Wyciek danych Pandabuy: mapa z adresami Polaków

Wyciek danych Pandabuy, chińskiej platformy pośredniczącej w zakupach, to jedna z niewielu zagranicznych spraw, w których Prezes UODO od dwóch lat walczy o polskich poszkodowanych. Według UODO **31 marca 2024 r.** w sieci udostępniono najpewniej dane 1,3 mln klientów z całego świata, w tym **kilkudziesięciu tysięcy osób z Polski**.

Wyciekły imiona i nazwiska, adresy e-mail, numery telefonów, identyfikatory użytkowników, adresy IP, hasła, adresy dostaw oraz dane o zamówieniach i płatnościach. Numeru PESEL w tym zestawie nie było.

Sam wyciek to jedno. Zaraz potem, **7 kwietnia 2024 r.**, na stronie „lista-drillowcow.pl” pojawiła się interaktywna mapa Polski z imionami, nazwiskami i adresami dostaw klientów. Gdy strona przestała działać, mapa wracała pod innymi adresami.

Dlatego postępowanie, o które zabiega urząd, nie dotyczy samej platformy spoza Unii. Prezes UODO **29 kwietnia 2024 r.** zawiadomił prokuraturę o podejrzeniu przestępstwa z art. 107 ust. 1 ustawy o ochronie danych osobowych, czyli przetwarzania danych bez podstawy prawnej. Chodzi o osoby, które prowadziły strony z mapą.

Prokuratura Rejonowa Warszawa Śródmieście-Północ **22 czerwca 2024 r.** odmówiła wszczęcia śledztwa, bo uznała, że brak danych uzasadniających podejrzenie przestępstwa. Urząd złożył zażalenie, a sąd rejonowy je uwzględnił. Uznał, że materiały UODO, potwierdzone czynnościami policji, świadczą o uzasadnionym przypuszczeniu przestępstwa.

Dochodzenie zostało jednak umorzone postanowieniem z **25 września 2025 r.**, z tym samym uzasadnieniem. Prokuratura Okręgowa w Warszawie **13 marca 2026 r.** nie uwzględniła zażalenia urzędu. W komunikacie UODO z 29 września 2026 r. Prezes UODO informuje, że zwrócił się do Prokuratora Generalnego o rozważenie podjęcia postępowania na nowo.

Według urzędu materiał dowodowy jest niekompletny. Nie ustalono, kto rejestrował domeny i administrował stronami z mapą. Nie wystąpiono do firm hostingowych o dane pozwalające zidentyfikować administratorów. Nie wyjaśniono, jak dane z platformy trafiły do autorów mapy. Brakuje też analizy technicznej i **przesłuchań osób, których dane opublikowano**.

Prezes UODO zarzuca, że nie ustalono wszystkich pokrzywdzonych ani rozmiarów szkody, a sprawę zamknięto z przyczyn proceduralnych bez rozpoznania merytorycznego. Podkreśla też, że sama platforma nie ma interesu w wyjaśnianiu wycieku, więc ściganie osób wykorzystujących dane Polaków leży w interesie publicznym.

Uczciwie: na dziś dla poszkodowanych zmienia się niewiele. Prośba do Prokuratora Generalnego nie oznacza, że postępowanie zostanie podjęte. Nawet jeśli tak się stanie, będzie dotyczyć autorów mapy, a nie odszkodowania od platformy. **Administrator spoza Unii Europejskiej to w praktyce najtrudniejszy przeciwnik** w sprawie o wyciek danych osobowych.

Jeśli ktoś nie wie, jak sprawdzić, czy jego dane wyciekły, ten wyciek figuruje w serwisie **Have I Been Pwned**. Według serwisu obejmuje 1 348 407 adresów e-mail. Co warto zrobić: zmienić hasło wszędzie tam, gdzie było takie samo jak w Pandabuy, i ostrożnie traktować SMS-y oraz e-maile o „przesyłce”, bo przestępcy znają adres dostawy i historię zamówień. Osoby, których adres pojawił się na mapie, mogą jako pokrzywdzone zgłosić się na policję lub do prokuratury.