Wyciek danych u dostawcy SaaS. Co musisz zrobić w 72 godziny, choć to nie Ciebie zaatakowano

W piątek po południu dostajesz od klienta przesłaną dalej wiadomość: Twój dostawca aplikacji do fakturowania został zaatakowany, baza danych wylądowała na obcych serwerach. Twoje systemy są nietknięte. Dostawca zdążył już zgłosić naruszenie do UODO, powiadomił CERT Polska i Policję. Wydaje się, że sprawa Cię nie dotyczy.

Dotyczy — i masz na nią 72 godziny, które zaczęły biec w momencie, gdy przeczytałeś ten mail.

Zgłoszenie dostawcy obejmuje wyłącznie dane, których administratorem jest on sam — konta użytkowników serwisu. Dane Twoich kontrahentów w kartotekach, treści faktur, adresy, kwoty i numery rachunków mają innego administratora. Ciebie. I to Ty odpowiadasz za zgłoszenie naruszenia do UODO na podstawie art. 33 ust. 1 RODO.

W tym artykule znajdziesz uporządkowaną ścieżkę działania: od ustalenia momentu, w którym zaczyna biec termin, przez zabezpieczenie konta, inwentaryzację osób i ocenę ryzyka, aż po złożenie zgłoszenia i komunikat do kontrahentów. Całość oparta na zanonimizowanym, realnym incydencie z osią czasu D / D+1.

Najważniejsze pojęcia, zanim zaczniesz działać

Zanim przejdziesz do konkretnych kroków, uporządkuj terminologię. W trakcie incydentu nie ma czasu na szukanie definicji.

Dlaczego zgłoszenie dostawcy Cię nie chroni

To najczęstszy błąd po otrzymaniu informacji o wycieku u procesora. Zarząd widzi komunikat dostawcy: „zgłosiliśmy naruszenie do UODO, powiadomiliśmy CERT Polska i Policję” — i uznaje, że sprawa jest zamknięta.

Nie jest. I wynika to wprost z przepisów.

Art. 33 ust. 1 RODO nakłada obowiązek zgłoszenia naruszenia organowi nadzorczemu na administratora. Art. 33 ust. 2 nakłada na procesora obowiązek zawiadomienia administratora — nie organu. To dwa odrębne obowiązki, dwóch różnych podmiotów, z różnymi adresatami.

Dostawca SaaS zgłosił naruszenie jako administrator własnych danych — kont użytkowników serwisu. Dane Twoich kontrahentów w kartotekach, kwoty na fakturach, adresy, numery rachunków — to dane, których administratorem jesteś Ty. Dostawca ich za Ciebie nie zgłosił, bo nie mógł.

UODO karze za opóźnione lub zaniechane zgłoszenia. Potwierdzone kary obejmują zarówno małe podmioty (5 000 zł — decyzja UODO DKN.5131.30.2022), jak i instytucje finansowe (ponad 350 000 zł — Bank Millennium, decyzja utrzymana przez NSA). Wysokość zależy od kryteriów z art. 83 ust. 2 RODO: charakter naruszenia, umyślność, współpraca z organem.

Masowe zawiadomienie wysłane przez dostawcę na Twój adres jako użytkownika serwisu nie wyczerpuje jego obowiązku z art. 33 ust. 2 wobec Ciebie jako administratora. To zawiadomienie marketingowe, nie formalne powiadomienie procesora skierowane do administratora danych.

Napisz do nas, jeśli potrzebujesz wsparcia w ocenie, czy Twój obowiązek zgłoszeniowy już powstał.

Od kiedy liczy się Twoje 72 godziny

Termin biegnie od stwierdzenia naruszenia przez administratora — nie od ataku u dostawcy, nie od daty jego komunikatu i nie od momentu, gdy dostawca złożył własne zgłoszenie.

Stwierdzenie naruszenia to moment, w którym dowolna osoba w Twojej organizacji uzyskała wiedzę o incydencie. Może to być:

1. Mail od kontrahenta, który przesłał Ci dalej zawiadomienie dostawcy
2. Komunikat na stronie dostawcy, który przeczytał ktoś z zespołu
3. Informacja z mediów branżowych
4. Bezpośrednie powiadomienie od dostawcy

Jeśli Twój pracownik przeczytał komunikat na stronie dostawcy w czwartek rano, a Ty dowiedziałeś się w piątek po południu — termin biegnie od czwartku. Dlatego pierwszym krokiem jest ustalenie i zapisanie dokładnej godziny, w której ktokolwiek w organizacji dowiedział się o incydencie.

Co zrobić, gdy termin wypada w weekend

Jeżeli 72 godziny upływają w niedzielę wieczorem, zamknięcie zgłoszenia w piątek do godziny 15:00 jest jedyną bezpieczną decyzją organizacyjną. Formularz na biznes.gov.pl działa elektronicznie, ale podpis kwalifikowany lub profil zaufany wymaga dostępności osoby uprawnionej do reprezentacji.

Przykładowa oś czasu

Zabezpieczenie konta — zanim zaczniesz cokolwiek liczyć

Pierwsza godzina po stwierdzeniu naruszenia to zabezpieczenie, nie analiza. Kolejność ma znaczenie:

1. Zmień hasła wszystkich użytkowników w aplikacji dostawcy — Twoich, biura rachunkowego, współpracowników, byłych współpracowników
2. Włącz uwierzytelnianie dwuskładnikowe (2FA) na każdym koncie, które jeszcze go nie ma
3. Przejrzyj listę dostępów — czy biuro rachunkowe nadal potrzebuje dostępu, czy byli współpracownicy mają aktywne konta
4. Zweryfikuj numer rachunku bankowego w ustawieniach aplikacji i na wystawionych dokumentach — porównaj z tym, który faktycznie jest Twój
5. Wygeneruj nowe tokeny API i podmień je we wszystkich integracjach — w tym z systemem księgowym, CRM i innymi narzędziami
6. Unieważnij token integracji z KSeF, jeżeli połączenie działa na tokenie, a nie certyfikacie — operacja jest szybka i bezkosztowa

Brak potwierdzenia od dostawcy, że dane integracyjne nie zostały pobrane, traktuj jak potwierdzenie przeciwne.

Jak policzyć osoby, których dane dotyczą — nie rekordy

Formularz zgłoszeniowy na biznes.gov.pl pyta o przybliżoną liczbę osób fizycznych, kategorie osób i kategorie danych. Nie o liczbę rekordów w bazie. Jedna osoba z dziesięcioma fakturami to jedna osoba.

Kogo musisz policzyć

Inwentaryzacja typowej bazy fakturowej spółki B2B ujawnia kategorie, o których nie myślisz na pierwszy rzut oka:

W zanonimizowanym incydencie, na którym oparty jest ten artykuł, inwentaryzacja wykazała rząd kilkudziesięciu osób fizycznych — przy bazie, która na pierwszy rzut oka wyglądała jak „same spółki”.

Kiedy faktura staje się daną o zdrowiu

Jeśli refakturujesz na pracowników lub współpracowników świadczenia pozapłacowe — pakiety medyczne, sportowe, ubezpieczenia — sprawdź nazwy pozycji na wystawionych fakturach, nie nazwy usług w umowie z dostawcą świadczeń.

Art. 4 pkt 15 RODO definiuje dane dotyczące zdrowia jako dane związane ze zdrowiem fizycznym lub psychicznym osoby, w tym z korzystaniem z usług opieki zdrowotnej, ujawniające informacje o jej stanie zdrowia.

Jeśli w wycieku znalazły się faktury z nazwami konkretnych świadczeń medycznych, masz do czynienia z danymi szczególnych kategorii z art. 9 RODO. To zwykle przesądza o obowiązku zawiadomienia osób w trybie art. 34.

Uwaga: nie istnieje oficjalne stanowisko UODO ani EROD ustanawiające jednoznaczną regułę „pakiet medyczny = szczególna kategoria danych”. Kwalifikacja zależy od treści informacji i kontekstu. Bezpieczna zasada: im bardziej szczegółowa nazwa pozycji, tym wyższe ryzyko, że mieści się w art. 9.

Zgłoszenie wstępne — jak złożyć je w terminie, gdy nie znasz pełnego zakresu

Dostawca zapowiada panel pokazujący, jakie dane, z jakich okresów i ile rekordów pobrano z Twojego konta. Panel nie działa w pierwszych dniach. Czekanie na niego to czekanie na zgłoszenie spóźnione.

Art. 33 ust. 4 RODO wprost dopuszcza etapowe przekazywanie informacji: „Jeżeli – i w zakresie, w jakim – informacji nie da się udzielić w tym samym czasie, można je udzielać sukcesywnie bez zbędnej zwłoki.”

Alternatywą dla zgłoszenia wstępnego nie jest zgłoszenie precyzyjniejsze. Jest zgłoszenie spóźnione.

Jak wypełnić zgłoszenie wstępne

1. Wejdź na biznes.gov.pl i wybierz e-usługę zgłoszenia naruszenia ochrony danych
2. W polu 1.A wybierz typ zgłoszenia: wstępne
3. Wpisz wartości przybliżone i przedziały — formularz na to pozwala
4. Przy pozycjach, których jeszcze nie znasz, zaznacz wyraźnie: „w trakcie ustalania”
5. Podpisz zgłoszenie podpisem kwalifikowanym lub profilem zaufanym — podpisuje organ uprawniony do reprezentacji administratora (zarząd), nie IOD ani pełnomocnik (chyba że ma stosowne umocowanie)
6. Zachowaj potwierdzenie złożenia

Wytyczne EDPB 9/2022 (opublikowane przez UODO) opisują trzy formy zgłoszenia: kompletne, wstępne i uzupełniające. Zgłoszenie wstępne służy dotrzymaniu terminu. Nie zwalnia z obowiązku uzupełnienia danych po ich uzyskaniu.

Zgłoszenie uzupełniające

Po otrzymaniu szczegółów od dostawcy — zazwyczaj kilka dni po incydencie — składasz zgłoszenie uzupełniające przez ten sam formularz, wybierając opcję „uzupełniające/zmieniające”. Dopisujesz kategorie pominięte wcześniej: odbiorców i płatników z treści dokumentów, dokładną liczbę osób, zakres czasowy danych.

Ocena ryzyka i decyzja zarządu

Przed złożeniem zgłoszenia przeprowadź ocenę ryzyka i zasięgnij opinii inspektora ochrony danych (jeżeli jest wyznaczony). Decyzja zarządu musi mieć ślad — protokół, notatka, mail z datą i godziną.

Przy wycieku danych fakturowych głównym ryzykiem nie jest przejęcie konta w aplikacji. Jest nim oszustwo na podmianę numeru rachunku bankowego.

Atakujący, który pobrał bazę fakturową, zna:

1. Strony transakcji — kto komu wystawia faktury
2. Kwoty — ile wynoszą poszczególne płatności
3. Stan rozliczeń — które faktury są nieopłacone
4. Numery rachunków — na jaki rachunek trafiały dotychczasowe przelewy

To pozwala przygotować wiadomość nieodróżnialną od prawdziwej: „Informujemy o zmianie numeru rachunku bankowego. Prosimy o dokonanie płatności za fakturę nr X na kwotę Y na nowy rachunek Z.” Pracownik działu finansowego kontrahenta nie ma podstaw do podejrzeń.

W Polsce działają zorganizowane grupy przestępcze specjalizujące się w tego typu oszustwach. W ujawnionych sprawach straty wyniosły ponad 4 mln zł, a zabezpieczenia majątkowe — ponad 21 mln zł (CBZC, 16.06.2025; CBZC, 18.08.2026).

Oparcie oceny ryzyka wyłącznie na zapewnieniu dostawcy, że „hasła były zaszyfrowane”, jest niewystarczające. Hasła to jedno. Dane fakturowe — numery, kwoty, rachunki, adresy — to drugie.

Komunikat do kontrahentów — trzy elementy i nic ponadto

Art. 34 ust. 1 RODO nakłada obowiązek zawiadomienia osób, których dane dotyczą, gdy naruszenie „może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych”. Zawiadomienie musi być sporządzone jasnym i prostym językiem.

Art. 34 ust. 2 RODO (w związku z art. 33 ust. 3 lit. b, c, d) wymaga, aby komunikat zawierał co najmniej: opis charakteru naruszenia, dane kontaktowe IOD, opis możliwych konsekwencji i opis zastosowanych środków zaradczych. UODO wskazuje ponadto na potrzebę podania praktycznych zaleceń dla osób.

W kontekście wycieku danych fakturowych komunikat powinien zawierać trzy elementy i nic ponadto:

1. Incydent wystąpił u dostawcy — krótki opis zdarzenia, bez szczegółów technicznych
2. Nasz numer rachunku się nie zmienił — to najważniejsza informacja operacyjna
3. Każdą prośbę o zmianę rachunku potwierdzaj telefonicznie pod znanym wcześniej numerem — konkretne zalecenie ochronne

Zachowaj treść komunikatu, datę wysyłki i liczbę adresatów. Dołącz je do zgłoszenia uzupełniającego.

UODO nie opublikował oficjalnego szablonu zawiadomienia z art. 34 RODO — potwierdzone są jedynie materiały opisujące wymagane elementy.

Rejestr naruszeń — nawet gdy nie zgłaszasz

Art. 33 ust. 5 RODO wymaga dokumentowania każdego naruszenia ochrony danych — okoliczności, skutków i podjętych działań zaradczych. Obowiązek ten istnieje niezależnie od decyzji o zgłoszeniu do UODO.

Jeśli zdecydowałeś, że ryzyka nie ma i zgłoszenia nie składasz — uzasadnienie tej oceny jest treścią wpisu do rejestru. Brak wpisu przy decyzji „nie zgłaszamy” to samodzielna podstawa stwierdzenia naruszenia w toku kontroli UODO.

Wpis do rejestru powinien zawierać:

1. Datę i godzinę stwierdzenia naruszenia
2. Opis zdarzenia i jego okoliczności
3. Kategorie osób i danych objętych naruszeniem
4. Ocenę ryzyka z uzasadnieniem
5. Decyzję o zgłoszeniu lub jej brak z uzasadnieniem
6. Opis podjętych działań zaradczych
7. Datę zgłoszenia do UODO (jeśli dotyczy) i datę komunikatu do osób

Żądanie informacji od dostawcy SaaS

Art. 28 ust. 3 lit. f RODO daje Ci podstawę prawną do żądania od dostawcy konkretnych informacji. Procesor ma obowiązek pomagać administratorowi w realizacji obowiązków z art. 32–36 RODO.

Wyślij do dostawcy jedno pismo oficjalnym kanałem — nie przez support ticket użytkownika, lecz jako administrator danych. Powołaj się na art. 28 ust. 3 lit. f i zapytaj o:

1. Czy Twoje konto jest w grupie dotkniętej pełnym pobraniem danych
2. Jaki jest zakres i okres pobranych danych
3. Kiedy będzie dostępny panel lub raport z dokładnymi informacjami
4. Czy dane dostępowe do KSeF dla Twojego konta zostały pobrane

Zachowaj korespondencję. Odpowiedź dostawcy (lub jej brak) wpłynie na ocenę dalszej współpracy i ewentualne roszczenia.

KSeF a ryzyko podmiany rachunku

KSeF porządkuje obieg samej faktury — centralny zapis i kod QR do weryfikacji mogą ograniczyć podmianę dokumentu po jego wystawieniu. Ale KSeF nie jest mechanizmem weryfikacji rachunku bankowego. Dostępne materiały Ministerstwa Finansów nie opisują funkcji blokowania zmiany rachunku ani porównywania rachunku z wykazem podatników (ksef.podatki.gov.pl).

Dodatkowe luki:

1. Faktury mogą być wystawiane poza KSeF w trybie offline i awaryjnym
2. Do końca 2026 r. odroczono obowiązek podawania numeru KSeF przy płatnościach
3. Polecenie przelewu wysyłane poza systemem nie podlega żadnej weryfikacji KSeF

Wdrożenie KSeF nie eliminuje potrzeby niezależnego potwierdzania zmian rachunku bankowego. Wdróż stałą zasadę: każdą zmianę numeru rachunku dostawcy potwierdzaj telefonicznie pod znanym wcześniej numerem i sprawdzaj w wykazie podatników VAT.

Równoległe obowiązki — RODO i ustawa o krajowym systemie cyberbezpieczeństwa

To samo zdarzenie może wymagać dwóch niezależnych zgłoszeń:

Żadne z tych zgłoszeń nie zastępuje drugiego. Fakt, że dostawca zgłosił incydent do CERT Polska, nie zwalnia Ciebie — jeżeli Twoja firma jest podmiotem objętym ustawą o KSC.

Czy Twoja firma podlega pod KSC? To wymaga analizy pełnego tekstu ustawy i przepisów przejściowych. Jeśli działasz w sektorze energii, transportu, zdrowia, infrastruktury cyfrowej, finansów, usług cyfrowych, żywności lub odpadów i nie jesteś mikrofirmą — sprawdź to przed incydentem, nie w jego trakcie.

Playbook pierwszych 72 godzin — checklista

Przygotuj te dokumenty zanim dojdzie do incydentu. W trakcie nie ma czasu na ich tworzenie.

Pułapki, które widać dopiero w trakcie incydentu

1. Czekanie na panel dostawcy — narzędzie pokazujące zakres wycieku na Twoim koncie bywa uruchamiane po kilku dniach, czyli po upływie terminu zgłoszenia. Nie czekaj.
2. Liczenie rekordów zamiast osób — formularz pyta o osoby. Jedna osoba z dziesięcioma fakturami to jedna osoba.
3. Pomijanie imiennych adresów e-mail — jan.kowalski@firma.pl jest daną osobową, nawet gdy pola „imię” i „nazwisko” w kartotece są puste.
4. Spółki osobowe traktowane jak podmioty — spółka cywilna i jawna wnoszą do zestawienia dane osobowe wspólników.
5. Oparcie oceny na „hasłach zaszyfrowanych” — przy wycieku danych fakturowych ryzyko to nie przejęcie konta, lecz oszustwo płatnicze.
6. Brak wpisu do rejestru przy decyzji „nie zgłaszamy” — to samodzielna podstawa stwierdzenia naruszenia podczas kontroli.
7. Zakres prac przekraczający abonament prawny — obsługa jednego incydentu realnie wykracza poza standardowe limity godzin. Przygotuj się na rozliczenie godzinowe.

Jak możemy Ci pomóc

Obsługa naruszenia ochrony danych w 72 godziny wymaga jednoczesnego działania w trzech obszarach: prawnym, organizacyjnym i komunikacyjnym. Większość firm nie ma wewnętrznych zasobów, żeby to przeprowadzić samodzielnie — szczególnie przy pierwszym incydencie.

Wspieramy spółki B2B i firmy technologiczne w dwóch trybach:

Tryb reaktywny — gdy incydent już trwa:

1. Ustalenie momentu stwierdzenia naruszenia i weryfikacja biegu terminu
2. Ocena ryzyka i opinia prawna dla zarządu
3. Przygotowanie i złożenie zgłoszenia wstępnego do UODO
4. Przygotowanie komunikatu do osób, których dane dotyczą
5. Wpis do rejestru naruszeń
6. Zgłoszenie uzupełniające po uzyskaniu danych od dostawcy
7. Pismo do dostawcy z art. 28 ust. 3 lit. f RODO

Tryb prewencyjny — zanim dojdzie do incydentu:

1. Playbook pierwszych 72 godzin z szablonami dokumentów
2. Przegląd umów powierzenia z dostawcami SaaS — terminy, zakres informacji, kanały kontaktu
3. Procedura weryfikacji zmiany numeru rachunku bankowego
4. Szkolenie zespołu finansowego i handlowego ze scenariusza oszustwa na podmianę rachunku
5. Przegląd i aktualizacja rejestru naruszeń

Napisz do nas

Wyciek u dostawcy SaaS — podsumowanie i następne kroki

Zgłoszenie dostawcy SaaS do UODO nie zastępuje Twojego zgłoszenia. Termin 72 godzin biegnie od momentu, gdy ktokolwiek w Twojej organizacji dowiedział się o incydencie. Zgłoszenie wstępne z wartościami przybliżonymi jest lepsze niż zgłoszenie spóźnione z wartościami dokładnymi. Rejestr naruszeń prowadzisz nawet wtedy, gdy uznajesz, że ryzyka nie ma.

Największym zagrożeniem po wycieku danych fakturowych nie jest kara UODO. Jest nim przelew na podmieniony rachunek bankowy — bo atakujący zna Twoich kontrahentów, kwoty i nieopłacone faktury.

Przygotuj playbook, zanim go potrzebujesz. A jeśli incydent już trwa — napisz do nas. Pomożemy Ci zamknąć zgłoszenie w terminie i zabezpieczyć firmę przed konsekwencjami finansowymi i prawnymi.

Najczęściej zadawane pytania

Dostawca już zgłosił naruszenie do UODO — po co mam zgłaszać drugi raz to samo? To nie jest „to samo”. Dostawca zgłosił naruszenie jako administrator własnych danych — kont użytkowników serwisu. Dane Twoich kontrahentów w kartotekach i treści faktur mają innego administratora: Ciebie. Art. 33 ust. 1 RODO nakłada obowiązek zgłoszenia na administratora, a art. 33 ust. 2 nakłada na procesora obowiązek zawiadomienia administratora — nie organu. Zawiadomienie procesora uruchamia Twój obowiązek, lecz go nie wykonuje.

Od kiedy dokładnie liczy się moje 72 godziny? Od stwierdzenia naruszenia przez administratora — czyli od momentu, gdy dowolna osoba w Twojej organizacji uzyskała wiedzę o incydencie. Nie od daty ataku u dostawcy, nie od daty jego komunikatu. Jeśli Twój pracownik przeczytał komunikat na stronie dostawcy wcześniej niż Ty — termin biegnie od tego wcześniejszego momentu. Dlatego pierwszym krokiem jest przepytanie zespołu i zapisanie dokładnej daty i godziny.

Co zrobić, gdy termin mija, a dostawca nie podał mi jeszcze zakresu wycieku na moim koncie? Złóż zgłoszenie wstępne. Art. 33 ust. 4 RODO dopuszcza etapowe przekazywanie informacji — wpisz wartości przybliżone, zaznacz pozycje „w trakcie ustalania” i uzupełnij dane po ich uzyskaniu. Formularz na biznes.gov.pl przewiduje typ zgłoszenia „wstępne” właśnie na takie sytuacje. Czekanie na panel dostawcy to czekanie na zgłoszenie spóźnione.

Czy muszę informować wszystkich kontrahentów, czy wystarczy komunikat na stronie? Art. 34 ust. 1 RODO wymaga zawiadomienia osób, gdy naruszenie może powodować wysokie ryzyko. Przy wycieku danych fakturowych — gdzie atakujący zna strony transakcji, kwoty i nieopłacone faktury — ryzyko oszustwa na podmianę rachunku jest realne. Art. 34 ust. 3 lit. c dopuszcza publiczny komunikat zamiast indywidualnego zawiadomienia, gdy indywidualny kontakt wymagałby niewspółmiernie dużego wysiłku. Przy kilkudziesięciu osobach indywidualne zawiadomienie jest wykonalne i bezpieczniejsze.

Refakturuję pracownikom pakiet medyczny — czy to oznacza wyciek danych o zdrowiu? Zależy od nazw pozycji na fakturach. Sama nazwa „pakiet medyczny” raczej nie ujawnia stanu zdrowia. Nazwa „rehabilitacja” czy „konsultacja kardiologiczna” — już tak, bo wskazuje na korzystanie z konkretnej usługi opieki zdrowotnej. Sprawdź nazwy pozycji na wystawionych dokumentach, nie nazwy usług w umowie z dostawcą świadczeń. Jeśli znajdziesz nazwy konkretnych świadczeń — podnosi to ocenę ryzyka i zwykle przesądza o zawiadomieniu osób w trybie art. 34.

Czy jeśli uznam, że ryzyka nie ma i nie zgłoszę naruszenia, muszę coś dokumentować? Tak. Art. 33 ust. 5 RODO wymaga dokumentowania każdego naruszenia — w tym okoliczności, skutków i działań zaradczych. Obowiązek istnieje niezależnie od decyzji o zgłoszeniu. Jeśli zdecydowałeś, że ryzyka nie ma — uzasadnienie tej oceny jest treścią wpisu do rejestru naruszeń. Brak wpisu to samodzielna podstawa stwierdzenia naruszenia podczas kontroli UODO.