Wyciek danych z Fakturowni (2026) – co musi zrobić Twoja firma

Pod koniec września 2026 r. doszło do jednego z największych incydentów dotyczących polskich przedsiębiorców. Nieuprawniona osoba uzyskała dostęp do systemów serwisu Fakturownia i skopiowała dużą część bazy danych. Operator potwierdził, że naruszenie stwierdzono 28 września 2026 r., a incydent dotyczy każdego konta – choć zakres skopiowanych danych nie jest dla wszystkich identyczny. Jeżeli wystawiasz faktury przez Fakturownię albo prowadzisz biuro rachunkowe, sprawa niemal na pewno Cię dotyczy. Poniżej praktyczny plan działania – z perspektywy Inspektora Ochrony Danych, który prowadzi takie sprawy na bieżąco.

Co się stało – chronologia wycieku z Fakturowni

Sprawa jest rozwojowa, a ustalenia operatora mogą być aktualizowane. Poniżej udokumentowane publicznie fakty na dzień publikacji tego artykułu:

Istotne zastrzeżenie operatora: brak publicznej publikacji danych nie oznacza braku naruszenia. Z punktu widzenia RODO znaczenie ma już sam nieuprawniony dostęp do danych i ich skopiowanie – niezależnie od tego, czy sprawca je ujawni.

Jakie dane objął incydent

Według komunikatu operatora skopiowana została duża część bazy danych. W zależności od konta zakres może obejmować:

• dane kont i użytkowników serwisu – loginy, adresy e-mail, dane rejestrowe,
• skróty haseł (hashe) oraz klucze API – stąd krytyczna potrzeba zmiany haseł i rotacji kluczy,
• dane kontrahentów – imiona i nazwiska, nazwy firm, NIP-y, adresy, adresy e-mail, numery telefonów,
• dane z faktur i płatności – kwoty, tytuły, numery dokumentów, a także numery rachunków bankowych.

Operator wskazuje dla różnych zbiorów różne daty graniczne oraz odrębną sytuację części kont. Nie zakładaj, że problem dotyczy wyłącznie starych faktur albo że nowsze konto nie wymaga sprawdzenia. Zakres dla Twojego konta ustalisz na podstawie indywidualnego zawiadomienia i panelu operatora.

Kogo dotyczy – firmy i biura rachunkowe

Fakturownia to jeden z najpopularniejszych serwisów do fakturowania w Polsce. Z incydentem muszą się zmierzyć w szczególności:

• jednoosobowe działalności gospodarcze i małe firmy wystawiające faktury osobom fizycznym oraz innym JDG,
• spółki fakturujące imiennych kontrahentów i osoby prowadzące działalność,
• biura rachunkowe obsługujące w serwisie wielu klientów,
• sklepy i usługodawcy integrujący Fakturownię przez API z innymi systemami.

Kluczowe rozróżnienie: dane spółki jako osoby prawnej (sam NIP, oficjalny adres z CEIDG/KRS) nie zawsze są danymi osobowymi. Ale dane jednoosobowej działalności, imienny adres e-mail czy numer telefonu konkretnej osoby już tak. A to właśnie takich danych w serwisie do fakturowania jest najwięcej.

Kto jest administratorem, a kto procesorem

To jedno z najczęściej mylonych zagadnień w tej sprawie. Rozstrzygnięcie decyduje o tym, czyje są obowiązki:

• dla danych kontrahentów i klientów, które wprowadziłeś do serwisu, administratorem jesteś Ty (Twoja firma), a Fakturownia jest podmiotem przetwarzającym w rozumieniu art. 28 RODO,
• dla danych konta i użytkowników serwisu (jako usługobiorców) administratorem jest operator – i to on zgłasza naruszenie w tym zakresie,
• biuro rachunkowe występuje najczęściej podwójnie: jako administrator danych własnych (pracownicy, kontakty handlowe) i jako podmiot przetwarzający wobec danych swoich klientów.

Konsekwencja jest prosta: obowiązek zgłoszenia z art. 33 RODO i zawiadomienia osób z art. 34 RODO spoczywa na administratorze. Fakturownia, jako procesor Twoich danych, ma obowiązek z art. 33 ust. 2 RODO – bez zbędnej zwłoki poinformować Cię o naruszeniu. Jej własne zgłoszenie do UODO nie wykonuje Twoich obowiązków za Ciebie.

Czy każda firma musi zgłaszać do UODO

Nie ma jednej odpowiedzi dla wszystkich. Zgodnie z art. 33 RODO administrator zgłasza naruszenie, chyba że jest mało prawdopodobne, by skutkowało ono ryzykiem naruszenia praw lub wolności osób fizycznych. Ocenę wykonuje się dla konkretnego przetwarzania, a nie na podstawie nazwy konta. W praktyce:

Najważniejsze: nawet decyzja o niezgłaszaniu musi być udokumentowana. UODO w razie kontroli pyta nie tylko „czy zgłosiłeś", ale też „jak uzasadniłeś, że zgłoszenie nie było konieczne".

Termin 72 godzin – od kiedy liczyć

Termin z art. 33 ust. 1 RODO liczy się od stwierdzenia naruszenia – czyli od momentu, w którym administrator z rozsądną pewnością uznał, że incydent może dotyczyć powierzonych przez niego danych. W sprawie Fakturowni punktem odniesienia dla większości firm będzie:

• dzień otrzymania indywidualnego zawiadomienia od operatora (wysyłka rozpoczęta 1 października 2026 r.), albo
• moment, w którym firma zapoznała się z komunikatem operatora i ustaliła, że jej konto jest objęte incydentem.

Termin biegnie niezależnie od tego, czy operator udzielił Ci już pełnej informacji. Jeżeli nie masz kompletu danych, nie czekaj z założonymi rękami – złóż zgłoszenie wstępne w trybie art. 33 ust. 4 RODO i zadeklaruj uzupełnienie. Konsekwencja w datach (rejestr naruszeń, zgłoszenie, komunikat) jest kluczowa.

Analiza ryzyka krok po kroku

Analizę ryzyka najlepiej przeprowadzić według metodyki ENISA. W sprawie Fakturowni zwróć uwagę na:

1. Rodzaj danych – numery rachunków i dane transakcji podnoszą ryzyko finansowe; imienne dane JDG zwiększają ryzyko kradzieży tożsamości i phishingu.
2. Łatwość identyfikacji osób – komplet „imię, nazwisko, e-mail, NIP, numer konta" pozwala łatwo powiązać dane z konkretną osobą.
3. Okoliczności – celowy cyberatak i skopiowanie danych na zewnętrzne serwery to okoliczność obciążająca.
4. Skala – liczba kontrahentów i klientów objętych Twoim kontem.
5. Możliwe skutki – oszustwa „na fakturę", podmiana numeru konta, fałszywe wezwania do zapłaty, phishing celowany.

Zawiadomienie osób i ostrzeżenie o podmianie konta

Jeśli naruszenie może powodować wysokie ryzyko, zawiadom osoby, których dane dotyczą. Komunikat z art. 34 ust. 2 RODO powinien zawierać m.in. opis charakteru naruszenia, dane kontaktowe (w tym do IOD, jeśli jest wyznaczony), opis możliwych konsekwencji i podjętych środków. W tej sprawie szczególnie ważne są praktyczne zalecenia:

• weryfikuj numer rachunku innym kanałem – telefonicznie do znanego kontaktu – zanim wykonasz przelew na podstawie faktury lub wezwania,
• zachowaj czujność wobec e-maili i pism o zmianie numeru konta,
• zmień hasła powtarzane w innych serwisach i włącz uwierzytelnianie dwuskładnikowe,
• uważaj na phishing wykorzystujący prawdziwe dane z faktur (kwoty, numery dokumentów).

Przy dużej liczbie odbiorców zawiadomienie można zrealizować hybrydowo: indywidualny e-mail do kontrahentów plus komunikat na stronie internetowej na podstawie art. 34 ust. 3 lit. c RODO, gdy indywidualne zawiadomienie wymagałoby niewspółmiernie dużego wysiłku.

Szczególny przypadek: biura rachunkowe

Biura rachunkowe są w tej sprawie najbardziej narażone, bo obsługują w serwisie dane wielu klientów. Rekomendowane kroki:

• rozdziel role – dane własne biura (administrator) od danych klientów (podmiot przetwarzający),
• wobec klientów wykonaj obowiązek z art. 33 ust. 2 RODO – bez zbędnej zwłoki poinformuj ich o naruszeniu, aby mogli dochować własnych terminów,
• przygotuj dla klientów zwięzłą informację o zakresie incydentu i rekomendowanych działaniach,
• uporządkuj umowy powierzenia – sprawdź, czy przewidują tryb i terminy raportowania incydentów.

Sankcje UODO i dlaczego warto mieć IOD

W dotychczasowej praktyce UODO najczęściej karano nie sam fakt wycieku, lecz brak zgłoszenia, zwłokę i brak dokumentacji. W uzasadnieniach decyzji powtarza się motyw: administrator nie może uzależniać zgłoszenia od chwili, w której uzyska komplet informacji. Zgłoszenie wstępne pokazywane jest jako wzór dobrej praktyki, a odkładanie reakcji „do czasu, aż dostawca się odezwie" – jako okoliczność obciążająca.

Najczęściej zadawane pytania