Jakie informacje trzeba chronić i kto za to odpowiada
Dane osobowe to dopiero początek. Prawo chroni też tajemnice państwowe, firmowe, zawodowe i komunikację elektroniczną. Sprawdź, które informacje nie mogą wypłynąć i kto ostatecznie odpowiada za ich ochronę w Polsce i w Unii Europejskiej.
W skrócie
Nie tylko dane osobowe
Obok RODO prawo chroni informacje niejawne, tajemnicę przedsiębiorstwa, tajemnicę komunikacji elektronicznej i tajemnice zawodowe.
Odpowiada ten, kto decyduje
W RODO ostatecznie odpowiada administrator, czyli organizacja. W informacjach niejawnych odpowiada kierownik jednostki organizacyjnej.
Nadzór ma kilka pięter
Od krajowych organów, takich jak UODO, ABW i UKE, po instytucje unijne i sądy. Każdy poziom kontroluje inny fragment.
Sześć rodzajów informacji, które nie mogą wypłynąć
Każdy rodzaj ma inną podstawę prawną, innego strażnika i inne skutki wycieku. Najedź na kafelek, aby go ożywić.
Dane osobowe
Każda informacja o zidentyfikowanej lub możliwej do zidentyfikowania osobie: imię i nazwisko, PESEL, adres, e-mail, identyfikator internetowy. Strażnik: Prezes UODO.
Dane szczególnie wrażliwe
Zdrowie, dane biometryczne i genetyczne, pochodzenie, poglądy, przekonania religijne, przynależność związkowa, orientacja seksualna oraz dane o wyrokach skazujących. Strażnik: Prezes UODO.
Informacje niejawne
Informacje, których ujawnienie szkodzi państwu. Mają cztery klauzule: ściśle tajne, tajne, poufne i zastrzeżone. Strażnicy: ABW i SKW.
Tajemnica przedsiębiorstwa
Informacje techniczne, organizacyjne lub inne o wartości gospodarczej, które nie są powszechnie znane i zostały zabezpieczone przed ujawnieniem. Roszczenia rozstrzygają sądy.
Tajemnica komunikacji elektronicznej
Treść rozmów, wiadomości i e-maili oraz dane o ich przebiegu. Obowiązuje dostawców usług od 10 listopada 2024 r. Nadzór: Prezes UKE, a naruszenia danych zgłasza się Prezesowi UODO.
Tajemnice zawodowe
Lekarska, adwokacka, bankowa, skarbowa i inne: informacje, które zawód lub instytucja poznaje w zaufaniu. Ochronę regulują odrębne ustawy i organy właściwe dla danej dziedziny.
„Za ochronę informacji nie odpowiada dział IT. Odpowiada organizacja i osoby, które nią kierują.”
Zasada rozliczalności, art. 5 ust. 2 RODOCztery stopnie tajemnicy państwowej
Ustawa o ochronie informacji niejawnych ocenia informacje według szkody, jaką wyrządziłoby ich ujawnienie. Im wyższy stopień, tym surowsza ochrona.
Ściśle tajne
Ujawnienie powoduje wyjątkowo poważną szkodę dla Rzeczypospolitej Polskiej.
Tajne
Ujawnienie powoduje poważną szkodę dla państwa.
Poufne
Ujawnienie powoduje szkodę dla państwa.
Zastrzeżone
Najniższy stopień, nadawany, gdy nie ma podstaw do wyższej klauzuli.
Za ujawnienie informacji z klauzulą „tajne” lub „ściśle tajne” Kodeks karny (art. 265) przewiduje karę pozbawienia wolności od 3 miesięcy do 5 lat. Za ochronę informacji niejawnych w jednostce odpowiada jej kierownik, a przestrzeganie przepisów kontrolują ABW i SKW.
Kto odpowiada ostatecznie?
Od organizacji, która trzyma informacje, po instytucje, które są ponad nią. Pięć poziomów, każdy z inną rolą.
Administrator danych i kierownik jednostki
Decyduje o celach i sposobach przetwarzania. To on odpowiada i musi umieć wykazać zgodność z RODO (art. 5 ust. 2 i art. 24). W informacjach niejawnych odpowiada kierownik jednostki organizacyjnej.
Inspektor ochrony danych i podmiot przetwarzający
Inspektor ochrony danych doradza i monitoruje zgodność (art. 39 RODO), ale nie odpowiada za nią zamiast administratora. Dostawca przetwarzający dane na zlecenie działa na podstawie umowy (art. 28) i musi zgłaszać naruszenia administratorowi.
Krajowe organy nadzorcze
Prezes UODO kontroluje, rozpatruje skargi i nakłada kary. Informacje niejawne nadzorują ABW (sfera cywilna) i SKW (sfera wojskowa), a komunikację elektroniczną Prezes UKE.
Sądy
Skargę na decyzję Prezesa UODO rozpatruje sąd administracyjny. Roszczenia o odszkodowanie za naruszenie RODO (art. 82) rozstrzygają sądy powszechne.
Instytucje Unii Europejskiej
Europejska Rada Ochrony Danych dba o jednolite stosowanie RODO. Europejski Inspektor Ochrony Danych nadzoruje instytucje UE. Trybunał Sprawiedliwości UE rozstrzyga o wykładni przepisów, a agencja ENISA wspiera cyberbezpieczeństwo.
Gdy dojdzie do ataku: trzy adresy w Polsce
Za reagowanie na incydenty cyberbezpieczeństwa odpowiadają trzy krajowe zespoły CSIRT. Który jest właściwy, zależy od sektora.
CSIRT NASK
przyjmuje zgłoszenia z sektora prywatnego, samorządów i usług cyfrowych.
CSIRT GOV
obsługuje administrację rządową i infrastrukturę krytyczną. Prowadzi go ABW.
CSIRT MON
obsługuje sferę wojskową, pod nadzorem resortu obrony.
Od 3 kwietnia 2026 r. obowiązuje nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, która wdraża w Polsce dyrektywę NIS2 i obejmuje znacznie szersze grono podmiotów, w tym wiele urzędów i szkół. Więcej na portalu cyber.gov.pl.
Instytucje, które warto znać
Wszystkie linki prowadzą do serwisów państwowych, unijnych lub organizacji pozarządowych.
Urząd Ochrony Danych Osobowych
Organ nadzorczy w sprawach RODO: skargi, poradniki i zgłaszanie naruszeń.
Przejdź do uodo.gov.pl →
Agencja Bezpieczeństwa Wewnętrznego
Nadzoruje ochronę informacji niejawnych w sferze cywilnej i prowadzi zespół CSIRT GOV.
Przejdź do abw.gov.pl →
Cyberbezpieczeństwo w gov.pl
Zgłaszanie incydentów, ostrzeżenia i materiały o krajowym systemie cyberbezpieczeństwa.
Przejdź do cyber.gov.pl →
Urząd Komunikacji Elektronicznej
Nadzór nad rynkiem łączności i tajemnicą komunikacji elektronicznej.
Przejdź do uke.gov.pl →
Rzecznik Praw Obywatelskich
Strzeże praw i wolności obywatelskich, w tym prawa do prywatności.
Przejdź do brpo.gov.pl →
Europejska Rada Ochrony Danych
Zapewnia jednolite stosowanie RODO w całej Unii i wydaje wytyczne.
Przejdź do edpb.europa.eu →
Europejski Inspektor Ochrony Danych
Nadzoruje przetwarzanie danych osobowych przez instytucje i organy Unii.
Przejdź do edps.europa.eu →
ENISA
Agencja Unii Europejskiej do spraw cyberbezpieczeństwa.
Przejdź do enisa.europa.eu →
Trybunał Sprawiedliwości UE
Rozstrzyga o wykładni prawa Unii, w tym RODO.
Przejdź do curia.europa.eu →
Komisja Europejska
Proponuje i pilnuje stosowania prawa UE, w tym projekt Digital Omnibus.
Przejdź do commission.europa.eu →
Fundacja Panoptykon
Polska fundacja monitorująca nadzór, prywatność i prawa cyfrowe.
Przejdź do panoptykon.org →
noyb
Europejska organizacja non-profit, która prowadzi skargi i sprawy w obronie prywatności.
Przejdź do noyb.eu →Szybki test: czy chronisz to, co trzeba?
Jeśli na któreś zdanie nie potrafisz odpowiedzieć „tak”, wiesz, od czego zacząć.
Wiem, jakie dane osobowe przetwarzam i gdzie są przechowywane.
Dane szczególnych kategorii mają osobny, ograniczony dostęp (art. 9 RODO).
Mam umowy powierzenia z dostawcami, którzy przetwarzają dane na mój rachunek (art. 28 RODO).
Wiem, kto i w jakim terminie zgłasza naruszenie do UODO: w 72 godziny (art. 33 RODO).
Informacje firmowe o wartości gospodarczej zabezpieczyłem i oznaczyłem jako poufne (art. 11 uznk).
Sprawdziłem, czy moja organizacja podlega ustawie o krajowym systemie cyberbezpieczeństwa (NIS2).
Chcesz wiedzieć więcej o ochronie informacji?
Wróć na stronę główną albo sprawdź, jak zareagować, gdy informacje już wypłynęły.
Stan prawny: 21 października 2026 r. Zmiany RODO z pakietu Digital Omnibus nie obowiązują, stosuje się obecny tekst rozporządzenia. Tekst ma charakter informacyjny i nie jest poradą prawną.