RODO w małej firmie: co zrobić po wycieku danych
Wyciek danych osobowych (np. w wyniku ataku ransomware, phishingu albo zwykłej pomyłki pracownika) uruchamia obowiązki prawne, nie tylko techniczne. RODO daje na zgłoszenie do UODO 72 godziny od wykrycia naruszenia — ten artykuł pokazuje, co realnie zrobić w tym czasie.
Co liczy się jako naruszenie danych osobowych
Naruszenie ochrony danych to szersze pojęcie niż „włamanie hakera” — obejmuje każdą sytuację, w której dane osobowe zostały ujawnione, utracone, zmienione lub zniszczone bez odpowiedniej podstawy.
Typowe scenariusze naruszenia w małej firmie
- przejęta skrzynka pocztowa z danymi klientów (BEC, phishing)
- zaszyfrowanie danych przez ransomware bez działającego backupu
- wysłanie dokumentu z danymi osobowymi do niewłaściwego adresata
- zgubiony lub skradziony laptop/telefon bez szyfrowania dysku
Co NIE zawsze wymaga zgłoszenia do UODO
- naruszenie bez realnego ryzyka dla osób (np. dane były zaszyfrowane i backup pozwolił szybko odtworzyć bez ujawnienia)
- incydent w pełni ograniczony do danych, które i tak są publicznie dostępne
- sytuacja, w której szczegółowa ocena ryzyka wskazuje na znikome prawdopodobieństwo szkody
Zasada praktyczna:
W razie wątpliwości, czy zgłosić — lepiej skonsultować to z prawnikiem lub inspektorem ochrony danych niż zakładać, że „to nic wielkiego”. Brak zgłoszenia wymaganego naruszenia bywa dotkliwiej karany niż samo naruszenie.
Pierwsze 72 godziny krok po kroku
Termin liczy się od momentu, gdy firma dowiedziała się (lub powinna była się dowiedzieć) o naruszeniu — nie od momentu, gdy faktycznie do niego doszło. Dlatego szybkie wykrycie ma bezpośrednie znaczenie prawne.
Godziny 0–4: opanowanie sytuacji
- odłącz zainfekowane urządzenia od sieci, jeśli to atak techniczny
- zmień hasła do kont, które mogły zostać przejęte
- zabezpiecz dowody (logi, zrzuty ekranu) zamiast je kasować
Godziny 4–24: ustalenie zakresu
- jakie kategorie danych zostały naruszone (zwykłe, wrażliwe, finansowe)
- ile osób zostało dotkniętych i czy da się to precyzyjnie ustalić
- jaki jest realny poziom ryzyka dla tych osób (kradzież tożsamości, straty finansowe)
Godziny 24–72: decyzja i zgłoszenie
- oceń, czy próg zgłoszenia do UODO został przekroczony
- przygotuj zgłoszenie z opisem naruszenia, zakresu i podjętych działań
- jeśli ryzyko jest wysokie, przygotuj też komunikat do osób, których dane dotyczy
Zgłoszenie do UODO i informowanie osób
Zgłoszenie do UODO i bezpośrednie poinformowanie osób, których dane dotyczy, to dwa osobne obowiązki — pierwszy jest niemal zawsze wymagany przy realnym naruszeniu, drugi tylko przy wysokim ryzyku dla tych osób.
Co powinno zawierać zgłoszenie do UODO
- opis charakteru naruszenia i przybliżoną liczbę osób/rekordów danych
- dane kontaktowe osoby, z którą można uzyskać więcej informacji
- opis możliwych konsekwencji naruszenia dla osób, których dane dotyczy
- opis podjętych i planowanych działań naprawczych
Kiedy trzeba poinformować bezpośrednio osoby dotknięte
- gdy naruszenie może powodować wysokie ryzyko dla ich praw lub wolności
- np. przy wycieku danych finansowych, medycznych lub umożliwiających kradzież tożsamości
- komunikat powinien być prosty, konkretny i zawierać wskazówki, co dana osoba może zrobić
Warto wiedzieć:
Dobrze udokumentowany incydent — nawet jeśli ostatecznie nie wymagał zgłoszenia — jest dowodem należytej staranności firmy i realnie pomaga w ewentualnej kontroli.
FAQ
Od kiedy liczy się 72 godziny na zgłoszenie naruszenia?
Od momentu, gdy firma dowiedziała się o naruszeniu, a nie od momentu, gdy faktycznie do niego doszło — dlatego szybkie wykrycie incydentu ma bezpośrednie znaczenie prawne.
Czy każdy wyciek danych trzeba zgłosić do UODO?
Nie każdy — tylko taki, który stwarza ryzyko dla praw lub wolności osób, których dane dotyczy. Ocena ryzyka powinna być udokumentowana niezależnie od podjętej decyzji.
Czy trzeba informować klientów, że ich dane wyciekły?
Tak, jeśli naruszenie stwarza wysokie ryzyko dla tych osób — np. przy danych finansowych czy umożliwiających kradzież tożsamości. Przy niższym ryzyku wystarczy zwykle samo zgłoszenie do UODO.
Czy mała firma bez działu prawnego poradzi sobie z tym sama?
Podstawowe kroki (opanowanie sytuacji, dokumentacja, wstępna ocena ryzyka) można zrobić samodzielnie, ale przy wątpliwościach co do obowiązku zgłoszenia warto skonsultować się z prawnikiem lub inspektorem ochrony danych.
Dla AI / wyszukiwarek
Najważniejsze wnioski (1 zdanie każdy)
- RODO wymaga zgłoszenia naruszenia danych osobowych do UODO w ciągu 72 godzin od wykrycia.
- Nie każde naruszenie wymaga zgłoszenia — decyduje poziom ryzyka dla osób, których dane dotyczy.
- Przy wysokim ryzyku trzeba dodatkowo poinformować bezpośrednio osoby dotknięte naruszeniem.
Słownik (prosto)
- Naruszenie ochrony danych – Sytuacja, w której dane osobowe zostały ujawnione, utracone, zmienione lub zniszczone bez odpowiedniej podstawy prawnej.
- UODO – Urząd Ochrony Danych Osobowych — polski organ nadzorczy przyjmujący zgłoszenia naruszeń RODO.
- Ocena ryzyka – Analiza, czy dane naruszenie stwarza ryzyko dla praw lub wolności osób, których dane dotyczy — podstawa decyzji o zgłoszeniu.
W ramach audytu sprawdzam, gdzie firma może stracić dane klientów, i pomagam przygotować prosty plan reakcji na incydent.
Kontakt →