Po ataku na Fakturownię wielu przedsiębiorców zadaje sobie pytanie: czy muszę teraz wysłać wiadomość do wszystkich swoich klientów?
Odpowiedź brzmi: nie zawsze.
RODO wymaga, aby najpierw ustalić rzeczywisty zakres naruszenia i ocenić ryzyko dla osób, których dane dotyczą. Dopiero wynik tej analizy pozwala ustalić, czy wystarczy udokumentować naruszenie i ewentualnie zgłosić je do UODO, czy konieczne jest również bezpośrednie poinformowanie klientów.
Nie należy ani bagatelizować incydentu, ani niepotrzebnie alarmować klientów informacją, że „wyciekły wszystkie dane”, jeżeli nie wynika to z informacji dotyczących konkretnego konta.
Jeżeli nie sprawdziłeś jeszcze, jaki zakres danych został pobrany i czy trzeba dokonać zgłoszenia do UODO, zacznij od pierwszego poradnika:
Atak hakerski na Fakturownię – wyciek danych, obowiązki RODO i zgłoszenie do UODO
1. Kiedy trzeba poinformować klienta?
Podstawą jest art. 34 RODO.
Jeżeli naruszenie ochrony danych osobowych może powodować wysokie ryzyko naruszenia praw lub wolności osoby fizycznej, administrator powinien bez zbędnej zwłoki zawiadomić tę osobę.
Nie chodzi więc o każde naruszenie i nie o każdą informację znajdującą się w systemie.
Znaczenie mają m.in.:
- rodzaj ujawnionych danych,
- liczba danych dotyczących jednej osoby,
- możliwość identyfikacji konkretnej osoby,
- informacje finansowe i płatnicze,
- numery rachunków,
- treść notatek lub dodatkowych pól,
- możliwość wykorzystania danych do phishingu lub oszustwa.
Uwaga: RODO chroni dane osób fizycznych. Sama nazwa spółki z o.o. czy jej dane rejestrowe nie są danymi osobowymi spółki. W systemach fakturowych mogą jednak występować dane przedsiębiorców jednoosobowych, pracowników, członków zarządów i osób kontaktowych.
2. Najpierw ustal zakres danych dotyczących Twojego konta
Przed wysłaniem zawiadomienia należy sprawdzić indywidualną informację udostępnioną przez Fakturownię.
Dla części użytkowników zakres danych może być stosunkowo ograniczony i dotyczyć głównie kwot faktur, informacji o płatnościach lub dodatkowych pól.
Dla starszych kont zakres może być większy i obejmować m.in. dane kontrahentów, takie jak:
- imię i nazwisko,
- NIP,
- adres,
- e-mail,
- telefon,
- numer rachunku bankowego,
- notatki i pola własne.
Dodatkowo Fakturownia poinformowała o szczególnej grupie około 2 250 kont, z których pobrany został szerszy zakres danych z lat 2022–2026. Dlatego nie należy przygotowywać zawiadomienia wyłącznie na podstawie daty założenia konta.
3. Wzór 1 – ograniczony zakres danych
Ten wariant można rozważyć, gdy indywidualne informacje dotyczące konta wskazują na ograniczony zakres danych.
Temat: Informacja dotycząca bezpieczeństwa danych w serwisie Fakturownia.pl
Szanowni Państwo,
piszemy do Państwa, ponieważ zależy nam na bezpieczeństwie danych i pełnej przejrzystości. Otrzymaliśmy od operatora zewnętrznego serwisu Fakturownia.pl informację o incydencie bezpieczeństwa.
Na podstawie otrzymanych informacji oceniamy, że zakres danych dotyczących naszych klientów jest ograniczony.
Potencjalnie mogły zostać pobrane przede wszystkim informacje o kwotach faktur i stanie ich zapłaty, dane znajdujące się w dodatkowych polach faktur oraz niektóre informacje dotyczące płatności.
Na obecnym etapie nie posiadamy informacji, aby dane te zostały wykorzystane do oszustwa lub zostały publicznie udostępnione.
Ze względów ostrożności prosimy jednak zwrócić szczególną uwagę na wiadomości dotyczące płatności, zwłaszcza informacje o zmianie numeru rachunku, pilnej zapłacie lub nietypowym wezwaniu do przelewu.
Każdą nietypową informację dotyczącą płatności najlepiej potwierdzić, kontaktując się z nami przy użyciu znanych Państwu wcześniej danych kontaktowych.
Prosimy również nie przekazywać haseł, kodów BLIK ani kodów autoryzacyjnych w odpowiedzi na nieoczekiwane wiadomości oraz nie otwierać podejrzanych linków i załączników.
Monitorujemy sprawę. Jeżeli otrzymamy informacje wskazujące na szerszy zakres naruszenia dotyczący konkretnych osób, poinformujemy o tym bezpośrednio.
W razie pytań lub potrzeby zweryfikowania podejrzanej wiadomości pozostajemy do Państwa dyspozycji.
Z poważaniem
[NAZWA FIRMY]
4. Wzór 2 – szerszy zakres danych
Jeżeli indywidualna informacja z Fakturowni potwierdza, że naruszenie dotyczyło danych konkretnych osób i zakres może powodować wysokie ryzyko, zawiadomienie powinno dokładniej wskazywać, co się wydarzyło i jakie dane zostały objęte incydentem.
Temat: Ważna informacja o naruszeniu ochrony danych
Szanowni Państwo,
informujemy o incydencie bezpieczeństwa po stronie zewnętrznego serwisu Fakturownia.pl, którego używamy do obsługi faktur.
Operator poinformował nas, że osoba nieuprawniona uzyskała dostęp do systemu i skopiowała część danych.
Na podstawie informacji dotyczących naszego konta ustaliliśmy, że zdarzenie mogło obejmować następujące Państwa dane:
- [WPISAĆ WYŁĄCZNIE POTWIERDZONE KATEGORIE DANYCH],
- [NP. IMIĘ I NAZWISKO / NIP / ADRES],
- [NP. E-MAIL / TELEFON],
- [NP. NUMER RACHUNKU],
- [NP. INFORMACJE O FAKTURACH LUB PŁATNOŚCIACH].
Nie oznacza to, że dane zostały wykorzystane w nieuczciwym celu. Zdarzenie może jednak zwiększać ryzyko otrzymania wiarygodnie wyglądających fałszywych wiadomości, faktur lub wezwań do zapłaty.
Prosimy zatem zachować szczególną ostrożność w przypadku:
- wiadomości o zmianie rachunku bankowego,
- próśb o pilny przelew,
- nietypowych wezwań do zapłaty,
- wiadomości zawierających link do płatności lub prośbę o podanie danych dostępowych.
Każdą zmianę numeru rachunku lub nietypową płatność prosimy potwierdzić z nami niezależnym kanałem, np. telefonicznie pod numerem znanym Państwu z dotychczasowej współpracy.
Jeżeli otrzymają Państwo podejrzaną wiadomość dotyczącą naszej firmy, prosimy jej nie usuwać i skontaktować się z nami. Pomożemy zweryfikować jej autentyczność i ustalić dalsze działania.
Jeżeli uzyskamy dodatkowe informacje mające znaczenie dla Państwa bezpieczeństwa, przekażemy je bez zbędnej zwłoki.
Kontakt w sprawie zdarzenia:
[IMIĘ I NAZWISKO / FUNKCJA]
[E-MAIL]
[TELEFON]
Z poważaniem
[NAZWA FIRMY]
5. Jak napisać dobre zawiadomienie o naruszeniu?
Zawiadomienie powinno być napisane prostym i zrozumiałym językiem.
Powinno przede wszystkim:
- wyjaśnić, co się wydarzyło,
- wskazać rzeczywisty zakres danych dotyczących danej osoby,
- opisać możliwe konsekwencje,
- podać praktyczne środki ostrożności,
- wskazać punkt kontaktowy,
- opisać podjęte lub planowane działania.
Nie należy kopiować pełnej listy danych wskazanej w ogólnym komunikacie Fakturowni, jeżeli część tych kategorii nie dotyczy danego konta.
Nie należy również pisać, że „wyciekła cała baza klientów”, jeżeli nie ma podstaw do takiego stwierdzenia.
6. Co może zrobić osoba, której dane zostały objęte naruszeniem?
Najważniejszym działaniem jest zwiększona ostrożność przy wiadomościach związanych z pieniędzmi i płatnościami.
W szczególności warto:
- sprawdzać numer rachunku przed wykonaniem przelewu,
- nie akceptować zmiany rachunku wyłącznie na podstawie wiadomości e-mail,
- potwierdzać nietypowe żądania płatnicze telefonicznie,
- nie przekazywać kodów BLIK, haseł i kodów autoryzacyjnych,
- nie otwierać podejrzanych linków i załączników,
- zachować podejrzaną wiadomość jako dowód.
Jeżeli doszło już do przelewu na podejrzany rachunek, należy niezwłocznie skontaktować się z bankiem. W przypadku podejrzenia oszustwa należy również rozważyć zawiadomienie Policji.
7. Jakie prawa ma osoba, której dane dotyczą?
Jeżeli incydent dotyczy danych osobowych osoby fizycznej, może ona korzystać z praw przewidzianych w RODO.
- Art. 77 RODO – prawo wniesienia skargi do Prezesa UODO.
- Art. 79 RODO – prawo do skutecznego środka ochrony prawnej przed sądem.
- Art. 82 RODO – możliwość dochodzenia odszkodowania w przypadku szkody majątkowej lub niemajątkowej spowodowanej naruszeniem RODO.
Sama spółka jako osoba prawna nie jest osobą, której dane osobowe chroni RODO. Jeżeli jednak informacje zostaną wykorzystane do oszustwa, podszywania się pod przedsiębiorstwo lub wyłudzenia pieniędzy, przedsiębiorca może korzystać również z ochrony wynikającej z przepisów prawa cywilnego i karnego.
8. Podstawa prawna
- art. 33 RODO – zgłoszenie naruszenia Prezesowi UODO,
- art. 34 RODO – zawiadomienie osób w przypadku wysokiego ryzyka,
- art. 77 RODO – prawo do skargi do Prezesa UODO,
- art. 79 RODO – prawo do ochrony sądowej,
- art. 82 RODO – prawo do odszkodowania za szkodę spowodowaną naruszeniem RODO.
Potrzebujesz pomocy przy naruszeniu danych po incydencie Fakturowni?
AIF Kancelaria może pomóc w:
- analizie indywidualnego komunikatu Fakturowni,
- ocenie ryzyka,
- ustaleniu obowiązku zgłoszenia do Prezesa UODO,
- przygotowaniu zgłoszenia,
- opracowaniu informacji dla klientów i kontrahentów,
- ocenie dalszych działań w razie próby wykorzystania skradzionych danych.
Jeżeli nie wiesz jeszcze, czy naruszenie powinno zostać zgłoszone do UODO, przeczytaj również:
Atak hakerski na Fakturownię – wyciek danych, obowiązki RODO i zgłoszenie do UODO
Wzory mają charakter ogólny i przed użyciem powinny zostać dostosowane do rzeczywistego zakresu naruszenia dotyczącego konkretnego konta i konkretnej osoby.
Skorzystaj z profesjonalnego wsparcia AIF Kancelaria – zleć pomoc AIF Kancelarii