Zgłoszenie naruszenia do UODO: formularz i 72 godziny

Naruszenie ochrony danych osobowych administrator zgłasza Prezesowi UODO bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia. Zgłoszenia dokonuje się przez elektroniczny formularz na platformie biznes.gov.pl. Zgłoszenia nie trzeba składać tylko wtedy, gdy naruszenie raczej nie powoduje ryzyka dla praw lub wolności osób. Stan na październik 2026.

Poniżej: od kiedy liczą się godziny, co ocenić przed zgłoszeniem, jakie informacje przygotować i czym zgłoszenie do UODO różni się od zawiadomienia osób, których dane wyciekły.

Podstawa prawna i kto musi zgłaszać

Obowiązek wynika z art. 33 RODO. Ciąży na administratorze danych, czyli firmie lub instytucji, która decyduje o celach i sposobach przetwarzania. Podmiot przetwarzający (np. dostawca chmury albo software house, który hostuje aplikację klienta) sam nie zgłasza naruszenia do UODO. Ma natomiast obowiązek poinformować administratora bez zbędnej zwłoki, gdy tylko o incydencie się dowie.

Formularz UODO jest przeznaczony wyłącznie dla administratorów. Szczegóły i wzory formularzy opisuje urząd na stronie Zgłoszenie naruszenia ochrony danych.

Co jest naruszeniem ochrony danych

Definicja z art. 4 pkt 12 RODO jest szeroka. To nie tylko włamanie i wyciek. Naruszeniem jest każde zdarzenie, które prowadzi do przypadkowego lub bezprawnego zniszczenia, utraty, zmodyfikowania, nieuprawnionego ujawnienia lub dostępu do danych osobowych. Wytyczne Europejskiej Rady Ochrony Danych (EROD 9/2022) porządkują to na trzy rodzaje:

naruszenie poufności – ktoś nieuprawniony zobaczył lub pobrał dane (wyciek bazy, mail wysłany do złego adresata, zgubiony niezaszyfrowany laptop),
naruszenie integralności – dane zostały zmienione bez uprawnień,
naruszenie dostępności – dane przepadły lub chwilowo są niedostępne, np. po ataku ransomware albo skasowaniu kopii.

Jedno zdarzenie może łączyć kilka typów naraz. Atak szyfrujący bazę klientów to zwykle dostępność, a często także poufność, jeśli napastnik wcześniej skopiował pliki.

Od kiedy liczy się 72 godziny

Termin biegnie od momentu, w którym administrator „stwierdził” naruszenie, czyli zyskał uzasadnioną pewność, że doszło do incydentu z udziałem danych osobowych. Nie od chwili, gdy atak faktycznie się zaczął, ani nie od końca analizy powłamaniowej. Krótki czas na wstępne sprawdzenie, czy alarm jest prawdziwy, jest dopuszczalny, ale trzeba go prowadzić bez zwłoki.

Praktyczne konsekwencje dla działów IT:

godziny liczą się w kalendarzu, więc weekendy i święta nie przedłużają terminu,
jeśli podmiot przetwarzający powiadomi administratora dopiero po kilku dniach, to i tak liczy się moment, w którym informacja dotarła do administratora, ale umowa powierzenia powinna wymagać szybkiego alarmu,
spóźnione zgłoszenie nie jest zamknięte: trzeba je złożyć i wyjaśnić w nim przyczyny opóźnienia.

Kiedy zgłoszenia nie trzeba składać

Art. 33 ust. 1 RODO zwalnia ze zgłoszenia, jeśli jest mało prawdopodobne, by naruszenie skutkowało ryzykiem dla praw lub wolności osób fizycznych. Typowy przykład to utrata urządzenia, na którym dane były skutecznie zaszyfrowane, a klucz pozostał bezpieczny. Warto jednak pamiętać o dwóch rzeczach.

Decyzja „nie zgłaszamy” musi opierać się na rzetelnej ocenie ryzyka: jakie dane, ilu ludzi, czy dane są czytelne dla osoby trzeciej, jakie mogą być skutki (kradzież tożsamości, oszustwo, dyskryminacja, strata finansowa).
Ocenę najlepiej spisać. Wytyczne EROD podkreślają zasadę rozliczalności, więc w razie kontroli firma powinna umieć wykazać, dlaczego uznała ryzyko za niskie.

W razie wątpliwości bezpieczniej złożyć zgłoszenie niż zakładać, że wszystko jest w porządku.

Jak zgłosić naruszenie do UODO krok po kroku

Według informacji urzędu głównym kanałem jest dedykowany formularz na platformie biznes.gov.pl, który odwzorowuje formularz dostępny do pobrania na stronie UODO. Na stronie tej instytucji są też pliki formularza w formacie DOCX i DOC; przydają się do przygotowania treści z wyprzedzeniem, zanim ktoś wklei ją w wersję elektroniczną. Infolinia UODO (606 950 000, dni robocze, 10:00–14:00) służy do pytań, a nie do przyjmowania zgłoszeń.

Zabezpiecz incydent. Odetnij dostęp, zmień hasła i klucze, zabezpiecz logi. Zgłoszenie nie zastępuje działań naprawczych.
Zapisz moment stwierdzenia. Data i godzina powinny być w notatce incydentu, bo od nich liczysz termin.
Zbierz fakty. Co się stało, kiedy, jakie systemy, jakie kategorie danych (np. imię, nazwisko, PESEL, adres e-mail, dane logowania, dane zdrowotne).
Oszacuj skalę. Przybliżona liczba osób i rekordów; art. 33 ust. 3 mówi o „w przybliżeniu”, więc nie czekaj na dokładne liczby.
Oceń ryzyko i skutki. Opisz prawdopodobne konsekwencje dla osób.
Wskaż kontakt. Dane inspektora ochrony danych (IOD) albo innej osoby, która udzieli informacji.
Opisz środki. Co już zrobiono i co planujecie, by ograniczyć skutki.
Wypełnij i wyślij formularz na biznes.gov.pl.

Zgłoszenie wstępne i uzupełniające

Jeśli nie masz jeszcze kompletu informacji, RODO pozwala przekazywać je etapami, bez dalszej zbędnej zwłoki (art. 33 ust. 4). Sensowna praktyka: złożyć zgłoszenie w terminie na podstawie tego, co wiadomo, a następnie je uzupełnić po zakończeniu analizy. Nie ma sensu czekać z wysyłką na pełny raport, jeśli doba zbliża się do końca.

Naruszenia obejmujące kilka krajów

Gdy incydent dotyczy osób z różnych państw UE, wiodącym organem nadzorczym nie musi być Prezes UODO. UODO zaznacza, że administrator powinien samodzielnie ustalić, czy to polski urząd, czy organ z innego kraju pełni tę rolę dla danego przetwarzania.

Zawiadomienie osób, których dane wyciekły

To osobny obowiązek z art. 34 RODO. Gdy naruszenie może powodować wysokie ryzyko dla praw i wolności osób, administrator zawiadamia je bez zbędnej zwłoki, prostym i jasnym językiem. Komunikat ma opisywać charakter naruszenia, podawać kontakt do IOD lub innej osoby, wskazywać prawdopodobne skutki i środki zastosowane przez firmę.

Zawiadomienia można uniknąć między innymi wtedy, gdy dane były skutecznie zaszyfrowane, gdy późniejsze działania wyeliminowały wysokie ryzyko albo gdy indywidualne powiadomienia wymagałyby niewspółmiernie dużego wysiłku (wtedy stosuje się publiczny komunikat). Jeśli administrator osób nie powiadomi, UODO może go do tego zobowiązać.

Osoby, które dostały takie zawiadomienie, mogą zabezpieczyć konto lub zastrzec dokument; zob. jak sprawdzić, czy moje dane wyciekły oraz zastrzeganie i cofanie zastrzeżenia PESEL.

Rejestr naruszeń: obowiązek także przy braku zgłoszenia

Art. 33 ust. 5 RODO wymaga dokumentowania każdego naruszenia, także tego, którego do UODO nie zgłoszono. Wpis powinien zawierać okoliczności, skutki i podjęte działania naprawcze. Rejestr pozwala organowi sprawdzić, czy firma stosuje przepisy. Dla zespołu IT oznacza to prosty nawyk: każdy incydent z danymi osobowymi dostaje numer, opis i decyzję z uzasadnieniem.

Typowe błędy firm

Czekanie na pełną wiedzę. Termin biegnie, a RODO przewiduje zgłoszenie etapowe.
Brak ustalonej osoby decyzyjnej. W weekend nikt nie wie, kto zatwierdza zgłoszenie.
Mylenie dwóch obowiązków. Zgłoszenie do UODO i zawiadomienie osób mają różne progi ryzyka.
Brak pisemnej oceny ryzyka przy decyzji o niezgłaszaniu.
Umowy z dostawcami bez terminu alarmu. Procesor powinien mieć jasny obowiązek szybkiego powiadomienia.
Pominięcie innych ścieżek. Podmioty objęte ustawą o krajowym systemie cyberbezpieczeństwa mają osobny obowiązek zgłaszania poważnych incydentów do właściwego CSIRT. To nie zastępuje zgłoszenia do UODO; zakres sprawdź w aktualnych przepisach.

Więcej poradników dla zespołów i działów bezpieczeństwa znajdziesz w Poradnikach, w kategorii Technologie oraz w dziale Firmy. Podejrzany SMS lub phishing zgłasza się inną drogą: numer 8080 i CERT Polska.

Tekst ma charakter informacyjny i nie jest poradą prawną. Przy poważnym incydencie warto skonsultować się z IOD lub prawnikiem.

Najczęściej zadawane pytania

Ile mam czasu na zgłoszenie naruszenia do UODO?

Bez zbędnej zwłoki, w miarę możliwości do 72 godzin od stwierdzenia naruszenia. Po terminie zgłoszenie też trzeba złożyć, wraz z uzasadnieniem opóźnienia.

Gdzie znajdę formularz zgłoszenia naruszenia do UODO?

Administratorzy składają go elektronicznie na platformie biznes.gov.pl. Wzory formularza do pobrania udostępnia też strona uodo.gov.pl w sekcji zgłoszenia naruszenia ochrony danych.

Czy każde naruszenie trzeba zgłaszać?

Nie, jeśli jest mało prawdopodobne, że naruszenie spowoduje ryzyko dla osób. Każde naruszenie trzeba jednak wpisać do wewnętrznej dokumentacji, a decyzję o braku zgłoszenia warto uzasadnić na piśmie.

Czy muszę powiadomić osoby, których dane wyciekły?

Tak, gdy naruszenie może powodować wysokie ryzyko dla ich praw i wolności, chyba że zachodzi jeden z wyjątków z art. 34 ust. 3 RODO, np. skuteczne szyfrowanie danych.

Czy mogę zgłosić naruszenie bez pełnych informacji?

Tak. RODO dopuszcza przekazywanie informacji etapami, bez dalszej zbędnej zwłoki, więc zgłoszenie wstępne uzupełnia się później.