0
0.00 zł
Placówki oświatowe

Wyciek danych u dostawcy systemu, z którego korzysta szkoła. Kto zgłasza naruszenie?

2026-10-08
r.pr. Mateusz Pęczkowski
Naruszenie ochrony danych u dostawcy systemu, z którego korzysta szkoła
W tym artykule:

Naruszenie ochrony danych u dostawcy systemu: co musi zrobić placówka oświatowa?

Naruszenie ochrony danych może dotknąć szkołę czy przedszkole nawet wtedy, gdy placówka nie popełniła żadnego błędu. Wystarczy, że zaatakowany zostanie dostawca systemu, z którego placówka korzysta na co dzień: dziennika elektronicznego, platformy płatności, programu do wystawiania faktur. Ostatnie tygodnie pokazały, że to nie jest scenariusz teoretyczny.

Najważniejsza informacja: gdy wyciek następuje u dostawcy, obowiązki wobec Prezesa UODO i wobec rodziców spoczywają na placówce. Dostawca ma pomóc, ale zgłoszenia za placówkę nie dokona.

1. MyDr i Fakturownia: dwa incydenty, tysiące administratorów

W sierpniu 2026 r. doszło do wycieku z MyDr, systemu elektronicznej dokumentacji medycznej. Według doniesień medialnych incydent objął dane ok. 18,8 mln osób, w tym numery PESEL i dane o zdrowiu, a z systemu korzystało ok. 12 tys. placówek medycznych. Pod koniec września zaatakowana została Fakturownia.pl. Jak podaje „Rzeczpospolita”, spółka potwierdziła, że incydent dotyczy każdego konta w serwisie, a klientów może być ponad 600 tys.

W obu przypadkach dostawca działał jako podmiot przetwarzający. Obowiązki z RODO spadły więc na każdy gabinet, każdą firmę i każdą placówkę korzystającą z systemu, osobno. Skala problemu rośnie także w statystykach: według sprawozdania Prezesa UODO w 2025 r. administratorzy zgłosili 22 435 naruszeń, o 51% więcej niż rok wcześniej.

2. Dostawca systemu to podmiot przetwarzający, a nie administrator

Firma, która dostarcza placówce dziennik elektroniczny, system rekrutacji czy program księgowy, przetwarza dane w imieniu placówki. Jej obowiązki w razie incydentu są dwa: bez zbędnej zwłoki zawiadomić administratora o naruszeniu (art. 33 ust. 2 RODO) oraz pomóc mu w wykonaniu obowiązków związanych z bezpieczeństwem danych (art. 28 ust. 3 lit. f RODO).

Ocena ryzyka, zgłoszenie do Prezesa UODO (art. 33 ust. 1 RODO) i, przy wysokim ryzyku, zawiadomienie osób, których dane dotyczą (art. 34 ust. 1 RODO), należą do placówki jako administratora. Komunikat dostawcy, że „zgłosił sprawę do UODO”, nie zwalnia placówki z własnej oceny i własnego zgłoszenia.

3. Termin 72 godzin biegnie od wiadomości od dostawcy

Administrator zgłasza naruszenie bez zbędnej zwłoki, w miarę możliwości nie później niż w terminie 72 godzin po jego stwierdzeniu. Naruszenie jest „stwierdzone” wtedy, gdy administrator z rozsądnym stopniem pewności wie, że do niego doszło. W sytuacji wycieku u dostawcy jest to w practical chwila, w której do placówki dociera wiadomość od firmy z informacją o incydencie.

Termin liczy się w godzinach zegarowych. Jeżeli e-mail od dostawcy przyjdzie w piątek po południu, termin upłynie w poniedziałek. Weekend, ferie ani dzień wolny od zajęć nie wstrzymują jego biegu. Dlatego tak ważne jest, by w placówce było wiadomo, kto odbiera takie wiadomości i komu natychmiast je przekazuje.

4. Jakie systemy w placówce mogą być źródłem problemu

Placówki oświatowe korzystają dziś z wielu zewnętrznych narzędzi i każde z nich może stać się źródłem naruszenia. W szczególności dotyczy to:

  • dziennika elektronicznego: dane uczniów i rodziców, oceny, frekwencja, informacje o specjalnych potrzebach edukacyjnych;
  • systemu rekrutacji: numery PESEL dzieci, adresy, kryteria rekrutacyjne, także dotyczące zdrowia i sytuacji rodzinnej;
  • programu do fakturowania: dane rodziców jako nabywców usług, kwoty, rachunki bankowe;
  • platform e-learningowych i poczty w chmurze: korespondencja, dokumenty, dane logowania.

Placówka powinna wiedzieć, jakie dane trafiają do każdego z tych systemów. Bez tej wiedzy nie da się rzetelnie ocenić skutków wycieku w ciągu kilkudziesięciu godzin.

5. Zgłoszenie do UODO i zawiadomienie rodziców: od czego to zależy

Zakres obowiązków zależy od poziomu ryzyka dla praw i wolności osób, których dane dotyczą. Jeżeli jest mało prawdopodobne, by naruszenie skutkowało ryzykiem, wystarczy wpis do wewnętrznego rejestru naruszeń. Jeżeli ryzyko istnieje, konieczne jest zgłoszenie do Prezesa UODO. Jeżeli ryzyko jest wysokie, placówka musi dodatkowo bez zbędnej zwłoki zawiadomić osoby, których dane dotyczą, a w przypadku uczniów niepełnoletnich ich rodziców.

Dane dzieci, a zwłaszcza numery PESEL, dane o zdrowiu i informacje o specjalnych potrzebach, przesuwają ocenę w górę. Przy takim wycieku zawiadomienie rodziców będzie w wielu przypadkach obowiązkowe. Zawiadomienie musi być sformułowane jasnym językiem i zawierać konkretne zalecenia, np. dotyczące zastrzeżenia numeru PESEL czy ostrożności wobec wiadomości podszywających się pod placówkę.

Ocenę ryzyka należy sporządzić na piśmie także wtedy, gdy placówka uznaje, że zgłoszenie nie jest potrzebne. To administrator musi wykazać, że jego decyzja była prawidłowa (zasada rozliczalności, art. 5 ust. 2 RODO).

6. Zgłoszenie etapowe zamiast czekania na dostawcę

Częstym problemem jest to, że w ciągu 72 godzin dostawca nie przekazuje jeszcze pełnych informacji o zakresie wycieku. RODO przewiduje na to rozwiązanie: jeżeli nie wszystkie informacje są dostępne, administrator może przekazywać je sukcesywnie (art. 33 ust. 4 RODO). Placówka powinna więc dokonać zgłoszenia wstępnego w terminie, zaznaczając, że wyjaśnianie trwa, a następnie je uzupełnić.

Czekanie z całym zgłoszeniem na ustalenia dostawcy to prosta droga do przekroczenia terminu. Zgłoszenie po terminie jest dopuszczalne, ale wymaga wyjaśnienia przyczyn opóźnienia, a „czekaliśmy na informacje od firmy” nie jest argumentem, który zrobi na organie dobre wrażenie.

7. Pierwsza doba: pięć pytań, na które trzeba znać odpowiedź

  • Kiedy dokładnie dowiedzieliśmy się o naruszeniu i skąd? Data i godzina to początek terminu.
  • Jakie dane naszej placówki były w systemie dostawcy i czy obejmują dane dzieci lub dane o zdrowiu?
  • Czego jeszcze nie wiemy i o co trzeba niezwłocznie zapytać dostawcę?
  • Co możemy zrobić od razu: zmienić hasła, przejrzeć konta użytkowników, ostrzec personel przed próbami wyłudzeń?
  • Czy naruszenie zostało wpisane do rejestru naruszeń i czy inspektor ochrony danych został włączony w sprawę?

8. Najczęstsze błędy placówek

W praktyce powtarza się kilka tych samych błędów:

  • przekonanie, że skoro incydent nastąpił „nie u nas”, placówka nie ma żadnych obowiązków;
  • czekanie na pełne ustalenia techniczne dostawcy zamiast zgłoszenia wstępnego w terminie;
  • brak pisemnej oceny ryzyka przy decyzji o niezgłoszeniu naruszenia;
  • zawiadomienie rodziców ogólnikowe, bez zaleceń, albo ukryte w zwykłym komunikacie;
  • brak wyznaczonej osoby, która odbiera informacje o incydentach, przez co wiadomość od dostawcy leży w skrzynce kilka dni.

Klucz to procedura i dobre umowy powierzenia

Placówka, która w chwili incydentu dopiero zastanawia się, co robić, ma niewielkie szanse zmieścić się w terminie. Dlatego warto przygotować się zawczasu. Placówka powinna dysponować m.in.:

  • procedurą reagowania na naruszenia, wskazującą, kto przyjmuje zgłoszenie, kto ocenia ryzyko i kto podejmuje decyzję;
  • rejestrem naruszeń prowadzonym zgodnie z art. 33 ust. 5 RODO;
  • umowami powierzenia z dostawcami systemów, które określają termin zawiadomienia o naruszeniu w godzinach (np. 24 godziny od wykrycia) i minimalny zakres przekazywanych informacji;
  • wiedzą, jakie dane trafiają do poszczególnych systemów zewnętrznych, odzwierciedloną w rejestrze czynności przetwarzania.

Ogólnikowe sformułowanie „bez zbędnej zwłoki” w regulaminie dostawcy nie przesuwa terminu, który biegnie dla placówki. Im precyzyjniejsza umowa, tym więcej czasu na rzetelną ocenę.

Dobrym momentem na sprawdzenie tych elementów jest przegląd dokumentacji. Pisaliśmy o tym, kiedy dokumentacja RODO w placówce oświatowej wymaga aktualizacji oraz jak sprawdzić, czy procedury RODO w szkole działają w praktyce.

Bezpłatny poradnik i wsparcie kancelarii

Aby ułatwić administratorom przejście przez cały proces, przygotowaliśmy bezpłatny poradnik „Naruszenie ochrony danych osobowych. Poradnik postępowania dla administratora”. Prowadzi on krok po kroku od pierwszej informacji o incydencie do zamknięcia sprawy i zawiera m.in. metodykę oceny ryzyka, omówienie treści zgłoszenia do UODO i zawiadomienia osób, zasady postępowania przy naruszeniu u dostawcy, wzór zakresu rejestru naruszeń, zestawienie obowiązków wobec innych organów oraz listę kontrolną na pierwsze 24, 72 godziny i dalsze dni.

Pobierz bezpłatny poradnik

Placówkom, które chcą od razu wdrożyć gotowy dokument, oferujemy także „Procedurę obsługi naruszeń ochrony danych”. To edytowalny plik DOCX zgodny z art. 33 i 34 RODO, z podziałem obowiązków między pracowników, administratora i inspektora ochrony danych, harmonogramem działań po incydencie oraz wzorem zawiadomienia osoby, której dane dotyczą.

Jeśli w Państwa placówce doszło do incydentu albo chcą Państwo przygotować procedurę i umowy powierzenia, zanim do niego dojdzie, pomożemy przeprowadzić przez cały proces.

Skontaktuj się z Kancelarią

 

Podstawa prawna:

0