Wyciek danych klientów sklepu - jak zgłosić incydent do UODO i poinformować klientów

Wyciek danych klientów sklepu trzeba zgłosić do Prezesa UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od jego stwierdzenia - chyba że jest mało prawdopodobne, by naruszenie spowodowało ryzyko dla klientów. Jeśli ryzyko jest wysokie, np. wyciekły hasła, dane do płatności albo pełne dane adresowe z historią zakupów, trzeba też bez zbędnej zwłoki poinformować samych klientów. Obowiązki te wynikają z art. 33 i 34 RODO, a każde naruszenie, także niezgłaszane, dokumentujesz wewnętrznie.

Pierwsze godziny po wykryciu wycieku to zwykle chaos: trzeba jednocześnie zatrzymać atak, ustalić, co wyciekło, i pamiętać o terminie dla urzędu. Dlatego warto znać procedurę wcześniej, zanim incydent się wydarzy. Poniżej opisujemy, co jest naruszeniem ochrony danych w sklepie, jak liczyć 72 godziny, co wpisać w zgłoszeniu do UODO, kiedy i jak informować klientów oraz o kim jeszcze pamiętać - od operatora płatności po marketplace.

[#wazne] W skrócie: wyciek danych klientów sklepu zgłaszasz do Prezesa UODO w ciągu 72 godzin od stwierdzenia naruszenia, chyba że ryzyko dla klientów jest mało prawdopodobne. Zgłoszenie można uzupełniać etapami. Przy wysokim ryzyku informujesz też klientów - jasnym językiem, z opisem skutków i zaleceniami. Każde naruszenie zapisujesz w wewnętrznym rejestrze. W Vinson pomagamy sklepom i sprzedawcom marketplace zabezpieczyć systemy po incydencie i zebrać dane techniczne do zgłoszenia.

Co to jest wyciek danych klientów i naruszenie ochrony danych w sklepie

Naruszenie ochrony danych osobowych to, zgodnie z art. 4 pkt 12 RODO, naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych. Wyciek danych klientów to najbardziej znany przykład, ale definicja jest szersza - obejmuje także utratę dostępu do danych, np. po zaszyfrowaniu bazy przez ransomware. Typowe naruszenia w sklepie internetowym to:

Wyciek bazy klientów - włamanie na serwer, podatna wtyczka, kopia zapasowa dostępna publicznie pod adresem w sieci.
Przejęte konto - atakujący loguje się do panelu sklepu, systemu zamówień lub skrzynki obsługi klienta hasłem z phishingu.
Złośliwy skrypt w koszyku - kod przechwytujący dane wpisywane w formularzu zamówienia lub płatności.
Błąd pracownika - mail z listą klientów wysłany do złego adresata, newsletter z widocznymi adresami wszystkich odbiorców.
Utrata nośnika - zgubiony laptop lub dysk z eksportem zamówień bez szyfrowania.
Ransomware - zaszyfrowane systemy i brak dostępu do danych zamówień, często połączony z kradzieżą danych.

Część z tych sytuacji opisujemy osobno: co zrobić w pierwszych minutach po włamaniu, wyjaśniamy w poradniku włamanie na sklep internetowy - co zrobić w pierwszej godzinie po ataku. Tutaj skupiamy się na obowiązkach wobec UODO i klientów. Poniżej przebieg pierwszych 72 godzin po wykryciu incydentu:

[#chart:wit60a]

Kiedy trzeba zgłosić wyciek danych klientów do UODO

Termin 72 godzin liczy się od momentu stwierdzenia naruszenia, czyli od chwili, w której masz rozsądny stopień pewności, że doszło do incydentu dotyczącego danych osobowych. Nie od chwili, w której atak się zaczął, i nie od zakończenia całego dochodzenia. Jeśli hosting powiadamia Cię o włamaniu w piątek wieczorem, licznik startuje wtedy - weekend nie przedłuża terminu. Gdy naruszenie wykryje Twój dostawca, np. hosting albo dostawca newslettera, musi Cię o tym powiadomić bez zbędnej zwłoki zgodnie z art. 33 ust. 2 RODO. Dlatego adres e-mail, na który dostawcy wysyłają takie powiadomienia, powinien być stale monitorowany, a nie przypisany do osoby, która od pół roku nie pracuje w firmie.

Zgłoszenia nie robisz tylko wtedy, gdy jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób. Przykładem może być zgubiony, w pełni zaszyfrowany laptop z silnym hasłem, gdy kopia danych jest bezpieczna. Każdy wyciek danych klientów sklepu na zewnątrz - adresy, telefony, historia zamówień - zwykle wiąże się z ryzykiem choćby phishingu podszywającego się pod sklep, dlatego w razie wątpliwości bezpieczniej jest zgłosić naruszenie. Decyzję i jej uzasadnienie zapisujesz w wewnętrznym rejestrze naruszeń.

Wyciek danych klientów sklepu trzeba zgłosić do Prezesa UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od jego stwierdzenia - chyba że jest mało prawdopodobne, by naruszenie spowodowało ryzyko dla klientów. Jeśli ryzyko jest wysokie, np. wyciekły hasła, dane do płatności albo pełne dane adresowe z historią zakupów, trzeba też bez zbędnej zwłoki poinformować samych klientów. Obowiązki te wynikają z art. 33 i 34 RODO, a każde naruszenie, także niezgłaszane, dokumentujesz wewnętrznie.

Pierwsze godziny po wykryciu wycieku to zwykle chaos: trzeba jednocześnie zatrzymać atak, ustalić, co wyciekło, i pamiętać o terminie dla urzędu. Dlatego warto znać procedurę wcześniej, zanim incydent się wydarzy. Poniżej opisujemy, co jest naruszeniem ochrony danych w sklepie, jak liczyć 72 godziny, co wpisać w zgłoszeniu do UODO, kiedy i jak informować klientów oraz o kim jeszcze pamiętać - od operatora płatności po marketplace.

[#wazne] W skrócie: wyciek danych klientów sklepu zgłaszasz do Prezesa UODO w ciągu 72 godzin od stwierdzenia naruszenia, chyba że ryzyko dla klientów jest mało prawdopodobne. Zgłoszenie można uzupełniać etapami. Przy wysokim ryzyku informujesz też klientów - jasnym językiem, z opisem skutków i zaleceniami. Każde naruszenie zapisujesz w wewnętrznym rejestrze. W Vinson pomagamy sklepom i sprzedawcom marketplace zabezpieczyć systemy po incydencie i zebrać dane techniczne do zgłoszenia.

Co to jest wyciek danych klientów i naruszenie ochrony danych w sklepie

Naruszenie ochrony danych osobowych to, zgodnie z art. 4 pkt 12 RODO, naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych. Wyciek danych klientów to najbardziej znany przykład, ale definicja jest szersza - obejmuje także utratę dostępu do danych, np. po zaszyfrowaniu bazy przez ransomware. Typowe naruszenia w sklepie internetowym to:

Wyciek bazy klientów - włamanie na serwer, podatna wtyczka, kopia zapasowa dostępna publicznie pod adresem w sieci.
Przejęte konto - atakujący loguje się do panelu sklepu, systemu zamówień lub skrzynki obsługi klienta hasłem z phishingu.
Złośliwy skrypt w koszyku - kod przechwytujący dane wpisywane w formularzu zamówienia lub płatności.
Błąd pracownika - mail z listą klientów wysłany do złego adresata, newsletter z widocznymi adresami wszystkich odbiorców.
Utrata nośnika - zgubiony laptop lub dysk z eksportem zamówień bez szyfrowania.
Ransomware - zaszyfrowane systemy i brak dostępu do danych zamówień, często połączony z kradzieżą danych.

Część z tych sytuacji opisujemy osobno: co zrobić w pierwszych minutach po włamaniu, wyjaśniamy w poradniku włamanie na sklep internetowy - co zrobić w pierwszej godzinie po ataku. Tutaj skupiamy się na obowiązkach wobec UODO i klientów. Poniżej przebieg pierwszych 72 godzin po wykryciu incydentu:

[#chart:wit60a]

Kiedy trzeba zgłosić wyciek danych klientów do UODO

Termin 72 godzin liczy się od momentu stwierdzenia naruszenia, czyli od chwili, w której masz rozsądny stopień pewności, że doszło do incydentu dotyczącego danych osobowych. Nie od chwili, w której atak się zaczął, i nie od zakończenia całego dochodzenia. Jeśli hosting powiadamia Cię o włamaniu w piątek wieczorem, licznik startuje wtedy - weekend nie przedłuża terminu. Gdy naruszenie wykryje Twój dostawca, np. hosting albo dostawca newslettera, musi Cię o tym powiadomić bez zbędnej zwłoki zgodnie z art. 33 ust. 2 RODO. Dlatego adres e-mail, na który dostawcy wysyłają takie powiadomienia, powinien być stale monitorowany, a nie przypisany do osoby, która od pół roku nie pracuje w firmie.

Zgłoszenia nie robisz tylko wtedy, gdy jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób. Przykładem może być zgubiony, w pełni zaszyfrowany laptop z silnym hasłem, gdy kopia danych jest bezpieczna. Każdy wyciek danych klientów sklepu na zewnątrz - adresy, telefony, historia zamówień - zwykle wiąże się z ryzykiem choćby phishingu podszywającego się pod sklep, dlatego w razie wątpliwości bezpieczniej jest zgłosić naruszenie. Decyzję i jej uzasadnienie zapisujesz w wewnętrznym rejestrze naruszeń.

Jak przygotować zgłoszenie do UODO krok po kroku

Zgłoszenie naruszenia składasz do Prezesa UODO, najwygodniej elektronicznie przez formularz udostępniony na stronie urzędu, prowadzący do usługi na biznes.gov.pl (stan na wrzesień 2026 - sprawdź aktualny sposób składania zgłoszeń na stronie UODO). Art. 33 ust. 3 RODO określa minimalną treść zgłoszenia, którą warto mieć przygotowaną w szkicu, zanim otworzysz formularz:

[#chart:wit60b]

Element zgłoszenia	Co wpisać	Przykład dla sklepu
Charakter naruszenia	Co się stało i jaki był rodzaj naruszenia: poufność, integralność, dostępność	Nieuprawniony dostęp do bazy sklepu przez podatną wtyczkę
Kategorie i liczba osób	Kogo dotyczy naruszenie i w przybliżeniu ilu osób	Klienci sklepu - liczba kont w bazie, do której uzyskano dostęp
Kategorie i liczba wpisów	Jakie dane i ile rekordów	Imię, nazwisko, adres, e-mail, telefon, historia zamówień
Kontakt	Dane inspektora ochrony danych lub innej osoby kontaktowej	Właściciel sklepu lub IOD
Możliwe konsekwencje	Jakie ryzyko grozi klientom	Phishing podszywający się pod sklep, próby wyłudzeń
Zastosowane środki	Co zrobiono, by zaradzić naruszeniu i ograniczyć skutki	Usunięcie podatności, zmiana haseł, reset sesji, powiadomienie klientów

Jeśli w ciągu 72 godzin nie znasz jeszcze wszystkich informacji, art. 33 ust. 4 RODO pozwala przekazywać je stopniowo. W praktyce składasz zgłoszenie wstępne z tym, co wiesz, a później zgłoszenie uzupełniające z wynikami analizy. Jeśli zgłoszenie składasz po terminie, musisz dołączyć wyjaśnienie przyczyn opóźnienia. Lepiej więc zgłosić naruszenie niepełne, ale w terminie, niż czekać na komplet danych od hostingu czy programisty.

Skąd wziąć dane techniczne do zgłoszenia

Najtrudniejsza część zgłoszenia to ustalenie, ile osób i jakich danych dotyczy wyciek. Potrzebujesz do tego logów serwera i panelu sklepu, listy zmian w plikach, raportu z wtyczki bezpieczeństwa lub skanera oraz informacji od hostingu. Dlatego tak ważne jest, by po wykryciu incydentu nie usuwać pochopnie śladów: zanim przywrócisz sklep z kopii zapasowej, zabezpiecz kopię zainfekowanych plików i logów. Bez nich nie wykażesz, czy atakujący pobrał bazę klientów, czy tylko podmienił pliki strony.

Jak poinformować klientów o wycieku danych

Zawiadomienie klientów to osobny obowiązek z art. 34 RODO. Dotyczy sytuacji, w których naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności osób. Art. 34 ust. 3 przewiduje wyjątki, np. gdy dane były skutecznie zaszyfrowane albo gdy po incydencie zastosowano środki eliminujące prawdopodobieństwo wysokiego ryzyka. Gdy indywidualne zawiadomienie wymagałoby niewspółmiernie dużego wysiłku, zastępuje je publiczny komunikat. Poniżej porównanie typowych sytuacji:

[#chart:wit60c]

Zawiadomienie musi być napisane jasnym i prostym językiem. Zgodnie z art. 34 ust. 2 RODO zawiera co najmniej opis charakteru naruszenia, dane kontaktowe osoby, która udzieli informacji, możliwe konsekwencje i podjęte środki. W praktyce dobra wiadomość do klientów ma kilka stałych elementów:

Co się stało - krótko i bez technicznego żargonu, z datą wykrycia.
Jakie dane dotyczą klienta - konkretna lista, np. imię, adres e-mail, adres dostawy, historia zamówień.
Co to oznacza - jakie ryzyko grozi, np. fałszywe maile i SMS-y podszywające się pod sklep lub kuriera.
Co zrobiliśmy - usunięcie przyczyny, zmiana zabezpieczeń, zgłoszenie do UODO.
Co powinien zrobić klient - zmienić hasło, także w innych serwisach, jeśli używał tego samego, zachować ostrożność wobec wiadomości z prośbą o dopłatę.
Kontakt - adres e-mail lub telefon do osoby, która odpowie na pytania.

[#uwaga] Wiadomość o wycieku wysyłaj z tej samej domeny i skrzynki, z której klienci zwykle dostają maile ze sklepu, i nie umieszczaj w niej linków do logowania. Po głośnym incydencie oszuści często wysyłają fałszywe „zawiadomienia o wycieku” z linkiem do strony wyłudzającej dane. Napisz wprost, że sklep nigdy nie poprosi o hasło ani dane karty w wiadomości e-mail.

Klienci po wycieku są szczególnie narażeni na phishing, dlatego warto od razu opublikować na stronie sklepu informację, jak rozpoznać prawdziwe wiadomości od sklepu. Jakie sygnały ostrzegawcze opisać, podpowiadamy w artykule phishing w sklepie internetowym - jak rozpoznać fałszywe maile i SMS-y.

O kim jeszcze pamiętać po wycieku danych klientów sklepu

Zgłoszenie do UODO i zawiadomienie klientów to obowiązki z RODO, ale incydent dotyczy zwykle także innych podmiotów. W zależności od sytuacji warto powiadomić:

Operatora płatności - jeśli istnieje podejrzenie, że skrypt przechwytywał dane płatnicze w koszyku.
Policję - włamanie do systemu i kradzież danych to przestępstwa; zgłoszenie ułatwia też dochodzenie roszczeń.
CERT Polska - incydent możesz zgłosić przez formularz na stronie incydent.cert.pl, co pomaga w analizie ataku.
Marketplace - jeśli przejęte zostało konto sprzedawcy albo wyciekły dane kupujących z Allegro czy Amazona, skontaktuj się z obsługą sprzedawców platformy.
Dostawców i integratorów - zmień klucze API, hasła i tokeny integracji, które mogły zostać przejęte.

Wewnętrzny rejestr naruszeń

Art. 33 ust. 5 RODO wymaga dokumentowania wszystkich naruszeń ochrony danych, także tych, których nie zgłaszasz do UODO. W rejestrze naruszeń zapisujesz okoliczności incydentu, jego skutki, podjęte działania i uzasadnienie decyzji o zgłoszeniu lub jego braku. Wystarczy prosty arkusz z datą, opisem, kategoriami danych, liczbą osób, oceną ryzyka i listą działań. Rejestr pozwala też wyciągać wnioski - jeśli trzeci raz w roku newsletter trafił z widocznymi adresami, problemem jest proces, a nie pojedynczy pracownik.

Procedura na wypadek wycieku - przygotuj ją wcześniej

Najwięcej czasu po incydencie tracą sklepy, które dopiero w trakcie kryzysu ustalają, kto ma dostęp do serwera, gdzie są logi i kto podejmuje decyzję o zgłoszeniu. Prosta procedura na jedną stronę skraca ten czas z dni do godzin. Wystarczy, że zespół wie, kogo powiadomić, gdzie są dane dostępowe i jaki szablon zgłoszenia oraz wiadomości do klientów wykorzystać. Procedurę warto raz w roku przećwiczyć na fikcyjnym scenariuszu, np. „pracownik wysłał eksport zamówień na prywatny adres”.

[#checklista] Co przygotować przed incydentem: lista osób decyzyjnych z telefonami, także poza godzinami pracy; dane kontaktowe hostingu, programisty i dostawców kluczowych systemów; dostęp awaryjny do serwera i panelu sklepu w menedżerze haseł; włączone i przechowywane logi serwera oraz panelu; aktualna kopia zapasowa przechowywana poza serwerem sklepu; szkic zgłoszenia do UODO z polami z art. 33 ust. 3 RODO; szablon wiadomości do klientów; arkusz rejestru naruszeń.

Jak Vinson pomaga po wycieku danych klientów sklepu

Vinson to agencja e-commerce z Bochni działająca od 2021 r., certyfikowany partner Base i autoryzowany partner Shoper, oceniana na 4,9/5 ze 171 opinii przez klientów z ponad 500 firm. Nie składamy zgłoszeń w imieniu klienta i nie zastępujemy prawnika, ale w ramach wsparcia informatycznego dla firm i sklepów pomagamy w części technicznej: zabezpieczamy logi i kopie plików, ustalamy źródło incydentu, usuwamy złośliwy kod i podatne wtyczki, zmieniamy hasła, klucze API i tokeny integracji z marketplace'ami, wdrażamy weryfikację dwuetapową i przygotowujemy opis techniczny, który właściciel sklepu wykorzystuje w zgłoszeniu do UODO i w komunikacie dla klientów. Po incydencie układamy też kopie zapasowe i dostępy tak, by podobna sytuacja była mniej prawdopodobna.

Najczęściej zadawane pytania

Ile czasu ma sklep na zgłoszenie wycieku danych do UODO?

Bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia. Termin obejmuje weekendy i święta. Jeśli nie znasz jeszcze wszystkich szczegółów, złóż zgłoszenie wstępne i uzupełnij je później.

Czy każdy wyciek danych trzeba zgłaszać do UODO?

Nie. Zgłoszenia nie wymaga naruszenie, przy którym ryzyko dla praw lub wolności osób jest mało prawdopodobne, np. utrata skutecznie zaszyfrowanego nośnika. Każde naruszenie trzeba jednak opisać w wewnętrznym rejestrze naruszeń razem z uzasadnieniem decyzji.

Kiedy trzeba poinformować klientów o wycieku danych?

Gdy naruszenie może powodować wysokie ryzyko dla klientów, np. wyciekły hasła, dane płatnicze lub pełne dane kontaktowe z historią zamówień. Zawiadomienie wysyłasz bez zbędnej zwłoki, jasnym językiem, z opisem skutków, podjętych działań i zaleceń dla klienta.

Jak zgłosić naruszenie ochrony danych do UODO?

Najwygodniej elektronicznie, przez formularz zgłoszenia naruszenia wskazany na stronie UODO. Przygotuj wcześniej opis zdarzenia, kategorie i przybliżoną liczbę osób i rekordów, dane kontaktowe, możliwe konsekwencje oraz zastosowane środki - to minimalna treść wymagana przez art. 33 ust. 3 RODO.

Co grozi za niezgłoszenie wycieku danych?

Naruszenie art. 33 i 34 RODO podlega administracyjnej karze pieniężnej do 10 mln euro lub do 2% rocznego światowego obrotu zgodnie z art. 83 ust. 4 RODO. Przy ustalaniu kary organ bierze pod uwagę m.in. to, czy administrator sam zgłosił naruszenie i jak współpracował z urzędem.

Jeśli w Twoim sklepie doszło do incydentu albo chcesz przygotować procedurę, zanim się wydarzy, skontaktuj się z nami w sprawie wsparcia IT. Plan działania na wypadek utraty danych opisujemy też w poradniku utrata danych sklepu - plan awaryjny krok po kroku dla właściciela.

Jak przygotować zgłoszenie do UODO krok po kroku

Zgłoszenie naruszenia składasz do Prezesa UODO, najwygodniej elektronicznie przez formularz udostępniony na stronie urzędu, prowadzący do usługi na biznes.gov.pl (stan na wrzesień 2026 - sprawdź aktualny sposób składania zgłoszeń na stronie UODO). Art. 33 ust. 3 RODO określa minimalną treść zgłoszenia, którą warto mieć przygotowaną w szkicu, zanim otworzysz formularz:

[#chart:wit60b]

Element zgłoszenia	Co wpisać	Przykład dla sklepu
Charakter naruszenia	Co się stało i jaki był rodzaj naruszenia: poufność, integralność, dostępność	Nieuprawniony dostęp do bazy sklepu przez podatną wtyczkę
Kategorie i liczba osób	Kogo dotyczy naruszenie i w przybliżeniu ilu osób	Klienci sklepu - liczba kont w bazie, do której uzyskano dostęp
Kategorie i liczba wpisów	Jakie dane i ile rekordów	Imię, nazwisko, adres, e-mail, telefon, historia zamówień
Kontakt	Dane inspektora ochrony danych lub innej osoby kontaktowej	Właściciel sklepu lub IOD
Możliwe konsekwencje	Jakie ryzyko grozi klientom	Phishing podszywający się pod sklep, próby wyłudzeń
Zastosowane środki	Co zrobiono, by zaradzić naruszeniu i ograniczyć skutki	Usunięcie podatności, zmiana haseł, reset sesji, powiadomienie klientów

Jeśli w ciągu 72 godzin nie znasz jeszcze wszystkich informacji, art. 33 ust. 4 RODO pozwala przekazywać je stopniowo. W praktyce składasz zgłoszenie wstępne z tym, co wiesz, a później zgłoszenie uzupełniające z wynikami analizy. Jeśli zgłoszenie składasz po terminie, musisz dołączyć wyjaśnienie przyczyn opóźnienia. Lepiej więc zgłosić naruszenie niepełne, ale w terminie, niż czekać na komplet danych od hostingu czy programisty.

Skąd wziąć dane techniczne do zgłoszenia

Najtrudniejsza część zgłoszenia to ustalenie, ile osób i jakich danych dotyczy wyciek. Potrzebujesz do tego logów serwera i panelu sklepu, listy zmian w plikach, raportu z wtyczki bezpieczeństwa lub skanera oraz informacji od hostingu. Dlatego tak ważne jest, by po wykryciu incydentu nie usuwać pochopnie śladów: zanim przywrócisz sklep z kopii zapasowej, zabezpiecz kopię zainfekowanych plików i logów. Bez nich nie wykażesz, czy atakujący pobrał bazę klientów, czy tylko podmienił pliki strony.

Jak poinformować klientów o wycieku danych

Zawiadomienie klientów to osobny obowiązek z art. 34 RODO. Dotyczy sytuacji, w których naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności osób. Art. 34 ust. 3 przewiduje wyjątki, np. gdy dane były skutecznie zaszyfrowane albo gdy po incydencie zastosowano środki eliminujące prawdopodobieństwo wysokiego ryzyka. Gdy indywidualne zawiadomienie wymagałoby niewspółmiernie dużego wysiłku, zastępuje je publiczny komunikat. Poniżej porównanie typowych sytuacji:

[#chart:wit60c]

Zawiadomienie musi być napisane jasnym i prostym językiem. Zgodnie z art. 34 ust. 2 RODO zawiera co najmniej opis charakteru naruszenia, dane kontaktowe osoby, która udzieli informacji, możliwe konsekwencje i podjęte środki. W praktyce dobra wiadomość do klientów ma kilka stałych elementów:

Co się stało - krótko i bez technicznego żargonu, z datą wykrycia.
Jakie dane dotyczą klienta - konkretna lista, np. imię, adres e-mail, adres dostawy, historia zamówień.
Co to oznacza - jakie ryzyko grozi, np. fałszywe maile i SMS-y podszywające się pod sklep lub kuriera.
Co zrobiliśmy - usunięcie przyczyny, zmiana zabezpieczeń, zgłoszenie do UODO.
Co powinien zrobić klient - zmienić hasło, także w innych serwisach, jeśli używał tego samego, zachować ostrożność wobec wiadomości z prośbą o dopłatę.
Kontakt - adres e-mail lub telefon do osoby, która odpowie na pytania.

[#uwaga] Wiadomość o wycieku wysyłaj z tej samej domeny i skrzynki, z której klienci zwykle dostają maile ze sklepu, i nie umieszczaj w niej linków do logowania. Po głośnym incydencie oszuści często wysyłają fałszywe „zawiadomienia o wycieku” z linkiem do strony wyłudzającej dane. Napisz wprost, że sklep nigdy nie poprosi o hasło ani dane karty w wiadomości e-mail.

Klienci po wycieku są szczególnie narażeni na phishing, dlatego warto od razu opublikować na stronie sklepu informację, jak rozpoznać prawdziwe wiadomości od sklepu. Jakie sygnały ostrzegawcze opisać, podpowiadamy w artykule phishing w sklepie internetowym - jak rozpoznać fałszywe maile i SMS-y.

O kim jeszcze pamiętać po wycieku danych klientów sklepu

Zgłoszenie do UODO i zawiadomienie klientów to obowiązki z RODO, ale incydent dotyczy zwykle także innych podmiotów. W zależności od sytuacji warto powiadomić:

Operatora płatności - jeśli istnieje podejrzenie, że skrypt przechwytywał dane płatnicze w koszyku.
Policję - włamanie do systemu i kradzież danych to przestępstwa; zgłoszenie ułatwia też dochodzenie roszczeń.
CERT Polska - incydent możesz zgłosić przez formularz na stronie incydent.cert.pl, co pomaga w analizie ataku.
Marketplace - jeśli przejęte zostało konto sprzedawcy albo wyciekły dane kupujących z Allegro czy Amazona, skontaktuj się z obsługą sprzedawców platformy.
Dostawców i integratorów - zmień klucze API, hasła i tokeny integracji, które mogły zostać przejęte.

Wewnętrzny rejestr naruszeń

Art. 33 ust. 5 RODO wymaga dokumentowania wszystkich naruszeń ochrony danych, także tych, których nie zgłaszasz do UODO. W rejestrze naruszeń zapisujesz okoliczności incydentu, jego skutki, podjęte działania i uzasadnienie decyzji o zgłoszeniu lub jego braku. Wystarczy prosty arkusz z datą, opisem, kategoriami danych, liczbą osób, oceną ryzyka i listą działań. Rejestr pozwala też wyciągać wnioski - jeśli trzeci raz w roku newsletter trafił z widocznymi adresami, problemem jest proces, a nie pojedynczy pracownik.

Procedura na wypadek wycieku - przygotuj ją wcześniej

Najwięcej czasu po incydencie tracą sklepy, które dopiero w trakcie kryzysu ustalają, kto ma dostęp do serwera, gdzie są logi i kto podejmuje decyzję o zgłoszeniu. Prosta procedura na jedną stronę skraca ten czas z dni do godzin. Wystarczy, że zespół wie, kogo powiadomić, gdzie są dane dostępowe i jaki szablon zgłoszenia oraz wiadomości do klientów wykorzystać. Procedurę warto raz w roku przećwiczyć na fikcyjnym scenariuszu, np. „pracownik wysłał eksport zamówień na prywatny adres”.

[#checklista] Co przygotować przed incydentem: lista osób decyzyjnych z telefonami, także poza godzinami pracy; dane kontaktowe hostingu, programisty i dostawców kluczowych systemów; dostęp awaryjny do serwera i panelu sklepu w menedżerze haseł; włączone i przechowywane logi serwera oraz panelu; aktualna kopia zapasowa przechowywana poza serwerem sklepu; szkic zgłoszenia do UODO z polami z art. 33 ust. 3 RODO; szablon wiadomości do klientów; arkusz rejestru naruszeń.

Jak Vinson pomaga po wycieku danych klientów sklepu

Vinson to agencja e-commerce z Bochni działająca od 2021 r., certyfikowany partner Base i autoryzowany partner Shoper, oceniana na 4,9/5 ze 171 opinii przez klientów z ponad 500 firm. Nie składamy zgłoszeń w imieniu klienta i nie zastępujemy prawnika, ale w ramach wsparcia informatycznego dla firm i sklepów pomagamy w części technicznej: zabezpieczamy logi i kopie plików, ustalamy źródło incydentu, usuwamy złośliwy kod i podatne wtyczki, zmieniamy hasła, klucze API i tokeny integracji z marketplace'ami, wdrażamy weryfikację dwuetapową i przygotowujemy opis techniczny, który właściciel sklepu wykorzystuje w zgłoszeniu do UODO i w komunikacie dla klientów. Po incydencie układamy też kopie zapasowe i dostępy tak, by podobna sytuacja była mniej prawdopodobna.

Najczęściej zadawane pytania

Ile czasu ma sklep na zgłoszenie wycieku danych do UODO?

Bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia. Termin obejmuje weekendy i święta. Jeśli nie znasz jeszcze wszystkich szczegółów, złóż zgłoszenie wstępne i uzupełnij je później.

Czy każdy wyciek danych trzeba zgłaszać do UODO?

Nie. Zgłoszenia nie wymaga naruszenie, przy którym ryzyko dla praw lub wolności osób jest mało prawdopodobne, np. utrata skutecznie zaszyfrowanego nośnika. Każde naruszenie trzeba jednak opisać w wewnętrznym rejestrze naruszeń razem z uzasadnieniem decyzji.

Kiedy trzeba poinformować klientów o wycieku danych?

Gdy naruszenie może powodować wysokie ryzyko dla klientów, np. wyciekły hasła, dane płatnicze lub pełne dane kontaktowe z historią zamówień. Zawiadomienie wysyłasz bez zbędnej zwłoki, jasnym językiem, z opisem skutków, podjętych działań i zaleceń dla klienta.

Jak zgłosić naruszenie ochrony danych do UODO?

Najwygodniej elektronicznie, przez formularz zgłoszenia naruszenia wskazany na stronie UODO. Przygotuj wcześniej opis zdarzenia, kategorie i przybliżoną liczbę osób i rekordów, dane kontaktowe, możliwe konsekwencje oraz zastosowane środki - to minimalna treść wymagana przez art. 33 ust. 3 RODO.

Co grozi za niezgłoszenie wycieku danych?

Naruszenie art. 33 i 34 RODO podlega administracyjnej karze pieniężnej do 10 mln euro lub do 2% rocznego światowego obrotu zgodnie z art. 83 ust. 4 RODO. Przy ustalaniu kary organ bierze pod uwagę m.in. to, czy administrator sam zgłosił naruszenie i jak współpracował z urzędem.

Jeśli w Twoim sklepie doszło do incydentu albo chcesz przygotować procedurę, zanim się wydarzy, skontaktuj się z nami w sprawie wsparcia IT. Plan działania na wypadek utraty danych opisujemy też w poradniku utrata danych sklepu - plan awaryjny krok po kroku dla właściciela.

Wyciek danych klientów sklepu - jak zgłosić incydent do UODO i poinformować klientów