Wyciek danych Morele.net wraca po sześciu latach

Sprawa Morele.net to najdłużej rozstrzygana polska sprawa o wyciek danych osobowych i od dziś ma własną kartotekę w rejestrze. Naruszenie objęło **2,2 mln osób**, a jego ciężar nie wynika z liczby — wynika z tego, co wyciekło.

Obok adresów e-mail i numerów telefonów w zbiorze były **numery PESEL oraz serie i numery dokumentów tożsamości** z wniosków ratalnych. Prezes UODO ustalił, że doszło dwukrotnie do nieautoryzowanego dostępu z zewnątrz, część danych nie była szyfrowana, nie stosowano uwierzytelniania dwuskładnikowego, a spółka nie miała narzędzi do monitorowania ruchu sieciowego — i dlatego sama nie wiedziała, jakie dane wykradziono.

10 września 2019 r. Prezes UODO nałożył karę 2 830 410 zł — wówczas najwyższą w Polsce (sygn. ZSPR.421.2.2019). Wojewódzki Sąd Administracyjny w Warszawie utrzymał ją w mocy 3 września 2020 r.

9 lutego 2023 r. Naczelny Sąd Administracyjny uchylił i wyrok, i decyzję (sygn. III OSK 3945/21). Tu jest miejsce na nieporozumienie, które warto rozwiać: **sąd nie orzekł, że naruszenia nie było.** Powody były procesowe — organ odmówił dopuszczenia dowodu z opinii biegłego. Sprawa wróciła do UODO.

W ponownym postępowaniu kara nie spadła, lecz wzrosła. Decyzją z 17 stycznia 2024 r. Prezes UODO nałożył **ponad 3,8 mln zł** — jako pierwszą w Polsce obliczoną według wytycznych Europejskiej Rady Ochrony Danych z 24 maja 2023 r. 16 września 2024 r. WSA w Warszawie oddalił skargę spółki na tę decyzję.

Kara nie jest jeszcze przesądzona ostatecznie. Wyrok WSA nie zamyka drogi do skargi kasacyjnej, a spółka taką skargę zapowiedziała, kwestionując prawo organu do podniesienia kary w powtórzonym postępowaniu. Rozstrzygnięcia NSA w tej części nie odnotowaliśmy.

Uczciwa odpowiedź: kara idzie do budżetu państwa, nie do poszkodowanych. Decyzja UODO sama z siebie nie daje nikomu pieniędzy.

Ma jednak inną wartość. **Ustalenia prawomocnej decyzji stwierdzającej naruszenie wiążą sąd cywilny** co do samego stwierdzenia naruszenia (art. 97 ustawy o ochronie danych osobowych) — w sprawie o naprawienie szkody nie trzeba go wtedy dowodzić od zera. Dopóki jednak trwa droga odwoławcza, prawomocności nie ma.

Praktycznie: jeśli kupowałeś na raty w Morele.net przed 2019 r., w zbiorze mógł być Twój PESEL i numer dokumentu. Zastrzeżenie numeru PESEL jest bezpłatne, a sprawdzenie w BIK pokazuje, czy ktoś pytał o kredyt na Twoje dane.