Naruszenie RODO zgłasza się do Prezesa Urzędu Ochrony Danych Osobowych (UODO) — ale droga zależy od tego, kim jesteś w tej sytuacji. Osoba prywatna, której prawa naruszono, składa skargę (elektronicznie przez ePUAP/biznes.gov.pl albo pisemnie na adres urzędu). Firma, u której doszło do incydentu, składa zgłoszenie naruszenia — wyłącznie elektronicznie, w terminie 72 godzin od stwierdzenia. To dwa różne formularze i dwie różne procedury, których nie wolno mylić.
Jesteś osobą, której dane naruszono — jak złożyć skargę do UODO?
Skargę do Prezesa UODO może złożyć każdy, kto uważa, że jego dane są przetwarzane niezgodnie z prawem — np. firma nie usunęła danych mimo żądania, wysyła marketing bez zgody albo ujawniła dane osobom trzecim. Skargę składa się:
- elektronicznie — przez ePUAP lub biznes.gov.pl (potrzebny profil zaufany lub podpis kwalifikowany),
- pisemnie — na adres: Urząd Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa.
Skarga powinna zawierać Twoje dane, wskazanie podmiotu, na który się skarżysz, opis naruszenia i żądanie (np. nakazanie usunięcia danych). Złożenie skargi jest bezpłatne — o szczegółach i ewentualnych kosztach pełnomocnika piszemy w artykule ile kosztuje skarga do UODO. Praktyczne wskazówki dotyczące samego pisma znajdziesz też w tekście gdzie złożyć skargę na łamanie RODO.
Jesteś firmą, u której doszło do naruszenia — jak je zgłosić?
Administrator danych zgłasza naruszenie do Prezesa UODO wyłącznie elektronicznie — przez dedykowany formularz na stronie uodo.gov.pl lub przez ePUAP. Termin: 72 godziny od stwierdzenia naruszenia (szczegóły liczenia terminu opisujemy w artykule ile jest czasu na zgłoszenie naruszenia do UODO). Zgłoszenie obejmuje m.in. charakter naruszenia, kategorie i przybliżoną liczbę osób, możliwe konsekwencje oraz podjęte środki zaradcze. Jeśli nie masz jeszcze wszystkich informacji — zgłaszasz to, co wiesz, i uzupełniasz sukcesywnie; czekanie na komplet danych ponad 72 godziny to błąd.
Pamiętaj: zgłoszeniu podlegają naruszenia powodujące ryzyko dla osób. Które incydenty to naruszenia i jak ocenić ryzyko — zebraliśmy w przeglądzie najczęstszych naruszeń ochrony danych z przykładami.
Gdzie NIE zgłasza się naruszeń RODO?
Kilka częstych pomyłek: policja i prokuratura przyjmują zawiadomienia o przestępstwie (np. z art. 107 ustawy o ochronie danych — bezprawne przetwarzanie), ale nie prowadzą postępowań „RODO-wych” — to domena UODO. UOKiK zajmuje się prawami konsumentów, nie ochroną danych. Rzecznik Praw Obywatelskich może pomóc, ale nie zastępuje skargi do UODO. Jeśli naruszenie jest jednocześnie przestępstwem (np. ktoś celowo opublikował Twoje dane, by Ci szkodzić) — możesz działać dwutorowo: skarga do UODO i zawiadomienie organów ścigania.
Co to oznacza w praktyce?
Dla osoby: zanim złożysz skargę, zwróć się najpierw bezpośrednio do administratora (firmy) — masz prawo żądać dostępu, usunięcia czy sprzeciwu, a firma ma miesiąc na odpowiedź. Skarga do UODO jest skuteczniejsza, gdy dołączysz dowód, że próbowałeś załatwić sprawę u źródła. Dla firmy: miej gotową procedurę zanim coś się wydarzy — w środku incydentu nie ma czasu na szukanie formularza i zastanawianie się, kto decyduje o zgłoszeniu. To jedno z podstawowych zadań IOD.
Najczęstsze pytania
Czy skargę do UODO można złożyć anonimowo?
Nie — skarga wymaga podania danych skarżącego. Anonimowe sygnały urząd może potraktować co najwyżej jako informację do ewentualnej kontroli z urzędu.
Ile czeka się na rozpatrzenie skargi?
Formalnie obowiązują terminy KPA (miesiąc, sprawy skomplikowane dwa), ale w praktyce postępowania przed UODO trwają dłużej — od kilku miesięcy wzwyż.
Czy firma musi informować osoby o naruszeniu?
Tak, gdy naruszenie powoduje wysokie ryzyko dla praw i wolności — wtedy oprócz zgłoszenia do UODO zawiadamia się bezpośrednio każdą osobę.
Co grozi firmie za brak zgłoszenia naruszenia?
Kara administracyjna — niezgłoszenie w terminie samo w sobie jest naruszeniem, często karanym surowiej niż pierwotny incydent.
Incydent w firmie? Pomożemy zgłosić go poprawnie
Ocena ryzyka, treść zgłoszenia, komunikacja z UODO i osobami — przeprowadzamy przez to od lat, także w trybie pilnym. Zobacz outsourcing funkcji IOD albo skontaktuj się z nami.