Wyciek u dostawcy SaaS. Dlaczego Twoja firma ma własne 72 godziny na zgłoszenie do UODO.

Dostawca Twojego systemu do fakturowania został zhakowany. Zgłosił naruszenie do UODO, powiadomił CERT Polska i Policję, wymienił klucze i rozesłał maile do użytkowników. Twoje serwery są nietknięte. I właśnie w tym momencie zaczyna biec Twoje własne 72 godziny — bo w bazie dostawcy były dane, których administratorem jesteś Ty, nie on.

To scenariusz, który dotyka coraz więcej firm. Liczba zgłoszeń naruszeń do Prezesa UODO rośnie dynamicznie — z 14 069 w 2023 r. do 22 435 w 2025 r. (Sprawozdanie UODO za 2025 r.). Brak publicznego rozbicia na kategorie dostawców oznacza, że nie wiemy, ile z tych zgłoszeń dotyczyło wycieków u procesorów SaaS — ale wiemy, że obowiązek zgłoszenia spoczywa na administratorze, nie na dostawcy.

W tym artykule znajdziesz:

1. Wyjaśnienie, dlaczego zgłoszenie dostawcy nie zastępuje Twojego zgłoszenia.
2. Harmonogram działań w ciągu pierwszych 72 godzin.
3. Pułapki przy liczeniu osób, których dane dotyczą.
4. Konkretne rekomendacje — od zabezpieczenia konta po treść komunikatu do kontrahentów.

Pojęcia, które musisz znać przed dalszą lekturą

Zanim przejdziemy do meritum, uporządkujmy kilka terminów. Bez nich trudno zrozumieć, kto za co odpowiada po wycieku u dostawcy.

Dlaczego zgłoszenie dostawcy nie zastępuje Twojego zgłoszenia

To najczęstszy błąd. Zarząd widzi komunikat dostawcy: „Zgłosiliśmy naruszenie do Prezesa UODO, powiadomiliśmy CERT Polska i Policję” — i uznaje, że temat jest zamknięty.

Nie jest.

Dostawca zgłasza naruszenie w zakresie danych, których sam jest administratorem — czyli danych kont użytkowników serwisu (adres e-mail, zaszyfrowane hasło, numer telefonu, identyfikator konta). Dane Twoich kontrahentów — kartoteki, treści faktur, numery rachunków, adresy, kwoty — mają innego administratora. Ciebie.

Art. 33 ust. 1 RODO mówi wprost: to administrator zgłasza naruszenie organowi nadzorczemu. Art. 33 ust. 2 nakłada na procesora obowiązek zawiadomienia administratora „bez zbędnej zwłoki” — ale nie ustanawia konkretnego terminu godzinowego. Szczegółowy termin powinien wynikać z umowy powierzenia.

UODO potwierdził tę zasadę: obowiązek zgłoszenia pozostaje po stronie administratora, gdy incydent powstał u procesora (UODO — Administrator musi zgłosić wyciek u procesora).

Co to oznacza dla Twojej firmy

Dwa odrębne zgłoszenia dotyczące tego samego zdarzenia. Dwa różne zakresy danych. Dwa różne terminy 72 godzin.

Skontaktuj się — pomożemy Ci ocenić, czy i w jakim zakresie musisz zgłosić naruszenie.

Od kiedy biegną Twoje 72 godziny

Termin liczy się od momentu stwierdzenia naruszenia przez administratora — nie od ataku u dostawcy, nie od zgłoszenia złożonego przez dostawcę i nie od momentu, gdy dostawca udostępnił panel z zakresem pobranych danych.

„Stwierdzenie naruszenia” nie wymaga ustalenia wszystkich szczegółów incydentu. Wystarczy uzasadniona pewność, że naruszenie nastąpiło.

Kiedy zaczyna biec termin — przykłady

Dlatego pierwsza czynność po uzyskaniu informacji o incydencie: ustal i zapisz dokładny moment stwierdzenia naruszenia (data, godzina, źródło informacji). Następnie zweryfikuj u wszystkich osób mających dostęp do konta dostawcy, czy ktokolwiek wiedział o incydencie wcześniej.

Jeśli okaże się, że pracownik z działu finansowego widział komunikat dostawcy dwa dni przed spotkaniem zarządu — Twoje 72 godziny mogły zacząć biec już wtedy.

Uwaga dotycząca weekendu

Jeżeli 72 godziny upływają w sobotę lub niedzielę, zamknięcie zgłoszenia w ostatni dzień roboczy przed upływem terminu jest jedyną bezpieczną decyzją organizacyjną. Formularz na biznes.gov.pl jest dostępny online, ale podpis wymaga osoby uprawnionej do reprezentacji.

Harmonogram pierwszych 72 godzin — co robić i w jakiej kolejności

Poniżej harmonogram oparty na scenariuszu, w którym firma dowiaduje się o incydencie w dniu D po południu. Dostosuj go do swojej sytuacji.

Dzień D — od momentu stwierdzenia naruszenia

Dzień D+1 — przed upływem 72 godzin

Po otrzymaniu szczegółów od dostawcy (kilka dni później)

1. Złóż zgłoszenie uzupełniające w trybie art. 33 ust. 4 RODO.
2. Ustal odbiorców i płatników wskazanych na fakturach — to kategoria bez własnej kartoteki, widoczna tylko w treści dokumentów.
3. Zaktualizuj wpis w rejestrze naruszeń.

Jak liczyć osoby, których dane dotyczą — pięć pułapek

Formularz zgłoszenia pyta o osoby fizyczne, nie o rekordy. Jedna osoba z dziesięcioma fakturami to jedna osoba. Ale identyfikacja tych osób w systemie fakturowym bywa trudniejsza, niż się wydaje.

Pułapka 1: imienny adres e-mail przy pustych polach

Kontrahent-spółka ma w kartotece puste pola „imię” i „nazwisko”, ale w polu kontaktowym widnieje adres jan.kowalski@firma.pl. To dana osobowa. Ta osoba wchodzi do zestawienia.

Pułapka 2: spółki osobowe

Spółka cywilna „Kowalski i Nowak s.c.” albo spółka jawna z nazwiskami wspólników w firmie — w systemie figurują jako podmioty gospodarcze, ale nazwiska wspólników to dane osobowe.

Pułapka 3: refaktury na dane prywatne

Refaktury pakietów sportowych i medycznych na współpracowników B2B i byłych współpracowników zawierają: imię i nazwisko, adres domowy, prywatny e-mail, kwoty. To grupa o najszerszym zakresie ujawnionych danych — i najczęściej pomijana, bo nie kojarzy się z „klientami”.

Pułapka 4: odbiorca i płatnik na fakturze

Na fakturach mogą figurować osoby fizyczne jako odbiorca lub płatnik — bez własnej kartoteki w systemie. Trzeba ich szukać w treści dokumentów, nie w bazie kontrahentów. W zgłoszeniu wstępnym oznacz tę pozycję jako „w trakcie ustalania”.

Pułapka 5: dane szczególnych kategorii w pozycjach faktur

Sama nazwa „pakiet medyczny” lub „pakiet sportowy” na fakturze nie jest daną o zdrowiu w rozumieniu art. 9 RODO. Ale jeśli pozycja na dokumencie wskazuje konkretne świadczenie — „rehabilitacja”, „opieka okołoporodowa”, konkretna specjalizacja lekarska — to już dana o zdrowiu. I najczęściej przesądza o obowiązku zawiadomienia osób w trybie art. 34 RODO.

Sprawdź nazwy pozycji na wystawionych dokumentach refakturowych — nie nazwę usługi w umowie z dostawcą świadczeń.

Zgłoszenie wstępne — nie czekaj na panel dostawcy

Dostawca zapowiada panel, który po zalogowaniu pokaże, jakie dane, z jakich okresów i ile rekordów pobrano z Twojego konta. Panel pojawia się po kilku dniach — czyli po upływie Twojego terminu.

Decyzja jest prosta: zgłaszasz na podstawie tego, co wiesz, i uzupełniasz później.

Art. 33 ust. 4 RODO wprost pozwala udzielać informacji sukcesywnie, bez zbędnej zwłoki. Motyw 85 RODO potwierdza, że informacje mogą być przekazywane stopniowo. Formularz na biznes.gov.pl akceptuje wartości przybliżone i przedziały.

Co wpisać w zgłoszeniu wstępnym

Zgłoszenie podpisuje organ uprawniony do reprezentacji — np. prezes zarządu. Nie IOD.

Główne ryzyko po wycieku danych fakturowych to nie przejęcie konta

Przy wycieku danych z systemu fakturowego głównym zagrożeniem jest oszustwo na podmianę numeru rachunku bankowego. Atakujący zna strony transakcji, kwoty i nieopłacone faktury. Może podszyć się pod Twoją firmę wobec Twoich klientów — albo pod Twoich dostawców wobec Ciebie.

Wiadomość z prośbą o zmianę rachunku może być nieodróżnialna od prawdziwej.

Co zrobić od razu

1. Wyślij do kontrahentów krótki komunikat zawierający trzy elementy: incydent wystąpił u dostawcy usługi, nie w Twoich systemach; numer rachunku bankowego się nie zmienił; każdą prośbę o zmianę rachunku należy potwierdzać telefonicznie pod znanym wcześniej numerem.
2. Wprowadź stałą procedurę wewnętrzną: każdą zmianę numeru rachunku dostawcy potwierdzaj telefonicznie i sprawdzaj na wykazie podatników VAT.
3. Przeszkol zespół finansowy i sprzedażowy z rozpoznawania oszustwa na podmianę rachunku — na realnych przykładach.

Przy transakcji na podmieniony rachunek odzyskanie środków nie jest pewne. Art. 143 ustawy o usługach płatniczych przewiduje mechanizm odzyskania, ale bank odbiorcy nie gwarantuje zwrotu (Rzecznik Finansowy — błędny przelew). Szybkość reakcji i natychmiastowy kontakt z bankiem są decydujące (Policja — przelew do oszusta).

KSeF porządkuje obieg samej faktury, ale nie chroni przed poleceniem przelewu wysłanym poza systemem. Ministerstwo Finansów zaleca traktowanie tokenów i certyfikatów KSeF jako danych wrażliwych i ochronę na poziomie danych do bankowości elektronicznej (Certyfikaty KSeF — ksef.podatki.gov.pl).

Rejestr naruszeń — obowiązek, nawet gdy nie zgłaszasz

Art. 33 ust. 5 RODO nakłada obowiązek dokumentowania każdego naruszenia — okoliczności, skutków i działań zaradczych. Dotyczy to także sytuacji, gdy po ocenie ryzyka uznasz, że zgłoszenie do UODO nie jest wymagane.

W takim przypadku treścią wpisu jest uzasadnienie tej oceny. Brak wpisu oznacza brak dowodu na przeprowadzenie oceny ryzyka — a to może być problemem przy kontroli UODO.

Sankcje UODO — potwierdzone kary za naruszenie art. 33 RODO

UODO nakłada kary za niezgłoszenie lub spóźnione zgłoszenie naruszenia. Potwierdzone sprawy:

(UODO — kara dla wspólnoty mieszkaniowej)

Żadna z potwierdzonych spraw nie dotyczyła wyłącznie incydentu po stronie procesora. Ale sam fakt, że naruszenie powstało u dostawcy, nie zwalnia administratora z obowiązku zgłoszenia.

Umowa powierzenia pod lupą — czego żądać od dostawcy po incydencie

Art. 28 ust. 3 lit. f RODO daje Ci podstawę do żądania od dostawcy konkretnych informacji o zakresie wycieku na Twoim koncie. Wykorzystaj ją.

Co sprawdzić w umowie powierzenia po incydencie

1. Czy dostawca wywiązał się z obowiązku z art. 33 ust. 2 RODO — czy zawiadomił Ciebie jako administratora, czy tylko użytkownika konta?
2. Czy umowa przewiduje konkretny termin na przekazanie informacji o naruszeniu (np. 24 lub 48 godzin)?
3. Czy umowa określa zakres informacji, które dostawca ma przekazać po incydencie?
4. Czy dostawca prowadzi rejestr naruszeń i udostępnia dokumentację na żądanie?

Wzorcowa klauzula z perspektywy administratora powinna przewidywać: termin alarmowy (np. 24 godziny na wstępną analizę przyczyn), obowiązek zgłoszenia częściowego bez oczekiwania na pełne ustalenia, harmonogram aktualizacji oraz dedykowany kanał zgłoszenia.

Jeśli Twoja umowa nie zawiera takich postanowień — to dobry moment na renegocjację. Albo na zmianę dostawcy.

Równoległe obowiązki zgłoszeniowe — RODO to nie jedyna ścieżka

Jeśli Twoja firma podlega pod ustawę o krajowym systemie cyberbezpieczeństwa (nowelizacja z 23 stycznia 2026 r., w życie od 3 kwietnia 2026 r., Dz.U. 2026 poz. 252), to samo zdarzenie może wymagać zgłoszenia do właściwego CSIRT (MON, NASK albo GOV).

Zgłoszenie do CSIRT i zgłoszenie do UODO to odrębne obowiązki oparte na odmiennych przesłankach. Przekazanie zgłoszenia przez jeden CSIRT do drugiego nie jest równoznaczne ze zgłoszeniem do Prezesa UODO (UODO — jedno zdarzenie, dwa reżimy prawne).

Podmioty finansowe mogą mieć dodatkowo obowiązki z rozporządzenia DORA (UE 2022/2554) — trzecia ścieżka zgłoszeniowa do organów sektorowych.

Odpowiedzialność odszkodowawcza — kto zapłaci

Art. 82 ust. 1 RODO przyznaje osobom, których dane dotyczą, prawo do odszkodowania za szkodę majątkową lub niemajątkową. TSUE w sprawie C-300/21 (Österreichische Post) potwierdził, że nie ma progu minimalnego dla szkody niemajątkowej — ale samo naruszenie RODO nie jest automatycznie szkodą; osoba musi wykazać konkretny uszczerbek (C-300/21 — EUR-Lex).

Administrator może zostać pozwany nawet wtedy, gdy naruszenie nastąpiło w infrastrukturze dostawcy SaaS. Po zapłacie odszkodowania przysługuje mu prawo regresu wobec procesora (art. 82 ust. 4–5 RODO). Klauzula umowna wyłączająca odpowiedzialność wobec osób trzecich nie pozbawia ich ustawowego prawa z art. 82.

Jak się przygotować, zanim dojdzie do incydentu

Pierwsze 72 godziny po stwierdzeniu naruszenia nie powinny być improwizacją. Przygotuj z wyprzedzeniem:

1. Mapę aplikacji SaaS z kategoriami danych i rolami (administrator/procesor) — dla każdej aplikacji osobna pozycja lub powiązanie w rejestrze czynności przetwarzania (UODO — rejestrowanie czynności przetwarzania).
2. Szablon zapytania do dostawcy z powołaniem na art. 28 ust. 3 lit. f RODO.
3. Szablon komunikatu do kontrahentów — trzy zdania, gotowe do personalizacji.
4. Ścieżkę decyzyjną zarządu — kto zwołuje spotkanie, kto podejmuje decyzję o zgłoszeniu, kto podpisuje formularz.
5. Szablon zgłoszenia wstępnego z zaznaczonymi polami do uzupełnienia.
6. Rejestr naruszeń — nawet jeśli dotychczas nie miałeś żadnego incydentu, rejestr powinien istnieć jako dokument gotowy do wypełnienia.

Możemy Ci w tym pomóc

Obsługa naruszenia w 72 godziny wymaga jednoczesnego działania na kilku frontach: zabezpieczenie konta, inwentaryzacja danych, ocena ryzyka, zgłoszenie do UODO, komunikat do kontrahentów, wpis do rejestru. Przy pierwszym incydencie każdy z tych kroków rodzi pytania, na które odpowiedzi trzeba znaleźć pod presją czasu.

Wspieramy firmy technologiczne i B2B w trzech wariantach:

Łączymy RODO z kontekstem IT i umów — bo naruszenie u dostawcy SaaS to problem na styku ochrony danych, prawa umów i bezpieczeństwa technicznego.

Wyciek u dostawcy to Twój problem — ale da się go uporządkować

Zgłoszenie dostawcy nie zastępuje Twojego zgłoszenia. Termin 72 godzin biegnie od momentu, w którym Ty (lub ktokolwiek w Twojej organizacji) dowiedział się o incydencie. Nie musisz wiedzieć wszystkiego — art. 33 ust. 4 RODO pozwala zgłosić wstępnie i uzupełnić. Głównym ryzykiem po wycieku danych fakturowych jest oszustwo na podmianę rachunku, nie przejęcie konta.

Jeśli korzystasz z zewnętrznych aplikacji do fakturowania, CRM lub obiegu dokumentów i chcesz mieć gotową procedurę na wypadek incydentu u dostawcy — napisz do nas. Pomożemy Ci przygotować mapę danych, szablony zgłoszeń i ścieżkę decyzyjną, zanim pojawi się presja 72 godzin.

Najczęściej zadawane pytania

Dostawca naszego systemu już zgłosił naruszenie do UODO — czy naprawdę musimy zgłaszać to samo zdarzenie drugi raz?
Tak. Dostawca zgłosił naruszenie w zakresie danych, których sam jest administratorem (konta użytkowników serwisu). Dane Twoich kontrahentów w kartotekach i treści faktur mają innego administratora — Ciebie. UODO potwierdził, że obowiązek zgłoszenia pozostaje po stronie administratora, gdy incydent powstał u procesora.

Od kiedy dokładnie liczą mi się te 72 godziny, jeśli o incydencie dowiedziałem się przypadkowo od kontrahenta?
Od momentu, w którym powziąłeś uzasadnioną pewność, że naruszenie nastąpiło. Jeśli kontrahent przesłał Ci zawiadomienie od dostawcy — od momentu odczytania tej wiadomości. Jeśli wcześniej ktokolwiek w Twojej organizacji widział komunikat na stronie dostawcy lub w mediach — od tamtego momentu.

Co zrobić, gdy w terminie 72 godzin nie wiem, ile naszych danych faktycznie wyciekło?
Złóż zgłoszenie wstępne z wartościami przybliżonymi i przedziałami. Art. 33 ust. 4 RODO wprost pozwala udzielać informacji sukcesywnie. Formularz na biznes.gov.pl akceptuje szacunki. Alternatywą nie jest zgłoszenie precyzyjniejsze — tylko zgłoszenie spóźnione.

Czy muszę informować kontrahentów, skoro nasze systemy nie zostały zaatakowane?
Jeśli naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych — tak (art. 34 ust. 1 RODO). Przy wycieku danych fakturowych ryzyko oszustwa na podmianę rachunku jest realne. Niezależnie od formalnego obowiązku, szybki komunikat z ostrzeżeniem o próbach podmiany rachunku chroni Twoich kontrahentów i Twoją reputację.

Czy refaktura pakietu medycznego oznacza, że wyciekły dane o zdrowiu?
Nie automatycznie. Sama nazwa „pakiet medyczny” na fakturze nie jest daną o zdrowiu w rozumieniu art. 9 RODO. Ale jeśli pozycja na dokumencie wskazuje konkretne świadczenie — np. „rehabilitacja” lub konkretna specjalizacja — to już dana szczególnej kategorii. Sprawdź nazwy pozycji na wystawionych dokumentach, nie nazwę usługi w umowie z dostawcą świadczeń.

Co jeśli po ocenie ryzyka uznamy, że zgłoszenie nie jest wymagane — czy wtedy nie musimy robić nic?
Musisz dokonać wpisu do rejestru naruszeń z art. 33 ust. 5 RODO. Treścią wpisu jest uzasadnienie oceny, że ryzyko jest mało prawdopodobne. Brak wpisu oznacza brak dowodu na przeprowadzenie oceny — a to może być problemem przy kontroli UODO.