Wyciek danych osobowych – co zrobić w pierwszej kolejności?

Po wycieku danych najpierw należy ograniczyć skutki incydentu i zabezpieczyć dowody, a równolegle ustalić, czy doszło do naruszenia, i ocenić ryzyko dla osób, których dane dotyczą. Od tej oceny zależy, czy naruszenie trzeba zgłosić do UODO i w jakim terminie.

Ostatnie tygodnie pokazują, że nie jest to teoria. Po incydencie w systemie MyDr kolejny przypadek dotknął przedsiębiorców korzystających z Fakturowni. 28 września 2026 r. Fakturownia stwierdziła nieuprawniony dostęp do swoich systemów i skopiowanie części przechowywanych danych, obejmujących m.in. dane firm, użytkowników, kontrahentów oraz wybrane dane z faktur i płatności.

Wyciek danych a naruszenie ochrony danych

RODO posługuje się szerszym pojęciem niż „wyciek”. Zgodnie z art. 4 pkt 12 RODO naruszenie ochrony danych osobowych to naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych.

W praktyce najczęściej spotykam się z wysłaniem e-maila z załącznikiem do niewłaściwego adresata, folderem w chmurze udostępnionym „każdemu, kto ma link”, zgubionym laptopem bez szyfrowania, przejęciem skrzynki pocztowej pracownika oraz atakiem ransomware.

Co zrobić w pierwszej kolejności?

Reakcja powinna przebiegać równolegle na dwóch torach: technicznym i prawnym. Najczęstszy błąd, jaki widzę, polega na tym, że firma przez kilka dni zajmuje się wyłącznie stroną techniczną, a o terminie z RODO przypomina sobie, gdy jest już po nim.

Krok 1. Ogranicz skutki incydentu

zablokuj dostęp do konta, folderu albo systemu, którego dotyczy incydent, zmień hasła i cofnij zbędne uprawnienia,
zabezpiecz logi, korespondencję i zgłoszenia pracowników,
jeżeli dane trafiły do niewłaściwego odbiorcy, poproś go o usunięcie danych i potwierdzenie na piśmie, że nie zostały przekazane dalej,
zaangażuj zespół: IT, inspektora ochrony danych (jeśli został wyznaczony) oraz dostawcę usługi, której dotyczy incydent.

Przy ataku hakerskim warto rozważyć zawiadomienie organów ścigania (art. 267 Kodeksu karnego). Nie zastępuje ono zgłoszenia do UODO.

Krok 2. Ustal, co się wydarzyło

Od początku prowadź notatkę z incydentu: data i godzina zdarzenia, moment wykrycia i moment stwierdzenia naruszenia, kategorie danych, liczba osób, możliwi odbiorcy i zastosowane zabezpieczenia. Pełny zakres naruszenia rzadko jest znany od razu, ale nie można czekać z decyzją do zakończenia wyjaśnień. Europejska Rada Ochrony Danych w wytycznych 9/2022 dopuszcza jedynie krótką weryfikację pierwszego sygnału.

Krok 3. Oceń ryzyko

Kluczowe pytanie nie brzmi „ile danych wyciekło?”, lecz „czy naruszenie może powodować ryzyko dla praw lub wolności osób fizycznych?”. W praktyce biorę pod uwagę:

rodzaj danych – inaczej ocenia się adres e-mail, a inaczej PESEL, dane logowania, dane finansowe czy dane o zdrowiu,
liczbę osób i łatwość ich identyfikacji,
możliwe skutki: kradzież tożsamości, phishing, straty finansowe,
odbiorcę danych i czas trwania nieuprawnionego dostępu,
zastosowane zabezpieczenia, np. skuteczne szyfrowanie.

Wynik tej oceny decyduje o obowiązkach zgłoszeniowych wobec UODO i osób, których dane dotyczą.

Gdy incydent wydarzył się u dostawcy

W odniesieniu do danych kontrahentów i innych osób wprowadzonych do konta przez klienta Fakturownia wskazuje, że działa jako podmiot przetwarzający, a klient pozostaje administratorem tych danych (komunikat Fakturownia). Role należy jednak zawsze ocenić na podstawie faktycznych celów i sposobów przetwarzania oraz treści łączącej strony umowy powierzenia przetwarzania danych.

Otrzymanie informacji od dostawcy powinno uruchomić po stronie firmy własną procedurę: ustalenie zakresu danych, ocenę ryzyka i udokumentowanie decyzji. Sam fakt, że incydent wydarzył się u zewnętrznego dostawcy, nie przenosi obowiązków administratora na dostawcę.

FAQ – Najczęstsze pytania

Czy pomyłka pracownika, np. e-mail do złego adresata, to naruszenie RODO?

Tak. To jedna z najczęstszych postaci naruszenia. To, czy trzeba je zgłosić do UODO lub zawiadomić osoby, zależy od oceny ryzyka – nawet gdy dotyczy jednej osoby.

Czy zawiadomienie policji zastępuje zgłoszenie do UODO?

Nie. To dwa odrębne działania. Zawiadomienie organów ścigania (np. o przestępstwie z art. 267 Kodeksu karnego) nie zwalnia administratora z obowiązków wynikających z RODO.

Co zrobić po otrzymaniu od dostawcy informacji o wycieku danych?

Ustal, jakich danych z Twojego konta dotyczy incydent i czy jesteś ich administratorem, wykonaj zalecenia bezpieczeństwa (hasła, klucze API), ostrzeż zespół przed próbami oszustw i oceń ryzyko. Decyzja o zgłoszeniu do UODO należy do administratora.

Kto w firmie decyduje o zgłoszeniu naruszenia?

Administrator, czyli w spółce w praktyce zarząd lub osoba przez niego upoważniona. Inspektor ochrony danych doradza, ale nie przejmuje odpowiedzialności za decyzję.

Potrzebujesz wsparcia po incydencie?

Kancelaria wspiera administratorów w ocenie naruszenia i przygotowaniu dokumentacji, a w ramach obsługi RODO w firmie przygotowuje procedury reagowania na incydenty i prowadzi szkolenia. Jeśli ocena ryzyka wskazuje na zagrożenie, zgłoś naruszenie do UODO. Terminy i treść zgłoszenia opisuję w części 2 artykułu: Zgłoszenie naruszenia do UODO.

Skontaktuj się z kancelarią telefonicznie pod numerem +48 789 841 370 lub umów konsultację online.