Spis treści

Dostawca systemu do obsługi klientów pisze, że ktoś uzyskał dostęp do bazy Twojej firmy. Jej serwery działają normalnie, ale w bazie są nazwiska, adresy e-mail i historia zamówień. Kto ma teraz zgłosić sprawę do urzędu?

Jeśli Twoja firma decyduje, po co przetwarza te dane, to na niej co do zasady spoczywa obowiązek zgłoszenia naruszenia do właściwego organu ochrony danych. Trzeba działać bez zbędnej zwłoki, w miarę możliwości najpóźniej w ciągu 72 godzin od stwierdzenia naruszenia. Wyjątkiem jest sytuacja, w której jest mało prawdopodobne, by naruszenie powodowało ryzyko dla praw lub wolności osób. W Polsce właściwym organem jest Prezes UODO.

Dostawca, który przetwarza dane na zlecenie Twojej firmy, ma ją powiadomić bez zbędnej zwłoki. Nie dostaje własnych 72 godzin na przekazanie informacji klientowi. To dwa różne obowiązki z art. 33 RODO.

Kto jest kim, gdy dane są w zewnętrznym systemie?

Załóżmy, że prowadzisz firmę sprzedającą oprogramowanie. Korzystasz z internetowego systemu do obsługi kontaktów z klientami, czyli CRM. Ustalasz, jakie dane zapisujecie i do czego są potrzebne. Dla tych operacji Twoja firma jest administratorem danych.

Dostawca przechowuje dane i obsługuje system w imieniu Twojej firmy. W tym zakresie działa jako podmiot przetwarzający, nazywany też procesorem. SaaS oznacza tutaj oprogramowanie dostępne jako usługa, zwykle przez internet.

Sama lokalizacja bazy nie przenosi obowiązków administratora na dostawcę. Role ustala się dla konkretnego przetwarzania: dostawca może być procesorem dla Twojej bazy klientów, a administratorem dla własnych rozliczeń. Rozróżnienie pokazuje także Komisja Europejska na przykładzie naruszenia u dostawcy chmury.

Jeżeli sam prowadzisz SaaS i obsługujesz dane na zlecenie klientów, możesz znaleźć się po drugiej stronie tej sytuacji. Wtedy zawiadamiasz właściwych klientów będących administratorami. Gdy zdarzenie dotyczy Twojego podwykonawcy, informacja musi przejść przez cały właściwy łańcuch. Zasady angażowania takich firm opisuję w tekście o zmianie podprocesora w SaaS.

Od kiedy liczyć 72 godziny?

Od stwierdzenia naruszenia, czyli uzyskania rozsądnego stopnia pewności, że zdarzenie bezpieczeństwa doprowadziło do naruszenia ochrony danych osobowych. Nie trzeba jeszcze znać dokładnej liczby osób ani pełnego przebiegu ataku.

W naszym przykładzie dostawca w czwartek o 10:00 informuje, że osoba nieuprawniona otworzyła plik z danymi klientów Twojej firmy. To konkretna informacja o naruszeniu. Nie można przesunąć początku terminu na piątek tylko dlatego, że wtedy wiadomość trafiła do osoby odpowiedzialnej za RODO.

Inaczej wygląda ogólny alert „sprawdzamy podejrzaną aktywność”. Może wymagać krótkiego wstępnego sprawdzenia, czy doszło do naruszenia danych. Sprawdzenie powinno zacząć się niezwłocznie. Czekanie przez kilka dni na raport dostawcy nie jest sposobem na zatrzymanie terminu. Tę różnicę wyjaśnia Europejska Rada Ochrony Danych (EROD) w wytycznych 09/2022, pkt 31 do 40 i 44.

72 godziny nie oznaczają trzech dni roboczych. Zespół potrzebuje osoby, która odbierze alert także w weekend. Sam termin nie jest również zachętą do czekania do ostatniej godziny: nadal obowiązuje działanie bez zbędnej zwłoki.

Dostawca nie ma jeszcze pełnego raportu. Co przekazuje?

Pierwsze zawiadomienie może być uzupełniane. Dostawca powinien szybko przekazać dostępne informacje o stwierdzonym naruszeniu, a następnie dosyłać ustalenia. Nie musi najpierw rozstrzygnąć, czy Twoja firma powinna zgłosić sprawę do urzędu. Ocena tego ryzyka należy do administratora.

Poproś o informacje pozwalające ustalić:

  • jakie dane i których klientów dotyczy zdarzenie;
  • co się wydarzyło, kiedy to wykryto i kiedy potwierdzono naruszenie;
  • czy dane odczytano, skopiowano, zmieniono albo utracono do nich dostęp;
  • jakie zabezpieczenia działały i co zrobiono, żeby ograniczyć skutki;
  • z kim kontaktować się w sprawie incydentu i kiedy pojawi się kolejna aktualizacja.

Gdy Twoja firma musi zawiadomić urząd, a nie zna jeszcze wszystkich szczegółów, RODO pozwala przekazywać informacje etapami, bez dalszej zbędnej zwłoki. Zgłoszenie powinno opisywać charakter naruszenia, w miarę możliwości kategorie i przybliżoną liczbę osób oraz rekordów danych, punkt kontaktowy, prawdopodobne konsekwencje i podjęte lub planowane działania. Wyjaśnij, czego jeszcze nie ustalono. Jeśli zgłoszenie następuje po 72 godzinach, trzeba podać powody opóźnienia. Podstawą są art. 33 ust. 3 i 4 RODO.

Czy każde zdarzenie trzeba zgłaszać do urzędu?

Naruszenie danych osobowych to zdarzenie bezpieczeństwa prowadzące np. do ich nieuprawnionego ujawnienia, zmiany, utraty lub zniszczenia. Może dotyczyć także dostępności danych. Zwykła awaria usługi nie oznacza automatycznie naruszenia, ale brak dowodów skopiowania bazy również nie zamyka oceny.

Administrator ocenia ryzyko dla ludzi, których dane dotyczą. W naszym przykładzie sprawdza m.in., czy ujawniona historia zamówień może pomóc w oszustwie, podszyciu się pod klienta albo ujawnić informacje szczególnie wrażliwe. Sama liczba rekordów nie rozstrzyga odpowiedzi.

Jeśli jest mało prawdopodobne, by naruszenie powodowało ryzyko dla praw lub wolności osób, zgłoszenie do organu nie jest wymagane. Nadal trzeba udokumentować naruszenie, jego skutki, działania zaradcze i podstawę decyzji. Obowiązek dokumentacji wynika z art. 33 ust. 5 RODO.

Przy prawdopodobnym wysokim ryzyku dochodzi co do zasady zawiadomienie samych osób, bez zbędnej zwłoki. To osobna decyzja, bez uniwersalnego terminu 72 godzin. Art. 34 RODO przewiduje wyjątki, m.in. skuteczne zabezpieczenie danych przed odczytem przez osoby nieuprawnione lub późniejsze usunięcie prawdopodobieństwa wysokiego ryzyka. Gdy indywidualne zawiadomienie wymagałoby niewspółmiernie dużego wysiłku, trzeba zastosować równie skuteczny komunikat publiczny lub podobny środek.

Co ustalić z dostawcą przed incydentem?

Umowa powierzenia przetwarzania danych, często nazywana DPA, powinna opisywać pomoc dostawcy przy naruszeniach. Obowiązek takiej pomocy wynika z art. 28 ust. 3 lit. f RODO.

Ustalcie konkretnie kanał alarmowy, kontakt zastępczy, zakres pierwszej wiadomości i częstotliwość aktualizacji. Jeśli wpisujecie np. „nie później niż w ciągu 12 godzin od stwierdzenia naruszenia”, zaznaczcie, że dostawca nadal ma działać bez zbędnej zwłoki. 12 godzin to przykład uzgodnionego limitu, nie termin ustawowy ani prawo do odczekania. Zapis powinien obejmować również współpracę przy ocenie ryzyka, zabezpieczeniu dowodów i komunikacji.

Powiadomienie dopiero po zamknięciu dochodzenia technicznego zostawi klienta bez informacji wtedy, gdy musi podejmować decyzje. Podobnie ogólny wpis na stronie statusowej może nie wskazywać, że naruszenie dotyczy właśnie jego danych. Warto sprawdzić ten fragment przy przeglądzie umowy SaaS, obok zasad odpowiedzialności i wsparcia.

Dostawca może na podstawie odpowiedniego upoważnienia dokonać zgłoszenia w imieniu administratora. Odpowiedzialność prawna za zgłoszenie pozostaje jednak przy administratorze, co potwierdza EROD w pkt 48 wytycznych. „Dostawca zajmuje się incydentem” nie wystarcza do uznania sprawy za zamkniętą.

A co z planowanym wydłużeniem terminu?

Stan na 22 października 2026 r.: Rada UE uzgodniła 21 października stanowisko negocjacyjne dotyczące pakietu zmian Digital Omnibus. Mandat Rady, s. 137 przewiduje m.in. 96 godzin i próg wysokiego ryzyka dla zgłoszenia do organu.

To propozycja zmiany, nie obowiązujący termin. Komunikat Rady mówi o dalszych negocjacjach z Parlamentem Europejskim. Na tej podstawie nie zmieniaj obecnej procedury na 96 godzin ani nie ograniczaj zgłoszeń wyłącznie do wysokiego ryzyka.

Co możesz zrobić dzisiaj?

Sprawdź, czy dostawca ma aktualny kontakt do osoby odpowiedzialnej za incydenty w Twojej firmie. Otwórz DPA i zobacz, kiedy ma przekazać pierwszą informację. Ustal też, kto ocenia ryzyko i przygotowuje ewentualne zgłoszenie, gdy główna osoba jest niedostępna.

W naszym przykładzie te ustalenia pozwalają zareagować od razu po wiadomości dostawcy. Dział techniczny ogranicza skutki, a osoba prowadząca ocenę prawną równolegle zbiera fakty i pilnuje zgłoszeń. Nie trzeba czekać, aż pierwszy zespół zakończy całą pracę.

Wyjaśnienia pojęć i przepisów
Administrator danych

Firma lub inny podmiot, który ustala cele i zasadnicze sposoby przetwarzania danych. W opisanej sytuacji firma korzystająca z systemu do obsługi kontaktów decyduje, po co gromadzi dane swoich klientów.

Podmiot przetwarzający, czyli procesor

Podmiot wykonujący operacje na danych w imieniu administratora. Dla powierzonych mu danych dostawca SaaS ma przekazać administratorowi informację o naruszeniu bez zbędnej zwłoki. Nie czeka na ocenę, czy administrator musi zawiadomić urząd.

Stwierdzenie naruszenia

Moment uzyskania rozsądnego stopnia pewności, że zdarzenie bezpieczeństwa doprowadziło do naruszenia danych osobowych. Nie wymaga znajomości wszystkich szczegółów. Wstępne sprawdzenie musi ruszyć szybko; pełny raport techniczny może powstać później.