Wyciek danych z Fortum

Co się stało

Podmiot przetwarzający — spółka PIKA — rozwiązując problemy z wydajnością, utworzył dodatkową bazę danych i wgrał do niej prawdziwe dane klientów administratora. Baza została udostępniona w niewłaściwy sposób, co pozwoliło osobom nieuprawnionym uzyskać do niej dostęp i skopiować dane. Wyciekły między innymi numery PESEL oraz dane dokumentów tożsamości.

Prezes UODO ukarał oba podmioty w jednym postępowaniu — to był pierwszy taki przypadek w Polsce. Administrator dostał 4 911 732 zł za to, że przed zawarciem umowy nie zweryfikował gwarancji bezpieczeństwa procesora, nie skorzystał z prawa do audytu i nie nadzorował skutecznie zmian w systemie (art. 5 ust. 1 lit. f, art. 25 ust. 1, art. 28 ust. 1 oraz art. 32 ust. 1 i 2 RODO). PIKA sp. z o.o. jako procesor dostała 250 135 zł za testowanie na prawdziwych danych bez pseudonimizacji i niepełną konfigurację zabezpieczeń, w tym zapory sieciowej (art. 32 ust. 1 i 2 w związku z art. 28 ust. 3 lit. c i f RODO).

Sprawa dwa razy przeszła przez sądy. WSA najpierw uchylił decyzję, uznając, że organ niedostatecznie ustalił stan faktyczny. NSA uchylił ten wyrok i zwrócił sprawę — stwierdził, że organ szczegółowo opisał nadzór administratora nad procesorem, i nie zgodził się, by sąd musiał rozstrzygać, czy doszło do „wycieku", czy tylko do krótkotrwałej możliwości nieuprawnionego dostępu. 20 maja 2026 r. WSA oddalił skargi obu spółek (II SA/Wa 458/26), utrzymując kary.

Skala podawana jest w trzech różnych liczbach i w różnych jednostkach. Prezes UODO w komunikacie z 2026 r. pisze o ponad 95 tys. osób fizycznych, relacje prasowe o decyzji z 2022 r. — o 137 314 osobach, a doniesienia z kwietnia 2020 r. o pliku z około 3,38 mln rekordów. Rekord to nie to samo co osoba, a my podajemy liczbę organu jako jedyną oficjalną.

Chronologia

1. kwiecień 2020

   Naruszenie po zmianach w środowisku informatycznym archiwum; zgłoszenie do Prezesa UODO.

2. 19 stycznia 2022

   Decyzja Prezesa UODO (DKN.5130.2215.2020): 4 911 732 zł dla administratora i 250 135 zł dla procesora.

3. —

   WSA uchyla decyzję, wskazując na niedostateczne ustalenie stanu faktycznego.

4. marzec 2026

   NSA uchyla wyrok WSA i zwraca sprawę do ponownego rozpoznania (komunikat Prezesa UODO z 3.03.2026).

5. 20 maja 2026

   WSA oddala skargi obu spółek (II SA/Wa 458/26) — kary utrzymane.