Wyciek danych z Fakturowni. Czy każdy administrator powinien zgłosić naruszenie do UODO?
Jeden incydent bezpieczeństwa, tysiące potencjalnie dotkniętych podmiotów i zasadnicze pytanie: kto, kiedy i na jakiej podstawie powinien zgłosić naruszenie ochrony danych osobowych?
Incydent bezpieczeństwa w Fakturowni, ujawniony pod koniec września 2026 r., to jeden z tych przypadków, które szczególnie wyraźnie pokazują, jak skomplikowana potrafi być odpowiedzialność za dane osobowe w relacjach pomiędzy administratorem a dostawcą usług IT.
Z oficjalnego komunikatu Fakturowni wynika, że osoba nieuprawniona uzyskała dostęp do systemów i skopiowała znaczną część bazy danych. Nieuprawniony dostęp trwał od 27 do 28 września 2026 r. Zakres naruszenia obejmował m.in. dane użytkowników, informacje o kontrahentach, dane finansowe, informacje zawarte w dokumentach oraz dane uwierzytelniające w określonych postaciach. Co szczególnie istotne, rzeczywisty zakres ujawnionych informacji różni się w zależności od konta. I właśnie ta okoliczność ma fundamentalne znaczenie dla oceny obowiązków wynikających z RODO.
Należy pamiętać, że naruszenie u dostawcy nie zwalnia administratora z odpowiedzialności
Fakturownia, w odniesieniu do danych kontrahentów powierzonych przez klientów, występuje zasadniczo jako podmiot przetwarzający w rozumieniu art. 4 pkt 8 RODO. Natomiast przedsiębiorcy korzystający z systemu, w zakresie danych osobowych, których cele i sposoby przetwarzania określają, pozostają administratorami danych. Oznacza to, że samo zgłoszenie incydentu przez dostawcę do Prezesa UODO nie oznacza automatycznie wykonania obowiązków przez wszystkich jego klientów. Administrator musi samodzielnie ustalić, czy naruszenie dotyczące powierzonych danych wymaga zgłoszenia organowi nadzorczemu i ewentualnie zawiadomienia osób, których dane dotyczą.
Czy każde naruszenie należy zgłaszać do UODO?
5 października 2026 r. Prezes UODO opublikował komunikat przypominający o konieczności każdorazowej, rzetelnej oceny ryzyka. Zgodnie z art. 33 ust. 1 RODO administrator zgłasza naruszenie organowi nadzorczemu, chyba że jest mało prawdopodobne, aby skutkowało ono ryzykiem naruszenia praw lub wolności osób fizycznych. Kluczowe znaczenie ma zatem nie sam fakt wystąpienia incydentu, lecz jego potencjalne konsekwencje dla osób fizycznych. Jeżeli ujawnieniu uległy wyłącznie dane przedsiębiorcy powszechnie dostępne w CEIDG, takie jak imię, nazwisko, NIP czy oficjalny adres działalności, ryzyko może być niewielkie.
Inaczej należy ocenić sytuację, gdy naruszenie obejmuje również numery PESEL lub prywatne dane kontaktowe czy informacje o płatnościach, rachunkach i rozliczeniach. W takich przypadkach ryzyko oszustw, phishingu, kradzieży tożsamości czy naruszenia prywatności może uzasadniać obowiązek zgłoszenia. Nie istnieje zatem jedna prawidłowa decyzja dla wszystkich użytkowników Fakturowni.
72 godziny na zgłoszenie – ale od kiedy?
To pytanie ma szczególne znaczenie w przypadku naruszeń ujawnianych przez zewnętrznych dostawców. Art. 33 ust. 1 RODO przewiduje zgłoszenie bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia. Nie oznacza to jednak, że każdy klient Fakturowni powinien automatycznie liczyć ten termin od dnia, w którym dostawca wykrył incydent. Istotny jest moment, w którym konkretny administrator uzyskał wystarczającą wiedzę pozwalającą stwierdzić, że doszło do naruszenia ochrony danych osobowych pozostających pod jego odpowiedzialnością. Brak pełnej wiedzy o wszystkich konsekwencjach incydentu nie zawsze uzasadnia odkładanie zgłoszenia. RODO dopuszcza przekazywanie informacji sukcesywnie, jeżeli nie można ich udzielić jednocześnie.
Brak obowiązku zgłoszenia nie oznacza braku obowiązków
To rozróżnienie bywa pomijane. Nawet jeżeli analiza wykaże, że zgłoszenie do Prezesa UODO nie jest wymagane, administrator powinien udokumentować naruszenie i przesłanki podjętej decyzji.
Wynika to wprost z art. 33 ust. 5 RODO. W praktyce oznacza to konieczność ustalenia zakresu ujawnionych danych, oceny prawdopodobieństwa i wagi potencjalnych skutków dla osób fizycznych oraz udokumentowania przyjętej kwalifikacji. Jeżeli natomiast naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, należy dodatkowo rozważyć obowiązek ich zawiadomienia na podstawie art. 34 RODO, z uwzględnieniem przewidzianych w tym przepisie wyjątków. Brak zgłoszenia może być więc prawidłową decyzją prawną. Ale powinien być wynikiem analizy, a nie braku działania.
Incydent w Fakturowni pokazuje problem znacznie szerszy niż bezpieczeństwo jednej platformy.
W praktyce organizacje powierzają dane kolejnym dostawcom, często koncentrując się przede wszystkim na funkcjonalności usług, kosztach i dostępności systemów. Tymczasem dopiero incydent bezpieczeństwa ujawnia znaczenie właściwego uregulowania relacji powierzenia, procedur reagowania na naruszenia, jakości komunikacji z dostawcą i możliwości szybkiego ustalenia zakresu danych. Nie wystarczy mieć podpisanej umowy powierzenia przetwarzania danych. Trzeba jeszcze wiedzieć, jak działać, gdy naruszenie rzeczywiście wystąpi. W przypadku Fakturowni szczególnego znaczenia nabiera także bezpieczeństwo operacyjne: zmiana haseł, weryfikacja kluczy API, wzmożona ostrożność wobec prób wyłudzeń oraz niezależne potwierdzanie zmian numerów rachunków bankowych.
