Szwedzki dostawca IT zapłaci 160 tys. euro. Zabrakło kontroli i monitoringu

Wiele firm traktuje bezpieczeństwo danych jak coś, co „załatwia dostawca”. Sprawa szwedzkiej spółki Miljödata pokazuje, że to złudne poczucie spokoju. Jeden atak na dostawcę oprogramowania uderzył naraz w gminy, regiony, urzędy i prywatne przedsiębiorstwa, a regulator nie miał wątpliwości, że winne były zaniedbania po stronie firmy IT.

Co się wydarzyło w Szwecji

W sierpniu 2025 r. Miljödata, firma dostarczająca usługi i systemy IT, padła ofiarą cyberataku. Napastnik uzyskał dostęp do dużej ilości danych osobowych, a następnie opublikował je w darknecie. Według samej spółki incydent dotknął 2,2 mln osób.

Skala wynikała z tego, kto korzystał z usług firmy. Wśród klientów były m.in. większość szwedzkich gmin, kilka regionów, agencje rządowe i wiele prywatnych przedsiębiorstw. Wyciekły nie tylko dane kontaktowe i numery identyfikacyjne obywateli, lecz także informacje szczególnie wrażliwe: dotyczące zwolnień lekarskich, rehabilitacji oraz zdarzeń z udziałem uczniów w szkołach.

Szwedzki organ ochrony danych IMY przeanalizował sprawę i 22 września 2026 r. wydał ostateczną decyzję. Jak podała Europejska Rada Ochrony Danych, firma zapłaci 1 800 000 koron szwedzkich, czyli około 160 tys. euro.

Za co dokładnie ukarano firmę

Podstawą kary było naruszenie art. 32 ust. 1 RODO, czyli przepisu, który wymaga odpowiednich środków technicznych i organizacyjnych chroniących przetwarzane dane. Kluczowe jest tu słowo „odpowiednich”: poziom zabezpieczeń ma pasować do rodzaju danych. Im bardziej wrażliwe informacje, tym wyżej zawieszona poprzeczka.

Urząd wskazał dwa konkretne braki:

• Niewystarczające sprawdzanie nowego oprogramowania przed jego instalacją.
• Brak automatycznego monitoringu systemów w czasie rzeczywistym, który pozwoliłby wykryć włamanie albo podejrzaną aktywność.

IMY oceniło, że spółka działała w sposób niedbały. To ważny niuans: kara nie jest za sam fakt ataku, bo ofiarą przestępców może paść każdy. Jest za to, że firma nie zrobiła rzeczy, których przy takich danych można było od niej oczekiwać.

Dlaczego to dotyczy także małych firm w Polsce

Polski sklep internetowy czy biuro rachunkowe nie przetwarza danych milionów osób. Mechanizm jest jednak ten sam. Większość firm korzysta dziś z zewnętrznych systemów: hostingu, CRM, programu do fakturowania, platformy mailingowej, systemu HR, wtyczek do sklepu. Każdy z tych dostawców to potencjalne miejsce wycieku.

Sprawa Miljödata pokazuje też, jak szybko rośnie skala szkody, gdy jeden dostawca obsługuje wielu klientów. Dla przestępcy to atrakcyjny cel: jedno włamanie daje dostęp do danych z dziesiątek organizacji naraz.

Drugi wniosek dotyczy samych dostawców. Jeśli tworzysz oprogramowanie albo świadczysz usługi IT dla innych firm, regulator może ocenić Twoje zabezpieczenia osobno i nałożyć karę bezpośrednio na Ciebie. Argument „klient nie wymagał więcej” nie wystarczy, gdy przetwarzasz dane wrażliwe.

Co warto sprawdzić u siebie

Nie potrzebujesz od razu działu bezpieczeństwa. Wystarczy zacząć od kilku konkretnych pytań, które wynikają wprost z zarzutów postawionych szwedzkiej firmie.

1. Kto przetwarza Twoje dane? Spisz wszystkich dostawców, którzy mają dostęp do danych klientów lub pracowników. Sprawdź, czy z każdym masz umowę powierzenia przetwarzania.
2. Jak dostawca dba o bezpieczeństwo? Zapytaj o monitoring, kopie zapasowe, testy zabezpieczeń i sposób informowania o incydentach. Brak konkretnej odpowiedzi to sygnał ostrzegawczy.
3. Co instalujesz? Nowe wtyczki, skrypty i aplikacje dodawaj świadomie. Sprawdzaj, kto je tworzy, czy są aktualizowane i jakie uprawnienia dostają.
4. Czy zauważysz włamanie? Włącz powiadomienia o logowaniach z nowych urządzeń, alerty w panelu hostingu i dziennik zdarzeń w systemie sklepu. Proste narzędzia wykrywające nietypową aktywność są dziś dostępne także dla małych firm.
5. Jakie dane naprawdę są Ci potrzebne? Im mniej przechowujesz, tym mniej może wyciec. Usuwaj stare dane, których już nie wykorzystujesz.

Gdy incydent jednak się zdarzy

Nawet najlepsze zabezpieczenia nie dają stuprocentowej pewności. Dlatego równie ważne jak zapobieganie jest przygotowanie na najgorszy scenariusz. Ustal z góry, kto w firmie decyduje o dalszych krokach, jak szybko dostawca ma Cię poinformować o wycieku i gdzie masz aktualne dane kontaktowe do jego zespołu technicznego.

Pamiętaj, że RODO przewiduje krótki termin na zgłoszenie naruszenia do Prezesa UODO, co do zasady 72 godziny od jego stwierdzenia. Jeśli dowiesz się o problemie od dostawcy z kilkudniowym opóźnieniem, ten czas niemal w całości przepadnie. Dlatego zapis o niezwłocznym informowaniu o incydentach warto mieć w umowie powierzenia, a nie tylko w dobrych intencjach partnera. Przyda się też prosty, spisany plan: kogo powiadomić, jakie dane zebrać i jak poinformować osoby, których dane dotyczą.

Bezpieczeństwo to proces, nie jednorazowy projekt

W decyzji szwedzkiego urzędu nie chodziło o egzotyczne, drogie technologie. Chodziło o podstawy: kontrolę tego, co trafia do systemów, i bieżące obserwowanie, co się w nich dzieje. Takie działania warto wpisać w stały kalendarz firmy, np. kwartalny przegląd dostawców i uprawnień.

Warto też pamiętać, że dane osobowe wyciekają nie tylko przez serwery. Każdy zewnętrzny skrypt osadzony na stronie, od analityki po czat, również jest elementem łańcucha dostaw. Dobrze wiedzieć, co dokładnie ładuje się na Twojej witrynie i kto za tym stoi. Jeśli chcesz zacząć od takiej inwentaryzacji, możesz sprawdzić stronę w naszym Skanerze zgody, który pokaże, jakie narzędzia uruchamiają się u odwiedzających.

Źródło: EDPB

RODOkarywyciek danychbezpieczeństwo ITdostawcy