Wyciek danych z Fakturowni. Co zrobić? Jak zgłosić naruszenie do UODO?

Wyciek danych z Fakturowni może oznaczać obowiązek zgłoszenia naruszenia do UODO również dla przedsiębiorcy korzystającego z tego systemu. Jeżeli przejęto dane Twoich klientów, kontrahentów lub innych osób, za które odpowiadasz jako administrator, musisz ustalić zakres zdarzenia, ocenić ryzyko i zdecydować o dalszych działaniach. Zgłoszenie dokonane przez dostawcę nie rozstrzyga automatycznie obowiązków Twojej firmy.

Najbardziej odczuwalną konsekwencją wycieku może być wiadomość, która wygląda jak zwykłe przypomnienie o płatności. Nadawca zna kontrahenta, kwotę rozliczenia i szczegóły współpracy. Prosi jedynie o przelew na inny rachunek. Informacje pochodzące z rzeczywistych dokumentów mogą sprawić, że takie oszustwo będzie znacznie trudniejsze do rozpoznania.

Reakcja przedsiębiorcy powinna więc równolegle obejmować zabezpieczenie dostępów, kontrolę płatności, ustalenie danych objętych wyciekiem oraz wykonanie obowiązków wynikających z RODO. W BPPZ zapewniamy obsługę naruszeń ochrony danych osobowych, obejmującą ocenę zdarzenia, przygotowanie zgłoszenia do UODO i komunikację z osobami, których dane dotyczą.

BPPZ – Biuro Porad Prawnych Zacharski

Zadzwoń Napisz wiadomość

Co wiadomo o wycieku danych z Fakturowni?

Fakturownia stwierdziła naruszenie 28 września 2026 r. Z aktualizacji komunikatu z 1 października, godz. 16.00, wynika, że osoba nieuprawniona skopiowała część bazy. Dostęp trwał od 27 września około godz. 3.20 do 28 września około godz. 17.45. Incydent dotyczy każdego konta, ale zakres danych jest zróżnicowany.

Zbiór danych	Zakres wskazany przez dostawcę
Dane użytkowników, skróty haseł, sesje i tokeny API	W całości, zależnie od używanych funkcji
Kontrahenci i panele kontrahentów	Rekordy dodane przed 16.10.2024
Pełna treść faktur	Wystawione przed 22.03.2021
Pozycje faktur	Sprzed 6.06.2019
Kwoty, dodatkowe strony i pola opisowe faktur	Cały okres
Płatności i dane zaimportowane	Zakres wprowadzony do systemu
Produkty i cennik	W całości
Zawartość eksportów i importów	Zlecone do 6.03.2026, w większości
Dokumenty magazynowe	Sprzed 14.07.2023
Akcje magazynowe	Sprzed 16.05.2022
Metadane załączników	Pliki dodane przed 6.11.2025
Historia aktywności	Sprzed 24.11.2021
Salda bankowe	Przy aktywnej integracji bankowej

Około 2250 kont objęto szerszym zakresem: wszystkimi dostępnymi danymi z lat 2022–2026, do indywidualnych dat granicznych. Dostawca zaznacza też możliwość kilkunastodniowych różnic w podanych datach.

Dlaczego nie wystarczy sprawdzić daty wystawienia faktury?

Poszczególne informacje mogą znajdować się w różnych zbiorach. Dane nabywcy, dodatkowego odbiorcy, płatnika, treść uwag czy informacje o płatnościach nie muszą podlegać identycznym ograniczeniom czasowym.

Dlatego zdanie „korzystamy z Fakturowni dopiero od 2024 roku” nie wystarcza do zakończenia analizy. Trzeba sprawdzić, jakie funkcje były używane, jakie informacje wprowadzano i czy wykonywano importy dokumentów z wcześniejszych okresów.

Podobnie brak pełnej treści określonej faktury w przejętym zbiorze nie przesądza, że nie ujawniono żadnych informacji dotyczących tej transakcji. Ocenę należy oprzeć na danych z konkretnego konta oraz możliwości powiązania rekordów.

Co wiadomo o sposobie ataku i działaniach dostawcy?

W odpowiedziach opublikowanych przez Niebezpiecznik dyrektor techniczny Fakturowni opisał wykorzystanie podatności związanych z szablonami faktur i generowaniem PDF. Według tych wyjaśnień atakujący pozyskał klucz do podpisywania sesji, co umożliwiło dalszy dostęp.

Dostawca poinformował również o unieważnieniu aktywnych sesji, zmianach kluczy i zabezpieczeniu infrastruktury. Zawiadomiono UODO, CERT Polska i Policję. Są to informacje przekazane przez Fakturownię, a nie ustalenia niezależnego, opublikowanego audytu technicznego.

Nie należy na tej podstawie dopisywać do własnego zgłoszenia niepotwierdzonych szczegółów. Jeżeli firma zna przyczynę wyłącznie z komunikatu dostawcy, powinna wskazać źródło tej informacji.

Czy wyciek objął KSeF, dane kart lub dostęp do banków?

Według opublikowanego zawiadomienia Fakturowni nie pobrano certyfikatów KSeF, danych kart płatniczych ani danych logowania do banków.

Trzeba jednak odróżnić dane umożliwiające logowanie do banku od informacji o rachunkach i rozliczeniach. Ujawnienie numeru rachunku, kwoty, tytułu płatności lub danych nadawcy może mieć znaczenie dla oceny ryzyka, nawet jeżeli sprawca nie otrzymał możliwości samodzielnego zalogowania się do bankowości.

Kto odpowiada za dane klientów przechowywane w Fakturowni?

Przed oceną obowiązku zgłoszenia trzeba rozdzielić role podmiotów.

W odniesieniu do danych własnych klientów, które przedsiębiorca wprowadza do programu w celu fakturowania i rozliczania sprzedaży, zasadniczo pozostaje on administratorem. Dostawca systemu przetwarza te informacje na jego polecenie. Taki model przewiduje regulamin powierzenia przetwarzania danych Fakturowni.

Osobno należy rozpatrywać dane przetwarzane przez Fakturownię na potrzeby własnej relacji z użytkownikiem usługi. Zawiadomienie skierowane do pracownika jako użytkownika konta nie musi zawierać pełnych informacji o danych klientów przedsiębiorstwa.

Praktyczny wniosek: sprawdź, czy otrzymana wiadomość opisuje naruszenie Twoich danych jako użytkownika, danych powierzonych przez firmę, czy obu tych kategorii.

Czy RODO dotyczy firmy obsługującej wyłącznie klientów biznesowych?

Tak, jeżeli przetwarzane informacje dotyczą osób fizycznych. W relacjach B2B mogą to być dane przedsiębiorców prowadzących jednoosobową działalność, osób kontaktowych, przedstawicieli kontrahentów, odbiorców przesyłek lub pracowników.

Sama nazwa spółki i informacje dotyczące wyłącznie tej osoby prawnej nie muszą stanowić danych osobowych. Nie można jednak zakładać, że cały firmowy zbiór jest poza RODO tylko dlatego, że faktury wystawiano przedsiębiorstwom. Konieczna jest analiza jego rzeczywistej zawartości.

Przy ocenie ryzyka trzeba też zachować właściwą perspektywę: możliwość straty finansowej poniesionej przez spółkę nie zastępuje ustalenia skutków dla osób fizycznych, których dane ujawniono.

Co powinno zrobić biuro rachunkowe?

Biuro rachunkowe korzystające z programu w imieniu klientów powinno ustalić swoją rolę dla poszczególnych danych. Jeżeli jest podmiotem przetwarzającym, przekazuje informacje o naruszeniu właściwym administratorom bez zbędnej zwłoki i pomaga im ustalić zakres zdarzenia.

Procesor nie powinien wstrzymywać takiego powiadomienia do czasu zakończenia własnej oceny ryzyka. Decyzja o zgłoszeniu naruszenia organowi należy do administratora. W odniesieniu do własnych rozliczeń biuro może natomiast występować w roli administratora.

Czy zgłoszenie Fakturowni zastępuje zgłoszenie przedsiębiorcy?

Nie automatycznie. Zgłoszenie dokonane w imieniu konkretnego administratora wymaga odpowiednich ustaleń i umocowania. Sama informacja, że dostawca zawiadomił UODO o incydencie, nie potwierdza wykonania obowiązku przez wszystkich jego klientów.

Przedsiębiorca powinien wiedzieć, czy zgłoszenie obejmuje jego dane i jego sytuację, kto je złożył oraz na jakiej podstawie. Odpowiedzialność administratora za prawidłową reakcję pozostaje aktualna.

Co zrobić po otrzymaniu zawiadomienia o wycieku?

Zabezpiecz dokumenty i chronologię. Zachowaj oryginalne wiadomości, daty i godziny ich otrzymania, kolejne komunikaty dostawcy oraz informacje dostępne na koncie. Zapisuj, kiedy firma dowiadywała się o poszczególnych ustaleniach. Nie usuwaj konta, historii ani dokumentów potrzebnych do wyjaśnienia zdarzenia.
Zabezpiecz dostęp do usług. Zmień hasło do Fakturowni, a także do innych usług, jeżeli używano tam tego samego hasła. Włącz uwierzytelnianie dwuskładnikowe i sprawdź listę użytkowników oraz ich uprawnienia. Osoba odpowiedzialna za integracje powinna wymienić odpowiednie klucze i zweryfikować status poprzednich. Samo włączenie 2FA nie unieważnia skradzionego tokenu API.
Ustal dane rzeczywiście zgromadzone na koncie. Sprawdź faktury, bazę kontrahentów, płatności, dodatkowych odbiorców, notatki, pola własne i importy. Jeżeli przenoszono dokumenty z innego programu, ustal, z jakiego okresu pochodziły, kiedy je zaimportowano i jakie dane zawierały. Porównaj te ustalenia z zakresem naruszenia wskazanym dla Twojego konta.
Wprowadź dodatkową kontrolę płatności. Poleć księgowości potwierdzanie zmian rachunku pod wcześniej znanym numerem telefonu. Sprawdź numery rachunków na własnych fakturach. Prawidłowa kwota, nazwa kontrahenta lub numer dokumentu nie wystarczają do uznania wiadomości za autentyczną. Przy podejrzeniu oszukańczego przelewu niezwłocznie skontaktuj się z bankiem.
Uruchom obsługę naruszenia w firmie. Włącz IOD, IT, księgowość i osoby znające sposób korzystania z programu. Wyznacz osobę prowadzącą sprawę, ustal moment stwierdzenia naruszenia i oceń obowiązki zgłoszeniowe. Pytania do dostawcy, zabezpieczenia techniczne i przygotowanie dokumentacji prowadź równolegle.

Do serwisu loguj się przez samodzielnie wpisany, znany adres. Wiadomość odwołująca się do wycieku może sama stanowić próbę przejęcia konta. Wewnętrzną komunikację kieruj do osób, które faktycznie wykonują określone zadania: inne instrukcje potrzebuje księgowość, inne administrator integracji, a inne pracownik obsługujący klientów.

Jak ocenić ryzyko naruszenia praw lub wolności osób?

Ocena powinna odpowiedzieć na dwa pytania: co może spotkać osobę, której dane ujawniono, oraz jak prawdopodobne i dotkliwe są takie następstwa?

Nie wystarczy ustalić liczby dokumentów ani sprawdzić, czy program ponownie działa. Przedmiotem analizy są skutki dla ludzi: utrata kontroli nad informacjami, oszustwa, szkody finansowe, naruszenie prywatności, reputacji, tajemnicy zawodowej lub bezpieczeństwa.

Po wycieku oceniamy konsekwencje zdarzenia, które już nastąpiło

Analiza wykonywana po naruszeniu różni się od wcześniejszej oceny zagrożeń związanych z używaniem systemu. Nie pytamy już wyłącznie, jak często może dojść do włamania. Pytamy, co może wyniknąć z przejęcia określonych danych.

Dlatego argument „dotychczas nie mieliśmy podobnych incydentów” nie obniża automatycznie ryzyka związanego z aktualnym wyciekiem. EROD podkreśla to rozróżnienie w wytycznych dotyczących zgłaszania naruszeń.

Siedem czynników ryzyka wskazanych w biuletynie UODO

Biuletyn UODO nr 10/2025, strony 14–18, przedstawia siedem obszarów, które należy uwzględnić przy analizie: rodzaj zdarzenia, właściwości ujawnionych danych, możliwość identyfikacji osób, wagę następstw, sytuację osób, specyfikę administratora i skalę naruszenia. Poniżej ich praktyczne zastosowanie do systemu fakturowego.

Rodzaj zdarzenia. Ustal, czy doszło do ujawnienia danych, ich zmiany, utraty czy kilku takich zdarzeń. Skopiowanie informacji przez atakującego oznacza problem z poufnością. Zachowanie dostępu do oryginalnej bazy nie usuwa tego problemu.

Zawartość ujawnionego zbioru. Analizuj łącznie dane identyfikacyjne, kontaktowe, rozliczenia i opisy usług. Zestaw informacji może pozwalać na znacznie więcej niż każda pozycja rozpatrywana oddzielnie.

Możliwość identyfikacji osoby. Sprawdź, czy rekord wskazuje konkretną osobę bezpośrednio albo pozwala ją rozpoznać po połączeniu z innym zbiorem.

Waga następstw. Opisz możliwe skutki, czas ich trwania i możliwość odwrócenia. Zmiana hasła nie cofnie ujawnienia historii leczenia lub prywatnych zakupów.

Sytuacja osób. Uwzględnij szczególną podatność dzieci, pacjentów, osób zależnych lub zagrożonych przemocą.

Specyfika działalności. Dokument z placówki terapeutycznej może mieć inne znaczenie dla prywatności niż faktura za materiały biurowe.

Skala. Policz osoby oraz dokumenty. Jedna osoba może występować w wielu rekordach, a poważne konsekwencje mogą dotknąć również pojedynczego człowieka.

Jak zastosować te kryteria do danych z faktur?

Przykładowo ujawnienie imienia i nazwiska, adresu e-mail, kwoty oraz terminu płatności może pozwolić na przygotowanie wiarygodnego wezwania do zapłaty. W ocenie warto wskazać, czy sprawca może powiązać te informacje z konkretną osobą i jej rzeczywistym kontrahentem.

Nie poprzestawaj na zdaniu „możliwy phishing”. Opisz mechanizm: sprawca może podszyć się pod sprzedawcę, nawiązać do rzeczywistej należności i nakłonić klienta do zapłaty na inny rachunek. Następnie oceń, na ile taki scenariusz jest realny w odniesieniu do przejętych danych.

Osobno rozpatrz pola opisowe. Jeżeli pozwalają powiązać osobę z terapią, leczeniem lub inną prywatną sprawą, możliwe skutki wykraczają poza oszustwa finansowe. Należy sprawdzić rzeczywistą treść informacji i możliwość ich odczytania. Nie oznacza to, że takie dane znajdowały się na każdym koncie Fakturowni.

Dane finansowe, PESEL i dane szczególnych kategorii

Dane finansowe lub numer PESEL mogą istotnie zwiększać ryzyko, mimo że same nie stanowią szczególnych kategorii danych z art. 9 RODO. Z kolei opis usługi na fakturze może ujawniać informacje dotyczące zdrowia i wymagać uwzględnienia tej okoliczności.

Nie należy więc ograniczać analizy do pytania, czy wyciekł PESEL. Jego brak nie przesądza o braku ryzyka. Również samo zaznaczenie w formularzu, że naruszenie nie objęło szczególnych kategorii danych, nie rozstrzyga obowiązku zgłoszenia.

Publiczne dane w CEIDG nie oznaczają publicznej historii transakcji

Nazwisko, NIP lub adres działalności mogą być dostępne publicznie. Informacja o tym, co dana osoba kupiła, za jaką kwotę, u kogo i czy ma zaległości, może już publiczna nie być.

W analizie trzeba zatem ustalić, co dokładnie stało się dostępne dla nieuprawnionego odbiorcy. Powiązanie publicznego identyfikatora z niepubliczną transakcją może tworzyć nowe zagrożenie.

Podobnie wiek dokumentu nie jest samodzielną przesłanką obniżenia ryzyka. Adres, numer telefonu lub rachunek mogą pozostawać aktualne, a informacje o prywatnych sprawach nadal mieć znaczenie.

Wyciek danych u podmiotu przetwarzającego

Kiedy trzeba zgłosić naruszenie do UODO?

Zgłoszenie do UODO nie wymaga stwierdzenia wysokiego ryzyka. Zgodnie z art. 33 ust. 1 RODO naruszenie zgłasza się właściwemu organowi, chyba że jest mało prawdopodobne, aby skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych.

UODO wskazuje, że decyzję o odstąpieniu od zgłoszenia trzeba poprzedzić analizą, a jej uzasadnienie zachować w dokumentacji.

W praktyce należy rozdzielić trzy sytuacje.

Ryzyko jest mało prawdopodobne. Można odstąpić od zgłoszenia, jeżeli przemawiają za tym konkretne okoliczności. Naruszenie nadal trzeba udokumentować i podjąć odpowiednie działania zaradcze.

Występuje ryzyko, ale nie jest ono wysokie. Naruszenie podlega zgłoszeniu do organu. Nie powstaje natomiast obowiązek zawiadamiania osób na podstawie art. 34 RODO.

Naruszenie może powodować wysokie ryzyko. Konieczne jest zgłoszenie do organu i zawiadomienie osób, z uwzględnieniem wyjątków przewidzianych w art. 34 ust. 3 RODO.

Dlaczego „niskie ryzyko” w kalkulatorze nie wystarcza?

Wewnętrzna klasyfikacja nie zastępuje oceny prawnej. Etykieta „niskie”, „akceptowalne” albo zielony kolor w arkuszu nie wyjaśniają jeszcze, czy spełniono wyjątek od zgłoszenia.

W praktyce UODO przesłanka małego prawdopodobieństwa jest interpretowana restrykcyjnie. Organ oczekuje wykazania okoliczności, które przemawiają przeciwko realnej możliwości wystąpienia negatywnych skutków. Takie podejście przedstawiono m.in. w omówieniu sprawy niezgłoszenia naruszenia przez komornika.

Administrator powinien potrafić wyjaśnić, dlaczego określony scenariusz szkody jest mało prawdopodobny. Samo stwierdzenie, że dotąd nikt nie zgłosił problemu, nie wyjaśnia tej kwestii.

Ocena powinna uwzględniać racjonalnie przewidywalne skutki wynikające z konkretnych danych i okoliczności. Nie może opierać się ani na dowolnym mnożeniu hipotetycznych zagrożeń, ani na założeniu, że dopóki nie ma poszkodowanego, nie ma obowiązku działania.

Nie trzeba czekać na rzeczywistą szkodę

Obowiązek zgłoszenia nie powstaje dopiero wtedy, gdy klient straci pieniądze albo ktoś wykorzysta jego tożsamość. Istotne jest ryzyko takich następstw.

W przypadku potwierdzonego przejęcia czytelnych danych identyfikacyjnych, kontaktowych i rozliczeniowych przez atakującego należy więc ocenić możliwość ich wykorzystania już teraz. Oczekiwanie na pierwszą reklamację lub informację o oszustwie może oznaczać spóźnioną reakcję.

Brak publicznego udostępnienia bazy również nie przesądza bezpieczeństwa. Dane mogą być wykorzystywane bez ich publikowania w internecie.

Kiedy można odstąpić od zgłoszenia naruszenia?

Poradnik UODO dotyczący naruszeń ochrony danych osobowych wskazuje przykłady sytuacji, w których można uzasadnić brak obowiązku zgłoszenia. Dotyczą one przede wszystkim danych już publicznych, danych skutecznie nieczytelnych dla osób nieuprawnionych oraz zdarzeń, którym definitywnie zaradzono.

Skuteczne szyfrowanie

Przykładem może być utrata zaszyfrowanego urządzenia, jeżeli zastosowana ochrona rzeczywiście uniemożliwia odczyt, klucz pozostaje bezpieczny, a kopia zapasowa zapobiega negatywnym skutkom utraty dostępności.

W odniesieniu do Fakturowni informacja o przechowywaniu haseł w postaci skrótów nie dowodzi zabezpieczenia w ten sam sposób całej bazy faktur i kontrahentów. Trzeba ustalić, które dane były chronione, jaką metodą i czy atakujący uzyskał możliwość ich odczytania.

Informacje rzeczywiście publiczne

Znaczenie może mieć wcześniejsze publiczne udostępnienie dokładnie tych informacji, które następnie ujawniono. Trzeba jednak sprawdzić, czy zdarzenie nie dodało nowego kontekstu, powiązań lub szczegółów.

Wniosek „nazwisko jest w CEIDG, więc nie zgłaszamy” nie spełnia tego warunku, jeżeli wraz z nazwiskiem ujawniono niepubliczne informacje o transakcjach.

Definitywne zaradzenie zdarzeniu

Poradnik opisuje przypadek odzyskania dokumentów, w którym monitoring pozwolił potwierdzić brak dostępu osób nieuprawnionych. Istotne były dowody skutecznego usunięcia zagrożenia.

Przy skopiowaniu danych przez atakującego samo usunięcie luki nie daje analogicznego rezultatu. Zabezpiecza system przed dalszym dostępem, ale nie potwierdza usunięcia kopii znajdującej się poza kontrolą administratora.

Zaufany odbiorca

Przy omyłkowym przekazaniu informacji znaczenie może mieć dobrze znany odbiorca, którego zachowanie pozwala wiarygodnie ograniczyć następstwa. UODO podkreśla konieczność indywidualnej oceny; samo istnienie relacji z odbiorcą nie wystarcza.

Ta sytuacja nie jest porównywalna z przejęciem danych przez sprawcę włamania. Zaufanie do dostawcy programu nie oznacza zaufania do osoby, która wykradła informacje.

A jeżeli w zbiorze nie było danych osobowych?

Jeżeli ustalenia wykażą, że określony zbiór obejmował wyłącznie informacje o osobach prawnych i nie pozwalał identyfikować osób fizycznych, może w ogóle nie chodzić o naruszenie ochrony danych osobowych w rozumieniu RODO.

Taką kwalifikację również warto udokumentować. Należy ją jednak poprzedzić sprawdzeniem nazwisk, imiennych adresów, danych jednoosobowych przedsiębiorców, opisów i powiązań między rekordami. Nie wystarczy ogólne określenie zbioru jako „dane firmowe”.

Kiedy trzeba zawiadomić klientów o wycieku?

Zawiadomienie osób jest wymagane, gdy naruszenie może powodować wysokie ryzyko naruszenia ich praw lub wolności. To próg wyższy niż próg zgłoszenia do UODO.

W ocenie należy uwzględnić łącznie prawdopodobieństwo i wagę następstw. Szczególnie poważnych skutków nie można pomijać tylko dlatego, że uznano je za mniej prawdopodobne. Wysoki poziom jednego z tych czynników wpływa na całościową ocenę.

Przykład: dane kontaktowe i ograniczony zakres informacji

Hipotetyczne ujawnienie listy imion i prywatnych adresów e-mail klientów zwykłego sklepu, bez haseł, danych płatniczych, adresów domowych i historii zakupów, może wymagać innej oceny niż przejęcie pełnych profili rozliczeniowych.

Jeżeli analiza potwierdzi realne ryzyko, ale nie wykaże jego wysokiego poziomu, możliwe będzie zgłoszenie do UODO bez obowiązku zawiadamiania osób. Wniosek musi wynikać z konkretnych okoliczności — sam ograniczony zakres danych nie tworzy automatycznego zwolnienia.

Przykład: rozbudowane dane rozliczeniowe

Jeżeli ujawniono dane identyfikacyjne, prywatny adres, kontakt, informacje o rachunku i szczegółowe rozliczenia, należy rozważyć możliwość podszywania się, ukierunkowanego oszustwa oraz ujawnienia sytuacji finansowej.

Celowe przejęcie takiego zestawu i brak skutecznych ograniczeń jego wykorzystania mogą przemawiać za wysokim ryzykiem. Szczególne znaczenie będzie miało to, czy dane umożliwiają wiarygodne działanie w imieniu osoby lub nakłonienie jej do niekorzystnej decyzji.

Przykład: informacje o leczeniu lub terapii

Jeżeli treść dokumentów pozwala powiązać konkretną osobę z leczeniem, terapią lub inną informacją dotyczącą zdrowia, trzeba uwzględnić także możliwość naruszenia prywatności, stygmatyzacji czy szantażu.

Taki kontekst może przemawiać za wysokim ryzykiem nawet przy niewielkiej liczbie osób. Nie jest konieczne, aby zagrożenie dotyczyło tysięcy klientów.

Powyższe przykłady pokazują sposób oceny. Nie przesądzają, jakie informacje występowały na konkretnym koncie Fakturowni.

Czy trzeba zawiadomić wszystkich klientów?

Jeżeli wysokie ryzyko dotyczy tylko części osób objętych naruszeniem, obowiązek zawiadomienia należy odnieść do tej grupy. Poradnik UODO wyraźnie przewiduje takie zróżnicowanie.

Trzeba więc ustalić, czy zakres danych jest jednolity. Inna ocena może dotyczyć klienta, którego rekord zawierał wyłącznie podstawowy kontakt, a inna osoby, której dokumenty ujawniały szczegółowe informacje prywatne.

Jakie są wyjątki od zawiadamiania osób?

Art. 34 ust. 3 RODO przewiduje trzy sytuacje pozwalające odstąpić od indywidualnego zawiadomienia.

Po pierwsze, dane były skutecznie chronione przed odczytem przez osoby nieuprawnione. Zabezpieczenie musi rzeczywiście dotyczyć informacji objętych naruszeniem.

Po drugie, późniejsze działania wyeliminowały prawdopodobieństwo wysokiego ryzyka. Samo ograniczenie jednego zagrożenia nie wystarcza, jeżeli inne istotne następstwa pozostają możliwe.

Po trzecie, indywidualne zawiadomienie wymagałoby niewspółmiernie dużego wysiłku. Wtedy trzeba zastosować publiczny komunikat lub inny równie skuteczny sposób dotarcia do zainteresowanych. Ten wyjątek zmienia formę komunikacji, a nie pozwala całkowicie z niej zrezygnować.

Duża liczba klientów lub koszt wysyłki nie powinny być traktowane jako automatyczna podstawa zastosowania trzeciego wyjątku. Trzeba ocenić dostępne dane kontaktowe, możliwości komunikacji i rzeczywistą skuteczność wybranego rozwiązania.

Od kiedy liczyć 72 godziny na zgłoszenie naruszenia?

Termin wiąże się ze stwierdzeniem naruszenia przez administratora, czyli uzyskaniem dostatecznej pewności, że doszło do zdarzenia naruszającego ochronę danych osobowych. Nie trzeba znać wszystkich szczegółów technicznych ani ostatecznej liczby rekordów.

Co do zasady znaczenie ma powiadomienie przez podmiot przetwarzający. Jeżeli jednak przedsiębiorca wcześniej uzyskał wystarczającą wiedzę, późniejsza wiadomość nie rozpoczyna terminu od nowa. Samo przekazanie sprawy do IOD również nie przesuwa początku jego biegu.

Nie należy utożsamiać daty wykrycia ataku przez Fakturownię z datą stwierdzenia naruszenia przez każdą firmę korzystającą z usługi. Każdy administrator powinien odtworzyć własną chronologię.

Przykład: jeżeli firma uzyskała dostateczną pewność 1 października 2026 r. o godz. 16.00, 72 godziny upływają 4 października o godz. 16.00. Weekend nie zatrzymuje biegu terminu. Nadal obowiązuje zasada działania bez zbędnej zwłoki — nie zawsze można zasadnie wykorzystać całe 72 godziny.

Czy można czekać na panel lub raport Fakturowni?

Jeżeli naruszenie zostało stwierdzone i podlega zgłoszeniu, brak kompletnego zestawienia nie uzasadnia oczekiwania z wysłaniem formularza. Można złożyć zgłoszenie wstępne i następnie uzupełniać informacje. UODO wprost przewiduje taką możliwość.

Należy wskazać, co już wiadomo, czego jeszcze nie ustalono i jakie działania służą wyjaśnieniu braków. Nie można wpisywać niepotwierdzonych danych tylko po to, aby formularz wyglądał na kompletny.

Jeżeli termin został przekroczony, zgłoś naruszenie niezwłocznie i wyjaśnij rzeczywiste przyczyny opóźnienia. Nie zmieniaj daty stwierdzenia zdarzenia, aby dopasować ją do daty wysyłki.

O co zapytać Fakturownię po wycieku danych?

Zapytanie powinno dotyczyć konkretnego przedsiębiorcy i konkretnego konta. Podaj jego identyfikator oraz wskaż, że potrzebujesz informacji do wykonania obowiązków administratora.

Podstawą współpracy jest m.in. art. 28 ust. 3 lit. f RODO. Obowiązek pomocy i powiadomienia o naruszeniu przewiduje również § 4 ust. 7–8 regulaminu powierzenia Fakturowni.

Czy nasze konto obejmuje standardowy czy szerszy zakres naruszenia? Prosimy potwierdzić, które dane powierzone przez naszą firmę zostały skopiowane, oraz oddzielić ustalenia potwierdzone od nadal weryfikowanych.
Jakie zbiory i pola przejęto oraz ile rekordów obejmuje każdy zbiór? Czy możecie bezpiecznie udostępnić zestawienie pozwalające ustalić osoby, których dotyczą te informacje, i uniknąć wielokrotnego liczenia tej samej osoby?
Co oznaczają daty graniczne dla naszego konta? Czy odnoszą się do wystawienia dokumentu, utworzenia rekordu, importu czy ostatniej aktualizacji? Jak potraktowano faktury przeniesione z innego systemu?
Czy przejęto treść uwag, notatek, pól własnych oraz dane dodatkowego odbiorcy lub płatnika? Potrzebujemy ustalić, czy w objętym naruszeniem zakresie znajdowały się informacje wymagające szczególnej oceny, np. numery PESEL lub dane dotyczące zdrowia.
Czy zakres obejmuje treść plików i załączników, czy tylko ich metadane? Które pliki importu i eksportu zostały przejęte, z jakiego okresu pochodziły i jakie informacje zawierały?
Czy kwoty, płatności i identyfikatory można połączyć z konkretnymi osobami lub dokumentami? Jakie ustalenia potwierdzają wyłączenie zbiorów wskazanych jako nieobjęte naruszeniem?
Jakie dane dostępowe naszego konta objęto incydentem? Prosimy wskazać status haseł, sesji, linków do paneli kontrahentów i kluczy integracji, daty ich unieważnienia oraz czynności wymagane po naszej stronie i po stronie innych dostawców.
Czy skopiowane dane były czytelne dla atakującego? Jak zabezpieczono poszczególne zbiory i skróty haseł? Czy sprawca mógł pozyskać klucze lub inne informacje pozwalające obejść te zabezpieczenia?
Jaka jest chronologia zdarzenia i działań naprawczych dotyczących naszego konta? Kiedy stwierdzono naruszenie, odcięto dostęp i usunięto przyczynę? Które działania już wykonano, a które są dopiero planowane?
Kiedy otrzymamy kolejne ustalenia i z kim możemy prowadzić sprawę? Prosimy również o informacje o stwierdzonym dalszym wykorzystaniu danych oraz, jeżeli może zostać przekazana, sygnaturę zgłoszenia dostawcy do UODO.

Nie uzależniaj wykonania własnych obowiązków od otrzymania odpowiedzi na wszystkie pytania. Odpowiedzi powinny uzupełniać prowadzoną analizę, a nie zastępować reakcję przedsiębiorcy.

Zestawienia zawierające dane konkretnych osób należy przekazywać bezpiecznym kanałem, z dostępem ograniczonym do osób uczestniczących w obsłudze naruszenia.

BPPZ – Biuro Porad Prawnych Zacharski

Zadzwoń Napisz wiadomość

Jak wypełnić formularz zgłoszenia naruszenia do UODO?

Skorzystaj z aktualnego formularza wskazanego przez UODO. Poniższa instrukcja odnosi się do układu formularza DOCX udostępnionego 9 kwietnia 2026 r. Strona urzędu zawiera również odsyłacz do formularza elektronicznego w biznes.gov.pl.

Szersze omówienie procedury znajdziesz w naszym poradniku: jak zgłosić naruszenie ochrony danych osobowych do UODO.

Każdy opis trzeba dostosować do własnego konta i potwierdzonych ustaleń. Informacje pewne, szacunki i kwestie niewyjaśnione powinny być rozróżnione.

Pole 1: typ zgłoszenia

Wybierz zgłoszenie wstępne, jeżeli nie masz wszystkich informacji. Wskaż przewidywany termin uzupełnienia, jeżeli możesz go rzetelnie określić. Nie deklaruj przypadkowej daty bez ustalenia, kiedy otrzymasz potrzebne dane.

Przy uzupełnieniu odwołaj się do wcześniejszego zgłoszenia i sygnatury nadanej Twojej sprawie. Sygnatura zgłoszenia Fakturowni nie jest sygnaturą sprawy Twojej firmy.

Jeżeli inne organy zostały zawiadomione wyłącznie przez dostawcę, opisz to zgodnie z rzeczywistym przebiegiem. Nie przedstawiaj jego czynności jako zgłoszeń dokonanych samodzielnie przez przedsiębiorcę.

Pola 2A–2F: administrator, reprezentacja i podmiot przetwarzający

Jako administratora wskaż firmę, której dane i obowiązki opisujesz. Uzupełnij informacje o reprezentantach oraz IOD lub innym punkcie kontaktowym.

W części 2F wskaż Fakturownię jako podmiot przetwarzający w zakresie powierzonych jej danych. Jeżeli w procesie uczestniczyły również inne podmioty, opisz ich rzeczywistą rolę.

Gdy zgłoszenie składa pełnomocnik, sprawdź umocowanie i wymagane załączniki. Samo wyznaczenie osoby na IOD nie oznacza automatycznego udzielenia jej pełnomocnictwa do reprezentacji administratora.

Pola 3A i 3B: daty wykrycia i przebieg naruszenia

W części 3A podaj datę stwierdzenia naruszenia przez Twoją firmę oraz sposób uzyskania informacji. Oddzielnie wskaż moment powiadomienia przez procesora.

Jeżeli firma uzyskała wystarczającą wiedzę przed formalnym zawiadomieniem, wyjaśnij to. Przy przekroczeniu 72 godzin przedstaw rzeczywiste przyczyny opóźnienia.

Część 3B dotyczy czasu zdarzenia, a nie czasu, w którym przedsiębiorca przeczytał wiadomość. Wpisz okres nieuprawnionego dostępu wynikający z ustaleń dostawcy, oznaczając dane przybliżone. Rozróżnij zakończenie dostępu do systemu od możliwości dalszego wykorzystania już skopiowanych informacji.

Pole 4A: opis naruszenia

Opis powinien łączyć zdarzenie u dostawcy z przetwarzaniem realizowanym przez Twoją firmę.

Przykładowe brzmienie, po potwierdzeniu objęcia powierzonych danych naruszeniem:

Administrator [pełna nazwa] korzysta z serwisu Fakturownia.pl w celu [cel przetwarzania]. W dniu [data i godzina] uzyskał informację, że wskutek nieuprawnionego dostępu do infrastruktury dostawcy skopiowano dane powierzone przez administratora, obejmujące [potwierdzone zbiory i kategorie danych].

Ustalenia opierają się na [zawiadomienie, komunikat, informacje dotyczące konta]. Nadal weryfikowane są [konkretne kwestie]. Administrator wystąpił do podmiotu przetwarzającego o ich wyjaśnienie w dniu [data] i przekaże uzupełnienie bez zbędnej zwłoki.

Nie wpisuj, że przejęto całą bazę klientów Twojej firmy, jeżeli wiesz jedynie, że dostawca skopiowanie części swoich zasobów potwierdził na poziomie całego systemu.

Pola 4B–4F: rodzaj, przyczyna i charakter zdarzenia

W przypadku opisanego włamania należy uwzględnić nieuprawniony dostęp. Wariant dotyczący złamania zabezpieczeń dobierz do potwierdzonego opisu technicznego. Przyczyna odpowiada zewnętrznemu działaniu zamierzonemu, a skopiowanie danych narusza ich poufność.

Naruszenie integralności lub dostępności zaznacz wtedy, gdy masz ustalenia dotyczące nieuprawnionej zmiany albo utraty dostępności danych. Nie zaznaczaj wszystkich kategorii tylko dlatego, że incydent jest poważny.

Możliwość przyszłego phishingu nie oznacza, że atak na Fakturownię rozpoczął się od phishingu. Podobnie nie należy deklarować użycia złośliwego oprogramowania bez potwierdzających informacji.

Pole dotyczące usług społeczeństwa informacyjnego oferowanych bezpośrednio dziecku ma określony zakres. Samo wystąpienie informacji o dziecku w dokumentacji nie jest równoznaczne ze spełnieniem tej przesłanki.

Pole 5: liczba osób i liczba wpisów danych

Podaj te wartości oddzielnie. Tysiąc faktur nie oznacza tysiąca osób. Jeden klient może występować w wielu dokumentach, a pojedyncza faktura może zawierać informacje o nabywcy, odbiorcy i płatniku.

Opisz sposób oszacowania. Jeżeli możesz określić tylko zakres albo wartość przybliżoną, wskaż podstawę takiego szacunku.

Nie wpisuj zera jako zamiennika niewiedzy. Nie przepisuj też ogólnej liczby klientów Fakturowni do zgłoszenia dotyczącego własnej firmy. Jeżeli ustalenie liczby trwa, opisz ten stan oraz sposób prowadzenia weryfikacji.

Pola 6 i 7: kategorie danych oraz osób

Zaznacz wyłącznie dane objęte zgłaszanym naruszeniem. W razie potrzeby doprecyzuj NIP, informacje o transakcjach, tytuły płatności, treść uwag i innych pól.

Numer PESEL, dane dotyczące zdrowia lub hasła nie powinny pojawić się w zgłoszeniu tylko dlatego, że formularz przewiduje odpowiedni wybór. Z drugiej strony brak osobnej pozycji dla danego rodzaju informacji nie uzasadnia jego pominięcia — można opisać go w polu przeznaczonym na inne dane.

W części dotyczącej osób wskaż właściwe grupy, np. klientów będących osobami fizycznymi, przedsiębiorców jednoosobowych, osoby kontaktowe lub pracowników. Nie zamieszczaj w zgłoszeniu danych konkretnych poszkodowanych osób.

Pole 8A: możliwe konsekwencje

Wskaż następstwa, które mają uzasadnienie w rzeczywistym zakresie danych. Opis „możliwa utrata kontroli nad danymi” warto uzupełnić o konkretny mechanizm wykorzystania informacji.

Przykład dla potwierdzonego ujawnienia danych kontaktowych powiązanych z rozliczeniami:

Połączenie danych identyfikacyjnych i kontaktowych z informacjami o transakcjach może umożliwić przygotowanie wiarygodnych wezwań do zapłaty oraz podszywanie się pod administratora lub kontrahenta. Odbiorca wiadomości może zostać nakłoniony do zapłaty na rachunek wskazany przez sprawcę.

Przy ocenie uwzględniono [zakres danych, możliwość powiązania ich z osobą, okoliczności przejęcia i sytuację osób]. Działania [wskazać jakie] ograniczają [określone zagrożenie], ale nie potwierdzono usunięcia kopii informacji znajdującej się poza kontrolą administratora.

Nie dodawaj automatycznie kradzieży tożsamości, szantażu lub innych poważnych skutków, jeżeli nie potrafisz wyjaśnić ich związku z ujawnionymi danymi.

Pole 8B: ocena wysokiego ryzyka

To pole dotyczy wysokiego ryzyka. Odpowiedź przecząca nie oznacza automatycznie, że zgłoszenie do UODO jest zbędne.

Uzasadnij ocenę przez odniesienie do rodzaju danych, możliwości ich wykorzystania, dotkliwości skutków i zastosowanych zabezpieczeń. Jeżeli korzystasz z metody punktowej, sam wynik nie wystarczy — trzeba wyjaśnić przyjęte założenia.

Jeżeli analiza trwa, wskaż konkretne braki. Nie opisuj wyniku jako ostatecznego, gdy nadal oczekujesz na informację mogącą istotnie zmienić ocenę.

Pola 9A–9C: zabezpieczenia i działania naprawcze

W 9A opisz zabezpieczenia istniejące przed naruszeniem. Podawaj wyłącznie informacje zweryfikowane. Sam fakt zabezpieczenia haseł użytkowników nie dowodzi, że cała baza klientów była nieczytelna dla atakującego.

W 9B opisz działania ograniczające możliwość ponownego zdarzenia. W 9C wskaż środki służące ograniczeniu następstw dla osób.

Rozdziel czynności Fakturowni od czynności Twojej firmy oraz działania wykonane od planowanych. Podaj daty albo realne terminy wdrożenia. Nie deklaruj samodzielnego usunięcia podatności z infrastruktury dostawcy.

Możesz opisać weryfikację dostępów, wymianę kluczy, kontrolę uprawnień, zasady potwierdzania rachunków, instrukcje dla księgowości i zawiadomienia do osób. Samo wysłanie pytań do procesora nie wyczerpuje działań zaradczych.

Pole 10: zawiadomienie osób

Wskaż, czy osoby zostały zawiadomione, kiedy, jakim kanałem i w jakiej liczbie. Zamieść zanonimizowaną treść komunikatu.

Jeżeli zawiadomienie jest planowane, opisz aktualny stan. Jeżeli odstępujesz od niego na podstawie wyjątku, uzasadnij zastosowanie konkretnej przesłanki.

Nie czekaj na odpowiedź UODO, jeżeli już ustalono wysokie ryzyko wymagające zawiadomienia osób. Brak kompletu szczegółów technicznych nie powinien uniemożliwiać przekazania informacji potrzebnych do podjęcia działań ochronnych.

Pole 11: przetwarzanie transgraniczne

Oceń, czy przetwarzanie ma charakter transgraniczny w rozumieniu RODO. Sam zagraniczny adres kontrahenta nie rozstrzyga tej kwestii.

W odpowiednich przypadkach trzeba również ustalić właściwy organ nadzorczy. UODO zwraca uwagę na tę kwestię na stronie formularza.

Po wysłaniu zachowaj potwierdzenie złożenia, kopię zgłoszenia i załączniki. Kolejne ustalenia przekazuj jako uzupełnienia tej samej sprawy.

Co powinno zawierać zawiadomienie do klientów?

Zawiadomienie powinno prostym językiem wyjaśniać charakter naruszenia, możliwe konsekwencje, zastosowane lub proponowane środki zaradcze oraz sposób kontaktu z IOD albo innym punktem kontaktowym. Przy wysokim ryzyku przekazuje się je bez zbędnej zwłoki.

Dla odbiorcy kluczowe będzie zrozumienie, jakie jego informacje objęło zdarzenie i co może zrobić. Ogólny komunikat o „incydencie u zewnętrznego dostawcy” nie daje takiej wiedzy.

Zalecenia dobieraj do rzeczywistych zagrożeń. Przy ryzyku fałszywych wezwań do zapłaty wyjaśnij, jak potwierdzić zmianę rachunku. Przy danych dostępowych wskaż, które hasło należy zmienić i czy ma znaczenie jego używanie w innych usługach. Jeżeli naruszenie obejmuje informacje wykorzystywane do potwierdzania tożsamości, rozważ adekwatne środki ochronne dla tej sytuacji.

Nie zapewniaj o całkowitym bezpieczeństwie danych, jeżeli potwierdzono ich skopiowanie. Możesz natomiast jasno wskazać, jakie działania już wykonano, jakie zagrożenia ograniczono i czego nadal nie ustalono.

Zwykłe ostrzeżenie przed fałszywymi fakturami może być użyteczne niezależnie od obowiązku z art. 34 RODO. Nie zastępuje jednak wymaganego zawiadomienia, jeśli brakuje w nim informacji odnoszących się do naruszenia danych konkretnej osoby.

Jak udokumentować decyzję o zgłoszeniu albo odstąpieniu od zgłoszenia?

Dokumentacja powinna pozwalać odtworzyć, na podstawie jakich informacji podjęto decyzję. Warto zachować opis zdarzenia, chronologię, zakres danych i osób, rozpatrzone scenariusze następstw, dowody dotyczące zabezpieczeń oraz uzasadnienie oceny.

Odnotuj oddzielnie decyzję o zgłoszeniu do organu i decyzję o zawiadomieniu osób. To dwa różne rozstrzygnięcia.

Przy odstąpieniu od zgłoszenia wyjaśnij, które okoliczności uzasadniają zastosowanie wyjątku. Przy odstąpieniu od zawiadomienia wskaż, czy wynika to z braku wysokiego ryzyka, czy z konkretnej przesłanki z art. 34 ust. 3 RODO.

Zapisz również, czego jeszcze nie wiadomo oraz jakie nowe ustalenia mogą zmienić ocenę. Pojawienie się dodatkowych danych, ujawnienie możliwości ich odczytu albo stwierdzenie prób wykorzystania informacji może wymagać ponownego rozpatrzenia wcześniejszej decyzji.

Ocena ryzyka nie powinna być jednorazowym dokumentem zamkniętym przed otrzymaniem istotnych odpowiedzi od dostawcy.

Najczęstsze pytania przedsiębiorców po wycieku z Fakturowni

Czy faktury sprzed wielu lat nadal wymagają analizy?

Tak. Znaczenie ma możliwość wystąpienia negatywnych skutków obecnie. Dane kontaktowe mogą pozostawać aktualne, a prywatny charakter informacji nie zanika wyłącznie z upływem czasu. Trzeba również uwzględnić dokumenty zaimportowane z poprzedniego systemu.

Czy brak PESEL-u oznacza brak obowiązku zgłoszenia?

Nie. Ryzyko może wynikać z innych informacji, ich połączenia i kontekstu. Dane kontaktowe zestawione z rozliczeniami mogą umożliwiać wiarygodne oszustwo, a opis usługi może ujawniać prywatne informacje.

Czy wystarczy zmienić hasło?

Zmiana hasła ogranicza określone zagrożenia związane z dostępem do konta. Nie usuwa kopii przejętych faktur ani informacji o klientach. Trzeba też odrębnie sprawdzić sesje, integracje, klucze API i pozostałe mechanizmy dostępu.

Czy trzeba usunąć konto w Fakturowni?

Usunięcie konta nie odbierze sprawcy wcześniej skopiowanych danych. Decyzję o dalszym korzystaniu z usługi oprzyj na zweryfikowanych działaniach naprawczych, gwarancjach dostawcy i potrzebach firmy. Zachowaj dokumentację potrzebną do rozliczeń oraz wyjaśnienia naruszenia.

Zmiana dostawcy nie zastępuje oceny ryzyka, zgłoszenia ani zawiadomienia osób.

Czy zgłoszenie do UODO oznacza przyznanie się do naruszenia przepisów?

Nie. Wystąpienie naruszenia ochrony danych i ustalenie naruszenia obowiązków wynikających z RODO to odrębne kwestie. Zgłoszenie opisuje zdarzenie i reakcję administratora; samo jego dokonanie nie przesądza o nałożeniu kary. Takie rozróżnienie przedstawia również poradnik UODO.

Czy można przyjąć ocenę ryzyka zaproponowaną przez dostawcę?

Można wykorzystać ją jako materiał do własnej analizy. Trzeba jednak sprawdzić, czy uwzględnia rzeczywistą zawartość konta, charakter działalności i sytuację osób. Administrator powinien rozumieć i potrafić uzasadnić wynik, który przyjmuje.

Czy trzeba zgłaszać naruszenie ponownie po otrzymaniu nowych danych?

Nowe informacje dotyczące tego samego zdarzenia co do zasady przekazuje się jako uzupełnienie wcześniejszego zgłoszenia. Należy wskazać sygnaturę i wyjaśnić, co zmieniło się w ustaleniach lub ocenie. Nie ma potrzeby przedstawiania każdej aktualizacji jako odrębnego incydentu.

Jak BPPZ pomaga przedsiębiorcom po wycieku danych?

W ramach obsługi naruszeń RODO pomagamy ustalić zakres odpowiedzialności administratora, uporządkować informacje od dostawcy, ocenić ryzyko i przygotować zgłoszenie do UODO. Opracowujemy również zawiadomienia dla osób oraz dokumentację uzasadniającą podjęte decyzje.

Wsparcie może obejmować analizę zawartości konta, przygotowanie pytań do Fakturowni, weryfikację formularza, zgłoszenie uzupełniające i odpowiedzi na pytania organu.

Po obsłużeniu zdarzenia audyt RODO pozwala sprawdzić zasady korzystania z dostawców, retencję danych, uprawnienia i procedury reagowania. Firmy potrzebujące stałego doradztwa mogą skorzystać z outsourcingu Inspektora Ochrony Danych.

Kontakt z BPPZ: kontakt@bppz.pl, tel. +48 600 784 526. W pierwszej wiadomości wskaż, kiedy firma otrzymała informację o naruszeniu, jak korzystała z Fakturowni i jakie działania już podjęła. Sposób bezpiecznego przekazania dokumentów zawierających dane ustalimy osobno.

Źródła i materiały pomocnicze

Fakturownia — oficjalny komunikat o incydencie, aktualizacja z 1 października 2026 r., godz. 16.00.

Niebezpiecznik — odpowiedzi dyrektora technicznego Fakturowni i opublikowane zawiadomienie.

Fakturownia — regulamin powierzenia przetwarzania danych osobowych.

UODO — poradnik dotyczący naruszeń ochrony danych osobowych, w szczególności rozdziały dotyczące oceny ryzyka, dokumentowania, zgłaszania i zawiadamiania osób.

Biuletyn UODO nr 10/2025, artykuł o siedmiu czynnikach ryzyka, s. 14–18.

UODO — jakie naruszenia trzeba zgłosić, a jakie nie wymagają zgłoszenia.

UODO — zgłoszenie naruszenia i aktualne formularze.

EROD — wytyczne 9/2022 dotyczące zgłaszania naruszenia ochrony danych osobowych na podstawie RODO.

BPPZ — jak zgłosić naruszenie ochrony danych osobowych do UODO.

Cyber Resilience Act od 11 września 2026 r. Kto musi zgłaszać podatności i incydenty?