Ashio whistleblowing software

Nov 2, 2026

Zgłoszenie sygnalisty a obowiązki administratora danych — jak rozpatrzyć sprawę o wyciek danych

Zgłoszenie sygnalisty a obowiązki administratora danych — jak rozpatrzyć sprawę o wyciek danych

Sygnalista zgłasza, że w firmowym CRM wyciekły dane 500 klientów. Czy to już incydent RODO wymagający zawiadomienia PUODO w 72 godziny, czy najpierw sprawa w ramach ustawy o ochronie sygnalistów? Oba tryby mogą działać równolegle. Pytanie „sygnalista a obowiązki administratora danych” wymaga rozdzielenia trzech kwestii: ochrony zgłaszającego, prowadzenia postępowania wewnętrznego i oceny naruszenia ochrony danych.

Spis treści

Najważniejsze wnioski

  • Zgłoszenie sygnalisty o wycieku danych może rozpocząć zarówno postępowanie według ustawy o ochronie sygnalistów, jak i ocenę incydentu RODO.
  • Administrator danych ocenia ryzyko naruszenia niezależnie od tego, kto zgłosił sprawę; termin 72 godzin liczy się od momentu, gdy administrator powziął wiadomość o naruszeniu.
  • Rejestr zgłoszeń sygnalistów i rejestr czynności przetwarzania służą różnym celom, dlatego nie należy ich utożamiać.
  • Im więcej danych dotyczy sprawy, tym ważniejsze jest ograniczenie kręgu osób mających dostęp do informacji.
  • Podanie 500 klientów w zgłoszeniu nie oznacza automatycznie, że doszło do naruszenia RODO; liczy się charakter, zakres i skutki ujawnienia danych.

Kiedy zgłoszenie sygnalisty dotyczy naruszenia ochrony danych

Zgłoszenie sygnalisty dotyczy naruszenia ochrony danych, gdy wskazuje na konkretne ujawnienie, utratę, zniszczenie lub niedostępność danych osobowych, do których sygnalista nie powinien mieć dostępu. Typowym przykładem jest wyciek danych klientów z CRM, przypadkowe udostępnienie bazy kontrahentowi albo ujawnienie dokumentów zawierających dane pracowników.

Nie każde zgłoszenie dotyczące bezpieczeństwa automatycznie spełnia definicję naruszenia ochrony danych. Administrator danych musi ustalić przede wszystkim:

  • czy dane osobowe rzeczywiście zostały ujawnione lub utracone;
  • jakie kategorie danych i osób są objęte zdarzeniem;
  • czy osoba nieuprawniona otrzymała dostęp do danych;
  • jakie są możliwe skutki dla osób, których dane dotyczą;
  • czy zdarzenie miało charakter odizolowany, powtarzalny albo trwały.

W praktyce zgłoszenie sygnalisty bywa jedynie sygnałem ostrzegawczym. Sygnalista mówi na przykład, że widział eksport bazy wysłany na niewłaściwy adres, ale nie zna pełnej zawartości pliku ani liczby odbiorców. Takiej informacji nie należy automatycznie traktować jako potwierdzonego incydentu.

W ocenie należy rozróżniać zgłoszenie od potwierdzonego naruszenia ochrony danych; pomocne może być również przywołanie materiałów dostępnych w bazie wiedzy Ashio. Podstawowym źródłem oceny pozostaje jednak stan faktyczny: komunikacja zgłaszającego, dostęp do logów, zakres uprawnień oraz okoliczności ujawnienia.

Czy administrator danych musi wszcząć osobne postępowanie RODO

Tak, administrator danych musi ocenić zgłoszenie jako potencjalne naruszenie ochrony danych i podjąć niezależną ocenę zgodności z RODO, nawet jeżeli sprawa jest również prowadzona jako zgłoszenie sygnalisty. Nie trzeba tworzyć dwóch odrębnych, powielonych postępowań, lecz oba tryby wymagają odrębnych dowodów, analiz i terminów.

Art. 33 RODO nakłada na administratora obowiązek zgłoszenia naruszenia organowi nadzorczemu, jeżeli jest prawdopodobne, że naruszenie skutkowało naruszeniem praw lub wolności osób, z których danych dotyczy sprawa. Administrator ma na to 72 godziny od momentu powzięcia wiadomości o naruszeniu, chyba że jest prawdopodobne, że naruszenie nie skutkowało naruszeniem praw lub wolności osób.

„Zgłoszenie naruszenia ochrony danych” może więc obejmować zdarzenie wynikające z:

  • nieuprawnionego dostępu do systemu CRM;
  • wysłania bazy klientów do podmiotu zewnętrznego;
  • utraty urządzenia z bazą danych;
  • ujawnienia danych przez błędne uprawnienia;
  • udostępnienia dokumentów lub eksportu niewłaściwej osobie.

Z kolei art. 34 RODO przewiduje obowiązek poinformowania osoby, której dane dotyczą, gdy naruszenie prawdopodobnie skutkuje wysokim ryzykiem dla jej praw i wolności. Obowiązek ten nie jest automatycznie reakcją na każdy przypadek. Ocenia się rodzaj danych, prawdopodobieństwo ich wykorzystania, widoczne skutki dla osoby oraz środki zabezpieczające zastosowane po zdarzeniu.

Podwójne postępowanie RODO i ustawa o ochronie sygnalistów nie oznacza wyboru jednej ścieżki zamiast drugiej. Administrator powinien prowadzić równoległą ocenę, ustalając wspólne fakty, ale zachowując odrębne cele, poufność i uprawnienia osób zaangażowanych w każdy tryb.

Jak powiązać art. 33 RODO z terminami ustawy o sygnalistach

Jak powiązać art. 33 RODO z terminami ustawy o sygnalistach Art. 33 RODO i zgłoszenie sygnalisty mają niezależne terminy, dlatego zgłoszenie w kanale sygnalistów nie może opóźniać oceny naruszenia ochrony danych. W praktyce administrator powinien potwierdzić sygnalistowi otrzymanie sprawy, po czym niezwłocznie przekazać informację właściwemu zespołowi do oceny RODO.

Czy zgłoszenie do inspektora ochrony danych zastępuje zawiadomienie do PUODO?

Nie. Zawiadomienie inspektora ochrony danych lub innego właściwego organu nie zastępuje zawiadomienia organu nadzorczego wymaganego przez art. 33 RODO, jeżeli przesłanki do takiego zawiadomienia są spełnione. Zgłoszenie sygnalistów może natomiast dostarczyć informacji potrzebnych do oceny zdarzenia.

Od kiedy liczyć 72 godziny?

72 godziny liczy się od momentu, w którym administrator powziął wiadomość o naruszeniu, a nie od dnia zakończenia postępowania wyjaśniającego. Nie oznacza to automatycznie, że każda relacja z sygnalistą rozpoczyna bieg terminu.

Przykładowo:

  • informacja o ujawnieniu danych klientów może rozpocząć ocenę RODO;
  • ogólna uwaga o złym zabezpieczeniu accessu bez potwierdzonego zdarzenia wymaga najpierw ustalenia faktów;
  • wiadomość o błędzie w systemie, który nie doprowadził do dostępu do danych osobowych, także wymaga weryfikacji.

Nie należy zwlekać wyłącznie dlatego, że administrator czeka na formalne potwierdzenie od sygnalisty lub zakończenie jego wewnętrznego postępowania. Równolegle z oceną RODO prowadzi się analizę zgłoszenia zgodnie z ustawą o ochronie sygnalistów.

Jakie informacje trzeba ustalić w pierwszej kolejności?

Pierwsza ocena powinna obejmować:

  1. datę i godzinę powzięcia wiadomości;
  2. dane lub kategorie danych, które mogły zostać ujawnione;
  3. liczbę osób, których dotyczy zdarzenie;
  4. osoby mające dostęp do informacji;
  5. prawdopodobne skutki dla osób dotkniętych naruszeniem;
  6. zastosowane zabezpieczenia i podjęte działania naprawcze.

Organ nadzorczy wymaga informacji o charakterze naruszenia, kategoriach i przybliżonej liczbie osób, danych oraz o skutkach. Administrator nie musi znać wszystkich szczegółów przed upływem 72 godzin; niewiadome należy jednak jasne wskazać, a następnie uzupełnić informacje zgodnie z kolejnością przewidzianą w przepisach.

Kto prowadzi postępowanie — inspektor ochrony danych czy jednostka obsługująca

Postępowanie powinna prowadzić osoba lub zespół z uprawnieniem do oceny zdarzeń RODO, zwykle inspektor ochrony danych albo osoba pełniąca analogiczną funkcję. Jednostka obsługująca zgłoszenia może prowadzić formalny rejestr zgłoszeń sygnalistów, ale powinna przekazać sprawę o wycieku danych do osoby odpowiedzialnej za ocenę zgodności.

Podział obowiązków powinien obejmować trzy elementy:

  • jednostka obsługująca — rejestruje zgłoszenie, chroni je przed nieuprawnionym dostępem i przekazuje informacje;
  • inspektor ochrony danych — ocenia przesłanki art. 33 i 34 RODO, koordynuje reakcję na incydent oraz dokumentuje decyzję;
  • kierownik administratora danych — zatwierdza działania o istotnych skutkach, w tym zawiadomienie organu i komunikację z osobami dotkniętymi.

Jeżeli osoba zgłaszająca jest jednocześnie osobą odpowiedzialną za ocenę RODO, potrzebny jest co najmniej jasny podział ról, aby kontrola faktów i decyzji o zgłoszeniu nie nastąpiła wyłącznie przez osobę zainteresowaną wynikiem. Większe organizacje powinny mieć formalną procedurę eskalacji spraw, której kryterium jest potencjalna istotność incydentu.

W praktyce jednostce obsługującej zgłoszenia może pomóc Ashio: narzędzie prowadzi kanał zgłoszeń, teczki spraw ze statusem oraz dziennik aktywności, ułatwiając rozpatrywanie spraw przez uprawnionych członków zespołu. Narzędzie jest przeznaczone dla organizacji potrzebujących uporządkowanego kanału zgłoszeń, a nie jako zamiennik wewnętrznej oceny prawnej lub decyzji administratora danych; osoby zainteresowane rozpoczęciem korzystania mogą przejść przez formularz rejestracji.

Praktyczny opis ról i obowiązków warto odnieść do materiałów dostępnych w bazie wiedzy Ashio.

Czego nie wpisywać do rejestru zgłoszeń, gdy sprawa dotyczy danych osobowych

Do rejestru zgłoszeń nie należy wpisywać więcej danych osobowych, niż jest konieczne do identyfikacji sprawy, jej obsługi i podjęcia decyzji. Nie oznacza to, że administrator nie może zbadać wycieku; oznacza, że dokumentacja zgłoszenia nie powinna dublować całej dokumentacji technicznej incydentu.

W rejestrze zgłoszeń zwykle wystarczą:

  • unikalny identyfikator sprawy;
  • data otrzymania zgłoszenia;
  • ogólny opis zarzuconego naruszenia;
  • kategoria sprawy;
  • status realizacji;
  • wyznaczony termin;
  • osoba prowadząca;
  • informacja o podjętych czynnościach i ich wyniku.

Szczegółowe logi systemowe, pełne kopie komunikacji, dane klientów i załączniki powinny trafiać do odrębnego, dostępnego dla uprawnionych zespołu repozytorium sprawy. Nie należy też kopiować do rejestru całej treści zgłoszenia, jeśli wystarczy jej skrót i odesłanie do chronionej teczki.

Nie należy oznaczać zgłoszenia jako „incydentu RODO”, dopóki ocena nie potwierdzi naruszenia. Bardziej precyzyjny status brzmi: „zgłoszenie wskazujące na możliwe naruszenie ochrony danych — w trakcie oceny”. Pomaga to zachować rozróżnienie między faktami zgłoszonymi, ustalonymi i potwierdzonymi.

Rejestr zgłoszeń sygnalistów nie jest jednocześnie:

  • rejestrem czynności przetwarzania;
  • dokumentacją incydentu RODO;
  • protokołem postępowania administracyjnego;
  • zbiorem danych pracowników do ogólnego wykorzystania.

Taki rozdział ogranicza ryzyko nieuprawnionego dostępu i ułatwia wykazanie, dlaczego administrator podjął lub zaniechał określonego działania.

Jak poinformować osoby, których dane wyciekły, gdy sprawca jest anonimowy

Osoby, których dane wyciekły, należy poinformować bez względu na to, czy sprawca jest anonimowy, jeżeli art. 34 RODO nakłada taki obowiązek. Anonimność zgłaszającego nie odracza oceny skutków wycieku ani nie uniemożliwia komunikacji z osobami dotkniętymi naruszeniem.

Kiedy obowiązek poinformowania wynika z art. 34 RODO?

Obowiązek informowania powstaje, gdy naruszenie prawdopodobnie skutkuje wysokim ryzykiem dla praw i wolności osób, których dane dotyczą. Przy ocenie uwzględnia się szczególnie charakter danych, ich zakres, liczbę osób, możliwe konsekwencje wykorzystania oraz środki zabezpieczające zastosowane po zdarzeniu.

Osoba, która zgłosiła sprawę, nie musi znać tożsamości sprawcy. Administrator powinien opierać się na ustaleniach technicznych, ocenie ryzyka i wiedzy o zdarzeniu, a nie na publicznym wskazywaniu osoby odpowiedzialnej.

Co powinno znaleźć się w komunikacji?

Komunikat powinien być zrozumiały dla odbiorcy i podawać co najmniej:

  • opis charakteru naruszenia;
  • opis kategorii lub rodzaju danych, których dotyczy;
  • dane administratora lub punktu kontaktowego;
  • opis możliwych skutków;
  • informację o zastosowanych lub proponowanych środkach zabezpieczających;
  • sposób zgłoszenia obawy lub uzyskania dalszych informacji.

Nie należy ujawniać w komunikacji identyfikatora sygnalisty ani szczegółów, które mogłyby utrudnić ustalenie tożsamości zgłaszającego. Jeżeli w komunikacji są dane osobowe, należy ograniczyć ich zakres i zabezpieczyć dostęp do dokumentacji.

Jeżeli informowanie osób jest obecnie niemożliwe albo wymagałoby nadmiernego wysiłku, art. 34 ust. 3 RODO przewiduje wyjątki, w tym sytuację, gdy z komunikacji nie można ustalić tożsamości osoby, której dane dotyczą. Wymaga to jednak udokumentowania przyczyny, a nie zgłoszenia samego faktu „braku danych”.

Często zadawane pytania

Czy administrator danych może wstrzymać zawiadomienie PUODO do zakończenia postępowania sygnalisty?

Nie. Ocena art. 33 RODO przebiega niezależnie od postępowania prowadzonego na podstawie ustawy o ochronie sygnalistów. Jeżeli administrator powziął wiadomość o naruszeniu, nie powinien czekać z oceną na formalne zakończenie sprawy sygnalistów.

Czy zgłoszenie sygnalisty o wycieku danych oznacza obowiązek poinformowania wszystkich 500 klientów?

Nie. Obowiązek poinformowania zależy od prawdopodobnego skutku naruszenia dla praw i wolności osób, a nie wyłącznie od liczby wskazanych klientów. Administrator musi ocenić rodzaj danych, zakres ujawnienia, możliwe konsekwencje i zastosowane zabezpieczenia.

Czy można prowadzić jeden rejestr dla zgłoszeń sygnalistów i incydentów RODO?

Można stosować wspólny system zarządzania sprawami, ale nie należy utożamiać rejestrów ani wersjonować danych. Rejestr zgłoszeń, dokumentacja incydentu RODO i rejestr czynności przetwarzania mają różne cele, zakres danych i zasady dostępu.

Czy administrator danych może poprosić sygnalistę o dokumenty potwierdzające wyciek?

Tak, o ile żądanie jest proporcjonalne i nie ujawnia nadmiarowych informacji. Sygnalista nie musi jednak dysponować dowodami pozwalającymi na samodzielne ustalenie naruszenia; administrator powinien przeprowadzić własną weryfikację.

Kiedy można nie zawiadamiać PUODO?

Gdy po ocenie administrator uzna, że naruszenie nie skutkowało naruszeniem praw lub wolności osób, zawiadomienie nie jest wymagane. Decyzję i jej uzasadnienie należy udokumentować, zwłaszcza gdy sprawa obejmuje znaczną liczbę osób lub poufne dane.

Źródła