Stan prawny na
Firma wysłała zestawienie wynagrodzeń do niewłaściwego odbiorcy. Czy ma już cztery dni na zgłoszenie naruszenia Prezesowi UODO? Nadal obowiązuje termin 72 godzin. Digital Omnibus przewiduje dodatkowy dzień i podniesienie progu ryzyka, od którego zależy obowiązek zgłoszenia.
- Obowiązujące RODO
- 72 godzinyOd stwierdzenia naruszenia. Wyjątek dotyczy przypadków, gdy ryzyko dla praw lub wolności osób jest mało prawdopodobne.
- Propozycja Komisji i Rady UE
- 96 godzinOd stwierdzenia naruszenia. Obowiązek dotyczyłby naruszeń, które mogą powodować wysokie ryzyko dla praw lub wolności osób.
Czym jest Digital Omnibus i kiedy mogą zmienić się przepisy?
Digital Omnibus to pakiet zmian w unijnym prawie cyfrowym. Projekt dotyczący danych obejmuje m.in. RODO, pliki cookies i zgłaszanie incydentów. Osobny projekt, który Rada UE zatwierdziła 29 czerwca 2026 r., dotyczy aktu o sztucznej inteligencji. Zmiany w RODO są na wcześniejszym etapie.
- 19 listopada 2025 r. Komisja Europejska przedstawiła projekt zmian.
- 11 lutego 2026 r. Ukazała się wspólna opinia Europejskiej Rady Ochrony Danych i Europejskiego Inspektora Ochrony Danych. Oba organy zakwestionowały m.in. proponowaną zmianę definicji danych osobowych.
- 22 czerwca 2026 r. Komisje ITRE i LIBE Parlamentu Europejskiego otrzymały projekt sprawozdania. W lipcu posłowie złożyli poprawki.
- 21 października 2026 r. Państwa członkowskie uzgodniły mandat Rady UE do negocjacji z Parlamentem. Na 3 listopada prace w komisjach Parlamentu nadal trwają.
Nie ma jeszcze daty stosowania nowych przepisów. Rada proponuje, aby zmiany dotyczące zgłaszania naruszeń zaczęły być stosowane 18 miesięcy po wejściu w życie rozporządzenia. Ostateczne brzmienie i okres przejściowy zależą od porozumienia Parlamentu i Rady.
Jak dziś liczyć 72 godziny na zgłoszenie naruszenia?
Administrator zgłasza naruszenie organowi bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od jego stwierdzenia (art. 33 ust. 1 RODO). Jeśli zgłoszenie następuje później, trzeba wyjaśnić przyczynę opóźnienia. Gdy brakuje części informacji, można przekazać to, co już ustalono, i uzupełnić zgłoszenie bez zbędnej zwłoki.
Przykład. W piątek 6 listopada o godz. 15.00 firma potwierdza, że plik z wynagrodzeniami pracowników trafił do obcej osoby. Jeżeli naruszenie podlega zgłoszeniu, 72 godziny upłyną w poniedziałek 9 listopada o godz. 15.00. Weekend wlicza się do terminu. Uzyskanie kompletu wyjaśnień od pracownika nie rozpoczyna go na nowo.
Osobno oceń, czy trzeba zawiadomić samych pracowników. Przy wysokim ryzyku dla ich praw lub wolności art. 34 RODO wymaga co do zasady zawiadomienia ich bez zbędnej zwłoki. Każde stwierdzone naruszenie trzeba udokumentować, również wtedy, gdy po ocenie ryzyka nie wymaga zgłoszenia organowi (art. 33 ust. 5 RODO).
Jakie zmiany w RODO proponują Komisja i Rada UE?
Komisja i Rada są zgodne co do terminu 96 godzin. Różnice dotyczą m.in. definicji danych osobowych, klauzul informacyjnych i tego, dokąd miałoby trafiać zgłoszenie.
Tabelę możesz przesuwać w poziomie.
| Obszar | Obecne przepisy | Projekt Komisji | Stanowisko Rady UE |
|---|---|---|---|
| Zgłaszanie naruszeń | 72 godziny. Wyjątek, gdy ryzyko dla osób jest mało prawdopodobne. | 96 godzin. Zgłoszenie, gdy naruszenie może powodować wysokie ryzyko. | Ten sam termin i próg ryzyka co w projekcie Komisji. |
| Miejsce zgłoszenia | Właściwy organ nadzorczy. W sprawach krajowych w Polsce jest nim Prezes UODO. | Wspólny punkt zgłoszeń na poziomie UE. | Krajowy punkt zgłoszeń w każdym państwie członkowskim. |
| Dane osobowe | Liczy się możliwość bezpośredniej lub pośredniej identyfikacji osoby. | Doprecyzowanie w samej definicji, czy dany podmiot ma środki pozwalające ustalić tożsamość osoby. | Dotychczasowa definicja i odrębny przepis o tym, kiedy odbiorca może zidentyfikować osobę po pseudonimizacji. |
| Informacja przy zbieraniu danych | Podajesz informacje z art. 13 w zakresie, w jakim osoba jeszcze ich nie ma. | Nowy wyjątek dla określonych, prostych relacji z administratorem. | Wyjątek m.in. gdy osoba zna dane administratora, cel i podstawę przetwarzania, a wysokie ryzyko jest mało prawdopodobne. Wyłączono m.in. dane o zdrowiu. |
| Żądanie dostępu do danych | Opłata lub odmowa są możliwe m.in. przy żądaniu ewidentnie nieuzasadnionym lub nadmiernym. | Nowa przesłanka związana z wykorzystaniem prawa dostępu do innych celów. | Powołując się na nadużycie, administrator musiałby wykazać taki zamiar po stronie wnioskodawcy. |
| Rozwój i działanie AI | Administrator ustala podstawę przetwarzania. Przy danych szczególnych kategorii musi też spełnić przesłankę z art. 9 RODO. | Wyraźne wskazanie możliwości powołania się na prawnie uzasadniony interes przy zachowaniu zabezpieczeń. | Uzasadniony interes pozostaje jedną z możliwych podstaw. Nadal liczą się konkretne zastosowanie i prawa osób. |
| Ocena skutków (DPIA) | Obowiązek przy prawdopodobnym wysokim ryzyku. Pomocą służą wykazy krajowych organów. | Wspólne dla całej UE wykazy operacji wymagających oceny oraz tych, które jej nie wymagają. | Wspólne wykazy miałaby ustalać i publikować Europejska Rada Ochrony Danych. |
Czy po zmianach znikną banery cookies?
W Polsce art. 399 Prawa komunikacji elektronicznej co do zasady wymaga uprzedniej informacji i zgody na zapis informacji w urządzeniu użytkownika lub dostęp do niej. Wyjątki dotyczą m.in. czynności niezbędnych do transmisji komunikatu lub do dostarczenia usługi, której użytkownik zażądał. Sklep może więc bez zgody użyć pliku niezbędnego do zapamiętania zawartości koszyka. Na uruchomienie piksela reklamowego śledzącego klienta między stronami co do zasady potrzebujesz uprzedniej zgody.
Komisja chciała przenieść reguły dotyczące dostępu do danych osobowych w urządzeniu do RODO. Rada chce pozostawić zasady w dyrektywie o e-prywatności. Dopuszcza dodatkowe wyjątki m.in. dla zabezpieczania usługi, tworzenia zbiorczych, anonimowych statystyk jej odwiedzin i pomiaru reklamy kontekstowej w ściśle określonych warunkach. Taki pomiar nie mógłby służyć profilowaniu użytkownika ani śledzeniu go między serwisami.
Co po kliknięciu „Odrzuć”? W stanowisku Rady odmowa powinna być możliwa jednym kliknięciem lub równoważnym sposobem. Ponowna prośba o zgodę w tym samym celu mogłaby się pojawić najwcześniej po czterech miesiącach. Komisja proponowała sześć miesięcy. Dziś żaden z tych projektowanych okresów nie jest podstawą do zmiany ustawień banera.
Trzy mity o Digital Omnibus
| Mit | Jak jest w praktyce? |
|---|---|
| „Małej firmy RODO już nie dotyczy” | Sam rozmiar firmy nie zwalnia z ochrony danych klientów czy pracowników. Zakres obowiązków zależy m.in. od tego, w jakim celu i jakie dane przetwarzasz. |
| „Wystarczy zastąpić nazwiska numerami” | Jeżeli masz klucz pozwalający powiązać numer z klientem, nadal przetwarzasz dane osobowe. Rada proponuje osobno oceniać możliwości niezależnego odbiorcy. Dostawca przetwarzający dane na Twoje zlecenie nie skorzystałby z tego wyjątku. |
| „Można przekazać dane klientów do trenowania AI” | Projekt nie daje takiej ogólnej zgody. Przy powołaniu się na prawnie uzasadniony interes trzeba m.in. wykazać niezbędność użycia danych i ocenić wpływ na osoby. Dane o zdrowiu wymagają dodatkowej podstawy z art. 9 RODO. |
Co Twoja firma może sprawdzić już teraz?
- Przećwicz zgłoszenie naruszenia. Kto odbierze informację w piątek po południu? Kto zapisze godzinę stwierdzenia naruszenia, oceni ryzyko i zdecyduje o zgłoszeniu? Wyznacz także osobę na zastępstwo.
- Zajrzyj do rejestru naruszeń. Przy ostatnim zdarzeniu poszukaj opisu skutków, podjętych działań i uzasadnienia decyzji o zgłoszeniu lub odstąpieniu od niego.
- Otwórz stronę w nowej sesji i odrzuć opcjonalne cookies. Sprawdź, czy piksel reklamowy rzeczywiście pozostaje wyłączony. Porównaj wynik z opisem w polityce cookies.
- Sprawdź, co trafia do narzędzi AI. Czy pracownicy wklejają do nich korespondencję klientów? Ustal, kto otrzymuje dane i czy dostawca może używać ich do własnych celów. Przed zakupem przydadzą się pytania UODO dla przedsiębiorców wdrażających AI.
- Porównaj dokumentację z tym, jak działa firma. Sprawdź klauzule informacyjne i umowy z dostawcami przetwarzającymi dane na Twoje zlecenie (art. 28 RODO). Skutki przeoczeń przy współpracy z dostawcą opisałem w artykule o karze dla McDonald’s Polska.
Najczęstsze pytania o zmiany w RODO
1. Czy Digital Omnibus zmienił już RODO w 2026 r.?
Na 3 listopada 2026 r. zmiany w RODO są dopiero w fazie projektowania. Przyjęcie stanowiska przez Radę nie zmienia póki co żadnych obowiązków firmy.
2. Od kiedy będzie 96 godzin na zgłoszenie naruszenia?
Nie ustalono takiej daty. Rada proponuje 18-miesięczny okres przejściowy od wejścia w życie rozporządzenia. Dziś przy zgłoszeniu organowi należy stosować art. 33 RODO, tj. termin 72 godzin.
3. Czy po odrzuceniu cookies sklep może od razu włączyć analitykę?
Jeśli narzędzie zapisuje lub odczytuje informacje z urządzenia i wymaga zgody, powinno pozostać wyłączone. Wyjątek ujęty w projekcie, dotyczący statystyk odwiedzin jeszcze nie zaczął obowiązywać.
4. Czy mała firma może usunąć klauzulę informacyjną z formularza?
Sama wielkość firmy tego nie uzasadnia. Jeżeli zbierasz dane od klienta, sprawdź, które informacje z art. 13 RODO ma już ta osoba. Pozostałe musisz jej przekazać przy zbieraniu danych.
5. Czy już teraz trzeba zmieniać procedury w firmie?
Obecne procedury warto uaktualnić, jeśli przestały odpowiadać temu w jaki sposób działa firma. Z wprowadzeniem proponowanych 96 godzin poczekaj na wejście w życie nowych zasad.
Podstawy prawne i przebieg prac
- RODO, w szczególności art. 12–15 i 33–35. Zobacz także wyjaśnienia UODO dotyczące terminu zgłoszenia.
- Prawo komunikacji elektronicznej, art. 399 o zapisie i odczycie informacji z urządzenia użytkownika.
- Projekt Komisji Europejskiej COM(2025) 837 oraz pełny tekst mandatu Rady UE z października 2026 r. (PDF, ang.)
- Etap prac w Parlamencie Europejskim (2025/0360/COD)
Skontaktuj się z kancelarią
Jeśli chcesz sprawdzić w swojej firmie procedurę zgłaszania naruszeń lub ustawienia cookies na stronie, mogę pomóc Ci przeprowadzić taki przegląd. Pomagam też we wdrożeniu RODO i pełnię funkcję inspektora ochrony danych. Opisz, czego potrzebujesz, w formularzu kontaktowym kancelarii.
Przeczytaj też · Jak przygotować dokumentację RODO w firmie? · Czy wdrożenie RODO jest obowiązkowe?
Pozdrawiam
Wiktor Dębowski
