Wyciek danych w firmie u zewnętrznego dostawcy – co zrobić i jakie obowiązki wynikają z RODO?

Wyciek danych u zewnętrznego dostawcy wymaga od firmy ustalenia zakresu incydentu, zabezpieczenia dostępów i oceny ryzyka oszustw finansowych. Jeżeli naruszenie obejmuje dane osobowe, których firma jest administratorem, trzeba dodatkowo ocenić obowiązki wynikające z RODO. Zgłoszenie dostawcy nie zwalnia klienta z własnej analizy sytuacji.

Czy każdy wyciek danych oznacza naruszenie RODO?

Nie każdy wyciek informacji należących do przedsiębiorstwa jest naruszeniem ochrony danych osobowych.

Art. 4 pkt 12 RODO dotyczy m.in. nieuprawnionego ujawnienia, dostępu, utraty lub zmiany danych osób fizycznych. Informacje o cenach, umowach czy warunkach handlowych mogą wymagać ochrony biznesowej, ale same w sobie nie zawsze podlegają obowiązkom dotyczącym naruszenia danych osobowych.

W systemach zewnętrznych mogą znajdować się m.in.:

• dane logowania i uprawnienia użytkowników,
• faktury i kwoty transakcji,
• numery rachunków bankowych,
• dane kontrahentów i osób ich reprezentujących,
• dane pracowników.

Dla przedsiębiorstw prowadzących biznes w Polsce oznacza to konieczność oddzielnej oceny ryzyka operacyjnego i obowiązków wynikających z RODO.

Co zrobić po otrzymaniu informacji o wycieku?

Firma powinna przede wszystkim ustalić, czy incydent dotyczył jej konta i jakie dane mogły zostać pobrane. Warto zachować komunikat dostawcy oraz zapisać datę i godzinę otrzymania informacji.

Następnie należy:

• sprawdzić aktywne konta i uprawnienia,
• rozważyć zmianę haseł i unieważnienie zagrożonych kluczy integracji,
• zweryfikować, czy tych samych danych logowania nie używano w innych systemach,
• uczulić dział finansowy na fałszywe faktury i próby zmiany rachunków bankowych,
• potwierdzać nietypowe dyspozycje płatnicze niezależnym kanałem.

Jeżeli ujawniono dane osobowe, przedsiębiorstwo musi ustalić, czy działa wobec nich jako administrator i jakie ryzyko naruszenie powoduje dla osób fizycznych.

Kiedy trzeba zgłosić naruszenie do UODO?

Zgodnie z art. 33 ust. 1 RODO administrator powinien zgłosić naruszenie bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od jego stwierdzenia, chyba że ryzyko dla praw lub wolności osób fizycznych jest mało prawdopodobne.

Jeżeli występuje wysokie ryzyko, co do zasady trzeba również zawiadomić osoby, których dane dotyczą.

Nawet gdy zgłoszenie do Urzędu Ochrony Danych Osobowych (UODO) nie jest wymagane, art. 33 ust. 5 RODO nakłada obowiązek udokumentowania naruszenia, jego skutków i zastosowanych działań zaradczych.

Co pokazuje wyciek danych Fakturowni z 2026 r.?

28 września 2026 r. Fakturownia stwierdziła nieuprawniony dostęp do systemów i skopiowanie znacznej części bazy danych.

Incydent objął wszystkie konta, choć zakres ujawnionych informacji był różny. Według spółki w przypadku około 2250 kont pobrano wszystkie dostępne dane z lat 2022–2026, do daty granicznej właściwej dla danego konta.

Fakturownia zgłosiła naruszenie do UODO 29 września 2026 r., a od 1 października rozpoczęła indywidualne zawiadamianie klientów.

Dla firm korzystających z platformy oznaczało to konieczność samodzielnego sprawdzenia własnych danych, zabezpieczenia kont oraz oceny obowiązków RODO.

Jak ograniczać ryzyko związane z zewnętrznymi dostawcami?

Art. 28 RODO wymaga wyboru podmiotów przetwarzających zapewniających wystarczające gwarancje bezpieczeństwa.

Przedsiębiorstwa w Polsce powinny w praktyce zwracać uwagę na:

• zabezpieczenia i procedury dostawców,
• umowy powierzenia danych,
• kontrolę uprawnień,
• procedury reagowania na incydenty,
• rozwiązania zapewniające ciągłość działania.

Naruszenie obowiązków m.in. z art. 33 i 34 RODO może prowadzić do kary do 10 mln euro lub 2% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego – stosuje się kwotę wyższą.

Pełną wersję artykułu można przeczytać tutaj: Wyciek danych w firmie u zewnętrznego dostawcy – co zrobić i jakie obowiązki wynikają z RODO?