Zgoda na przesyłanie informacji handlowej: ostrożnie z wizytówkami
czytaj więcej
Jeśli Twoja firma montuje kamery, a w skrzynce leży mail „z UODO” z prośbą o zestawienie wszystkich instalacji z ostatnich 12 miesięcy, to najpierw jedno: nie odpisuj. To fałszywy mail z UODO. Urząd go nie wysłał i sam o tym ostrzega.
W tym tekście pokazuję, po czym poznać tę wiadomość, dlaczego oszustom zależy akurat na danych Twoich klientów, czym grozi wysłanie tabelki i co zrobić, jeśli ktoś w firmie już ją wypełnił.
Spis treści
Kto dostał fałszywy mail z UODO i co w nim jest
19 października 2026 r. CSIRT GOV, czyli rządowy zespół reagowania na incydenty komputerowe, zawiadomił Urząd Ochrony Danych Osobowych o kampanii skierowanej do firm instalujących monitoring. Dzień później urząd opublikował komunikat o oszustach podszywających się pod UODO.
Wiadomość brzmi urzędowo. Zaczyna się tak (cytat za komunikatem UODO):
„W związku z prowadzoną analizą zgodności systemów monitoringu wizyjnego z obowiązującymi przepisami dotyczącymi ochrony danych osobowych, w szczególności art. 5 ust. 1 lit. f, art. 25 oraz art. 32 (…) RODO, zwracamy się o przygotowanie szczegółowego zestawienia instalacji systemów monitoringu wizyjnego wykonanych przez Państwa przedsiębiorstwo w okresie ostatnich 12 miesięcy…”
Do tego prawie poprawne dane teleadresowe urzędu, tabelka do wypełnienia i ponaglenie: zestawienie w pliku XLSX w ciągu 7 dni roboczych, bo „niniejszy wniosek stanowi urzędowe wezwanie UODO”. Termin, groźnie brzmiące słowo „wezwanie” i artykuły RODO mają sprawić, że odpiszesz, zanim cokolwiek sprawdzisz.
Czego oszuści chcą od instalatora monitoringu
Według UODO oszuści żądają zestawienia instalacji, a w nim zwłaszcza:
- dane kontaktowe użytkownika końcowego, czyli Twojego klienta,
- lokalizację, razem z dokładnymi współrzędnymi geograficznymi,
- adresy IP urządzeń,
- numery seryjne,
- wersję oprogramowania (firmware),
- model kamery.
Spójrz na to oczami złodzieja. To nie jest ankieta o RODO.
To gotowa lista: kto ma kamery, gdzie dokładnie stoją, jak się do nich dostać przez internet i jakie mają oprogramowanie. Nikt nie zbiera takich danych, żeby sprawdzić, czy przestrzegasz przepisów.
Czym grozi wysłanie zestawienia Twoim klientom
UODO pisze wprost, do czego mogą posłużyć te dane. Adres IP, numer seryjny i wersja oprogramowania pozwalają ustalić, czy urządzenie ma np. nieaktualne oprogramowanie. A jeśli instalator albo użytkownik nie zmienił fabrycznych ustawień, przestępcy mogą je wykorzystać, żeby przejąć nad kamerą kontrolę.
Skutki dla klienta są dwa. Po pierwsze oszuści znają jego adres. Po drugie, gdy przejmą obraz, zagrażają bezpieczeństwu ludzi i mienia, a to już nie jest wyciek „jakichś danych w Excelu”.
Kamera, która pilnuje wejścia do domu albo magazynu, pokazuje też, kiedy nikogo tam nie ma.
Jest też strona prawna. Imię, telefon klienta i adres jego domu to dane osobowe.
Przekazanie ich oszustowi to nieuprawnione ujawnienie danych, czyli naruszenie ochrony danych osobowych w rozumieniu art. 4 pkt 12 RODO. Wysyłając tabelkę, nie pomagasz urzędowi. Sam powodujesz naruszenie, z którego potem musisz się rozliczyć.
Dlaczego UODO nie mógł wysłać takiego maila
Urząd w komunikacie podaje trzy rzeczy: ta wiadomość nie pochodzi od UODO, urząd nigdy nie rozsyła takich pism ani ankiet (zwłaszcza w formie urzędowego wezwania) i nie zbiera takich informacji.
Sens tego widać, gdy wiesz, kogo urząd pyta. Prezes UODO bada przede wszystkim, jak administratorzy przetwarzają dane i jak je zabezpieczają.
Administrator to ten, kto decyduje, po co i jak dane są przetwarzane. Przy monitoringu administratorem nagrań będzie np. właściciel sklepu czy firmy, który ma kamery u siebie, a nie firma, która je zamontowała. Dlatego ankiety UODO trafiają do administratorów, a nie do instalatorów, dostawców sprzętu ani serwisów.
Przywołane w mailu artykuły RODO istnieją naprawdę i dlatego brzmią poważnie: art. 5 ust. 1 lit. f i art. 32 dotyczą bezpieczeństwa danych, a art. 25 ochrony danych już na etapie projektowania (RODO). Żaden z nich nie każe jednak instalatorowi wysyłać urzędowi listy kamer swoich klientów.
Jak rozpoznać phishing na UODO i sprawdzić, czy mail jest prawdziwy
Phishing to oszustwo, w którym ktoś podszywa się pod znaną instytucję albo firmę, żeby wyłudzić dane lub pieniądze. Tak tę wiadomość nazywa sam UODO. Prawdziwą korespondencję z urzędu łatwo jednak odróżnić, bo wygląda inaczej.
Prawdziwe pismo ma sygnaturę i departament
O szczegóły UODO dopytuje w trakcie postępowania. Taka sprawa ma nadaną sygnaturę, a w piśmie jest kontakt do departamentu, który ją prowadzi.
Urząd pisze wtedy tradycyjną pocztą, przez e-Doręczenia albo przez ePUAP. Zwykły mail z tabelką do wypełnienia nie jest żadną z tych dróg.
Ankiety są zapowiadane i dobrowolne
Kiedy urząd chce sprawdzić, jak administratorzy wykonują jakiś obowiązek z RODO, najpierw ogłasza to komunikatem na stronie uodo.gov.pl. Pytania są ogólne, opisowe, a odpowiedź jest dobrowolna. Tak było np. z ankietą o sztucznej inteligencji.
Kontakt z UODO bierz ze strony urzędu, nie z maila
Fałszywka ma „prawie poprawne” dane teleadresowe, więc numer ze stopki niczego nie dowodzi. Dane do kontaktu z UODO bierzesz z zakładki Kontakt na stronie urzędu: centrala 22 531-03-00, infolinia 606-950-000 (dni robocze, 10:00-14:00), adres ul. Stanisława Moniuszki 1A, 00-014 Warszawa.
Zadzwoń i zapytaj, zanim cokolwiek wyślesz. Ta sama zasada działa przy każdym mailu „z urzędu”, „z banku” czy „od kuriera”.
Jeśli pismo okaże się prawdziwe, nie lekceważ go. Jak na nie odpowiedzieć i czym grozi milczenie, opisuję we wpisie Kontrola UODO i pismo z urzędu - jak odpowiedzieć krok po kroku.
Wysłałeś już zestawienie? Co zrobić teraz
Zdarza się. Mail trafia do biura, ktoś chce mieć sprawę z głowy i wypełnia tabelkę. Wtedy liczy się czas.
1
Nie wysyłaj nic więcej
Nie odpowiadaj na kolejne maile i nie „uzupełniaj” danych. Zachowaj wiadomość oszustów, przyda się do zgłoszenia.
2
Zgłoś maila do CERT Polska
CERT Polska to zespół reagowania na incydenty komputerowe działający w NASK. Zgłoszenie wyślesz przez formularz na incydent.cert.pl, razem z treścią maila, który dostałeś.
3
Policz 72 godziny
Lista klientów z adresami i danymi kamer pochodzi z Twojej własnej dokumentacji, więc jej administratorem jesteś Ty. Zgłoś naruszenie do UODO bez zbędnej zwłoki, w miarę możliwości nie później niż 72 godziny po jego stwierdzeniu (art. 33 ust. 1 RODO), a po tym terminie dołącz wyjaśnienie opóźnienia. Zwalnia z tego tylko sytuacja, w której ryzyko dla tych osób jest mało prawdopodobne, a przy adresach i danych kamer trudno to obronić.
4
Uprzedź klientów
Gdy naruszenie może powodować wysokie ryzyko dla ludzi, administrator bez zbędnej zwłoki zawiadamia osoby, których dane dotyczą (art. 34 ust. 1 RODO). Najlepiej od razu z pomocą: zmiana fabrycznych haseł i aktualizacja oprogramowania kamer.
Jak przygotować samo zgłoszenie, krok po kroku, piszemy w tekście Zgłoszenie naruszenia danych osobowych - procedura 72h.
Na przyszłość najlepszą ochroną jest to, co robisz przy montażu. UODO wprost pisze, że fabryczne ustawienia stają się furtką, „o ile instalator lub użytkownik ich nie zmienił”.
Kamera oddana klientowi z własnym hasłem i aktualnym oprogramowaniem jest dla oszustów dużo mniej warta, nawet gdy ktoś zdobędzie jej numer seryjny. O tym, co chroni konto przed złamaniem hasła, piszę we wpisie Bezpieczne hasło a RODO: jak przestępcy łamią hasła i co chroni konto firmowe.
Najczęstsze pytania o fałszywy mail z UODO
Czy UODO wysyła wezwania zwykłym mailem?+
W postępowaniu nie. Wtedy urząd pisze tradycyjną pocztą, przez e-Doręczenia albo ePUAP, a pismo ma sygnaturę sprawy i kontakt do departamentu, który ją prowadzi.
Czy instalator monitoringu musi odpowiadać na ankiety UODO?+
Ankiety urzędu są dobrowolne i trafiają do administratorów danych, czyli firm i osób, które używają monitoringu, a nie do instalatorów. Każdą ankietę urząd zapowiada komunikatem na uodo.gov.pl.
Jak sprawdzić, czy mail jest prawdziwy?+
Nie korzystaj z numerów ani adresów z samej wiadomości. Wejdź na stronę urzędu, który rzekomo pisze, weź kontakt stamtąd i zapytaj o sprawę, zanim cokolwiek wyślesz.
Co grozi, jeśli wyślę oszustom dane klientów?+
Klientom grozi przejęcie kamer i obrazu, a Tobie, jako administratorowi tych danych, obowiązki jak przy każdym naruszeniu: zgłoszenie do UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin, i zawiadomienie klientów, gdy ryzyko jest wysokie.
UODO nie prosi instalatorów o listę kamer klientów
Każdy mail z prośbą o zestawienie kamer Twoich klientów najpierw zgłaszasz do CERT Polska i dopiero potem usuwasz, a w razie wątpliwości dzwonisz do UODO na numer ze strony urzędu.
Jeśli chcesz, żeby Twoja firma miała gotową procedurę na taki dzień (kto ocenia naruszenie, kto zgłasza, co mówimy klientom), pomożemy ją przygotować w ramach dokumentacji RODO. Napisz albo zadzwoń.
