Sprzedawca energii: podwykonawca udostępnił nową bazę klientów, dane skopiowały osoby nieuprawnione

Wojewódzki Sąd Administracyjny w Warszawie, sygn. II SA/Wa 458/26. Decyzja z 20 maja 2026 r. W przeglądzie od 12 listopada 2026 r., aktualizacja: 12 listopada 2026 r.

Podmiot: Fortum Marketing and Sales S.A.
Branża: Inne
Rodzaj: Nieuprawniony dostęp do systemu
Status: Decyzja nieprawomocna (sprawdzony 12 listopada 2026 r.)

Co się stało

W 2020 r. podmiot przetwarzający Pika, modernizując cyfrowe archiwum sprzedawcy energii Fortum, utworzył dodatkową bazę z danymi klientów i udostępnił ją w sposób, który pozwolił osobom nieuprawnionym na dostęp do niej i jej skopiowanie. Baza zawierała m.in. numery PESEL i dane dokumentów tożsamości; o naruszeniu trzeba było zawiadomić 95 711 osób, co nastąpiło dopiero po interwencji Prezesa UODO. Organ stwierdził brak weryfikacji i nadzoru nad podmiotem przetwarzającym, brak testów zabezpieczeń i użycie rzeczywistych danych do testów. Kary wynoszą 4 911 732 zł dla Fortum i 250 135 zł dla Pika; po uchyleniu pierwszego wyroku przez NSA WSA utrzymał je 20 maja 2026 r.

Skala

Liczba osób: 95 711
Dane: imiona i nazwiska, adresy, numery PESEL, rodzaj, seria i numer dokumentu tożsamości, adresy e-mail, numery telefonów, dane umów i punktów poboru

Rozstrzygnięcie

Kara pieniężna 4 911 732 zł: Fortum jako administrator
Kara pieniężna 250 135 zł: Pika jako podmiot przetwarzający

Status decyzji

Decyzja nieprawomocna, stan sprawdzony 12 listopada 2026 r. WSA w Warszawie (II SA/Wa 567/22) uchylił decyzję w 2022 r.; NSA w lutym 2026 r. uchylił ten wyrok na skutek skargi kasacyjnej Prezesa UODO, a WSA wyrokiem z 20.05.2026 (II SA/Wa 458/26) oddalił skargi spółek. Brak informacji o prawomocności.

Czego według organu zabrakło

Weryfikacja przed powierzeniem, czy podmiot przetwarzający daje wystarczające gwarancje bezpieczeństwa
Realny nadzór administratora nad wprowadzaniem zmian w systemie
Testowanie zabezpieczeń na etapie prac rozwojowych
Pseudonimizacja danych używanych do testów
Pełna konfiguracja zabezpieczeń technicznych, w tym firewalla

Źródła

UODO: WSA ponownie utrzymał kary dla Fortum i Pika (DKN.5130.2215.2020) (źródło pierwotne), stan na 12 listopada 2026 r.
UODO: NSA uchylił wyrok WSA w sprawie Fortum i Pika (źródło pierwotne), stan na 12 listopada 2026 r.
UODO: decyzja DKN.5130.2215.2020 (kary dla administratora i podmiotu przetwarzającego) (źródło pierwotne), stan na 12 listopada 2026 r.

Więcej

Powiadomienia o nowych sprawach i ostrzeżeniach

Raz w tygodniu, tylko gdy pojawią się nowe sprawy w przeglądzie albo nowe ostrzeżenia o oszustwach „na dokument”: tytuł, jedno zdanie i link. Wypisanie jednym kliknięciem w każdym mailu.

Opis zawiera fakty ze źródeł wymienionych wyżej, bez ocen. Błąd w opisie albo zmiana statusu decyzji: napisz na kontakt@wyslijbezpiecznie.pl, poprawimy opis i datę aktualizacji. Przegląd ma charakter informacyjny i nie jest poradą prawną.