Wyciek danych w Fakturowni i u innych dostawców: co musi zrobić firma?

W skrócie: po wycieku danych u dostawcy programu do faktur — jak pod koniec września 2026 r. w Fakturowni — firma jest administratorem danych swoich kontrahentów i ma 72 godziny od stwierdzenia naruszenia, żeby ocenić ryzyko i, jeśli nie jest ono mało prawdopodobne, zgłosić naruszenie Prezesowi UODO (art. 33 ust. 1 RODO). Przy wysokim ryzyku zawiadamia też osoby, których dane dotyczą (art. 34), a każde naruszenie — zgłoszone czy nie — zapisuje w wewnętrznym rejestrze (art. 33 ust. 5). Fakturownia zaleca też zmienić hasła i klucze API i każdą prośbę o przelew na nowy rachunek potwierdzać telefonicznie, bo po wycieku oszuści mogą znać kwoty i nieopłacone faktury.

Kogo dotyczy ten tekst?

Przedsiębiorcy — jednoosobowej działalności albo spółki — który wystawia faktury, prowadzi bazę klientów albo dokumenty w programie w chmurze, a dostawca poinformował go o incydencie. Dotyczy to klientów Fakturowni po włamaniu z 27–28 września 2026 r., gabinetów i przychodni, które MyDr zawiadomił o incydencie, ale też każdego innego dostawcy: zasady z RODO są te same.

Opisujemy obowiązki z przepisów i to, jak je wykonać. Ocena ryzyka w konkretnej firmie należy do niej samej jako administratora; przy wątpliwościach warto ją skonsultować z inspektorem ochrony danych, jeśli firma go wyznaczyła, albo z prawnikiem.

Co się stało w Fakturowni i MyDr?

Fakturownia. Według komunikatu firmy osoba nieuprawniona uzyskała dostęp do jej systemów i skopiowała dużą część bazy danych; dostęp trwał od 27 września 2026 r. ok. 3:20 do 28 września ok. 17:45. Firma pisze, że incydent dotyczy każdego konta, a dane nie zostały usunięte — było to więc naruszenie poufności, nie utrata danych. Fakturownia zgłosiła naruszenie Prezesowi UODO, CERT Polska i policji 29 września, a od 1 października wysyła zawiadomienia do właścicieli kont. Ministerstwo Finansów poinformowało, że zdarzenie nie dotyczy danych w Krajowym Systemie e-Faktur (KSeF).

MyDr. Dostawca oprogramowania dla placówek medycznych podał, że nieuprawniona strona trzecia skopiowała zawartość bazy danych z jego chmury sprzed 12 kwietnia 2024 r.; systemy działały dalej. Według UODO wyciek dotyczy 19 mln osób (MyDr podaje ok. 18 mln osób, których danych nie może wykluczyć), a do 17 września 2026 r. urząd dostał ponad 2 tys. zawiadomień od administratorów — czyli od placówek, które z MyDr korzystały.

Oba przypadki to wycieki. Na końcu tekstu piszemy też, co zrobić, gdy dane u dostawcy zginą albo program przestanie działać.

Czy wyciek u dostawcy programu to naruszenie ochrony danych Twojej firmy?

Tak, jeśli wśród danych są dane osobowe, których jesteś administratorem. RODO uznaje za naruszenie ochrony danych zarówno ich nieuprawnione ujawnienie, jak i przypadkowe zniszczenie lub utracenie (art. 4 pkt 12).

• Ty jesteś administratorem danych swoich klientów i kontrahentów, bo to Ty decydujesz, po co i jak je przetwarzasz (art. 4 pkt 7). Dane osobowe to informacje o osobach fizycznych — także o kontrahentach prowadzących jednoosobową działalność (art. 4 pkt 1).
• Dostawca programu jest podmiotem przetwarzającym (art. 4 pkt 8). Musi Cię zawiadomić o naruszeniu bez zbędnej zwłoki (art. 33 ust. 2). Fakturownia napisała wprost, że jej e-mail „Zawiadomienie o naruszeniu ochrony danych osobowych” jest takim zgłoszeniem.

Obowiązki wobec UODO i osób, których dane dotyczą, ma administrator, a nie dostawca.

Czy trzeba zgłosić wyciek danych do UODO i w jakim terminie?

Zgłaszasz naruszenie Prezesowi UODO w ciągu 72 godzin od jego stwierdzenia, chyba że jest mało prawdopodobne, by skutkowało ryzykiem dla osób, których dane dotyczą (art. 33 ust. 1 RODO). Zgłoszenie po terminie musi wyjaśniać przyczyny opóźnienia.

Od kiedy liczyć 72 godziny? Według wytycznych EROD 9/2022 (pkt 44) administrator co do zasady stwierdza naruszenie, gdy poinformuje go podmiot przetwarzający. Fakturownia zwraca uwagę, że jeśli wcześniej miałeś dostateczną pewność co do incydentu — np. z jej komunikatu z 29 września — termin mógł zacząć biec wcześniej.

Kiedy zgłoszenie może nie być potrzebne? UODO w komunikacie z 5 października 2026 r. wskazał, że ryzyko jest zwykle mało prawdopodobne, gdy ujawniono tylko dane przedsiębiorców jawne w CEIDG — imię i nazwisko, nazwę firmy, NIP, oficjalny adres. Obowiązek zgłoszenia powstaje natomiast w szczególności wtedy, gdy razem z nimi ujawniono informacje, które mogą umożliwić oszustwo, kradzież tożsamości, profilowanie albo socjotechnikę; według UODO ryzyko zapewne wystąpi m.in. przy numerze PESEL, szczegółach zakupów lub usług wskazujących na stan zdrowia i informacjach finansowych.

Jak zgłosić? Elektronicznie, formularzem w serwisie biznes.gov.pl, podpisanym profilem zaufanym albo podpisem kwalifikowanym; usługa jest bezpłatna. Zgłoszenie opisuje charakter naruszenia, kategorie i przybliżoną liczbę osób, dane kontaktowe, możliwe konsekwencje i podjęte środki (art. 33 ust. 3). Jeśli nie znasz jeszcze wszystkich informacji, złóż zgłoszenie wstępne i uzupełniaj je bez zbędnej zwłoki (art. 33 ust. 4).

Rejestr naruszeń prowadzisz zawsze. Nawet gdy uznasz, że zgłoszenie nie jest potrzebne, dokumentujesz naruszenie, jego skutki i podjęte działania (art. 33 ust. 5), a w rejestrze zapisujesz, dlaczego nie zgłosiłeś — przypomniał UODO.

Kiedy zawiadomić klientów i kontrahentów o wycieku?

Gdy naruszenie może powodować wysokie ryzyko dla osób, których dane dotyczą — wtedy zawiadamiasz je bez zbędnej zwłoki, prostym językiem (art. 34 ust. 1–2 RODO). Zawiadomienie nie jest wymagane w trzech przypadkach: gdy dane były zabezpieczone tak, że osoby nieuprawnione nie mogą ich odczytać (np. szyfrowaniem), gdy później wyeliminowałeś wysokie ryzyko albo gdy zawiadomienie każdego wymagałoby niewspółmiernego wysiłku — wtedy wydajesz komunikat publiczny (art. 34 ust. 3). UODO może zażądać zawiadomienia, jeśli go nie wysłałeś (art. 34 ust. 4).

Fakturownia oceniła ryzyko dla danych, których sama jest administratorem, jako wysokie i podała to jako punkt odniesienia dla klientów. Wskazała też, o czym warto uprzedzić kontrahentów: o podszywaniu się i fałszywych wezwaniach do zapłaty.

Jak ochronić firmę przed fałszywymi fakturami po wycieku?

Wyciek danych z faktur może dać oszustom prawdziwe kwoty, nazwy kontrahentów i wiedzę, które faktury są nieopłacone. Fakturownia zaleca swoim klientom:

1. Ustawić nowe hasło do programu, zmienić je w innych serwisach, jeśli było takie samo, i sprawdzić listę użytkowników konta.
2. Wpisać nowe klucze API w integracjach własnych i zewnętrznych dostawców; integracji z zakładki „Integracje i dodatki” incydent nie objął.
3. Każdą prośbę o zmianę numeru rachunku albo nietypowy przelew potwierdzać z kontrahentem pod znanym wcześniej numerem telefonu — nie numerem z podejrzanej wiadomości.
4. Sprawdzać rachunki kontrahentów na białej liście podatników VAT i numery rachunków na własnych fakturach.
5. Nie otwierać linków i załączników z nieoczekiwanych wiadomości, a podejrzane SMS-y przesyłać do CERT Polska na numer 8080.

Przy podejrzeniu oszustwa albo nieuprawnionego przelewu od razu dzwonisz do banku, zawiadamiasz policję i zachowujesz wiadomości jako dowody. Numer rachunku z białej listy sprawdzisz w naszym bezpłatnym narzędziu Sprawdź kontrahenta po NIP.

Co z fakturami i księgami, gdy dane u dostawcy zginą?

Utrata danych wskutek incydentu bezpieczeństwa — zniszczenie albo brak dostępu, np. po ataku lub awarii — też jest naruszeniem ochrony danych osobowych (art. 4 pkt 12 RODO) i też trafia do rejestru naruszeń, nawet gdy dostęp wraca po chwili; zaplanowana przerwa techniczna naruszeniem nie jest (wytyczne EROD 9/2022, pkt 21–22). Dla podatków liczą się trzy rzeczy:

• Faktury z KSeF nie zginą razem z danymi dostawcy. Faktury ustrukturyzowane przechowuje KSeF przez 10 lat od końca roku ich wystawienia i w tym czasie nie musisz ich przechowywać sam (art. 112aa ustawy o VAT). Pobierzesz je z Aplikacji Podatnika KSeF, niezależnie od tego, w jakim programie je wystawiłeś.
• Faktury spoza KSeF trzeba odtworzyć. Chodzi m.in. o faktury sprzed obowiązku KSeF (1 lutego albo 1 kwietnia 2026 r.), wystawione poza KSeF w ramach limitu 10 000 zł brutto miesięcznie, który obowiązuje do końca 2026 r. (art. 145m ustawy o VAT), faktury z kas rejestrujących (art. 145n), faktury dla konsumentów i faktury od zagranicznych dostawców. Co jeszcze zmienia się w KSeF od 1 stycznia 2027 r., piszemy w tekście KSeF od 1 stycznia 2027. Gdy faktura zaginie, wystawiasz ją ponownie na podstawie egzemplarza nabywcy (fakturę elektroniczną możesz też na jego wniosek udostępnić ponownie); faktura wystawiona ponownie może mieć wyraz „DUPLIKAT” (art. 106l ust. 2, 3 i 5 ustawy o VAT).
• Obowiązek przechowywania zostaje. Księgi i dokumenty, w tym faktury, przechowujesz do przedawnienia zobowiązania podatkowego (art. 86 § 1 Ordynacji podatkowej, dla faktur także art. 112 ustawy o VAT), czyli co do zasady 5 lat od końca roku, w którym minął termin płatności podatku (art. 70 § 1). Osobnego zawiadamiania urzędu skarbowego o utracie danych z programu do faktur przepisy nie przewidują. Wyjątkiem są kasy rejestrujące: utratę kasy, także w postaci oprogramowania, zgłaszasz naczelnikowi urzędu skarbowego w ciągu 5 dni, a awarię kasy w postaci oprogramowania z błędem weryfikacji danych w jej bazie — w ciągu 24 godzin (§ 10 ust. 1 rozporządzenia w sprawie kas rejestrujących, § 12 ust. 1–2 rozporządzenia w sprawie kas rejestrujących mających postać oprogramowania).

Gdy program do faktur nie działa, a musisz wystawić fakturę, wystawisz ją w KSeF w bezpłatnej Aplikacji Podatnika KSeF albo w aplikacji mobilnej KSeF Ministerstwa Finansów. Tryb offline24 — faktura wystawiona poza KSeF według wzoru i przesłana do KSeF niezwłocznie, najpóźniej następnego dnia roboczego (art. 106nda ustawy o VAT) — wymaga certyfikatu KSeF i programu, który go obsługuje; bezpłatne aplikacje MF wystawiają faktury online.

Co zrobić krok po kroku po wycieku danych u dostawcy?

1. Przeczytaj zawiadomienie od dostawcy i zapisz datę i godzinę, kiedy się o naruszeniu dowiedziałeś — od tej chwili liczysz 72 godziny.
2. Ustal, jakie dane wyciekły: czy są wśród nich dane osób fizycznych, numery PESEL, dane o zdrowiu, numery rachunków, treść faktur. Klienci Fakturowni widzą szczegóły dla swojego konta w panelu „Naruszenie ochrony danych” po zalogowaniu.
3. Oceń ryzyko i zapisz ocenę w rejestrze naruszeń — także wtedy, gdy nie zgłaszasz naruszenia.
4. W ciągu 72 godzin złóż zgłoszenie w biznes.gov.pl, jeśli ryzyko nie jest mało prawdopodobne; brakujące informacje uzupełnisz później.
5. Zawiadom osoby, których dane dotyczą, gdy ryzyko jest wysokie, i uprzedź kontrahentów o fałszywych fakturach.
6. Zabezpiecz konto: nowe hasła, nowe klucze API, przegląd użytkowników.
7. Sprawdź swoje dokumenty: faktury w KSeF, eksport z programu, kopie faktur spoza KSeF.
8. Przejrzyj umowę powierzenia z dostawcą: RODO pozwala korzystać tylko z podmiotów przetwarzających, które dają wystarczające gwarancje bezpieczeństwa (art. 28 ust. 1), a umowa ma je zobowiązywać do pomocy przy zgłoszeniu i zawiadomieniu (art. 28 ust. 3 lit. f).

Podstawa prawna

• Rozporządzenie (UE) 2016/679 (RODO): art. 4 pkt 1, 7, 8 i 12, art. 28 ust. 1 i ust. 3 lit. f, art. 33, art. 34.
• Wytyczne EROD 9/2022 dotyczące zgłaszania naruszenia ochrony danych osobowych na podstawie RODO, wersja 2.0 z 28 marca 2023 r.: pkt 21, 22 i 44.
• Komunikat Prezesa UODO „Nie każde naruszenie ochrony danych wymaga zgłoszenia do Prezesa UODO” z 5 października 2026 r.
• Ustawa o podatku od towarów i usług (Dz.U. z 2026 r. poz. 1263 ze zm.): art. 106l, art. 106nda, art. 112, art. 112aa, art. 145m, art. 145n.
• Ordynacja podatkowa (Dz.U. z 2026 r. poz. 622 ze zm.): art. 70 § 1, art. 86 § 1.
• Rozporządzenie Ministra Finansów z 25 czerwca 2025 r. w sprawie kas rejestrujących (Dz.U. z 2025 r. poz. 845): § 10 ust. 1; rozporządzenie Ministra Finansów z 25 czerwca 2025 r. w sprawie kas rejestrujących mających postać oprogramowania (Dz.U. z 2025 r. poz. 861): § 12 ust. 1–2.

Sprawdź u siebie

Faktury sprzedażowe i zakupowe pobieramy z KSeF i ujmujemy w ewidencjach w ramach abonamentu (§ 3 pkt 7 umowy), więc w tej części księgowość nie zależy od programu, w którym je wystawiasz. Dokumenty spoza KSeF, np. faktury dla konsumentów i zagraniczne, przekazujesz nam sam (§ 6 ust. 3 lit. c umowy). Jak chronimy dane klientów, opisuje strona Zaufanie i bezpieczeństwo. Zakres obsługi opisuje strona księgowość JDG. Jeśli rozważasz zmianę biura, zrobisz to także w trakcie roku — co trzeba wtedy odebrać od poprzedniego, piszemy w tekście Czy można zmienić biuro rachunkowe w trakcie roku. Cenę dla swojej firmy policzysz w kalkulatorze: Sprawdź cenę.

Najczęstsze pytania

Czy po wycieku w Fakturowni trzeba zgłosić naruszenie do UODO? To zależy od oceny ryzyka, którą robi każda firma jako administrator danych kontrahentów (art. 33 ust. 1 RODO). Według UODO ujawnienie samych danych jawnych w CEIDG zwykle nie wymaga zgłoszenia, a ujawnienie m.in. numeru PESEL, danych o zdrowiu czy informacji finansowych — zwykle wymaga. Ocenę i jej wynik zapisujesz w rejestrze naruszeń w każdym przypadku.

Od kiedy liczy się 72 godziny na zgłoszenie naruszenia? Od stwierdzenia naruszenia przez administratora (art. 33 ust. 1 RODO). Według wytycznych EROD 9/2022 następuje to co do zasady wtedy, gdy poinformuje Cię dostawca programu; jeśli wcześniej miałeś dostateczną pewność co do incydentu, termin mógł zacząć biec wcześniej.

Czy wyciek z Fakturowni objął dane w KSeF? Nie. Ministerstwo Finansów poinformowało 29 września 2026 r., że zdarzenie nie dotyczy danych zawartych w Krajowym Systemie e-Faktur. Z bazy samej Fakturowni skopiowano jednak m.in. kwoty z faktur z całego okresu (komunikat Fakturowni).

Czy trzeba zawiadomić urząd skarbowy, że dane wyciekły albo zginęły? Przy programie do faktur przepisy nie przewidują takiego zawiadomienia; wyjątkiem jest utrata kasy rejestrującej, także w postaci oprogramowania, którą zgłasza się w ciągu 5 dni. Obowiązek przechowywania ksiąg i dokumentów do przedawnienia zostaje (art. 86 § 1 Ordynacji podatkowej), a faktury z KSeF przechowuje przez 10 lat KSeF (art. 112aa ustawy o VAT).

Jak rozpoznać fałszywą fakturę po wycieku danych? Podejrzana jest każda prośba o przelew na nowy numer rachunku albo pilną płatność, nawet z prawdziwymi kwotami i numerami faktur. Potwierdź ją telefonicznie pod znanym wcześniej numerem kontrahenta i sprawdź rachunek na białej liście podatników VAT.

Stan prawny na 15 października 2026 r. Artykuł ma charakter informacyjny i nie stanowi porady prawnej ani podatkowej.