Zgoda na informację handlową a wizytówka - oferta mailem po targach
czytaj więcej
Przychodzi mail: „Niniejszy wniosek stanowi urzędowe wezwanie UODO”. W środku tabelka do wypełnienia, prośba o plik XLSX (arkusz Excela) i termin 7 dni roboczych. Wygląda poważnie, prawie jak prawdziwe pismo z UODO. Tyle że urząd go nie wysłał.
20 października 2026 r. Urząd Ochrony Danych Osobowych ostrzegł przed tą kampanią. Jest skierowana do firm, które montują monitoring, ale sposób sprawdzenia nadawcy przyda się każdemu, kto dostał „pismo z urzędu” mailem. Z tego wpisu dowiesz się, po czym poznać tę fałszywkę, jak wygląda prawdziwa korespondencja z UODO i co zrobić, jeśli dane już wysłałeś.
Spis treści
Fałszywe wezwanie do firm od monitoringu - znaki ostrzegawcze
O kampanii poinformował urząd 19 października CSIRT GOV, czyli rządowy zespół reagowania na incydenty komputerowe. Nadawca podszywa się pod UODO i prosi firmę instalującą monitoring o zestawienie wszystkich instalacji z ostatnich 12 miesięcy. To klasyczny phishing, czyli wyłudzanie danych przez fałszywe wiadomości, w których nadawca udaje znaną instytucję.
Po tym poznasz tę wiadomość:
- sformułowanie „urzędowe wezwanie UODO” i ponaglenie, żeby odesłać komplet w formacie XLSX w 7 dni roboczych;
- tabelka do wypełnienia: dane kontaktowe klienta, lokalizacja z dokładnymi współrzędnymi geograficznymi, adresy IP urządzeń, numery seryjne, wersja oprogramowania (firmware) i model kamery;
- powołanie się na art. 5 ust. 1 lit. f, art. 25 i art. 32 RODO. To prawdziwe przepisy RODO o poufności danych, o ochronie danych już na etapie projektowania i o bezpieczeństwie przetwarzania. Oszuści cytują je, żeby pismo brzmiało poważnie, ale same numery artykułów nie dowodzą, że pisze urząd;
- prawie poprawne dane teleadresowe UODO. Na pierwszy rzut oka się zgadzają, dlatego porównaj je ze stroną kontaktową urzędu (o tym niżej).
Sam krótki termin niczego nie przesądza. Prawdziwe wezwania też go wyznaczają, co opisujemy we wpisie Wezwanie z UODO - termin, odpowiedź i kara za brak współpracy. Podejrzana jest cała mieszanka: zwykły mail, firma, która nie jest administratorem monitoringu (jest nim klient, który ma kamery u siebie), i tabelka z danymi technicznymi urządzeń.
Jak wygląda prawdziwe pismo z UODO?
O szczegóły UODO dopytuje w trakcie postępowania, a takie postępowanie ma nadaną konkretną sygnaturę. W piśmie jest też kontakt do departamentu, który prowadzi sprawę. Brak sygnatury i kontaktu do departamentu to pierwszy sygnał, że coś jest nie tak.
UODO ePUAP, e-Doręczenia i poczta - którędy przychodzą pisma
W postępowaniu urząd komunikuje się tradycyjną pocztą, przez e-Doręczenia (elektroniczny odpowiednik listu poleconego) albo przez ePUAP, czyli platformę do załatwiania spraw urzędowych przez internet. Zwykły mail z żądaniem pliku XLSX do tych kanałów nie należy.
Urząd ma też zwykły adres e-mail kancelarii, ale wezwanie w sprawie dostaniesz z sygnaturą i jednym z tych trzech kanałów.
Kogo UODO pyta o dane
Prezes UODO bada przede wszystkim to, jak administratorzy przetwarzają i zabezpieczają dane osobowe. Administrator to ten, kto decyduje, po co i jak przetwarza dane, np. firma, która ma kamery w swoim sklepie albo zakładzie.
Gdy urząd zbiera informacje ankietą, kieruje pytania do administratorów, a nie do instalatorów urządzeń, ich dostawców czy serwisów. Tak napisał w komunikacie i dodał wprost, że takich informacji, o jakie prosi fałszywka, nie zbiera.
Ankiety UODO - zapowiedziane i dobrowolne
Czasem urząd chce sprawdzić, jak firmy wykonują jakiś obowiązek z RODO. Wtedy najpierw publikuje komunikat na uodo.gov.pl, a pytania w ankiecie są ogólne i opisowe. Takie ankiety (UODO podaje przykład ankiety o sztucznej inteligencji) są dobrowolne. Tabelka z numerami seryjnymi i adresami IP do niczego takiego nie pasuje.
| Prawdziwe pismo z UODO | Fałszywy mail z października 2026 | |
|---|---|---|
| Kanał | check_circle poczta, e-Doręczenia, ePUAP | cancel zwykły e-mail |
| Oznaczenie | sygnatura sprawy i kontakt do departamentu | „urzędowe wezwanie UODO”, prawie poprawne dane urzędu |
| Adresat | przede wszystkim administrator danych | firma instalująca monitoring |
| Czego chce | wyjaśnień w sprawie albo dobrowolnej odpowiedzi na ogólne pytania ankiety | tabelki XLSX z adresami IP, numerami seryjnymi i współrzędnymi kamer klientów |
Dane kamer w rękach oszustów - przejęcie obrazu i adresy klientów
To gotowa mapa kamer do przejęcia. Adres IP, numer seryjny, model i wersja firmware pozwalają sprawdzić, czy urządzenie ma nieaktualne oprogramowanie. Jeśli ani instalator, ani użytkownik nie zmienił ustawień fabrycznych, przestępca może je wykorzystać i przejąć kontrolę nad kamerą.
Do tego dochodzą dane kontaktowe klienta i dokładne współrzędne. Przestępca wie wtedy, gdzie stoi kamera, czyja jest i jak może podejrzeć obraz. UODO wprost pisze, że takie przejęcie może wpłynąć na bezpieczeństwo osób i mienia.
Jak sprawdzić pismo w UODO - kontakt, który znajdziesz sam
Nie dzwoń pod numer i nie pisz na adres podany w podejrzanym mailu. Wejdź sam na stronę UODO kontakt i porównaj dane. Urząd mieści się przy ul. Stanisława Moniuszki 1A w Warszawie, centrala ma numer 22 531 03 00, a infolinia 606 950 000 działa w dni robocze od 10.00 do 14.00.
Jeśli pismo z UODO ma sygnaturę, zapytaj urząd, czy taka sprawa istnieje. Przed tą konkretną fałszywką UODO już ostrzegł, więc możesz ją po prostu usunąć. Podejrzane wiadomości możesz też zgłosić do CERT Polska przez formularz na incydent.cert.pl.
Wysłałeś już zestawienie?
Jeśli w tabelce były dane kontaktowe klientów, np. imię, nazwisko i telefon, to dane osobowe trafiły do kogoś, kto nie miał do nich prawa. To naruszenie ochrony danych osobowych (art. 4 pkt 12 RODO). Jako ich administrator zgłaszasz je do UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia. Zgłoszenia nie robisz tylko wtedy, gdy ryzyko dla praw i wolności klientów jest mało prawdopodobne (art. 33 ust. 1 RODO).
Gdy ryzyko jest wysokie, musisz też bez zbędnej zwłoki zawiadomić samych klientów (art. 34 RODO). Jak liczyć 72 godziny, opisuję we wpisie Zgłoszenie naruszenia do UODO po wycieku u dostawcy: od kiedy liczyć 72 godziny.
Niezależnie od zgłoszenia zadbaj razem z klientami o kamery z zestawienia: zmień fabryczne hasła i zaktualizuj oprogramowanie. To dokładnie te dwie słabości, które według UODO wykorzystują przestępcy. O tym, jak ustawić zasady haseł w firmie, przeczytasz w tekście Polityka haseł w firmie: podstawa prawna, zasady z Biuletynu UODO i dowody na kontrolę.
Najczęstsze pytania o pismo z UODO
Czy UODO wysyła wezwania e-mailem?+
Urząd ma adres kancelaria@uodo.gov.pl, ale w postępowaniu pisze pocztą, przez e-Doręczenia albo ePUAP. Masz wątpliwość co do maila z sygnaturą? Zadzwoń do centrali pod 22 531 03 00 i zapytaj o tę sprawę.
Jak rozpoznać phishing podszywający się pod urząd?+
Po presji terminu, urzędowym słownictwie i żądaniu danych, których urząd nie potrzebuje. Oszuści podszywają się pod znane instytucje, a dane kontaktowe w stopce bywają prawie poprawne, dlatego porównuj je zawsze z oficjalną stroną urzędu.
Czy muszę wypełnić ankietę od UODO?+
Nie. Ankiety, o których urząd informuje na swojej stronie, są dobrowolne. Obowiązek odpowiedzi masz na wezwanie w postępowaniu, które ma sygnaturę, bo RODO każe współpracować z urzędem na jego żądanie (art. 31 RODO).
Mam inspektora ochrony danych. Czy to on powinien dostać pismo?+
Kontakt z urzędem należy do zadań inspektora (art. 39 ust. 1 lit. d i e RODO), więc pokaż mu każde podejrzane pismo z UODO. Sprawdzi kanał, sygnaturę i nadawcę, zanim ktokolwiek w firmie wyśle dane.
Co sprawdzić w piśmie z UODO przed odpowiedzią
Prawdziwe pismo z UODO ma sygnaturę, departament i przychodzi pocztą, przez e-Doręczenia albo ePUAP. Dane klientów i ich kamer nie idą do nikogo, dopóki sam nie sprawdzisz nadawcy na stronie urzędu.
Jeśli chcesz, żeby Twoi pracownicy rozpoznawali takie maile, zanim klikną „wyślij”, zajrzyj do oferty Szkolenia z RODO. Kontakty z urzędem może za Ciebie prowadzić Inspektor Ochrony Danych. Napisz albo zadzwoń, doradzę Ci, od czego zacząć.
