoliczność obciążającą — jak w sprawie Santander Bank Polska
4. Nawet małe organizacje (stowarzyszenie z Gorlic) muszą posiadać procedury i szkolić osoby przetwarzające dane

Wniosek: PUODO nie poluje na drobne opóźnienia. Karze za brak systemu — brak procedury, brak rejestru, brak oceny ryzyka, brak reakcji.

Czy Twoja firma musi mieć IOD

Obowiązek wyznaczenia Inspektora Ochrony Danych wynika z art. 37 RODO i zależy od charakteru przetwarzania, nie od liczby pracowników. Mit o progu 250 pracowników dotyczy wyłącznie obowiązku prowadzenia rejestru czynności przetwarzania (art. 30 ust. 5 RODO) — i nawet tam jest warunkowy.

Trzy przesłanki obligatoryjnego powołania IOD:

Jeśli Twoja firma nie spełnia żadnej z tych przesłanek — nie musisz formalnie powoływać IOD. Ale musisz wyznaczyć osobę odpowiedzialną za koordynację obsługi naruszeń i upewnić się, że wszyscy w organizacji wiedzą, do kogo zgłaszać incydenty.

IOD może być pracownikiem firmy lub osobą zewnętrzną (outsourcing). Nie potrzebuje umowy powierzenia przetwarzania danych — ale musi być niezależny: nie może otrzymywać instrukcji dotyczących wykonywania swoich zadań i nie może zajmować stanowiska decyzyjnego w obszarach przetwarzania danych (np. szef IT lub HR).

Naruszenia w relacjach z podwykonawcami — co musi być w umowie

Jeśli korzystasz z zewnętrznych dostawców IT, hostingu, narzędzi SaaS — każdy z nich jest potencjalnym źródłem naruszenia. Art. 33 ust. 2 RODO nakłada na procesora obowiązek powiadomienia Cię „bez zbędnej zwłoki” po stwierdzeniu naruszenia. Problem: RODO nie precyzuje konkretnego terminu liczbowego.

Co ustalić w umowie powierzenia przetwarzania:

1. Konkretny termin powiadomienia — np. 24 godziny od wykrycia zdarzenia lub podejrzenia naruszenia (w praktyce umownej stosuje się 24–48 godzin)
2. Zakres informacji, które procesor musi przekazać — wystarczający do wypełnienia przez Ciebie obowiązku z art. 33 ust. 3 RODO
3. Obowiązek współpracy przy ustalaniu okoliczności i zabezpieczaniu dowodów
4. Odpowiedzialność za opóźnienie — art. 82 RODO przewiduje odpowiedzialność solidarną administratora i procesora za szkody wynikające z naruszenia

Pamiętaj: procesor nie zgłasza naruszenia do PUODO i nie powiadamia osób — ten obowiązek spoczywa wyłącznie na Tobie jako administratorze. Jeśli Twój procesor spóźni się z powiadomieniem — Ty tracisz czas z puli 72 godzin.

Przejrzyj umowy z dostawcami IT pod tym kątem. Jeśli brakuje klauzuli dotyczącej zgłaszania naruszeń — uzupełnij ją.

Jak przygotować firmę, zanim dojdzie do incydentu

Procedura 72 godzin nie zaczyna się od momentu wycieku. Zaczyna się od zdolności Twojej firmy do wykrycia incydentu i uruchomienia reakcji. Jeśli nie masz procedury, rejestru i przeszkolonego zespołu — 72 godziny to za mało.

Checklist — co wdrożyć przed pierwszym naruszeniem:

Szkolenie nie musi trwać godzinami. 30 minut z testem potwierdzającym zapoznanie się z procedurą wystarczy — pod warunkiem, że jest powtarzane regularnie i obejmuje nowych pracowników.

Procedura naruszeń a ochrona danych w firmie — wsparcie, które możemy Ci zapewnić

Brak procedury obsługi naruszeń to nie tylko ryzyko kary PUODO. To ryzyko chaosu w momencie, gdy firma potrzebuje spokoju i precyzji. PUODO przy kontroli nie pyta tylko o to, czy zgłosiłeś naruszenie na czas — pyta, czy masz rejestr naruszeń, procedurę oceny ryzyka, przeszkolony zespół i udokumentowane decyzje.

Wspieramy firmy technologiczne, SaaS i e-commerce w uporządkowaniu ochrony danych — od audytu procesów przetwarzania, przez przygotowanie procedury obsługi naruszeń, po bieżące doradztwo przy incydentach.

Nasze wsparcie obejmuje:

1. Audyt przetwarzania danych — sprawdzamy, jak Twoja firma zbiera, przechowuje i udostępnia dane osobowe, i wskazujemy luki
2. Procedura obsługi naruszeń — tworzymy dokument dopasowany do modelu działania Twojej organizacji, z podziałem ról, ścieżką eskalacji i szablonami
3. Rejestr naruszeń i szablony — przygotowujemy gotowe do użycia narzędzia: rejestr, protokół stwierdzenia naruszenia, szablon zawiadomienia osób
4. Szkolenia dla zespołu — krótkie, praktyczne sesje dla pracowników i menedżerów, zakończone potwierdzeniem zapoznania
5. Wsparcie przy incydentach — pomagamy w ocenie ryzyka, przygotowaniu zgłoszenia do PUODO i komunikacji z osobami dotkniętymi naruszeniem
6. Outsourcing IOD — pełnimy funkcję Inspektora Ochrony Danych w modelu zewnętrznym

Jeśli Twoja firma przetwarza dane użytkowników, klientów lub pracowników — sprawdź, czy masz procedurę gotową na realny incydent. Napisz do nas — przygotujemy procedurę, rejestr i szablony zanim będziesz ich potrzebować.

Wyciek danych w firmie — podsumowanie i następne kroki

72 godziny to termin, który nie czeka na weekendy, urlopy ani wewnętrzne ustalenia. Zegar startuje, gdy ktokolwiek w firmie dowie się o naruszeniu — niezależnie od tego, czy jest to IOD, deweloper czy stażysta.

PUODO karze nie za drobne opóźnienia, lecz za brak systemu: brak procedury, brak rejestru, brak oceny ryzyka, brak reakcji. Koszt wdrożenia procedury to ułamek potencjalnej kary — i ułamek kosztów chaosu, który pojawia się, gdy naruszenie zaskakuje nieprzygotowaną organizację.

Trzy rzeczy do zrobienia teraz:

1. Sprawdź, czy masz wewnętrzną procedurę obsługi naruszeń z wyznaczoną osobą odpowiedzialną
2. Upewnij się, że rejestr naruszeń istnieje i jest gotowy do użycia
3. Zweryfikuj, czy Twoi pracownicy wiedzą, komu i jak zgłosić podejrzenie wycieku danych

Jeśli brakuje Ci któregokolwiek z tych elementów — napisz do nas. Pomożemy Ci przygotować firmę na incydent, zanim do niego dojdzie.

Najczęściej zadawane pytania

Czy moja firma (15 osób, SaaS B2B) naprawdę musi mieć formalną procedurę naruszeń?
Tak. Art. 33 ust. 5 RODO wymaga dokumentowania wszystkich naruszeń — niezależnie od wielkości firmy. Brak procedury oznacza, że w momencie incydentu nie będziesz w stanie dotrzymać terminu 72 godzin ani udokumentować oceny ryzyka. PUODO ukarał nawet małe stowarzyszenie (916,71 zł) za brak procedur i brak szkoleń. Wielkość organizacji nie zwalnia z obowiązku.

Od kiedy dokładnie liczone jest 72 godziny — od momentu gdy pracownik zauważył problem czy od momentu gdy IOD potwierdził naruszenie?
Termin biegnie od momentu, gdy administrator uzyskał dostateczną pewność co do zaistnienia naruszenia. Jeśli pracownik zgłasza podejrzenie, a IOD potwierdza je po analizie — 72 godziny biegną od momentu potwierdzenia. Ale jeśli pracownik ma wystarczające informacje, by stwierdzić naruszenie (np. widzi dane klientów opublikowane w internecie) — zegar startuje od momentu, gdy się o tym dowiedział.

Co jeśli nie jestem pewien, czy to naruszenie? Czy lepiej zgłosić „na wszelki wypadek”?
PUODO interpretuje wyjątek od zgłoszenia bardzo wąsko — „mało prawdopodobne” ryzyko oznacza sytuację graniczącą z brakiem ryzyka. Jeśli masz wątpliwości — bezpieczniej zgłosić. PUODO nie karze za zgłoszenie naruszenia, które okazało się mniej poważne niż zakładano. Karze za brak zgłoszenia, gdy zgłoszenie było wymagane.

Jakie naruszenia NIE wymagają zgłoszenia do PUODO?
Tylko te, przy których ryzyko naruszenia praw i wolności osób fizycznych jest „mało prawdopodobne” — np. zaszyfrowany laptop z aktualnym backupem danych, gdzie klucz szyfrowania nie został skompromitowany. Ale nawet takie naruszenie musisz udokumentować w wewnętrznym rejestrze naruszeń. Brak rejestru to osobne naruszenie art. 33 ust. 5 RODO.

Czy moi podwykonawcy (hosting, narzędzia SaaS) mają obowiązek mnie powiadomić o naruszeniu i w jakim czasie?
Tak — art. 33 ust. 2 RODO zobowiązuje podmiot przetwarzający do powiadomienia administratora „bez zbędnej zwłoki”. RODO nie precyzuje terminu liczbowego, dlatego warto ustalić go umownie — np. 24 godziny od wykrycia zdarzenia lub podejrzenia naruszenia. Jeśli Twoja umowa powierzenia przetwarzania nie zawiera takiej klauzuli — uzupełnij ją. Opóźnienie procesora skraca Twój czas na zgłoszenie do PUODO.

Co mi grozi za spóźnione zgłoszenie naruszenia?
PUODO może nałożyć administracyjną karę pieniężną — do 10 mln EUR lub 2% rocznego obrotu za naruszenie obowiązków organizacyjnych (art. 83 ust. 4 RODO). Za poważniejsze naruszenia — do 20 mln EUR lub 4% obrotu (art. 83 ust. 5 RODO). Dodatkowo art. 107–108 ustawy o ochronie danych osobowych przewidują sankcje karne. Dotychczasowe kary w Polsce sięgały od niespełna tysiąca złotych do 1,44 mln zł — ale łączna kwota kar rośnie rok do roku.