Remove Me
Bezpłatna analiza

Wyciek danych: co zrobić, gdy twoje dane wyciekły

Autor: zespół Remove Me · Opublikowano 31 października 2026 · Zaktualizowano 31 października 2026 · 13 min czytania

W skrócie

Ustal, jakie dane wyciekły (zapytaj organizację, sprawdź bezpiecznedane.gov.pl), zmień hasła i włącz weryfikację dwuetapową, rozważ zastrzeżenie PESEL, uważaj na fałszywe wiadomości i telefony oraz monitoruj konta. Przy nadużyciach zgłoś sprawę na policję lub do prokuratury, a podejrzane wiadomości do CERT Polska.

Informacja o wycieku danych potrafi zaniepokoić. Pomaga stała kolejność działań: najpierw ustalić, co wyciekło, potem ograniczyć ryzyko, a dopiero na końcu zgłaszać sprawę i rozważać roszczenia. Ten przewodnik prowadzi przez te kroki. Opiera się na stronach rządowego serwisu bezpiecznedane.gov.pl (tworzonego z Ministerstwem Cyfryzacji i NASK, z udziałem CERT Polska), Urzędu Ochrony Danych Osobowych (UODO) i portalu gov.pl.

Trzymamy się tego, co piszą te instytucje. Tam, gdzie ich strony czegoś nie mówią, zaznaczamy to wprost. To informacja ogólna, a nie porada prawna dla twojej sytuacji. Jesteśmy francuskim serwisem bezpłatnej analizy ujawnionych danych, a nie organem państwowym.

Co zrobić w pierwszych godzinach?

Jeśli wiesz, że twoje dane mogły wyciec, serwis bezpiecznedane.gov.pl radzi działać szybko, bo szybka reakcja pozwala ograniczyć potencjalne zagrożenia. Oto kolejność, którą możesz przyjąć:

  1. Ustal, co wyciekło. Zapytaj organizację, której dotyczy wyciek, albo sprawdź swój numer w serwisie bezpiecznedane.gov.pl (opisujemy to niżej).
  2. Zmień hasła do kont, których wyciek mógł dotyczyć, oraz wszędzie tam, gdzie powtarza się to samo hasło.
  3. Włącz weryfikację dwuetapową (2FA) w każdym serwisie, który to umożliwia.
  4. Uważaj na wiadomości i telefony. Weryfikuj nadawcę „u źródła”, czyli samodzielnie wchodząc na stronę instytucji lub dzwoniąc na numer, który sam znajdziesz.
  5. Rozważ zastrzeżenie numeru PESEL, jeśli wyciek dotyczy tego numeru.
  6. Monitoruj konta bankowe i karty oraz historię kredytową.

Poniżej omawiamy każdy krok. Dla zainteresowanych: przykład z życia jest w artykule o wycieku z systemu MyDr.

Czym jest wyciek danych i jakie dane mogą wyciec?

Serwis bezpiecznedane.gov.pl definiuje wyciek danych tak, że dane użytkowników z różnych serwisów internetowych zostały upublicznione. Wiąże się to z ryzykiem, że weszły w ich posiadanie osoby nieuprawnione, z zamiarem wykorzystania w celach nieznanych właścicielom. Wyciek może dotyczyć loginów, haseł lub innych danych osobowych.

Serwis wymienia cztery najczęstsze kategorie wyciekających danych:

  • dane logowania (login i hasło),
  • dane osobowe (imię, nazwisko, adres zamieszkania),
  • dane kontaktowe (adres e-mail, numer telefonu),
  • informacje finansowe (numer karty, dane kont bankowych).

Według serwisu nawet jedna luka w zabezpieczeniach może prowadzić do poważnych konsekwencji, od utraty prywatności, przez przejęcie kont, po kradzież tożsamości. UODO opisuje podobnie: atak hakera, zgubiona korespondencja czy niezabezpieczone dane na serwerze to sytuacje, w których osoby nieuprawnione wchodzą lub mogą wejść w posiadanie twoich danych. UODO dodaje też, że na to zdarzenie nie masz wpływu. Masz natomiast wpływ na to, co zrobisz potem.

Ważny szczegół z komunikatów UODO: obowiązek powiadomienia osób dotkniętych wyciekiem spoczywa na administratorach, czyli organizacjach, które decydują o celach i sposobach przetwarzania twoich danych. W przypadku wycieku u dostawcy usługi (podmiotu przetwarzającego) administrator powinien najpierw otrzymać od dostawcy informację, czy incydent dotyczył jego danych.

Krok 1: ustal, co dokładnie wyciekło

Od tego zależy reszta. Jeśli organizacja do ciebie napisała, zacznij od jej wiadomości. Zanim zaufasz wiadomości, sprawdź zasady z sekcji o fałszywych wiadomościach poniżej. UODO opisuje, co powinno znaleźć się w prawidłowym zawiadomieniu administratora dla osób, których dotyczy naruszenie:

  • opis charakteru naruszenia, w tym w miarę możliwości kategorie i przybliżona liczba osób oraz wpisów danych, których dotyczy naruszenie,
  • imię, nazwisko i dane kontaktowe inspektora ochrony danych lub inny punkt kontaktowy,
  • opis możliwych konsekwencji naruszenia,
  • opis środków zastosowanych lub proponowanych, aby zaradzić naruszeniu i zminimalizować jego negatywne skutki.

Jeśli w wiadomości nie ma tych informacji, możesz o nie zapytać organizację. UODO podaje jako przykład: przy naruszeniu danych w zakresie imienia, nazwiska i numeru PESEL administrator może wskazać ryzyko wyłudzenia pożyczek na dane osoby, a przy danych dotyczących zdrowia ryzyko dyskryminacji, ostracyzmu społecznego lub naruszenia dóbr osobistych.

Sprawdź swój numer w bezpiecznedane.gov.pl

Serwis ma wyszukiwarkę, która pozwala sprawdzić, czy twoje dane przeznaczone do uwierzytelniania w innych serwisach nie znalazły się w puli wycieków. Wymaga logowania (Profil Zaufany, mObywatel, e-Dowód lub bankowość elektroniczna). Przy niektórych wyciekach, na przykład medycznych, serwis sprawdza wyłącznie, czy twój numer PESEL znalazł się w wycieku, a o zakresie danych informują pacjentów placówki. Serwis pokazuje też „Historię wycieków” z opisem każdego zdarzenia i rekomendacjami. Szczegółowo opisujemy to w artykule Czy moje dane wyciekły? Jak sprawdzić w bezpiecznedane.gov.pl.

Pamiętaj, że brak wyniku w jednym serwisie nie wyklucza wycieku gdzie indziej. Serwis pokazuje wycieki, którymi został zasilony.

Krok 2: ogranicz ryzyko od razu

Sprawdź urządzenie i zmień hasła

Według serwisu bezpiecznedane.gov.pl, jeśli podejrzewasz, że system mógł zostać zainfekowany, użyj programu antywirusowego, pamiętając, że może on nie wykryć zagrożenia. Wtedy najlepiej zabezpieczyć najważniejsze dane i przywrócić system do stanu fabrycznego. Hasła zmieniaj na zabezpieczonym lub wyczyszczonym komputerze. Jeśli ten sam login i hasło masz w kilku serwisach, zmień je we wszystkich i nie powielaj już haseł.

Serwis opisuje też zasady silnego hasła: minimum 12 znaków, różne rodzaje znaków (duże i małe litery, cyfry, znaki specjalne), unikalność (każde konto ma mieć inne hasło), unikanie oczywistych skojarzeń (imiona, daty urodzenia, nazwy ulubionych drużyn) i rozważenie menedżera haseł, który pozwala bezpiecznie przechowywać i generować hasła.

Włącz weryfikację dwuetapową

Uwierzytelnianie dwuskładnikowe (2FA) to według serwisu dodatkowa warstwa ochrony konta. Poza hasłem wymagany jest drugi składnik, na przykład kod SMS, aplikacja uwierzytelniająca (serwis podaje jako przykład Google Authenticator) albo fizyczny klucz bezpieczeństwa. Znacząco zwiększa to bezpieczeństwo konta nawet przy wycieku hasła. Serwis radzi włączyć 2FA we wszystkich serwisach, które to umożliwiają.

Zachowaj czujność

Serwis radzi regularnie monitorować powiadomienia o logowaniach na swoje konta i reagować na podejrzane aktywności. Jeśli dostaniesz alert o próbie logowania, której nie rozpoznajesz, zmień hasło i sprawdź ustawienia zabezpieczeń.

Chcesz zobaczyć, co jeszcze o tobie widać w sieci?

Wyciek to często jeden element układanki. Informacje, które UODO opisuje jako dostępne w internecie, na przykład na publicznych profilach, bywają cenne także dla przestępców. Bezpłatna analiza Remove Me pokazuje bez zakładania konta, co da się o tobie znaleźć w wynikach wyszukiwania, w znanych wyciekach (Have I Been Pwned) i u brokerów danych. Raport odblokowujesz 6-cyfrowym kodem wysłanym na twój adres e-mail. Analiza niczego nie usuwa, nie zastępuje sprawdzenia w serwisie rządowym ani nie ocenia twojej sytuacji prawnej. Remove Me nie wysyła jeszcze wniosków o usunięcie danych w twoim imieniu. Rozpocznij bezpłatną analizę

Krok 3: zastrzeż PESEL, jeśli wyciek go dotyczy

Wśród działań, które UODO wskazuje po wycieku, jest zastrzeżenie numeru PESEL. Serwis bezpiecznedane.gov.pl w opisach wycieków medycznych rekomenduje to samo, aby zmniejszyć ryzyko nieuprawnionego wykorzystania danych, na przykład w banku.

Według strony gov.pl zastrzeżenie może zrobić każda osoba, która ma numer PESEL i jest pełnoletnia. Wykonasz je przez internet (potrzebny jest Profil Zaufany, podpis kwalifikowany, e-dowód lub dane do logowania do bankowości elektronicznej; system przenosi do mObywatel.gov.pl) albo w dowolnym urzędzie gminy, składając podpisany wniosek. Usługa jest bezpłatna i realizowana od razu. Zastrzeżenie możesz cofnąć, na przykład gdy chcesz wziąć kredyt, bezterminowo albo z automatycznym ponownym zastrzeżeniem o wybranej dacie i godzinie.

Od 1 czerwca 2024 roku instytucje finansowe, na przykład banki, mają obowiązek sprawdzać przy zawieraniu umowy kredytu lub pożyczki, czy numer PESEL jest zastrzeżony. Z zastrzeżonym numerem nadal możesz zarejestrować się do lekarza, zrealizować receptę, wypłacić środki w bankomacie, zlecić przelew bankowy, wyjechać za granicę lub załatwić sprawę urzędową. Strona podaje też kontakt w razie problemów: zastrzeganie-pomoc@cyfra.gov.pl lub telefon +48 422 535 460.

Krok 4: uważaj na fałszywe wiadomości i telefony

Po wycieku rośnie szansa, że ktoś spróbuje wykorzystać twoje dane, żeby uwiarygodnić oszustwo. Dlatego i UODO, i serwis bezpiecznedane.gov.pl radzą dokładnie analizować komunikaty w SMS-ach i e-mailach, bo atak phishingowy może mieć na celu wyłudzenie dodatkowych danych albo dostępu do bankowości internetowej lub innych usług. UODO radzi też, by unikać przekazywania danych telefonicznie, zwłaszcza gdy to nie ty zaczynasz rozmowę. W razie wątpliwości zweryfikuj rozmówcę, na przykład oddzwaniając i sprawdzając, czy numer i osoba faktycznie reprezentują wskazaną instytucję.

Serwis bezpiecznedane.gov.pl opisuje też, jak rozpoznać prawdziwą wiadomość z jego systemu. Zawiera ona wyłącznie prostą informację lub jednorazowy kod, nie ma linków do kliknięcia, nigdy nie prosi o dane osobowe ani hasła i jest wysyłana z adresu w domenie @powiadomienia.nask.pl. E-mail z linkiem, przyciskiem „potwierdź” albo prośbą o dane to według serwisu najprawdopodobniej phishing, który należy zgłosić do CERT Polska.

Zagrożenia bezpieczeństwa danych możesz zgłosić do CERT Polska przez formularz na stronie incydent.cert.pl (jest tam wybór „osoba fizyczna / inne podmioty”), e-mailem na adres cert@cert.pl albo SMS-em pod numer 8080, jeśli chcesz zgłosić wiadomość SMS ze szkodliwą treścią. Zapytania możesz też wysłać na info@cert.pl.

Krok 5: monitoruj finanse i sprawdź, czy nikt nie wykorzystał twoich danych

Serwis bezpiecznedane.gov.pl wskazuje trzy sposoby sprawdzenia, czy ktoś nie wykorzystał twoich danych osobowych:

  • monitorowanie kont bankowych, kart płatniczych i innych informacji finansowych w celu wykrycia nieautoryzowanych transakcji,
  • regularne sprawdzanie historii kredytowej w Biurze Informacji Kredytowej, aby zauważyć nieprawidłowości lub podejrzane aktywności,
  • uważne śledzenie korespondencji i reagowanie na podejrzane zawiadomienia lub żądania informacji osobistych.

Jeśli zauważysz nieznane transakcje, skontaktuj się z bankiem. Ta strona serwisu nie opisuje szczegółowych procedur reklamacyjnych banków, więc zapytaj bank o jego zasady.

Krok 6: zgłoś przestępstwo, jeśli doszło do nadużycia

Serwis bezpiecznedane.gov.pl przypomina, że atak informatyczny, kradzież danych i oszustwo internetowe są w polskim prawie przestępstwami. Jako przykład wymienia artykuły 267–269 oraz 287 Kodeksu karnego. Większość z tych przestępstw jest ścigana na wniosek pokrzywdzonego, co oznacza, że policja nie rozpocznie postępowania, dopóki sam nie zgłosisz sprawy.

Według serwisu zgłoszenie wygląda tak: udaj się do najbliższej komendy rejonowej policji lub prokuratury rejonowej i złóż wniosek o wszczęcie postępowania przygotowawczego. Do wniosku dołącz opis zdarzenia, informacje o rodzaju i wysokości poniesionej szkody oraz dowody (zrzuty ekranu, nagrania, logi, e-maile). Jeśli sprawa była też zgłoszona do CERT Polska, poinformuj o tym we wniosku i wskaż dane kontaktowe zespołu. Źródła, które przeczytaliśmy, nie opisują zgłoszenia przestępstwa przez internet, więc zapytaj o to w komendzie.

Prawa wobec organizacji i skarga do UODO

Po wycieku masz prawa wobec organizacji, która przetwarza twoje dane. UODO opisuje kolejność: najpierw zwróć się do niej z żądaniem realizacji swoich praw, na przykład wyjaśnienia zasad, na jakich twoje dane są przetwarzane. Gdy nie dostaniesz odpowiedzi, informacje są niewystarczające albo administrator nie respektuje twojego żądania, możesz złożyć skargę do Prezesa UODO.

Według strony UODO o składaniu skarg Prezes UODO może po przeprowadzeniu postępowania wydać decyzję administracyjną nakazującą spełnienie twojego żądania. Skargę możesz złożyć na dwa sposoby: w formie pisemnej (lub ustnie do protokołu w siedzibie na umówione spotkanie) albo przez e-Doręczenia z podpisem kwalifikowanym, zaufanym lub osobistym. Skarga musi zawierać twoje imię, nazwisko i adres, wskazanie podmiotu, którego dotyczy, dokładny opis sprawy, żądanie, podpis i dowody. Bez imienia i adresu skarga zostaje bez rozpoznania.

UODO wyjaśnia, że nie jest organem ścigania i nie ma uprawnień policji ani prokuratury. Samo wskazanie numeru telefonu lub niezidentyfikowanego serwera to za mało, bo skarga musi precyzyjnie wskazywać podmiot, którego dotyczy. Decyzja o nałożeniu kary finansowej należy do Prezesa UODO i nie następuje na wniosek. Według UODO kara jest ostatecznością, a w pierwszej kolejności stosuje się inne środki, takie jak ostrzeżenie, upomnienie czy nakaz dostosowania działań do przepisów.

Dla organizacji UODO przypomina, że przy naruszeniu ochrony danych administrator zgłasza je organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin po stwierdzeniu naruszenia, a przy wysokim ryzyku dla osób zawiadamia również osoby, których dane dotyczą.

Przy ocenie kary Prezes UODO bierze pod uwagę według własnego opisu co najmniej 11 czynników, między innymi charakter, wagę i czas trwania naruszenia, to czy było umyślne, liczbę poszkodowanych osób, kategorie przetwarzanych danych, rozmiar szkody oraz to, jak zachował się administrator, na przykład czy sam zgłosił wyciek i poinformował osoby poszkodowane. Dla ciebie oznacza to tyle, że ukaranie organizacji nie jest czymś, co możesz zamówić skargą. Skarga służy przede wszystkim do wyegzekwowania twoich praw.

Jeśli masz podejrzenie, że organizacja narusza ogólne zasady przetwarzania danych, ale sprawa nie dotyczy bezpośrednio twoich danych, UODO pozwala o tym zawiadomić. Organ może wtedy wszcząć postępowanie z urzędu, a ty nie występujesz w nim jako strona i nie jesteś informowany o jego etapach.

Odszkodowanie po wycieku danych

Serwis bezpiecznedane.gov.pl odpowiada, że rekompensata za wyciek danych zależy od okoliczności każdego przypadku. Jeśli na skutek upublicznienia wrażliwych danych doznasz szkody, majątkowej lub niemajątkowej, możesz ubiegać się o odszkodowanie od administratora serwisu, który przetwarzał twoje dane. Obowiązkiem administratora jest przetwarzanie danych zgodnie z wymaganiami RODO.

UODO zaznacza z kolei, że droga do sądu cywilnego w sprawie odszkodowania pozostaje otwarta i nie można tego żądania kierować do UODO. Strony nie podają terminów przedawnienia, wysokości ani szczegółowych przesłanek roszczenia, więc przed krokami prawnymi zasięgnij porady prawnika.

Jak ograniczać skutki kolejnych wycieków?

Żadna organizacja nie jest całkiem odporna na incydenty. Dlatego warto ograniczać ilość danych, które mogą wyciec. Serwis bezpiecznedane.gov.pl radzi regularnie aktualizować system i oprogramowanie, używać programu antywirusowego, tworzyć silne i unikalne hasła oraz włączać uwierzytelnianie dwuskładnikowe. UODO dodaje kilka zasad na co dzień:

  • Uważaj na to, co i komu udostępniasz o sobie w internecie. Publiczny profil w mediach społecznościowych bywa „kopalnią wiedzy” o tobie, cenną także dla przestępców.
  • Nie zostawiaj dokumentów w zastaw, na przykład wypożyczając sprzęt. Utrata kontroli nad dowodem osobistym stwarza niebezpieczeństwo kradzieży tożsamości.
  • Co do zasady nie zgadzaj się na kopiowanie dokumentu tożsamości. Jeśli ktoś tego żąda, poproś o wskazanie podstawy prawnej.
  • Unikaj przekazywania danych przez telefon, gdy to ktoś dzwoni do ciebie.

Wiedzę o tym, co jest o tobie dostępne publicznie, możesz uzupełnić bezpłatną analizą Remove Me. Pokazuje ona, co znajduje, ale niczego sama nie usuwa i nie daje oceny prawnej.

Czego te źródła nie mówią

Dla jasności zaznaczamy luki w przeczytanych stronach:

  • Nie określają one, jak duże jest ryzyko nadużycia po konkretnym wycieku. Zależy to od rodzaju danych.
  • Nie podają terminu, w jakim trzeba dochodzić odszkodowania, ani jego wysokości.
  • Nie opisują szczegółowo procedury reklamacji transakcji w bankach.
  • Nie wiemy, jak często serwis bezpiecznedane.gov.pl dodaje nowe wycieki. Sekcja historii jest według serwisu „regularnie rozwijana”.
  • Oficjalne strony nie gwarantują, że po zastrzeżeniu PESEL, zmianie haseł i innych krokach nic się nie wydarzy. Mówią jedynie, że kroki zmniejszają ryzyko.

Jeśli nadal nie wiesz, co robić, zapytaj organizację, której dotyczył wyciek, skontaktuj się z CERT Polska (info@cert.pl) albo, w sprawie swoich praw, z UODO (infolinia 606-950-000, w dni robocze od 10:00 do 14:00).

Źródła

Wszystkie źródła przeczytane 31 października 2026 roku.

W tym poradniku: artykuły szczegółowe

Najczęstsze pytania

Co to jest wyciek danych?
Według serwisu bezpiecznedane.gov.pl wyciek danych oznacza, że dane użytkowników z różnych serwisów internetowych zostały upublicznione, co wiąże się z ryzykiem, że weszły w ich posiadanie osoby nieuprawnione. Mogą to być loginy, hasła lub inne dane osobowe.
Co zrobić jako pierwsze, gdy moje dane wyciekły?
Serwis bezpiecznedane.gov.pl wymienia cztery kroki: sprawdź komputer programem antywirusowym, zmień hasła (także te powtarzane w innych serwisach), włącz weryfikację dwuetapową i zachowaj ostrożność, na przykład monitorując powiadomienia o logowaniach.
Jak sprawdzić, czy moje dane wyciekły?
W Polsce możesz skorzystać z serwisu bezpiecznedane.gov.pl, po zalogowaniu przez Profil Zaufany, mObywatel, e-Dowód lub bankowość elektroniczną. Serwis pokazuje wycieki, którymi został zasilony, więc brak wyniku nie oznacza, że dane nie wyciekły gdzie indziej.
Czy warto zastrzec PESEL po wycieku?
UODO podaje zastrzeżenie numeru PESEL jako przykład działania, które można podjąć po wycieku. Według gov.pl usługa jest bezpłatna i realizowana od razu, a zastrzeżenie możesz cofnąć. Z zastrzeżonym numerem nadal możesz między innymi zarejestrować się do lekarza czy wypłacić pieniądze w bankomacie.
Czy za wyciek danych należy się odszkodowanie?
Zależy od okoliczności. Według serwisu bezpiecznedane.gov.pl, jeśli na skutek upublicznienia danych doznasz szkody majątkowej lub niemajątkowej, możesz ubiegać się o odszkodowanie od administratora. UODO przypomina, że takiego roszczenia nie rozstrzyga. Dochodzi się go przed sądem cywilnym.
Kiedy mogę złożyć skargę do UODO?
Najpierw zwróć się do administratora z żądaniem realizacji swoich praw. Jeśli nie odpowie lub nie respektuje twojego żądania, możesz złożyć skargę do Prezesa UODO. Skarga musi wskazywać, kogo dotyczy, i być złożona pisemnie lub przez e-Doręczenia.
Gdzie zgłosić cyberprzestępstwo lub podejrzaną wiadomość?
Cyberprzestępstwo zgłosisz w komendzie rejonowej policji lub prokuraturze rejonowej. Podejrzane wiadomości i incydenty możesz zgłosić do CERT Polska przez formularz incydent.cert.pl, e-mailem na cert@cert.pl albo, w przypadku SMS-a o szkodliwej treści, na numer 8080.
Czy Remove Me sprawdza, czy moje dane wyciekły?
Bezpłatna analiza Remove Me przeszukuje m.in. znane wycieki (Have I Been Pwned) i pokazuje, co w nich znaleziono. Nie zastępuje serwisu bezpiecznedane.gov.pl i nie sprawdza numeru PESEL. Remove Me nie wysyła jeszcze wniosków o usunięcie danych.

Źródła

Nasza metoda redakcyjna

Ten artykuł przygotował zespół Remove Me na podstawie oficjalnych źródeł wymienionych powyżej. Aktualizujemy go, gdy te źródła się zmieniają. Artykuł informuje i nie stanowi spersonalizowanej porady prawnej.

Widzisz błąd w tym artykule? Zgłoś nam go

Przeczytaj też