Krótko: Jeśli podczas ataku dojdzie do naruszenia ochrony danych osobowych, art. 33 RODO wymaga zgłoszenia do organu nadzorczego, o ile to możliwe w ciągu 72 godzin od powzięcia wiedzy, jeżeli istnieje ryzyko dla osób, których dane dotyczą. Przy wysokim ryzyku dochodzi według art. 34 zawiadomienie osób, których dane dotyczą. Niezależnie od tego każde naruszenie trzeba udokumentować. Ta strona to ogólna informacja, a nie porada prawna.
Brak porady prawnej: czy i kiedy w konkretnym przypadku istnieje obowiązek zgłoszenia, oceniają Państwa inspektor ochrony danych lub radca prawny. My dostarczamy fakty techniczne, na których opiera się ta ocena.
Naruszenie danych i obowiązek zgłoszenia w 72 godziny: co reguluje art. 33
Art. 33 RODO dotyczy „naruszenia ochrony danych osobowych”. Chodzi o każde naruszenie bezpieczeństwa, które prowadzi do zniszczenia, utraty, zmiany, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych. Pod to może podpadać przejęty serwer WWW z bazą danych klientów, formularzami kontaktowymi lub danymi kandydatów.
Zgłoszenie do organu nadzorczego powinno nastąpić bez zbędnej zwłoki i, o ile to możliwe, w ciągu 72 godzin od momentu, gdy administrator dowiedział się o naruszeniu. Odpada, jeśli naruszenie prawdopodobnie nie skutkuje ryzykiem naruszenia praw lub wolności osób fizycznych. Kto zgłasza później niż po 72 godzinach, musi uzasadnić opóźnienie. Informacje można przekazywać stopniowo.
Co powinno zawierać zgłoszenie
Art. 33 ust. 3 RODO podaje minimalną treść. Powinni Państwo przygotować te punkty, nawet jeśli nie wszystko jest jeszcze ustalone:
- charakter naruszenia, możliwie z kategoriami i przybliżoną liczbą osób oraz rekordów danych, których dotyczy
- imię i nazwisko oraz dane kontaktowe inspektora ochrony danych lub innego punktu kontaktowego
- możliwe konsekwencje naruszenia
- środki zastosowane lub proponowane w celu zaradzenia naruszeniu i złagodzenia jego ewentualnych negatywnych skutków
Szczególnie przy atakach na serwery WWW zakres na początku jest często niejasny. Pomaga wtedy uczciwe pierwsze zgłoszenie ze znanym stanem i zapowiedzią uzupełnienia dalszych ustaleń.
Kiedy zaczyna biec termin po ataku na serwer?
Termin wiąże się z powzięciem wiedzy, a nie z momentem ataku. W praktyce rozgraniczenie bywa trudne: informacja o luce bezpieczeństwa takiej jak PHP2Shell sama w sobie nie oznacza jeszcze wiedzy o naruszeniu ochrony danych. Jeśli jednak znajdą Państwo konkretne wskazówki włamania, na przykład webshell lub podejrzane zapytania do bazy danych, sytuacja może wyglądać inaczej.
Dlatego proszę od początku dokumentować z godziną, kto kiedy otrzymał jaką informację i jakie kroki nastąpiły. Ta oś czasu pomaga w ocenie prawnej i przy pytaniach organu. Staranne badanie techniczne, na przykład przez informatykę śledczą, wyjaśnia, czy i jakie dane faktycznie zostały dotknięte.
Zawiadomienie osób, których dane dotyczą, według art. 34
Jeśli naruszenie prawdopodobnie powoduje wysokie ryzyko naruszenia praw lub wolności osobistych, trzeba niezwłocznie zawiadomić także osoby, których dane dotyczą. Może to dotyczyć na przykład danych dostępowych, danych rachunków bankowych lub danych o zdrowiu. Zawiadomienie ma jasnym i prostym językiem opisać, co się stało, i wskazać co najmniej punkt kontaktowy, prawdopodobne konsekwencje oraz zastosowane środki.
Art. 34 przewiduje wyjątki, na przykład gdy dane uczyniono niezrozumiałymi dla osób nieuprawnionych, np. przez szyfrowanie. Jeśli zawiadomienie każdej osoby z osobna wymagałoby niewspółmiernie dużego wysiłku, zamiast tego może wchodzić w grę publiczne obwieszczenie lub podobnie skuteczny środek. To, czy wyjątek ma zastosowanie, należy do oceny prawnej. Jak zrozumiale informować klientów, opisuje artykuł Komunikacja kryzysowa po ataku.
Obowiązek dokumentowania według art. 33 ust. 5
Niezależnie od obowiązku zgłoszenia art. 33 ust. 5 RODO wymaga dokumentowania każdego naruszenia: faktów, skutków i zastosowanych działań zaradczych. Dokumentacja musi umożliwiać organowi nadzorczemu weryfikację. Dotyczy to także sytuacji, gdy po sprawdzeniu dojdą Państwo do wniosku, że zgłoszenie nie jest potrzebne.
Dla serwerów WWW oznacza to w praktyce: zabezpieczać logi, zanim zostaną zrotowane, odnotowywać znaleziska z czasem, zapisywać decyzje i ich uzasadnienie. W przypadku PHP2Shell prasa branżowa zaleca przechowywanie logów serwera od 20.10.2026. Poprawka nie usuwa przy tym już wprowadzonego szkodliwego oprogramowania i nie dowodzi, że wcześniej nic się nie stało.
Praktyczny przebieg w pierwszych godzinach
- Zgłosić podejrzenie wewnętrznie do stałego punktu i włączyć inspektora ochrony danych.
- Zabezpieczyć dowody: logi, listy plików, wyciągi z bazy danych, zanim cokolwiek zostanie usunięte lub zainstalowane od nowa.
- Technicznie wyjaśnić, czy mogły zostać dotknięte dane osobowe.
- Ocena prawna obowiązku zgłoszenia i zawiadomienia, w razie potrzeby z prawnikiem i ubezpieczycielem.
- Zgłoszenie przez formularz właściwego organu nadzorczego, uzupełnienia przy nowych ustaleniach.
Przygotowany plan awaryjny IT znacznie skraca te kroki.
Jak konkretnie pomaga PHP SOS?
- Zabezpieczamy logi i stany systemów tak, aby pozostały użyteczne do oceny i późniejszej kontroli.
- Technicznie wyjaśniamy, czy i jakie dane były dostępne, i dostarczamy zrozumiałe podsumowanie dla inspektorów ochrony danych i prawników.
- Prowadzimy oś czasu ustaleń technicznych, z której mogą Państwo korzystać przy zgłoszeniu i dokumentacji.
- Przy potwierdzonym włamaniu przejmujemy reagowanie na incydenty i oczyszczenie.
Częste pytania
Od kiedy biegną 72 godziny?
Według art. 33 RODO od momentu, w którym administrator dowiedział się o naruszeniu. Kiedy w konkretnym przypadku należy to przyjąć, jest oceną prawną. Dlatego proszę dokładnie udokumentować, kto kiedy miał jaką informację.
Czy każda luka bezpieczeństwa musi być zgłoszona?
Nie. Sama luka nie jest jeszcze naruszeniem ochrony danych osobowych. Obowiązek zgłoszenia może powstać, gdy są przesłanki, że osoby nieuprawnione miały lub mogły mieć dostęp do takich danych, a z tego wynika ryzyko dla osób, których dane dotyczą.
Co, jeśli po 72 godzinach nadal nie wiem wszystkiego?
Art. 33 ust. 4 RODO pozwala przekazywać informacje stopniowo, jeśli nie można ich przekazać w tym samym czasie. Spóźnione zgłoszenie trzeba uzasadnić. Czekanie na pełną jasność zwykle nie jest więc powodem, aby pozwolić upłynąć terminowi.
Kto zgłasza, jeśli dotknięty był hoster?
Obowiązek zgłoszenia ciąży na administratorze, czyli zwykle na firmie prowadzącej stronę. Podmiot przetwarzający, taki jak hoster, musi według art. 33 ust. 2 RODO niezwłocznie poinformować administratora.
Gdzie zgłosić naruszenie danych?
Do właściwego organu nadzorczego ochrony danych, dla firm w Niemczech zwykle organu kraju związkowego, w którym mają siedzibę. Większość organów oferuje w tym celu formularze online.