Naruszenie danych osobowych zgłasza się do Prezesa Urzędu Ochrony Danych Osobowych czyli PUODO. Administrator danych ma obowiązek zgłosić je organowi nadzorczemu w ciągu 72 godzin od stwierdzenia incydentu, gdy istnieje ryzyko naruszenia praw lub wolności osób. Osoba fizyczna może zawiadomić administratora, a gdy jego działania są niewystarczające, skierować sprawę do PUODO. Poniżej znajdziesz uporządkowany opis całego procesu.
Do kogo zgłosić naruszenie danych osobowych?
Właściwym organem do przyjmowania zawiadomień o naruszeniach ochrony danych jest Prezes Urzędu Ochrony Danych Osobowych. To do PUODO trafia formalne zgłoszenie, jeżeli spełnione są warunki ustawowe.
Zawiadomienie do PUODO poprzedza kontakt z administratorem danych. W pierwszej kolejności należy przekazać mu informację o zdarzeniu i umożliwić podjęcie działań naprawczych. Jeżeli reakcja administratora jest niewystarczająca lub brak jest odpowiedzi, sprawę kieruje się do organu nadzorczego.
Kto i kiedy ma prawo lub obowiązek zgłosić naruszenie?
Zgłosić incydent może osoba fizyczna, której dane dotyczą, jej wyznaczony pełnomocnik, administrator danych oraz pełnomocnik działający w imieniu administratora.
Zgłoszenie do PUODO jest obowiązkowe po stronie administratora wyłącznie wtedy, gdy naruszenie może skutkować ryzykiem dla praw lub wolności osób fizycznych. W pozostałych przypadkach administrator prowadzi wewnętrzną dokumentację zdarzenia.
Administrator danych lub jednostka publiczna przetwarzająca dane muszą zawiadomić organ nadzorczy bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia. Jeżeli termin został przekroczony, do zgłoszenia dołącza się wyjaśnienie przyczyn opóźnienia.
Jakie są obowiązki pracowników i podmiotów przetwarzających?
Pracownik, który stwierdził naruszenie przepisów RODO, ma obowiązek niezwłocznie poinformować Inspektora Ochrony Danych oraz bezpośredniego przełożonego. Zapewnia to szybkie uruchomienie procedur wewnętrznych.
Jeżeli do naruszenia doszło u podmiotu przetwarzającego, podmiot ten musi bez zbędnej zwłoki zawiadomić o zdarzeniu administratora. Administrator ocenia ryzyko i decyduje o dalszych krokach, w tym o konieczności zgłoszenia sprawy do PUODO.
Jak zacząć po stwierdzeniu naruszenia?
W pierwszym kroku należy niezwłocznie skontaktować się z administratorem danych lub z Inspektorem Ochrony Danych po stronie administratora. Administrator jest zobowiązany zareagować, podjąć działania naprawcze i ocenić ryzyko.
Jeżeli administrator nie podejmie właściwych działań lub reakcja będzie niewystarczająca, osoba, której dane dotyczą, może wnieść zawiadomienie do PUODO. Do zgłoszenia warto dołączyć materiał dowodowy potwierdzający opisane okoliczności.
Jak wygląda proces zgłoszenia do PUODO?
Procedura obejmuje trzy kroki: przygotowanie dokumentacji, wypełnienie formularza oraz złożenie zgłoszenia odpowiednim kanałem. Poniżej kluczowe elementy każdego z nich.
- Przygotowanie dokumentacji obejmuje spisanie szczegółowego opisu zdarzenia i dołączenie dowodów potwierdzających okoliczności, w tym zrzutów ekranu i kopii dokumentów.
- Wypełnienie formularza odbywa się na dedykowanym formularzu online lub w pliku PDF dostępnym na stronie uodo.gov.pl.
- Złożenie zgłoszenia możliwe jest elektronicznie przez ePUAP, osobiście w siedzibie UODO lub pocztą tradycyjną.
Jakie informacje musi zawierać zgłoszenie?
Kompletne zgłoszenie do PUODO powinno zawierać dane umożliwiające identyfikację sprawy, ocenę ryzyka oraz weryfikację działań podjętych przez administratora. W szczególności obejmuje:
- Dane kontaktowe administratora danych lub Inspektora Ochrony Danych.
- Opis naruszenia i jego charakter.
- Kategorie danych osobowych objętych naruszeniem.
- Przybliżoną liczbę osób, których dane dotyczą.
- Przybliżoną liczbę rekordów danych osobowych.
- Ocenę ryzyka dla praw i wolności osób fizycznych.
- Możliwe konsekwencje naruszenia.
- Środki zastosowane lub proponowane w celu zaradzenia naruszeniu i ograniczenia jego skutków.
Jak złożyć zgłoszenie technicznie?
Zgłoszenie można złożyć na trzy sposoby. Elektronicznie za pośrednictwem platformy ePUAP, osobiście w siedzibie UODO lub listownie pocztą tradycyjną. W każdym przypadku należy korzystać z aktualnego formularza dostępnego na stronie urzędu i dołączyć wymagane informacje oraz dowody.
Jeżeli zgłoszenie następuje po upływie 72 godzin od stwierdzenia naruszenia, do dokumentacji dołącza się uzasadnienie opóźnienia. Brak uzasadnienia nie wstrzymuje postępowania, ale stanowi uchybienie po stronie administratora.
Jakie dowody dołączyć do zgłoszenia?
Do zgłoszenia dołącza się materiały dowodowe potwierdzające okoliczności opisane w zawiadomieniu. W szczególności są to zrzuty ekranu i kopie dokumentów. Dowody powinny korespondować z opisem naruszenia oraz danymi wskazanymi w formularzu.
Jak prowadzić dokumentację naruszeń wewnątrz organizacji?
Każde naruszenie podlega wewnętrznemu udokumentowaniu, niezależnie od tego, czy było zgłaszane do UODO. Dokumentacja potwierdza przeprowadzenie oceny ryzyka oraz wskazuje zastosowane środki i działania naprawcze.
Ile czasu jest na zgłoszenie i co w przypadku przekroczenia terminu?
Administrator dokonuje zgłoszenia bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia. Jeżeli termin ten nie został dotrzymany, do zawiadomienia dołącza się wyjaśnienie przyczyn opóźnienia oraz informacje o działaniach podjętych w międzyczasie.
Ile trwa rozpatrywanie zgłoszenia przez PUODO?
Dostępne materiały nie zawierają statystyk dotyczących liczby zgłoszeń, poziomu zgodności z wymogami RODO ani typowych czasów rozpatrywania spraw przez PUODO. Terminy zależą od charakteru sprawy oraz kompletności przekazanych informacji i dowodów.
Podsumowanie: co zrobić krok po kroku?
Najpierw poinformuj administratora danych lub Inspektora Ochrony Danych. Administrator ocenia ryzyko, dokumentuje zdarzenie i w razie potrzeby zgłasza je do PUODO w ciągu 72 godzin. Jeżeli działania administratora są niewystarczające, złóż zawiadomienie do organu nadzorczego, korzystając z formularza na stronie uodo.gov.pl i dostarcz je przez ePUAP, osobiście lub pocztą. Dołącz dowody, wskaż charakter naruszenia, kategorie danych, liczby, ocenę ryzyka, możliwe konsekwencje i zastosowane środki. Każde naruszenie dokumentuj wewnętrznie niezależnie od zgłoszenia do urzędu.
PowszechnaSamoobrona.pl to wiodący portal edukacyjny o szeroko pojętym bezpieczeństwie. Nasz zespół ekspertów dostarcza sprawdzoną wiedzę z zakresu bezpieczeństwa osobistego, systemów zabezpieczeń, cyberbezpieczeństwa, survivalu oraz zdrowia i sprawności. Kierujemy się zasadą „Chroń siebie. Chroń bliskich. Działaj świadomie.” dostarczając praktyczne rozwiązania i rzetelne informacje dla świadomych odbiorców.