{"id":40,"date":"2026-02-10T16:56:46","date_gmt":"2026-02-10T16:56:46","guid":{"rendered":"https:\/\/uodo.eu\/?p=40"},"modified":"2026-07-31T16:57:15","modified_gmt":"2026-07-31T16:57:15","slug":"rejestr-naruszen-ochrony-danych-osobowych-po-co-kogo-dotyczy-i-jak-go-prowadzic","status":"publish","type":"post","link":"https:\/\/uodo.eu\/?p=40","title":{"rendered":"Rejestr narusze\u0144 ochrony danych osobowych: po co, kogo dotyczy i jak go prowadzi\u0107?"},"content":{"rendered":"\n<p class=\"wp-block-paragraph\">Naruszenie ochrony danych osobowych nie zawsze oznacza spektakularny incydent i automatyczn\u0105 notyfikacj\u0119 do organu nadzorczego. Bywa, \u017ce sprawa ko\u0144czy si\u0119 \u201ena etapie wewn\u0119trznym\u201d \u2013 jednak wci\u0105\u017c mo\u017ce wymaga\u0107 udokumentowania. I w\u0142a\u015bnie tu wchodzi rejestr narusze\u0144 ochrony danych osobowych: narz\u0119dzie, kt\u00f3re ma porz\u0105dkowa\u0107 fakty, u\u0142atwia\u0107 ocen\u0119 ryzyka i pomaga\u0107 wykaza\u0107 zgodno\u015b\u0107 z RODO.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Dlaczego dokumentowanie ma znaczenie?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Dokumentowanie narusze\u0144 to nie tylko obowi\u0105zek prawny \u2014 to praktyczny spos\u00f3b zarz\u0105dzania ryzykiem. Gdy organizacja zbiera informacje o incydentach, mo\u017ce analizowa\u0107 przyczyny, wyci\u0105ga\u0107 wnioski i lepiej dobiera\u0107 zabezpieczenia. Taki rejestr wspiera zasad\u0119 rozliczalno\u015bci (accountability): organizacja nie tylko stosuje przepisy, ale potrafi to udowodni\u0107.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Wprost wynika to z art. 33 ust. 5 RODO: administrator ma dokumentowa\u0107 ka\u017cde naruszenie, w tym okoliczno\u015bci, skutki oraz dzia\u0142ania zaradcze, a dokumentacja musi umo\u017cliwia\u0107 organowi nadzorczemu weryfikacj\u0119 przestrzegania obowi\u0105zk\u00f3w. Innymi s\u0142owy: rejestr to \u201edow\u00f3d\u201d tego, jak organizacja prowadzi\u0142a ocen\u0119 i reagowa\u0142a na incydenty.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Kogo dotyczy obowi\u0105zek?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Obowi\u0105zek dokumentowania spoczywa na administratorze. Podmioty przetwarzaj\u0105ce nie prowadz\u0105 rejestru za administratora, ale powinny mu pomaga\u0107 \u2014 przekazywa\u0107 wszelkie niezb\u0119dne informacje o naruszeniach (art. 28 ust. 3 lit. f RODO).<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Inspektor ochrony danych (IOD) mo\u017ce odegra\u0107 wa\u017cn\u0105 rol\u0119 wspieraj\u0105c\u0105: formu\u0142owa\u0107 wskaz\u00f3wki, opinie dotycz\u0105ce sposobu dokumentowania i nadzorowa\u0107, czy rejestry prowadzone s\u0105 prawid\u0142owo. Jednocze\u015bnie trzeba uwa\u017ca\u0107 na niezale\u017cno\u015b\u0107 IOD \u2014 nie mo\u017ce on wchodzi\u0107 w rol\u0119, kt\u00f3ra tworzy\u0142aby konflikt interes\u00f3w (art. 38 ust. 6 RODO).<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Jak dokumentowa\u0107 naruszenia i jak ma wygl\u0105da\u0107 rejestr?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Administratorzy powinni na bie\u017c\u0105co aktualizowa\u0107 katalog narusze\u0144 i utrwala\u0107 informacje w rejestrze. Cho\u0107 RODO nie wymaga osobnej ewidencji w sensie \u201eoddzielnego dokumentu\u201d, rejestr musi by\u0107:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>wyra\u017anie oznaczony,<\/li>\n\n\n\n<li>dost\u0119pny do wgl\u0105du na \u017c\u0105danie Prezesa UODO.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Co wa\u017cne: obowi\u0105zek obejmuje wszystkie naruszenia ochrony danych osobowych \u2014 r\u00f3wnie\u017c te, kt\u00f3re nie musz\u0105 zosta\u0107 zg\u0142oszone organowi. Rejestr jest te\u017c miejscem na decyzje, m.in. na uzasadnienie braku zg\u0142oszenia naruszenia do Prezesa UODO (art. 33 ust. 1 RODO). To szczeg\u00f3lnie istotne, bo ocena incydentu w czasie mo\u017ce si\u0119 zmieni\u0107 \u2014 i wtedy dokumentacja ma umo\u017cliwi\u0107 ponown\u0105 weryfikacj\u0119.<\/p>\n\n\n\n<h4 class=\"wp-block-heading\">Jak d\u0142ugo trzyma\u0107 rejestr?<\/h4>\n\n\n\n<p class=\"wp-block-paragraph\">RODO nie wskazuje konkretnych okres\u00f3w przechowywania informacji o naruszeniach. W praktyce obowi\u0105zuje podej\u015bcie wynikaj\u0105ce z rozliczalno\u015bci \u2014 dokumentacja ma by\u0107 dost\u0119pna \u201etak d\u0142ugo i w takim zakresie, jak to potrzebne\u201d. Jednocze\u015bnie, je\u015bli rejestr zawiera dane osobowe, nale\u017cy chroni\u0107 je i stosowa\u0107 zasad\u0119 ograniczenia przechowywania (art. 5 ust. 1 lit. e RODO). W praktyce oznacza to, \u017ce im mniej danych osobowych w rejestrze, tym lepiej.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Jakie informacje powinny znale\u017a\u0107 si\u0119 w rejestrze?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Rejestr powinien obejmowa\u0107 co najmniej elementy pozwalaj\u0105ce odtworzy\u0107 incydent i oceni\u0107 decyzje organizacji. W szczeg\u00f3lno\u015bci:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Okoliczno\u015bci naruszenia: data i czas, moment wykrycia, opis przebiegu, przyczyny, rodzaj naruszenia, rodzaj i zakres danych, liczba oraz kategorie os\u00f3b dotkni\u0119tych.<\/li>\n\n\n\n<li>Skutki i\/lub mo\u017cliwe skutki: faktyczne konsekwencje oraz ryzyka dla os\u00f3b, kt\u00f3rych dane dotycz\u0105.<\/li>\n\n\n\n<li>Uzasadnienie oceny ryzyka: dlaczego oceniono ryzyko tak, a nie inaczej.<\/li>\n\n\n\n<li>Dzia\u0142ania:\n<ul class=\"wp-block-list\">\n<li>zaradcze (powstrzymanie i ograniczenie skutk\u00f3w),<\/li>\n\n\n\n<li>zapobiegawcze (minimalizacja ryzyka podobnych incydent\u00f3w w przysz\u0142o\u015bci).<\/li>\n<\/ul>\n<\/li>\n\n\n\n<li>Notyfikacja do Prezesa UODO: data zg\u0142oszenia, przyczyny ewentualnego op\u00f3\u017anienia i inne istotne informacje z zawiadomienia \u2014 albo uzasadnienie decyzji o niezg\u0142oszeniu (art. 33 ust. 1 RODO).<\/li>\n\n\n\n<li>Zawiadomienia os\u00f3b, kt\u00f3rych dane dotycz\u0105: data, tre\u015b\u0107, metoda, liczba zawiadomionych \u2014 lub uzasadnienie niezawiadomienia (art. 34 ust. 3 RODO).<\/li>\n<\/ul>\n\n\n\n<h3 class=\"wp-block-heading\">Podsumowanie: dobra dokumentacja = mniejsze ryzyko i realna zgodno\u015b\u0107 z RODO<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Rejestr narusze\u0144 ochrony danych osobowych to element systemu zarz\u0105dzania incydentami i dow\u00f3d dzia\u0142ania zgodnego z zasad\u0105 rozliczalno\u015bci. W praktyce warto trzyma\u0107 si\u0119 kilku zasad:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Dokumentuj wszystkie naruszenia (nie tylko te zg\u0142aszane do organu).<\/li>\n\n\n\n<li>Opisz dok\u0142adnie przebieg: czas, przyczyny, spos\u00f3b wykrycia, rodzaj i zakres danych.<\/li>\n\n\n\n<li>Rejestruj skutki: faktyczne i potencjalne.<\/li>\n\n\n\n<li>Odnotuj dzia\u0142ania zaradcze i zapobiegawcze.<\/li>\n\n\n\n<li>Aktualizuj rejestr na bie\u017c\u0105co \u2014 w miar\u0119 pozyskiwania nowych informacji.<\/li>\n\n\n\n<li>Kontroluj kompletno\u015b\u0107 i jako\u015b\u0107 dokumentacji (\u017ceby nie by\u0142o brak\u00f3w).<\/li>\n\n\n\n<li>Dbaj o dost\u0119pno\u015b\u0107 i czytelno\u015b\u0107 rejestru na potrzeby organu nadzorczego.<\/li>\n<\/ul>\n","protected":false},"excerpt":{"rendered":"<p>Naruszenie ochrony danych osobowych nie zawsze oznacza spektakularny incydent i automatyczn\u0105 notyfikacj\u0119 do organu nadzorczego.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"class_list":["post-40","post","type-post","status-publish","format-standard","hentry","category-informacje"],"_links":{"self":[{"href":"https:\/\/uodo.eu\/index.php?rest_route=\/wp\/v2\/posts\/40","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/uodo.eu\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/uodo.eu\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/uodo.eu\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/uodo.eu\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=40"}],"version-history":[{"count":1,"href":"https:\/\/uodo.eu\/index.php?rest_route=\/wp\/v2\/posts\/40\/revisions"}],"predecessor-version":[{"id":41,"href":"https:\/\/uodo.eu\/index.php?rest_route=\/wp\/v2\/posts\/40\/revisions\/41"}],"wp:attachment":[{"href":"https:\/\/uodo.eu\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=40"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/uodo.eu\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=40"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/uodo.eu\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=40"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}