Wyciek danych z Fakturowni. Czy Twoja firma musi zgłosić naruszenie do UODO?

Korzystasz z Fakturowni i otrzymałeś zawiadomienie o naruszeniu ochrony danych? Samo zgłoszenie incydentu przez dostawcę systemu nie zastępuje obowiązków Twojej firmy jako administratora danych. Sprawdź, kiedy trzeba zawiadomić Prezesa UODO, jak liczyć 72 godziny i co zrobić, jeżeli termin już minął.

Stan informacji: 5 października 2026 r.

Co wydarzyło się w Fakturowni?

Fakturownia potwierdziła, że 28 września 2026 r. stwierdziła naruszenie ochrony danych osobowych. Według oficjalnego komunikatu osoba nieuprawniona uzyskała dostęp do systemów i skopiowała dużą część bazy danych na własne serwery. Nieuprawniony dostęp trwał od 27 do 28 września.

W aktualizacji z 1 października dostawca wskazał, że incydent dotyczy każdego konta, ale zakres skopiowanych danych nie jest jednakowy. W zależności od konta i okresu wprowadzenia informacji obejmuje m.in.:

• dane firmy i użytkowników konta;
• dane kontrahentów, w tym imiona i nazwiska, dane kontaktowe oraz numery rachunków;
• dane z faktur i płatności;
• skróty haseł użytkowników oraz określone klucze API i integracji.

Fakturownia poinformowała również o szerszym zakresie naruszenia dotyczącym około 2250 kont. Dlatego ocena sytuacji powinna opierać się przede wszystkim na informacjach dotyczących konkretnego konta, a nie wyłącznie na ogólnym komunikacie.

Brak potwierdzenia publicznego udostępnienia danych nie oznacza braku naruszenia. Samo ich skopiowanie przez osobę nieuprawnioną stanowi naruszenie poufności.

Fakturownia zgłosiła incydent. Dlaczego Twoja firma nadal musi działać?

W przypadku danych klientów i innych osób, które firma wprowadziła do systemu jako administrator, Fakturownia działa jako podmiot przetwarzający.

To rozróżnienie ma praktyczne znaczenie: dostawca informuje administratora o naruszeniu, natomiast administrator ocenia jego skutki i realizuje własne obowiązki wynikające z RODO.

Jeżeli Twoja firma jest administratorem danych objętych incydentem, powinna:

1. Ustalić zakres naruszenia.
2. Ocenić ryzyko dla praw i wolności osób fizycznych.
3. Ustalić, czy wymagane jest zgłoszenie do Prezesa UODO.
4. Odrębnie ocenić obowiązek zawiadomienia osób, których dane dotyczą.
5. Udokumentować naruszenie, ocenę i podjęte działania.

Samo korzystanie z Fakturowni nie przesądza jeszcze o obowiązku zgłoszenia. Nie można jednak zakładać, że zgłoszenie dokonane przez dostawcę automatycznie załatwia sprawę wszystkich jego klientów.

Kiedy trzeba zgłosić naruszenie do UODO?

Zgodnie z art. 33 RODO administrator zgłasza naruszenie organowi nadzorczemu, chyba że jest mało prawdopodobne, by skutkowało ono ryzykiem naruszenia praw lub wolności osób fizycznych.

Przy ocenie znaczenie mają m.in.:

• rodzaj i zakres ujawnionych danych;
• możliwość zidentyfikowania konkretnych osób;
• liczba osób objętych naruszeniem;
• ryzyko podszywania się, phishingu i oszustw finansowych;
• informacje wynikające z opisów usług, faktur, notatek i dodatkowych pól.

Dane dotyczące wyłącznie osoby prawnej nie zawsze są danymi osobowymi. Jednak informacje o jednoosobowych przedsiębiorcach, pracownikach lub osobach kontaktowych mogą podlegać ochronie na podstawie RODO.

Decyzja o braku zgłoszenia również wymaga uzasadnienia i udokumentowania.

Od kiedy liczyć 72 godziny?

Zgłoszenia należy dokonać bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia przez administratora.

Nie jest to automatycznie data ataku ani chwila przeczytania dowolnego artykułu w internecie. Kluczowe jest uzyskanie dostatecznej pewności, że doszło do naruszenia dotyczącego danych, za które administrator odpowiada.

Zawiadomienie od Fakturowni może być momentem stwierdzenia naruszenia. Jeżeli jednak firma miała wystarczające informacje wcześniej, termin mógł rozpocząć bieg przed otrzymaniem indywidualnego e-maila.

72 godziny to nie trzy dni robocze. Weekend nie zatrzymuje biegu terminu.

Nie należy czekać na zakończenie całego postępowania wyjaśniającego, jeżeli dostępne informacje pozwalają już stwierdzić naruszenie wymagające zgłoszenia. RODO dopuszcza przekazywanie informacji etapami, bez dalszej zbędnej zwłoki.

Co zrobić, jeśli termin już minął?

Jeżeli naruszenie wymaga zgłoszenia, przekroczenie terminu nie znosi tego obowiązku. Należy dokonać zgłoszenia niezwłocznie i dołączyć wyjaśnienie przyczyn opóźnienia.

Dalsze odkładanie sprawy nie rozwiązuje problemu.

Czy trzeba powiadomić klientów i kontrahentów?

Zgłoszenie do UODO i zawiadomienie osób, których dane dotyczą, to dwa odrębne obowiązki.

Zgodnie z art. 34 RODO zawiadomienie osób jest co do zasady wymagane, gdy naruszenie może powodować wysokie ryzyko dla ich praw lub wolności. Trzeba przy tym uwzględnić przewidziane w przepisach wyjątki.

Komunikat powinien jasno wyjaśniać:

• co się wydarzyło;
• jakie mogą być konsekwencje;
• jakie działania podjęto lub zaproponowano;
• gdzie można uzyskać dodatkowe informacje.

Warto również wskazać konkretne środki ostrożności, np. telefoniczne potwierdzanie próśb o zmianę rachunku do zapłaty pod wcześniej znanym numerem.

Nie każde naruszenie wymaga zawiadomienia wszystkich kontrahentów. Zakres komunikacji powinien wynikać z ustaleń dotyczących danych konkretnych osób i oceny ryzyka.

Co zrobić teraz? Lista dla firmy korzystającej z Fakturowni

1. Sprawdź informacje dotyczące swojego konta.
Wejdź do serwisu, samodzielnie wpisując jego adres. Zachowaj zawiadomienie, szczegóły incydentu oraz daty otrzymania informacji.

2. Ustal, jakie dane osobowe zostały objęte naruszeniem.
Sprawdź nie tylko podstawowe dane kontrahentów, ale także opisy, notatki, dodatkowe pola i informacje o płatnościach.

3. Zaangażuj osoby odpowiedzialne za ochronę danych i IT.
Jeżeli w organizacji działa inspektor ochrony danych, włącz go do oceny incydentu.

4. Oceń obowiązki wynikające z RODO.
Oddziel decyzję o zgłoszeniu do UODO od decyzji o zawiadomieniu osób. Udokumentuj wnioski.

5. Zabezpiecz dostęp i integracje.
Zmień hasło do Fakturowni oraz w innych usługach, jeśli było takie samo. Zweryfikuj klucze API i zastosuj zalecenia dostawcy odpowiednie dla używanych integracji.

6. Ostrzeż zespół przed próbami oszustwa.
Zwróć szczególną uwagę na wiadomości o zmianie rachunku bankowego, pilnych przelewach i zaległych fakturach. Prawdziwe dane w wiadomości nie gwarantują, że wysłał ją rzeczywisty kontrahent.

Jak zgłosić naruszenie?

UODO udostępnia procedurę zgłoszenia oraz odsyła do formularza elektronicznego na biznes.gov.pl.

Zgłoszenie powinno obejmować m.in. opis naruszenia, kategorie i przybliżoną liczbę osób oraz rekordów danych, możliwe konsekwencje, działania zaradcze i dane kontaktowe IOD lub innego punktu kontaktowego.

Fakturownia informuje również o udostępnieniu częściowo wypełnionego formularza na kontach, z których skopiowano dane osobowe kontrahentów. Taki formularz może ułatwić przygotowanie zgłoszenia, ale wymaga weryfikacji i dostosowania do sytuacji konkretnego administratora.

Potrzebujesz wsparcia po wycieku danych z Fakturowni?

Nie masz pewności, czy Twoja firma powinna zgłosić naruszenie? Nie wiesz, jak ocenić ryzyko lub przygotować komunikat do klientów?

Skontaktuj się z nami w sprawie:

• analizy zawiadomienia i zakresu naruszenia;
• oceny obowiązku zgłoszenia do Prezesa UODO;
• przygotowania zgłoszenia lub jego uzupełnienia;
• oceny potrzeby zawiadomienia osób, których dane dotyczą;
• uporządkowania dokumentacji incydentu.

Skonsultuj obowiązki po wycieku danych

W pierwszej wiadomości opisz krótko sytuację i wskaż, kiedy firma otrzymała informację o naruszeniu. Nie przesyłaj haseł, kluczy API, baz klientów ani pełnych faktur. Sposób bezpiecznego przekazania dokumentów należy ustalić osobno.

Materiał ma charakter informacyjny. Ocena obowiązków wymaga uwzględnienia okoliczności konkretnego naruszenia.

Źródła

• Fakturownia: oficjalny komunikat o incydencie i FAQ, w tym aktualizacja z 1 października 2026 r.
• UODO: w jaki sposób zgłosić naruszenie ochrony danych osobowych.
• UODO: zgłoszenie naruszenia i formularze.
• RODO: art. 33 i 34.

Opisz sprawę dotyczącą Fakturowni

Podaj dane kontaktowe i krótki opis sytuacji. Formularz służy do kontaktu z CGO Mobility, nie jest zgłoszeniem naruszenia do UODO.