Wyciek danych – bank ma wtedy konkretne obowiązki, a klient konkretne prawa. Wyjaśniamy, co mówią przepisy, jak rozpoznać prawdziwe zawiadomienie i co zrobić od razu po informacji o wycieku.
Co bank musi zrobić po wycieku danych
Obowiązki banku wynikają z RODO. Wyjaśnia je poradnik Urzędu Ochrony Danych Osobowych (UODO).
Bank zgłasza naruszenie do UODO bez zbędnej zwłoki, w miarę możliwości w 72 godziny od jego stwierdzenia (art. 33 RODO). Nie musi, jeśli ryzyko dla klientów jest mało prawdopodobne.
Klienta bank zawiadamia bez zbędnej zwłoki, gdy naruszenie może powodować wysokie ryzyko (art. 34 RODO). Zawiadomienie ma być napisane jasnym i prostym językiem.
W zawiadomieniu muszą być:
- charakter naruszenia,
- imię, nazwisko i kontakt do inspektora ochrony danych albo innego punktu kontaktowego,
- możliwe konsekwencje naruszenia,
- środki, które bank zastosował lub proponuje, by ograniczyć skutki.
Bank może nie zawiadamiać klientów, gdy dane były np. zaszyfrowane albo ryzyko zostało usunięte. Gdy kontakt z każdym wymagałby niewspółmiernego wysiłku, wystarczy publiczny komunikat.
Obowiązek ciąży na administratorze danych. W sprawie Banku Millennium sąd uznał, że za przesyłkę zgubioną przez kuriera odpowiadał bank, a nie firma kurierska.
Kary UODO dla banków
UODO karało banki przede wszystkim za to, że nie zawiadomiły klientów. Banki uznawały wcześniej ryzyko za niskie.
| Bank | Kara | Za co | Stan sprawy |
|---|---|---|---|
| mBank | 4 053 173 zł | niezawiadomienie klientów, których dane w 2022 r. trafiły do nieuprawnionego odbiorcy | decyzja ogłoszona 9.09.2024 |
| Santander Bank Polska (dziś Erste Bank Polska) | 545 748 zł | niezawiadomienie osób o dostępie byłego pracownika do ich danych | prawomocna – NSA oddalił skargę kasacyjną 6.03.2026 |
| Santander Bank Polska | 1 440 549 zł | brak zgłoszenia naruszenia i niezawiadomienie osób (zdarzenie z 2018 r.) | WSA uwzględnił skargę banku; skarga kasacyjna UODO w NSA (stan na 9.06.2025) |
| Bank Millennium | ponad 350 tys. zł | niezgłoszenie naruszenia i niezawiadomienie klientów po zgubieniu korespondencji przez kuriera | NSA oddalił skargę kasacyjną banku (komunikat z 16.12.2025) |
W sprawie mBanku UODO podało, że maksymalna kara mogłaby wynieść 337 mln zł. Urząd podkreślił, że tajemnica bankowa nie zwalnia z obowiązków z RODO.
Klient nie może żądać nałożenia kary na bank. To wyłączna kompetencja Prezesa UODO.
Tajemnica bankowa
Bank i jego pracownicy muszą zachować tajemnicę bankową. Obejmuje ona wszystkie informacje o czynnościach bankowych klienta (art. 104 Prawa bankowego).
Kto bezprawnie ujawnia lub wykorzystuje tajemnicę bankową, podlega grzywnie do 1 mln zł i karze pozbawienia wolności do 3 lat (art. 171 ust. 5).
Jak rozpoznać prawdziwe zawiadomienie
Po wyciekach rośnie ryzyko phishingu. UODO ostrzega, że oszuści mogą próbować wyłudzić dodatkowe dane albo dostęp do bankowości internetowej.
Pracownik banku nigdy nie prosi o:
- login i hasło do bankowości,
- kod z SMS-a ani dane karty,
- instalację aplikacji,
- przelew na wskazany rachunek.
Gdy ktoś już przejął dostęp do konta, kolejne kroki opisuje tekst o włamaniu na konto bankowe.
Co zrobić od razu po informacji o wycieku
- zastrzec numer PESEL – bezpłatnie i od razu, w mObywatelu albo w urzędzie gminy,
- przy wycieku danych dowodu zastrzec dokument w banku albo telefonicznie pod numerem +48 828 828 828,
- sprawdzić swoje dane w BIK – kopia jest bezpłatna raz na 6 miesięcy,
- zmienić hasła w serwisach, których dotyczył wyciek,
- sprawdzić w serwisie bezpiecznedane.gov.pl, czy dane są w znanych wyciekach,
- podejrzane SMS-y przekazywać CERT Polska na numer 8080.
Od 1 czerwca 2024 r. banki muszą sprawdzać, czy PESEL jest zastrzeżony, np. przed umową kredytu. Bankomat i przelewy działają mimo zastrzeżenia.
Jeśli bank zawrze umowę mimo zastrzeżenia, nie może dochodzić długu od konsumenta (art. 105d Prawa bankowego).
Alerty BIK wysyłają SMS, gdy ktoś złoży wniosek o kredyt na dane klienta. Kosztują od 36 zł. Jak czytać dane, wyjaśnia tekst o raporcie BIK.
Po zgłoszeniu wyłudzenia na policję Pakiet BIK jest bezpłatny.
Bankowe usługi ochrony tożsamości porównuje tekst o kartach z ochroną tożsamości.
Odszkodowanie, skarga i zwrot pieniędzy – trzy różne drogi
| Cel | Gdzie | Podstawa |
|---|---|---|
| odszkodowanie za szkodę majątkową lub niemajątkową | sąd powszechny | art. 82 RODO |
| nakaz przywrócenia stanu zgodnego z prawem | skarga do Prezesa UODO | RODO |
| zwrot pieniędzy z nieautoryzowanej transakcji | bank, potem reklamacja | art. 46 ustawy o usługach płatniczych |
Odszkodowanie może przyznać tylko sąd powszechny. W postępowaniu przed UODO nie da się go uzyskać.
Według UODO wyrok TSUE z 20 czerwca 2024 r. potwierdził, że odszkodowanie ma charakter wyłącznie kompensacyjny. Należy się bez względu na rozmiar szkody.
Odszkodowania za szkodę niemajątkową nie można ograniczać do sytuacji, w których doszło już do kradzieży tożsamości lub oszustwa.
Przed skargą do UODO trzeba najpierw wystąpić z żądaniem do banku. Ten odpowiada w ciągu miesiąca. Termin można przedłużyć o kolejne 2 miesiące.
Zwrot pieniędzy po nieautoryzowanej transakcji to osobny tryb. Bank oddaje kwotę do końca następnego dnia roboczego po zgłoszeniu.
Klient odpowiada najwyżej do równowartości 50 euro, chyba że działał umyślnie lub z rażącym niedbalstwem. Procedurę opisuje tekst o zgłaszaniu nieautoryzowanej transakcji.
Silne uwierzytelnianie i hasła
Silne uwierzytelnianie przy logowaniu do konta i płatnościach elektronicznych jest obowiązkowe (art. 32i ustawy o usługach płatniczych). Wymaga co najmniej dwóch niezależnych elementów.
CERT Polska wyjaśnia, że okresowa zmiana hasła nie jest potrzebna. Hasło zmienia się wtedy, gdy ktoś mógł je poznać, np. po wycieku.
CERT zaleca menedżer haseł i logowanie dwuetapowe także w serwisach spoza banku.
Najczęstsze pytania o wyciek danych z banku
Do UODO bank zgłasza naruszenie bez zbędnej zwłoki, w miarę możliwości w 72 godziny. Klienta zawiadamia bez zbędnej zwłoki, jeśli naruszenie może powodować wysokie ryzyko.
Charakter naruszenia, kontakt do inspektora ochrony danych, możliwe konsekwencje i środki zaradcze. Prawdziwe zawiadomienie nie prosi o login, hasło ani kod SMS.
Odszkodowanie może przyznać tylko sąd powszechny, nie bank ani UODO. Obejmuje szkodę majątkową i niemajątkową, także gdy dane nie zostały jeszcze użyte do oszustwa.
Zastrzec PESEL, a przy wycieku danych dowodu także dokument. Warto sprawdzić dane w BIK, zmienić hasła w serwisach objętych wyciekiem i uważać na telefony „z banku”.
Źródła:
- UODO – Obowiązki administratorów związane z naruszeniami ochrony danych osobowych (poradnik, PDF)
- UODO – Wyciek danych – co dalej?
- UODO – Masz prawo złożyć skargę do Prezesa UODO
- UODO – odszkodowanie za naruszenie przepisów o ochronie danych tylko przed sądem
- UODO – Dane osobowe a odpowiedzialność odszkodowawcza. Skutki wyroku TSUE
- UODO – Kara dla mBanku za niezawiadomienie osób poszkodowanych wyciekiem danych
- UODO – NSA podtrzymał decyzję wobec Santander Bank Polska
- UODO – skarga kasacyjna do NSA w sprawie Santander Bank Polska
- UODO – NSA w sprawie Banku Millennium
- Ustawa – Prawo bankowe (t.j. Dz.U. 2026 poz. 38), art. 104, 105d, 171
- Ustawa o usługach płatniczych (t.j. Dz.U. 2026 poz. 623), art. 32i, 44–46
- gov.pl – Zastrzeż swój numer PESEL
- ZBP – System DOKUMENTY ZASTRZEŻONE
- NASK / Ministerstwo Cyfryzacji – bezpiecznedane.gov.pl
- BIK – bezpłatna kopia danych
- BIK – Alerty BIK
- CERT Polska – Zadbaj o bezpieczne hasła
Regularne monitorowanie aktywności na koncie to klucz do uniknięcia nieprzyjemnych sytuacji. Dobrze, że zwrócono na to uwagę – często ignorujemy podejrzane powiadomienia, a to może nas dużo kosztować!
Ciekawe, jak ważna jest szybka reakcja po wycieku danych! Zmiana haseł i natychmiastowe zgłoszenie incydentu do banku naprawdę mogą uchronić przed dużymi kłopotami. Dobrze, że poruszyliście ten temat!
Regularne sprawdzanie historii transakcji to świetna rada! Zgadzam się, że szybka reakcja na podejrzane operacje może naprawdę uratować nas przed dużymi problemami. Warto być czujnym i nie bagatelizować żadnych nietypowych powiadomień!