Pod koniec września Fakturownia poinformowała o naruszeniu ochrony danych osobowych. Jeśli Twoja firma korzysta z tego programu, sprawa dotyczy także Ciebie – bo w Twoim koncie są dane Twoich kontrahentów, a za nie odpowiadasz jako administrator. Wyjaśniamy, co się wydarzyło, kto i co powinien teraz zrobić, i w czym możemy Cię wyręczyć.
Korzystasz z Fakturowni i nie wiesz, czy musisz zgłosić naruszenie? Ocenimy ryzyko i przejmiemy formalności – także wtedy, gdy termin 72 godzin już minął. Oddzwaniamy tego samego dnia roboczego.
Co się stało?
Według komunikat Fakturowni (Aktualizacja nr 1 z 1 października 2026 r.):
- do incydentu doszło między 27 a 28 września 2026 r., a Fakturownia stwierdziła naruszenie 28 września,
- osoba nieuprawniona uzyskała dostęp do systemów i skopiowała dużą część bazy danych,
- według Fakturowni dane nie zostały dotychczas upublicznione,
- Fakturownia zgłosiła sprawę Prezesowi UODO, CERT Polska i Centralnemu Biuru Zwalczania Cyberprzestępczości,
- użytkownicy otrzymali e-mailem „Zawiadomienie o naruszeniu ochrony danych osobowych”.
Fakturownia zapowiada publikowanie kolejnych ustaleń na stronie z komunikatem. Warto ją śledzić – zakres danych opisany w pierwszym komunikacie z 29 września był szerszy niż w późniejszej aktualizacji.
Jakie dane objął wyciek?
Komunikat dzieli dane na dwie grupy – i to rozróżnienie jest kluczowe.
Dane, za które odpowiada Fakturownia
- dane firm i użytkowników: imiona i nazwiska, adresy e-mail, telefony, NIP, adresy,
- dane rachunków bankowych firm, w tym numery kont,
- zaszyfrowane (zahashowane) hasła, klucze API i tokeny integracji, identyfikatory sesji,
- kwoty faktur.
Dane, za które odpowiada Twoja firma
- dane kontrahentów dodanych do systemu przed 16 października 2024 r.,
- pełna treść faktur wystawionych przed 22 marca 2021 r., a pozycje faktur sprzed 6 czerwca 2019 r.,
- dane płatności, katalogi produktów i informacje o załącznikach.
Według komunikatu wyciek nie objął certyfikatów KSeF, danych logowania do banku ani danych kart płatniczych.
Kto odpowiada za dane Twoich kontrahentów?
Ty. W zakresie danych kontrahentów i treści faktur administratorem danych jest firma, która korzysta z Fakturowni, a Fakturownia jest podmiotem przetwarzającym. Dlatego e-mail od Fakturowni pełni rolę powiadomienia administratora o naruszeniu (art. 33 ust. 2 RODO), a ocena ryzyka i decyzja o zgłoszeniu do UODO oraz o zawiadomieniu osób należy do Ciebie. Zgłoszenie dokonane przez Fakturownię dotyczy danych, za które odpowiada ona sama.
Termin 72 godzin już minął – co teraz?
Naruszenie trzeba zgłosić Prezesowi UODO w ciągu 72 godzin od jego stwierdzenia. Fakturownia zaznacza, że w przypadku użytkowników termin ten mógł zacząć biec wcześniej – np. jeśli dowiedzieli się o incydencie z mediów. Dla większości firm minął więc na początku października.
To nie znaczy, że sprawa jest zamknięta. Masz dwie drogi:
- zgłosić naruszenie mimo upływu terminu – dołączając wyjaśnienie przyczyn opóźnienia (art. 33 ust. 1 RODO),
- udokumentować decyzję o braku zgłoszenia – jeśli ocena wykaże, że ryzyko dla osób jest mało prawdopodobne.
W obu przypadkach naruszenie musi trafić do wewnętrznego rejestru naruszeń (art. 33 ust. 5 RODO). Prezes UODO nakładał już kary za niezgłoszenie naruszeń, które powinny były zostać zgłoszone – dlatego ryzykiem jest przede wszystkim brak reakcji, a nie samo zgłoszenie.
Jak ocenić ryzyko?
Ocena zależy od sytuacji konkretnej firmy. Kluczowe pytania:
- Od kiedy korzystasz z Fakturowni? Daty z komunikatu mają ogromne znaczenie – firma z kontem od 2019 r. ma w wycieku znacznie więcej danych niż firma, która zaczęła w 2025 r.
- Kim są Twoi kontrahenci? Dane osób fizycznych, w tym konsumentów i jednoosobowych działalności gospodarczych, to dane osobowe. W przypadku spółek – dane osób kontaktowych.
- Jakie dane były na fakturach? Im więcej szczegółów, tym większe ryzyko.
- Czy dane można połączyć? Dane kontrahentów, kwoty faktur i numery kont razem tworzą idealny materiał dla oszustów.
Jeśli ryzyko dla osób jest wysokie, trzeba je także zawiadomić – jasnym i prostym językiem, ze wskazaniem możliwych konsekwencji i zalecanych działań (art. 34 RODO).
Największe zagrożenie: fałszywe faktury
Dane z wycieku pozwalają przygotować bardzo wiarygodne oszustwo: fałszywą fakturę lub wiadomość „od Twojej firmy” z podmienionym numerem konta, wysłaną do Twoich kontrahentów – z prawdziwymi nazwami, adresami i kwotami.
- uprzedź kontrahentów, że każdą zmianę numeru konta potwierdzasz telefonicznie, i poproś, by sami tak robili,
- zachowaj ostrożność wobec nieoczekiwanych e-maili, telefonów i SMS-ów „od Fakturowni”, banku, urzędów czy kontrahentów,
- podejrzane SMS-y przekazuj do CERT Polska na numer 8080.
Co zrobisz samodzielnie w 10 minut
- Ustaw nowe hasło w Fakturowni – a jeśli używałeś tego samego hasła w innych serwisach, zmień je także tam.
- Wymień klucze API w integracjach, np. ze sklepem internetowym czy systemem księgowym.
- Sprawdź, od kiedy korzystasz z Fakturowni i kiedy dodawałeś kontrahentów – to podstawa oceny ryzyka.
- Zachowaj e-mail z zawiadomieniem od Fakturowni – będzie potrzebny w dokumentacji.
W czym kancelaria może Cię wyręczyć
- Ocena ryzyka – analiza, jakie dane Twojej firmy faktycznie objął wyciek, z uwzględnieniem dat z komunikatu.
- Decyzja o zgłoszeniu – i jej udokumentowanie na piśmie, na wypadek pytań UODO.
- Zgłoszenie do Prezesa UODO – także po upływie 72 godzin, z wyjaśnieniem przyczyn opóźnienia.
- Wpis do rejestru naruszeń – również wtedy, gdy zgłoszenie nie jest potrzebne.
- Zawiadomienie osób, których dane dotyczą – jeśli ryzyko jest wysokie.
- Komunikat ostrzegawczy do kontrahentów – gotowy do wysłania, o fałszywych fakturach i potwierdzaniu numerów kont.
- Przegląd umowy powierzenia z dostawcą programu.
- Pomoc, gdy już zgłosiłeś naruszenie – zgłoszenie uzupełniające i odpowiedzi na pisma UODO.
Wycenę przedstawiamy po krótkiej rozmowie, zanim rozpoczniemy pracę. Współpraca może odbywać się w całości zdalnie – pomagamy firmom z całej Polski.
Najczęstsze pytania
Kliknij pytanie, aby zobaczyć odpowiedź.
Czy każdy użytkownik Fakturowni musi zgłosić naruszenie do UODO?
Nie automatycznie. Zgłoszenie jest wymagane, chyba że naruszenie jest mało prawdopodobne, by skutkowało ryzykiem dla osób, których dane dotyczą. Decyzję podejmuje każda firma na podstawie własnej oceny ryzyka – a decyzję o braku zgłoszenia warto mieć udokumentowaną.
Fakturownia zgłosiła naruszenie – czy to nie wystarczy?
Fakturownia zgłosiła naruszenie jako administrator danych, za które sama odpowiada. W zakresie danych Twoich kontrahentów administratorem jesteś Ty – i to Ty oceniasz ryzyko oraz decydujesz o zgłoszeniu.
Od kiedy liczy się termin 72 godzin?
Od stwierdzenia naruszenia przez administratora. W praktyce najpóźniej od otrzymania zawiadomienia od Fakturowni, a według samej Fakturowni – mógł zacząć biec wcześniej, np. gdy dowiedziałeś się o incydencie z mediów. Po upływie terminu nadal można dokonać zgłoszenia, z wyjaśnieniem przyczyn opóźnienia.
Czy muszę zawiadomić kontrahentów?
Obowiązek zawiadomienia osób powstaje wtedy, gdy naruszenie może powodować wysokie ryzyko dla ich praw lub wolności (art. 34 RODO). Niezależnie od tego warto uprzedzić wszystkich kontrahentów o ryzyku fałszywych faktur – to prosty krok, który może uchronić ich przed stratą.
Zgłosiłem już naruszenie samodzielnie. Co dalej?
Śledź kolejne aktualizacje Fakturowni – jeśli pojawią się nowe informacje o zakresie danych, może być potrzebne zgłoszenie uzupełniające. Zachowaj dokumentację i przygotuj się na ewentualne pytania UODO.
Czy muszę coś zrobić w sprawie umowy z Fakturownią?
Warto sprawdzić, jak uregulowane jest powierzenie przetwarzania danych – w umowie lub regulaminie – i zachować w dokumentacji wszystkie informacje otrzymane od dostawcy o incydencie.
Nie chcesz następnym razem działać pod presją czasu?
Incydent u dostawcy może dotknąć każdą firmę. Najłatwiej przechodzą przez niego te, które mają procedurę na wypadek naruszenia i kogoś, do kogo mogą od razu zadzwonić. Zobacz, jak pomagamy przy naruszeniach i wyciekach danych i na czym polega stała opieka Inspektora Ochrony Danych.
Autor: radca prawny Emilia Więsław, Inspektor Ochrony Danych. Artykuł opracowano na podstawie publicznego komunikat Fakturowni (Aktualizacja nr 1 z 1 października 2026 r.) oraz art. 33 i 34 RODO. Stan na 13 października 2026 r. Artykuł ma charakter informacyjny i nie stanowi porady prawnej w indywidualnej sprawie.