Jeśli korzystasz z Fakturowni, prawdopodobnie masz już za sobą w ostatnich dniach zmianę hasła do konta. Fakturownia zaleciła ją po wykryciu incydentu, ponieważ wśród danych objętych naruszeniem znalazły się również informacje dotyczące użytkowników systemu.
Być może sprawdziłaś też integracje, wymieniłaś klucze API albo po prostu przeczytałaś komunikat Fakturowni i uznałaś: „OK, zabezpieczyłam swoje konto, temat zamknięty”.
Niestety niekoniecznie.
⚠️ Jeżeli w Fakturowni znajdowały się dane Twoich klientów lub kontrahentów, na zabezpieczeniu własnego konta sprawa się nie kończy.
W odniesieniu do części danych to nie Fakturownia, ale Ty jesteś administratorem danych osobowych. A to oznacza, że po Twojej stronie może pojawić się konieczność:
- przeanalizowania naruszenia;
- udokumentowania go;
- zgłoszenia naruszenia Prezesowi UODO;
- a w niektórych przypadkach również poinformowania osób, których dane zostały objęte incydentem.
Być może dowiedziałeś się o tym z maila, wysłanego przez Fakturownię na Twoją skrzynkę wczoraj w nocy i zastanawiasz się, co z tym teraz zrobić?
Co dokładnie wydarzyło się w Fakturowni? Czy trzeba zgłaszać naruszenie do UODO? Od kiedy liczyć 72 godziny? I czy już teraz pisać do wszystkich klientów?
Po kolei.
Wyciek danych w Fakturowni – co się wydarzyło?
Fakturownia poinformowała, że 28 września 2026 r. stwierdziła naruszenie ochrony danych osobowych. Osoba nieuprawniona uzyskała dostęp do systemów i skopiowała dużą część bazy danych na własne serwery.
Co ważne, Fakturownia wskazuje wprost, że incydent dotyczy każdego konta w serwisie, chociaż zakres danych pobranych z poszczególnych kont może być różny.
1 października Fakturownia rozpoczęła natomiast wysyłkę indywidualnych zawiadomień do właścicieli i użytkowników kont. Zapowiedziała również udostępnienie właścicielom kont specjalnego panelu ze szczegółami dotyczącymi konkretnego konta, m.in. kategoriami danych, zakresem dat i liczbą rekordów (choć np. na moim koncie w Fakturowni dalej tego panelu nie ma).
I właśnie tutaj zaczyna się temat RODO po stronie przedsiębiorców korzystających z Fakturowni.
Czy naruszenie danych w Fakturowni dotyczy również Twojej firmy?
Tak. Ten temat może dotyczyć Cię w dwóch różnych rolach.
Pierwsza jest dość oczywista: jesteś użytkownikiem Fakturowni. W systemie mogły znajdować się dane dotyczące Ciebie, Twojej firmy albo użytkowników Twojego konta. W odniesieniu do tych danych administratorem jest Fakturownia i to ona realizuje obowiązki związane z naruszeniem.
Być może tutaj machasz już na to ręką, bo to kolejny duży wyciek w ostatnich tygodniach i zdążyłeś już zastrzec swój nr PESEL.
Ale jest też druga grupa danych.
Jeżeli korzystasz z Fakturowni do wystawiania dokumentów swoim klientom albo masz ją połączoną np. ze sklepem internetowym, w systemie znajdują się również dane Twoich klientów i kontrahentów. Jest to szczególnie ważne, jeśli wystawiasz dokumenty księgowe na rzecz osób fizycznych – konsumentów lub osób prowadzących jednoosobową działalność gospodarczą.
W odniesieniu do tych danych sytuacja wygląda inaczej:
to Ty jesteś administratorem danych, a Fakturownia jest podmiotem, któremu powierzasz ich przetwarzanie.
To Ty decydujesz, dlaczego dane klientów są przetwarzane – np. w związku ze sprzedażą, realizacją zamówienia czy wystawieniem dokumentu. Fakturownia wykonuje na nich operacje w ramach świadczonej Ci usługi.
Dlatego informacja przesłana przez Fakturownię nie oznacza automatycznie, że temat został już „załatwiony przez Fakturownię”.
W odniesieniu do danych Twoich klientów to Ty musisz przeprowadzić własną ocenę naruszenia i zdecydować, jakie obowiązki powstają po Twojej stronie, a potem dokonać ewentualnego zgłoszenia do UODO.
Jakie dane klientów mogły zostać pobrane z Fakturowni?
Zakres naruszenia zależy m.in. od tego, od kiedy korzystasz z systemu i jakie informacje znajdowały się na Twoim koncie.
Z komunikatu Fakturowni wynika, że wśród danych powierzonych przez klientów serwisu mogły znaleźć się między innymi imię i nazwisko, adres, adres e-mail i numer telefonu, informacje dotyczące kwoty i płatności, dane zawarte w pozycjach faktury.
Istotne są tutaj daty.
Fakturownia wskazuje m.in., że dane kontrahentów zostały pobrane w odniesieniu do osób dodanych przed 16 października 2024 r.
W praktyce oznacza to, że musisz sprawdzić, od kiedy korzystasz z Fakturowni i jakie dane znajdowały się na Twoim koncie w okresie objętym incydentem.
Dlatego nie warto opierać oceny wyłącznie na ogólnym komunikacie. Kluczowe będą informacje dotyczące Twojego konkretnego konta.
Mam sklep internetowy połączony z Fakturownią. Czy dane klientów sklepu też mogły zostać objęte naruszeniem?
Tak – i jest to szczególnie istotne w przypadku automatycznych integracji.
Jeżeli np. WooCommerce lub EasyCart przekazywał dane klientów do Fakturowni przy realizacji zamówienia, w systemie mogły znaleźć się dane także osób, które dokonały u Ciebie tylko jednego zakupu.
Nie chodzi więc wyłącznie o klientów, którym ręcznie wystawiałaś fakturę.
W zależności od konfiguracji sklepu internetowego i integracji trzeba sprawdzić, jakie dane były przekazywane do Fakturowni, od kiedy działała integracja i jakie rekordy mieszczą się w okresie objętym incydentem.
Czy wyciek danych z Fakturowni trzeba zgłosić do UODO?
To pytanie pojawia się teraz najczęściej.
I przynajmniej teoretycznie odpowiedź nie brzmi automatycznie: „tak, każdy użytkownik Fakturowni musi zrobić zgłoszenie”.
ALE niestety nie brzmi też: „nie muszę nic robić, bo Fakturownia już zgłosiła wyciek”.
Zgodnie z art. 33 RODO administrator zgłasza naruszenie Prezesowi UODO, chyba że mało prawdopodobne jest, aby naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych.
W praktyce oznacza to, że musisz dokonać własnej oceny.
Samo zgłoszenie incydentu przez Fakturownię nie zastępuje zgłoszenia, które – jako administrator danych swoich klientów, ewentualnie powinnaś złożyć Ty.
Czy w przypadku Fakturowni można uznać, że ryzyka nie ma lub jest mało prawdopodobne?
Powiedzmy to głośno – w większości przypadków może być to trudne.
Mówimy bowiem nie tylko o przypadkowym ujawnieniu pojedynczego adresu e-mail, ale o nieuprawnionym dostępie do systemu i skopiowaniu danych.
Dodatkowo określone dane mogą być ze sobą zestawione: imię i nazwisko, adres e-mail, telefon, adres czy dane dotyczące transakcji.
Taka kombinacja informacji może zostać wykorzystana np. do przygotowania bardziej wiarygodnego phishingu, podszywania się pod przedsiębiorcę albo kierowania fałszywych próśb o płatność.
Fakturownia sama wskazuje na ryzyko prób podszywania się m.in. pod bank, urząd, firmę kurierską, kontrahenta lub Fakturownię, a także na konieczność zachowania ostrożności wobec próśb o zmianę rachunku bankowego.
Dlatego w przypadku kont, na których znajdowały się dane osób fizycznych, rekomendowałabym zgłoszenie naruszenia Prezesowi UODO.
Nie oznacza to jednak, że można pominąć analizę. Administrator powinien ją przeprowadzić i udokumentować, uwzględniając rzeczywisty zakres danych na swoim koncie.
Fakturownia zgłosiła naruszenie do UODO. Czy ja również muszę je zgłaszać?
To są dwa różne obowiązki.
Fakturownia odpowiada za naruszenie dotyczące systemu, w którym sama pełni rolę administratora albo podmiotu przetwarzającego.
Jednocześnie w odniesieniu do danych Twoich klientów może występować jako podmiot przetwarzający. Powinna więc poinformować Ciebie o naruszeniu i przekazać informacje potrzebne do jego oceny.
I właśnie temu służy otrzymany przez właściciela konta mail.
Dalej obowiązek przeprowadzenia analizy przechodzi na Ciebie jako administratora.
Nie można więc przyjąć zasady:
„Fakturownia zgłosiła naruszenie, więc ja nie muszę już nic robić”.
72 godziny na zgłoszenie naruszenia do UODO – od kiedy liczyć termin?
⏳ Administrator powinien zgłosić naruszenie bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od jego stwierdzenia. No tak, nie jest to zbyt długi termin.
Wiem, że zapewne czytasz ten artykuł w weekend i zastanawiasz się, jakim cudem masz to ogarnąć teraz.
Od kiedy w ogóle te 72 godziny liczyć?
W przypadku administratora korzystającego z usług procesora istotny jest moment, w którym uzyskał on wystarczającą wiedzę o naruszeniu.
W mojej ocenie najpóźniejszym i najbardziej racjonalnym momentem stwierdzenia naruszenia przez administratora, który otrzymał indywidualną wiadomość 1 października 2026 r., jest właśnie dzień otrzymania tej wiadomości.
Ogólny komunikat z 29 września dotyczący kwestii bezpieczeństwa i zmiany tokenów nie musiał jeszcze oznaczać, że doszło do nieuprawnionego dostępu albo skopiowania danych Twoich klientów. Dopiero indywidualna wiadomość zawierała konkretną informację o incydencie, jego charakterze i możliwym zakresie.
Dlatego koniecznie:
sprawdź dokładną datę i godzinę otrzymania wiadomości od Fakturowni i zachowaj tę informację w dokumentacji naruszenia.
Jeżeli indywidualne zawiadomienie otrzymałaś 1 października, 72 godziny upływają co do zasady 4 października (w niedzielę) o odpowiadającej godzinie.
Czy czekać na panel Fakturowni przed zgłoszeniem do UODO?
Nie odkładałabym zgłoszenia wyłącznie dlatego, że nie masz jeszcze wszystkich szczegółów, ponieważ np. nadal nie ma obiecanego panelu na Twoim koncie.
Fakturownia zapowiedziała udostępnienie panelu, w którym mają znaleźć się informacje dotyczące konkretnego konta, m.in.:
- kategorie danych;
- zakresy dat;
- liczba rekordów.
To bardzo przydatne informacje i warto je wykorzystać do oceny naruszenia.
Ale jeżeli czytasz to w niedzielę, 72-godzinny termin zbliża się do końca, a panel nadal nie jest dostępny, możesz złożyć zgłoszenie wstępne, wskazując informacje, które masz obecnie, a uzupełnić je później.
Brak pełnych informacji nie powinien uniemożliwiać terminowego zgłoszenia. Jeżeli wszystkich danych nie da się przekazać od razu, można przekazywać je sukcesywnie.
Jak zgłosić naruszenie danych do UODO?
Samo zgłoszenie na szczęście nie wymaga wysyłania papierowego pisma ani osobistej wizyty w urzędzie.
Najprościej zrobić je online przez usługę „Zgłoś naruszenie ochrony danych osobowych” na biznes.gov.pl. Zgłoszenie jest bezpłatne i można podpisać je profilem zaufanym albo podpisem kwalifikowanym.
Możliwe jest również przekazanie zgłoszenia przez ePUAP albo w formie tradycyjnej.
W przypadku incydentu w Fakturowni ważne jest też to, że jeśli nie masz jeszcze wszystkich informacji, nie musisz czekać z wysłaniem formularza do momentu, kiedy poznasz dokładną liczbę osób czy rekordów.
Możesz złożyć zgłoszenie wstępne, podać informacje, którymi obecnie dysponujesz, a po otrzymaniu szczegółów z panelu Fakturowni złożyć zgłoszenie uzupełniające.
W praktyce w zgłoszeniu będziesz musiała opisać m.in.:
- co się wydarzyło;
- kiedy stwierdziłaś naruszenie;
- jakich kategorii osób i danych dotyczy;
- jaka jest przybliżona liczba osób i rekordów;
- jakie mogą być konsekwencje naruszenia;
- jakie działania zostały już podjęte;
- czy osoby, których dane dotyczą, zostały lub zostaną poinformowane.
Nie zostawiałabym wypełniania formularza na ostatnie minuty przed upływem 72 godzin – naruszeń jest sporo i moim zdaniem istnieje ryzyko spowolnienia serwerów (wszyscy mamy już swoje doświadczenia z serwisami gov).
Jeśli części informacji nadal nie znasz, lepiej wyraźnie to zaznaczyć i uzupełnić zgłoszenie później niż czekać na komplet danych.
Czy po wycieku w Fakturowni trzeba poinformować klientów?
To kolejna rzecz, którą warto oddzielić od zgłoszenia do organu.
Zgłoszenie naruszenia Prezesowi UODO i zawiadomienie osób, których dane dotyczą, to dwa różne obowiązki.
Zgłoszenie do UODO jest wymagane, jeżeli naruszenie może powodować ryzyko naruszenia praw lub wolności osób fizycznych.
Zawiadomienie konkretnych osób pojawia się natomiast wtedy, gdy naruszenie może powodować wysokie ryzyko dla ich praw lub wolności.
Nie oznacza to więc, że każdy przedsiębiorca korzystający z Fakturowni powinien natychmiast wysłać maila, zwłaszcza do całej swojej bazy klientów.
Najpierw warto ustalić możliwie dokładnie:
- czy dane konkretnej osoby zostały rzeczywiście objęte naruszeniem;
- jakie dokładnie dane zostały pobrane;
- jakie mogą być konsekwencje ich wykorzystania;
- czy w odniesieniu do tej osoby ryzyko można ocenić jako wysokie.
Dlatego, jeżeli Fakturownia w najbliższym czasie udostępni zapowiadany panel pokazujący konkretny zakres naruszenia dla Twojego konta, rozsądne może być wykorzystanie tych informacji przed wysyłką zawiadomień.
PNie chodzi o to, żeby czekać bez końca. Przy zawiadomieniu klientów nie obowiązuje 72-godzinny termin właściwy dla zgłoszenia do UODO, ale osoby powinny zostać poinformowane bez zbędnej zwłoki, jeśli z przeprowadzonej przez Ciebie oceny wynika wysokie ryzyko.
Samo zawiadomienie powinno być przede wszystkim zrozumiałe. Klient powinien dowiedzieć się z niego:
- co się wydarzyło;
- jakie jego dane mogły zostać objęte naruszeniem;
- jakie mogą być tego konsekwencje;
- jakie działania zostały podjęte;
- na co powinien teraz szczególnie uważać.
W przypadku incydentu w Fakturowni szczególnie istotne będzie ostrzeżenie przed próbami phishingu, podszywaniem się pod sprzedawcę oraz wiadomościami dotyczącymi płatności czy zmiany numeru rachunku.
Nie wysyłałabym natomiast prewencyjnego zawiadomienia do wszystkich osób, których dane kiedykolwiek znajdowały się w Twojej bazie, jeżeli da się ustalić bardziej precyzyjny krąg osób rzeczywiście objętych incydentem. Jeśli to możliwe, zawiadomienia nie wysyłaj do wszystkich klientów, a jedynie do tych, których dane, zgodnie z informacjami przekazanymi przez Fakturownię i Twoją analizą, realnie mogły zostać objęte naruszeniem.
Co zrobić po otrzymaniu maila o naruszeniu w Fakturowni? Checklista
✅ Jeśli korzystasz z Fakturowni i przetwarzasz w niej dane klientów, proponuję działać w takiej kolejności:
1. Sprawdź indywidualny mail od Fakturowni
Zapisz przede wszystkim datę i dokładną godzinę otrzymania zawiadomienia.
Sprawdź też, jakie informacje Fakturownia przekazała konkretnie w odniesieniu do Twojego konta.
2. Sprawdź panel dotyczący incydentu
Jeśli został już udostępniony, zachowaj znajdujące się w nim informacje – np. poprzez eksport lub wykonanie zrzutów ekranu.
Potrzebujesz przede wszystkim informacji:
- jakie kategorie danych zostały objęte incydentem;
- z jakiego okresu;
- ilu rekordów dotyczy naruszenie;
- czy Fakturownia potwierdza ich faktyczne skopiowanie.
3. Jeżeli informacji brakuje – napisz do Fakturowni
Jeżeli panel nie jest dostępny albo zawiera jedynie ogólne informacje, warto zwrócić się do Fakturowni z pytaniem o zakres naruszenia dotyczący konkretnie Twojego konta.
Możesz zapytać m.in.:
- czy dane z Twojego konta zostały faktycznie skopiowane, czy tylko znajdowały się w zakresie potencjalnego dostępu;
- jakie konkretnie zbiory danych zostały objęte naruszeniem;
- jaka jest liczba rekordów;
- czy możliwe jest wskazanie konkretnych rekordów;
- które informacje są już potwierdzone, a które nadal pozostają przedmiotem analizy.
Chodzi o to, żeby uzyskać informacje dotyczące Twojego konta, a nie wyłącznie powtórzenie ogólnego komunikatu.
4. Oceń ryzyko dla osób, których dane dotyczą
Sprawdź:
- jakie konkretnie dane znajdowały się w Fakturowni;
- czy dotyczą osób fizycznych;
- czy pozwalają na kontakt z tymi osobami;
- czy zawierają informacje o transakcjach;
- jakie mogą być konsekwencje wykorzystania tych informacji.
Dopiero na tej podstawie podejmujesz decyzję w sprawie zgłoszenia do UODO i ewentualnego zawiadomienia klientów.
Niezależnie od tego, jaką decyzję podejmiesz, sam incydent i przeprowadzoną ocenę warto odnotować w swojej wewnętrznej dokumentacji RODO, w szczególności w rejestrze naruszeń. Powinna z niej wynikać nie tylko sama decyzja, ale też to, na podstawie jakich informacji i jakiej oceny ryzyka została podjęta.
5. Nie czekaj z decyzją do momentu uzyskania wszystkich danych
Jeśli termin 72 godzin biegnie, przygotuj zgłoszenie na podstawie informacji, które już posiadasz.
Po uzyskaniu szczegółów możesz je później uzupełnić.
6. Zabezpiecz własne konto
Niezależnie od obowiązków związanych z danymi klientów warto wykonać również działania dotyczące bezpieczeństwa Twojego konta, w szczególności zmienić hasło, sprawdzić integracje, zadbać o wymianę API i włączyć weryfikację dwuetapową, jeśli na Twoim koncie nie jest jeszcze aktywna.
To jednak osobny etap niż analiza naruszenia dotyczącego danych Twoich klientów.
Potrzebujesz pomocy po wycieku danych w Fakturowni?
Masz wiadomość od Fakturowni i zastanawiasz się, jak ocenić naruszenie, czy zgłosić je do UODO oraz co napisać w formularzu?
Jestem adwokatką i inspektorem ochrony danych. Mogę pomóc Ci przeanalizować sytuację Twojej firmy, ocenić ryzyko, przygotować zgłoszenie do UODO oraz ustalić, czy konieczne jest zawiadomienie klientów.
Ze względu na dużą liczbę zapytań związanych z tym incydentem kancelaria będzie odpowiadać na wiadomości również w weekend, 3 i 4 października 2026 r.
Napisz na [email protected]. W wiadomości krótko opisz swoją sytuację i podaj, kiedy otrzymałaś lub otrzymałeś zawiadomienie od Fakturowni.
FAQ: Wyciek danych w Fakturowni.
Czy każdy użytkownik Fakturowni musi zgłosić naruszenie do UODO?
Obowiązek zależy od zakresu naruszenia i oceny ryzyka dla osób, których dane dotyczą. Każdy administrator powinien przeanalizować swoją sytuację.
Czy zgłoszenie dokonane przez Fakturownię zastępuje moje?
Zgłoszenie Fakturowni nie zastępuje obowiązków, które mogą powstać po Twojej stronie jako administratora danych klientów.
Ile mam czasu na zgłoszenie?
Zgłoszenia należy dokonać bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia naruszenia przez Ciebie jako administratora.
Co zrobić, jeśli brakuje mi szczegółowych informacji?
Możesz złożyć zgłoszenie wstępne na podstawie dostępnych informacji i uzupełnić je bez zbędnej zwłoki po uzyskaniu kolejnych danych.
Czy muszę poinformować klientów?
Zawiadomienie jest co do zasady wymagane, gdy naruszenie może powodować wysokie ryzyko dla ich praw lub wolności. Wymaga to odrębnej oceny.
