Jak chronić informacje, zanim dojdzie do wycieku
Wyjaśniamy, czym są dane osobowe, jak zabezpieczać je zgodnie z RODO i co robić, gdy dojdzie do naruszenia. Dla osób prywatnych, przedsiębiorców i pracowników administracji.
Treści opieramy na RODO, polskiej ustawie o ochronie danych osobowych oraz stanowiskach organów nadzorczych. Stan prawny: 21 października 2026 r.
Masz 72 godziny na zgłoszenie do UODO
Jeśli naruszenie może skutkować ryzykiem dla praw lub wolności osób, zgłaszasz je Prezesowi UODO bez zbędnej zwłoki, w miarę możliwości nie później niż 72 godziny po jego stwierdzeniu (art. 33 RODO). Po tym terminie trzeba wyjaśnić przyczynę opóźnienia.
Zobacz, jak działać krok po kroku72 h
na zgłoszenie naruszenia do UODO od jego stwierdzenia (art. 33 RODO).
20 mln EUR
lub 4% rocznego obrotu: górny pułap kar za najpoważniejsze naruszenia (art. 83 RODO).
ok. 1,2 mld EUR
kar nałożonych w UE i EOG od 28.01.2025 do 27.01.2026 (DLA Piper, GDPR Fines and Data Breach Survey).
27 mln zł
najwyższa kara UODO w 2025 r. (Poczta Polska SA): ponad 27 mln zł.
Źródła: rozporządzenie (UE) 2016/679 (RODO), UODO, DLA Piper. Dane aktualne na dzień 21 października 2026 r.
Czym są dane osobowe
Daną osobową jest każda informacja o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej (art. 4 pkt 1 RODO). Nie liczy się forma zapisu, ważne jest, czy da się wskazać, kogo informacja dotyczy.
Dane identyfikujące
Imię i nazwisko, numer PESEL, adres zamieszkania, numer telefonu, adres e-mail, numer dokumentu tożsamości.
Dane z otoczenia cyfrowego
Identyfikatory internetowe, dane o lokalizacji, zdjęcia i nagrania z monitoringu, jeśli pozwalają rozpoznać osobę.
Dane szczególnych kategorii
Zdrowie, dane biometryczne i genetyczne, pochodzenie, poglądy, przekonania religijne, przynależność do związków zawodowych, orientacja seksualna. Wymagają szczególnej ochrony (art. 9 RODO).
Dlaczego ochrona danych to nie formalność
Wyciek jednej bazy może oznaczać skradzioną tożsamość, utracone pieniądze i zniszczone zaufanie. Prawo jasno wskazuje, kto za to odpowiada.
Obowiązek prawny
RODO wymaga odpowiednich środków technicznych i organizacyjnych, dopasowanych do ryzyka (art. 32), oraz uwzględnienia ochrony danych już przy projektowaniu procesów (art. 25).
Realne skutki dla osób
Wyciek numeru PESEL, adresu lub danych kontaktowych ułatwia wyłudzenia i podszywanie się pod osobę. Poszkodowany może dochodzić odszkodowania za szkodę majątkową i niemajątkową (art. 82 RODO).
Konsekwencje dla organizacji
Administracyjne kary pieniężne mogą sięgać 20 mln euro lub 4% rocznego obrotu światowego, zależnie od rodzaju naruszenia (art. 83 RODO). Dochodzą koszty reakcji na incydent i utrata zaufania.
Wyciek danych: co robić krok po kroku
Liczy się czas i spokojna procedura. Poniżej najważniejsze kroki wynikające z art. 33 i 34 RODO.
Przejdź do strony UODOStwierdź i ogranicz
Ustal, czy doszło do naruszenia poufności, integralności lub dostępności danych, i od razu powstrzymaj dalsze szkody: odetnij dostęp, zmień hasła, odizoluj urządzenia.
Oceń ryzyko dla osób
Sprawdź, jakie dane wyciekły, kogo dotyczą i co może się stać: wyłudzenie, dyskryminacja, strata finansowa.
Zgłoś do UODO
Jeśli naruszenie może skutkować ryzykiem dla praw lub wolności osób, zgłoś je bez zbędnej zwłoki, w miarę możliwości nie później niż 72 godziny po stwierdzeniu (art. 33 RODO).
Powiadom osoby, których dane dotyczą
Gdy ryzyko jest wysokie, poinformuj je bez zbędnej zwłoki, jasnym językiem, o naruszeniu i o tym, jak mogą się zabezpieczyć (art. 34 RODO).
Udokumentuj zdarzenie
Każde naruszenie, także niezgłaszane do UODO, trzeba odnotować: okoliczności, skutki i podjęte działania (art. 33 ust. 5 RODO).
Jakie są konsekwencje wycieku danych
Skutki zależą od rodzaju danych i skali naruszenia, ale zawsze dotykają trzech grup: osób, których dane wyciekły, organizacji odpowiedzialnych za dane oraz instytucji publicznych.
Dla osób, których dane wyciekły
Ryzyko kradzieży tożsamości, wyłudzeń kredytów i usług oraz phishingu opartego na prawdziwych danych. Można złożyć skargę do Prezesa UODO i dochodzić odszkodowania (art. 77 i 82 RODO).
Dla firm i przedsiębiorców
Kary administracyjne, roszczenia klientów i kontrahentów, koszty obsługi incydentu i utrata zaufania. Naruszeniem RODO jest też brak wymaganego zgłoszenia lub zawiadomienia.
Dla administracji publicznej
Obowiązki wynikają z RODO tak samo jak dla firm. Kary można nałożyć także na podmioty publiczne, ale polska ustawa ogranicza ich wysokość (zasadniczo do 100 tys. zł dla jednostek sektora finansów publicznych).
Informacje dopasowane do Twojej roli
Te same przepisy oznaczają coś innego dla mieszkańca, właściciela firmy i urzędnika. Wybierz ścieżkę, która najlepiej opisuje Twoją sytuację.
Chcę chronić swoje dane
Jak rozpoznać wyłudzenie, co zrobić po wycieku numeru PESEL i jak korzystać z praw: dostępu, sprostowania i usunięcia danych (art. 15-17 RODO).
Prowadzę firmę
Rejestr czynności przetwarzania, umowy powierzenia, zabezpieczenia techniczne i procedura reagowania na naruszenia. Praktycznie i bez prawniczego żargonu.
Pracuję w urzędzie lub instytucji
Obowiązki podmiotów publicznych, rola inspektora ochrony danych (obowiązkowego dla organów i podmiotów publicznych, art. 37 RODO) oraz bezpieczeństwo systemów.
Aktualne źródła prawa
Każdy materiał w tym serwisie odwołuje się do przepisów i stanowisk organów nadzorczych. Zawsze możesz sprawdzić je u źródła.
Zmiany RODO proponowane w pakiecie Digital Omnibus (COM(2025) 837) są na etapie procedury legislacyjnej i nie obowiązują. Stosuje się obecny tekst RODO. Stan na 21 października 2026 r. Serwis ma charakter informacyjny i nie jest poradą prawną.
Rozporządzenie (UE) 2016/679 (RODO)
Podstawowy akt prawny dotyczący ochrony danych osobowych w Unii Europejskiej.
Otwórz w EUR-Lex →Ustawa z 10 maja 2018 r. o ochronie danych osobowych
Krajowe przepisy uzupełniające RODO, m.in. dotyczące Prezesa UODO i kar dla podmiotów publicznych.
Szukaj w ISAP →Urząd Ochrony Danych Osobowych
Polski organ nadzorczy: poradniki, komunikaty, decyzje i formularz zgłaszania naruszeń.
Przejdź do uodo.gov.pl →Europejska Rada Ochrony Danych (EROD)
Wytyczne i opinie wspólnego stanowiska organów ochrony danych w UE.
Przejdź do edpb.europa.eu →Najczęstsze pytania
Czy każdy wyciek trzeba zgłaszać do UODO?
Nie każdy. Zgłoszenie jest wymagane, chyba że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem dla praw lub wolności osób (art. 33 RODO). Każde naruszenie trzeba jednak udokumentować.
Od kiedy liczy się 72 godziny?
Od stwierdzenia naruszenia, czyli od chwili, gdy administrator ma wystarczającą pewność, że doszło do zdarzenia zagrażającego bezpieczeństwu danych. Nie trzeba czekać na zakończenie analizy technicznej.
Kto odpowiada za dane: firma czy jej dostawca?
Za zgodność z RODO odpowiada administrator, czyli ten, kto decyduje o celach i sposobach przetwarzania. Dostawca, który przetwarza dane na jego zlecenie, musi bez zbędnej zwłoki zawiadomić administratora o naruszeniu (art. 33 ust. 2). Współpracę reguluje umowa powierzenia (art. 28).
Co zrobić, gdy moje dane wyciekły?
Zmień hasła, zastrzeż dokument tożsamości, jeśli wyciekły jego dane, i uważaj na wiadomości podszywające się pod instytucje. Możesz też złożyć skargę do Prezesa UODO i dochodzić odszkodowania (art. 77 i 82 RODO).
Czy RODO zmienia się przez Digital Omnibus?
Zmiany RODO zaproponowane w pakiecie Digital Omnibus (COM(2025) 837) są w trakcie procedury legislacyjnej i nie obowiązują. Stosuje się obecny tekst RODO.
Zadbaj o dane, zanim zrobi to za Ciebie incydent
Poznaj podstawy ochrony danych albo sprawdź, jak zareagować, gdy dojdzie do wycieku.