1. Skąd wiesz, że to Ciebie dotyczy
Nie ma jednego miejsca, w którym sprawdzisz wszystko — wszystkie drogi opisujemy na stronie Jak sprawdzić, czy Twoje dane wyciekły.
Najprościej sprawdzić to w państwowym serwisie bezpiecznedane.gov.pl.
Co dokładnie sprawdzić na bezpiecznedane.gov.pl
Po zalogowaniu (mObywatel, profil zaufany, e-dowód albo bankowość elektroniczna) sprawdź każdy identyfikator osobno. Serwis monitoruje trzy: numer PESEL, adresy e-mail i numery telefonów. Wpisz wszystkie, także te dawne — stary adres e-mail bywa w wycieku sprzed lat, o którym dawno zapomniałeś. Serwis pokaże, czy dana występuje w wyciekach wpisanych do jego bazy i z którego incydentu pochodzi trafienie.
Jeśli wyciekły Twoje loginy i hasła, szukaj po adresie e-mail — serwis nie sprawdza loginów osobno, a zbiory danych logowania są w nim dopasowywane właśnie po adresie e-mail.
Zajrzyj też do zakładki „Historia wycieków”, żeby zobaczyć, które incydenty zostały już dodane do bazy. Baza jest uzupełniana stopniowo, więc jednorazowe sprawdzenie nie daje pewności na przyszłość. Warto wrócić i sprawdzić ponownie za kilka tygodni. Pusty wynik dziś nie znaczy, że Twoich danych nie ma w żadnym wycieku.
Możesz też zapytać samą firmę — na podstawie art. 15 RODO masz prawo wiedzieć, jakie Twoje dane przetwarza. Firma ma miesiąc na odpowiedź.
Zrób zrzut ekranu z datą — to Twój pierwszy dowód, także wtedy, gdy wynik jest pusty.
2. Dostałeś od firmy wiadomość, że Twoje dane wyciekły?
To nie jest zwykły e-mail informacyjny. To jeden z najważniejszych dokumentów, jakie możesz mieć w tej sprawie — i trzeba go zachować.
Najpierw sprawdź, czy wiadomość jest prawdziwa
Przestępcy podszywają się pod takie zawiadomienia, bo wiedzą, że po głośnym wycieku ludzie się ich spodziewają.
- Nie klikaj linków z wiadomości. Wejdź na stronę firmy, wpisując adres ręcznie w przeglądarce, i sprawdź, czy jest tam komunikat o incydencie.
- Zawiadomienie nie powinno wymagać podania hasła, kodu z SMS-a, numeru PESEL, danych karty ani opłaty. Nie przekazuj tych danych w odpowiedzi na wiadomość.
- Nie korzystaj z oferty wypłaty odszkodowania przez link w wiadomości. Jeśli e-mail oferuje „odszkodowanie po wypełnieniu formularza”, potraktuj to jako podejrzane i sprawdź niezależnym kanałem.
Czym to jest
Zawiadomieniem z art. 34 RODO. Administrator ma obowiązek zawiadomić Cię bez zbędnej zwłoki, gdy naruszenie może powodować wysokie ryzyko dla Twoich praw lub wolności. Zawiadomienie ma być napisane jasnym i prostym językiem i opisywać: na czym polegało naruszenie, jakie mogą być jego konsekwencje, co firma zrobiła lub zamierza zrobić, oraz podawać kontakt do uzyskania dalszych informacji — do inspektora ochrony danych lub innego punktu kontaktowego.
Czy to dowód? Tak — i bardzo ważny
Jeśli zawiadomienie potwierdza, że naruszenie objęło Twoje dane, jest to oświadczenie samego administratora. Może istotnie ułatwić wykazanie, że incydent Ciebie dotyczył. Nie przesądza jednak o wszystkim — treść dokumentu podlega ocenie sądu, a szkodę i jej związek z wyciekiem nadal trzeba wykazać osobno.
Co z nim zrobić — konkretnie
- Zachowaj oryginał, nie tylko zrzut ekranu. E-mail wyeksportuj do pliku, najlepiej z pełnymi nagłówkami. Dodatkowo możesz wydrukować go do PDF razem z datą i nadawcą. Papierowe pismo zachowaj z kopertą.
- Zapisz datę, w której je dostałeś. Co do zasady roszczenie o naprawienie szkody wyrządzonej czynem niedozwolonym przedawnia się po trzech latach od dowiedzenia się — albo chwili, gdy przy zachowaniu należytej staranności mogłeś się dowiedzieć — o szkodzie i osobie obowiązanej do jej naprawienia (art. 442¹ § 1 k.c.). Sama data otrzymania zawiadomienia nie zawsze rozpoczyna ten termin; mogą mieć znaczenie inne terminy i wyjątki ustawowe.
- Wypisz, co dokładnie wyciekło. Zakres podany w zawiadomieniu ma znaczenie dla oceny ryzyka i realistycznej kwoty żądania. PESEL i numer dokumentu mogą powodować poważniejsze ryzyko niż sam adres e-mail — zawsze liczą się okoliczności sprawy.
- Zbieraj to, co dzieje się później. Podejrzane SMS-y i telefony, próby logowania, powiadomienia z BIK o zapytaniach kredytowych — zrzuty ekranu z widoczną datą. Mogą pomóc wykazać skutki incydentu, ale nie każdy taki sygnał sam w sobie dowodzi szkody ani związku z tym wyciekiem.
- Trzymaj wszystko w jednym miejscu. Jeden folder: zawiadomienie, zrzut z bezpiecznedane.gov.pl z datą, późniejsze zdarzenia.
Jeśli w zawiadomieniu piszą, że „nie stwierdzono wykorzystania danych”
Taka formuła nie zamyka Ci drogi. Opisuje stan wiedzy firmy na dzień wysyłki wiadomości, a nie ocenę Twojej sytuacji. Dane z wycieku mogą być wykorzystywane wiele miesięcy później.
Jeśli zawiadomienia NIE dostałeś, a podejrzewasz, że Cię dotyczy
- Zapytaj firmę wprost na podstawie art. 15 RODO — zasadniczo ma miesiąc na odpowiedź (art. 12 ust. 3 RODO). W razie potrzeby termin może zostać przedłużony o kolejne dwa miesiące; firma musi poinformować Cię o tym i podać powody w ciągu pierwszego miesiąca.
- Jeśli firma miała obowiązek Cię zawiadomić i tego nie zrobiła, to osobna podstawa skargi do UODO.
W rejestrze mamy wpis o karze 4,05 mln zł nałożonej na mBank właśnie za niezawiadomienie klientów — nie za sam wyciek. Zobacz wpis o mBanku.
Prowadzisz firmę i dostałeś takie zawiadomienie od swojego dostawcy?
To inna sytuacja — jeśli dostawca przetwarza objęte naruszeniem dane Twoich klientów w Twoim imieniu, sam jesteś ich administratorem i masz własne obowiązki. Przejdź do obowiązków administratora.
3. Zastrzeż PESEL
Zrobisz to bezpłatnie w aplikacji mObywatel. Zastrzeżony PESEL utrudnia wzięcie kredytu na Twoje dane. Ale uwaga: nie chroni przed phishingiem (fałszywymi SMS-ami i mailami) ani przed użyciem skradzionego dowodu osobistego.
4. Włącz alerty w BIK
Alerty BIK powiadomią Cię, gdy ktoś spróbuje sprawdzić Twoją historię kredytową albo złożyć wniosek o kredyt na Twoje dane.
5. Jeśli wyciekł dowód lub paszport
Zastrzeż dokument, a jeśli wyciekły jego seria i numer — rozważ wymianę na nowy.
6. Zbieraj dowody
- powiadomienie od firmy o wycieku,
- zrzuty ekranu z datą (np. z bezpiecznedane.gov.pl),
- podejrzane SMS-y, maile i telefony — z datami.
7. Dwie drogi: skarga do UODO i pozew cywilny
Masz dwie drogi. Każda daje co innego — warto to wiedzieć, zanim zdecydujesz.
Skarga do UODO
Jest bezpłatna i składasz ją sam. UODO może ukarać firmę — ale kara trafia do budżetu państwa, nie do Ciebie.
Daje jednak coś realnego: po wyrokach NSA z 18 czerwca 2025 r. skarżący mają uzyskać status strony w postępowaniu dotyczącym całego naruszenia.
Pozew cywilny
To jedyna droga do pieniędzy (art. 82 RODO). Trzeba wykazać szkodę i związek przyczynowy — sam fakt wycieku nie wystarcza. Takie sprawy trafiają do sądu okręgowego.
Czy można łączyć obie drogi
Tak. Gdy sprawa dotycząca tego samego naruszenia została wszczęta przed Prezesem UODO, sąd zawiesza postępowanie cywilne (art. 95 ustawy o ochronie danych osobowych). To brzmi jak przeszkoda, a bywa korzyścią: ustalenia prawomocnej decyzji Prezesa UODO stwierdzającej naruszenie wiążą sąd w sprawie o naprawienie szkody — co do samego stwierdzenia naruszenia (art. 97 tej ustawy). Innymi słowy: jeśli UODO stwierdzi naruszenie, nie musisz go już w sądzie udowadniać. Zostaje Ci wykazanie szkody i związku przyczynowego.
Warto też wiedzieć, że Prezes UODO może wytoczyć powództwo na Twoją rzecz za Twoją zgodą (art. 98 ustawy o ochronie danych osobowych).
8. Ile to kosztuje, jeśli pozywasz sam
Sprawy z RODO rozpoznaje sąd okręgowy (art. 93 ustawy o ochronie danych osobowych). Nie ma tu obowiązku korzystania z zawodowego pełnomocnika — możesz prowadzić sprawę osobiście.
Opłata od pozwu zależy od żądanej kwoty
Tabela (art. 13 ustawy o kosztach sądowych w sprawach cywilnych):
| Żądasz | Opłata od pozwu |
|---|---|
| do 500 zł | 30 zł |
| ponad 500 do 1 500 zł | 100 zł |
| ponad 1 500 do 4 000 zł | 200 zł |
| ponad 4 000 do 7 500 zł | 400 zł |
| ponad 7 500 do 10 000 zł | 500 zł |
| ponad 10 000 do 15 000 zł | 750 zł |
| ponad 15 000 do 20 000 zł | 1 000 zł |
| ponad 20 000 zł | 5% wartości |
Pozew o typowe 1 500 zł kosztuje więc 100 zł. O 3 000 zł — 200 zł.
Nie stać Cię i na to? Osoba fizyczna może wnioskować o zwolnienie od kosztów sądowych, składając oświadczenie o stanie rodzinnym, majątku, dochodach i źródłach utrzymania — na urzędowym wzorze (art. 102 u.k.s.c.).
Co odzyskasz, jeśli wygrasz
Strona przegrywająca zwraca koszty niezbędne do celowego dochodzenia praw (art. 98 § 1 k.p.c.). Prowadząc sprawę osobiście, zaliczasz do nich (art. 98 § 2 k.p.c.):
- koszty sądowe, czyli zapłaconą opłatę od pozwu,
- koszty przejazdów do sądu,
- równowartość zarobku utraconego wskutek stawiennictwa — suma kosztów przejazdów i utraconego zarobku nie może przekraczać wynagrodzenia jednego zawodowego pełnomocnika wykonującego zawód w siedzibie sądu.
Do tego odsetki od zasądzonych kosztów, o których sąd orzeka z urzędu (art. 98 § 1¹ k.p.c.).
Co ryzykujesz, jeśli przegrasz
Zwracasz przeciwnikowi koszty jego pełnomocnika. Poniżej stawki minimalne (rozporządzenie Ministra Sprawiedliwości, Dz.U. 2026 poz. 118, § 2):
| Wartość sprawy | Stawka minimalna |
|---|---|
| do 500 zł | 90 zł |
| ponad 500 do 1 500 zł | 270 zł |
| ponad 1 500 do 5 000 zł | 900 zł |
| ponad 5 000 do 10 000 zł | 1 800 zł |
| ponad 10 000 do 50 000 zł | 3 600 zł |
Policzmy uczciwie przegraną przy żądaniu 1 500 zł według stawek minimalnych: przegrywasz w całości, tracisz swoje 100 zł opłaty i zwracasz 270 zł kosztów pełnomocnika przeciwnika. Razem około 370 zł. To przykład podstawowych kosztów, nie maksymalna granica ryzyka: sąd może przyznać wyższe koszty zastępstwa, a dodatkowe wydatki mogą obejmować np. opinię biegłego.
Skąd się biorą te tysiące, o których słychać
Z wysokości żądania, nie z samego procesu. Kto żąda 30 000 zł, płaci 1 500 zł opłaty i przy przegranej zwraca 3 600 zł kosztów zastępstwa według stawki minimalnej. To żądanie podnosi stawkę, nie sąd. Dlatego realistyczna kwota żądania jest najważniejszą decyzją w całej sprawie.
Częściowa wygrana — i przepis, który tu bardzo pomaga
Gdy sąd zasądzi mniej, niż żądasz, koszty są wzajemnie znoszone albo stosunkowo rozdzielone. Ale art. 100 k.p.c. pozwala sądowi obciążyć kosztami w całości przeciwnika, gdy określenie należnej sumy zależało od oceny sądu — a przy zadośćuczynieniu właśnie tak jest. Nie jest to automatyczne. Sąd może też w wypadkach szczególnie uzasadnionych zasądzić od przegrywającego tylko część kosztów albo nie obciążać go w ogóle (art. 102 k.p.c.).
Kiedy opłata wraca
Sąd zwraca z urzędu (art. 79 u.k.s.c.):
- całą opłatę — gdy pismo zwrócono z powodu braków formalnych, gdy cofnięto je przed wysłaniem odpisu drugiej stronie, oraz gdy sprawa zakończyła się ugodą przed rozpoczęciem rozprawy w pierwszej instancji,
- trzy czwarte — gdy ugodę zawarto przed mediatorem już po rozpoczęciu rozprawy,
- połowę — gdy pismo cofnięto przed rozpoczęciem posiedzenia, na które sprawa została skierowana.
W tych przypadkach zwracaną kwotę pomniejsza się o opłatę minimalną — 30 zł (art. 79 ust. 3 w związku z art. 14 ust. 3 u.k.s.c.). Określenie „cała opłata” nie oznacza więc zwrotu bez potrącenia.
Opłata spada też o dwie trzecie, nie więcej niż o 400 zł, jeśli przed pozwem brałeś udział w mediacji prowadzonej na podstawie umowy o mediację zgodnie z k.p.c. albo podjąłeś próbę rozwiązania sporu, składając wniosek do właściwego sądu polubownego ustanowionego ustawą do rozpatrywania sporów konsumenckich lub wniosek o wszczęcie postępowania w sprawie pozasądowego rozwiązania sporu konsumenckiego (art. 13e u.k.s.c.). Samo wysłanie wezwania do zapłaty tego nie daje — przepis wymienia mediację i tryby konsumenckie.
9. Kogo pozwać
Odpowiada administrator — czyli firma, której powierzyłeś dane (przychodnia, sklep, bank), a nie dostawca oprogramowania, z którego ta firma korzysta. Gdy odpowiadają obaj — odpowiadają solidarnie. Podstawą są art. 28, 32 i 9 RODO, co potwierdził NSA w wyroku III OSK 1394/22.
Uczciwie trzeba dodać: nie każdy skuteczny cyberatak oznacza naruszenie RODO. Liczy się to, czy przed incydentem firma podjęła środki odpowiednie do ryzyka i czy potrafi to wykazać.
10. Prowadzisz firmę?
Jeśli wyciek nastąpił u Twojego dostawcy (np. programu do faktur czy systemu dla gabinetu), to wobec danych Twoich klientów i kontrahentów Ty jesteś administratorem. Masz 72 godziny z art. 33 RODO na zgłoszenie naruszenia do UODO — liczone od chwili, gdy je stwierdziłeś, a nie od włamania.
Prośba dostawcy, żeby wstrzymać się ze zgłoszeniem, nie zawiesza ustawowego terminu. Nieprawidłowe powiadomienie to najczęstsza przyczyna kar UODO — mBank zapłacił 4,05 mln zł właśnie za niezawiadomienie osób.
FELG Dent — komunikat dostawcy a obowiązki gabinetu
„prosimy o niepodejmowanie żadnych kroków związanych ze zgłaszaniem naruszenia do PUODO do czasu formalnego potwierdzenia przez nas, że naruszenie dotyczy Państwa gabinetu”
Termin 72 godzin z art. 33 RODO biegnie od stwierdzenia naruszenia przez administratora; administratorem danych pacjentów jest gabinet, nie dostawca oprogramowania. Prośba podmiotu przetwarzającego nie zawiesza terminu ustawowego.
7 października spółka zakończyła analizę zakresu i rozpoczęła przekazywanie placówkom potwierdzeń albo wykluczeń wraz z kompletem dokumentów do zgłoszenia naruszenia Prezesowi UODO i poinformowania pacjentów, ułatwiając im wykonanie tych obowiązków. Oba fakty pokazują mechanizm podziału obowiązków, nie przesądzają o złej woli dostawcy. Aktualizacja z 7 października 2026 r.
Jeśli chcesz samodzielnie przygotować pismo, wzory znajdziesz w serwisie odszkodowanieai.pl.