Naruszenie ochrony danych u dostawcy: kto zgłasza i od kiedy liczy się 72 godziny

Wyciek u dostawcy, obowiązek po stronie klienta

Jeżeli dane wyciekły z systemu, który dostawca prowadzi na Wasze zlecenie, zgłoszenie do organu nadzorczego składacie Wy. Podmiot przetwarzający nie ma takiego obowiązku wobec UODO. Jego obowiązkiem jest zgłosić naruszenie administratorowi. Ta jedna różnica przesądza, kto ponosi konsekwencje spóźnienia, i dlatego warto ją zrozumieć zanim stanie się aktualna.

Skala sprawy MyDr pokazuje, dlaczego rozróżnienie przestało być teoretyczne. Według doniesień prasowych ujawniony zbiór obejmował około 19 milionów rekordów i ponad 2 terabajty danych, w tym informacje o receptach oraz numery PESEL. Prezes UODO zapowiedział kontrolę w spółce, a jej zakres ma objąć zastosowane środki techniczne i organizacyjne oraz to, czy były regularnie testowane.

Dla pojedynczej przychodni oznacza to sytuację trudną do przećwiczenia z wyprzedzeniem: zdarzenie nastąpiło poza jej siecią, na serwerze, do którego nie ma dostępu, a mimo to ciężar zgłoszenia i zawiadomienia pacjentów spoczywa na niej. Ten tekst opisuje, jak taką sytuację przeprowadzić. Kto co robi, od kiedy biegnie zegar i, co bywa pomijane, skąd w ogóle bierze się wiedza, że coś się stało. Samą mechanikę takiego zdarzenia — to, jak dostawca staje się drogą wejścia do Waszej sieci i czego ustawa o KSC wymaga wobec dostawców — rozbieramy osobno, w tekście o dwóch wariantach ataku na łańcuch dostaw.

Czym jest naruszenie ochrony danych osobowych

RODO definiuje naruszenie szeroko i to jest pierwsza rzecz, która zaskakuje. Zgodnie z art. 4 pkt 12 naruszeniem ochrony danych osobowych jest naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych. Z tej definicji wyprowadza się trzy typy zdarzeń.

• Naruszenie poufności: dane trafiły do osoby nieuprawnionej albo zostały ujawnione. To klasyczny wyciek danych osobowych, o którym myśli większość osób słysząc słowo „naruszenie"
• Naruszenie integralności: dane zostały zmienione w sposób nieuprawniony lub przypadkowy, a organizacja nie potrafi wykazać, jak wyglądały wcześniej
• Naruszenie dostępności: dane zostały utracone albo stały się niedostępne, na przykład po zaszyfrowaniu przez ransomware lub po skasowaniu jedynej kopii

Trzeci punkt bywa pomijany najczęściej, choć uruchamia obowiązek dokładnie tak samo jak dwa pierwsze. Zaszyfrowanie bazy pacjentów jest naruszeniem, nawet jeśli nikt nie skopiował z niej ani jednego rekordu. Tak samo zgubiony nośnik albo skrzynka pocztowa, do której pracownik bezpowrotnie stracił dostęp. Techniczny przebieg takiego zdarzenia i pierwsza godzina po nim to osobny temat, opisany w tekście o przebiegu ataku ransomware.

Administrator i podmiot przetwarzający: kto co robi

Podział obowiązków wynika wprost z RODO i nie zależy od tego, kto zawinił technicznie. Administrator to podmiot, który ustala cele i sposoby przetwarzania danych. Podmiot przetwarzający, w żargonie nazywany procesorem, przetwarza je wyłącznie na udokumentowane polecenie administratora i na podstawie umowy powierzenia przetwarzania. Zgłoszenie do organu nadzorczego jest obowiązkiem administratora (art. 33 ust. 1), a zawiadomienie osób, których dane dotyczą, jego obowiązkiem z art. 34 ust. 1.

Dwa wiersze tej tabeli warto przeczytać dwa razy, bo rozstrzygają najwięcej. Pierwszy: dostawca, który poinformował Was o incydencie, wykonał swój obowiązek i na tym jego rola wobec organu się kończy. Nie złoży zgłoszenia za Was, nawet jeśli jedno zdarzenie objęło tysiąc jego klientów naraz. Drugi: powierzenie danych nie przenosi odpowiedzialności. Odpowiedzialność za wybór i nadzór nad dostawcą zostaje po stronie administratora, razem z tym, jakie gwarancje wpisał do umowy powierzenia przetwarzania.

Konsekwencja jest niewygodna i bardzo praktyczna. Umowa powierzenia podpisana kilka lat temu, bez terminu na powiadomienie i bez wskazanego kanału kontaktu, staje się problemem dokładnie w dniu, w którym zaczyna biec zegar. To dokument, który czyta się raz przy podpisie, a potrzebuje się go w nocy, w weekend i pod presją terminu.

Od kiedy biegnie 72 godziny

Zegar rusza od stwierdzenia naruszenia, a nie od jego wystąpienia i nie od pierwszej pogłoski. Art. 33 ust. 1 RODO wymaga, żeby administrator zgłosił naruszenie organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż w terminie 72 godzin po stwierdzeniu naruszenia. Jeżeli termin zostanie przekroczony, do zgłoszenia trzeba dołączyć wyjaśnienie przyczyn opóźnienia.

Przy incydencie u podmiotu przetwarzającego moment stwierdzenia jest przesunięty i to jest sedno całego problemu. Zanim administrator stwierdzi naruszenie po swojej stronie, musi uzyskać od dostawcy potwierdzenie, że incydent objął dane, które mu powierzył. Komunikat UODO z 12 sierpnia 2026 roku wskazuje ten warunek wprost. Wpis w mediach o wycieku u dostawcy nie jest jeszcze stwierdzeniem, że wyciekły dane Waszych pacjentów albo klientów.

To jednak nie oznacza, że okno oczekiwania jest czasem wolnym, i tu popełnia się najwięcej błędów. Obowiązek działania bez zbędnej zwłoki obowiązuje przez cały ten czas, a bierne czekanie na telefon od dostawcy jest decyzją, którą trzeba będzie uzasadnić. Im dłużej trwa milczenie po drugiej stronie, tym ważniejsze staje się udokumentowanie, że administrator sam dopytywał: kiedy, w jakiej formie i o co. W tym oknie robi się kilka rzeczy równolegle.

• Wyślij dostawcy pisemne i datowane zapytanie o to, czy incydent objął dane powierzone przez Twoją organizację, oraz o kategorie danych, których dotyczy
• Zapisz, kiedy i skąd dotarła pierwsza informacja, bo to od tego punktu ocenia się później ewentualną zwłokę
• Ustal po swojej stronie, jakie dane i w jakim zakresie w ogóle znajdowały się w tym systemie; tego dostawca za Ciebie nie zrobi
• Oszacuj wstępnie, jakie ryzyko powstałoby dla osób, gdyby potwierdzenie okazało się twierdzące
• Przygotuj projekt zgłoszenia i projekt zawiadomienia osób, żeby po potwierdzeniu zostało wyłącznie uzupełnienie faktów
• Ustal, kto zatwierdza treść i kto podpisuje zgłoszenie, zanim zabraknie na to czasu

Skąd masz wiedzieć, że doszło do naruszenia

To pytanie w większości poradników nie pada, choć poprzedza wszystkie pozostałe. Cała procedura z art. 33 uruchamia się dopiero w momencie stwierdzenia naruszenia, a stwierdzić można wyłącznie to, o czym się wie. Organizacja bez własnych źródeł sygnału nie dostaje krótszego terminu na zgłoszenie. Dostaje późniejszy start.

Cztery pierwsze wiersze łączy jedna cecha: wiedza przychodzi z zewnątrz, w momencie wybranym przez kogoś innego. To domyślny stan większości organizacji i powód, dla którego administrator dowiaduje się ostatni, czasem z pytaniem organu zamiast własnego zgłoszenia w ręku. Dwa ostatnie wiersze to jedyne, na które organizacja ma realny wpływ, i w tym sensie monitorowanie wycieków danych jest narzędziem skracania czasu do stwierdzenia naruszenia, a nie ciekawostką z darknetu.

Warto przy tym rozdzielić dwa rodzaje znalezisk, bo prowadzą do innych wniosków. Firmowe dane logowania krążące w obiegu, na giełdzie logów albo w combolistach, najczęściej pochodzą z zainfekowanej stacji pracownika, a nie z włamania do usługi; mechanizm opisuje tekst o tym, jak działa infostealer. Wyniesienie pliku z danymi przez pracownika albo przez przejęte konto to z kolei sygnał z warstwy kontroli danych, opisanej w tekście o systemie DLP. Oba mogą okazać się naruszeniem w rozumieniu RODO i oba wymagają innej analizy.

Jest jeszcze źródło najtańsze i zwykle najbardziej zaniedbane: sami pracownicy. Naruszenie zgłoszone przez osobę, która zorientowała się, że wysłała załącznik pod zły adres, dotrze do organizacji tylko wtedy, gdy istnieje znany kanał zgłoszeń i pewność, że zgłoszenie nie skończy się karą dla zgłaszającego. Kultura, w której przyznanie się do pomyłki jest kosztowne, po kilku miesiącach przestaje generować zgłoszenia, a razem z nimi znika widoczność.

Analiza ryzyka i decyzja o zawiadomieniu osób

Zgłoszenie do organu i zawiadomienie osób to dwie osobne decyzje, oparte na dwóch różnych progach. Zgłoszenia do organu dokonuje się, chyba że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Zawiadomienie osób, których dane dotyczą, staje się obowiązkiem dopiero wtedy, gdy naruszenie może powodować wysokie ryzyko naruszenia ich praw lub wolności.

Próg z art. 33 jest więc niski, a domyślną odpowiedzią jest zgłoszenie. Odstąpienie od niego wymaga wykazania, że ryzyko jest mało prawdopodobne, i udokumentowania tej oceny na wypadek pytania. Przy danych, których osoba nie może po prostu wymienić, takich jak numer PESEL albo informacja o stanie zdrowia, uzasadnienie takiego wniosku jest odpowiednio trudniejsze.

Ocena ryzyka jest przy tym oceną skutków dla osoby, nie dla organizacji, i to rozróżnienie zmienia jej wynik. Bierze się pod uwagę charakter naruszenia, kategorie i liczbę danych, łatwość zidentyfikowania osób, możliwe konsekwencje od kradzieży tożsamości i oszustw finansowych po ujawnienie informacji objętych szczególną ochroną, a także to, czy dane były zabezpieczone w sposób uniemożliwiający ich odczytanie. Reputacja organizacji nie jest tu żadnym kryterium.

Samo zgłoszenie ma zawartość minimalną określoną w art. 33 ust. 3 i warto mieć ją rozpisaną wcześniej, bo w dniu zdarzenia zbiera się fakty, a nie układa formularz.

• Charakter naruszenia, w tym w miarę możliwości kategorie i przybliżona liczba osób, których dane dotyczą, oraz kategorie i przybliżona liczba wpisów danych objętych naruszeniem
• Imię, nazwisko i dane kontaktowe inspektora ochrony danych lub innego punktu kontaktowego, od którego można uzyskać więcej informacji
• Opis możliwych konsekwencji naruszenia dla osób, których dane dotyczą
• Opis środków zastosowanych lub proponowanych w celu zaradzenia naruszeniu, w tym środków minimalizujących jego negatywne skutki

Zawiadomienie osoby ma inny cel i inny język. Zgodnie z art. 34 ust. 2 opisuje jasnym i prostym językiem charakter naruszenia i zawiera co najmniej informacje o punkcie kontaktowym, możliwych konsekwencjach oraz zastosowanych środkach. Nie jest to skopiowane zgłoszenie do organu. Osoba, która je czyta, ma się dowiedzieć, co konkretnie jej grozi i co może z tym zrobić: zmienić hasło, zastrzec numer PESEL, obserwować rachunek albo historię recept.

Co grozi za wyciek danych osobowych

Odpowiedzialność w tym obszarze ma kilka niezależnych warstw i to jest najważniejsza rzecz do zapamiętania z tej sekcji. Nie chodzi o jedną sankcję za sam fakt wycieku, tylko o osobne oceny: czy zabezpieczenia były odpowiednie, czy naruszenie zgłoszono w terminie, czy zawiadomiono osoby, gdy trzeba było, i czy całość została udokumentowana. Każda z tych ocen może wypaść inaczej.

Spóźnione albo zaniechane zgłoszenie jest samodzielną podstawą odpowiedzialności, niezależną od samego wycieku. Organizacja, która padła ofiarą włamania u dostawcy, może nie mieć sobie nic do zarzucenia w warstwie technicznej, a mimo to odpowiadać za to, że przez tygodnie nie zrobiła nic z informacją, którą miała. Intuicja podpowiada coś odwrotnego: skoro wyciek zdarzył się gdzie indziej, to i odpowiedzialność jest gdzie indziej. Przepisy tak tego nie układają.

Powierzenie danych nie przenosi odpowiedzialności administratora, choć intuicja podpowiada coś przeciwnego. Wybór podmiotu przetwarzającego, treść umowy powierzenia przetwarzania i nadzór nad jej wykonaniem pozostają po stronie administratora, i to one wyznaczają zakres jego odpowiedzialności niezależnie od tego, gdzie doszło do zdarzenia. Zdanie „to była wina dostawcy" opisuje przyczynę techniczną, nie zamyka natomiast pytania o obowiązki administratora.

Osobno oceniane są same zabezpieczenia. W komunikacie o planowanej kontroli u dostawcy oprogramowania medycznego Prezes UODO wskazał, że kontrola obejmie zastosowane środki techniczne i organizacyjne oraz to, czy były regularnie testowane. To użyteczna wskazówka dla każdego administratora, niezależnie od branży: wdrożenie zabezpieczenia i wykazanie jego skuteczności to dwie różne rzeczy, a druga wymaga dowodu z konkretną datą. Tę część weryfikuje się audytem cyberbezpieczeństwa i testami.

Do tego dochodzą reżimy równoległe, z własnymi zegarami i własnymi adresatami. Podmioty objęte ustawą o krajowym systemie cyberbezpieczeństwa zgłaszają incydenty do właściwego CSIRT niezależnie od obowiązków wynikających z RODO; progi i terminy zestawia tekst o NIS2 i ustawie o KSC. Jedno zdarzenie potrafi uruchomić dwa obowiązki naraz, wobec dwóch różnych organów i w dwóch różnych formatach.

Świadomie nie podajemy tu wysokości kar. Zależy ona od okoliczności konkretnej sprawy i od kryteriów, które organ waży indywidualnie, więc liczba wyrwana z kontekstu bardziej myli, niż pomaga. Praktyczny wniosek jest zresztą od kwot niezależny: najlepiej wychodzi na tym organizacja, która o naruszeniu wie wcześnie, ma gotową ścieżkę i potrafi wykazać, co i kiedy zrobiła.

Co przygotować, zanim zadzwoni dostawca

Wszystko, co skraca czas reakcji, powstaje przed incydentem. W dniu zgłoszenia nie ma już czasu na ustalanie, kto jest administratorem, gdzie leży umowa powierzenia przetwarzania i kto podpisuje pismo do organu. Lista poniżej jest ułożona od rzeczy, które da się załatwić dokumentem, po te, które wymagają zmiany w warstwie technicznej.

Trzy pozycje z tej listy najłatwiej przeoczyć przy planowaniu, bo ujawniają się dopiero przy próbnym przejściu scenariusza: brak imiennego kontaktu po stronie dostawcy, brak osoby uprawnionej do zatwierdzenia zgłoszenia w weekend oraz rejestr powierzeń, który nie odpowiada na pytanie o kategorie danych. Każda z nich kosztuje godziny dokładnie wtedy, gdy godziny są policzone.

Najczęstsze pytania

Podsumowanie

Sprawa u dostawcy oprogramowania medycznego jest wygodnym przykładem, bo pokazuje układ, w którym niemal wszystko dzieje się poza organizacją, a obowiązek zostaje w środku. Administrator nie kontroluje serwera, na którym doszło do zdarzenia, nie prowadzi analizy powłamaniowej i nie decyduje, kiedy dostanie odpowiedź. Kontroluje natomiast trzy rzeczy: to, co wpisał do umowy powierzenia przetwarzania, to, jak szybko dowiaduje się o problemie, oraz to, czy ma gotową ścieżkę zgłoszenia. Wszystkie trzy da się przygotować w spokojny poniedziałek. Żadnej nie da się przygotować w trakcie.

Zegar z art. 33 nie startuje w momencie włamania. Startuje w momencie, w którym ktoś się o nim dowiaduje, i to jest jedyna część tego równania, na którą organizacja ma wpływ.