Wyciek danych: co robić? Właściwe kroki we właściwej kolejności

Powiadomienie o wycieku samo w sobie nie jest jeszcze katastrofą: liczy się szybka reakcja, dopasowana do tego, co wyciekło. UODO przypomina, że gdy administrator powiadomi Cię o incydencie, warto ograniczyć jego skutki, na przykład zastrzec numer PESEL i zachować jeszcze większą ostrożność przy podawaniu danych przez internet lub telefon.

Co zrobić od razu?

1. Zmień wyciekłe hasło we wszystkich serwisach, w których go używasz, i nie powtarzaj haseł.
2. Włącz weryfikację dwuetapową tam, gdzie jeszcze jej nie masz.
3. Jeśli wyciekły dane karty lub logowania do banku, powiadom bank, przejrzyj historię konta i zgłoś transakcje, których nie rozpoznajesz.
4. Jeśli konto zostało przejęte i nie masz do niego dostępu, skorzystaj z procedury odzyskiwania konta w danym serwisie.

Jak zastrzec PESEL i dokumenty?

• Zastrzeżenie numeru PESEL jest bezpłatne i nie wymaga podawania przyczyny. Zrobisz to w aplikacji lub serwisie mObywatel, przez gov.pl (z profilem zaufanym, e-dowodem, podpisem kwalifikowanym lub danymi do bankowości elektronicznej) albo w urzędzie gminy.
• Od 1 czerwca 2024 roku banki, firmy pożyczkowe, notariusze i operatorzy telekomunikacyjni muszą sprawdzić Rejestr Zastrzeżeń Numerów PESEL przed zawarciem umowy. Jeśli mimo zastrzeżenia ktoś weźmie kredyt na Twoje dane, według Ministerstwa Cyfryzacji nie musisz go spłacać.
• Zastrzeżenie możesz cofnąć w każdej chwili, także z datą automatycznego ponownego zastrzeżenia, np. na czas podpisania umowy kredytu. W mObywatelu sprawdzisz też, która firma lub instytucja sprawdzała Twój PESEL i z jakiego powodu.
• Zgubiony lub skradziony dowód osobisty najpierw zastrzeż w banku, w systemie DOKUMENTY ZASTRZEŻONE: według Związku Banków Polskich wystarczy jeden bank, a zastrzeżenia przyjmują też banki, w których nie masz konta. Zgłoszenie utraty dowodu osobistego automatycznie zastrzega także numer PESEL.
• Alerty BIK, płatna usługa Biura Informacji Kredytowej, wysyłają SMS, gdy ktoś złoży wniosek o kredyt lub pożyczkę na Twoje dane.

W Polsce nie ma amerykańskiego „zamrożenia kredytu” (credit freeze); najbliżej mu do zastrzeżenia numeru PESEL, bo instytucje muszą je sprawdzić przed zawarciem umowy.

Na co uważać w kolejnych tygodniach?

Skradzione dane sprawiają, że oszustwa są bardziej przekonujące: wiadomość zna Twoje imię, numer PESEL albo bank. UODO radzi dokładnie analizować SMS-⁠y i e-maile, unikać podawania danych przez telefon, zwłaszcza gdy to ktoś dzwoni do Ciebie, i weryfikować rozmówcę, oddzwaniając na sprawdzony numer.

Co, jeśli ktoś korzysta z Twoich danych?

• Zgłoś sprawę na policji lub w prokuraturze, jeśli ktoś podszywa się pod Ciebie albo ponosisz stratę finansową.
• Uprzedź bliskich, żeby nie dali się nabrać na wiadomości wysyłane w Twoim imieniu.
• Jeśli firma odpowiedzialna za wyciek nie realizuje Twoich praw do danych, najpierw zwróć się do niej; gdy nie odpowie lub odmówi, możesz złożyć skargę do Prezesa UODO. UODO nie jest jednak organem ścigania i nie ustali sprawcy na podstawie samego numeru telefonu.

Po wycieku celem nie jest zerowe ryzyko, bo takie nie istnieje, tylko szybkie zamknięcie drzwi, które zostały otwarte. Bez paniki.