Wyciek danych z programu do faktur - jakie roszczenia mają firmy i biura rachunkowe?

28 września 2026 r. Fakturownia, program do fakturowania i prowadzenia księgowości online, wykryła nieuprawniony dostęp do swoich serwerów. Korzystają z niego przedsiębiorcy i biura rachunkowe, a według komunikatu spółki incydent dotyczy każdego konta - osoba nieuprawniona skopiowała dużą część bazy danych, w tym dane kontrahentów i faktur. Dla użytkowników oznacza to dwa pytania naraz: co trzeba zrobić teraz i czy ktoś odpowie za ewentualną szkodę.

W artykule opisujemy obowiązki na pierwsze godziny po wycieku, a potem ścieżkę odszkodowawczą: kto może dochodzić roszczeń i od kogo, czego trzeba dowieść, jakie kwoty zasądzały polskie sądy, na ile wiąże regulamin dostawcy, jak odpowiada biuro rachunkowe i jak wygląda droga sądowa. Zasady są takie same przy każdym dostawcy programu do faktur czy księgowości w chmurze - Fakturownia jest tu przykładem. Nie oceniamy, czy spółka ponosi odpowiedzialność za incydent. Ustalenia techniczne mogą dostarczyć dowodów. Prezes UODO ocenia przestrzeganie przepisów w postępowaniu administracyjnym, a sąd cywilny rozstrzyga o roszczeniu, w tym samodzielnie ocenia naruszenie, szkodę i związek przyczynowy. Decyzja UODO nie jest warunkiem wniesienia pozwu.

Pierwsze 72 godziny: obowiązki firmy i biura

Zanim zaczniesz myśleć o odszkodowaniu, sprawdź własne obowiązki. W programie do faktur przechowujesz dane klientów, kontrahentów i ich przedstawicieli, a często także pracowników i innych użytkowników konta. Jeżeli to Ty ustalasz cele i sposoby przetwarzania tych danych, jesteś ich administratorem. Biuro rachunkowe, które przetwarza je na Twoje zlecenie, może być podmiotem przetwarzającym, a dostawca programu - dalszym podmiotem przetwarzającym. Role ustala się dla konkretnych operacji przetwarzania. Zgłoszenie, które dostawca wysłał do UODO, nie zastępuje oceny administratora.

Administrator zgłasza naruszenie Prezesowi UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia naruszenia, chyba że jest mało prawdopodobne, by skutkowało ono ryzykiem dla osób, których dane dotyczą. Gdy ryzyko jest wysokie, trzeba też zawiadomić te osoby. Według wytycznych europejskich organów ochrony danych administrator „stwierdza” naruszenie, gdy ma wystarczającą pewność, że doszło do incydentu, który dotyczy przetwarzanych przez niego danych, a przy naruszeniu u podmiotu przetwarzającego - co do zasady wtedy, gdy ten go poinformuje. Publiczny komunikat dostawcy wymaga więc niezwłocznego sprawdzenia własnej sytuacji. Nie czekaj biernie na indywidualny e-mail i udokumentuj, kiedy uzyskałeś wystarczającą pewność.

Fakturownia rozdziela w zawiadomieniach obie role. Dla danych konta i użytkowników, których jest administratorem, wysyła zawiadomienie z art. 34 RODO i sama oceniła ryzyko jako wysokie. Dla danych kontrahentów wprowadzonych przez klienta e-mail z 1 października jest zgłoszeniem naruszenia administratorowi - klient sam ocenia ryzyko i decyduje o zgłoszeniu do UODO oraz zawiadomieniu kontrahentów. Spółka wskazuje, że termin 72 godzin mógł zacząć biec wcześniej, jeśli już komunikat z 29 września dawał wystarczającą pewność, i że zgłoszenie wstępne można złożyć na podstawie e-maila, a potem je uzupełnić. Zestawienia i propozycje przygotowane przez dostawcę ułatwiają tę pracę, ale nie zastępują własnej oceny administratora.

Poproś dostawcę o ustalenia dotyczące Twojego konta: jakie kategorie danych i ilu osób mogło dotyczyć naruszenie, kiedy i w jakim zakresie doszło do nieuprawnionego dostępu, jakie mogą być konsekwencje, jakie zabezpieczenia wprowadzono i co dostawca zaleca. Regulamin powierzenia Fakturowni zobowiązuje spółkę do zgłoszenia naruszenia klientowi z informacjami wymaganymi przez RODO i do udostępniania informacji potrzebnych do wykazania wykonania obowiązków.

Przy ocenie ryzyka warto zajrzeć do wytycznych Europejskiej Rady Ochrony Danych z przykładami naruszeń. Jeden z nich opisuje włamanie przez podatność typu SQL injection, w którym wykradziono skróty haseł. Nawet gdy hasła były odpowiednio zabezpieczone, wytyczne zalecają zawiadomienie osób, których dane dotyczą, bo pozwoli im to zmienić hasła i zachować ostrożność. To przykład pomocniczy, a nie ocena konkretnego incydentu.

Biuro rachunkowe, które w programie dostawcy przetwarza dane swoich klientów jako podmiot przetwarzający, zawiadamia klientów-administratorów bez zbędnej zwłoki - nie powinno uzależniać tego od zakończenia własnej analizy. Przekazuje dostępne informacje i pomaga klientom ocenić ryzyko oraz wykonać obowiązki zgłoszenia i zawiadomienia osób. Zachowuje przy tym własne obowiązki bezpieczeństwa. Zgłoszenie do UODO w imieniu klienta wymaga odpowiedniego umocowania.

Równolegle zrób to, co ogranicza szkodę. Zmień hasło do programu i do skrzynki e-mail, włącz weryfikację dwuetapową, przejrzyj listę użytkowników konta i numer rachunku wpisany na fakturach. Jednym z istotnych zagrożeń po wycieku danych z faktur jest oszustwo „na podmieniony rachunek”: przestępca wysyła kontrahentowi wiarygodnie wyglądającą fakturę albo informację o „zmianie banku” z nowym numerem konta. Każdą zmianę rachunku kontrahenta potwierdzaj telefonicznie, pod numerem znanym z umowy, a nie z wiadomości. Przed większą płatnością sprawdź rachunek w wykazie podatników VAT.

Te kroki mają znaczenie także dla odszkodowania. Jeżeli poszkodowany przyczynił się do powstania lub zwiększenia szkody, odszkodowanie może zostać odpowiednio zmniejszone - o ile wykazany zostanie wpływ jego zachowania na szkodę.

Kto może żądać odszkodowania?

Wyciek z programu do faktur dotyka trzech różnych grup. Każda ma inną podstawę prawną i inną pozycję w sporze.

Kto	Podstawa roszczenia	Przeciwko komu	Na co uważać
Przedsiębiorca będący osobą fizyczną (JDG, wspólnik spółki cywilnej)	art. 82 RODO; niezależnie ochrona dóbr osobistych (art. 23, 24, 448 k.c.) i umowa z dostawcą (art. 471 k.c.)	dostawca programu	naruszenie musi dotyczyć jego danych osobowych; trzeba wykazać szkodę; publiczna dostępność części danych (CEIDG) nie wyklucza roszczenia
Spółka (z o.o., akcyjna i inne osoby prawne)	umowa z dostawcą (art. 471 k.c.), czyn niedozwolony (art. 415 k.c.), ewentualnie dobra osobiste (art. 43 k.c.)	dostawca programu	RODO nie chroni danych osób prawnych; ograniczenia z regulaminu mogą mieć znaczenie
Osoby fizyczne, których dane były w programie (klienci, kontrahenci, ich przedstawiciele, pracownicy)	art. 82 RODO	administrator (firma korzystająca z programu) i ewentualnie dostawca, odpowiedzialni na zasadach z art. 82 ust. 2-4	administrator, który zapłacił odszkodowanie za całą szkodę, może dochodzić od innych odpowiedzialnych części odpowiadającej ich odpowiedzialności (regres)

Warto trzymać te podstawy osobno. Art. 82 RODO daje osobie fizycznej samodzielne roszczenie o odszkodowanie za szkodę majątkową i niemajątkową. Ochrona dóbr osobistych z kodeksu cywilnego to odrębna droga: sąd bada wtedy, czy naruszono konkretne dobro, np. prywatność. Dane osobowe nie są tożsame z dobrami osobistymi, choć ich ujawnienie może takie dobro naruszyć. Umowa z dostawcą to trzecia podstawa, a regres - roszczenie podmiotu, który naprawił szkodę osobie fizycznej i chce odzyskać od innych odpowiedzialnych przypadającą na nich część - czwarta.

Kto odpowiada? Dostawca jako administrator i jako podmiot przetwarzający

Rola dostawcy zależy od tego, o jakie dane i jakie operacje chodzi. Częścią danych może zarządzać jako administrator (np. przy własnych rozliczeniach z klientami), a danymi kontrahentów i treścią faktur, które klient wprowadza do programu, zarządza zwykle jako podmiot przetwarzający, na podstawie umowy powierzenia. Regulamin powierzenia Fakturowni obejmuje przy tym także dane pracowników i współpracowników klienta korzystających z serwisu. Deklaracja w regulaminie jest wskazówką, ale ostatecznie decyduje to, kto faktycznie ustala cele i sposoby przetwarzania.

Administrator odpowiada za szkody spowodowane przetwarzaniem naruszającym RODO, chyba że udowodni, że w żaden sposób nie ponosi winy za zdarzenie, które doprowadziło do szkody. Podmiot przetwarzający odpowiada węziej - gdy nie dopełnił obowiązków, które RODO nakłada bezpośrednio na niego, albo gdy działał poza zgodnymi z prawem poleceniami administratora lub wbrew nim. Obowiązek wdrożenia odpowiednich zabezpieczeń z art. 32 RODO jest właśnie takim własnym obowiązkiem podmiotu przetwarzającego. Jeżeli więc dostawca nie zabezpieczył danych odpowiednio do ryzyka, osoba poszkodowana może pozwać go bezpośrednio. Gdy kilku uczestników tego samego przetwarzania odpowiada za szkodę na tych zasadach, ich odpowiedzialność jest solidarna, tak by poszkodowany rzeczywiście uzyskał odszkodowanie.

Sam wyciek nie przesądza o winie

Kluczowe dla sporów po atakach hakerskich jest orzeczenie Trybunału Sprawiedliwości UE w sprawie C-340/21. Trybunał uznał, że nieuprawniony dostęp osób trzecich do danych nie wystarcza sam w sobie, by uznać zabezpieczenia administratora za nieodpowiednie. Sąd musi ocenić środki bezpieczeństwa konkretnie, w odniesieniu do ryzyka danego przetwarzania. Jednocześnie to administrator musi udowodnić, że jego zabezpieczenia były odpowiednie, a jeśli chce uniknąć odpowiedzialności, musi wykazać, że w żaden sposób nie ponosi winy za zdarzenie. Samo powołanie się na to, że szkodę wyrządził haker, nie zwalnia z odpowiedzialności. Opinia biegłego nie może przy tym systematycznie stanowić niezbędnego i wystarczającego dowodu.

Odpowiedzialność z art. 82 RODO opiera się na winie, ale domniemanej - to pozwany musi wykazać jej brak. Ta konstrukcja przerzuca na pozwanego ciężar pokazania, jakie zabezpieczenia stosował. Kwestia dowodów pojawia się także w sprawach administracyjnych: w odrębnej sprawie Morele.net Naczelny Sąd Administracyjny uchylił wyrok WSA i decyzję UODO nakładającą 2,8 mln zł kary po wycieku danych klientów sklepu, kwestionując sposób przeprowadzenia postępowania dowodowego, w tym odmowę dopuszczenia opinii biegłego co do adekwatności zabezpieczeń (III OSK 3945/21). Spór na tym się nie skończył: według komunikatu UODO organ wydał 17 stycznia 2024 r. nową decyzję z karą ponad 3,8 mln zł, a WSA w Warszawie oddalił skargę spółki (II SA/Wa 430/24). Sąd uznał tym razem, że organ dostatecznie uzasadnił odmowę powołania biegłego, a wewnętrzna analiza zabezpieczeń sporządzona przez pracowników urzędu była wystarczająca. W bazie orzeczeń sądów administracyjnych wyrok jest oznaczony jako nieprawomocny. Nie wynika więc z tej sprawy, że ocena zabezpieczeń zawsze wymaga zewnętrznego biegłego.

Czy dostawca programu do faktur podlega też nowym przepisom o krajowym systemie cyberbezpieczeństwa, wdrażającym dyrektywę NIS2 (m.in. jako dostawca usług chmury obliczeniowej), wymaga ustalenia kwalifikacji podmiotu, jego obowiązków i terminów przejściowych z nowelizacji. Nie przesądzamy tego. Nawet jeśli tak, przepisy te nie tworzą osobnej podstawy odszkodowania, a najwyżej pomagają ustalić, jakiej staranności można było oczekiwać.

Czego trzeba dowieść

Poszkodowany musi wykazać trzy rzeczy: naruszenie przepisów, szkodę i związek przyczynowy między nimi. Trybunał wielokrotnie powtarzał, że samo naruszenie RODO nie jest szkodą (C-300/21, C-741/21). Nie wolno za to wymagać, by szkoda niemajątkowa osiągnęła jakiś próg wagi (C-300/21, C-456/22).

Obawa i utrata kontroli nad danymi

Po wycieku nie zawsze od razu dochodzi do wymiernej straty. Szkodą może być również obawa, że dane zostaną wykorzystane: do oszustwa, podszycia się czy wyłudzenia. Trybunał uznał, że taka obawa może sama w sobie stanowić szkodę niemajątkową (C-340/21), także wtedy, gdy nie można wykazać, że dane rzeczywiście trafiły do osoby trzeciej - pod warunkiem należytego udowodnienia obawy i jej skutków (C-590/22). Szkodą może być też utrata kontroli nad danymi, nawet krótkotrwała (C-200/23), i niepewność co do ich losu (C-655/23, C-526/24). Szkodę trzeba jednak rzeczywiście wykazać, a sąd bada, czy obawa jest w danych okolicznościach uzasadniona. Czysto hipotetyczne ryzyko nadużycia nie wystarcza (C-687/21, pkt 68).

Szkoda majątkowa: koszty ochrony i oszustwa

Szkodą majątkową mogą być rozsądne koszty ochrony przed skutkami wycieku. W jednej ze spraw po wycieku z portalu pożyczkowego sąd zasądził obok 3 000 zł zadośćuczynienia zwrot 197 zł za alerty w BIK i usłudze ChrońPESEL (II C 1711/20), a w innej, dotyczącej tego samego wycieku, odmówił zwrotu kosztu polisy ochronnej, uznając, że nie pozostaje on w normalnym związku z wyciekiem (III C 280/22). Zwrot zależy od celowości, rozsądnej wysokości wydatku i jego związku z konkretnym naruszeniem - ocena obu sądów dotyczyła konkretnych kosztów.

Dużo pieniędzy może kosztować przelew na podmieniony rachunek. Jeżeli oszust wykorzystał dane z wycieku, żeby podszyć się pod Twojego dostawcę, i zapłaciłeś na jego konto, trzeba będzie wykazać cały łańcuch: że dane pochodziły z wycieku, że na ich podstawie przygotowano fałszywą fakturę lub wiadomość i że to ona doprowadziła do przelewu. Samo to, że oszustwo zdarzyło się po wycieku, nie dowodzi jeszcze związku przyczynowego. Ryzyko jest tu realne - sama Fakturownia ostrzega, że oszuści mogą znać kwoty i wiedzieć, które faktury są nieopłacone, i zaleca potwierdzanie każdej zmiany rachunku telefonicznie pod znanym wcześniej numerem. Osobną kwestią jest dług wobec prawdziwego kontrahenta: zapłata do rąk osoby nieuprawnionej może nie zwolnić z długu - kodeks zwalnia dłużnika tylko w zakresie, w jakim wierzyciel ze świadczenia skorzystał, chyba że przyjęcie zapłaty potwierdził.

A bank?

Jeżeli płatnik rzeczywiście autoryzował przelew na wskazany rachunek, samo oszustwo dotyczące faktury nie daje automatycznie prawa do zwrotu na zasadach przewidzianych dla transakcji nieautoryzowanych. Bank wykonuje przelew według numeru rachunku (unikatowego identyfikatora); jeżeli wykonał go zgodnie z tym numerem, uważa się go za wykonany prawidłowo i bank nie odpowiada na zasadach przewidzianych za niewykonanie lub nienależyte wykonanie transakcji. Nie wyklucza to zbadania innych obowiązków banku i postanowień umowy rachunku - przy czym w umowach z przedsiębiorcami część przepisów o odpowiedzialności można zmienić.

Nieprawidłowy przelew zgłoś bankowi niezwłocznie. Bank w ciągu 3 dni roboczych od zgłoszenia podejmuje działania zmierzające do odzyskania środków, a jeżeli nie wrócą one w ciągu 30 dni od zgłoszenia, na Twoje pisemne żądanie przekazuje dane odbiorcy, żeby można było dochodzić zwrotu bezpośrednio od niego. Unijny obowiązek weryfikacji zgodności nazwy odbiorcy z numerem rachunku (VoP) dotyczy poleceń przelewu w euro, a termin jego stosowania zależy od państwa, w którym działa dostawca - w Polsce najpóźniej od 9 lipca 2027 r.

Jakie kwoty zasądzały sądy?

W dyskusjach po głośnych wyciekach pojawiają się zapowiedzi wysokich odszkodowań. Opublikowane wyroki polskich sądów, do których dotarliśmy, pokazują ostrożniejszy obraz. Nie jest to przegląd całego orzecznictwa, a sprawy dotyczą różnych podstaw prawnych i okoliczności.

Sprawa	Co się stało	Żądanie	Zasądzono
SO w Warszawie, III C 280/22, 7.02.2023	wyciek z portalu pożyczkowego (błąd pracownika podmiotu przetwarzającego)	30 000 zł	1 500 zł
SO w Warszawie, II C 1711/20, 25.07.2023	ten sam wyciek, inny powód	30 000 zł zadośćuczynienia, zwrot kosztów ochrony i ustalenie odpowiedzialności na przyszłość	3 000 zł zadośćuczynienia i 197 zł kosztów ochrony
SO Warszawa-Praga, III C 1169/19, 17.12.2021	sprzedawca energii udostępnił dane klientki osobie trzeciej	3 000 zł	1 500 zł
SO w Warszawie, XXV C 2596/19, 6.08.2020	ubezpieczyciel ujawnił dane osobie trzeciej	10 000 zł	1 500 zł
SO w Warszawie, I C 874/22, 28.02.2025 (prawomocny)	ubezpieczyciel ujawnił dane	20 000 zł	1 500 zł
SO w Warszawie, XXV C 559/22, 5.12.2022, zmieniony przez SA w Warszawie, I ACa 352/23, 22.06.2023	sąd opublikował w internecie wyrok bez anonimizacji danych powódki (powództwo o ochronę dóbr osobistych)	30 000 zł	20 000 zł, po apelacji 10 000 zł
SO w Warszawie, III C 904/23, 23.10.2025 (prawomocny)	Rzecznik Finansowy wysłał pismo z danymi powoda do 28 366 instytucji	50 000 zł	40 000 zł

W czterech z tych spraw zasądzono po 1 500 zł, a w jednej 3 000 zł za szkodę niemajątkową oraz 197 zł kosztów ochronnych. Pozostałe zakończyły się kwotami 10 000 zł i 40 000 zł - w sprawie z 40 000 zł sąd sam nazwał tę kwotę „bardzo wysoką”, uzasadniając ją liczbą odbiorców. Zestawienie nie pozwala ustalić typowej stawki ani przewidzieć wyniku spraw po incydencie, o którym piszemy.

Odszkodowanie z RODO ma wyłącznie wyrównać szkodę, a nie karać. Nie zależy od stopnia winy ani wagi naruszenia (C-667/21, C-687/21, C-655/23). Trybunał dopuścił też przeprosiny jako odpowiednią formę naprawienia szkody niemajątkowej, jeżeli w danych okolicznościach w pełni ją kompensują (C-507/23) - nie oznacza to, że ogólne przeprosiny dostawcy załatwiają indywidualne roszczenia.

Regulamin dostawcy: co wiąże przedsiębiorcę

Regulaminy programów w chmurze zwykle mocno ograniczają odpowiedzialność dostawcy wobec klientów biznesowych. W wersji z 30 września 2026 r. regulamin Fakturowni w § 15 wyłącza - „w granicach zgodnych z obowiązującymi przepisami prawa” - odpowiedzialność m.in. za szkody wynikające z „ataków hackerskich”. Dalej, „z zastrzeżeniem bezwzględnie obowiązujących przepisów prawa”, przewiduje odpowiedzialność tylko za działanie zawinione i umyślne, ogranicza ją do wysokości bieżącego abonamentu uiszczonego przez klienta i wyłącznie do szkody rzeczywistej, bez utraconych korzyści. Paragraf zawiera też inne wyłączenia, np. dotyczące oprogramowania firm trzecich czy utraty danych dostępowych.

Ocena konkretnego roszczenia wymaga najpierw ustalenia, jaka wersja regulaminu wiązała strony - wzorzec wiąże, jeżeli został doręczony przed zawarciem umowy, a aktualny regulamin na stronie nie dowodzi, jaka wersja obowiązywała wcześniej. Trzeba też uwzględnić regulamin powierzenia, któremu w razie rozbieżności przyznano pierwszeństwo i który przewiduje pełną odpowiedzialność dostawcy za jego podwykonawców.

Czy te ograniczenia w ogóle Cię dotyczą?

Paragraf 15 stosuje się wyłącznie do klientów, którzy nie są „Konsumentami” w rozumieniu regulaminu. A regulamin zalicza do „Konsumentów” także osobę prowadzącą jednoosobową działalność, dla której umowa - choć związana z działalnością - nie ma charakteru zawodowego. To odpowiednik art. 385^5 kodeksu cywilnego, który daje takim przedsiębiorcom część ochrony konsumenckiej, w tym przed niedozwolonymi postanowieniami umownymi. Sam związek programu z rozliczeniami firmy tej ochrony nie wyłącza - przepis dotyczy właśnie umów bezpośrednio związanych z działalnością. Trzeba ustalić, czy konkretna umowa ma dla przedsiębiorcy charakter zawodowy, uwzględniając jej treść i przedmiot wykonywanej działalności. Nie da się tego rozstrzygnąć jednakowo dla wszystkich użytkowników.

Od 27 listopada 2025 r., gdy z treści umowy nie wynika, czy ma ona dla przedsiębiorcy charakter zawodowy, może on najpóźniej przy jej zawarciu oświadczyć, że ma albo że nie ma takiego charakteru. Zawarcia umowy nie można uzależniać od złożenia oświadczenia, a sam jego brak nie wyłącza ochrony. Do umów zawartych wcześniej stosuje się dotychczasowe zasady.

Każde ograniczenie ocenia się osobno

W umowie między przedsiębiorcami strony mogą co do zasady łagodzić odpowiedzialność. Nie znaczy to jednak, że cały § 15 wiąże bez zastrzeżeń - ani że jest w całości nieważny.

Postanowienie	Jak je ocenić
Odpowiedzialność tylko za winę umyślną	Kodeks nie pozwala wyłączyć odpowiedzialności za szkodę wyrządzoną umyślnie przez dłużnika - ale sam umyślny atak osoby trzeciej nie przesądza zastosowania tego zakazu wobec dostawcy. Wyłączenie odpowiedzialności za niedbalstwo, także rażące, komentatorzy uznają co do zasady za dopuszczalne, ale podlega ono kontroli z art. 58 i 353^1 k.c. - postanowienie nie może być sprzeczne z naturą umowy ani zasadami współżycia społecznego.
Wyłączenie odpowiedzialności za „ataki hackerskie”	Nie daje automatycznego zwolnienia. W doktrynie wskazuje się, że zabezpieczenie danych użytkownika jest naturalnym elementem umowy o usługę w chmurze, więc całkowite wyłączenie odpowiedzialności za bezpieczeństwo może być sprzeczne z naturą takiej umowy. To argument doktrynalny - nie znaleźliśmy wyroku, który rozstrzygałby skuteczność takiej klauzuli w regulaminie programu do faktur.
Limit do wysokości abonamentu	Sam limit kwotowy nie jest zakazany. Jeżeli jednak jest tak niski, że w praktyce pozbawia zobowiązania sankcji, działa jak całkowite wyłączenie i podlega tej samej ocenie. Przy szkodzie wyrządzonej umyślnie przez dłużnika limit nie działa.
Tylko szkoda rzeczywista	W umowie można ograniczyć odszkodowanie do poniesionych strat, bez utraconych korzyści. Nie dotyczy to szkody wyrządzonej umyślnie.

Dla umów zawartych po 12 września 2025 r. pojawia się dodatkowy argument. Unijny akt w sprawie danych (Data Act) przewiduje, że jednostronnie narzucone przedsiębiorcy postanowienie, które wyłącza lub ogranicza odpowiedzialność za czyny umyślne albo rażące niedbalstwo, jest nieuczciwe i nie wiąże. Jednostronnie narzucone jest postanowienie zaproponowane przez jedną stronę, na którego treść druga nie mogła wpłynąć pomimo próby negocjacji - a to proponujący musi udowodnić, że tak nie było. Przepis dotyczy tylko postanowień o dostępie do danych i ich wykorzystywaniu oraz o odpowiedzialności za naruszenie obowiązków dotyczących danych. Według wyjaśnień Komisji Europejskiej (to wykładnia pomocnicza, nie wyrok) może jednak objąć ogólne klauzule o odpowiedzialności w umowie o usługę w chmurze - w zakresie, w jakim dotyczą np. ochrony danych. Do części umów zawartych wcześniej (na czas nieokreślony albo wygasających co najmniej 10 lat po 11 stycznia 2024 r.) przepis będzie stosowany od 12 września 2027 r. Jak sądy zastosują go do regulaminów programów do faktur, dopiero się okaże.

Biuro rachunkowe w łańcuchu odpowiedzialności

Biuro, które prowadzi klientom fakturowanie albo księgowość w programie zewnętrznego dostawcy, jest zwykle podmiotem przetwarzającym dane klientów, a dostawca - dalszym podmiotem przetwarzającym. Wymaga to dwóch rzeczy. Po pierwsze, uprzedniej szczegółowej albo ogólnej pisemnej zgody klienta; przy zgodzie ogólnej biuro informuje klienta o zamierzonych zmianach dalszych podmiotów, a klient może się im sprzeciwić. Po drugie, umowy z dostawcą, która nakłada na niego te same obowiązki ochrony danych, jakie biuro ma wobec klienta. Jeżeli dostawca ich nie wypełni, pełna odpowiedzialność wobec klienta spoczywa na biurze. UODO ukarał w 2025 r. podmiot przetwarzający m.in. za powierzenie danych dalej bez wymaganej umowy (DKN.5130.4179.2020).

Osobno trzeba spojrzeć na odpowiedzialność z umowy biura z klientem. Jeżeli dostawca programu wykonuje część tego, co biuro obiecało klientowi - np. przechowuje i przetwarza dokumentację, którą biuro miało prowadzić - biuro odpowiada za jego działania jak za własne, na zasadzie art. 474 k.c. Inaczej może być przy dopuszczalnym zastępstwie z przepisów o zleceniu, stosowanych odpowiednio do umów o świadczenie usług: biuro odpowiada wtedy tylko za brak należytej staranności w wyborze zastępcy, ale pod warunkiem niezwłocznego zawiadomienia klienta o zastępcy. Wymaga to osobnej kwalifikacji umowy i roli dostawcy - sama wiedza klienta, z jakiego programu korzysta biuro, nie wystarcza. Nie uchyla to odrębnej odpowiedzialności biura jako podmiotu przetwarzającego na podstawie RODO.

Sąd Najwyższy - także w sprawach ocenianych według przepisów sprzed stosowania RODO - wskazywał, że powierzenie danych klientów wyspecjalizowanemu podmiotowi nie zwalnia powierzającego z odpowiedzialności za szkodę wynikłą z naruszenia przepisów o ochronie danych (I CSK 597/16, II CSKP 1251/22). Nawet jeśli biuro wybrało renomowanego dostawcę, klient może więc kierować roszczenia do biura.

Ustawa o rachunkowości nie posługuje się pojęciem tajemnicy biura rachunkowego. Nakłada natomiast obowiązek chronienia zbiorów przed nieupoważnionym rozpowszechnianiem i przesądza, że kierownik jednostki odpowiada za rachunkowość mimo powierzenia jej biuru. Ustawową tajemnicą zawodową objęci są doradcy podatkowi. Zakres poufności biura wynika więc z umowy z klientem, z obowiązków ochrony danych (osoby przetwarzające dane muszą być zobowiązane do zachowania tajemnicy) i ewentualnego szczególnego statusu zawodowego. O tym, co obejmuje obowiązkowe ubezpieczenie biura, piszemy w artykule OC biura rachunkowego.

Spółka jako poszkodowany: dobra osobiste i tajemnica przedsiębiorstwa

Spółka nie ma roszczenia z RODO co do własnych danych, ale ma dobra osobiste. Kodeks cywilny chroni przede wszystkim jej dobre imię (renomę), a w komentarzach wymienia się też tajemnicę korespondencji. Czy spółka ma prawo do prywatności, jest sporne. Sam wyciek danych z programu nie oznacza jeszcze naruszenia dobra osobistego spółki - trzeba by wykazać, że np. ujawnienie informacji podważyło jej wiarygodność w oczach kontrahentów. W źródłach, które przeanalizowaliśmy, nie znaleźliśmy orzeczenia, które przyjęłoby takie naruszenie w sprawie o wyciek danych.

Faktury zawierają też informacje, które mogą być tajemnicą przedsiębiorstwa, np. ceny, marże czy listy odbiorców - jeżeli mają wartość gospodarczą, nie są powszechnie znane, a firma podjęła działania w celu utrzymania ich w poufności. Za ich bezprawne pozyskanie i wykorzystanie odpowiada przede wszystkim sprawca włamania. W doktrynie spiera się, czy przepisy o zwalczaniu nieuczciwej konkurencji obejmują sprawcę, który sam nie jest przedsiębiorcą, ale wobec nieznanego hakera ma to znaczenie głównie teoretyczne. Wobec dostawcy programu spółka opiera się przede wszystkim na umowie i przepisach o czynach niedozwolonych.

Jak dochodzić roszczeń?

Wezwanie do zapłaty i pozew

Zacznij od pisemnego wezwania do zapłaty z terminem i uzasadnieniem kwoty. Pomaga ono określić żądanie, udokumentować próbę polubownego załatwienia sprawy i ustalić wymagalność świadczenia. Odmowa nie jest warunkiem wniesienia pozwu, a początek odsetek za opóźnienie zależy od wymagalności roszczenia, ocenianej z uwzględnieniem treści wezwania i okoliczności sprawy.

Sprawy o roszczenia z art. 82 RODO rozpoznaje sąd okręgowy, niezależnie od kwoty. W sprawach nieuregulowanych w RODO stosuje się kodeks cywilny. Opłata od pozwu przy kwocie do 20 000 zł jest stała, np. 200 zł przy żądaniu ponad 1 500 zł do 4 000 zł i 1 000 zł przy żądaniu ponad 15 000 zł do 20 000 zł, a powyżej 20 000 zł wynosi 5% wartości sporu, nie więcej niż 100 000 zł. Za niemajątkowe żądania z ochrony dóbr osobistych (np. przeprosiny) opłata wynosi 600 zł.

Postępowanie przed UODO a proces

Skarga do Prezesa UODO nie da poszkodowanemu pieniędzy - organ może nakładać kary i nakazy, ale nie zasądza odszkodowań. Prawomocna decyzja UODO stwierdzająca naruszenie wiąże jednak sąd w procesie o odszkodowanie co do samego naruszenia. Według TSUE drogę administracyjną i sądową można prowadzić równolegle i niezależnie od siebie, a ich powiązanie i koordynację zapewnia prawo krajowe (C-132/21). Organ nie może też odrzucić skargi tylko dlatego, że poszkodowany wcześniej wniósł w tej samej sprawie powództwo (C-414/24). Trybunał wskazał przy tym, że państwo może przewidzieć zawieszenie postępowania przed organem do czasu rozstrzygnięcia sądu. Nie przesądza to, jak stosować polski przepis, który działa w przeciwnym kierunku i nakazuje zawiesić proces cywilny.

Trzeba się liczyć z ryzykiem zawieszenia procesu. Ustawa o ochronie danych osobowych nakazuje sądowi zawiesić postępowanie, jeżeli sprawa dotycząca tego samego naruszenia została wszczęta przed Prezesem UODO. Z samej informacji, że dostawca zgłosił incydent Prezesowi UODO, nie wynika jeszcze, że konkretny proces trzeba zawiesić - znaczenie mają etap i przedmiot działań organu oraz to, czy chodzi o to samo naruszenie. Zakres tego obowiązku jest sporny - w komentarzach pojawia się nawet pogląd, że wieloletnie zawieszenie jest sprzeczne z RODO. W jednej ze spraw po wycieku z portalu pożyczkowego sąd odmówił zawieszenia mimo toczących się postępowań przed UODO i sądami administracyjnymi, uznając, że nie grozi rozbieżność rozstrzygnięć, bo w postępowaniu administracyjnym nie rozpatrywano roszczeń powoda, a naruszenie było oczywiste (II C 1711/20). Zgłoszenie wycieku do UODO nie blokuje więc automatycznie pozwu, ale jeśli organ wszczął postępowanie w tej samej sprawie, proces może się wydłużyć.

Pozew grupowy

Przedsiębiorcy mogą dochodzić roszczeń wspólnie w postępowaniu grupowym - dotyczy ono m.in. roszczeń z czynów niedozwolonych i z umów. Grupa musi liczyć co najmniej 10 osób, a roszczenia muszą być jednego rodzaju i opierać się na tej samej lub takiej samej podstawie faktycznej. Nie można w nim dochodzić roszczeń o ochronę dóbr osobistych (poza wyjątkami, np. przy rozstroju zdrowia), a roszczenia pieniężne przedsiębiorców trzeba ujednolicić - także w podgrupach liczących co najmniej 2 osoby. Pozew może ograniczać się do ustalenia odpowiedzialności pozwanego, a opłata od pozwu wynosi połowę zwykłej, nie mniej niż 100 zł. Osobny tryb powództw przedstawicielskich z dyrektywy unijnej, obejmujący także RODO, służy ochronie konsumentów, a nie firm.

Droga karna

Przedsiębiorca, którego dobro prawne zostało bezpośrednio naruszone lub zagrożone przestępstwem, może działać w postępowaniu karnym jako pokrzywdzony i złożyć wniosek, by sąd, skazując sprawcę, zobowiązał go do naprawienia ustalonej szkody. Powództwa cywilnego w procesie karnym (tzw. adhezyjnego) już nie ma. Wobec nieznanego sprawcy ta droga ma przede wszystkim znaczenie dowodowe.

Przedawnienie

Według komentarza do ustawy o ochronie danych osobowych do roszczeń z art. 82 RODO stosuje się przepisy kodeksu cywilnego o przedawnieniu roszczeń z czynów niedozwolonych. Zasadą jest 3 lata od dnia, w którym poszkodowany dowiedział się albo przy zachowaniu należytej staranności mógł się dowiedzieć o szkodzie i o osobie obowiązanej do jej naprawienia, nie później niż 10 lat od zdarzenia. Nie jest to jednak granica bez wyjątków - kodeks przewiduje m.in. dłuższy termin, gdy szkoda wynikła ze zbrodni lub występku, i trzeba też uwzględnić regułę końca roku kalendarzowego. Roszczenia z umowy związane z działalnością gospodarczą przedawniają się co do zasady po 3 latach, z końcem roku kalendarzowego. Termin przedawnienia regresu między administratorem a dostawcą wymaga osobnej oceny. Zachowaj zawiadomienia od dostawcy z datą otrzymania - mogą mieć znaczenie przy ustalaniu, kiedy dowiedziałeś się o szkodzie i o osobie zobowiązanej do jej naprawienia.

Dwa tory: zabezpieczenia i reakcja

Osobno można badać zabezpieczenia przed incydentem i terminowość reakcji po jego wykryciu. Podmiot przetwarzający powinien zawiadomić administratora bez zbędnej zwłoki, a administrator - organ nadzorczy i, przy wysokim ryzyku, osoby, których dane dotyczą. Roszczenie związane z opóźnionym powiadomieniem wymaga jednak wykazania, że wcześniejsza informacja pozwoliłaby uniknąć określonej szkody. To opis możliwej podstawy, a nie ocena, czy w opisywanej sprawie kogokolwiek powiadomiono zbyt późno.

Lista kontrolna