Wyciek danych – co zrobić, gdy wyciekły dane osobowe?

Dlatego już dziś warto wiedzieć, co zrobić w przypadku wycieku danych osobowych, jak je zabezpieczyć oraz kiedy o naruszeniu należy poinformować odpowiednie organy. W poniższym artykule wyjaśniamy, jakie działania warto podjąć, aby ograniczyć ryzyko wykorzystania danych przez osoby nieuprawnione.

Wyciek danych osobowych – co zrobić krok po kroku?

Jeżeli otrzymaliśmy informację o wycieku danych, nie warto jej ignorować. Sam wyciek nie oznacza jeszcze, że dane na pewno zostaną wykorzystane, ale może zwiększać ryzyko oszustwa, kradzieży tożsamości czy przejęcia kont.

Co zrobić, gdy wyciekły moje dane?

W pierwszej kolejności należy sprawdzić komunikat administratora danych, który powinien wskazywać, na czym polegało naruszenie i jakie dane mogły zostać objęte incydentem. Znaczenie ma przede wszystkim rodzaj ujawnionych danych, bowiem inne konsekwencje może powodować wyciek samego imienia i nazwiska, a inne ujawnienie numeru PESEL, danych kontaktowych, danych dotyczących finansów, dokumentu tożsamości czy danych dotyczących zdrowia.

Jeżeli administrator poinformował Cię, że Twoje dane osobowe mogły zostać objęte wyciekiem, warto przede wszystkim podjąć działania, które ograniczą ryzyko ich wykorzystania. UODO wskazuje w szczególności na:

• ZASTRZEŻENIE NUMERU PESEL – szczególnie gdy wyciek obejmował dane pozwalające na identyfikację osoby
• ZACHOWANIE OSTROŻNOŚCI PODCZAS KONTAKTÓW TELEFONICZNYCH I INTERNETOWYCH – nie należy przekazywać dodatkowych danych osobowych osobom, których tożsamości nie można potwierdzić
• UWAŻNE ANALIZOWANIE WIADOMOŚCI SMS I E-MAILI – przestępcy mogą wykorzystać wycieknięte informacje do przygotowania bardziej wiarygodnych prób phishingu
• NIEKLIKANIE W PODEJRZANE LINKI I NIEOTWIERANIE NIEZNANYCH ZAŁĄCZNIKÓW
• REAGOWANIE NA INFORMACJE O PRÓBACH WYKORZYSTANIA DANYCH – np. nieznanych logowaniach, wiadomościach od banku czy innych usług, z których korzystamy.

Pamiętaj, że samo zastrzeżenie PESEL nie oznacza, że nie trzeba zachowywać ostrożności, ponieważ w przypadku wycieku danych szczególnie istotne jest, aby nie przekazywać oszustom kolejnych informacji, które mogą ułatwić kradzież tożsamości lub przejęcie dostępu do kont. Nie należy przy tym przekazywać dodatkowych danych osobowych osobom, które kontaktują się z nami w związku z rzekomym wyciekiem. Oszuści mogą bowiem wykorzystać informację o incydencie jako pretekst do kolejnej próby wyłudzenia.

Więcej na temat: Zastrzeż pesel – jak rozpoznać, że dane zostały skradzione i jak się przed tym zabezpieczyć?

Jak sprawdzić, czy dane zostały wykorzystane?

Nie zawsze możliwe jest natychmiastowe ustalenie, czy dane zostały już wykorzystane. Dlatego po wycieku ważne jest przede wszystkim zwiększenie czujności. Szczególnie podejrzane powinny być wiadomości, które:

• powołują się na niedawny wyciek danych,
• wymagają pilnego działania,
• zawierają link do logowania,
• proszą o podanie hasła lub kodu autoryzacyjnego,
• wymagają instalacji aplikacji,
• informują o rzekomym problemie z kontem bankowym,
• żądają wykonania przelewu.

Ujawnienie części danych może ułatwić oszustowi stworzenie wiarygodnej historii, dlatego nawet jeżeli osoba kontaktująca się z nami zna nasze imię, nazwisko, numer telefonu czy inne informacje, nie oznacza to, że rzeczywiście jest przedstawicielem banku lub innej instytucji.

Do kogo zgłosić wyciek danych?

W przypadku wycieku danych w pierwszej kolejności warto skontaktować się z administratorem, który odpowiada za ich przetwarzanie – to on powinien wyjaśnić, czy doszło do naruszenia ochrony danych i jakie działania zostały podjęte w związku z incydentem. Jeżeli wyjaśnienia administratora są niewystarczające lub istnieją wątpliwości co do sposobu przetwarzania danych albo realizacji praw osoby, której dane dotyczą, można złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (UODO).

Jeśli natomiast wyciek danych wiąże się z podejrzeniem popełnienia przestępstwa, np. kradzieży tożsamości, oszustwa lub nieuprawnionego dostępu do systemu, sprawę należy zgłosić Policji lub prokuraturze.

Wyciek danych w firmie – co powinien zrobić administrator?

W przypadku przedsiębiorcy sytuacja wygląda inaczej. Firma nie tylko może zostać poszkodowana przez cyberatak, ale również sama może być administratorem danych, za których bezpieczeństwo odpowiada. Do naruszenia może dojść np. wtedy, gdy pracownik wyśle bazę klientów do niewłaściwego odbiorcy, zgubiony zostanie laptop zawierający dane, ktoś uzyska nieuprawniony dostęp do systemu albo dane zostaną ujawnione wskutek błędu konfiguracji.

Obowiązki Administratora Danych (ADO)

Gdy dojdzie do wycieku lub naruszenia, Administrator powinien podjąć następujące działania:

• PRZEANALIZOWAĆ ZDARZENIE – ustalić, czy faktycznie doszło do naruszenia oraz czy wymaga ono zgłoszenia organowi (UODO) i powiadomienia poszkodowanych osób
• DOKONAĆ OCENY RYZYKA – ocenić, czy incydent niesie za sobą ryzyko dla praw lub wolności osób (np. ryzyko kradzieży tożsamości, utraty kontroli nad danymi czy wycieku danych wrażliwych/o zdrowiu)
• ZGŁOSIĆ NARUSZENIE DO UODO W CIĄGU 72 GODZIN – czas liczy się od momentu stwierdzenia naruszenia. Jeżeli dane powierzono innemu podmiotowi, czas liczy się od momentu otrzymania od niego informacji
• POINFORMOWAĆ OSOBY, KTÓRYCH DANE DOTYCZĄ – jeżeli występuje wysokie ryzyko niekorzystnych skutków dla tych osób, należy je niezwłocznie powiadomić
• ZAPOBIEGAĆ I DOKUMENTOWAĆ – wdrożyć środki zapobiegawcze na przyszłość oraz prowadzić pełną dokumentację każdego incydentu, jego skutków i podjętych działań zaradczych

Rola i Obowiązki Podmiotu Przetwarzającego (Procesora)

Podmiot, któremu powierzono przetwarzanie danych, nie odpowiada bezpośrednio przed UODO za zgłoszenie, ale ma obowiązek czynnej współpracy:

• DZIAŁANIA CIĄGŁE – zapobieganie naruszeniom poprzez zapewnienie bezpieczeństwa oraz stałe wykrywanie ewentualnych incydentów
• REAKCJA NA INCYDENT (NIEZWŁOCZNIE)
  • poinformować Administratora zaraz po wykryciu naruszenia.
  • przekazać szczegółowe informacje (opis naruszenia, kategorie danych, skutki).
  • podjąć działania naprawcze (zabezpieczyć dane, usunąć przyczynę wycieku).
  • wspprzeć Administratora w wyjaśnianiu sprawy i przygotowaniu zawiadomień do UODO/osób fizycznych.
  • dokumentować podjęte działania wspierające.

Czy wyciek danych w firmie trzeba zgłosić do UODO?

Nie każde zdarzenie wymaga zgłoszenia Prezesowi UODO. Jeżeli jednak naruszenie może powodować ryzyko naruszenia praw lub wolności osób fizycznych, administrator powinien zgłosić je organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia. Jeżeli zgłoszenie nastąpi po tym terminie, administrator powinien wyjaśnić przyczyny opóźnienia.

Termin 72 godzin należy liczyć od momentu, w którym administrator stwierdził naruszenie, a niekoniecznie od momentu samego wystąpienia zdarzenia. Jest to szczególnie istotne w przypadku cyberataków, których zakres może być początkowo nieznany. Administrator może początkowo nie wiedzieć, jakie dane zostały skopiowane lub do jakich informacji uzyskano dostęp, jednakże nie oznacza to jednak, że można czekać ze zgłoszeniem do czasu zakończenia całego postępowania wyjaśniającego. Jeżeli administrator posiada wystarczające informacje pozwalające na ocenę, że doszło do naruszenia podlegającego zgłoszeniu, powinien działać bez zbędnej zwłoki. Późniejsze ustalenia mogą być uzupełnieniem zgłoszenia.

Kiedy trzeba poinformować osoby, których dane wyciekły?

Jeżeli naruszenie może powodować wysokie ryzyko dla praw lub wolności osób fizycznych, administrator powinien również bez zbędnej zwłoki zawiadomić osoby, których dane dotyczą. Informacja powinna być przedstawiona w sposób zrozumiały i pozwalać osobie na podjęcie odpowiednich działań ochronnych. W praktyce może to oznaczać np. wskazanie, jakie dane zostały ujawnione, jakie mogą być konsekwencje incydentu oraz czy osoba powinna zmienić hasło, zastrzec PESEL albo zachować szczególną ostrożność wobec prób kontaktu.

Przykładem rzeczywistego incydentu jest cyberatak na MyDr, czyli dostawcę systemu wykorzystywanego przez placówki medyczne. W sierpniu 2026 r. UODO informował o zdarzeniu, którego skala mogła obejmować około 12 tys. podmiotów leczniczych. Szczególne znaczenie sprawy wynikało z możliwości objęcia incydentem danych pacjentów, w tym danych dotyczących zdrowia. W tym przypadku MyDr występował jako podmiot przetwarzający, natomiast administratorami danych pacjentów pozostawały placówki medyczne korzystające z jego usług. Oznacza to, że sam fakt powierzenia danych zewnętrznemu dostawcy nie zwalnia administratora z obowiązków wynikających z RODO. Po wystąpieniu incydentu administrator powinien ustalić, czy naruszenie obejmowało dane przetwarzane w ramach jego działalności, a następnie przeprowadzić ocenę ryzyka i ustalić, czy konieczne jest zgłoszenie naruszenia Prezesowi UODO oraz zawiadomienie osób, których dane dotyczą.

Przykład MyDr pokazuje więc, że w przypadku wycieku danych trzeba patrzeć nie tylko na to, gdzie fizycznie doszło do incydentu, ale również na to, kto jest administratorem danych, kto jest podmiotem przetwarzającym oraz jakie obowiązki ma każda ze stron.

Czy osoba poszkodowana może żądać odszkodowania za wyciek danych?

RODO przewiduje również możliwość dochodzenia odszkodowania za szkodę majątkową lub niemajątkową poniesioną w związku z naruszeniem przepisów dotyczących ochrony danych osobowych. Nie oznacza to jednak, że każde naruszenie automatycznie prowadzi do wypłaty odszkodowania. Konieczna jest ocena konkretnego przypadku, w tym tego, czy doszło do szkody oraz jaki jest jej związek z naruszeniem.

W przypadku poważnych wycieków, zwłaszcza obejmujących szczególne kategorie danych, takich jak dane dotyczące zdrowia, potencjalne konsekwencje dla osób, których dane dotyczą, mogą być szczególnie istotne.

Jak zabezpieczyć swoje dane osobowe w Internecie?

Przede wszystkim warto ograniczać zakres informacji przekazywanych w Internecie. Nie każda strona internetowa, aplikacja czy osoba kontaktująca się telefonicznie potrzebuje pełnego zestawu naszych danych. Przed przekazaniem danych warto zastanowić się:

• komu je przekazujemy,
• w jakim celu są potrzebne,
• czy ich podanie jest rzeczywiście konieczne,
• w jaki sposób będą przechowywane,
• czy mamy pewność, z kim faktycznie się kontaktujemy.

Jak chronić PESEL i dane dokumentu tożsamości?

Numer PESEL, dane dowodu osobistego czy dane potrzebne do uwierzytelnienia nie powinny być przekazywane bez sprawdzenia, kto i po co ich potrzebuje. Szczególną ostrożność należy zachować wobec próśb o przesłanie skanu lub zdjęcia dokumentu. Warto ustalić, jaka jest podstawa i cel żądania oraz czy przekazanie pełnej kopii dokumentu jest rzeczywiście konieczne.

Jak zabezpieczyć hasła i konta internetowe?

Podstawą bezpieczeństwa jest stosowanie różnych, odpowiednio silnych haseł do różnych usług. Jeżeli jedno hasło zostanie ujawnione, korzystanie z niego w wielu miejscach zwiększa ryzyko przejęcia kolejnych kont. Warto korzystać z menedżera haseł oraz włączać uwierzytelnianie wieloskładnikowe wszędzie tam, gdzie jest dostępne.

Podsumowanie

Wyciek danych osobowych nie zawsze oznacza bezpośrednie wykorzystanie danych, ale zawsze wymaga odpowiedniej reakcji. W przypadku osoby prywatnej kluczowe jest ustalenie, jakie informacje zostały ujawnione i jakie ryzyko wiąże się z ich wykorzystaniem. W zależności od sytuacji może być konieczne zastrzeżenie PESEL, zmiana danych logowania, włączenie dodatkowego uwierzytelniania czy zwiększenie ostrożności wobec podejrzanych wiadomości i telefonów. Z kolei przedsiębiorca, który stwierdzi naruszenie ochrony danych, powinien przede wszystkim zabezpieczyć sytuację, ustalić zakres incydentu i przeprowadzić analizę ryzyka. To od jej wyniku zależy, czy konieczne będzie zgłoszenie naruszenia Prezesowi UODO, a w przypadku wysokiego ryzyka, również poinformowanie osób, których dane dotyczą. Odrębnej uwagi wymagają incydenty dotyczące danych powierzonych zewnętrznym dostawcom. Powierzenie przetwarzania danych nie zwalnia administratora z odpowiedzialności za realizację obowiązków wynikających z RODO.