• Prezes UODO wyjaśnił w oficjalnym komunikacie, kiedy należy zgłaszać naruszenie ochrony danych
• Jak wskazał, obowiązek powstaje w sytuacji, gdy naruszenie może powodować ryzyko naruszenia praw lub wolności osób fizycznych
• Ryzyko wystąpi w przypadku ujawnienia m.in. numeru PESEL, informacji finansowych 
• Warto podkreślić, że w ostatnim czasie mieliśmy do czynienia z kilkoma niepokojącymi incydentami i wyciekami danych 

Prezes UODO wskazuje w komunikacie na konieczność każdorazowego przeprowadzania przez administratora rzetelnej oceny ryzyka, której wynik decyduje o obowiązku zgłoszenia naruszenia. Jak wylicza, obowiązek notyfikacji do organu nadzorczego powstaje wtedy, gdy naruszenie może powodować ryzyko naruszenia praw lub wolności osób fizycznych.

Dotyczy to w szczególności sytuacji, gdy wraz z danymi powszechnie dostępnymi publicznie ujawniono również inne informacje, które mogą umożliwić/ pozwolić na dokonanie oszustwa, kradzieży tożsamości, profilowanie lub wykorzystanie danych w działaniach socjotechnicznych.

Ryzyko takie wystąpi m.in. w przypadku ujawnienia:

• numeru PESEL (ryzyko kradzieży tożsamości, wyłudzeń lub zaciągania zobowiązań finansowych na dane osoby),
• szczegółów zakupów lub usług wskazujących na stan zdrowia albo inne dane szczególnych kategorii (ryzyko naruszenia prywatności, dyskryminacji lub nieuprawnionego profilowania),
• informacji finansowych (ryzyko oszustw finansowych oraz przygotowywania fałszywych faktur lub płatności),

Jeżeli analiza wykaże wysokie ryzyko naruszenia praw lub wolności osób fizycznych, administrator powinien również zawiadomić osoby, których dane dotyczą, zgodnie z art. 34 RODO – podano.

O sytuacji, w której jest mało prawdopodobne, aby naruszenie skutkowało ryzykiem naruszenia praw lub wolności, mówimy wówczas, gdy doszło do ujawnienia informacji o osobach prowadzących działalność gospodarczą i obejmują one dane powszechnie dostępne w jawnym rejestrze (CEIDG):

• imię i nazwisko,
• nazwa firmy,
• NIP,
• oficjalny adres działalności.

Prezes UODO podkreśla, że "utrata poufności takich danych co do zasady nie daje osobom nieuprawnionym nowych możliwości działania na szkodę osoby, której dane dotyczą".

Warto jednak wiedzieć, że jeśli administrator uzna, że dane naruszenie nie wymaga zgłoszenia prezesowi UODO, nie zwalnia go to z obowiązku:

• przeprowadzenia i udokumentowania oceny ryzyka,
• wskazania w wewnętrznym rejestrze naruszeń przesłanek uzasadniających brak zgłoszenia.

RODO wymaga dokumentowania wszystkich naruszeń ochrony danych osobowych, niezależnie od tego, czy zostały zgłoszone organowi nadzorczemu.

W ostatnim czasie mieliśmy kilkukrotnie do czynienia z serią cyberataków i wycieków danych:

• MyDr (sierpień 2026) - największy wyciek dotyczący blisko 19 milionów pacjentów. Wykradziono m.in. numery PESEL, informacje o stanie zdrowia, receptach i zwolnieniach;
• Medyc/Qbusoft (sierpień 2026) - cyberatak na oprogramowanie gabinetów, w wyniku którego zagrożonych zostało około 5 mln rekordów pacjentów oraz – według doniesień – rzekome 8 mln prywatnych zdjęć;
• Enel-med (wrzesień 2026) - atak na centrum medyczne, który naruszył ok. 3 proc. bazy pacjentów. Został on szybko przerwany, a placówka wdrożyła procedury naprawcze;
• FELG Software (wrzesień 2026) - atak hakerski na dostawcę oprogramowania dla gabinetów stomatologicznych. Przestępcy (podający się za grupę „Horus”) żądają okupu za nieujawnienie danych ponad 2 mln pacjentów, 712 tys. pracowników personelu oraz 1,2 mln recept i historii leczenia.

 Więcej o atakach hakerskich pisaliśmy tutaj:

Materiał chroniony prawem autorskim - zasady przedruków określa regulamin.