Wyciek danych w firmie u zewnętrznego dostawcy – co zrobić i jakie obowiązki wynikają z RODO?

Gdy dane przedsiębiorstwa wyciekną z systemu zewnętrznego dostawcy, firma powinna ustalić, jakie informacje zostały naruszone, zabezpieczyć dostępy i sprawdzić ryzyko oszustw finansowych. Jeżeli incydent obejmuje także dane osobowe, których przedsiębiorstwo jest administratorem, należy ocenić obowiązki wynikające z RODO. Zgłoszenie do właściwego organu nadzorczego jest wymagane bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia naruszenia, chyba że ryzyko dla praw lub wolności osób fizycznych jest mało prawdopodobne.

Firma może dowiedzieć się o wycieku dopiero z komunikatu dostawcy platformy fakturowej, programu księgowego, aplikacji kadrowo-płacowej lub usługi chmurowej. Nawet gdy atak nie dotyczył własnej infrastruktury przedsiębiorstwa, ujawnione faktury, dane kontrahentów, rachunki bankowe czy informacje o pracownikach mogą wymagać jego reakcji. Trzeba przy tym rozróżnić ochronę własnych informacji handlowych od obowiązków związanych z danymi osobowymi.

---

Wyciek danych firmy a naruszenie ochrony danych osobowych

Nie każdy wyciek danych przedsiębiorstwa jest naruszeniem ochrony danych osobowych. Art. 4 pkt 12 RODO dotyczy między innymi nieuprawnionego ujawnienia lub dostępu do danych osób fizycznych, ich utraty czy zmodyfikowania. Informacje o cenach i warunkach handlowych spółki mogą wymagać ochrony biznesowej nawet wtedy, gdy nie są danymi osobowymi.

Dane zgromadzone u dostawcy warto więc podzielić na informacje dotyczące samej firmy oraz dane pozwalające zidentyfikować osoby fizyczne. Od tego rozróżnienia zależy, czy oprócz zabezpieczenia działalności trzeba przeprowadzić ocenę ryzyka wymaganą przez RODO.

Przykładowe informacje, które mogły znaleźć się w naruszonym systemie:

• dane logowania i uprawnienia użytkowników;
• faktury, kwoty transakcji i numery rachunków bankowych;
• dane kontrahentów, w tym osób prowadzących jednoosobową działalność;
• dane kontaktowe osób reprezentujących kontrahentów;
• dane pracowników przechowywane w systemach kadrowo-płacowych.

Wyciek wyłącznie informacji handlowych nie musi uruchamiać obowiązku zgłoszenia naruszenia ochrony danych osobowych. Może jednak stwarzać ryzyko wyłudzeń lub ujawnienia poufnych warunków współpracy. Jeżeli w zbiorze są dane osób fizycznych, przedsiębiorstwo powinno ocenić również ich sytuację.

---

Dostawca systemu a przedsiębiorstwo – podział odpowiedzialności

Jeżeli firma jest administratorem danych osobowych, incydent u dostawcy nie znosi jej obowiązków z RODO. Dostawca przetwarzający dane w jej imieniu powinien niezwłocznie powiadomić ją o naruszeniu. Dostawca może być administratorem danych własnych użytkowników i podmiotem przetwarzającym dane kontrahentów wprowadzone do systemu przez klientów.

Czy zgłoszenie naruszenia przez dostawcę zwalnia firmę z obowiązków?

Nie. Zgłoszenie przez dostawcę we własnym imieniu nie zastępuje automatycznie obowiązku administratora danych. Firma musi ocenić naruszenie dotyczące jej danych osobowych. Administrator może upoważnić inny podmiot do zgłoszenia w jego imieniu, ale zachowuje odpowiedzialność za wykonanie obowiązków RODO.

---

Co zrobić, gdy dane firmy wyciekły z systemu dostawcy?

Po otrzymaniu informacji o cyberataku u dostawcy przedsiębiorstwo powinno równolegle zabezpieczyć swoje interesy finansowe, sprawdzić zakres naruszenia i ustalić, czy posiada obowiązki administratora danych osobowych. Poniższe działania dotyczą firmy korzystającej z naruszonego systemu, a nie operatora platformy.

1. Sprawdzenie komunikatu i zakresu wycieku

Należy zachować otrzymane zawiadomienie i sprawdzić, czy dotyczy konkretnego konta oraz jakie informacje mogły zostać pobrane: faktury, dane logowania, dane kontrahentów lub płatności. Jeżeli zakres jest niejasny, firma powinna wystąpić do dostawcy o informacje potrzebne do oceny skutków incydentu. Warto zapisać datę i godzinę uzyskania wiadomości.

2. Zabezpieczenie kont i integracji

Zależnie od informacji o incydencie należy rozważyć zmianę haseł, sprawdzenie aktywnych użytkowników i ich uprawnień, wylogowanie nieznanych sesji oraz unieważnienie zagrożonych kluczy integracji. Trzeba też zweryfikować, czy tych samych danych logowania nie używano w innych systemach.

3. Kontrola faktur i bezpieczeństwa płatności

Jeżeli ujawniono dokumenty handlowe lub informacje o kontrahentach, dział finansowy powinien szczególnie uważnie kontrolować nietypowe wezwania do zapłaty, fałszywe faktury i prośby o zmianę rachunku bankowego. Takie dyspozycje warto potwierdzać niezależnym kanałem, korzystając ze wcześniej zweryfikowanych danych kontaktowych.

4. Ocena danych osobowych i obowiązków RODO

Trzeba ustalić, czy naruszenie objęło dane osobowe, których firma jest administratorem, oraz jakie ryzyko stwarza dla osób fizycznych. Dopiero ta ocena pozwala określić, czy wymagane jest zgłoszenie do UODO lub zawiadomienie osób. Jeżeli zgłoszenie jest konieczne, nie należy czekać wyłącznie na końcowy raport techniczny dostawcy.

5. Dokumentacja zdarzenia i podjętych działań

Należy zachować korespondencję z dostawcą, ustalenia dotyczące danych, decyzje o zabezpieczeniach i weryfikacji płatności. Jeśli doszło do naruszenia ochrony danych osobowych, art. 33 ust. 5 RODO zobowiązuje administratora do udokumentowania jego okoliczności, skutków i działań zaradczych również wtedy, gdy nie jest wymagane zgłoszenie do organu nadzorczego.

---

Kiedy firma korzystająca z systemu musi zgłosić wyciek do UODO?

Zgodnie z art. 33 ust. 1 RODO administrator zgłasza naruszenie bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od jego stwierdzenia, chyba że ryzyko naruszenia praw lub wolności osób fizycznych jest mało prawdopodobne.

Termin rozpoczyna się, gdy administrator uzyska wystarczającą pewność, że doszło do naruszenia. Może to nastąpić po zawiadomieniu dostawcy albo wcześniej, jeśli firma już miała odpowiednio wiarygodne informacje.

Po upływie 72 godzin wymagane zgłoszenie nadal należy złożyć bez zbędnej zwłoki, wyjaśniając przyczyny opóźnienia. Jeżeli informacji brakuje, art. 33 RODO pozwala przekazywać je etapami.

---

Wyciek danych z Fakturowni w 2026 r. – konsekwencje dla firm

28 września 2026 r. Fakturownia stwierdziła naruszenie: osoba nieuprawniona uzyskała dostęp do systemów i skopiowała znaczną część bazy danych. Incydent dotyczył wszystkich kont, ale zakres pobranych informacji był różny, obejmując m.in. dane użytkowników, kontrahentów oraz informacje z faktur i płatności.

Według spółki w przypadku około 2250 kont pobrano wszystkie dostępne dane z lat 2022–2026, do daty granicznej ustalonej dla danego konta. Fakturownia zgłosiła naruszenie UODO 29 września 2026 r., a od 1 października wysyłała indywidualne zawiadomienia.

Dla użytkownika platformy fakturowej istotne jest ustalenie, czy ujawniono dokumenty i informacje z jego konta, zabezpieczenie dostępów oraz kontrola ryzyka fałszywych faktur lub dyspozycji płatniczych. Jeśli incydent objął dane osobowe, których firma jest administratorem, trzeba także przeanalizować obowiązki wynikające z RODO.

---

Ryzyka finansowe i operacyjne po wycieku danych u dostawcy

Wyciek danych u dostawcy może wiązać się nie tylko z obowiązkami RODO, lecz także z oszustwami finansowymi, utratą poufnych informacji i zakłóceniami działalności.

Oszustwa związane z fakturami i płatnościami

Ujawnienie danych kontrahentów, historii rozliczeń czy numerów rachunków bankowych może ułatwić przygotowanie wiarygodnie wyglądających fałszywych faktur i wezwań do zapłaty. Po ujawnieniu danych finansowych warto niezależnie potwierdzać nietypowe prośby o zmianę rachunku bankowego, korzystając z wcześniej zweryfikowanego kontaktu.

Ujawnienie danych pracowników

W systemach kadrowo-płacowych mogą znajdować się wynagrodzenia, adresy, numery PESEL i rachunki bankowe. Ujawnienie tych danych zwiększa ryzyko oszustw i naruszenia prywatności.

Utrata poufnych informacji i zakłócenia działalności

Dokumenty finansowe mogą ujawniać ceny zakupu, wartości zamówień i warunki współpracy, osłabiając pozycję negocjacyjną firmy.

Niedostępność systemów księgowych i płacowych może utrudnić terminowe rozliczenia oraz naliczanie wynagrodzeń.

---

Przykład praktyczny: dane spółki wyciekły z platformy księgowej

Spółka korzysta z internetowego programu księgowego i otrzymuje od dostawcy informację o możliwym pobraniu części dokumentów z jej konta. W systemie znajdują się faktury, kwoty płatności, dane kontrahentów, w tym osób prowadzących jednoosobową działalność gospodarczą, oraz dane kontaktowe pracowników innych firm.

Spółka sprawdza zakres udostępnionych danych, zabezpiecza dostęp do konta i ostrzega dział finansowy przed próbami podmiany numerów rachunków. Osobno ocenia, czy ujawniono dane osobowe, których jest administratorem, oraz czy istnieje obowiązek powiadomienia organu nadzorczego lub osób, których dane dotyczą.

Przykład pokazuje dwutorową reakcję: ochronę rozliczeń i poufnych informacji spółki oraz wykonanie obowiązków RODO, jeżeli wynikają one z zakresu naruszenia. Cyberatak nastąpił u dostawcy, ale skutki mogą dotyczyć bezpośrednio przedsiębiorstwa korzystającego z systemu.

Naruszenia obowiązków określonych m.in. w art. 33 i 34 RODO mogą skutkować karą do 10 mln euro lub, w przypadku przedsiębiorstwa, do 2% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego – stosuje się kwotę wyższą.

---

Jak ograniczyć ryzyko związane z danymi u dostawcy?

Art. 28 RODO wymaga, aby administrator korzystał z podmiotów przetwarzających zapewniających wystarczające gwarancje bezpieczeństwa. Znaczenie ma zarówno wybór dostawcy, jak i bieżąca współpraca.

W praktyce szczególnie ważne są:

• Weryfikacja dostawców – sprawdzenie stosowanych zabezpieczeń, zasad przechowywania danych i korzystania z podwykonawców.
• Umowy powierzenia danych – określenie zasad przetwarzania informacji, zgłaszania incydentów i współpracy w przypadku naruszenia.
• Kontrola uprawnień – ograniczenie dostępu do danych zgodnie z zakresem obowiązków pracowników oraz stosowanie odpowiednich metod uwierzytelniania.
• Procedury reagowania – ustalenie odpowiedzialności za ocenę naruszenia, kontakt z dostawcą, zgłoszenie do UODO i dokumentację.
• Ciągłość działalności – przygotowanie sposobów realizacji krytycznych procesów w przypadku niedostępności systemów.

Sama umowa powierzenia nie zapewnia bezpieczeństwa; ważne jest rzeczywiste wykonywanie uzgodnionych procedur.

W getsix® bezpieczeństwo danych klientów stanowi istotny element świadczonych usług księgowych oraz usług kadrowo-płacowych. Stosowany przez nas System Zarządzania Bezpieczeństwem Informacji spełnia wymagania normy ISO/IEC 27001:2022, a System Zarządzania Jakością jest certyfikowany zgodnie z normą ISO 9001. Rozwiązania te wspierają ochronę poufności, integralności i dostępności powierzonych nam informacji.

---

Wyciek danych u dostawcy – najważniejsze wnioski dla firmy

Przedsiębiorstwo, którego dane mogły wyciec z zewnętrznego systemu, powinno przede wszystkim ustalić zakres ujawnionych informacji, zabezpieczyć konta i integracje oraz sprawdzić ryzyko oszustw dotyczących faktur i płatności. Odrębnej oceny wymagają dane osobowe, których firma jest administratorem.

Zgłoszenie przez dostawcę nie zastępuje automatycznie obowiązków jego klienta. Jednocześnie sam wyciek informacji o spółce nie oznacza jeszcze, że każda firma musi zgłosić naruszenie do UODO: decyduje zakres naruszonych danych osobowych i ocena ryzyka.

Dla firm korzystających z programów księgowych, platform fakturowych i systemów kadrowo-płacowych bezpieczeństwo informacji powinno stanowić część zarządzania ryzykiem finansowym i operacyjnym. getsix® wspiera przedsiębiorstwa w organizacji procesów księgowych i kadrowo-płacowych, uwzględniając potrzeby firm prowadzących działalność w Polsce. Skontaktuj się z nami. Skontaktuj się z nami.

---

***