Zgłoszenie naruszenia do UODO po wycieku z programu do faktur

Przychodzi mail od dostawcy programu do faktur w chmurze: ktoś włamał się do jego systemu i skopiował dane klientów. Pierwsza myśl: „Moi klienci to firmy. Spółki, jednoosobowe działalności (JDG), czasem ktoś prywatnie. To chyba nie są dane osobowe, więc nie ma czego zgłaszać?”

Niestety… część z nich jest. A jeśli zgłoszenie naruszenia do UODO jest potrzebne, składasz je bez zbędnej zwłoki, co do zasady najpóźniej w 72 godziny od chwili, gdy dostawca Cię zawiadomił.

Rozkładam to na trzy grupy klientów, pokazuję, co z programu do faktur wypływa ponad to, co jest w CEIDG (Centralnej Ewidencji i Informacji o Działalności Gospodarczej), i kiedy zamiast zgłoszenia wystarczy wpis do wewnętrznego rejestru naruszeń.

Czy nazwa firmy to dane osobowe? Spółka, JDG i osoba prywatna

RODO chroni tylko osoby fizyczne. Dane osobowe to informacje o osobie, którą da się zidentyfikować, wprost albo pośrednio (art. 4 pkt 1 RODO). Dlatego odpowiedź zależy od tego, kim jest Twój klient.

Spółka

Dane spółki z o.o. czy akcyjnej nie są danymi osobowymi. Motyw 14 RODO (motywy to wstęp do rozporządzenia, który wyjaśnia, jak czytać przepisy) wprost wyłącza dane osób prawnych, w tym ich nazwę, formę prawną i dane kontaktowe.

Uwaga na dwa wyjątki. Spółka cywilna to umowa wspólników, którzy sami są przedsiębiorcami (art. 4 ust. 2 Prawa przedsiębiorców), więc na fakturze zwykle stoją ich imiona i nazwiska.

Nazwa spółki jawnej musi zawierać nazwisko albo nazwę co najmniej jednego wspólnika, a komandytowej nazwisko albo nazwę komplementariusza (art. 24 § 1 i art. 104 § 1 i 3 Kodeksu spółek handlowych). Jeśli wspólnikiem jest człowiek, jak w „Kowalski i Wspólnicy sp. j.”, to nazwisko wskazuje konkretną osobę.

Haczyk w tym, że na fakturach i w kartotece kontrahentów często jest coś więcej niż nazwa spółki. Jest tam imię i nazwisko osoby do kontaktu, imienny e-mail w rodzaju jan.kowalski@example.pl, jej telefon komórkowy.

To są już dane osobowe tej osoby, choć pracuje w spółce. O danych pracowników kontrahenta piszę szerzej we wpisie Formularz kontaktowy a RODO w B2B.

Jednoosobowa działalność (JDG)

Tu nie ma dyskusji. Firmą osoby fizycznej jest jej imię i nazwisko (art. 43⁴ Kodeksu cywilnego), więc nazwa JDG na fakturze wskazuje konkretnego człowieka.

UODO uznaje dane przedsiębiorców z CEIDG za dane osobowe, do których stosuje się RODO. Na spółkę, która zbierała je z publicznych rejestrów i nie poinformowała tych osób, urząd nałożył ponad 943 tys. zł kary.

Sądy, na końcu Naczelny Sąd Administracyjny w 2023 r., potwierdziły, że spółka miała wobec przedsiębiorców z CEIDG obowiązek informacyjny z art. 14 RODO, choć wysokość kary UODO musi ustalić ponownie (komunikat UODO o wyroku NSA). Jawność rejestru nie wyjmuje tych danych spod RODO.

Osoba prywatna

Klient prywatny to dane osobowe w całości: imię, nazwisko, adres, często e-mail i telefon.

Nie wybierasz między spółkami, JDG i osobami prywatnymi. Wystarczy, że w danych z programu jest choćby jedna osoba fizyczna, i już musisz ocenić ryzyko i zdecydować o zgłoszeniu.

„Przecież to jest w CEIDG” - co z programu do faktur wypływa ponad rejestr

Pierwszy argument, jaki się nasuwa: imię, nazwisko i NIP przedsiębiorcy i tak każdy znajdzie w CEIDG. Częściowo to prawda i UODO sam to przyznaje.

W komunikacie z 5 października 2026 r., wydanym po incydentach z nieuprawnionym dostępem do baz kontrahentów i systemów fakturowych, urząd napisał, że ujawnienie samych danych z jawnego rejestru (imię i nazwisko, nazwa firmy, NIP, oficjalny adres działalności) zazwyczaj nie wymaga zgłoszenia. Taka utrata poufności co do zasady nie daje nikomu nowych możliwości działania na szkodę tej osoby.

Tylko że program do faktur to nie CEIDG. Kwoty i daty są na każdej fakturze, a reszta zależy od tego, jak korzystasz z programu. Może tam siedzieć:

• e-mail i telefon klienta, nieraz prywatne,
• numer rachunku bankowego klienta, np. z zaimportowanych płatności,
• PESEL, jeśli wpisywałeś go przy klientach prywatnych,
• kwoty i daty faktur,
• informacja, które faktury są nieopłacone,
• pozycje faktur i uwagi, czyli za co klient płacił.

W tym samym komunikacie UODO wymienia PESEL (ryzyko kradzieży tożsamości i wyłudzeń) oraz informacje finansowe (materiał na oszustwa oraz fałszywe faktury lub płatności) jako dane, przy których ryzyko „zapewne wystąpi”. Podobnie szczegóły zakupów albo usług, które zdradzają stan zdrowia: jeśli wystawiasz faktury za terapię czy usługi medyczne, sama pozycja na fakturze mówi coś o kliencie.

Oszust, który zna Twoje kwoty i wie, kto Ci jeszcze nie zapłacił, może napisać do dłużnika jako Ty: „zmieniliśmy numer konta, proszę o przelew na nowy”. Dla klienta taki mail wygląda wiarygodnie, bo zgadza się kwota i numer faktury.

Art. 33 RODO: zgłoszenie naruszenia do UODO to reguła, nie wyjątek

Wyciek z programu do faktur to naruszenie ochrony danych osobowych w rozumieniu art. 4 pkt 12 RODO: ktoś bez uprawnień uzyskał dostęp do danych i je skopiował.

Art. 33 ust. 1 RODO odwraca ciężar. Naruszenie zgłaszasz zawsze, chyba że jest mało prawdopodobne, by spowodowało ryzyko dla praw lub wolności osób fizycznych.

Ogólne zasady, niezależne od tego, gdzie doszło do wycieku, czyli od kiedy liczysz czas, kiedy zgłoszenie nie jest potrzebne i kiedy zawiadamiasz osoby, zebraliśmy we wpisie Zgłoszenie naruszenia danych osobowych: termin, wyjątki, zawiadomienie osób i rejestr naruszeń.

Przy kwotach, rachunkach i nieopłaconych fakturach trudno uczciwie napisać, że ryzyko jest mało prawdopodobne.

Jeśli ryzyko jest wysokie, oprócz zgłoszenia zawiadamiasz osoby fizyczne, których dane wyciekły (art. 34 RODO). Spółek z o.o. i akcyjnych ten obowiązek nie obejmuje, ale ich osoby kontaktowe już tak.

72 godziny liczysz od maila dostawcy

Dostawca programu przetwarza dane Twoich klientów w Twoim imieniu. W języku RODO on jest podmiotem przetwarzającym, a Ty administratorem. Jego obowiązek to zawiadomić Cię bez zbędnej zwłoki (art. 33 ust. 2 RODO), a zgłoszenie do UODO składasz Ty.

Pisałem o tym przy okazji wpisu Wyciek danych medycznych: kara dla szpitala we Francji, kary w Polsce i co sprawdzić w przychodni.

Europejska Rada Ochrony Danych (EROD) w wytycznych 9/2022 o zgłaszaniu naruszeń przyjmuje, że co do zasady administrator „stwierdził” naruszenie w chwili, gdy podmiot przetwarzający go o nim poinformował (pkt 44). Od tej chwili biegną 72 godziny z art. 33 ust. 1.

Jeśli wyciek dotyczy Twoich własnych systemów, a Twoja firma jest podmiotem kluczowym albo ważnym z ustawy o krajowym systemie cyberbezpieczeństwa, poważny incydent zgłaszasz dodatkowo do zespołu CSIRT, osobno od zgłoszenia do UODO, w terminach 24 godziny, 72 godziny i miesiąc. Kogo to dotyczy, opisaliśmy we wpisie Wykaz podmiotów kluczowych i ważnych po 3 października: wniosek, terminy NIS2 i kary.

Bezpieczniej liczyć od chwili, gdy mail dotarł na którykolwiek adres przypisany do konta w programie, także na skrzynkę, do której rzadko zaglądasz. EROD oczekuje, że administrator jest zorganizowany tak, żeby szybko zauważyć naruszenie (pkt 32 wytycznych).

Nie czekasz na pełne dane od dostawcy

W chwili zawiadomienia często nie wiesz jeszcze, ilu osób dotyczy wyciek. To nie powód, żeby czekać.

Art. 33 ust. 4 RODO pozwala przekazywać informacje etapami: najpierw zgłoszenie wstępne, potem uzupełnienie.

EROD zaleca, żeby w pierwszym zgłoszeniu napisać wprost, że nie masz jeszcze wszystkich danych i dośle je później (pkt 57 wytycznych). A jeśli 72 godziny już minęły, zgłaszasz od razu i podajesz przyczyny opóźnienia (art. 33 ust. 1 RODO).

Eksporty i importy z plików - dane, o których łatwo zapomnieć

Dostawca może w zawiadomieniu opisać zakres wycieku, na przykład napisać, które dane uznaje za bezpieczne. Łatwo wtedy odetchnąć i pominąć to, co do programu dołożyłeś sam albo co z niego pobierałeś.

Program do faktur to nie tylko faktury. U dostawcy mogą leżeć też pliki: lista kontrahentów zaimportowana z Excela, zestawienia faktur wyeksportowane dla biura rachunkowego, raporty sprzedaży. Jeśli taki plik nie mieści się w tym, co dostawca uznał za bezpieczne, a w środku są imiona, nazwiska i adresy klientów, zakładaj, że mógł zostać pobrany, dopóki dostawca nie potwierdzi, że nie.

Gdy dostawca nie potrafi powiedzieć na pewno, czy Twój plik pobrano, przyjmujesz najgorszy wariant. EROD pisze wprost, że przy wątpliwościach lepiej zgłosić naruszenie, nawet jeśli taka ostrożność okaże się nadmierna (pkt 119 wytycznych 9/2022). Jeśli później da Ci dokładniejsze dane o Twoim koncie, uzupełniasz zgłoszenie i zmieniasz ocenę.

Kiedy wystarczy wpis do rejestru naruszeń RODO

Zgłoszenie zwykle nie jest potrzebne, gdy po ocenie ryzyka wychodzi, że z Twojego konta wypłynęły wyłącznie dane z jawnego rejestru CEIDG: imię i nazwisko, nazwa firmy, NIP, oficjalny adres działalności. To wciąż naruszenie ochrony danych osobowych, tylko bez obowiązku zgłoszenia.

Dlatego nie kończysz na „nic się nie stało”. Art. 33 ust. 5 RODO każe dokumentować wszystkie naruszenia. UODO w komunikacie z 5 października przypomina, że brak zgłoszenia nie zwalnia z oceny ryzyka na piśmie i z wpisania do wewnętrznego rejestru naruszeń powodów, dla których nie zgłaszasz.

Według EROD rejestr naruszeń nie musi być osobnym dokumentem: może być częścią rejestru czynności przetwarzania, jeśli wpisy o naruszeniach są wyraźnie oznaczone i da się je wydać na żądanie urzędu (przypis 47 wytycznych 9/2022).

Inaczej, gdy wyciekły wyłącznie dane spółek z o.o. i akcyjnych, bez nazwisk osób kontaktowych. Formalnie to nie jest naruszenie ochrony danych osobowych, ale i tak zanotuj incydent i to, jak ustaliłeś, że nie było w nim danych osób fizycznych. To Twój dowód, gdy urząd zapyta (zasada rozliczalności, art. 5 ust. 2 RODO).

Zanim uznasz, że u Ciebie wystarczy rejestr, przejrzyj konto w programie pod kątem:

Każde „tak” na tej liście może oznaczać dane osób fizycznych w wycieku. Jeśli nie zdążysz tego ustalić w 72 godziny, składasz zgłoszenie wstępne i uzupełniasz je, gdy będziesz wiedział więcej.

To bezpieczniejsze niż wpis w rejestrze, którego potem nie obronisz, gdy urząd zapyta. Jak wtedy odpowiedzieć, opisaliśmy we wpisie Pismo z UODO: jak odpowiedzieć i kara za brak odpowiedzi.

Wzór rejestru naruszeń i procedurę na wypadek wycieku masz w gotowej dokumentacji RODO. Lepiej mieć je przed pierwszym takim mailem niż szukać ich w trakcie biegnących 72 godzin.

Najczęstsze pytania o zgłoszenie naruszenia do UODO

Co zrobić po mailu od dostawcy programu do faktur

Pamiętaj: najpierw ustal, czy w danych z programu są osoby fizyczne. Potem sprawdź, co wyciekło ponad to, co jest w CEIDG, i zdecyduj w 72 godziny: zgłoszenie (choćby wstępne) albo wpis w rejestrze naruszeń z uzasadnieniem.

Jeśli dostałeś taki mail i nie wiesz, w którym wariancie jesteś, napisz albo zadzwoń. W ramach darmowych porad RODO pilne sprawy z wyciekiem traktuję priorytetowo i reaguję w ciągu 24 godzin.