Wyciek danych w firmie. Co zrobić w pierwszych godzinach, żeby nie pogorszyć sytuacji.

Poniedziałek rano. Twój pracownik wysłał arkusz z danymi 2000 klientów na zły adres e-mail. IT mówi „to nie nasz problem”, marketing chce to wyciszyć, a Ty masz 72 godziny na podjęcie decyzji, która może kosztować firmę setki tysięcy złotych. Co robisz najpierw?

Naruszenie ochrony danych osobowych to zdarzenie, które może spotkać każdą firmę — od startupu SaaS po dużą organizację e-commerce. Według danych Prezesa UODO w 2024 r. wpłynęło 14 842 zgłoszeń naruszeń, a w 2025 r. już 22 435. Liczby rosną rok do roku. Największym zagrożeniem nie jest sam incydent. To brak procesu reagowania — chaos, sprzeczne decyzje, przekroczony termin zgłoszenia i niespójna dokumentacja.

W tym artykule znajdziesz konkretny plan działania na pierwsze godziny po wycieku danych lub innym naruszeniu ochrony danych osobowych. Dowiesz się, jak kwalifikować zdarzenie, kiedy zgłaszać je do UODO, kto za co odpowiada i jakich błędów unikać, żeby nie pogorszyć sytuacji.

Pojęcia, które musisz znać przed incydentem

Zanim przejdziemy do kroków, uporządkujmy terminologię. W chaosie po incydencie nie ma czasu na szukanie definicji.

Trzy wymiary naruszenia bezpieczeństwa danych to poufność, integralność i dostępność. Naruszenie to nie tylko „wyciek” — to także nieuprawniona zmiana danych (integralność) lub utrata dostępu do nich (dostępność). System zewnętrznego dostawcy, który przestaje działać i blokuje dostęp do danych klientów na kilka godzin, może stanowić naruszenie dostępności w rozumieniu RODO.

Jak odróżnić incydent bezpieczeństwa od naruszenia danych osobowych

Nie każda nieprawidłowość z danymi to naruszenie wymagające zgłoszenia do UODO. Ale każda wymaga oceny i udokumentowania. To rozróżnienie ma bezpośredni wpływ na Twoje obowiązki.

Naruszenie ochrony danych osobowych w rozumieniu art. 4 pkt 12 RODO ma charakter materialny — wymaga faktycznego naruszenia bezpieczeństwa prowadzącego do jednego z pięciu skutków: zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych. Nieprawidłowa klauzula informacyjna na stronie internetowej to naruszenie przepisów RODO, ale nie naruszenie ochrony danych w tym rozumieniu.

Obowiązek zgłoszenia do UODO powstaje, gdy naruszenie może powodować ryzyko naruszenia praw lub wolności osób fizycznych — i to ryzyko jest wyższe niż „małe”. UODO i EROD interpretują tę przesłankę restrykcyjnie: brak realnych szans na szkodę musi być wykazany, a nie jedynie zakładany. Jeśli masz wątpliwości — bezpieczniej jest zgłosić.

Pierwsze 72 godziny po naruszeniu danych — krok po kroku

Termin 72 godzin na zgłoszenie naruszenia do Prezesa UODO (art. 33 ust. 1 RODO) biegnie od momentu stwierdzenia naruszenia — nie od momentu jego technicznego wystąpienia. Według Wytycznych EROD 9/2022 administrator „staje się świadomy naruszenia”, gdy uzyska „rozsądny stopień pewności” (reasonable degree of certainty), że doszło do incydentu bezpieczeństwa prowadzącego do naruszenia ochrony danych.

To nie znaczy, że możesz czekać. Pierwszy sygnał o incydencie obliguje do wszczęcia postępowania wyjaśniającego. Nie możesz uzależniać „stwierdzenia” od zakończenia pełnego audytu bezpieczeństwa. Termin 72 godzin jest ciągły — obejmuje weekendy i święta.

Godziny 0–6: zabezpieczenie i wstępna ocena

1. Zabezpiecz dowody. Zanim cokolwiek naprawisz, udokumentuj stan faktyczny — logi, screeny, komunikację. Brak dokumentacji może być traktowany jako odrębne naruszenie zasady rozliczalności (art. 5 ust. 2 RODO).
2. Powołaj zespół reagowania. Wyznacz jedną osobę koordynującą (Incident Response Lead), która spina IT, compliance, komunikację i zarząd w jeden proces decyzyjny. W organizacji po incydencie IT bada przyczynę techniczną, biznes chce ograniczyć skutki wizerunkowe, compliance oczekuje formalnej analizy — bez koordynatora te działania będą sprzeczne.
3. Zbierz fakty. Ustal: jakie dane zostały naruszone, ile osób dotyczy zdarzenie, jaki jest charakter naruszenia (poufność, integralność, dostępność), kto miał lub mógł mieć dostęp do danych.
4. Ogranicz skutki. Zablokuj konta, zmień hasła, odetnij dostęp — ale nie usuwaj śladów incydentu.

Godziny 6–24: kwalifikacja i decyzja

1. Przeprowadź ocenę ryzyka dla osób. Weź pod uwagę: rodzaj danych (dane szczególnych kategorii z art. 9 RODO niemal zawsze generują wysokie ryzyko), liczbę osób, łatwość identyfikacji, zastosowane środki bezpieczeństwa (np. szyfrowanie), możliwość dalszego rozpowszechnienia.
2. Podejmij decyzję o zgłoszeniu. Jeśli ryzyko jest wyższe niż „małe” — zgłoś. Jeśli masz wątpliwości — zgłoś. RODO dopuszcza zgłoszenia wstępne (art. 33 ust. 4) — nie musisz czekać na pełne wyjaśnienie incydentu.
3. Oceń, czy trzeba zawiadomić osoby. Próg jest wyższy niż dla zgłoszenia do UODO — zawiadomienie wymagane jest przy wysokim ryzyku naruszenia praw lub wolności osób fizycznych (art. 34 ust. 1 RODO).
4. Udokumentuj decyzję i jej uzasadnienie. Nawet jeśli zdecydujesz, że zgłoszenie nie jest wymagane — udokumentuj dlaczego. Art. 33 ust. 5 RODO nakłada obowiązek dokumentowania wszelkich naruszeń, niezależnie od decyzji o zgłoszeniu.

Godziny 24–72: zgłoszenie i komunikacja

1. Przygotuj zgłoszenie do UODO. Musi zawierać: opis charakteru naruszenia z kategoriami i przybliżoną liczbą osób, dane kontaktowe IOD lub punktu kontaktowego, opis możliwych konsekwencji, opis środków zastosowanych lub proponowanych.
2. Złóż zgłoszenie elektronicznie. Jeśli nie dysponujesz wszystkimi informacjami — zaznacz pole „Zgłoszenie wstępne” i uzupełniaj sukcesywnie.
3. Przygotuj komunikację do osób dotkniętych naruszeniem (jeśli wymagana). Jasny, prosty język. Bez paniki, ale bez bagatelizowania. Uwzględnij zalecenia: zmiana haseł, zastrzeżenie dokumentów, monitorowanie rachunków.
4. Poinformuj zarząd o podjętych działaniach, statusie zgłoszenia i kolejnych krokach.

Skontaktuj się z nami, jeśli potrzebujesz wsparcia przy kwalifikacji zdarzenia lub przygotowaniu zgłoszenia do UODO.

Kto za co odpowiada — administrator, procesor, zarząd

W chaosie po incydencie często pojawia się pytanie: „czy to nasz problem, czy naszego dostawcy?”. Odpowiedź jest jednoznaczna: to administrator odpowiada za zgłoszenie do UODO — nawet gdy naruszenie nastąpiło po stronie podmiotu przetwarzającego.

Gdy naruszenie następuje po stronie procesora

Procesor (np. dostawca chmury, CRM, marketing automation) ma obowiązek niezwłocznie poinformować administratora o naruszeniu. Termin 72 godzin dla administratora biegnie od chwili, gdy sam administrator uzyska wystarczające informacje — nie od momentu, gdy procesor wykrył problem.

Sprawdź swoje umowy powierzenia przetwarzania:

1. Czy umowa precyzuje termin, w jakim procesor informuje Cię o naruszeniu?
2. Jakie informacje procesor musi Ci przekazać?
3. Kto odpowiada za zgłoszenie do UODO — i czy to jest jasno zapisane?

Jeśli umowa milczy na te tematy — zaktualizuj ją, zanim pojawi się incydent.

Odpowiedzialność osobista zarządu

W polskiej praktyce brak orzeczeń nakładających kary administracyjne bezpośrednio na członków zarządu za błędy w obsłudze naruszeń. Kary UODO kierowane są do podmiotów zbiorowych (administratorów). Niemniej art. 107 ustawy o ochronie danych osobowych przewiduje odpowiedzialność karną osób fizycznych za udaremnianie lub utrudnianie kontroli. A art. 82 RODO otwiera drogę do roszczeń odszkodowawczych ze strony osób, których dane dotyczą.

Decyzja UODO DKN.5131.7.2025 dotyczyła sytuacji, w której prezes zarządu pełnił równocześnie funkcję IOD — organ uznał to za konflikt interesów i nałożył karę 11 365 zł na spółkę. Choć kara trafiła na podmiot, to właśnie decyzje zarządu o organizacji ochrony danych stały za naruszeniem.

Trzy wyjątki, które zwalniają z zawiadomienia osób

Nawet jeśli naruszenie niesie wysokie ryzyko, RODO przewiduje trzy sytuacje, w których nie musisz zawiadamiać osób (art. 34 ust. 3):

Uwaga: każdy z tych wyjątków wymaga obiektywnych dowodów, nie samego przypuszczenia. Prezes UODO może zażądać zawiadomienia osób, jeśli uzna, że warunki zwalniające nie zostały spełnione (art. 34 ust. 4 RODO).

Ile kosztuje błędna reakcja na wyciek danych

Kary UODO za niezgłoszenie naruszenia lub niezawiadomienie osób nie są abstrakcyjne. Poniżej konkretne decyzje z polskiej praktyki:

Maksymalny pułap kary z art. 83 ust. 4 RODO to 10 mln EUR lub 2% rocznego obrotu — stosuje się wyższą z kwot. Dla jednostek sektora finansów publicznych art. 102 ustawy o ochronie danych osobowych ogranicza karę do 100 000 zł.

Czynniki, które zaostrzają karę: powtarzające się naruszenia, brak współpracy z organem, umyślność. Czynniki łagodzące: samodzielne zgłoszenie naruszenia, szybkie podjęcie działań minimalizujących szkodę, współpraca z UODO. Proaktywne zgłoszenie i transparentne działanie to nie tylko obowiązek — to sposób na ograniczenie ryzyka finansowego.

Globalne dane IBM wskazują, że średni koszt incydentu związanego z naruszeniem danych to ok. 4,88 mln USD (dane za 2024 r.), a średni czas identyfikacji i powstrzymania naruszenia wynosi ok. 258 dni. Porównywalne dane liczbowe dla Polski nie są publicznie dostępne, ale skala problemu rośnie — CERT Polska odnotował 600 990 zgłoszeń w 2024 r.

Czego nie robić w pierwszych godzinach po wycieku danych

Największym ryzykiem po incydencie jest zwłoka, chaos i niespójność działań — nie sam incydent. Oto najczęstsze błędy:

1. Nie czekaj na pełne wyjaśnienie, żeby zgłosić. RODO dopuszcza zgłoszenia wstępne. Czekanie na raport IT może oznaczać przekroczenie terminu 72 godzin.
2. Nie usuwaj śladów incydentu. Naprawianie systemu bez zabezpieczenia dowodów utrudni Ci obronę przed UODO i uniemożliwi analizę przyczyn.
3. Nie wyciszaj tematu wewnętrznie. Brak komunikacji do zarządu, HR czy działu prawnego generuje sprzeczne decyzje. Wyznacz jednego koordynatora.
4. Nie informuj osób dotkniętych naruszeniem bez przygotowania. Chaotyczna komunikacja może wywołać panikę i eskalację medialną. Przygotuj treść zawiadomienia z uwzględnieniem zaleceń dla osób (zmiana haseł, zastrzeżenie dokumentów).
5. Nie zakładaj, że „to nie nasz problem, bo naruszenie było u dostawcy”. To administrator odpowiada za zgłoszenie do UODO — niezależnie od tego, po czyjej stronie wystąpił incydent.
6. Nie pomijaj dokumentowania. Art. 33 ust. 5 RODO wymaga dokumentowania wszelkich naruszeń. Brak dokumentacji to odrębne naruszenie zasady rozliczalności.

Jak przygotować firmę, zanim pojawi się incydent

Reagowanie na naruszenie danych osobowych to proces, który powinien być zaprojektowany przed incydentem. Firmy, które mają wdrożone procedury, reagują szybciej, popełniają mniej błędów i ponoszą niższe koszty.

1. Opracuj wewnętrzną procedurę reagowania na incydenty. Określ: kto kwalifikuje zdarzenie, kto koordynuje działania, jakie są kanały eskalacji do zarządu, jaki jest szablon pierwszej oceny.
2. Przygotuj szablony dokumentów. Formularz zgłoszenia naruszenia do UODO, szablon zawiadomienia osób, formularz wewnętrznej dokumentacji incydentu (rejestr naruszeń).
3. Wyznacz Incident Response Lead. Jedna osoba, która spina IT, compliance, komunikację i zarząd. Bez niej każdy dział działa osobno — i podejmuje sprzeczne decyzje.
4. Zweryfikuj umowy powierzenia przetwarzania. Sprawdź, w jakim terminie procesor informuje Cię o naruszeniu, jakie informacje musi przekazać i kto odpowiada za zgłoszenie do UODO.
5. Przeszkol zarząd i menedżerów. Jak rozpoznać naruszenie, jakie decyzje muszą podjąć i w jakim czasie, czego NIE robić w pierwszych godzinach.
6. Zrób przegląd dotychczasowych incydentów i near-missów. Sprawdź, czy zostały prawidłowo udokumentowane i czy wyciągnięto z nich wnioski.
7. Nawiąż współpracę z kancelarią w modelu „on-call”. Umów się na tryb szybkiego kontaktu na wypadek incydentu — zanim incydent się wydarzy.

Jak możemy pomóc Twojej firmie przy naruszeniu danych

Obsługa naruszenia danych osobowych wymaga jednoczesnej pracy na kilku poziomach: prawnym, technicznym, komunikacyjnym i organizacyjnym. W pierwszych godzinach po incydencie liczy się czas, koordynacja i trafna kwalifikacja zdarzenia.

Wspieramy firmy technologiczne, SaaS, e-commerce i startupy w dwóch modelach:

Reagowanie na incydent (incident response):

1. Kwalifikacja zdarzenia — ocena, czy stanowi naruszenie w rozumieniu RODO i czy wymaga zgłoszenia
2. Przygotowanie zgłoszenia do Prezesa UODO (w tym zgłoszeń wstępnych)
3. Ocena, czy wymagane jest zawiadomienie osób — i przygotowanie treści zawiadomienia
4. Koordynacja komunikacji wewnętrznej i zewnętrznej
5. Dokumentacja przebiegu incydentu i podjętych decyzji
6. Wsparcie w kontaktach z UODO po złożeniu zgłoszenia

Przygotowanie firmy na incydent (readiness):

1. Opracowanie procedury reagowania na naruszenia danych osobowych
2. Przygotowanie szablonów dokumentów (zgłoszenie, zawiadomienie, rejestr naruszeń)
3. Audyt umów powierzenia przetwarzania pod kątem obowiązków notyfikacyjnych
4. Szkolenie zarządu i menedżerów z zakresu rozpoznawania naruszeń i podejmowania decyzji
5. Przegląd dotychczasowych incydentów i near-missów

Napisz do nas, żeby umówić rozmowę o gotowości Twojej firmy na incydent danych — zanim incydent się wydarzy.

Wyciek danych w firmie — zacznij od procesu, nie od paniki

Naruszenie ochrony danych osobowych może spotkać każdą firmę. Różnica między firmą, która wychodzi z incydentu z ograniczonymi stratami, a firmą, która pogarsza swoją sytuację — leży w przygotowaniu.

Trzy rzeczy do zapamiętania:

1. 72 godziny to termin na zgłoszenie do UODO — ale obowiązek działania „bez zbędnej zwłoki” oznacza, że liczy się każda godzina.
2. Zgłoszenie wstępne pozwala dotrzymać terminu nawet przy niepełnych danych — nie czekaj na zakończenie analizy.
3. Dokumentowanie jest obowiązkowe niezależnie od decyzji o zgłoszeniu — i stanowi Twoją linię obrony przed organem nadzorczym.

Jeśli chcesz uporządkować procedury reagowania na naruszenia w Twojej firmie lub potrzebujesz wsparcia przy trwającym incydencie — napisz do nas.

Najczęściej zadawane pytania

Skąd mam wiedzieć, czy to co się wydarzyło to naruszenie wymagające zgłoszenia, czy tylko incydent bezpieczeństwa?

Naruszenie ochrony danych osobowych w rozumieniu art. 4 pkt 12 RODO to zdarzenie prowadzące do zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub dostępu do danych osobowych. Obowiązek zgłoszenia do UODO powstaje, gdy takie naruszenie może powodować ryzyko naruszenia praw lub wolności osób fizycznych — i to ryzyko jest wyższe niż „małe”. UODO interpretuje tę przesłankę restrykcyjnie: jeśli nie możesz wykazać, że ryzyko jest znikome — zgłoś. Każde naruszenie, niezależnie od decyzji o zgłoszeniu, musisz udokumentować (art. 33 ust. 5 RODO).

Od kiedy liczyć 72 godziny na zgłoszenie do UODO?

Termin biegnie od momentu stwierdzenia naruszenia przez administratora — nie od momentu jego technicznego wystąpienia. Według Wytycznych EROD 9/2022 chodzi o chwilę, gdy administrator uzyska „rozsądny stopień pewności”, że doszło do incydentu prowadzącego do naruszenia danych. Nie musisz czekać na zakończenie pełnej analizy — ale nie możesz też celowo opóźniać stwierdzenia. Termin jest ciągły (weekendy i święta się liczą). Zgłoszenie po upływie 72 godzin wymaga dołączenia wyjaśnienia przyczyn opóźnienia.

Co jeśli nasz dostawca IT (procesor) miał naruszenie — czy to my musimy zgłaszać do UODO?

Tak. Art. 33 ust. 2 RODO nakłada na podmiot przetwarzający obowiązek niezwłocznego poinformowania administratora o naruszeniu. Ale to administrator — nie procesor — odpowiada za zgłoszenie do organu nadzorczego i za kwalifikację zdarzenia. Termin 72 godzin dla administratora biegnie od chwili, gdy sam administrator uzyska wystarczające informacje od procesora. Sprawdź, czy Twoja umowa powierzenia precyzuje termin i zakres raportowania naruszeń przez dostawcę.

Czy muszę informować klientów o naruszeniu, jeśli dane nie były szczególnie wrażliwe?

Obowiązek zawiadomienia osób (art. 34 ust. 1 RODO) powstaje, gdy naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności — to wyższy próg niż dla zgłoszenia do UODO. Oceniasz: rodzaj danych, liczbę osób, łatwość identyfikacji, możliwość dalszego rozpowszechnienia i potencjalne szkody. Nawet dane „zwykłe” (imię, e-mail, adres) mogą generować wysokie ryzyko, jeśli np. ułatwiają kradzież tożsamości. Trzy wyjątki zwalniające: skuteczne szyfrowanie, eliminacja ryzyka po incydencie, niewspółmierny wysiłek (wtedy publiczny komunikat).

Co grozi firmie za niezgłoszenie naruszenia?

Kara administracyjna do 10 mln EUR lub 2% rocznego obrotu (art. 83 ust. 4 RODO). W polskiej praktyce UODO nakładał kary od kilku do kilkuset tysięcy złotych — np. 282 960 zł za powtarzające się naruszenie (DKN.5131.6.2023), 250 000 zł za przekroczenie sektorowego terminu 24 godzin (P4 sp. z o.o.), 85 000 zł wobec Prokuratury Krajowej. Kary za art. 33 i art. 34 mogą być wymierzane osobno i kumulowane. Czynniki łagodzące: samodzielne zgłoszenie, szybkie działania naprawcze, współpraca z organem.

Jak opisać zdarzenie w zgłoszeniu do UODO, żeby nie zaszkodzić sobie?

Zgłoszenie musi zawierać rzetelny opis: charakter naruszenia, kategorie i przybliżoną liczbę osób, dane kontaktowe IOD, opis możliwych konsekwencji i zastosowanych środków. Nie zatajaj faktów — ale opisuj zdarzenie precyzyjnie, bez spekulacji. Skorzystaj z możliwości zgłoszenia wstępnego (art. 33 ust. 4 RODO): przekaż to, co wiesz, i uzupełniaj sukcesywnie. Proaktywna współpraca z organem jest czynnikiem łagodzącym przy wymiarze kary (art. 83 ust. 2 RODO). Jeśli nie masz doświadczenia w formułowaniu zgłoszeń — skonsultuj treść z prawnikiem przed wysłaniem.