Nie każde naruszenie danych trzeba od razu zgłaszać do sądu, policji czy mediów społecznościowych. W praktyce najczęściej chodzi o dwie ścieżki: kontakt z administratorem danych oraz skarga do UODO, czyli Urzędu Ochrony Danych Osobowych. Jeśli ktoś bez podstawy prawnej przetwarza dane, nie usuwa ich po żądaniu albo doszło do wycieku, trzeba wiedzieć, gdzie zgłosić naruszenie RODO i co przygotować, żeby sprawa nie utknęła po pierwszym piśmie. Dalej jest konkretnie: kiedy pisać do firmy, kiedy do urzędu, jakie terminy mają znaczenie i jak wygląda zgłoszenie krok po kroku. Największa wartość tego poradnika to oszczędność czasu i uniknięcie źle skierowanej skargi.
Gdzie zgłosić naruszenie RODO: najpierw firma, potem UODO
Właściwym organem w Polsce jest Prezes UODO. To właśnie do tego urzędu trafiają skargi na naruszenia RODO, czyli rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679. Nie zgłasza się takich spraw do Rzecznika Praw Obywatelskich, UOKiK ani UKE, jeśli problem dotyczy typowo ochrony danych osobowych.
W praktyce są dwie drogi. Pierwsza to kontakt z administratorem danych, czyli firmą, urzędem, szkołą, przychodnią albo fundacją, która przetwarza dane. Druga to skarga do Urzędu Ochrony Danych Osobowych, gdy administrator nie reaguje, odpowiada wymijająco albo naruszenie jest poważne.
Jeśli ktoś dostał cudze wyniki badań, umowę kredytową innej osoby albo e-mail z pełnym zestawem danych klientów, to nie jest „drobna pomyłka”. To jest zdarzenie, które podpada pod ochronę danych osobowych i wymaga reakcji.
Warto rozróżnić dwie sytuacje. Osoba, której dane dotyczą, składa skargę do UODO. Z kolei administrator danych, gdy dochodzi do naruszenia ochrony danych, ma obowiązek zgłosić je do organu nadzorczego w ciągu 72 godzin, jeśli istnieje ryzyko naruszenia praw lub wolności osób fizycznych.
Kiedy to jest naruszenie RODO, a kiedy zwykła irytacja
Naruszenie RODO to nie jest każde nieprzyjemne doświadczenie z firmą. Chodzi o konkretne sytuacje związane z danymi osobowymi: bezprawne ujawnienie, utratę, zmianę, zniszczenie albo dostęp osób nieuprawnionych. Sama niechęć do marketingu nie wystarczy, jeśli firma ma ważną zgodę albo inną podstawę przetwarzania.
Typowe przypadki, które podpadają pod skargę, to:
- wysłanie dokumentów do złej osoby, np. umowy z PESEL-em i adresem,
- brak realizacji prawa dostępu do danych w terminie 1 miesiąca,
- odmowa usunięcia danych mimo braku podstawy prawnej,
- publikacja listy klientów, uczniów lub pracowników bez podstawy,
- wyciek haseł, numerów telefonów, adresów e-mail lub danych medycznych.
Sygnały, że warto zacząć od pisma do administratora
Jeśli problem dotyczy prawa do kopii danych, sprostowania, ograniczenia przetwarzania albo sprzeciwu wobec marketingu, najpierw opłaca się napisać do administratora. Administrator ma obowiązek odpowiedzieć bez zbędnej zwłoki, nie później niż w ciągu 1 miesiąca. Ten termin wynika wprost z art. 12 RODO.
Takie pismo przydaje się później jako dowód dla UODO. Bez wcześniejszego kontaktu urząd i tak często sprawdza, czy administrator dostał szansę na reakcję.
Sytuacje, w których nie warto czekać
Jeżeli doszło do wycieku danych szczególnej kategorii, na przykład dokumentacji medycznej, informacji o leczeniu, orzeczeń o niepełnosprawności albo skanów dowodu osobistego, zwlekanie nie ma sensu. Wyciek danych zwiększa ryzyko kradzieży tożsamości. W takich przypadkach można równolegle zgłosić sprawę administratorowi i złożyć skargę do UODO.
Gdzie zgłosić naruszenie RODO w zależności od sytuacji
Nie każda sprawa trafia od razu do tego samego miejsca. Dla czytelnika najważniejsze jest proste rozróżnienie: kto zawinił, jakiego typu dane wyciekły i czy chodzi o reakcję firmy, czy o formalną skargę do organu.
| Sytuacja | Gdzie zgłosić | Termin / moment | Co dołączyć |
|---|---|---|---|
| Firma nie odpowiada na żądanie usunięcia lub dostępu do danych | Administrator danych, potem UODO | po upływie 1 miesiąca | kopię wniosku, potwierdzenie wysyłki, odpowiedź firmy |
| Wyciek danych: PESEL, adres, e-mail, numer telefonu | Administrator i w razie potrzeby UODO | od razu po wykryciu | screeny, treść wiadomości, opis zdarzenia, datę |
| Dane medyczne lub dane dzieci ujawnione osobom trzecim | UODO bez zwłoki, równolegle administrator | natychmiast | maksymalnie konkretny opis i dowody |
| Spam marketingowy bez zgody | administrator, czasem też UOKiK lub UKE, ale przy danych osobowych głównie UODO | po zebraniu kilku wiadomości | nagłówki e-maili, numery, daty, treści zgód |
Ta tabela upraszcza decyzję. Jeśli problem dotyczy samej ochrony danych osobowych, głównym urzędem pozostaje UODO w Warszawie.
Jak złożyć skargę do UODO krok po kroku
Skarga bez konkretów przegrywa na starcie. Urząd nie domyśli się, co się wydarzyło, kiedy, kto przetwarzał dane i jakie prawo zostało naruszone. Trzeba opisać stan faktyczny prostym językiem i dołączyć dowody.
Co musi zawierać skarga
W piśmie powinny znaleźć się co najmniej:
- dane osoby składającej skargę,
- nazwa administratora, np. bank, sklep internetowy, szkoła, pracodawca,
- opis naruszenia z datami,
- wskazanie, czego dotyczyły dane, np. PESEL, adres, dokumentacja medyczna,
- informacja, czy wcześniej wysłano żądanie do administratora,
- załączniki: e-maile, screeny, odpowiedzi, potwierdzenia nadania.
Skargę można złożyć pisemnie do Urzędu Ochrony Danych Osobowych. Dla wielu osób najbezpieczniejsza jest forma papierowa z potwierdzeniem nadania w Poczcie Polskiej albo przez ePUAP, jeśli dostępna jest ścieżka elektroniczna dla spraw urzędowych.
Czego nie pisać
Nie warto rozbudowywać skargi o kilka stron emocji, historii firmy i przypuszczeń. UODO bada naruszenia prawa, a nie poziom zdenerwowania. Liczą się fakty: kto, co, kiedy, na jakiej podstawie i jakie są dowody.
Jeśli firma twierdzi, że „nic się nie stało”, a istnieje e-mail z załącznikiem wysłanym do obcej osoby, to dowód jest mocniejszy niż cała korespondencja wyjaśniająca.
Jakie dowody naprawdę pomagają
Screen bez daty ma słabą wartość. Im bardziej uporządkowany materiał, tym większa szansa na sprawne rozpoznanie sprawy. W ochronie danych liczy się dokument, nie domysł.
Najlepiej gromadzić:
- zrzuty ekranu z widoczną datą i adresem strony,
- pełne wiadomości e-mail z nagłówkami,
- kopie formularzy, reklamacji i odpowiedzi firmy,
- potwierdzenia nadania pisma, np. numer przesyłki poleconej.
Przy wycieku danych finansowych albo dokumentów tożsamości warto dodatkowo odnotować, czy doszło do prób użycia danych, na przykład w banku PKO BP, mBanku czy ING Banku Śląskim. To nie jest element obowiązkowy skargi, ale pomaga pokazać realne ryzyko dla osoby, której dane dotyczą.
Jeśli naruszenie dotyczy placówki medycznej, znaczenie mają także nazwy systemów, oddziałów lub podmiotów leczniczych, np. przychodnia POZ, szpital powiatowy czy operator platformy rejestracji. Dane medyczne są szczególnie chronione i urząd traktuje takie sprawy poważnie.
Co dzieje się po zgłoszeniu i jakie są terminy
UODO nie rozstrzyga spraw tego samego dnia. Po wpłynięciu skargi urząd sprawdza braki formalne, może wezwać do uzupełnienia dokumentów, a następnie prowadzi postępowanie administracyjne. To trwa, zwłaszcza gdy trzeba pozyskać stanowisko administratora albo przeanalizować duży materiał dowodowy.
Dla osoby zgłaszającej ważne są trzy liczby:
- 1 miesiąc — tyle zasadniczo ma administrator na odpowiedź na żądanie z art. 15-22 RODO,
- 72 godziny — tyle ma administrator na zgłoszenie naruszenia do organu nadzorczego, jeśli spełnione są przesłanki z art. 33 RODO,
- 3 miesiące — w tym czasie organ powinien poinformować skarżącego o postępach lub wyniku rozpatrywania skargi, zgodnie z art. 78 RODO i praktyką postępowań administracyjnych.
Możliwy finał sprawy to między innymi nakaz usunięcia naruszenia, ograniczenie przetwarzania, upomnienie albo kara pieniężna. W głośnych sprawach UODO nakładał kary liczone w setkach tysięcy złotych, a w niektórych przypadkach nawet wyższe, zależnie od skali naruszenia i statusu podmiotu.
Czego nie robić po wycieku albo bezprawnym użyciu danych
Nigdy nie powinno się publikować cudzego wycieku w sieci „dla dowodu”. To często pogarsza sprawę i dokłada kolejne naruszenie. Dowód trzeba zabezpieczyć, a nie rozpowszechniać.
Nie warto też ograniczać się do telefonu na infolinię. Rozmowa z konsultantem w sieci typu Orange, T-Mobile, Play czy w dużym sklepie internetowym rzadko zostawia ślad wystarczający dla urzędu. Potrzebne jest zgłoszenie pisemne albo przez kanał, który daje potwierdzenie.
Przy ryzyku kradzieży tożsamości, zwłaszcza gdy wyciekł PESEL i numer dowodu, trzeba równolegle pomyśleć o działaniach ochronnych, takich jak zastrzeżenie numeru PESEL w odpowiednim systemie państwowym lub kontakt z bankiem. RODO nie zatrzyma skutków finansowych wycieku. Skarga administracyjna i zabezpieczenie własnych danych to dwie różne rzeczy.
Najczęstsze pytania
Czy naruszenie RODO zgłasza się bezpośrednio do UODO?
Tak, jeśli chodzi o formalną skargę na naruszenie ochrony danych osobowych w Polsce. W wielu sprawach praktycznie lepiej najpierw napisać do administratora danych i zachować odpowiedź albo brak odpowiedzi jako dowód.
Gdzie zgłosić wyciek PESEL i skanu dowodu osobistego?
Taki przypadek warto zgłosić administratorowi danych oraz do UODO, bo ryzyko dla osoby poszkodowanej jest wysokie. Równolegle dobrze zabezpieczyć się przed kradzieżą tożsamości, zwłaszcza w sektorze bankowym.
Czy brak odpowiedzi firmy na żądanie usunięcia danych to już naruszenie RODO?
Jeśli minął podstawowy termin 1 miesiąca i firma nie odpowiedziała albo odpowiedziała pozornie, to jest podstawa do skargi. Trzeba dołączyć kopię żądania i potwierdzenie, że zostało doręczone.
Czy można zgłosić naruszenie RODO anonimowo?
Formalna skarga co do zasady wymaga identyfikacji skarżącego, bo urząd prowadzi konkretne postępowanie administracyjne. Anonim nie daje takiej skuteczności jak podpisane pismo z dowodami.
Czy UODO przyjmuje zgłoszenia online?
Elektroniczna ścieżka zależy od aktualnych narzędzi urzędowych, w tym ePUAP i formularzy publikowanych przez urząd. Przed wysłaniem warto sprawdzić na stronie uodo.gov.pl, czy dla danej sprawy dostępny jest aktualny formularz lub instrukcja.