Wycieka skan dowodu, firma wysyła cudze dane na zły adres e-mail, pracownik widzi dokumenty, których nie powinien widzieć — i od razu pojawia się pytanie, gdzie właściwie zgłosić naruszenie RODO. Problem polega na tym, że pod jedną nazwą mieszczą się co najmniej trzy różne sytuacje: zgłoszenie do firmy, skarga do organu nadzorczego i zawiadomienie o przestępstwie. Pomylenie tych ścieżek opóźnia reakcję i osłabia pozycję osoby poszkodowanej. Poniżej rozpisane zostało, kiedy właściwym adresem jest UODO, kiedy administrator danych, a kiedy od razu policja lub prokuratura.
Kiedy „naruszenie RODO” oznacza skargę, a kiedy formalne zgłoszenie incydentu
Naruszenie ochrony danych osobowych ma w RODO konkretne znaczenie. Zgodnie z art. 4 pkt 12 RODO chodzi o naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia albo dostępu do danych osobowych. To definicja techniczna, ale jej praktyczny skutek jest prosty: nie każde naruszenie przepisów o prywatności zgłasza się tak samo.
Trzeba odróżnić dwie role. Pierwsza to administrator danych — firma, urząd, szkoła, przychodnia. To on ma obowiązek ocenić incydent i w razie ryzyka dla praw lub wolności osób fizycznych zgłosić go do Prezesa Urzędu Ochrony Danych Osobowych. Druga rola to osoba, której dane dotyczą. Taka osoba co do zasady nie „zgłasza naruszenia z art. 33 RODO”, tylko wnosi skargę do UODO albo reklamację/interwencję do administratora.
To rozróżnienie nie jest detalem proceduralnym. Osoba prywatna nie zastępuje administratora w obowiązku zgłoszenia incydentu do UODO. Może natomiast poinformować administratora o zdarzeniu, zażądać wyjaśnień, skorzystać z praw z art. 15-22 RODO i złożyć skargę do organu nadzorczego, jeśli uzna, że dane są przetwarzane niezgodnie z prawem lub reakcja firmy jest pozorna.
Najczęstszy błąd polega na tym, że poszkodowany szuka jednego „formularza RODO”, choć w praktyce istnieją co najmniej trzy różne ścieżki działania, zależnie od tego, czy chodzi o incydent bezpieczeństwa, spór z administratorem czy kradzież tożsamości.
Gdzie zgłosić naruszenie RODO: porównanie czterech ścieżek
Wybór adresata zależy od celu. Czasem chodzi o szybkie zatrzymanie szkody, czasem o uruchomienie kontroli, a czasem o zabezpieczenie się przed wykorzystaniem danych w przestępstwie. Nie zawsze UODO jest pierwszym miejscem kontaktu.
| Gdzie zgłosić | Kiedy | Podstawa / tryb | Termin istotny praktycznie | Co można uzyskać |
|---|---|---|---|---|
| Administrator danych lub IOD | Gdy doszło do błędnej wysyłki, wycieku, nieuprawnionego dostępu, błędu pracownika | Kontakt reklamacyjny, żądanie informacji; prawa z art. 15-22 RODO | Im szybciej, najlepiej tego samego dnia | Zablokowanie konta, zmiana haseł, wyjaśnienia, kopia danych, informacja o środkach naprawczych |
| UODO | Gdy administrator nie reaguje, narusza prawa osoby lub odmawia realizacji żądań | Skarga do Prezesa UODO na podstawie RODO i ustawy z 10 maja 2018 r. | Brak sztywnego terminu 72 godzin dla osoby prywatnej | Postępowanie administracyjne, nakaz, upomnienie, kara pieniężna dla administratora |
| Policja lub prokuratura | Gdy doszło do podszycia się, wyłudzenia, użycia danych do kredytu, konta, umowy | Zawiadomienie o podejrzeniu popełnienia przestępstwa, np. z art. 190a §2 k.k. lub oszustwa z art. 286 k.k. | Niezwłocznie po wykryciu | Postępowanie karne, zabezpieczenie dowodów, dokument przydatny wobec banku lub operatora |
| CERT Polska / CSIRT NASK | Gdy naruszenie ma formę phishingu, fałszywej strony logowania, złośliwego SMS-a lub e-maila | Zgłoszenie incydentu cyberbezpieczeństwa, np. przez incydent.cert.pl | Natychmiast, zanim link lub domena zbierze kolejne dane | Analiza incydentu, blokady techniczne, ostrzeżenia dla użytkowników |
UODO: kiedy skarga ma sens
Prezes UODO nie jest infolinią od każdej nieprzyjemnej sytuacji z danymi. Skarga ma sens wtedy, gdy administrator narusza przepisy albo nie wykonuje obowiązków. Typowe przykłady to brak odpowiedzi na wniosek o dostęp do danych w terminie 1 miesiąca z art. 12 ust. 3 RODO, odmowa usunięcia danych bez podstawy prawnej czy zatajenie informacji o zakresie wycieku.
Z perspektywy poszkodowanego UODO ma jedną przewagę nad zwykłą reklamacją: uruchamia formalny tor administracyjny. Ma też ograniczenie — nie naprawi natychmiast szkody, jeśli ktoś już używa przejętych danych do zawierania umów. W takiej sytuacji równoległe działania są konieczne.
Policja i prokuratura: gdy naruszenie przeradza się w przestępstwo
Jeżeli wyciek danych kończy się próbą przejęcia konta bankowego, podpisaniem pożyczki albo założeniem karty SIM, problem przestaje być wyłącznie „RODO-wy”. Kradzież tożsamości wymaga ścieżki karnej. Organ nadzorczy bada zgodność przetwarzania danych, ale nie prowadzi postępowania karnego przeciwko sprawcy wyłudzenia.
W praktyce często potrzebne są dwa ruchy naraz: skarga lub kontakt z administratorem oraz zawiadomienie organów ścigania. Z punktu widzenia banku, operatora telekomunikacyjnego czy BIK numer sprawy z policji bywa ważniejszy niż sama korespondencja o naruszeniu ochrony danych.
Jak zgłosić naruszenie RODO skutecznie, a nie tylko formalnie
Najwięcej spraw rozbija się nie o brak racji, lecz o brak materiału dowodowego. Bez konkretów administrator i UODO odpowiadają ogólnikami. Dlatego przed wysłaniem zgłoszenia trzeba uporządkować fakty, nawet jeśli sytuacja jest stresująca.
Dobre zgłoszenie powinno zawierać:
- datę i godzinę zdarzenia lub jego wykrycia,
- opis tego, jakie dane ujawniono: np. imię, nazwisko, PESEL, adres, numer rachunku,
- nazwę administratora, np. banku, sklepu internetowego, szkoły, przychodni,
- dowody: zrzuty ekranu, wiadomości e-mail, logi, numery spraw, korespondencję,
- opis skutku: np. odmowa kredytu, podejrzane logowanie, telefon od windykacji, spam po wycieku.
W przypadku zgłoszenia do administratora warto zażądać odpowiedzi na trzy konkretne pytania: jakie dane objęto incydentem, kiedy administrator wykrył naruszenie i czy sprawa została zgłoszona do UODO na podstawie art. 33 RODO. To nie są pytania „na zapas”. Pozwalają ocenić, czy firma rzeczywiście przeprowadziła analizę ryzyka, czy tylko próbuje przeczekać sprawę.
Termin 72 godzin: kogo naprawdę dotyczy
Najczęściej powtarzany wątek to 72 godziny, ale ten termin bywa źle rozumiany. Zgodnie z art. 33 ust. 1 RODO administrator zgłasza naruszenie organowi nadzorczemu „bez zbędnej zwłoki”, nie później niż w ciągu 72 godzin od stwierdzenia naruszenia, chyba że jest mało prawdopodobne, by skutkowało ono ryzykiem naruszenia praw lub wolności osób fizycznych.
Ten termin nie wiąże osoby prywatnej. Poszkodowany może złożyć skargę później, choć zwłoka zwykle działa na własną niekorzyść: trudniej zabezpieczyć ślady, a administrator ma więcej czasu na uporządkowanie narracji. W sprawach dotyczących phishingu i podszywania się liczą się raczej godziny niż dni.
Co dzieje się po zgłoszeniu i jakie są realne konsekwencje wyboru ścieżki
Każda ścieżka uruchamia inny mechanizm. Skarga do UODO nie zastępuje działań ochronnych po wycieku danych. Jeśli ujawniono PESEL, numer dowodu lub dane logowania, priorytetem jest ograniczenie szkody: zmiana haseł, weryfikacja aktywności kont, kontakt z bankiem i rozważenie zastrzeżenia numeru PESEL, dostępnego w Polsce od 17 listopada 2023 r. w systemie mObywatel i urzędzie gminy.
Zgłoszenie administratorowi daje szansę na szybkie działania techniczne, ale ma wadę oczywistą: firma jest jednocześnie stroną i źródłem problemu. Z kolei UODO wnosi niezależny nadzór, lecz postępowania administracyjne nie kończą się w 48 godzin. Policja i prokuratura są konieczne przy oszustwie, ale nie rozstrzygną same, czy administrator zgodnie z prawem zabezpieczył dane.
Dlatego w praktyce najskuteczniejszy bywa model warstwowy:
- natychmiastowy kontakt z administratorem lub IOD,
- równoległe zabezpieczenie własnych kont i dokumentów,
- skarga do UODO, jeśli odpowiedź jest niewystarczająca albo nie ma jej w rozsądnym czasie,
- zawiadomienie policji/prokuratury, gdy pojawia się element wyłudzenia lub podszywania.
Najgorszym wyborem jest bezczynność. W sprawach dotyczących danych osobowych szkoda rzadko kończy się na samym wycieku — często dopiero po kilku dniach ujawnia się jej finansowy lub reputacyjny skutek.
Rekomendacja: gdzie zgłosić naruszenie RODO w typowych sytuacjach
Jeśli doszło do jednorazowego błędu firmy — na przykład wysłania cudzego dokumentu na niewłaściwy adres — pierwszym adresem powinien być administrator danych albo inspektor ochrony danych. Tam można najszybciej wymusić działania ograniczające skutki incydentu.
Jeśli administrator milczy, bagatelizuje problem lub odmawia informacji, właściwą drogą jest skarga do UODO. To rozwiązanie ma sens zwłaszcza wtedy, gdy spór dotyczy zgodności działań z RODO, a nie tylko technicznego błędu.
Jeśli dane posłużyły do oszustwa, przejęcia konta, pożyczki, umowy abonamentowej czy podszywania się, trzeba wyjść poza samą logikę RODO. Przy kradzieży tożsamości zawsze należy zawiadomić policję lub prokuraturę. Dopiero połączenie ścieżki administracyjnej i karnej daje realną ochronę interesów poszkodowanego.
Najczęstsze pytania
Czy naruszenie RODO zgłasza się bezpośrednio do UODO?
Tak, ale tylko w określonym trybie. Osoba prywatna składa do UODO skargę, natomiast formalne zgłoszenie incydentu z art. 33 RODO należy do administratora danych, nie do poszkodowanego.
Gdzie zgłosić wyciek PESEL-u i skanu dowodu?
Najpierw do administratora, który dopuścił do incydentu, a równolegle warto podjąć działania ochronne, w tym rozważyć zastrzeżenie numeru PESEL. Jeśli istnieje ryzyko wyłudzenia lub ktoś już użył danych, potrzebne jest też zawiadomienie policji lub prokuratury.
Czy jest termin na zgłoszenie naruszenia RODO przez osobę prywatną?
Nie ma dla niej terminu 72 godzin. Ten obowiązek dotyczy administratora danych wobec organu nadzorczego, ale z praktycznego punktu widzenia zgłoszenie warto złożyć jak najszybciej, bo liczy się zabezpieczenie dowodów i ograniczenie szkody.
Co zrobić, jeśli firma twierdzi, że „nie doszło do naruszenia”, mimo że dane wyciekły?
Trzeba zażądać pisemnego stanowiska i opisu zakresu incydentu, a następnie rozważyć skargę do Prezesa UODO. W ocenie naruszenia znaczenie ma nie etykieta nadana przez firmę, lecz fakty: czy wystąpił nieuprawniony dostęp, ujawnienie albo utrata danych.
Czy samo zgłoszenie do UODO daje odszkodowanie?
Nie bezpośrednio. Postępowanie przed UODO dotyczy zgodności z przepisami i środków wobec administratora, natomiast roszczenie o odszkodowanie to osobna ścieżka cywilna, oparta m.in. na art. 82 RODO.