Wyciek danych: co zrobić po naruszeniu i kiedy trzeba zgłosić je do UODO
Wyciek danych nie zawsze oznacza atak hakerski. Naruszenie ochrony danych osobowych może powstać także po wysłaniu dokumentu niewłaściwej osobie, utracie nośnika, błędnym udostępnieniu folderu albo zaszyfrowaniu jedynej kopii danych przez ransomware.
Jeżeli zdarzenie może powodować ryzyko dla praw lub wolności osób, administrator zgłasza je UODO bez zbędnej zwłoki, w miarę możliwości nie później niż 72 godziny od stwierdzenia naruszenia. Przy wysokim ryzyku trzeba również poinformować osoby, których dane dotyczą.
Wyciek danych osobowych – co właściwie oznacza dla firmy
RODO używa pojęcia szerszego niż potoczny wyciek danych. Naruszenie może dotyczyć:
- poufności – dane poznaje osoba nieuprawniona;
- integralności – dane zostają nieuprawnienie zmienione;
- dostępności – administrator traci do nich dostęp.
W praktyce może to być przejęcie CRM, ransomware, skradziony niezabezpieczony laptop, wiadomość wysłana pod zły adres, ujawnienie odbiorców przez CC zamiast UDW czy publicznie dostępny katalog z dokumentami.
Nie każdy incydent IT jest jednak naruszeniem RODO. Próba włamania zatrzymana przed uzyskaniem dostępu do danych może nie prowadzić do naruszenia ochrony danych. Najpierw trzeba ustalić, co faktycznie się wydarzyło.
Co zrobić po wykryciu naruszenia
Pierwsze działania powinny jednocześnie ograniczać skutki i zachować materiał potrzebny do wyjaśnienia zdarzenia.
- Zatrzymaj incydent – zablokuj przejęte konto, odwołaj sesje, zamknij błędnie udostępniony katalog lub odizoluj zagrożone urządzenie.
- Zabezpiecz dowody – logi, wiadomości, konfiguracje, historię logowań i inne ślady.
- Ustal zakres – systemy, kategorie danych, liczbę osób i możliwy czas trwania zdarzenia.
- Oceń ryzyko dla osób.
- Podejmij decyzję o zgłoszeniu naruszenia danych osobowych do UODO.
- Przy wysokim ryzyku poinformuj osoby, których dane dotyczą.
- Udokumentuj zdarzenie i podstawę decyzji.
Warto od razu wyznaczyć jednego koordynatora łączącego zarząd, IT, IOD lub prawnika oraz komunikację. Zagrożony system można odizolować od sieci, ale nie należy go automatycznie wyłączać, czyścić ani reinstalować, jeśli mogłoby to zniszczyć logi i inne ślady.
Od kiedy liczy się 72 godziny
Termin nie zaczyna się automatycznie w technicznym momencie włamania. Kluczowe jest stwierdzenie naruszenia – moment, w którym administrator ma wystarczającą pewność, że wystąpiło zdarzenie dotyczące danych osobowych.
Nie wolno jednak przeciągać analizy tylko po to, aby opóźnić rozpoczęcie terminu. Nie trzeba też czekać na pełny raport informatyczny. Można wysłać zgłoszenie wstępne i uzupełniać je wraz z kolejnymi ustaleniami. Po przekroczeniu 72 godzin trzeba wyjaśnić przyczynę opóźnienia.
Czy każdy wyciek danych trzeba zgłaszać do UODO
Nie. Decyduje ryzyko dla praw i wolności ludzi, a nie sam fakt wystąpienia incydentu.
| Ocena | Działanie |
|---|---|
| Mało prawdopodobne ryzyko | Dokumentacja naruszenia; zgłoszenie UODO może nie być wymagane |
| Istnieje ryzyko | Zgłoszenie do UODO |
| Wysokie ryzyko | UODO oraz zawiadomienie osób |
W ocenie znaczenie mają m.in. rodzaj danych, liczba osób, możliwość ich identyfikacji, krąg potencjalnych odbiorców, zastosowane zabezpieczenia i możliwe konsekwencje.
Szczególnej ostrożności wymagają PESEL, dane finansowe, dane medyczne i dane uwierzytelniające. Nie trzeba czekać, aż ktoś faktycznie wykorzysta informacje – ocenia się również prawdopodobieństwo przyszłej kradzieży tożsamości, oszustwa, straty finansowej lub innej szkody.
Ocena nie jest ostateczna. Jeśli początkowo wiadomo tylko o ujawnieniu adresów e-mail, a później okaże się, że zbiór zawierał także PESEL i informacje medyczne, ryzyko trzeba ocenić ponownie.
Jak zgłosić naruszenie danych osobowych
Zgłoszenie naruszenia UODO powinno zawierać co najmniej:
- charakter zdarzenia;
- kategorie i przybliżoną liczbę osób;
- kategorie i przybliżoną liczbę wpisów danych osobowych;
- możliwe konsekwencje;
- kontakt do IOD lub innego punktu kontaktowego;
- środki zastosowane lub planowane w celu ograniczenia skutków.
Elektroniczne zgłoszenie naruszenia można przesłać przez dedykowany formularz dostępny na biznes.gov.pl. Brak wszystkich informacji nie jest powodem do wstrzymywania zgłoszenia – dane można później uzupełnić.
Także decyzję o braku zgłoszenia należy udokumentować. Rejestr powinien pozwalać ustalić, co się wydarzyło, kiedy administrator stwierdził naruszenie, jakie dane zostały objęte zdarzeniem, jak oceniono ryzyko i dlaczego wybrano określone działanie.
Kiedy trzeba poinformować klientów lub pracowników
Bezpośrednie zawiadomienie osób jest wymagane przy wysokim ryzyku dla ich praw lub wolności. Informacja powinna prostym językiem wskazywać:
- co się wydarzyło;
- jakie mogą być konsekwencje;
- jakie działania podjęła firma;
- co może zrobić sama osoba;
- gdzie uzyska dodatkowe informacje.
Indywidualne zawiadomienie może w określonych przypadkach nie być konieczne, np. gdy skuteczne szyfrowanie uniemożliwia osobom nieuprawnionym odczyt danych albo późniejsze działania usunęły wysokie ryzyko. Samo zapewnienie, że „dane były zabezpieczone”, nie wystarcza.
Co jeśli dane wyciekły u dostawcy, CRM lub firmy IT
Firma może korzystać z hostingu, chmury, CRM, biura rachunkowego, call center czy systemu SaaS, ale nie oznacza to automatycznego przeniesienia obowiązków wynikających z RODO.
Administrator danych osobowych określa cele i sposoby przetwarzania. Podmiot przetwarzający przetwarza dane osobowe w imieniu administratora.
Jeżeli incydent wystąpi u procesora, powinien on bez zbędnej zwłoki poinformować administratora. Administrator nadal musi jednak ocenić ryzyko i ustalić, czy potrzebne jest zgłoszenie UODO oraz zawiadomienie osób.
Po takim zdarzeniu od dostawcy warto zażądać:
- czasu rozpoczęcia, wykrycia i trwania incydentu;
- listy objętych nim systemów;
- kategorii i zakresu danych;
- liczby osób lub rekordów;
- dostępnych logów;
- informacji o możliwym pobraniu danych;
- opisu wykonanych działań naprawczych.
Umowa powierzenia powinna określać zasady przetwarzania danych, termin raportowania incydentów i sposób współpracy przy ocenie ryzyka.
MyDr – aktualny przykład odpowiedzialności za dane u dostawcy
12 sierpnia 2026 roku poinformowano o nieuprawnionym dostępie do historycznych danych przechowywanych w systemach MyDr, obejmujących okres do kwietnia 2024 roku. Incydent mógł potencjalnie dotyczyć około 18,8 mln osób i ponad 12 tys. placówek medycznych.
Zakres danych mógł obejmować m.in. PESEL, dane kontaktowe oraz informacje o zdrowiu, w tym notatki z wizyt i informacje o receptach. Nie doszło przy tym do naruszenia centralnych usług e-zdrowia, a dostęp do świadczeń i recept nie został zakłócony.
MyDr była podmiotem przetwarzającym, natomiast placówki korzystające z systemu pozostawały administratorami danych pacjentów. To one musiały oceniać własne obowiązki dotyczące UODO i osób, których dotyczyło naruszenie.
31 sierpnia Ministerstwo Cyfryzacji przedstawiło pakiet „Cyber Piątka”, zawierający m.in. propozycję obowiązkowej oceny ryzyka przez procesor przed rozpoczęciem przetwarzania i jej okresowego aktualizowania. Są to propozycje zmian legislacyjnych, a nie obowiązujące już przepisy.
Jak sprawdzić wyciek danych i co zrobić po potwierdzeniu
Gdzie sprawdzić wyciek danych? W Polsce dane ze zidentyfikowanych incydentów można weryfikować w rządowym serwisie bezpiecznedane.gov.pl. Pod koniec sierpnia 2026 roku udostępniono tam także możliwość sprawdzenia numerów PESEL związanych z incydentem MyDr.
Serwis nie pokazuje jednak pełnego zakresu danych objętych konkretnym naruszeniem, a brak wyniku nie dowodzi, że informacje nigdy nie pojawiły się w innym wycieku. Jeśli chcesz sprawdzić wyciek danych, korzystaj z oficjalnego adresu, a nie z linków przesyłanych SMS-em lub e-mailem.
Jeśli serwis potwierdzi obecność PESEL, szczegółów o zakresie naruszonych danych należy żądać od właściwego administratora. Na realizację praw wynikających z RODO administrator ma co do zasady miesiąc; przy skomplikowanym lub licznym zestawie żądań termin może zostać przedłużony, o czym zainteresowany powinien zostać poinformowany.
| Co zostało ujawnione | Pierwsze działanie |
|---|---|
| Login lub hasło | Zmień hasło także w innych usługach, jeśli było powtarzane; włącz MFA |
| PESEL | Rozważ zastrzeżenie PESEL, np. przez mObywatel |
| Dane finansowe | Kontroluj rachunki i nietypowe operacje |
| Dane kontaktowe | Zwiększ ostrożność wobec phishingu, fałszywych telefonów i SMS-ów |
| Dane medyczne | Stosuj zalecenia administratora i uważaj na próby wykorzystania szczegółowych informacji do podszywania się pod instytucje |
Po wycieku obejmującym PESEL warto rozważyć jego zastrzeżenie. Jak zastrzec PESEL? Można zrobić to m.in. przez mObywatel albo w urzędzie miasta lub gminy. Profil Zaufany i inne usługi publiczne należy otwierać samodzielnie, nie przez otrzymane linki.
Bezpieczne dane to nie tylko silne hasło. Znajomość imienia, PESEL, adresu, historii usług czy informacji medycznych pozwala przygotować znacznie bardziej wiarygodny phishing.
ALAB, Eurocert i Santander – trzy różne naruszenia
| Przypadek | Mechanizm | Najważniejsza lekcja |
|---|---|---|
| ALAB laboratoria | Ransomware i wyciek danych, potencjalnie także danych o zdrowiu | Wrażliwe informacje znacząco zwiększają możliwe skutki naruszenia |
| Eurocert | Cyberatak i ransomware, naruszenie poufności oraz dostępności | Trzeba kontrolować także poświadczenia i zależności od zewnętrznych dostawców |
| Santander | Niewłaściwe ujawnienie danych poza typowym scenariuszem cyberataku | Źródłem naruszenia nie musi być włamanie do systemu |
W sprawie Santander NSA 6 marca 2026 roku podtrzymał stanowisko UODO dotyczące niewłaściwego zawiadomienia osób. Sam fakt, że dane trafiły do tzw. zaufanego odbiorcy, nie wykluczył wysokiego ryzyka.
Najczęstsze błędy po naruszeniu
- czekanie na kompletny raport przed uruchomieniem procedury;
- usuwanie logów i innych dowodów podczas naprawy;
- pozostawienie całego zdarzenia wyłącznie działowi IT;
- założenie, że dostawca sam wykona obowiązki wobec UODO;
- uznanie braku dotychczasowej szkody za dowód braku ryzyka;
- brak dokumentacji decyzji o niezgłaszaniu naruszenia;
- przekazywanie klientom pewnych wniosków przed zakończeniem analizy.
Samo wystąpienie naruszenia nie oznacza automatycznie kary. Znaczenie mają m.in. adekwatność zabezpieczeń, reakcja administratora, analiza ryzyka i wykonanie obowiązków wynikających z RODO.
Osobną kwestią jest odpowiedzialność cywilna. Samo naruszenie RODO nie daje automatycznie prawa do odszkodowania – osoba musi wykazać szkodę majątkową lub niemajątkową oraz jej związek z naruszeniem. Szkoda niemajątkowa nie musi jednak osiągać określonego minimalnego poziomu dotkliwości.
Jak ograniczyć skutki kolejnego incydentu
Przed incydentem trzeba mieć procedurę reakcji, aktualne kontakty do IT, IOD i procesorów oraz ustalony sposób zabezpieczania logów.
- MFA;
- szyfrowanie;
- kopie zapasowe;
- minimalne niezbędne uprawnienia;
- kontrola nieaktywnych kont;
- rejestrowanie zdarzeń;
- szkolenia pracowników;
- wymagania bezpieczeństwa wobec dostawców.
Właściciel domeny może dodatkowo korzystać z bezpłatnego moje.cert.pl, które pozwala sprawdzać część podatności i otrzymywać informacje o zagrożeniach dotyczących domeny.
Cyberbezpieczeństwo jest tylko jednym rodzajem zależności od zewnętrznej infrastruktury. Podobną zasadę stosuje się w logistyce i sprzedaży – koncentracja działalności u jednego dostawcy zwiększa skutki jego awarii.
