Wyciek danych z Fakturowni. Czy Twoja firma lub gabinet musi zgłosić naruszenie do UODO?

Początkowo myślałem, że w tym temacie powiedziano już wszystko. Potem przypadkiem odkryłem, że w mojej rodzinie są dwie osoby po siedemdziesiątce, które wciąż prowadzą jednoosobowe działalności, i których temat Fakturowni także dotknął. Przyjrzałem się więc, jak wygląda u nich ochrona danych. Okazało się, że tematu po prostu nie ma: brak umów powierzenia, brak procedury i brak świadomości, że to one są administratorami danych swoich klientów. Podobnie, choć nie tak drastycznie, sytuacja wygląda u części terapeutek, z którymi miałem kontakt. Dlatego mimo wszystko piszę ten artykuł. Zdałem sobie bowiem sprawę, że wiele osób faktycznie nie wie, jak zachować się w obliczu takiego incydentu.

To naturalne. Skoro to nie my zostaliśmy zhakowani, czujemy się poszkodowani, a nie odpowiedzialni. RODO widzi to jednak inaczej.

Lubelski oddział Luxmedu wysyła pacjentom informację o naruszeniu, choć wyciek dotyczył nie jego systemów, tylko Fakturowni, z której korzysta. Greenway, operator ładowarek dla samochodów elektrycznych, ostrzega klientów, wypełniając obowiązek wynikający z RODO. Podobne komunikaty wysyła sieć cukierni, której dane wyciekły przez ten sam system. Duże firmy wiedzą, że wyciek u dostawcy uruchamia ich własne obowiązki. Jednoosobowa działalność jest w tej samej sytuacji prawnej, tylko zwykle o tym nie wie.

Fakturownia nie jest zresztą jedynym przypadkiem. Wcześniej wyciekły dane ponad 18 mln pacjentów z bazy MyDr, a atak na system Medyc mógł objąć nawet 5 mln osób. W październiku ujawniono nieuprawniony dostęp do danych ponad 11 mln świadczeniobiorców NFZ oraz wyciek z serwisu Wakacje.pl, który objął m.in. dane paszportowe. Mali przedsiębiorcy i gabinety korzystają z tych samych systemów co duże firmy, więc przy następnym wycieku, niezależnie jakiej firmy będzie to dotyczyć, znowu dostaną maila od dostawcy. Ten artykuł jest o tym, co z takim mailem zrobić.

Co wyciekło z Fakturowni?

Z komunikatów wynika, że osoba nieuprawniona miała dostęp do systemów Fakturowni 27–28 września 2026 r. i skopiowała część bazy danych. Spółka przyznała, że incydent w różnym stopniu dotyczy każdego konta. 29 września zgłosiła naruszenie Prezesowi UODO, CERT Polska i policji. Z Fakturowni korzysta ponad 600 tys. klientów.

Wyciek mógł objąć:

dane kont firm i użytkowników,
skróty haseł,
numery rachunków bankowych i dane o płatnościach,
klucze i hasła systemowe.

Możliwy jest też wyciek danych kontrahentów i kopii faktur wystawionych przed 2023 r. Fakturownia zapewnia, że według jej obecnej wiedzy nie wyciekły faktury wystawione po 2023 roku, dane kart płatniczych ani certyfikaty KSeF. Aktualne informacje publikuje na stronie poświęconej incydentowi.

Dla Ciebie ważniejsze od tej listy jest jednak pytanie, kto za co odpowiada.

Wyciek u dostawcy a definicja naruszenia ochrony danych osobowych

RODO definiuje naruszenie ochrony danych osobowych jako naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych (art. 4 pkt 12 RODO). W praktyce naruszeniem może być więc zniszczenie danych, ich utrata, zmiana, nieuprawnione ujawnienie albo dostęp osoby, która nie powinna ich zobaczyć.

Skopiowanie bazy przez włamywacza to klasyczne naruszenie poufności. Nie ma znaczenia, że zdarzenie miało miejsce w systemach dostawcy, a nie na Twoim komputerze. Dane były bowiem przetwarzane w Twoim imieniu. Nie należy przy tym odróżniać „wycieku” od krótkotrwałej możliwości dostępu do danych przez osoby nieuprawnione: w obu przypadkach chodzi o utratę poufności.

Przyczyną naruszenia może być atak cyberprzestępców, jak w przypadku Fakturowni, ale równie często jest nią błąd ludzki: mail z danymi wysłany na zły adres, zgubiony laptop albo pendrive.

Poszkodowany czy administrator? Twoja rola w tej sprawie

W programie do faktur są dwa rodzaje danych.

Twoje dane jako użytkownika, czyli login, dane firmy i numer rachunku. Ich administratorem jest Fakturownia. Tu jesteś po prostu poszkodowanym.

Dane Twoich klientów, czyli imiona i nazwiska, adresy, NIP-y, kwoty i opisy usług. Ich administratorem jesteś Ty. Fakturownia przetwarza je w Twoim imieniu jako podmiot przetwarzający (art. 28 RODO), na podstawie umowy powierzenia, którą zwykle zawierasz akceptując regulamin, którego taka umowa jest częścią.

Mail od Fakturowni o naruszeniu nie jest więc formułą grzecznościową. To informacja, którą procesor musi przekazać administratorowi bez zbędnej zwłoki po stwierdzeniu naruszenia (art. 33 ust. 2 RODO). Od chwili, w której ją dostajesz, ocena sytuacji i ewentualne zgłoszenie należą do Ciebie.

Jeśli wystawiasz faktury przez system gabinetowy albo sklep zintegrowany z Fakturownią, integracja tego nie zmienia. Jeśli konto w Fakturowni zakładałeś sam, Fakturownia przetwarza dane w Twoim imieniu, a informacja o naruszeniu dotyczy Ciebie, nie dostawcy systemu. Dobry dostawca pomoże Ci w ocenie, ale decyzja nadal należy do Ciebie.

Czy dane Twoich kontrahentów to w ogóle dane osobowe?

To zależy, komu wystawiasz faktury:

spółkom: dane samej spółki nie są danymi osobowymi; wyjątkiem są imiona i nazwiska osób kontaktowych i reprezentantów;
jednoosobowym działalnościom: imię i nazwisko przedsiębiorcy, NIP i adres to dane osobowe;
konsumentom, pacjentom, klientom prywatnym: wszystko, co jest na fakturze.

Firma, która fakturuje wyłącznie spółki, może mieć niewiele do zrobienia. Gabinet psychoterapii, który wystawia faktury osobom prywatnym, ma do czynienia niemal wyłącznie z danymi osobowymi, często szczególnej kategorii.

Czy muszę zgłosić naruszenie do UODO?

Zasada z art. 33 ust. 1 RODO jest prosta. Naruszenie ochrony danych osobowych administrator zgłasza organowi nadzorczemu, w Polsce Prezesowi UODO, bez zbędnej zwłoki, w miarę możliwości nie później niż w terminie 72 godzin od stwierdzenia naruszenia. Wyjątek: jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Zgłoszenie jest więc regułą. Jego brak to wyjątek, który trzeba umieć uzasadnić.

Odpowiedź daje dobrze zrobiona ocena ryzyka. Sprowadza się ona do dwóch rzeczy: jakie jest prawdopodobieństwo, że ktoś ucierpi, i jak poważne mogą być skutki. W praktyce wystarczą trzy pytania:

Czy w Fakturowni są dane osób fizycznych? Jeśli fakturujesz wyłącznie spółki, ryzyko może być znikome.
Jakie to dane i z jakiego okresu? Imię, nazwisko i adres to co innego niż faktura, z której wynika, z jakich usług ktoś korzystał. Liczy się też okres, ale nowsza historia faktur nie zamyka sprawy. Dane kontrahentów i rachunków mogły wyciec niezależnie od samych faktur.
Co realnie może się stać? Po wycieku z programu do faktur najbardziej prawdopodobne są próby podszywania się: fałszywe faktury i prośby o zapłatę na „nowy” rachunek.

Przykład z mojej kancelarii. Sam korzystam z Fakturowni, ale dopiero od początku 2026 r. Po przejściu przez te trzy pytania uznałem, że ryzyko naruszenia praw lub wolności osób fizycznych jest znikome i zgłoszenie nie jest potrzebne (w zdecydowanej większości wyciek dotyczył faktur wystawionych zanim zacząłem korzystać z oprogramowania). U moich klientów sytuacja wyglądała jednak zupełnie inaczej, o czym niżej.

Faktura za terapię to dane o zdrowiu. Co to oznacza dla gabinetów?

Dla psychologów, psychoterapeutów i logopedów ten wyciek ma dodatkowy wymiar. Informacja, że ktoś korzysta z psychoterapii, jest daną dotyczącą zdrowia (art. 4 pkt 15 i art. 9 RODO). Faktura z pozycją „sesja psychoterapii” itp. właśnie to ujawnia.

Trzy zasady, które stosuję w praktyce:

Decyduje opis usługi, nie nazwa gabinetu. „Centrum Terapii X” może prowadzić też coaching czy szkolenia. Pozycja „psychoterapia indywidualna” na fakturze dla osoby prywatnej nie zostawia jednak wątpliwości.
Faktura za terapię dziecka ujawnia dane dziecka. Fakturę dostaje rodzic, ale informacja dotyczy terapii jego dziecka. Dane osobowe to jednak także dane, na podstawie których można pośrednio zidentyfikować osobę fizyczną. Łącząc opis usługi z danymi rodzica na fakturze można pośrednio zidentyfikować dziecko. Mamy więc zazwyczaj do czynienia z ujawnieniem danych zdrowotnych dziecka.
Pamiętaj o eksportach. Zestawienia i paczki faktur generowane w systemie, np. dla biura rachunkowego, mogą zawierać pełne dane pacjentów.

Ostatni punkt to nie teoria. Jedna z moich klientek, prowadząca prywatną praktykę terapeutyczną, była początkowo przekonana, że wyciek jej nie dotyczy. Przy analizie okazało się, że eksporty przygotowywane w systemie dla księgowej zawierały faktury pacjentów. Nie mieliśmy pewności, czy objął je wyciek, więc przyjęliśmy bezpieczniejsze założenie, że tak. Z faktur wynikało korzystanie z terapii, więc potraktowaliśmy je jako dane o zdrowiu i zgłosiliśmy naruszenie do Prezesa UODO.

W przypadku danych o zdrowiu trudno obronić tezę, że naruszenie nie stwarza ryzyka. W mojej ocenie zgłoszenie jest wtedy konieczne, a poinformowanie pacjentów trzeba poważnie rozważyć.

Jak wygląda zgłoszenie naruszenia ochrony danych osobowych do Prezesa UODO?

Art. 33 ust. 1 RODO nakazuje zgłosić naruszenie organowi nadzorczemu właściwemu zgodnie z art. 55. W Polsce jest nim Prezes Urzędu Ochrony Danych Osobowych. Zgłoszenie składa się elektronicznie, na formularzu udostępnionym przez urząd. Do złożenia zgłoszenia potrzebny jest kwalifikowany podpis elektroniczny albo profil zaufany. Zgłoszenie naruszenia do UODO jest bezpłatne.

Zgodnie z art. 33 ust. 3 RODO zgłoszenie musi zawierać co najmniej:

opis charakteru naruszenia, w miarę możliwości z kategoriami i przybliżoną liczbą osób, których dotyczy naruszenie, oraz wpisów;
imię i nazwisko oraz dane kontaktowe inspektora ochrony danych lub oznaczenie innego punktu kontaktowego (w małej firmie zwykle właściciela);
możliwe konsekwencje naruszenia dla osób fizycznych;
zastosowane lub proponowane środki zaradcze, czyli działania w celu zaradzenia naruszeniu, w tym minimalizujące jego skutki.

Nie musisz mieć od razu pełnego obrazu. Jeśli zebranie wszystkich informacji w ciągu 72 godzin nie jest możliwe, możesz je przekazywać sukcesywnie, bez zbędnej zwłoki (art. 33 ust. 4). Tak zrobiliśmy w spółce technologicznej, którą obsługuję i która fakturuje swoich klientów w Fakturowni od 2023 r. Najpierw złożyliśmy zgłoszenie wstępne, a kilka dni później uzupełniliśmy je o analizę ryzyka i podjęte działania zaradcze, gdy z panelu Fakturowni dało się ustalić więcej.

Minęło 72 godziny od stwierdzenia naruszenia. Co teraz?

Zgłoszenia należy dokonać bez zbędnej zwłoki, a 72 godziny to termin maksymalny, nie zalecany. W przypadku wycieku u dostawcy termin liczy się co do zasady od chwili, w której dostawca Cię poinformował. Większość małych firm ten termin przegapiła, często dlatego, że nikt im nie powiedział, że sprawa w ogóle ich dotyczy.

Spóźnienie nie zamyka sprawy. Zgłoszenie po upływie 72 godzin jest dopuszczalne, ale trzeba do niego dołączyć wyjaśnienie przyczyn opóźnienia (art. 33 ust. 1). UODO podkreśla też, że samo zgłoszenie nie świadczy o winie zgłaszającego, nie przesądza o naruszeniu przepisów i nie wszczyna automatycznie postępowania.

Spóźnione, ale rzetelne zgłoszenie jest zawsze lepsze niż jego brak tam, gdzie było wymagane. Chowanie głowy w piasek gdy mleko się rozlało zazwyczaj nam nie pomoże.

Brak zgłoszenia to realne ryzyko. Za naruszenie obowiązków z art. 33 i 34 RODO grozi kara do 10 mln euro, a w przypadku przedsiębiorstwa do 2% jego całkowitego rocznego światowego obrotu, przy czym stosuje się kwotę wyższą (art. 83 ust. 4 RODO). To górne granice. Wysokość kary zależy m.in. od wagi naruszenia, a UODO bierze pod uwagę także to, czy administrator sam zgłosił naruszenie. Do tego dochodzi ryzyko utraty reputacji. W gabinecie terapeutycznym zaufanie pacjentów jest kapitałem, którego nie warto narażać.

Czy muszę zawiadomić klientów lub pacjentów?

Tylko wtedy, gdy naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych (art. 34 RODO). To wyższy próg niż przy zgłoszeniu do UODO. Przy fakturach dla firm zwykle go nie przekroczysz. Przy danych o zdrowiu często tak.

Informację dla osób, których dane dotyczą, piszesz prostym językiem:

co się stało i jakich danych może dotyczyć,
jakie mogą być konsekwencje,
co zrobiłeś Ty i co może zrobić odbiorca,
jak się z Tobą skontaktować.

RODO przewiduje wyjątki od tego obowiązku (art. 34 ust. 3). Jeśli na przykład indywidualne zawiadomienia wymagałyby niewspółmiernego wysiłku, wystarczy komunikat publiczny.

Jest też droga pośrednia. Wspomniana spółka technologiczna po analizie uznała, że ryzyko nie jest wysokie, i formalnego zawiadomienia z art. 34 nie wysyłała. Wszystkim klientom wysłała jednak krótkie ostrzeżenie przed próbami podszywania się. Prawo tego nie wymagało, ale takie ostrzeżenie realnie chroni klientów, a w zgłoszeniu do UODO można je wskazać jako środek minimalizujący skutki.

Zaniechanie bywa kosztowne. W sprawie dostawcy energii, którego dane klientów skopiowano z archiwum prowadzonego przez zewnętrzną firmę, PUODO nałożył kary: ponad 4,9 mln zł na administratora i 250 tys. zł na podmiot przetwarzający. Jedną z okoliczności było to, że o naruszeniu nie powiadomiono osób, których dane dotyczyły.

Czy odpowiadam za wyciek, który zdarzył się u dostawcy?

Nie automatycznie. Ale wina dostawcy też nie zdejmuje z Ciebie odpowiedzialności.

W wyroku z 12 czerwca 2025 r. (III OSK 1394/22) Naczelny Sąd Administracyjny przyjął, że korzystanie z profesjonalnego podmiotu przetwarzającego nie przenosi na niego odpowiedzialności administratora. Dla tej odpowiedzialności nie ma znaczenia, czy wyciek był skutkiem błędu pracownika dostawcy, czy innych czynników. Ma ona przy tym charakter obiektywny, ale nie absolutny. W wyroku z 6 lutego 2026 r. (III OSK 445/23) NSA wskazał z kolei, że administrator ma obowiązek weryfikować, czy dostawca zapewnia wystarczające gwarancje odpowiednich zabezpieczeń (art. 28 ust. 1 RODO), i prowadzić jego audyty. Wieloletnia współpraca go z tego nie zwalnia.

Czy to znaczy, że jednoosobowa firma ma audytować Fakturownię? Moim zdaniem nie, bo RODO wymaga środków adekwatnych do skali i ryzyka. Powinieneś jednak móc wykazać minimum:

wybór renomowanego dostawcy,
sprawdzenie, czy masz z nim umowę powierzenia,
rzetelną reakcję na incydent.

Nie zgłaszam. Czy mogę o sprawie zapomnieć?

Nie. Obowiązek dokumentowania każdego naruszenia dotyczy wszystkich administratorów danych, także jednoosobowych firm (art. 33 ust. 5 RODO). Obejmuje również naruszenia, których nie zgłaszasz. Wystarczy notatka, czyli krótki dokument wewnętrzny:

jak przebiegło zdarzenie, kiedy i od kogo się o nim dowiedziałeś,
jakich danych i osób mogło ono dotyczyć,
jak oceniłeś ryzyko i dlaczego,
co postanowiłeś i co zrobiłeś.

To kwadrans pracy. W razie kontroli organu nadzorczego albo skargi klienta to Twój dowód, że potraktowałeś sprawę poważnie. W mojej ocenie najłatwiej i najprzejrzyściej, kiedy wpisy dotyczące incydentów trafiają do rejestru naruszeń, który najczęściej przyjmuje formę tabeli.

Napisz do mnie, a przekażę Ci darmowy wzór rejestru naruszeń!

Jak chronić siebie i klientów przed oszustwami po wycieku?

Dane z programu do faktur pozwalają przestępcom wykorzystać wiedzę o relacjach biznesowych i przygotować wiarygodne wiadomości, np. z prośbą o zapłatę faktury na inny rachunek. Dlatego:

każdą zmianę numeru rachunku kontrahenta potwierdzaj telefonicznie, pod numerem, który już znasz;
zmień hasło do Fakturowni, do powiązanej skrzynki e-mail i wszędzie tam, gdzie używałeś tego samego hasła; włącz weryfikację dwuetapową;
sprawdź w ustawieniach konta, czy nikt nie zmienił numeru rachunku ani listy osób z dostępem;
jeśli fakturujesz osoby prywatne, uprzedź je krótko, że nie zmieniasz rachunku i kontaktujesz się tylko z dotychczasowego adresu.

Jak przygotować się na następny wyciek u dostawcy?

Następny wyciek na pewno się zdarzy, pytanie tylko w którym systemie. Nie potrzebujesz segregatora procedur. Wystarczy, że:

wiesz, gdzie są dane Twoich klientów: program do faktur, poczta, kalendarz rezerwacji, system gabinetowy, dysk w chmurze;
masz umowy powierzenia z tymi dostawcami: zwykle są częścią regulaminu, ale warto sprawdzić, czy w ogóle istnieją;
masz pod ręką wzór rejestru naruszeń i wiesz, kto u Ciebie decyduje o zgłoszeniu.

Jeśli chcesz sprawdzić, jak wygląda ochrona danych w Twojej firmie w szerszym ujęciu, przeczytaj artykuł o audycie RODO w małej firmie. Jeśli prowadzisz gabinet, zajrzyj na stronę dla terapeutów.

Najczęstsze pytania

Czy po wycieku z Fakturowni każda firma musi zgłosić naruszenie do UODO?

Nie każda. Obowiązek zależy od tego, czy w systemie były dane osób fizycznych i czy naruszenie może stwarzać dla nich ryzyko. Firma fakturująca wyłącznie spółki może uznać, że naruszenie nie stwarza ryzyka, ale musi tę ocenę udokumentować.

Czy jednoosobowa działalność też jest administratorem danych?

Tak. RODO nie zwalnia małych firm z obowiązków związanych z naruszeniami. Jeśli przetwarzasz dane klientów, jesteś ich administratorem niezależnie od skali działalności.

Od kiedy liczy się 72 godziny przy wycieku u dostawcy?

Co do zasady od chwili, w której dostawca poinformował Cię o naruszeniu. Zgłoszenie po upływie terminu jest możliwe, ale trzeba dołączyć wyjaśnienie przyczyn opóźnienia.

Czy faktura za psychoterapię zawiera dane o zdrowiu?

Tak, jeśli z opisu usługi wynika, że chodzi o psychoterapię lub inną formę pomocy psychologicznej. To dane szczególnej kategorii, a ich wyciek zwykle oznacza wysokie ryzyko.

Czy odpowiadam za wyciek, do którego doszło u mojego dostawcy?

Nie automatycznie, ale powierzenie danych dostawcy nie przenosi na niego Twojej odpowiedzialności. Musisz wykazać, że wybrałeś dostawcę z odpowiednimi gwarancjami i właściwie zareagowałeś na incydent.

Czy muszę coś robić, jeśli nie zgłaszam naruszenia?

Tak. Każde naruszenie trzeba udokumentować. Wystarczy notatka z oceną ryzyka i uzasadnieniem decyzji. Wystąpienie incydentu wpisujesz do rejestru naruszeń.

Dostałeś od dostawcy maila o wycieku i nie wiesz, czy musisz coś zrobić? Pomagam firmom i gabinetom ocenić naruszenie, przygotować zgłoszenie do UODO i zawiadomienia dla klientów. Skontaktuj się ze mną.

Adam Frąckowiak – radca prawny, 2.11.2026