To jeden z najbardziej kuszących argumentów po incydencie bezpieczeństwa. Dane zostały wysłane nie tam, gdzie trzeba albo ktoś uzyskał do nich nieuprawniony dostęp, ale firma nie znalazła dowodów, że informacje zostały wykorzystane. Nie ma fałszywych kredytów, phishingu ani strat finansowych. Czy naprawdę trzeba więc robić alarm, zgłaszać sprawę i straszyć klientów?

RODO odpowiada na to pytanie inaczej, niż często chciałby dział PR. Obowiązki po naruszeniu nie powstają dopiero wtedy, gdy szkoda już wystąpiła. Ich celem jest między innymi umożliwienie ludziom zareagowania zanim szkoda nastąpi.

Liczy się ryzyko, nie tylko materialna szkoda

Administrator powinien ocenić, czy naruszenie może powodować ryzyko dla praw lub wolności osób fizycznych. Jeżeli nie jest mało prawdopodobne, że takie ryzyko wystąpi, co do zasady pojawia się obowiązek zgłoszenia incydentu Prezesowi UODO w ciągu 72 godzin od jego stwierdzenia. Gdy ryzyko jest wysokie, dochodzi obowiązek zawiadomienia samych zainteresowanych.

To celowo konstrukcja oparta na przyszłości. Nie trzeba czekać, aż ktoś weźmie kredyt na cudze dane. Jeżeli ujawniono informacje, które realnie mogą do tego doprowadzić, ryzyko istnieje wcześniej.

„Nie widzimy nadużyć” nie znaczy „nie ma ryzyka”

Administrator często nie ma pełnej wiedzy o tym, co dzieje się z informacjami poza jego systemem. Jeśli plik został pobrany przez nieuprawnioną osobę, nie jesteśmy w stanie zagwarantować, że nie ma kolejnych kopii.

UODO podkreśla, że ocenę ryzyka należy prowadzić z perspektywy osoby, której dane dotyczą, a brak zawiadomienia może odebrać jej szansę na samodzielne podjęcie działań zabezpieczających. To bardzo ważne: firma nie powinna podejmować decyzji wyłącznie na podstawie tego, czy komunikat będzie dla niej reputacyjnie wygodny.

Nie każde naruszenie trzeba komunikować całemu światu

Druga skrajność również jest błędna. RODO nie wymaga publicznej konferencji prasowej po każdym źle zaadresowanym e-mailu. Jeżeli administrator jest w stanie wykazać, że naruszenie z dużym prawdopodobieństwem nie spowoduje ryzyka dla praw lub wolności ludzi, zgłoszenie do UODO nie musi być wymagane.

Podobnie bezpośrednie informowanie osób dotyczy przypadków wysokiego ryzyka. Prawo celowo pozostawia więc miejsce na ocenę okoliczności: rodzaju danych, liczby osób, zabezpieczeń, możliwości identyfikacji i potencjalnych skutków.

Najgorsza strategia: najpierw PR, potem analiza

Problem zaczyna się wtedy, gdy organizacja odwraca kolejność. Najpierw zapada decyzja „nie nagłaśniamy”, a dopiero później szuka się argumentów, dlaczego ryzyko było niewielkie.

UODO wielokrotnie karał administratorów za niewłaściwą ocenę i brak zawiadomienia. W marcu 2026 r. urząd informował, że NSA podtrzymał decyzję dotyczącą Santander Bank Polska, w której problemem był właśnie brak odpowiedniego powiadomienia osób o naruszeniu.

Cisza nie jest środkiem bezpieczeństwa

Firma może mieć nadzieję, że nikt nie zauważy. Z punktu widzenia ofiary cisza oznacza jednak brak możliwości zmiany hasła, zastrzeżenia dokumentu, przygotowania się na phishing czy zwiększenia czujności.

Dlatego pytanie nie powinno brzmieć: „czy ktoś już wykorzystał dane?”, tylko: „czy człowiek powinien wiedzieć o tym incydencie, żeby móc się przed jego skutkami zabezpieczyć?”. To znacznie bliższe logice, na której zbudowano obowiązki związane z naruszeniami.