Wyciek danych osobowych z faktur: kogo zawiadomić, kogo ostrzec, co napisać

Dostajesz maila od dostawcy programu do faktur: było włamanie, ktoś skopiował dane kontrahentów, kwoty i część faktur. Pierwszy odruch to napisać do wszystkich klientów. Drugi to nie pisać do nikogo, bo przecież wyciekło nie z Twojego systemu. Oba odruchy bywają błędne.

Wyciek danych osobowych u dostawcy to nadal Twój problem prawny. To Ty jesteś administratorem danych swoich klientów, a dostawca przetwarza je w Twoim imieniu, jako podmiot przetwarzający (więcej o tej relacji we wpisie Umowa powierzenia przetwarzania danych - kiedy i jak). Pokażę Ci, kogo RODO każe zawiadomić, komu wystarczy ostrzeżenie przed oszustwem, co wpisać w zawiadomieniu (także gdy nie znasz jeszcze pełnego zakresu wycieku), jak je wysłać bez drugiego wycieku i kiedy lepiej nie wysyłać nic.

Zgłoszenie do Urzędu Ochrony Danych Osobowych (UODO) w 72 godziny to osobny obowiązek (art. 33 RODO). Opisałem go we wpisie Zgłoszenie naruszenia danych osobowych - procedura 72h, więc tutaj zajmuję się tylko ludźmi z Twojej listy klientów.

Kogo musisz zawiadomić z art. 34 RODO?

Po wycieku danych osobowych zawiadamiasz tylko osoby fizyczne i tylko wtedy, gdy naruszenie może powodować wysokie ryzyko dla ich praw lub wolności. Tak mówi art. 34 ust. 1 RODO: administrator „bez zbędnej zwłoki” zawiadamia osobę, której dane dotyczą.

Dane osobowe to informacje o zidentyfikowanej albo możliwej do zidentyfikowania osobie fizycznej (art. 4 pkt 1 RODO). Motyw 14 RODO wyłącza z ochrony dane osób prawnych, w tym ich nazwę, formę prawną i dane kontaktowe. Spółka z o.o. czy akcyjna nie jest „osobą, której dane dotyczą”, więc zawiadomienia z art. 34 jej nie wysyłasz.

Na fakturach siedzą jednak różni klienci. Tak to wygląda w praktyce:

Kto jest na fakturze	Co mu wysyłasz
Osoba prywatna	zawiadomienie z art. 34, gdy ryzyko jest wysokie
Jednoosobowa działalność, spółka cywilna, spółka jawna z nazwiskiem wspólnika w firmie	zawiadomienie z art. 34, gdy obok danych jawnych w publicznym rejestrze firm wyciekły informacje finansowe (kwoty, numer rachunku, nieopłacone faktury), a Twoja ocena wskazuje wysokie ryzyko
Imienna osoba kontaktowa w spółce	zawiadomienie z art. 34 dla tej osoby, gdy ryzyko jest wysokie
Spółka z o.o. lub akcyjna (bez imiennej osoby kontaktowej)	dobrowolne ostrzeżenie przed oszustwem

Czy dane firmy jednoosobowej to dane osobowe?

Tak. Właściciel jednoosobowej działalności jest osobą fizyczną, a jego imię i nazwisko są zwykle częścią nazwy firmy. To samo dotyczy wspólników spółki cywilnej: taka spółka nie jest osobą prawną, tylko umową wspólników (art. 860 Kodeksu cywilnego), a wspólnikami są zwykle osoby fizyczne. Podobnie jest ze spółką jawną, która ma w firmie nazwisko wspólnika. Jest jednak niuans, który UODO opisał w komunikacie Nie każde naruszenie ochrony danych wymaga zgłoszenia do Prezesa UODO z 5 października 2026 r., wydanym po incydentach w bazach kontrahentów i systemach fakturowych.

Gdy wyciekły tylko dane jawne w CEIDG (Centralnej Ewidencji i Informacji o Działalności Gospodarczej): imię i nazwisko, nazwa firmy, NIP, oficjalny adres, ryzyko jest zwykle mało prawdopodobne. Złodziej nie dostał nic, czego nie znalazłby sam w rejestrze. Sytuacja zmienia się, gdy obok tych danych wyciekły informacje finansowe. UODO wymienia przy nich „ryzyko oszustw finansowych oraz przygotowywania fałszywych faktur lub płatności”.

Wtedy zgłoszenie do UODO będzie zwykle obowiązkowe. Czy trzeba zawiadomić także samego przedsiębiorcę, zależy od Twojej oceny, czy ryzyko jest wysokie. UODO kieruje do art. 34 dopiero wtedy, gdy analiza wykaże wysokie ryzyko.

Spółka z imienną osobą kontaktową

Spółka kapitałowa jest poza RODO, ale jej pracownik już nie. Jeśli na fakturze albo w kartotece kontrahenta zapisałeś imię i nazwisko osoby do kontaktu, jej imienny e-mail (np. jan.kowalski@firma.pl) albo telefon, to są dane osobowe tej osoby. Przy wysokim ryzyku zawiadomienie należy się właśnie jej.

Wysokie ryzyko przy wycieku z faktur: kwoty, terminy i nieopłacone faktury

Ryzyko jest wysokie wtedy, gdy ktoś może te dane wykorzystać do oszustwa. Europejska Rada Ochrony Danych (EROD) opisuje w wytycznych 01/2021 (przypadek nr 18) sieć hipermarketów, w której włamywacz przekierowywał na swój adres maile ze słowami „faktura” i „płatność”. Podał się za dostawcę, doprowadził do podmiany jego numeru rachunku na swój i wysłał sieci fałszywe faktury. Przy okazji dostał imiona, nazwiska i wynagrodzenia 99 pracowników.

EROD uznała, że to może prowadzić do strat finansowych, oszustw i kolejnych ataków, np. fałszywych maili wyłudzających dane albo pieniądze (phishingu), więc ryzyko jest wysokie i trzeba zawiadomić wszystkich 99 pracowników, a nie tylko 10 z najszerszym zakresem danych. Wyciek z programu do faktur działa podobnie, tyle że po drugiej stronie są Twoi klienci.

Kwota, termin płatności i informacja, która faktura jest nieopłacona, to gotowy scenariusz dla oszusta. Wie, ile i kiedy ktoś ma zapłacić. Wystarczy mail „zmieniliśmy numer konta” i… pieniądze lecą na jego rachunek.

Ostrzeżenie dla spółek: nie obowiązek, ale warto je wysłać

Spółce kapitałowej nie musisz wysyłać nic. A jednak warto, bo oszust podszyje się pod Ciebie, a nie pod dostawcę programu. Klient, który przeleje pieniądze na fałszywy rachunek, będzie miał żal do Ciebie, a Ty zostaniesz z niezapłaconą fakturą.

Takie ostrzeżenie może być krótkie: u dostawcy programu do faktur doszło do włamania, oszuści mogą znać kwoty i terminy, więc każdą wiadomość o zmianie Twojego numeru rachunku klient ma potwierdzić telefonicznie, pod numerem znanym z wcześniejszej współpracy, a nie z tej wiadomości.

Ważne: krótkie ostrzeżenie to nie jest zawiadomienie z art. 34. Możesz wysłać wszystkim klientom tę samą treść, ale wtedy musi ona spełniać wymogi zawiadomienia z kolejnej sekcji. Jeśli osobom fizycznym wyślesz tylko „uważajcie na fałszywe faktury”, obowiązku z RODO nie wykonałeś.

I jeszcze jedno. EROD w wytycznych 9/2022 (pkt 92) ostrzega przed kanałem, który objęło naruszenie, bo atakujący może go użyć, podszywając się pod administratora. Jeśli przestępca ma dostęp do wysyłki z programu do faktur, ostrzeżenie wyślij ze zwykłej skrzynki firmowej, a nie z tego programu.

Co musi zawierać zawiadomienie o naruszeniu danych osobowych?

Art. 34 ust. 2 RODO każe opisać charakter naruszenia „jasnym i prostym językiem” i dodać co najmniej informacje z art. 33 ust. 3 lit. b, c i d. Razem to cztery rzeczy (tak samo EROD 9/2022, pkt 86):

Te elementy UODO rozpisuje w poradniku Obowiązki administratorów związane z naruszeniami ochrony danych osobowych. Zwraca tam uwagę, że ogólniki z RODO typu „strata finansowa” czy „kradzież tożsamości” to za mało, a samo zapewnienie, że „podjęliśmy wszelkie działania”, nie spełnia obowiązku. Punktem kontaktowym nie powinna być też ogólna infolinia.

Zawiadomienie wysyłasz jako osobną wiadomość, nie w newsletterze i nie doklejone do zwykłej korespondencji (EROD 9/2022, pkt 89). Wpis na blogu albo komunikat prasowy też nie zastąpi wiadomości do konkretnej osoby (pkt 90).

Nie wiesz, co dokładnie wyciekło? Nie pisz, że nic

Dostawca w pierwszych dniach po włamaniu może sam nie znać pełnego zakresu. Pisze wtedy, że skopiowano część plików i że zakres może się jeszcze zmienić. Kusi, żeby klientom napisać uspokajająco: „Twoje dane nie wyciekły”.

Nie pisz, że dane nie wyciekły, jeśli tego nie wiesz. Zawiadomienie ma opisać charakter naruszenia tak, żeby człowiek zrozumiał, co się stało z jego danymi i co ma zrobić. Fałszywe uspokojenie działa odwrotnie: klient nie będzie czujny akurat wtedy, gdy powinien.

Uczciwie jest napisać, co wiesz na pewno, czego jeszcze nie wiesz i że zakładasz najgorszy wariant. Dla zakresu, którego nie da się wykluczyć, przyjmij, że wyciek danych osobowych nastąpił. EROD radzi w razie wątpliwości wybierać ostrożniejsze rozwiązanie (9/2022, pkt 119), a ocenę ryzyka trzeba powtarzać, gdy dostawca poda nowe fakty (pkt 98).

Jak wysłać zawiadomienia, żeby nie zrobić drugiego wycieku?

Najprostszy pomysł to jeden mail z adresami wszystkich klientów w ukrytej kopii. Wystarczy jednak jedno kliknięcie i adresy trafią do pola „Do” albo „DW”, czyli każdy klient zobaczy e-maile pozostałych. To już nowe naruszenie ochrony danych osobowych, tym razem w całości Twoje.

Lepiej wysłać zawiadomienia po jednym adresie: z programu do mailingu, z korespondencji seryjnej albo ze skryptu, który zapisuje log wysyłki. Log, czyli lista: komu, kiedy i z jakim wynikiem, to Twój dowód, że zawiadomienie wyszło. RODO wymaga, żebyś umiał wykazać, że przetwarzasz dane zgodnie z przepisami (art. 5 ust. 2 i art. 24 ust. 1), a EROD radzi zachować dowody wysłanych zawiadomień właśnie w tym celu (9/2022, pkt 127).

Jeśli w zawiadomieniu piszesz, że sprawa jest zgłoszona do UODO, wyślij je dopiero po złożeniu zgłoszenia. Nie odkładaj go jednak, gdy zagrożenie jest natychmiastowe: EROD dopuszcza wtedy, wyjątkowo, zawiadomienie osób nawet przed zgłoszeniem do organu (9/2022, pkt 59). Po wysyłce warto uzupełnić zgłoszenie w UODO o datę wysyłki i liczbę zawiadomionych osób, bo informacje możesz przekazywać etapami (art. 33 ust. 4 RODO).

Same kwoty bez nazwisk - kiedy po wycieku danych osobowych nie wysyłać nic

Gdy dostawca potwierdzi, że z Twojego konta w programie do faktur skopiowano same kwoty, bez nazwisk, nazw nabywców i innych danych, które wskazują konkretną osobę. Dane osobowe to informacje o osobie, którą da się zidentyfikować (art. 4 pkt 1 RODO). Sama kwota, której złodziej nie powiąże z żadnym człowiekiem, nie daje mu nic do oszustwa, więc wysokiego ryzyka dla klientów nie ma.

Mail do całej bazy klientów „na wszelki wypadek” narobi wtedy alarmu bez podstawy. EROD mówi wprost, że próg zawiadamiania osób jest wyższy niż próg zgłoszenia do UODO, a to chroni ludzi przed zasypywaniem niepotrzebnymi zawiadomieniami (9/2022, pkt 82).

Zanim tak uznasz, sprawdź jednak, czy nazwiska albo inne dane wskazujące osobę nie siedzą w innych miejscach programu: w polu uwag, w danych odbiorcy albo płatnika, w płatnościach z nazwiskiem wpłacającego, w plikach importu i eksportu, w numerach NIP jednoosobowych firm, numerach rachunków i adresach e-mail. Jeśli rzeczywiście nic tam nie ma, zdarzenie i tak opisz w rejestrze naruszeń i incydentów, z uzasadnieniem, dlaczego uznałeś, że nie objęło danych osobowych i nikogo nie zawiadamiasz. Tak udokumentowana ocena to Twój dowód przy ewentualnej kontroli (art. 5 ust. 2 RODO, EROD 9/2022, pkt 125).

Rejestr naruszeń to element dokumentacji, o której piszę we wpisie Polityka prywatności to nie jest całe RODO - co jeszcze musi mieć Twoja firma.

Najczęstsze pytania o zawiadamianie osób po wycieku danych osobowych

Pamiętaj

Osoba fizyczna, której grozi wysokie ryzyko, dostaje zawiadomienie z czterema elementami z art. 34 ust. 2, spółka kapitałowa dostaje ostrzeżenie, a sama kwota bez nazwiska nie wymaga ani jednego, ani drugiego. Nie obiecuj nikomu, że jego dane są bezpieczne, dopóki tego nie wiesz.

Jeśli Twój dostawca właśnie przysłał maila o włamaniu i nie wiesz, do kogo pisać, napisz do mnie albo zadzwoń. Taką pracę robię w ramach usługi Inspektor Ochrony Danych: ocenimy ryzyko, podzielimy listę klientów i przygotujemy treść zawiadomienia.