Wyciek danych: kiedy firma nie musi o nim mówić

Po wycieku danych firma nie zawsze ma obowiązek napisać do osób, których to dotyczy. RODO rozdziela dwie rzeczy, które łatwo pomylić: zgłoszenie do urzędu i zawiadomienie ludzi. Każda z nich ma inny próg, więc brak wiadomości od firmy nie mówi jeszcze, czy doszło do naruszenia.

Pierwszy próg to **art. 33 RODO**. Administrator zgłasza naruszenie Prezesowi UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od jego stwierdzenia. Może tego nie robić tylko wtedy, gdy jest mało prawdopodobne, by naruszenie spowodowało ryzyko dla praw lub wolności osób. Drugi próg to art. 34: osoby, których dane dotyczą, trzeba zawiadomić wtedy, gdy ryzyko jest **wysokie**. Naruszenie może więc trafić do urzędu, a klienci nie dostaną o nim wiadomości.

Sam kanał zgłoszeń też się upraszcza. Urząd przypomniał 3 listopada 2026 r., że podmioty objęte krajowym systemem cyberbezpieczeństwa mogą zgłosić naruszenie przez platformę S46 razem z incydentem. Ma to przyspieszyć obsługę spraw, ale nie zmienia obowiązków firmy ani uprawnień osoby, której dane wyciekły.

Prezes UODO wyjaśnił to w **komunikacie z 5 października 2026 r.**, wydanym po incydentach w bazach kontrahentów i systemach fakturowych. Urząd nie wymienia w nim żadnej firmy. Zgłoszenie zwykle nie jest potrzebne, gdy ujawniono dane przedsiębiorcy dostępne w jawnym rejestrze CEIDG, takie jak imię i nazwisko, nazwa firmy, NIP czy oficjalny adres działalności.

Inaczej jest, gdy wraz z takimi danymi ujawniono informacje mogące posłużyć do oszustwa lub kradzieży tożsamości. Urząd wymienia numer PESEL, szczegóły zakupów wskazujące na stan zdrowia oraz informacje finansowe. Dlatego wynik zależy od zakresu danych. W opisanym u nas wycieku danych z Fakturowni spółka wskazała m.in. treść faktur i numery rachunków, więc każdy właściciel konta musiał ocenić swoją sytuację osobno.

Brak zgłoszenia nie zamyka sprawy po stronie firmy. Administrator musi przeprowadzić i udokumentować ocenę ryzyka, a naruszenie wpisać do wewnętrznego rejestru razem z powodami swojej decyzji. Art. 33 ust. 5 RODO wymaga takiej dokumentacji przy każdym naruszeniu, a Prezes UODO może ją sprawdzić.

Art. 34 ust. 3 RODO zwalnia z zawiadomienia także przy wysokim ryzyku, ale tylko w trzech sytuacjach. Pierwsza: dane były zabezpieczone tak, że osoba nieuprawniona nie może ich odczytać, na przykład szyfrowaniem. Druga: firma zastosowała później środki eliminujące prawdopodobieństwo wysokiego ryzyka. Trzecia: zawiadamianie każdego wymagałoby niewspółmiernie dużego wysiłku. Wtedy firma musi wydać publiczny komunikat albo użyć podobnie skutecznego środka.

Ostatnie słowo nie należy do firmy. Art. 34 ust. 4 pozwala Prezesowi UODO zażądać zawiadomienia, jeśli uzna, że wysokie ryzyko jest prawdopodobne. Niezawiadomienie klientów bywa też podstawą kary UODO: w rejestrze opisujemy karę 4,05 mln zł dla mBanku właśnie z tego powodu.

Komisja Europejska zaproponowała 19 listopada 2025 r. pakiet Digital Omnibus, który zmienia także RODO. Firmy miałyby zgłaszać urzędowi tylko naruszenia mogące powodować wysokie ryzyko, czyli przy tym samym progu co zawiadomienie osób. Termin wydłużyłby się z 72 do 96 godzin.

Europejska Rada Ochrony Danych i Europejski Inspektor Ochrony Danych poparły obie zmiany we **wspólnej opinii** z 11 lutego 2026 r. Oceniły, że nie powinno to istotnie obniżyć poziomu ochrony, a urzędy będą mogły skupić się na poważniejszych sprawach. Przypomniały też, że obowiązek dokumentowania wszystkich naruszeń zostaje. To wciąż projekt: Parlament Europejski podaje, że czeka on na decyzję komisji. Dziś obowiązuje więc art. 33 RODO w obecnym brzmieniu.

Uczciwie: brak wiadomości od firmy nie przesądza, że Twoje dane są bezpieczne, ani że firma złamała prawo. Mogła uznać, że ryzyko nie jest wysokie, zawiadomić tylko część osób albo jeszcze nie ustalić zakresu naruszenia.

Jak sprawdzić, czy moje dane wyciekły? Rządowy serwis **bezpiecznedane.gov.pl** obejmuje część zbiorów, a firmę można zapytać wprost na podstawie art. 15 RODO. Odpowiedź zasadniczo powinna przyjść w ciągu miesiąca. Jeśli w grę wchodzi numer PESEL, rozsądnym krokiem jest jego zastrzeżenie.

Gdy ktoś uważa, że firma powinna go zawiadomić, a tego nie zrobiła, może złożyć skargę do UODO. Służy ona wymuszeniu przestrzegania przepisów. O odszkodowaniu za wyciek danych decyduje sąd cywilny, a sam brak zawiadomienia nie przesądza o jego wyniku.