Pojęcia stosowane w cyklu artykułów

RODO – ogólne rozporządzenie o ochronie danych
TSUE – Trybunał Sprawiedliwości Unii Europejskiej
DPA – krajowe organy ochrony danych osobowych
Wniosek KE z 19 listopada 2025 – Komisja Europejska (KE) 19 listopada 2025 r. przedstawiła projekty zmian do aktów prawnych regulujących w UE rynek usług cyfrowych
Digital Omnibus – przewidziany we Wniosku KE z 19 listopada 2025 pakiet reform obejmujący modyfikacje w:

1. rozporządzeniach (UE):
   1. 2016/679 (GDPR, RODO),
   2. 2018/1724 (o utworzeniu jednolitego portalu cyfrowego),
   3. 2018/1725 (rozporządzenie o ochronie danych osobowych w instytucjach UE),
   4. 2023/2854 (the Data Act; akt w sprawie danych),
2. dyrektywach:
   1. 2002/58/WE (dyrektywa o prywatności i łączności elektronicznej),
   2. 2022/2555 (dyrektywa NIS 2),
   3. 2022/2557 (dyrektywa w sprawie odporności podmiotów krytycznych).

TFUE – Traktat o funkcjonowaniu Unii Europejskiej. Traktat o funkcjonowaniu Unii Europejskiej wszedł w życie w dniu 1 grudnia 2009 r.
PKE – ustawa z dnia 12 lipca 2024 r. – Prawo komunikacji elektronicznej (Dz. U. poz. 1221 z późn. zm.)
ENISA – Agencja Unii Europejskiej ds. Cyberbezpieczeństwa
EROD – Europejska Rada Ochrony Danych Osobowych
EIOD – Europejski Inspektor Ochrony Danych
PUODO – Prezes Urzędu Ochrony Danych Osobowych
DORA – Digital Operational Resilience Act, czyli rozporządzenie o cyfrowej odporności operacyjnej; rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego i zmieniające rozporządzenia (WE) nr 1060/2009, (UE) nr 648/2012, (UE) nr 600/2014, (UE) nr 909/2014 oraz (UE) 2016/1011.

Wprowadzenie

Niniejszy artykuł jest kolejnym w ramach cyklu prezentującego projekty zmian, w tym w RODO, wskazanych we Wniosku KE z 19 listopada 2025 r.¹

W tym artykule zajmiemy się zmianami, które – streszczając uzasadnienie KE zawarte we Wniosku – mają na celu uproszczenie i racjonalizację obowiązków zgłaszania incydentów bezpieczeństwa, wynikających obecnie z wielu równolegle obowiązujących aktów prawa Unii.

Komisja zwraca uwagę, że podmioty zobowiązane – w szczególności administratorzy – muszą dziś raportować te same lub bardzo zbliżone zdarzenia na podstawie różnych reżimów prawnych, takich jak RODO, NIS 2, DORA, eIDAS czy CER, często do różnych organów, w różnych formatach i terminach. Taki stan prowadzi do nadmiernego obciążenia administracyjnego, fragmentacji informacji oraz nieefektywnego wykorzystania zasobów zarówno po stronie podmiotów zgłaszających, jak i organów nadzorczych.

Odpowiedzią na ten problem ma być wprowadzenie pojedynczego punktu kontaktowego, funkcjonującego zgodnie z zasadą „zgłoś raz, udostępnij wielu”. Mechanizm ten ma umożliwić podmiotom jednorazowe przekazanie informacji o incydencie poprzez jeden bezpieczny kanał, przy jednoczesnym zapewnieniu ich dalszego, kontrolowanego przepływu do właściwych organów na podstawie odpowiednich reżimów prawnych. Projekt przewiduje, że narzędzie to zostanie opracowane przez ENISA i będzie obejmowało również platformę raportową przewidzianą w akcie o cyberodporności, bez zmiany materialnych progów ani definicji incydentów.

Na tym tle Komisja proponuje również ukierunkowane zmiany w zakresie obowiązków administratorów wynikających z art. 33 RODO, których celem jest lepsze dostosowanie reżimu zgłaszania naruszeń do realnego poziomu ryzyka dla osób, których dane dotyczą, oraz do innych obowiązków sprawozdawczych w prawie UE. W szczególności projekt zakłada zrównanie progu obowiązku powiadomienia organu nadzorczego z progiem obowiązku powiadomienia osób, których dane dotyczą, poprzez wskazanie, że zgłoszenie do organu będzie wymagane wyłącznie wówczas, gdy naruszenie ochrony danych może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych. Jednocześnie proponuje się wydłużenie terminu zgłoszenia do 96 godzin.

Komisja podkreśla, że zmiana ta nie ma na celu osłabienia poziomu ochrony danych osobowych, lecz skoncentrowanie obowiązków sprawozdawczych na najpoważniejszych naruszeniach, które rzeczywiście wymagają reakcji organów nadzorczych oraz potencjalnej interwencji wobec osób, których dane dotyczą. Równolegle administratorzy zostaną zobowiązani do korzystania z pojedynczego punktu kontaktowego również przy zgłaszaniu naruszeń ochrony danych osobowych na podstawie RODO, co ma zapewnić spójność proceduralną z innymi reżimami zgłoszeniowymi.

Dopełnieniem tej reformy ma być ujednolicenie treści zgłoszeń poprzez nałożenie na Europejską Radę Ochrony Danych obowiązku przygotowania projektu wspólnego wzoru powiadomienia o naruszeniu ochrony danych. Komisja uzyska kompetencję do przyjęcia takiego wzoru w drodze aktu wykonawczego, przy czym – zgodnie z uzasadnieniem – proces ten ma uwzględniać doświadczenia zdobyte na gruncie DORA, w celu ograniczenia liczby wymaganych pól danych do niezbędnego minimum i dalszego zmniejszenia obciążenia administracyjnego podmiotów.

Zmiany w art. 33 RODO

Zmiana poziomu ryzyka, od którego obowiązkowe jest zgłoszenie naruszenia ochrony danych osobowych

Obecnie zgłoszenie naruszenia ochrony danych osobowych (art. 4 pkt 12 RODO) jest obowiązkowe, „chyba że jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych”. Obowiązek zgłoszenia jest zatem zasadą.

We Wniosku art. 33 ust. 1 otrzymuje brzmienie, z którego wynika, że obowiązek zgłoszenia naruszenia do organu nadzorczego (w Polsce – Prezesa UODO) staje się wyjątkiem. Obowiązek pojawi się dopiero wtedy, gdy naruszenie może powodować wysokie ryzyko naruszenia praw i wolności osób fizycznych.

Zmiana terminu, w którym należy zgłosić naruszenie ochrony danych osobowych

Obecnie naruszenia ochrony danych osobowych, które wymagają zgłoszenia do organu nadzorczego, muszą być zgłoszone nie później niż w terminie 72 godzin od ich stwierdzenia (ustalenia poziomu ryzyka naruszenia).

Wniosek przedłuża ten termin o 24 godziny, do 96 godzin. Niezmiennie jednak termin biegnie od chwili stwierdzenia poziomu ryzyka naruszenia praw i wolności osób, których naruszenie dotyczyło.

Zmiana sposobu zgłoszenia naruszenia

W obecnym stanie prawnym art. 33 ust. 3 wskazuje jedynie na niezbędne elementy, które ma zawierać zgłoszenie naruszenia ochrony danych osobowych, oraz organ, do którego zgłoszenie ma trafić. W uzupełnionym art. 33 ustawodawca unijny wskazuje również sposób, w jaki zgłoszenie ma być dokonywane. Administrator ma korzystać z pojedynczego punktu kontaktowego przy zgłaszaniu naruszeń ochrony danych, zgodnie z horyzontalną architekturą raportowania incydentów (RODO + NIS 2 + DORA itd.).

Odwołanie w projektowanym art. 33 ust. 1 RODO do art. 23a dyrektywy (UE) 2022/2555 oznacza włączenie mechanizmu zgłaszania naruszeń ochrony danych osobowych w architekturę pojedynczego punktu kontaktowego, ustanowioną na gruncie dyrektywy NIS 2. Rozwiązanie to wpisuje się w koncepcję horyzontalnej koordynacji obowiązków sprawozdawczych w prawie UE i nie zmienia materialnych przesłanek odpowiedzialności administratorów ani kompetencji organów nadzorczych właściwych na podstawie RODO. RODO nie tworzy własnego kanału zgłoszeń, lecz korzysta ze wspólnej, cyberbezpieczeństwowej infrastruktury unijnej. Do czasu ustanowienia takiego punktu kontaktowego wszystko zostaje „po staremu” – zgłoszenie incydentów w dalszym ciągu kierowane będzie do Prezesa UODO.

W takim wypadku „odpadnie” administratorom obowiązek ustalania, w przypadku transgranicznego naruszenia, czy Prezes UODO jest organem wiodącym w odniesieniu do czynności przetwarzania, które zostały objęte naruszeniem.

Wspólny wzór zgłoszenia oraz wykaz okoliczności wysokiego ryzyka

Obecnie prawo nie określa, jak powinien wyglądać wzór zgłoszenia. Art. 33 ust. 3 wskazuje jedynie na niezbędne elementy, które ma zawierać zgłoszenie do PUODO naruszenia ochrony danych osobowych. Prezes UODO opublikował zalecenia dotyczące realizacji tego obowiązku na swojej stronie internetowej, zamieszczając jednocześnie wzór zgłoszenia.²

Wniosek KE z 19.11.2025 r. przewiduje dodanie w art. 33 ust. 6. Projektowany art. 33 ust. 6 RODO ustanawia mechanizm, w którym Europejska Rada Ochrony Danych opracuje wspólny wzór zgłoszenia naruszenia oraz wykaz okoliczności wysokiego ryzyka, natomiast Komisja Europejska – działając w procedurze sprawdzającej z art. 93 ust. 2 RODO – nadaje tym rozwiązaniom moc wiążącą w drodze aktu wykonawczego, zapewniając jednocześnie kontrolę państw członkowskich nad ostatecznym kształtem regulacji. EROD nie wydaje wiążącego prawa, lecz przygotowuje treść merytoryczną; Komisja nadaje tej treści moc prawną, ale:

• pod kontrolą państw członkowskich,
• w jednolitej, obowiązującej w całej UE formie.

W rezultacie:

• wzór zgłoszenia naruszenia,
• oraz katalog sytuacji „wysokiego ryzyka”

staną się powszechnie obowiązującym prawem, a nie jedynie soft law lub wytycznymi.

Skutki proponowanych zmian

1. Mniej zgłoszeń do organów nadzorczych

Wprowadzenie progu „wysokiego ryzyka” zamiast „ryzyka” oznacza:

• eliminację obowiązku zgłaszania wielu incydentów niskiego lub średniego poziomu,
• koniec praktyki „defensywnego raportowania wszystkiego”.

2. Wydłużenie czasu reakcji (72h → 96h)

Więcej czasu na:

• analizę techniczną,
• ustalenie zakresu wycieku,
• ocenę ryzyka.

3. Konieczność przebudowy procedur naruszeń

Organizacje będą musiały:

• zmienić procedury breach notification,
• wdrożyć nowe kryteria oceny „wysokiego ryzyka”,
• zaktualizować polityki bezpieczeństwa, instrukcje reagowania na incydenty oraz rejestry naruszeń.

4. Wprowadzenie obowiązkowej standaryzacji zgłoszeń

Wspólny wzór zgłoszenia KE (po przyjęciu aktu wykonawczego) oznacza odejście od:

• lokalnych formularzy,
• zróżnicowanych praktyk krajowych.

5. Wprowadzenie wykazu incydentów podlegających obowiązkowemu zgłoszeniu

Wykaz sytuacji „wysokiego ryzyka” opracowany przez EROD:

• stanie się formalnym standardem,
• ograniczy dowolność interpretacyjną.

Warto dodać na koniec, że EROD oraz EIOD ogólnie pozytywnie oceniają kierunek zmian w zakresie zgłaszania naruszeń ochrony danych osobowych, w szczególności podwyższenie progu zgłoszenia, wydłużenie terminu notyfikacji oraz wprowadzenie wspólnych wzorów raportowania. Jednocześnie podkreślają, że uproszczenie obowiązków nie może prowadzić do obniżenia poziomu ochrony praw jednostki, a proponowane rozwiązania – zwłaszcza w kontekście całego pakietu Digital Omnibus – wymagają starannego doprecyzowania w celu uniknięcia niepewności prawnej oraz ryzyka osłabienia systemu ochrony danych osobowych.³

---

Przypisy:

¹ Poprzednie artykuły dotyczące zmian możecie znaleźć Państwo pod adresem https://auraco.pl/blog/ – zob. Omówienie cz. 1, Omówienie cz. 2, Omówienie cz. 3.

² https://uodo.gov.pl/pl/501/2278 [dostęp 11.05.2026].

³ Cyfrowy zbiorczy akt prawny: EROD i EIOD wspierają uproszczenie i konkurencyjność, jednocześnie zgłaszając główne obawy | European Data Protection Board.