Kategoria: RODO

Informacje na temat RODO

Opublikowane w

NARUSZENIE, KIEDY KONIECZNE POWIADOMIENIE. WAŻNY WYROK NSA

Jak podaje UODO „Naczelny Sąd Administracyjny potwierdził zarzuty Prezesa UODO do wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie związanego z karą w wysokości 159 176 zł, jaką Prezes UODO nałożył na sopockie Towarzystwo Ubezpieczeniowe Ergo Hestia SA za niezgłoszenie naruszenia ochrony danych osobowych i nie powiadomienie osoby nim dotkniętej. Sprawa trafi więc ponownie do rozpatrzenia przez WSA. Naruszenie dotyczyło wysyłki maila z niezaszyfrowanym załącznikiem z ofertą ubezpieczeniową, zawierającą dane osobowe (m.in. imię, nazwisko oraz numer PESEL) i informacje finansowe do niewłaściwej osoby.”

Młotek sąd

Rys.1 Grafika „uodo kara wyrok” Źródło: Designed by Freepik

NSA wskazał, jak należy interpretować obowiązek notyfikacji naruszenia wskazany w RODO (art. 34 ust. 1 w związku z art. 33 ust. 1):

  • Pomimo zaistnienia naruszenia ochrony danych osobowych administrator nie musi dokonywać zgłoszenia, jeżeli jest mało prawdopodobne, by skutkowało ono ryzykiem naruszenia praw lub wolności osób fizycznych. Prawa i wolności należy rozumieć podobnie jak na gruncie przepisu art. 6 ust. 1 lit. f RODO. W konsekwencji obowiązek notyfikacyjny nie ma charakteru bezwzględnego.
  • Oceny, czy występuje ryzyko naruszenia praw lub wolności człowieka, musi dokonać administrator. Ocena taka powinna być oparta na obiektywnych kryteriach (jak dotychczasowe doświadczenie związane z podobnymi sprawami, wiedza z zakresu bezpieczeństwa informacji) oraz na uwzględnieniu okoliczności samego naruszenia ochrony danych osobowych.
  • Żeby nie trzeba było zgłaszać naruszenia do PUODO, musimy mówić o małym prawdopodobieństwie, ale nie samego naruszenia praw lub wolności osób fizycznych, lecz ryzyka takiego naruszenia. Powoduje to szerszy zakres obowiązku niż w przypadku, gdyby ocena dotyczyła prawdopodobieństwa wystąpienia naruszenia praw lub wolności.
  • Nie jest konieczne, by wysokie ryzyko się zmaterializowało i by faktycznie doszło do naruszenia praw lub wolności. Dlatego nie ma znaczenia, czy ostatecznie ich naruszenie nastąpi. Wystarczy samo pojawienie się wysokiego ryzyka naruszenia.

Definicje i dobre praktyki.

Naruszenie ochrony danych osobowych to sytuacja, w której dochodzi do przypadkowego lub bezprawnego :

  • zniszczenia, utraty, zmodyfikowania albo ujawnienia danych osobowych;
  • albo dostępu do danych osobowych przez osobę nieuprawnioną.

Definicję znajdziesz w Rozporządzenie (UE) 2016/679 – RODO (art. 4 pkt 12).

Podejmij działania bez zbędniej zwłoki.

Gdy nastąpi naruszenie, może to oznaczać ryzyko dla praw lub wolności osób, których dane dotyczą – np. kradzież tożsamości, utrata poufności, szkoda finansowa lub naruszenie dobrego imienia.
Reagując szybko:

  • ograniczasz szkody dla tych osób;
  • realizujesz obowiązki prawne jako administrator danych;
  • pokazujesz, że administrujesz danymi odpowiedzialnie – co w administracji ma duże znaczenie wizerunkowe.

Jeśli zwlekasz, narażasz jednostkę na karę lub utratę zaufania.

 

Kiedy musisz zgłosić naruszenie do organu nadzorczego

Jeśli jako administrator danych stwierdzisz naruszenie, to:

  • musisz podjąć analizę okoliczności zdarzenia – co się stało, jakie dane, ile osób, jakie mogą być skutki;
  • jeśli z tej analizy wynika, że naruszenie „może skutkować ryzykiem dla praw lub wolności osób fizycznych”, to musisz zgłosić je do Urząd Ochrony Danych Osobowych (UODO) „bez zbędnej zwłoki” – w praktyce nie dłużej niż 72 godziny od momentu stwierdzenia naruszenia.
  • jeśli uznasz, że po tej analizie ryzyko jest mało prawdopodobne, to zgłoszenie do UODO nie jest obowiązkowe, ale musisz wpisać zdarzenie do wewnętrznego rejestru naruszeń.

Przykład: W Twojej jednostce doszło do wycieku danych zdrowotnych pracownika (np. wrażliwe dane – „dane dotyczące zdrowia”). Taki typ danych sam w sobie wskazuje na wysokie ryzyko, więc musisz zgłosić naruszenie do UODO.

Inny przykład: Utrata dysku służbowego zawierającego dane pracowników, ale dane były w pełni zaszyfrowane i nie było możliwości odszyfrowania – po analizie stwierdziłeś, że ryzyko jest bardzo niskie. W takim przypadku zgłoszenia do UODO możesz nie dokonać, ale wpisujesz incydent do rejestru.

Co musi zawierać zgłoszenie do UODO

W zgłoszeniu musisz podać:

  • charakter naruszenia – co się stało; jeśli możliwe, kategorie danych, przybliżoną liczbę osób, których dane dotyczą;
  • dane kontaktowe – np. imię i nazwisko IOD-a lub innego punktu kontaktowego;
  • przewidywane skutki naruszenia dla osób;
  • opis działań podjętych lub planowanych przez Ciebie – co zrobiłeś, żeby zminimalizować szkody.

Jeśli nie masz wszystkich informacji w momencie zgłoszenia – możesz przesłać zgłoszenie wstępne, a resztę uzupełnić później, ale w terminie 72 godzin.

Praktyczna wskazówka: Zadbaj, by Twoje procedury incydentu przewidywały szybkie zebranie tych danych – kto zgłosił, kiedy, jakie dane dotknięte, jakie osoby mogły mieć dostęp, jakie środki ochrony były zastosowane.

Kiedy trzeba zawiadomić osoby, których dane dotyczą

Osoby (np. uczniowie, pracownicy, klienci), których dane zostały naruszone, muszą być zawiadomione wtedy, gdy naruszenie „może powodować wysokie ryzyko dla praw lub wolności tych osób”.
Zawiadomienie powinno być napisane prostym językiem. W treści wskaż:

  • co się stało;
  • jakie dane zostały naruszone;
  • jakie mogą być skutki;
  • co robisz, by ograniczyć szkody;
  • dane kontaktowe, gdzie można uzyskać więcej informacji.
    Jeśli natomiast dane zostały np. zaszyfrowane i ryzyko jest bardzo małe – zawiadomienie osób może nie być wymagane.

Przykład: W Twojej organizacji e-mailem wysłano listę z nr PESEL i adresami domowymi 50 pracowników do nieuprawnionej osoby. To jest wysokie ryzyko – należy zawiadomić te osoby.

Przykładowa procedura obsługi incydentu.

  1. Natychmiast po wykryciu incydentu:
    • zbierz początkowe informacje: co się stało, kiedy, jakie dane, ile osób;
    • odizoluj źródło naruszenia (np. wyłącz dostęp, zmień hasła, zabezpiecz system).
  1. Przeprowadź analizę ryzyka:
  • jakie dane naruszono (np. wrażliwe dane, dane zwykłe);
  • jaka jest liczba osób poszkodowanych;
  • czy dane są zaszyfrowane lub w jaki sposób zabezpieczone;
  • czy możliwe są konsekwencje (kradzież tożsamości, szkoda finansowa, naruszenie dobrego imienia).
  1. W ciągu maksymalnie 72 godzin od stwierdzenia naruszenia (jeśli ryzyko nie zostało wykluczone):
  • złóż zgłoszenie do UODO za pomocą formularza elektronicznego.
  • jeśli potrzebujesz więcej czasu na szczegółowe dane, wyślij zgłoszenie wstępne.
  1. Zdecyduj i jeśli trzeba – zawiadom osoby, których dane dotyczą:
  • ułóż prostą wiadomość (lub listę) z wyjaśnieniem;
  • podaj informacje kontaktowe;
  • doradź, co te osoby mogą zrobić same (np. zmiana hasła, czujność na podejrzane e-mail).
  1. Prowadź rejestr naruszeń: wpisz każdy przypadek – nawet jeśli nie musiałeś zgłaszać. Rejestr powinien zawierać okoliczności zdarzenia, ocenę ryzyka i podjęte działania.
  2. Zrewiduj procedury: po incydencie zweryfikuj, czy Twoje mechanizmy ochrony były wystarczające. Upewnij się, że masz plan wykrywania naruszeń i reagowania na nie.

Typowe błędy, które widuję i które Ty możesz uniknąć

  • Brak lub opóźnione zgłoszenie do UODO – termin 72 godzin jest kluczowy.
  • Ocena „ryzyko = niski” bez uzasadnienia – jeżeli nie udokumentujesz decyzji, organ może uznać to za naruszenie przepisów.
  • Zawiadomienie osób w sposób niewłaściwy – użycie trudnego języka, pominięcie informacji o tym, co mogą zrobić sami.
  • Brak odizolowania incydentu – przysłowiowe „zasypanie sprawy” bez działań naprawczych.
  • Nieprowadzenie rejestru naruszeń – co utrudnia wykazanie, że działasz zgodnie z zasadą rozliczalności.

Zastanów się teraz – czy Twoja jednostka ma procedurę zgłaszania naruszeń? Czy masz wzór rejestru incydentów? Czy każda osoba odpowiedzialna wie, co robić, gdy wykryje wyciek danych? Jeżeli nie – koniecznie to uzupełnij. Jeśli już masz – sprawdź, czy uwzględnia wszystkie powyższe kroki i wskazówki.

 

Źródła:

Opublikowane w

Polityka prywatności i plików cookies

Flaga UE

Polityka prywatności i plików cookies

Data ostatniej aktualizacji: 12 października 2026 r.

1. Administrator danych

Administratorem danych osobowych jest Witold Bzdęga, prowadzący działalność gospodarczą pod firmą COMWIT Witold Bzdęga, Lechlin 3, 62-085 Skoki, NIP 7772349605, zwany dalej „Administratorem”.

Kontakt z Administratorem:

  • e-mail: comwit@comwit.pl
  • telefon: +48 606 648 004
  • listownie na adres siedziby.

Administrator nie wyznaczył inspektora ochrony danych, ponieważ nie ma takiego obowiązku na podstawie art. 37 RODO. We wszystkich sprawach dotyczących danych osobowych można kontaktować się bezpośrednio z Administratorem.

2. Podstawy prawne

Dane osobowe przetwarzamy zgodnie z:

  1. rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), Dz. Urz. UE L 119 z 4.05.2016, s. 1, zwanym dalej „RODO”,
  2. ustawą z dnia 10 maja 2018 r. o ochronie danych osobowych,
  3. ustawą z dnia 12 lipca 2024 r. Prawo komunikacji elektronicznej (Dz. U. z 2024 r. poz. 1221 z późn. zm.), w zakresie przechowywania informacji w urządzeniu końcowym użytkownika.

3. Cele i podstawy przetwarzania

Cel przetwarzania Podstawa prawna
Odpowiedź na zapytanie przesłane e-mailem lub telefonicznie art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Administratora polegający na prowadzeniu korespondencji), a gdy zapytanie dotyczy zawarcia umowy, art. 6 ust. 1 lit. b RODO
Przygotowanie oferty, zawarcie i wykonanie umowy art. 6 ust. 1 lit. b RODO
Wystawianie faktur oraz prowadzenie dokumentacji podatkowej i księgowej art. 6 ust. 1 lit. c RODO w związku z przepisami prawa podatkowego
Ustalenie, dochodzenie lub obrona roszczeń art. 6 ust. 1 lit. f RODO
Zapewnienie prawidłowego działania i bezpieczeństwa strony internetowej art. 6 ust. 1 lit. f RODO

4. Okres przechowywania danych

  1. Korespondencja niezwiązana z umową: do zakończenia sprawy, której dotyczy, a następnie do upływu terminu przedawnienia ewentualnych roszczeń.
  2. Dane związane z umową: przez okres jej wykonywania, a po jej zakończeniu do upływu terminu przedawnienia roszczeń określonego w art. 118 Kodeksu cywilnego. Termin ten wynosi co do zasady 6 lat, a dla roszczeń związanych z prowadzeniem działalności gospodarczej 3 lata, przy czym koniec terminu przypada na ostatni dzień roku kalendarzowego.
  3. Dokumentacja podatkowa: przez 5 lat, licząc od końca roku kalendarzowego, w którym upłynął termin płatności podatku (art. 86 § 1 ustawy z dnia 29 sierpnia 1997 r. Ordynacja podatkowa).
  4. Dane zapisywane w logach serwera: przez okres niezbędny do zapewnienia bezpieczeństwa strony, zgodnie z ustawieniami dostawcy usług hostingowych.

5. Odbiorcy danych

Dane mogą być przekazywane wyłącznie w niezbędnym zakresie:

  1. dostawcy usług hostingowych i poczty elektronicznej,
  2. podmiotowi świadczącemu usługi księgowe na rzecz Administratora,
  3. organom publicznym, jeżeli obowiązek przekazania danych wynika z przepisów prawa.

Podmioty przetwarzające dane w imieniu Administratora działają na podstawie umowy powierzenia przetwarzania danych, o której mowa w art. 28 RODO.

6. Przekazywanie danych poza Europejski Obszar Gospodarczy

Dane osobowe nie są przekazywane do państw trzecich ani organizacji międzynarodowych. Wszystkie zasoby strony, w tym czcionki i skrypty, są udostępniane z serwera Administratora, bez korzystania z usług podmiotów zewnętrznych.

7. Prawa osób, których dane dotyczą

Przysługuje Pani/Panu prawo do:

  1. dostępu do danych (art. 15 RODO),
  2. sprostowania danych (art. 16 RODO),
  3. usunięcia danych (art. 17 RODO),
  4. ograniczenia przetwarzania (art. 18 RODO),
  5. przenoszenia danych przetwarzanych na podstawie umowy (art. 20 RODO),
  6. wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie Administratora, z przyczyn związanych ze szczególną sytuacją (art. 21 RODO).

Żądania można kierować na dane kontaktowe wskazane w punkcie 1.

Przysługuje Pani/Panu również prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa (art. 77 RODO).

8. Dobrowolność podania danych

Podanie danych jest dobrowolne. Bez podania danych kontaktowych nie będzie możliwa odpowiedź na zapytanie, a bez danych niezbędnych do zawarcia umowy i wystawienia faktury nie będzie możliwe świadczenie usług.

9. Zautomatyzowane podejmowanie decyzji

Dane osobowe nie są wykorzystywane do zautomatyzowanego podejmowania decyzji, w tym do profilowania, o którym mowa w art. 22 RODO.

10. Pliki cookies

  1. Strona wykorzystuje wyłącznie pliki cookies i mechanizmy przechowywania danych w przeglądarce niezbędne do jej prawidłowego działania. Strona nie stosuje plików cookies analitycznych, marketingowych ani pochodzących od podmiotów trzecich.
  2. Zgodnie z art. 399 ust. 3 ustawy Prawo komunikacji elektronicznej stosowanie plików niezbędnych do świadczenia usługi nie wymaga zgody użytkownika.
  3. Użytkownik może w każdej chwili usunąć lub zablokować pliki cookies w ustawieniach swojej przeglądarki internetowej. Zablokowanie plików niezbędnych może utrudnić korzystanie ze strony.

Wykaz stosowanych plików i mechanizmów:

Nazwa Rodzaj Cel Czas przechowywania
cookieyes-consent plik cookie zapamiętanie decyzji użytkownika dotyczącej plików cookies 12 miesięcy
wpEmojiSettingsSupports pamięć sesji przeglądarki sprawdzenie, czy przeglądarka obsługuje znaki emoji do zamknięcia karty przeglądarki

11. Logi serwera

Serwer, na którym działa strona, automatycznie zapisuje informacje o odwołaniach do niej, w szczególności: adres IP, datę i godzinę żądania, adres URL żądanego zasobu, kod odpowiedzi serwera, adres strony odsyłającej oraz informacje o przeglądarce. Dane te są wykorzystywane wyłącznie w celu zapewnienia bezpieczeństwa i prawidłowego działania strony oraz nie są łączone z innymi danymi w celu identyfikacji użytkowników.

12. Linki zewnętrzne

Strona zawiera odnośniki do serwisów zewnętrznych, w tym do pobrania oprogramowania TeamViewer służącego do zdalnej pomocy technicznej. Po przejściu do tych serwisów obowiązują polityki prywatności ich właścicieli.

13. Zmiany polityki

Polityka może być aktualizowana w przypadku zmiany przepisów prawa lub sposobu działania strony. Aktualna wersja jest zawsze dostępna pod adresem www.comwit.pl/rodo.