przepis

RODO

RODO prawie na pewno już Cię dotyczy. Ta strona omawia tylko bezpieczeństwo danych: odpowiednie środki, podmioty przetwarzające, 72 godziny na zgłoszenie naruszenia i wykazanie, co zrobiono.

ostatnio sprawdzone 2 listopada 2026
czym jest
Rozporządzenie, stosowane od 25 maja 2018 r.
kogo dotyczy
Każdego, kto przetwarza dane osobowe. W tym dokumentację Twoich pracowników.
próg wielkości
Brak w zakresie bezpieczeństwa. Poniżej 250 pracowników można pominąć rejestr czynności przetwarzania tylko wtedy, gdy przetwarzanie jest okazjonalne, niskiego ryzyka i nie obejmuje szczególnych kategorii danych.
górne granice kar
10 mln euro lub 2% za obowiązki dotyczące bezpieczeństwa i naruszeń. 20 mln euro lub 4% za podstawowe zasady.
kto odpowiada
Administrator, a podmioty przetwarzające także we własnym zakresie.
stan
Stosowane. Propozycja wydłużyłaby termin zgłoszenia naruszenia, ale nie jest prawem.
w Polsce
Organem nadzorczym jest Prezes UODO. Krajowa ustawa: ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych, tekst jednolity Dz.U. 2019 poz. 1781.

podstawa RODO art. 2(1), 30(5), 32(1), 83(4), 83(5), 99(2)

01

do czego sprowadza się strona bezpieczeństwa

RODO jest długie, a z innymi przepisami pokrywa się tylko jego część. Ta część to cztery rzeczy.

  • Bezpieczeństwo dopasowane do ryzyka dla ludzi. Szyfrowanie tam, gdzie ma sens, poufne i dostępne systemy, możliwość przywrócenia danych oraz regularne testy, czy to wszystko działa.
  • Dowód. Odpowiadasz za zgodność i musisz umieć ją wykazać.
  • Sprawdzone podmioty przetwarzające. Podmiot przetwarzający to ten, kto przetwarza dane w Twoim imieniu. Korzystaj tylko z takich, które dają wystarczające gwarancje, na podstawie umowy z wymienionymi elementami.
  • Procedura na naruszenie. Zgłaszasz organowi nadzorczemu, czasem informujesz osoby, których to dotyczy, a rejestr prowadzisz zawsze.

podstawa RODO art. 5(2), 24(1), 28(1), 28(3), 32(1), 33(5)

02

naruszenie krok po kroku

naruszenie ochrony danych osobowych, krok po kroku

  1. Czy dane osobowe zostały utracone, ujawnione, zmienione lub udostępnione bez uprawnienia?
    tak
    nieTo nadal może być incydent bezpieczeństwa. Sprawdź pozostałe terminy.
  2. Czy ryzyko dla osób jest mało prawdopodobne?
    nie
    takZgłoszenie niepotrzebne. Zapisz naruszenie i swoje uzasadnienie.
  3. Czy ryzyko dla osób jest wysokie?
    tak lub nie
    takPowiadom też te osoby, bez zbędnej zwłoki.
  4. Powiadom organ w ciągu 72 godzin, jeśli to wykonalne. Dozwolone jest zgłaszanie etapami. Zapisz zdarzenie.

podstawa RODO art. 33(1), 33(4), 33(5), 34(1)

Termin biegnie od chwili, gdy dowiadujesz się o naruszeniu. Europejska Rada Ochrony Danych rozumie przez to moment, w którym masz rozsądny stopień pewności, że do naruszenia doszło, po krótkim badaniu rozpoczętym niezwłocznie. Czekanie na pełny obraz sytuacji nie przesuwa początku terminu.

podstawa RODO art. 33(1); EDPB, wytyczne 9/2022

03

dlaczego o wyniku decydują dokumenty firmy

Naruszenie nie dowodzi, że zabezpieczenia były niewystarczające. Nadal musisz wykazać, że były wystarczające.

Trybunał Sprawiedliwości orzekł obie połowy tego zdania w grudniu 2023 r. Samo nieuprawnione uzyskanie dostępu nie świadczy o tym, że środki były nieodpowiednie. W sprawie o odszkodowanie to Ty musisz wykazać, że były odpowiednie. W praktyce chronią Cię dowody opisane poniżej.

od zabezpieczenia do odpowiedzi

  1. 1zabezpieczenie działaprzegląd dostępów, test odtwarzania, decyzja zarządu
  2. 2zostaje zapisdatowany eksport, podpisana lista, protokół
  3. 3właściciel sprawdzawskazana osoba, w ustalonym rytmie
  4. 4zapis trafia do aktjedno miejsce, nazwane datą i zabezpieczeniem

te same akta odpowiadają

  • zarządowico zdecydowaliśmy i czy to działa?
  • audytorowipokaż mi ostatni
  • organowiczy Wasze środki były odpowiednie?
  • klientowiankieta bezpieczeństwa
Prawo wymaga, byś potrafił pokazać swoją pracę. Zapis twórz wtedy, gdy zabezpieczenie działa, bo tydzień przed audytem nie da się go odtworzyć.

podstawa RODO art. 5(2), 24(1); NIS2 art. 21(2)(f)

podstawa TSUE, C-340/21; RODO art. 5(2), 24(1), 32(1), 82(3)

04

co może się zmienić, choć jeszcze się nie zmieniło

Digital Omnibus, zaproponowany w listopadzie 2025 r., zmieniłby RODO. Doniesienia prasowe mówią o terminie 96 godzin, zgłaszaniu tylko naruszeń wysokiego ryzyka i preferencji Rady dla krajowych punktów kontaktowych. Nie sprawdzono tego z ostatecznym mandatem Rady, a strona Parlamentu pokazuje, że projekt czeka na decyzję komisji. Dziś obowiązuje termin 72 godzin.

podstawa procedura 2025/0360(COD); RODO art. 33(1)

05

UODO i krajowa ustawa o ochronie danych

Organem nadzorczym w rozumieniu RODO jest w Polsce Prezes Urzędu Ochrony Danych Osobowych (Prezes UODO), który według krajowej ustawy jest też organem właściwym w sprawach ochrony danych osobowych. Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych ma tekst jednolity ogłoszony jako Dz.U. 2019 poz. 1781. Według bazy aktów Sejmu jest to akt obowiązujący, zmieniony po ogłoszeniu tekstu jednolitego m.in. aktami z 2026 r. (poz. 252, 548 i 1003).

Urząd udostępnia formularze elektroniczne, na przykład do wniosku o uprzednie konsultacje. Kanału, jakim przesyła się zgłoszenie naruszenia, nie potwierdzono na stronie urzędu. Zanim ułożysz procedurę, sprawdź go na uodo.gov.pl.

podstawa krajowa ustawa o ochronie danych osobowych, tekst jednolity Dz.U. 2019 poz. 1781, przepisy o Prezesie UODO odczytane 2 listopada 2026 r. w api.sejm.gov.pl

sprawdź sam

twój następny krok

Wybierz jedno niedawne zdarzenie dotyczące bezpieczeństwa i zapisz w jednym akapicie, czy było naruszeniem ochrony danych osobowych i dlaczego.

otwórz pracę nad incydentami