Do naruszenia ochrony danych dochodzi najczęściej wtedy, gdy firma udostępnia informacje nieuprawnionej osobie, traci nośnik z danymi albo wysyła wiadomość na zły adres e-mail. Skutek bywa bardzo konkretny: wyciek PESEL-u, ujawnienie danych medycznych, nieuprawnione logowanie do konta albo ryzyko kradzieży tożsamości.
Najszybsza i najważniejsza reakcja to zebranie dowodów i skierowanie sprawy do właściwego podmiotu, zanim ślady znikną. W praktyce wiele osób wie, że doszło do problemu, ale nie wie, gdzie zgłosić naruszenie RODO i od czego zacząć. Poniżej znajduje się konkretna ścieżka działania: kiedy pisać do administratora danych, kiedy składać skargę do UODO, a kiedy od razu myśleć także o odszkodowaniu. Bez teorii dla teorii — tylko to, co realnie pomaga zareagować.
Gdzie zgłosić naruszenie RODO, czyli do kogo kierować pierwszy ruch
Pierwszy ruch zależy od tego, kto naruszył dane. Naruszenie RODO zgłasza się przede wszystkim do administratora danych albo bezpośrednio do Urzędu Ochrony Danych Osobowych, jeśli administrator nie reaguje lub sprawa jest poważna.
Administratorem danych jest podmiot, który decyduje o celach i sposobach przetwarzania danych — na przykład bank, operator telekomunikacyjny, szpital, sklep internetowy albo pracodawca. Jeśli doszło do wycieku w serwisie sprzedażowym, pierwsze zawiadomienie powinno trafić właśnie tam. Trzeba zażądać informacji, jakie dane wyciekły, kiedy incydent wykryto i jakie środki naprawcze wdrożono.
Jeżeli odpowiedź jest wymijająca, nie ma jej wcale albo administrator bagatelizuje problem, kolejnym adresem jest Prezes Urzędu Ochrony Danych Osobowych. Organem nadzorczym w Polsce jest właśnie UODO, z siedzibą przy ul. Stawki 2, 00-193 Warszawa.
Osoba, której dane dotyczą, ma prawo wnieść skargę do organu nadzorczego na podstawie art. 77 RODO. To nie jest uprzejma prośba o sprawdzenie sprawy, tylko formalne uruchomienie postępowania.
Co najpierw zrobić po wykryciu naruszenia danych
Najgorszym ruchem jest bierne czekanie na rozwój sytuacji. Dowody znikają szybko, a po kilku dniach trudno odtworzyć, co dokładnie się wydarzyło.
Na początku trzeba zabezpieczyć wszystko, co potwierdza incydent. W praktyce liczy się każda konkretna informacja: zrzut ekranu, nagłówek e-maila, numer sprawy z infolinii, treść SMS-a, data logowania, nazwa serwisu, a nawet godzina kontaktu z konsultantem.
- zrobić zrzuty ekranu z datą i godziną,
- zapisać korespondencję e-mail i SMS,
- zanotować, jakie dane ujawniono: PESEL, adres, numer dowodu, historia zamówień, dane medyczne,
- zmienić hasła do powiązanych kont i włączyć 2FA,
- sprawdzić historię logowań oraz aktywność na koncie bankowym.
Jeżeli wyciek dotyczy danych finansowych albo danych używanych do identyfikacji, warto od razu rozważyć zastrzeżenie numeru PESEL. Od 1 czerwca 2024 r. instytucje finansowe mają obowiązek weryfikować zastrzeżenie PESEL przy części czynności, co realnie ogranicza ryzyko wyłudzeń.
Zgłoszenie do administratora danych: co napisać i czego żądać
Kontakt z administratorem nie powinien polegać na wysłaniu krótkiej wiadomości w stylu „chyba wyciekły moje dane”. Trzeba zażądać konkretów i zostawić ślad pisemny.
Jakie elementy powinno zawierać zgłoszenie
W piśmie albo wiadomości e-mail warto wskazać:
- kim jest osoba zgłaszająca i jakiego konta lub relacji dotyczy sprawa,
- na czym polega incydent i kiedy został zauważony,
- jakie dane mogły zostać ujawnione,
- jakich informacji i działań oczekuje zgłaszający.
Nie trzeba powoływać się na cały komentarz do RODO. Wystarczy prosto zażądać wyjaśnienia, czy doszło do naruszenia ochrony danych osobowych, czy incydent został zgłoszony do UODO zgodnie z art. 33 RODO oraz jakie środki ograniczające ryzyko wdrożono.
Czego wymagać od firmy lub instytucji
Administrator powinien podać zakres naruszenia, kategorię danych, przewidywane konsekwencje oraz zastosowane zabezpieczenia. Jeżeli naruszenie powoduje wysokie ryzyko dla praw lub wolności osoby fizycznej, administrator ma obowiązek poinformować tę osobę bez zbędnej zwłoki zgodnie z art. 34 RODO.
W praktyce warto zażądać również informacji, czy incydent dotyczy tylko jednej osoby, czy większej grupy klientów, pracowników albo pacjentów. To ważne, bo masowe naruszenia często kończą się kontrolą UODO i wzmacniają pozycję skarżącego.
Skarga do UODO: kiedy ją złożyć i jak to zrobić
Jeżeli administrator ignoruje zgłoszenie, odpowiada ogólnikami albo zaprzecza oczywistym faktom, skargę do UODO składa się bez zwłoki. Nie ma sensu czekać miesiącami, aż firma „wewnętrznie wyjaśni sprawę”.
Skargę można złożyć pisemnie do Prezesa UODO. Najbezpieczniej dołączyć kopie korespondencji z administratorem, zrzuty ekranu, potwierdzenia wiadomości i opis skutków naruszenia. Im bardziej uporządkowany materiał, tym łatwiej organowi ocenić sprawę.
Dobrze przygotowana skarga powinna zawierać:
- dane skarżącego,
- nazwę administratora danych, na przykład Orange Polska, mBank, Lux Med lub konkretny urząd gminy,
- opis naruszenia z datami,
- wskazanie, jakie dane zostały ujawnione,
- informację, czy wcześniej kontaktowano się z administratorem,
- żądanie podjęcia działań przez UODO.
Skarga do UODO jest co do zasady bezpłatna. Organ może wszcząć postępowanie, zażądać wyjaśnień od administratora, przeprowadzić kontrolę i wydać decyzję administracyjną. UODO nie przyznaje jednak odszkodowania — od tego jest droga cywilna.
72 godziny to termin z art. 33 RODO dla administratora na zgłoszenie naruszenia do UODO, gdy istnieje ryzyko naruszenia praw lub wolności osób fizycznych. Ten termin nie dotyczy osoby poszkodowanej, ale pokazuje, jak szybko sprawa powinna być potraktowana.
UODO, administrator czy sąd? Porównanie ścieżek działania
Nie każda sprawa kończy się w tym samym miejscu. UODO bada zgodność z przepisami, administrator ma wyjaśnić incydent, a sąd cywilny rozstrzyga o odszkodowaniu.
| Ścieżka | Cel | Koszt startowy | Typowy czas reakcji | Efekt dla poszkodowanego |
|---|---|---|---|---|
| Administrator danych | Wyjaśnienie incydentu i działania naprawcze | 0 zł | od razu do kilku tygodni | informacja o skali wycieku, zabezpieczenia, odpowiedź pisemna |
| UODO | Ocena naruszenia przepisów RODO | zwykle 0 zł | miesiące, przy złożonych sprawach dłużej | decyzja, nakazy, możliwa kara administracyjna dla firmy |
| Sąd cywilny | Odszkodowanie lub zadośćuczynienie | opłata zależna od wartości roszczenia | zwykle wiele miesięcy albo dłużej | realna rekompensata finansowa na podstawie art. 82 RODO |
Tabela pokazuje prostą rzecz: jeśli celem jest natychmiastowe wyjaśnienie sprawy, zaczyna się od administratora; jeśli potrzebna jest interwencja nadzorcza, idzie skarga do UODO; jeśli chodzi o pieniądze za konkretną szkodę, bez sądu cywilnego się nie obejdzie.
Kiedy samo zgłoszenie nie wystarczy i trzeba myśleć o odszkodowaniu
Naruszenie danych osobowych nie kończy się na dyskomforcie. Jeżeli wyciek powoduje stratę finansową albo naruszenie dóbr osobistych, warto rozważyć roszczenie z art. 82 RODO.
Dotyczy to zwłaszcza sytuacji, w których po wycieku pojawiają się nieautoryzowane pożyczki, próby zawarcia umowy na cudze dane, nękające telefony, podszywanie się pod poszkodowanego albo ujawnienie danych o zdrowiu. Przy danych medycznych szkoda niemajątkowa bywa równie istotna jak finansowa.
Jakie szkody dokumentować
Do ewentualnego roszczenia przydają się nie tylko faktury czy wyciągi bankowe. Znaczenie mają też potwierdzenia reklamacji, korespondencja z bankiem, historia zgłoszeń w BIK, dokumentacja z policji oraz potwierdzenie zastrzeżenia PESEL.
Jeżeli w grę wchodzą kredyty lub pożyczki, trzeba działać równolegle: zgłoszenie do banku, zawiadomienie organów ścigania i zabezpieczenie dokumentów. Samo pismo do firmy, z której systemu wyciekły dane, nie zablokuje skutków wyłudzenia.
Jakich błędów nie popełniać po naruszeniu danych osobowych
Najwięcej szkód robią trzy błędy: zwlekanie, brak dokumentacji i ograniczenie się do telefonu na infolinię. Rozmowa bez śladu pisemnego praktycznie nigdy nie wystarcza.
Nie warto też wysyłać emocjonalnych wiadomości bez konkretów. Organ nadzorczy i administrator potrzebują faktów: dat, nazw systemów, zakresu danych, kopii wiadomości. Im mniej chaosu, tym większa szansa na sensowną odpowiedź.
Drugim częstym błędem jest mylenie spamu z naruszeniem RODO. Jednorazowy niechciany e-mail reklamowy nie zawsze oznacza wyciek danych. Naruszenie ochrony danych to sytuacja, w której dochodzi do zniszczenia, utraty, zmiany, nieuprawnionego ujawnienia lub dostępu do danych — tak definiuje je art. 4 pkt 12 RODO.
Jeżeli firma twierdzi, że „nie stwierdzono nieprawidłowości”, a dowody pokazują coś innego, taka odpowiedź nie zamyka sprawy. To właśnie moment na formalną skargę do UODO.
Najczęstsze pytania
Czy naruszenie RODO zgłasza się na policję?
Nie zawsze. Samo naruszenie ochrony danych zgłasza się zwykle do administratora danych i do UODO, ale jeśli doszło do oszustwa, wyłudzenia kredytu albo podszywania się pod inną osobę, równolegle warto złożyć zawiadomienie na policji lub w prokuraturze.
Ile czasu jest na zgłoszenie naruszenia RODO do UODO?
Osoba poszkodowana nie ma sztywnego terminu typu 72 godziny. Ten termin dotyczy administratora danych zgłaszającego incydent do UODO, ale w praktyce szybkie działanie zwiększa szansę na zabezpieczenie dowodów.
Czy skarga do UODO coś realnie daje?
Tak, bo uruchamia formalne postępowanie przed organem nadzorczym. UODO może żądać wyjaśnień, przeprowadzić kontrolę, wydać decyzję i nałożyć administracyjną karę pieniężną, choć nie przyznaje odszkodowania poszkodowanemu.
Czy trzeba mieć prawnika, żeby zgłosić naruszenie danych osobowych?
Nie. Zgłoszenie do administratora i skargę do UODO można przygotować samodzielnie, pod warunkiem że opis jest konkretny i zawiera dowody. Pomoc prawnika przydaje się głównie wtedy, gdy sprawa kończy się roszczeniem o odszkodowanie.
Co zrobić, jeśli wyciekł PESEL i numer dowodu?
Trzeba natychmiast zabezpieczyć konta, rozważyć zastrzeżenie numeru PESEL, monitorować historię kredytową w BIK i zgłosić sprawę administratorowi danych. Jeśli pojawią się próby wyłudzenia, potrzebne jest także zawiadomienie organów ścigania.