Informacja o naruszeniu ochrony danych osobowych u dostawcy systemu do fakturowania

Piotr Sawicki i Wspólnicy Kancelaria Adwokacka z siedzibą w Warszawie (ul. Poznańska 7 lok. 2, 00-680 Warszawa) informuje o naruszeniu ochrony danych osobowych u dostawcy systemu Fakturownia.pl, z którego korzystamy do wystawiania faktur. Operatorem systemu jest Fakturownia sp. z o.o. Kancelaria jest administratorem danych osobowych objętych niniejszym komunikatem.

Co się stało?

Według informacji dostawcy od 27 września 2026 r. (ok. godz. 3:20) do 28 września 2026 r. (ok. godz. 17:45) osoba nieuprawniona miała dostęp do jego systemów i skopiowała część bazy danych, w tym dane z konta Kancelarii. Dostawca poinformował o usunięciu luki 28 września 2026 r.

Kogo dotyczy ta informacja?

Informacja dotyczy osób, których dane znajdowały się w systemie Fakturownia.pl w związku z wystawianymi przez Kancelarię fakturami, w tym nabywców, odbiorców, płatników i osób kontaktowych. Zakres naruszenia może być różny dla poszczególnych osób.

Część z tych osób otrzymuje od nas tę informację także w indywidualnej wiadomości e-mail.

Jakich danych dotyczy naruszenie?

Według informacji dostawcy zakres skopiowanych danych różni się w zależności od daty ich wprowadzenia oraz części systemu, w której były zapisane. Może obejmować:

• imię i nazwisko lub nazwę firmy;
• adres, w tym adres korespondencyjny, NIP i REGON;
• adres e-mail, numer telefonu oraz dane osób kontaktowych i osób przyjmujących faktury;
• w niektórych przypadkach numer rachunku bankowego;
• dane transakcyjne, w tym kwoty, daty, sposób i termin płatności oraz dane płatności;
• treść starszych faktur, w tym opisy usług: pełną treść faktur wystawionych przed 22 marca 2021 r. oraz pozycje faktur sprzed 6 czerwca 2019 r.

Zgodnie z informacjami dostawcy dla faktur wystawionych od 22 marca 2021 r. nie skopiowano nazwy nabywcy ani numeru faktury. Nie wyklucza to jednak objęcia naruszeniem danych tej samej osoby zapisanych w innych częściach systemu.

Kancelaria nie zamieszcza na fakturach notatek ani numerów PESEL, a według naszej oceny skopiowane dane nie obejmują też danych dokumentów tożsamości. Według informacji dostawcy nie obejmują również danych kart płatniczych ani danych logowania do banków.

Dostawca poinformował również, że nie stwierdził zmiany ani usunięcia danych. Zgodnie z przekazaną przez niego informacją, według stanu na 6 października 2026 r. nie stwierdzono publikacji skopiowanych danych.

Jakie mogą być konsekwencje i na co uważać?

Skopiowane dane mogą zostać wykorzystane do prób oszustwa, w szczególności poprzez wiadomości i telefony od osób podszywających się pod Kancelarię, bank albo urząd. Mogą również posłużyć do przygotowania fałszywych faktur lub próśb o zapłatę na inny numer rachunku, co może prowadzić do straty finansowej.

Prosimy:

• nie klikać linków ani nie otwierać załączników w nieoczekiwanych lub podejrzanych wiadomościach;
• nie przekazywać haseł, kodów z SMS, kodów BLIK ani danych karty płatniczej;
• każdą prośbę o zapłatę na zmieniony numer rachunku potwierdzić telefonicznie pod znanym Państwu wcześniej numerem Kancelarii.

Jakie działania zostały podjęte?

Według informacji dostawcy usunięto lukę, zmieniono klucze i hasła do jego systemów oraz unieważniono dotychczasowe linki do panelu klienta. Dostawca poinformował również o zgłoszeniu incydentu Policji i CERT Polska oraz monitorowaniu ewentualnej publikacji danych we współpracy z CERT Polska.

Kancelaria przeanalizowała informacje otrzymane od dostawcy i przeprowadziła ocenę ryzyka. Przekazujemy Państwu informacje o zdarzeniu oraz zalecenia, które mają pomóc ograniczyć jego ewentualne skutki.

Kontakt

Jeśli chcą Państwo uzyskać dodatkowe informacje o zdarzeniu lub ustalić, czy i w jakim zakresie naruszenie dotyczy Państwa danych, prosimy o kontakt z adw. Piotrem Sawickim:
[email protected]
tel. +48 22 400 33 44.