Firma korzystająca z Fakturowni otrzymuje wiadomość o wycieku danych. Operator informuje, że zgłosił sprawę do UODO i zabezpieczył system. Czy przedsiębiorca musi zrobić coś jeszcze?
Tak, powinien ustalić zakres naruszenia i ocenić jego skutki dla osób, których dane wprowadzał do programu. Nie oznacza to jednak automatycznego obowiązku zgłoszenia do UODO ani wysyłania zawiadomień do wszystkich kontrahentów. Te decyzje wymagają odrębnej oceny.
Stan informacji: 6 października 2026 r.
Czy zgłoszenie wycieku przez Fakturownię zwalnia firmę z działania?
Nie. Zgłoszenie dokonane przez operatora nie zastępuje automatycznie obowiązków firmy korzystającej z programu.
Jeżeli przedsiębiorca wprowadzał do Fakturowni dane swoich klientów, zasadniczo pozostaje ich administratorem. Dostawca programu przetwarza je na jego zlecenie. Powierzenie danych zewnętrznemu usługodawcy nie przenosi na niego wszystkich obowiązków wynikających z RODO.
Dlatego trzeba rozdzielić dwie kwestie: działania Fakturowni dotyczące jej systemów oraz działania przedsiębiorcy dotyczące danych jego klientów. Samo zapewnienie, że „sprawa została zgłoszona”, nie wystarcza do uznania własnych obowiązków za wykonane.
Jak sprawdzić, jakie dane klientów objął wyciek?
Punktem wyjścia są indywidualne zawiadomienie od Fakturowni i informacje dotyczące konkretnego konta w Panelu incydentu.
Nie wystarczy sprawdzić dat wystawionych faktur. Według komunikatu operatora zakres pobranych danych różni się między kategoriami, a niektóre informacje (w tym kwoty i dodatkowe pola opisowe) dotyczą faktur z całego okresu. Dla części kont wskazano również szerszy zakres wycieku.
Trzeba więc sprawdzić nie tylko dane nabywcy, lecz także pola „Uwagi”, notatki, dane odbiorców i informacje o płatnościach. Przykładowo sam opis „usługa” mówi niewiele, ale opis konkretnego leczenia powiązany z nazwiskiem może ujawniać informacje o zdrowiu.
Równolegle należy zmienić hasło, sprawdzić użytkowników konta i rachunki na fakturach oraz wymienić objęte incydentem klucze integracji zgodnie z instrukcjami dostawcy.
Kiedy trzeba zgłosić naruszenie do UODO?
Zgłoszenie jest wymagane, chyba że ryzyko dla praw i wolności osób jest mało prawdopodobne.
UODO w komunikacie z 5 października 2026 r. wskazał, że ujawnienie wyłącznie publicznych danych przedsiębiorcy z CEIDG (takich jak nazwa, NIP i oficjalny adres działalności) zazwyczaj nie wymaga zgłoszenia.
Nie oznacza to jednak, że każda faktura dla przedsiębiorcy zawiera wyłącznie dane publiczne. Może ujawniać także rodzaj zakupionej usługi, wysokość zobowiązania, zaległość w płatności lub prywatne dane kontaktowe.
Przykład: nazwa i NIP jednoosobowej działalności są publiczne. Informacja, że jej właściciel korzystał z określonego leczenia albo zalega z konkretną płatnością, już nie musi być publiczna. Tych sytuacji nie należy oceniać jednakowo.
RODO chroni także osoby prowadzące jednoosobową działalność gospodarczą. Przy fakturach dla spółek trzeba natomiast sprawdzić, czy naruszenie objęło również dane osób fizycznych, np. pracowników lub odbiorców.
Od kiedy liczyć 72 godziny i co zrobić, jeśli termin minął?
Termin biegnie od stwierdzenia naruszenia dotyczącego danych przetwarzanych przez daną firmę, a nie automatycznie od daty ataku.
Chodzi o moment uzyskania dostatecznej pewności, że doszło do naruszenia danych osobowych. Zwykle taką wiedzę daje zawiadomienie operatora. Może ona jednak wynikać już z wcześniejszego, wystarczająco konkretnego komunikatu.
Jeżeli zgłoszenie jest wymagane, należy go dokonać bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin. Nie są to trzy dni robocze.
Przykład: jeżeli firma stwierdziła naruszenie w czwartek 1 października o godz. 16:00, okres 72 godzin kończy się w niedzielę 4 października o godz. 16:00. Weekend nie uzasadnia czekania do poniedziałku.
Brak pełnego raportu nie blokuje zgłoszenia. Można przekazać zgłoszenie wstępne, a następnie uzupełnić dane. Jeśli termin już upłynął, nadal trzeba wykonać istniejący obowiązek i wyjaśnić przyczyny opóźnienia.
Zgłoszenia można dokonać przez formularz elektroniczny wskazany na stronie UODO. Należy zachować potwierdzenie jego złożenia.
Kiedy trzeba poinformować klientów o wycieku danych?
Zawiadomienie osób jest wymagane przy wysokim ryzyku. To wyższy próg niż przy zgłoszeniu naruszenia do UODO.
Ocenia się zarówno prawdopodobieństwo wykorzystania danych, jak i powagę możliwych konsekwencji. Nie trzeba czekać, aż ktoś rzeczywiście zostanie oszukany.
W praktyce znaczenie mają m.in. następujące sytuacje:
- Imię i nazwisko wraz z numerem PESEL. Taki zestaw co do zasady przemawia za zawiadomieniem osoby ze względu na możliwość podszywania się pod nią i wyłudzeń.
- Opis usługi ujawniający zdrowie lub konkretną sprawę karną rozpoznawalnej osoby. Możliwe skutki obejmują naruszenie prywatności, dyskryminację lub szantaż. To silne przesłanki wysokiego ryzyka.
- Dane kontaktowe połączone ze szczegółami rozliczeń. Mogą umożliwić wiarygodne podszycie się pod wierzyciela. Nie oznaczają jednak automatycznie wysokiego ryzyka. Trzeba ocenić cały ujawniony zestaw danych i możliwe skutki jego wykorzystania.
Obowiązek może dotyczyć tylko części klientów. Jeżeli u kilku osób ujawniono dodatkowe, szczególnie wrażliwe informacje, ich sytuacja może wymagać innych działań niż sytuacja pozostałych kontrahentów.
Wyjątkiem może być skuteczne szyfrowanie, które uniemożliwia sprawcy odczyt danych, albo późniejsze działania eliminujące prawdopodobieństwo wysokiego ryzyka. Sama zmiana hasła nie cofa wycieku. Zastąpienie indywidualnych zawiadomień komunikatem publicznym wymaga niewspółmiernie dużego wysiłku przy kontakcie indywidualnym i równie skutecznego poinformowania osób.
Co powinno znaleźć się w zawiadomieniu klienta?
Klient powinien zrozumieć, co ujawniono, czym mu to grozi i co może teraz zrobić.
Zawiadomienie powinno zawierać opis zdarzenia, zakres danych, możliwe konsekwencje, podjęte działania i dane kontaktowe. Zalecenia trzeba dopasować do zagrożenia. Przy ryzyku fałszywych płatności praktyczną wskazówką jest telefoniczne potwierdzanie zmiany rachunku pod wcześniej znanym numerem.
Nie należy przepisywać ogólnego komunikatu operatora ani zaznaczać we wzorze wszystkich możliwych kategorii danych. Informacja o wycieku PESEL powinna pojawić się tylko wtedy, gdy dotyczy danej osoby.
Zawiadomienia wysyła się bez zbędnej zwłoki. Przy korespondencji elektronicznej trzeba chronić adresy odbiorców: wiadomość do wszystkich klientów z widoczną listą adresów może spowodować kolejne naruszenie.
Czy brak obowiązku zgłoszenia oznacza, że sprawę można zamknąć?
Nie. Każde naruszenie danych osobowych trzeba udokumentować, również to niezgłaszane do UODO.
Dokumentacja powinna wskazywać, kiedy firma dowiedziała się o zdarzeniu, jakie dane objęło naruszenie, jak oceniono ryzyko i jakie działania podjęto. Jeżeli odstąpiono od zgłoszenia lub zawiadomienia osób, należy zapisać powody.
Samo zdanie „to były dane firmowe” nie wyjaśnia, czy sprawdzono dodatkowe informacje na fakturach i w notatkach. Po otrzymaniu nowych ustaleń od operatora trzeba zweryfikować wcześniejszą ocenę.
Pomoc prawna po wycieku danych z Fakturowni
Analizujemy zakres naruszenia oraz obowiązki dotyczące zgłoszenia do UODO i zawiadomienia osób. Pomagamy przygotować ocenę ryzyka, dokumentację zdarzenia i korespondencję dostosowaną do rzeczywistej sytuacji firmy. Sprawy związane z ochroną danych prowadzimy dla firm także w ramach stałej obsługi prawnej.
Najczęstsze pytania
Czy po wycieku z Fakturowni każda firma musi zgłosić naruszenie do UODO?
Nie. Zgłoszenie jest wymagane, chyba że ryzyko dla praw i wolności osób jest mało prawdopodobne. Ujawnienie wyłącznie publicznych danych przedsiębiorcy z CEIDG zazwyczaj nie wymaga zgłoszenia, ale faktury często zawierają też inne informacje, które trzeba ocenić.
Od kiedy liczy się termin 72 godzin?
Od chwili, w której firma z dostateczną pewnością stwierdziła naruszenie danych, które przetwarza, a nie automatycznie od daty ataku. To 72 godziny zegarowe, nie trzy dni robocze.
Czy trzeba poinformować wszystkich klientów?
Nie zawsze. Zawiadomienie osób jest wymagane przy wysokim ryzyku, więc obowiązek może dotyczyć tylko części klientów, na przykład tych, przy których ujawniono PESEL albo informacje o zdrowiu.
Co zrobić, jeśli 72 godziny już minęły?
Nadal trzeba wykonać obowiązek zgłoszenia i wyjaśnić przyczyny opóźnienia. Można złożyć zgłoszenie wstępne i uzupełnić je później.
Firma korzystała z Fakturowni i nie wie, czy musi zgłosić naruszenie? Ocenimy zakres danych na Państwa koncie i przygotujemy zgłoszenie albo dokumentację odstąpienia od niego. Umów konsultację.