Wyciek danych w firmie u zewnętrznego dostawcy – co zrobić i jakie obowiązki wynikają z RODO?

Wyciek danych u zewnętrznego dostawcy wymaga ustalenia zakresu naruszenia, zabezpieczenia kont i oceny ryzyka oszustw finansowych. Jeśli incydent obejmuje dane osobowe, których firma jest administratorem, należy sprawdzić obowiązki wynikające z RODO. Zgłoszenie do UODO jest wymagane co do zasady w ciągu 72 godzin od stwierdzenia naruszenia, chyba że ryzyko dla osób jest mało prawdopodobne.

---

Wyciek danych firmy a naruszenie RODO – jaka jest różnica?

Nie każdy wyciek danych firmy stanowi naruszenie ochrony danych osobowych. Art. 4 pkt 12 RODO obejmuje m.in. nieuprawnione ujawnienie, utratę lub zmianę danych osób fizycznych.

W systemach księgowych, fakturowych i kadrowo-płacowych mogą znajdować się:

• dane logowania i uprawnienia użytkowników;
• faktury, kwoty transakcji i numery rachunków;
• dane kontrahentów, w tym przedsiębiorców prowadzących jednoosobową działalność;
• dane kontaktowe i informacje o pracownikach.

Ujawnienie wyłącznie informacji handlowych nie musi wymagać zgłoszenia do UODO, ale może powodować ryzyko wyłudzeń i utraty poufności.

---

Co zrobić po wycieku danych u dostawcy?

Firma korzystająca z naruszonego systemu powinna podjąć pięć działań:

1. Ustalić zakres wycieku – zachować komunikat dostawcy, sprawdzić ujawnione informacje oraz zapisać datę i godzinę otrzymania zawiadomienia.
2. Zabezpieczyć dostępy – rozważyć zmianę haseł, kontrolę uprawnień, zakończenie nieznanych sesji i unieważnienie zagrożonych kluczy integracji.
3. Zweryfikować płatności – kontrolować fałszywe faktury i prośby o zmianę rachunku bankowego, potwierdzając je niezależnym kanałem.
4. Ocenić obowiązki RODO – ustalić, czy naruszenie dotyczy danych osobowych i jakie ryzyko powoduje dla osób fizycznych.
5. Udokumentować incydent – zachować korespondencję, ustalenia oraz informacje o zastosowanych zabezpieczeniach.

Zgodnie z art. 33 ust. 5 RODO naruszenie ochrony danych osobowych należy dokumentować również wtedy, gdy nie wymaga zgłoszenia organowi nadzorczemu.

---

Kiedy trzeba zgłosić wyciek danych do UODO?

Art. 33 ust. 1 RODO przewiduje zgłoszenie bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia naruszenia.

Obowiązki zależą od oceny ryzyka:

• Ryzyko mało prawdopodobne – zgłoszenie do UODO i zawiadomienie osób nie są wymagane.
• Ryzyko występuje, ale nie jest wysokie – wymagane jest zgłoszenie do UODO.
• Wysokie ryzyko – wymagane jest zgłoszenie do UODO oraz co do zasady zawiadomienie osób, z wyjątkami przewidzianymi w RODO.

Jeżeli termin upłynął, zgłoszenie nadal należy złożyć, wyjaśniając opóźnienie. Niekompletne informacje można przekazywać etapami.

Zgłoszenie przez dostawcę nie zastępuje automatycznie obowiązków firmy będącej administratorem danych.

---

Wyciek danych Fakturowni w 2026 r.

28 września 2026 r. Fakturownia stwierdziła nieuprawniony dostęp do systemów i skopiowanie znacznej części bazy danych.

Incydent dotyczył wszystkich kont, ale zakres ujawnionych informacji był różny. Według spółki w przypadku około 2250 kont pobrano wszystkie dostępne dane z lat 2022–2026, do daty granicznej właściwej dla danego konta.

Fakturownia zgłosiła naruszenie do UODO 29 września 2026 r., a od 1 października rozpoczęła wysyłanie indywidualnych zawiadomień.

---

Jak ograniczyć ryzyko kolejnych incydentów?

Art. 28 RODO wymaga korzystania z podmiotów przetwarzających zapewniających odpowiednie gwarancje bezpieczeństwa.

Przedsiębiorstwa powinny weryfikować zabezpieczenia dostawców, zawierać umowy powierzenia danych, kontrolować uprawnienia użytkowników i przygotować procedury reagowania na incydenty.

Ważne jest również zapewnienie ciągłości procesów księgowych i kadrowo-płacowych na wypadek niedostępności systemów.

Naruszenie obowiązków wynikających m.in. z art. 33 i 34 RODO może skutkować karą do 10 mln euro lub 2% całkowitego rocznego światowego obrotu przedsiębiorstwa z poprzedniego roku obrotowego – zależnie od tego, która kwota jest wyższa.

---

Jeśli mają Państwo dodatkowe pytania prosimy skontaktować się z osobą odpowiedzialną za kontakt biznesowy z Państwem lub wysłać zapytanie poprzez formularz na stronie getsix®.

Skontaktuj się z nami »

***