Wysłałeś dokument do złego adresata: co zrobić w 72 godziny

Publikacja: 31 października 2026 r.. Aktualizacja: 31 października 2026 r..

Pasek płacowy poszedł do innego pracownika, umowa do klienta o podobnym nazwisku, rozliczenie do byłego lokatora. Nieprawidłowe zaadresowanie korespondencji, papierowej i elektronicznej, jest od lat na pierwszym miejscu listy naruszeń najczęściej zgłaszanych Prezesowi UODO (sprawozdania za 2023 i 2024 r.). Co zrobić od chwili, gdy się o tym dowiesz. To opis procedury, a nie porada prawna.

1. Ogranicz skutki, od razu

• Skontaktuj się z osobą, która dostała dokument: poproś o usunięcie wiadomości i plików (także z kosza) i o potwierdzenie na piśmie albo mailem, że to zrobiła i nie przekazała ich dalej.
• Jeśli dokument jest jeszcze dostępny przez link, wyłącz go: cofnij przesyłkę, usuń udostępnienie z dysku w chmurze.
• Zapisz fakty: co wysłano, komu, kiedy, kiedy się zorientowałeś i co już zrobiłeś.

2. Oceń ryzyko

Zgłoszenie do UODO jest potrzebne, chyba że naruszenie nie powoduje prawdopodobnie ryzyka naruszenia praw lub wolności osób (art. 33 ust. 1 RODO). Przy ocenie liczy się:

• jakie dane były w dokumencie (PESEL, wynagrodzenie, zdrowie, zadłużenie, dane dzieci);
• ilu osób dotyczy;
• kim jest odbiorca (inny pracownik tej samej firmy, obca osoba, konkurent) i czy otworzył dokument;
• czy dokument był zaszyfrowany i czy odbiorca miał klucz albo kod;
• czy odzyskałeś kontrolę: potwierdzone usunięcie, cofnięty dostęp.

Ocenę zapisz, także wtedy, gdy uznasz, że zgłoszenie nie jest potrzebne.

3. Zgłoś do UODO w 72 godziny

Administrator zgłasza naruszenie Prezesowi UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od jego stwierdzenia; zgłoszenie po tym terminie wymaga wyjaśnienia przyczyn opóźnienia (art. 33 ust. 1 RODO). Gdy nie znasz jeszcze wszystkich informacji, możesz je przekazywać etapami (art. 33 ust. 4). Zgłoszenia dokonuje się elektronicznie, formularzem na platformie biznes.gov.pl (UODO: zgłoszenie naruszenia ochrony danych).

Biuro rachunkowe, które wysyła dokumenty w imieniu klienta, jest zwykle podmiotem przetwarzającym: wtedy bez zbędnej zwłoki zawiadamia klienta (administratora), a zgłoszenia do UODO dokonuje klient (art. 33 ust. 2).

4. Zawiadom osobę, której dane dotyczą

Gdy ryzyko jest wysokie, administrator zawiadamia też osobę, której dane dotyczą: prostym językiem, co się stało, jakie mogą być skutki, co zrobiono i co ta osoba może zrobić, np. zastrzec PESEL (art. 34 RODO).

5. Wpisz zdarzenie do rejestru naruszeń

Każde naruszenie, także niezgłoszone, administrator dokumentuje: okoliczności, skutki i podjęte działania (art. 33 ust. 5 RODO).

Przykłady z decyzji UODO

• Komornik, 23 października 2025 r. Pismo o zajęciu wynagrodzenia z imieniem i nazwiskiem, numerem PESEL, adresem i kwotą zajęcia trafiło przez pomyłkę do niewłaściwej osoby, która zawiadomiła UODO. Komornik nie przeprowadził analizy ryzyka, nie zgłosił naruszenia i nie zawiadomił osoby. Kary łącznie 20 900 zł: 7 700 zł za brak zgłoszenia i 13 200 zł za brak zawiadomienia (decyzja DKN.5131.17.2024, komunikat UODO).
• Ubezpieczyciel (Link4), 2023 r. Dokument o przyznaniu odszkodowania z imieniem, nazwiskiem, adresem, danymi samochodu i kwotą roszczenia trafił mailem do niewłaściwej osoby, która poinformowała o tym ubezpieczyciela. Firma oceniła ryzyko jako niskie i wpisała zdarzenie tylko do wewnętrznego rejestru. Prezes UODO uznał, że naruszenie trzeba było zgłosić, i nałożył karę 103 752 zł (komunikat UODO z 23 listopada 2023 r.).

W obu sprawach karę nałożono nie za samą pomyłkę w adresie, ale za to, co stało się potem: brak albo zaniżona ocena ryzyka i brak zgłoszenia. Wpis do własnego rejestru naruszeń nie zastępuje zgłoszenia, gdy ryzyka nie da się wykluczyć.

Źródła: stan na 31 października 2026 r.

Jak to zrobić w WyślijBezpiecznie

Przesyłka ogranicza skutki pomyłki, zanim ktoś ją zauważy. Zły adresat dostaje link, ale kod idzie SMS-em na telefon właściwej osoby, więc bez niego nie otworzy plików, a po 5 błędnych kodach dostęp się blokuje. Gdy zorientujesz się w porę, cofasz wysyłkę dla jednej osoby: jej klucz jest od razu usuwany. Historia przesyłki pokazuje, czy ktoś wpisał poprawny kod i pobrał pliki, co ułatwia ocenę ryzyka, a po terminie ważności pliki znikają same.