波兰UODO说明「并非所有数据泄露都须向UODO主席报告」：须先做风险评估并记录不入库理由，未报告不等于免除内部记录与告知当事人义务

波兰个人数据保护局（Urząd Ochrony Danych Osobowych，UODO）于2026年10月5日发布《并非所有数据泄露都要求向 UODO 主席报告》一文，系统说明 GDPR 第33条报告义务的适用边界。文章指出，控制者仅当数据泄露「可能对自然人的权利或自由造成风险」时才须向监管机关报告；因此决定是否报告的前置动作是风险评估。文中列举了「风险很低以致无需报告」的典型情形，例如涉及的财务信息存在被用于金融欺诈、伪造发票或付款指令的风险等，即一旦分析显示对自然人权利或自由存在高风险，控制者还应依 GDPR 第34条通知相关当事人。UODO 特别强调，即便控制者认定某次泄露无需向 UODO 主席报告，也不免除其以下义务：（一）开展并留存风险评估的记录；（二）在内部泄露登记册中载明不支持报告的理由。原因是 GDPR 要求对所有的个人数据泄露予以记录（documenting），无论该泄露是否已向监管机关报告。实务上，这意味着企业不能以「未报告」为由省略内部留痕：不报告的决定本身必须可被审计，包含风险评估过程与理由说明。该文是 UODO 近期针对泄露报告实务的系列说明之一，对在波兰设有实体或处理波兰数据主体数据的企业具有直接的操作指引价值。