Rodo gdzie zgłosić naruszenie danych osobowych?
Gdzie zgłosić naruszenie danych osobowych w rozumieniu RODO? Zawiadomienie składa się do Prezesa UODO jako organu nadzorczego właściwego w Polsce. Można to zrobić elektronicznie przez formularz na biznes.gov.pl, przez ePUAP, przez pismo ogólne na biznes.gov.pl lub listownie na adres UODO. Zgłoszenia należy dokonać bez zbędnej zwłoki, co do zasady w ciągu 72 godzin od stwierdzenia naruszenia. W razie opóźnienia trzeba dołączyć wyjaśnienie przyczyn zwłoki [1][2][3][4][5][6].
Czym jest naruszenie ochrony danych osobowych?
Naruszenie ochrony danych osobowych to zdarzenie prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia albo nieuprawnionego dostępu do danych osobowych. Definicja obejmuje każdy incydent skutkujący naruszeniem poufności, integralności lub dostępności danych osobowych [3].
Gdzie zgłosić naruszenie danych osobowych?
Adresatem jest Prezes Urzędu Ochrony Danych Osobowych, czyli organ nadzorczy do spraw ochrony danych osobowych w Polsce. UODO udostępnia formalny kanał elektroniczny oraz dopuszcza inne drogi komunikacji [1][2].
- Elektronicznie przez dedykowany formularz na biznes.gov.pl, odwzorowany przez UODO i wskazany jako preferowana ścieżka elektroniczna [1].
- Przez ePUAP jako kanał elektronicznej komunikacji z urzędem [2].
- Przez pismo ogólne na portalu biznes.gov.pl jako alternatywną formę elektronicznego zgłoszenia [2].
- Listownie na adres korespondencyjny UODO: ul. Stawki 2, 00-193 Warszawa [4][5][6].
Wskazane są cztery główne kanały zgłoszenia, co potwierdza dokumentacja UODO [2].
Kiedy zgłosić naruszenie do UODO?
Obowiązuje termin 72 godzin liczony od momentu stwierdzenia naruszenia, a nie od chwili samego incydentu technicznego. Zgłoszenia dokonuje się bez zbędnej zwłoki, a w razie przekroczenia terminu należy dołączyć wyjaśnienie przyczyn opóźnienia. Taki sposób liczenia i dokumentowania wynika z wytycznych oraz konstrukcji art. 33 RODO [3].
Na czym polega obowiązek z art. 33 RODO?
Centralnym punktem odniesienia jest art. 33 RODO, który nakłada na administratora obowiązek zgłoszenia naruszenia organowi nadzorczemu. Zgłoszenie powinno przedstawiać charakter naruszenia, przewidywane lub zaistniałe skutki oraz zastosowane lub planowane środki zaradcze. Mechanizm ma charakter reaktywny i szybki, dlatego administrator nie oczekuje na pełne zakończenie wszystkich analiz jeśli już stwierdził naruszenie. Ciężar oceny opiera się na ryzyku dla praw i wolności osób fizycznych oraz wymaga niezwłocznego działania [3].
Jak wygląda proces oceny i zgłoszenia?
Postępowanie obejmuje ciąg następujących czynności: wykrycie incydentu, jego ocenę pod kątem tego czy stanowi naruszenie ochrony danych osobowych, ustalenie skali i ryzyka, a następnie decyzję o zgłoszeniu do UODO wraz z informacjami niezbędnymi do oceny zdarzenia i planowanych środków ograniczających skutki. W praktyce kluczowe jest szybkie ustalenie, czy incydent rzeczywiście spełnia kryteria naruszenia w rozumieniu RODO. Zależność między ryzykiem a obowiązkiem zgłoszenia jest bezpośrednia, dlatego kompletność i terminowość zgłoszenia ma istotne znaczenie [3].
Co musi zawierać zgłoszenie do UODO?
Zgłoszenie powinno dostarczać danych pozwalających ocenić charakter naruszenia, jego skutki oraz zastosowane lub planowane środki zaradcze. Informacje te są kluczowe dla organu nadzorczego do oceny ryzyka i adekwatności działań naprawczych. W razie przekroczenia terminu należy dołączyć uzasadnienie opóźnienia zgodnie z zasadą działania bez zbędnej zwłoki [3].
Dlaczego szybka reakcja ma znaczenie?
Regulacyjny cel zgłaszania polega na możliwie najszybszym ograniczeniu skutków dla osób, których dane dotyczą. Z tego powodu administrator powinien zgłosić naruszenie niezwłocznie po jego stwierdzeniu i nie oczekiwać na zakończenie wszystkich analiz. Im większe prawdopodobieństwo negatywnych skutków, tym większe znaczenie ma natychmiastowe działanie i kompletne zgłoszenie [3].
Czym różni się zgłoszenie naruszenia od skargi osoby, której dane dotyczą?
W polskiej praktyce rozróżnia się tryb zgłoszenia naruszenia przez administratora do UODO od trybu skargi osoby, której dane dotyczą. Zgłoszenie naruszenia inicjuje administrator w wykonaniu obowiązku z art. 33 RODO, natomiast skargę składa osoba fizyczna w innym postępowaniu przed organem nadzorczym. To odrębne ścieżki o różnych podstawach prawnych i celach [4][6].
Jak złożyć zgłoszenie kanałami elektronicznymi?
UODO wskazuje preferowaną ścieżkę elektroniczną poprzez dedykowany formularz na biznes.gov.pl, który odzwierciedla wymagania formalne zgłoszenia. Alternatywnie można skorzystać z platformy ePUAP albo wysłać pismo ogólne na portalu biznes.gov.pl. Każda z tych metod spełnia wymogi komunikacji z organem nadzorczym [1][2].
Jaki jest adres do korespondencji UODO?
Jeśli wybierana jest forma tradycyjna, korespondencję kieruje się na adres: ul. Stawki 2, 00-193 Warszawa. Adres został wskazany w oficjalnych komunikatach i materiałach informacyjnych dotyczących kontaktu z urzędem [4][5][6].
Wykorzystane materiały
- https://uodo.gov.pl/pl/492/2278
- https://uodo.gov.pl/pl/file/4955
- https://www.edpb.europa.eu/system/files/documents/2024-10/edpb_guidelines_202209_personal_data_breach_notification_v2.0_pl_0.pdf
- https://uodo.gov.pl/pl/138/155
- https://www.biznes.gov.pl/pl/portal/ou889
- https://www.biznes.gov.pl/pl/portal/ou891
CyberThreat.pl to zespół pasjonatów i ekspertów cyberbezpieczeństwa, którzy przekładają skomplikowane zagadnienia na praktyczne porady i rzetelne analizy. Wierzymy, że wiedza i świadomość to najlepsza ochrona przed zagrożeniami cyfrowego świata. Nasze treści tworzymy z myślą o wszystkich użytkownikach internetu, dbając o wiarygodność, przejrzystość oraz edukację. CyberThreat.pl – szyfrujemy Twoją ciekawość!