TL;DR
5 października 2026 r. Prezes UODO opublikował wskazówki dotyczące progu zgłoszenia z art. 33 ust. 1 RODO, po serii incydentów polegających na nieuprawnionym dostępie do baz kontrahentów i systemów fakturowych. Jeśli ujawniono wyłącznie dane przedsiębiorców powszechnie dostępne w CEIDG (imię i nazwisko, nazwa firmy, NIP, oficjalny adres), ryzyko jest co do zasady mało prawdopodobne i zgłoszenie może nie być wymagane. Jeśli wraz z nimi wyciekł PESEL, szczegóły zakupów wskazujące na stan zdrowia lub inne szczególne kategorie albo informacje finansowe, zgłoszenie jest wymagane; przy wysokim ryzyku trzeba też zawiadomić osoby, których dane dotyczą (art. 34). Zawsze: udokumentowana ocena ryzyka i przesłanki braku zgłoszenia w wewnętrznym rejestrze.
Kontekst
W ostatnich incydentach nieuprawniony dostęp nie objął kartotek klientów konsumentów, lecz bazy kontrahentów i systemy fakturowe: listy firm i osób prowadzących działalność, z którymi się współpracuje. Prezes UODO wskazuje na konieczność każdorazowej rzetelnej oceny ryzyka przez administratora; to jej wynik decyduje o obowiązku zgłoszenia.
Kiedy zgłoszenie może nie być wymagane
Typowy przypadek to osoby prowadzące jednoosobową działalność, których ujawnione dane pokrywają się z tymi, które każdy może sprawdzić w jawnym rejestrze CEIDG: imię i nazwisko, nazwa firmy, NIP, oficjalny adres działalności. Zdaniem organu utrata poufności takich danych co do zasady nie daje osobom nieuprawnionym nowych możliwości działania na szkodę osoby, której dane dotyczą. Ocenę trzeba jednak zawsze przeprowadzić dla konkretnego przypadku.
Kiedy zgłoszenie jest wymagane
- NUMER PESEL: ryzyko kradzieży tożsamości, wyłudzeń i zaciągania zobowiązań finansowych na dane osoby.
- SZCZEGÓŁY ZAKUPÓW LUB USŁUG wskazujące na stan zdrowia albo inne dane szczególnych kategorii: ryzyko naruszenia prywatności, dyskryminacji lub nieuprawnionego profilowania.
- INFORMACJE FINANSOWE: ryzyko oszustw oraz fałszywych faktur lub płatności.
Brak zgłoszenia to nie brak dokumentacji
Nawet jeśli administrator uzna, że zgłoszenie nie jest wymagane, nadal musi przeprowadzić i udokumentować ocenę ryzyka oraz wskazać w wewnętrznym rejestrze naruszeń przesłanki uzasadniające brak zgłoszenia. RODO wymaga dokumentowania wszystkich naruszeń, zgłoszonych lub nie (art. 33 ust. 5). Decyzja o niezgłoszeniu bez pisemnego śladu jest nie do obrony podczas kontroli.
Co to oznacza dla IOD
Pięć kroków przy incydencie w systemie fakturowym
Po pierwsze: odtworzyć dokładnie, które pola zostały ujawnione, rekord po rekordzie, zamiast mówić ogólnie o «bazie». Po drugie: oddzielić dane już jawne od całej reszty (IBAN, kwoty, opisy usług, prywatne dane kontaktowe, notatki). Po trzecie: spisać ocenę z datą, autorem, kryteriami i wnioskiem i wrócić do niej, gdy pojawią się nowe fakty. Po czwarte: pilnować 72 godzin, które biegną od stwierdzenia naruszenia, a nie od zakończenia analizy. Po piąte: jeśli incydent wystąpił u podmiotu przetwarzającego, sprawdzić, czy powiadomił administratora bez zbędnej zwłoki (art. 33 ust. 2) i czy umowa tego wymaga.
Stanowisko UODO jest spójne z wytycznymi EROD 9/2022 w sprawie zgłaszania naruszeń: progiem nie jest odczuwana waga incydentu, lecz ryzyko dla osób. Praktyczna wartość komunikatu tkwi w przykładach, które pokazują, co zamienia listę kontrahentów w problem wymagający zgłoszenia.
Szukasz narzędzia do codziennej pracy inspektora ochrony danych?
DPO Workspace został zbudowany przez certyfikowanego IOD. 30 dni bezpłatnie.
Zacznij bezpłatnie
