Wyciek paszportów z Wakacje.pl: policzyłem, ile kosztuje zastrzeżenie dokumentu i ile może wynieść kara z RODO

👁 123 przeczytań

Najpierw fakty, bo wokół nich narosło sporo domysłów. Jak opisał Niebezpiecznik, ktoś dostał się do systemu służącego do obsługi klientów Wakacje.pl oraz do kilku skrzynek pocztowych pracowników spółki. Atak miał miejsce 29 września. Napastnicy wynieśli imiona i nazwiska, daty urodzenia, adresy zamieszkania, numery telefonów, adresy e-mail oraz - i to jest tu najpoważniejsze - dane paszportowe. Spółka w wiadomości do klientów sugeruje zastrzeżenie paszportu i ostrzega przed fałszywymi prośbami o płatność.

Czego nie wiemy: ilu osób dotyczy incydent i co dokładnie kryje się pod sformułowaniem dane paszportowe. Sam numer dokumentu to jedno, skan ze zdjęciem i podpisem to zupełnie inna kategoria ryzyka. Niebezpiecznik zwraca uwagę na ten sam niuans - gdyby chodziło o sam numer, firma prawdopodobnie tak by to nazwała. Ta niepewność nie jest szczegółem redakcyjnym, bo od niej zależy, czy mamy do czynienia z uciążliwością, czy z gotowym zestawem do podszycia się pod człowieka w okienku.

Zastrzeżenie jest darmowe, nowy paszport kosztuje 140 złotych - policzyłem, kto płaci za cudzy wyciek

Rada „zastrzeż paszport” brzmi niewinnie, dopóki nie sprawdzi się, co się za nią kryje. Zastrzeżenie dokumentu w rejestrze dokumentów zastrzeżonych jest bezpłatne i można je zrobić przez mObywatela w kilka minut. Problem w tym, że zastrzeżony paszport przestaje być ważny. Jeśli ktoś ma wykupioną wycieczkę do Egiptu albo Turcji, musi wyrobić nowy dokument.

Opłata za paszport dla dorosłego to 140 złotych, dla osób korzystających z ulgi (emeryci, renciści, uczniowie, studenci) 70 złotych, a dla dziecka 30 złotych - stawki wynikają z cennika usług paszportowych. Weźmy czteroosobową rodzinę: dwoje dorosłych i dwoje dzieci. To 140 plus 140 plus 30 plus 30, czyli 340 złotych tylko za same blankiety. Do tego dochodzi dojazd do punktu paszportowego, zdjęcia (zwykle 40-60 złotych od osoby, więc dla czwórki kolejne 160-240 złotych) i urlop na złożenie wniosku, bo trzeba stawić się osobiście. Realny koszt reakcji na cudzy wyciek dla jednej rodziny to więc około 500-580 złotych plus pół dnia wolnego.

I teraz rzecz, której nie ma w komunikatach: tego nikt klientowi nie zwróci automatycznie. Nie ma w Polsce mechanizmu, który przy wycieku danych uruchamia wypłatę rekompensaty za wymianę dokumentu. Trzeba wystąpić z roszczeniem cywilnym na podstawie art. 82 RODO - a więc udowodnić szkodę, związek przyczynowy i samemu poprowadzić sprawę albo zapłacić prawnikowi.

Górna granica kary dla Wakacje.pl to około 65 mln złotych - tak to wyliczyłem

RODO przewiduje za naruszenie bezpieczeństwa przetwarzania karę do 20 mln euro albo do 4 procent całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym stosuje się kwotę wyższą. Przy kursie 4,30 złotego za euro pułap kwotowy to 86 mln złotych.

Drugi wariant trzeba policzyć z obrotu. Wakacje.pl SA należy do grupy Itaka, a sama spółka raportowała przychody rzędu 400 mln złotych rocznie w ostatnich latach dobrej koniunktury turystycznej. Cztery procent z 400 mln to 16 mln złotych. Gdyby UODO potraktował naruszenie jako dotyczące całej grupy kapitałowej - a tak robi w sprawach, gdzie decyzje o celach i środkach przetwarzania zapadają na poziomie właściciela - podstawą byłby obrót grupy, szacowany na około 1,6 mld złotych. Cztery procent daje wtedy 64,8 mln złotych, czyli w zaokrągleniu 65 mln. Nadal poniżej pułapu 86 mln, więc to on pozostaje teoretycznym sufitem.

Tyle teoria. Praktyka polskiego organu wygląda inaczej i warto ją znać, zanim ktoś zacznie liczyć na spektakularną karę. Najwyższa kara nałożona w Polsce za wyciek to ponad 4,9 mln złotych dla Morele.net - za naruszenie dotyczące 2,2 mln osób. To daje 2,23 złotego kary na jedną poszkodowaną osobę. Jeśli przyłożyć ten przelicznik do hipotetycznych 200 tysięcy klientów Wakacje.pl, wychodzi około 446 tysięcy złotych. Dla spółki o takich przychodach to koszt operacyjny, nie cios.

„Administrator nie zastosował odpowiednich środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzanych danych osobowych, w tym nie przeprowadzał regularnego testowania, mierzenia i oceniania skuteczności środków technicznych i organizacyjnych” - z uzasadnienia decyzji Prezesa UODO w sprawie Morele.net, sygn. ZSPR.421.2.2019.

Dane paszportowe to inna liga niż adres e-mail, i tu liczy się różnica między numerem a skanem

W typowym wycieku z e-sklepu dostajemy e-mail, telefon, adres i czasem skrót hasła. Nieprzyjemne, ale odwracalne - zmienia się hasło, filtruje spam, żyje dalej. Paszport odwracalny nie jest. Jego numer składa się z dwóch liter i siedmiu cyfr i funkcjonuje jako identyfikator przy weryfikacji w hotelach, wypożyczalniach aut, kantorach kryptowalutowych i części usług finansowych. Wymiana dokumentu nie kasuje faktu, że przestępca zna poprzedni numer wraz z nazwiskiem, datą urodzenia i adresem - a ten zestaw wystarcza do przejścia części procedur telefonicznych.

Gorszy scenariusz to skany. Pliki graficzne ze zdjęciem i podpisem, w połączeniu z adresem zamieszkania, są dziś surowcem do zakładania kont w usługach zdalnej weryfikacji tożsamości. Zestawiłem to z tym, co o cenach takich danych wiadomo z raportów o rynku podziemnym: skan paszportu z Europy Zachodniej wyceniany bywa w okolicach 50-100 dolarów, czyli przy kursie 3,78 złotego za dolara 189-378 złotych za sztukę. Gdyby wyciek objął 100 tysięcy kompletów ze skanami, hurtowa wartość paczki przekracza 18 mln złotych - czterokrotnie więcej niż najwyższa kara, jaką UODO kiedykolwiek wymierzył. Ta asymetria tłumaczy, dlaczego takie ataki nie znikają.

Co ma zrobić klient Wakacje.pl - konkretna sekwencja, nie ogólniki

Jeśli kupowałeś wycieczkę przez Wakacje.pl i masz najbliższy wyjazd dalej niż za miesiąc, zastrzeż paszport w mObywatelu od razu i złóż wniosek o nowy. Jeśli lecisz w ciągu dwóch tygodni, z zastrzeżeniem poczekaj - zastrzeżony dokument nie przepuści cię przez granicę - ale zapisz sobie datę, kiedy to zrobisz po powrocie. W obu przypadkach zastrzeż też PESEL w mObywatelu, bo to blokuje zaciąganie kredytów i zawieranie umów na twoje dane, a odblokować można na kilka godzin, kiedy sam potrzebujesz podpisać umowę.

Drugie: wystąp do Wakacje.pl z wnioskiem z art. 15 RODO o kopię danych, które o tobie przetwarzają, i o informację, jaki dokładnie zakres twoich danych wyciekł. Spółka ma 30 dni na odpowiedź. Ta odpowiedź na piśmie jest warunkiem, żeby w ogóle rozmawiać o rekompensacie za wymianę dokumentu - bez niej nie udowodnisz, że akurat twój paszport był w paczce. Trzecie: zgłoś naruszenie do UODO jako osoba poszkodowana, bo skargi indywidualne wpływają na kwalifikację naruszenia i wysokość ewentualnej kary.

I rzecz czwarta, najbardziej praktyczna. Przez najbliższe miesiące każdy kontakt „z hotelem”, „z biurem podróży” czy „z liniami lotniczymi” w sprawie twojej rezerwacji traktuj jako próbę oszustwa, dopóki nie zweryfikujesz go przez numer, który sam wyszukasz. Napastnicy mają komplet: wiedzą, dokąd lecisz, kiedy i z kim. Prośba o „dopłatę do rezerwacji” albo „przesłanie skanu paszportu do meldunku” wygląda wtedy wiarygodnie jak nigdy.

Polska branża turystyczna ma z tym problem systemowy

To nie pierwszy taki incydent w tym sektorze. Biura podróży i pośrednicy przetwarzają z definicji najbardziej wrażliwe kombinacje - dokument tożsamości, datę urodzenia, adres i precyzyjną informację o tym, kiedy dom będzie pusty. W 2018 roku Cathay Pacific straciła dane 9,4 mln pasażerów, w tym 860 tysięcy numerów paszportów i 403 tysiące numerów dowodów, za co brytyjski ICO nałożył karę 500 tysięcy funtów. Przy ówczesnym przeliczeniu daje to około 6 groszy na jedną poszkodowaną osobę. Kara była maksymalna w świetle przepisów sprzed RODO - i właśnie ta liczba pokazuje, dlaczego RODO w ogóle powstało.

Różnica między turystyką a e-handlem polega na tym, że sklep może większość danych po transakcji usunąć, a biuro podróży musi je przechowywać do rozliczeń z kontrahentami zagranicznymi i do obsługi reklamacji. Zbiory rosną latami, a ich retencja rzadko bywa audytowana. Skuteczna profilaktyka nie polega więc na lepszym firewallu, tylko na pytaniu, po co firma trzyma skan paszportu klienta z wyjazdu sprzed czterech lat.

Z komunikatu Wakacje.pl wynika, że włamanie objęło nie tylko bazę, ale i skrzynki pocztowe pracowników. To typowy wektor: przejęcie konta e-mail daje dostęp do korespondencji z klientami, czyli do załączników ze skanami przesyłanymi ręcznie poza systemem. Takie pliki zwykle nie są objęte żadną polityką retencji, bo formalnie nie są bazą danych. W praktyce to najbardziej zaniedbany zbiór w każdej firmie usługowej.

Fakty sprawdzone 22 października 2026. Źródła: Niebezpiecznik o włamaniu do Wakacje.pl, komunikat UODO o karze dla Morele.net, cennik usług paszportowych na gov.pl, rejestr dokumentów zastrzeżonych, tekst RODO, art. 82 i 83. Przeliczenia po kursie 4,30 zł za euro i 3,78 zł za dolara. Dane o obrotach grupy Itaka to szacunki na podstawie publikowanych raportów branżowych - wysokość ewentualnej kary zależy od ustaleń UODO co do podstawy wymiaru.