Fałszywe wezwanie UODO o monitoring - co zrobić, gdy firma ma kamery

Masz w firmie kamery, które zakładała firma zewnętrzna, więc w jej dokumentacji jest Twój adres, miejsce montażu i model sprzętu. Teraz do tej firmy przychodzi fałszywe wezwanie UODO: mail z tabelką do wypełnienia i terminem 7 dni roboczych.

Jeśli ktoś tam ją wypełni, dane o Twoim monitoringu trafią… prosto do oszustów.

20 października 2026 r. Urząd Ochrony Danych Osobowych ostrzegł przed fałszywym wezwaniem UODO w sprawie monitoringu wizyjnego (komunikat UODO „Oszuści podszywają się pod UODO i chcą wyłudzić dane”). Kampania celuje w instalatorów, ale dane, o które chodzi, opisują kamery ich klientów. Poniżej znajdziesz, jak wygląda ta fałszywka, jak naprawdę pisze UODO i co jako administrator danych z monitoringu sprawdzić u siebie.

Co jest w fałszywym wezwaniu UODO?

19 października CSIRT GOV, zespół reagowania na incydenty bezpieczeństwa komputerowego, poinformował UODO o kampanii skierowanej do firm instalujących monitoring. Nadawca podszywa się pod urząd i zaczyna tak:

„Szanowni Państwo. W związku z prowadzoną analizą zgodności systemów monitoringu wizyjnego z obowiązującymi przepisami dotyczącymi ochrony danych osobowych, w szczególności art. 5 ust. 1 lit. f, art. 25 oraz art. 32 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), zwracamy się o przygotowanie szczegółowego zestawienia instalacji systemów monitoringu wizyjnego wykonanych przez Państwa przedsiębiorstwo w okresie ostatnich 12 miesięcy...”

Do tego prawie poprawne dane teleadresowe urzędu i tabelka do wypełnienia. Na końcu ponaglenie: komplet w pliku XLSX (arkusz Excela) w 7 dni roboczych. I zdanie, które ma przestraszyć: „Niniejszy wniosek stanowi urzędowe wezwanie UODO”.

UODO odpowiada wprost: tej wiadomości nie wysłał, takich pism ani ankiet nigdy nie rozsyła i takich informacji nie zbiera. To phishing, czyli oszustwo, w którym ktoś podszywa się pod znaną instytucję, żeby wyłudzić wrażliwe dane albo pieniądze.

Jakie dane o Twoich kamerach chcą zebrać oszuści?

Tabelka dotyczy instalacji z ostatnich 12 miesięcy. Według UODO oszuści chcą w niej zobaczyć m.in.:

• dane kontaktowe użytkownika końcowego, czyli Twoje, bo to Ty korzystasz z kamer;
• lokalizację, łącznie z dokładnymi współrzędnymi geograficznymi;
• adresy IP urządzeń, czyli numery, pod którymi kamera albo rejestrator są widoczne w sieci;
• numery seryjne urządzeń;
• wersję firmware, czyli oprogramowania wbudowanego w kamerę;
• model kamery.

Każda z tych rzeczy osobno wygląda niewinnie. Razem to adres, pod którym stoi kamera, i dokładny opis sprzętu, który tam wisi.

Po co oszustom dane kamer z monitoringu?

UODO wyjaśnia, że z adresu IP, numeru seryjnego i wersji oprogramowania da się ustalić, czy urządzenie może mieć na przykład nieaktualne oprogramowanie. Przestępcy mogą też wykorzystać fabryczne ustawienia urządzenia, jeśli instalator albo użytkownik ich nie zmienił, żeby przejąć nad nim kontrolę.

Urząd wymienia dwa skutki. Po pierwsze, oszuści mogą ustalić adresy użytkowników końcowych. Po drugie, przejęcie obrazu może wpływać na bezpieczeństwo osób i mienia.

Mówiąc prościej: ktoś obcy mógłby oglądać to, co nagrywają Twoje kamery.

Obraz z kamer to dane osobowe Twoich pracowników, klientów czy pacjentów, a za ich zabezpieczenie odpowiadasz Ty jako administrator. Administrator to firma, szkoła, przychodnia albo urząd, który decyduje, po co i jak nagrywa.

Jak pisze prawdziwy UODO do administratora?

Prezes UODO bada przede wszystkim to, jak administratorzy przetwarzają dane osobowe i jak je zabezpieczają. Gdy urząd chce dopytać o szczegóły, robi to w postępowaniu, które ma konkretną sygnaturę. W piśmie jest też kontakt do departamentu, który prowadzi sprawę.

Taka korespondencja przychodzi tradycyjną pocztą, przez e-Doręczenia (elektroniczny odpowiednik listu poleconego za potwierdzeniem odbioru) albo przez ePUAP, czyli rządową platformę do załatwiania spraw urzędowych przez internet.

Gdy UODO chce sprawdzić, jak różni administratorzy wykonują jakiś obowiązek z RODO, najpierw publikuje komunikat na stronie uodo.gov.pl. Pytania są ogólne, opisowe, a takie ankiety są dobrowolne. Przykład to ankieta UODO o wykorzystaniu sztucznej inteligencji z października 2025 r.

W takich ankietach prośbę o odpowiedź urząd kieruje do administratorów, czyli do Ciebie, a nie do instalatorów urządzeń, ich dostawców czy serwisów. Gdy UODO czegoś potrzebuje w postępowaniu, pismo ma sygnaturę i przychodzi oficjalnym kanałem.

Jak odpowiedzieć na prawdziwe pismo i co grozi za milczenie, opisaliśmy we wpisie Pismo z UODO: jak odpowiedzieć i kara za brak odpowiedzi.

Co zrobić z podejrzanym mailem od „UODO”?

Najpierw to, czego nie robisz: nie wypełniasz tabelki i nic nie odsyłasz, nawet „na wszelki wypadek”. Ponaglenie z terminem 7 dni roboczych to część oszustwa, a nie powód do pośpiechu.

Potem sprawdzasz nadawcę innym kanałem niż ten mail. Oszuści podają prawie poprawne dane urzędu, więc numer telefonu i adres bierzesz ze strony uodo.gov.pl, którą sam wpisujesz w przeglądarce. Infolinia UODO podana na stronie urzędu to 606-950-000, czynna w dni robocze od 10:00 do 14:00, a adres kancelarii to kancelaria@uodo.gov.pl.

Porównując, zadaj sobie cztery pytania:

• Czy pismo ma sygnaturę sprawy i kontakt do departamentu?
• Czy przyszło pocztą, przez e-Doręczenia albo ePUAP, czy zwykłym mailem?
• Jeśli to ankieta, czy jest skierowana do administratora danych i zapowiedziana komunikatem na uodo.gov.pl?
• Czy pismo żąda adresów IP, numerów seryjnych i lokalizacji kamer, których UODO, jak sam pisze, nie zbiera?

Podejrzaną wiadomość możesz zgłosić do CERT Polska, zespołu w NASK, który przyjmuje zgłoszenia oszustw i incydentów w sieci, przez formularz zgłoszenia incydentu. Daj też znać osobie, która w firmie odpowiada za ochronę danych, na przykład inspektorowi ochrony danych.

Monitoring wizyjny a RODO: co sprawdzić u siebie po tej kampanii?

Fałszywka nie przyszła do Ciebie? To nie znaczy, że sprawa Cię nie dotyczy. Jeśli kamery zakładała albo serwisuje firma zewnętrzna, dane Twoich kamer są u niej, więc od niej zaczynasz.

Dlaczego właśnie hasła i aktualizacje? Art. 32 RODO nakazuje administratorowi dobrać zabezpieczenia do ryzyka. Fabryczne ustawienia i nieaktualne oprogramowanie to dokładnie te słabe punkty, których według UODO szukają oszuści.

Jeśli instalator albo serwis ma dostęp do nagrań i przetwarza je w Twoim imieniu, jest podmiotem przetwarzającym i potrzebujesz z nim umowy powierzenia (art. 28 RODO). Musi Ci wtedy pomagać w zabezpieczeniu danych i w obsłudze naruszeń (art. 28 ust. 3 lit. f), a naruszenie zgłosić Ci bez zbędnej zwłoki (art. 33 ust. 2). Jeśli tylko montował sprzęt, umowy powierzenia nie ma, ale i tak zapytaj go, co odesłał.

Instalator już odesłał tabelkę? Ustal, czy ktoś obcy dostał się do kamer albo nagrań, zmień hasła i zaktualizuj oprogramowanie. Samo wysłanie tabelki z danymi osób (np. Twoimi danymi kontaktowymi) to już nieuprawnione ujawnienie danych, czyli naruszenie ochrony danych osobowych (art. 4 pkt 12 RODO), zwykle po stronie instalatora.

Po Twojej stronie naruszenie jest na pewno wtedy, gdy ktoś obcy dostał się do kamer albo nagrań. Zgłaszasz je do UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia (później też, z wyjaśnieniem opóźnienia), chyba że ryzyko dla osób z nagrań jest mało prawdopodobne. Szczegóły są we wpisie Zgłoszenie naruszenia danych osobowych: termin, wyjątki, zawiadomienie osób i rejestr naruszeń.

Inne obowiązki, które daje monitoring w firmie, czyli informowanie osób i przepisy Kodeksu pracy, opisaliśmy we wpisie Tabliczka „obiekt monitorowany” to za mało: obowiązki z RODO i Kodeksu pracy.

Najczęstsze pytania o fałszywe wezwanie UODO

Pamiętaj: prawdziwy UODO pisze w postępowaniu z sygnaturą albo zapowiada dobrowolną ankietę do administratorów na swojej stronie. Jeśli chcesz sprawdzić, czy RODO w Twojej firmie, także przy monitoringu, jest wdrożone tak, jak trzeba, zobacz, jak wygląda audyt RODO. A jeśli przyszło już prawdziwe pismo, napisz do mnie lub zadzwoń - pomogę w ramach usługi Kontrola UODO.