Gdzie zgłosić naruszenie danych osobowych w Polsce w pierwszej kolejności decyduje charakter incydentu i rola zgłaszającego: oficjalne zgłoszenie naruszenia składa administrator danych do Prezesa UODO w ciągu 72 godzin, co do zasady elektronicznie, natomiast osoba, której dane dotyczą, powinna niezwłocznie powiadomić administratora, a przy braku właściwej reakcji zawiadomić UODO; w sytuacjach związanych z przestępstwem warto rozważyć także policję [4][5][1][2]. Zanim cokolwiek zgłosisz, ustal, czy incydent dotyczy danych osobowych i czy może powodować ryzyko dla praw lub wolności osób [4][5].
Czym jest naruszenie ochrony danych osobowych?
Naruszenie danych osobowych to zdarzenie prowadzące do nieuprawnionego ujawnienia, utraty, zniszczenia lub nieautoryzowanego dostępu do danych osobowych. W praktyce każdy incydent należy najpierw zweryfikować pod kątem tego, czy rzeczywiście dotyczy danych osobowych oraz czy generuje ryzyko dla praw lub wolności osób fizycznych [4][5].
Gdzie zgłosić naruszenie danych osobowych?
Podstawowym organem właściwym w Polsce jest Prezes Urzędu Ochrony Danych Osobowych. To do UODO administrator danych składa formalne zgłoszenie naruszenia ochrony danych osobowych. UODO udostępnia ścieżkę elektroniczną, a w praktyce stosowane są także inne formy, jednak akcent pada na kanał online dedykowany administratorom [1][4][6].
Jeśli jesteś osobą, której dane dotyczą, w pierwszym kroku skontaktuj się z administratorem danych. Gdy reakcja administratora będzie niewystarczająca lub nie nastąpi, możesz skierować sprawę do UODO, przekazując okoliczności incydentu i materiał dowodowy [1][2]. W wybranych sytuacjach, zwłaszcza gdy sprawa ma charakter przestępstwa, można rozważyć zgłoszenie na policję [2].
Kto i kiedy ma obowiązek zgłosić naruszenie?
Obowiązek notyfikacji naruszenia do organu nadzorczego spoczywa na administratorze danych. Zgłoszenia dokonuje się bez zbędnej zwłoki, nie później niż w ciągu 72 godzin od stwierdzenia naruszenia, chyba że jest mało prawdopodobne, by incydent skutkował ryzykiem naruszenia praw lub wolności osób fizycznych. Po przekroczeniu terminu należy dołączyć wyjaśnienie przyczyn opóźnienia [5].
Niezależnie od notyfikacji do organu, jeśli naruszenie może powodować wysokie ryzyko, administrator powinien poinformować również osoby, których dane dotyczą. Gdy ryzyko nie jest wysokie albo zostało skutecznie wyeliminowane, zawiadomienie osób nie jest wymagane [5].
Jak ocenić, czy zgłoszenie jest konieczne?
Decydująca jest ocena ryzyka. Administrator ma obowiązek zgłaszać jedynie takie naruszenia, które mogą powodować ryzyko dla praw lub wolności osób fizycznych. Gdy jest mało prawdopodobne, by incydent takie ryzyko generował, zgłoszenie do organu nie jest wymagane [5].
Praktyczny przebieg działań obejmuje wykrycie incydentu, ocenę czy dotyczy danych osobowych, analizę ryzyka, wdrożenie środków naprawczych, ewentualne zgłoszenie do UODO oraz ewentualne zawiadomienie osób, których dane dotyczą [1][2][5].
Jak zgłosić naruszenie do Prezesa UODO?
Administrator składa zgłoszenie elektronicznie przez formularz udostępniony przez UODO na platformie biznes.gov.pl, przeznaczony dla naruszeń zdefiniowanych w art. 4 pkt 12 RODO. UODO wskazuje przede wszystkim ścieżkę elektroniczną, przy czym w praktyce funkcjonują też inne formy, jednak kanał online pozostaje zasadniczy dla administratorów [4][6][1].
W zgłoszeniu należy opisać incydent, wskazać kategorie danych, okoliczności naruszenia, zastosowane działania naprawcze i ewentualne przyczyny przekroczenia terminu. W przypadku naruszeń obejmujących wiele krajów UE trzeba ustalić, czy organem wiodącym jest Prezes UODO, czy inny organ nadzorczy, zgodnie z mechanizmem transgranicznym [5][4].
Co powinno zawierać dobre zgłoszenie?
- Opis naruszenia, w tym czas i zakres zdarzenia [1][5].
- Kategorie danych i potencjalne skutki dla osób fizycznych [1][5].
- Okoliczności incydentu oraz zastosowane środki naprawcze i zapobiegawcze [1][5].
- Uzasadnienie opóźnienia, jeśli zgłoszenie następuje po 72 godzinach [5].
- Materiały dowodowe potwierdzające incydent i podjęte działania, w tym zrzuty ekranu i kopie dokumentów [1][3].
Co zrobić przed wysłaniem zgłoszenia do UODO?
Poinformuj niezwłocznie w organizacji osobę odpowiedzialną za ochronę danych lub Inspektora Ochrony Danych, a następnie przeprowadź ocenę zdarzenia i ryzyka. Zgromadź dokumentację potwierdzającą incydent oraz wcześniej podjęte kroki naprawcze, aby ułatwić organowi ocenę sprawy [3][1].
Po stronie osób, których dane dotyczą, pierwszy krok to kontakt z administratorem danych i przekazanie szczegółów incydentu wraz z materiałami dowodowymi. Jeśli reakcja administratora będzie niewystarczająca lub brak reakcji, sprawę można skierować do UODO [1][2].
Kiedy i jak powiadomić osoby, których dane dotyczą?
Jeśli naruszenie może powodować wysokie ryzyko dla praw lub wolności osób fizycznych, administrator powinien zawiadomić osoby, których dane dotyczą. Brak obowiązku zawiadomienia występuje, gdy administrator wykaże, że nie ma wysokiego ryzyka albo że zostało ono skutecznie wyeliminowane [5].
Jak udokumentować i zabezpieczyć materiał dowodowy?
Dokumentacja powinna obejmować opis zdarzenia, zakres przetwarzanych danych, potencjalne konsekwencje, podjęte środki zaradcze oraz potwierdzające materiały, w tym zrzuty ekranu i kopie dokumentów. Staranna dokumentacja przyspiesza ocenę incydentu przez administratora i organ nadzorczy [1][3].
Co w przypadku naruszeń transgranicznych?
Gdy naruszenie obejmuje więcej niż jedno państwo członkowskie, należy ustalić właściwy organ wiodący. UODO wskazuje konieczność sprawdzenia, czy sprawę prowadzi Prezes UODO jako organ wiodący, czy inny organ nadzorczy w UE, zgodnie z mechanizmem współpracy [4].
Czy warto zgłosić sprawę na policję?
W wybranych przypadkach, zwłaszcza gdy naruszenie jest powiązane z przestępstwem, zasadne może być zgłoszenie na policję obok działań podejmowanych w reżimie ochrony danych osobowych [2].
Podsumowanie
Kluczowe kroki to szybka weryfikacja, czy incydent to naruszenie danych osobowych, ocena ryzyka, działania naprawcze i właściwe zgłoszenia. Formalną notyfikację do Prezesa UODO składa administrator danych w ciągu 72 godzin, zasadniczo elektronicznie. Osoba, której dane dotyczą, powinna najpierw skontaktować się z administratorem, a przy braku reakcji skierować sprawę do UODO. W incydentach transgranicznych należy określić organ wiodący, a w przypadkach o charakterze przestępstwa rozważyć zawiadomienie policji [4][5][1][2][6].
Źródła:
- [1] https://www.directgroup.com.pl/baza-wiedzy/gdzie-zglosic-naruszenie-rodo
- [2] https://www.politykabezpieczenstwa.pl/pl/a/gdzie-zglosic-podejrzenie-naruszenia-danych-osobowych
- [3] https://inspektorzyodo.pl/zgloszenie-naruszenia/
- [4] https://uodo.gov.pl/pl/492/2278
- [5] https://odo24.pl/wiedza/abc-rodo/odpowiedz-na-pytanie.kiedy-i-komu-nalezy-zglaszac-naruszenie-ochrony-danych-osobowych
- [6] https://uodo.gov.pl/525
LeczymyTarczyce.pl to ogólnotematyczny portal, który codziennie dostarcza rzetelnych treści na każdy temat. Od zdrowia po technologię – znajdziesz tu inspiracje i praktyczne porady. Twoja codzienna dawka informacji w jednym miejscu.