Wyciek danych Pandabuy wraca na biurka śledczych. Prezes Urzędu Ochrony Danych Osobowych Mirosław Wróblewski zwrócił się do Prokuratora Generalnego Waldemara Żurka o rozważenie ponownego podjęcia postępowania. Sprawa dotyczy danych nawet 1,3 mln klientów platformy z całego świata, w tym kilkudziesięciu tysięcy osób z Polski.
Z tego artykułu dowiesz się:
- jak dużej liczby klientów dotyczył wyciek danych Pandabuy,
- jakie dane użytkowników zostały ujawnione,
- dlaczego UODO chce ponownego podjęcia postępowania,
- jak wyglądała sprawa od wycieku w 2024 r. do interwencji UODO w 2026 r.
Wyciek danych Pandabuy objął nawet 1,3 mln klientów
Sprawa rozpoczęła się wiosną 2024 r. Według UODO najprawdopodobniej 31 marca 2024 r. w internecie udostępniono dane około 1,3 mln klientów Pandabuy z całego świata. Urząd wskazuje, że wśród nich znalazło się kilkadziesiąt tysięcy osób z Polski.
Skala incydentu była duża nie tylko ze względu na liczbę poszkodowanych. Istotny był również zakres ujawnionych informacji. Według UODO wyciek obejmował imiona i nazwiska, adresy e-mail, numery telefonów, identyfikatory użytkowników, adresy IP, hasła, adresy dostaw oraz dane dotyczące zamówień i płatności.
Słuchaj podcastu „E-commerce bez tajemnic”
UODO chce, aby śledczy ponownie zajęli się sprawą
Prezes UODO zawiadomił prokuraturę o podejrzeniu popełnienia przestępstwa 29 kwietnia 2024 r. Prokuratura początkowo odmówiła wszczęcia śledztwa. UODO zaskarżyło tę decyzję, a Sąd Rejonowy dla Warszawy Śródmieścia uwzględnił zażalenie i przekazał sprawę do dalszego prowadzenia.
Postępowanie ostatecznie zostało jednak umorzone. Postanowienie w tej sprawie wydano 25 września 2025 r. Powodem był brak dostatecznych danych uzasadniających podejrzenie popełnienia przestępstwa. Prezes UODO zaskarżył decyzję do Prokuratury Okręgowej w Warszawie, ale w marcu 2026 r. zażalenie nie zostało uwzględnione.
Teraz Mirosław Wróblewski zwrócił się bezpośrednio do Prokuratora Generalnego Waldemara Żurka o rozważenie ponownego podjęcia postępowania. UODO argumentuje, że nie wykorzystano wszystkich możliwości pozwalających na ustalenie sprawców. Według urzędu nie przeprowadzono w wystarczającym zakresie między innymi analizy technicznej, która mogłaby pomóc ustalić tożsamość osób odpowiedzialnych za publikację danych. Nie wyjaśniono również w pełni, w jaki sposób informacje pochodzące z wycieku trafiły do twórców serwisów publikujących dane polskich klientów.
Sprawa Pandabuy to ważny sygnał dla e-commerce
Wyciek danych Pandabuy pokazuje, że konsekwencje incydentu bezpieczeństwa nie kończą się na samym uzyskaniu dostępu do bazy klientów. Dane mogą zostać skopiowane, rozpowszechnione i wykorzystane w kolejnych serwisach niezależnie od platformy, z której pierwotnie pochodziły.
Dla właścicieli e-sklepów to istotny kontekst w zarządzaniu bezpieczeństwem danych klientów. Adres dostawy połączony z imieniem, nazwiskiem, numerem telefonu czy historią zamówień tworzy znacznie bardziej szczegółowy profil użytkownika niż pojedynczy adres e-mail. UODO wskazuje w tej sprawie na art. 107 ust. 1 ustawy o ochronie danych osobowych. Przepis dotyczy przetwarzania danych osobowych bez uprawnienia lub w sytuacji, w której takie przetwarzanie jest niedopuszczalne. W podstawowym przypadku przewiduje grzywnę, karę ograniczenia wolności albo pozbawienia wolności do dwóch lat.
Przeczytaj również: Google traci monopol na szukanie produktów? 85 proc. polskich nastolatków korzysta z AI
FAQ. Wyciek danych Pandabuy
- Ile osób dotyczył wyciek danych Pandabuy?
Według UODO w internecie udostępniono dane około 1,3 mln klientów Pandabuy z całego świata. Wśród nich było kilkadziesiąt tysięcy użytkowników z Polski. - Jakie dane wyciekły z Pandabuy?
UODO wymienia imiona i nazwiska, adresy e-mail, numery telefonów, identyfikatory użytkowników, adresy IP, hasła, adresy dostaw oraz dane dotyczące zamówień i płatności. - Dlaczego UODO chce ponownego podjęcia postępowania?
Zdaniem prezesa UODO nie zostały wyczerpane możliwości poszukiwania dowodów. Urząd wskazuje między innymi na potrzebę dokładniejszego ustalenia administratorów domen, zbadania sposobu przekazania danych oraz przeprowadzenia analizy technicznej mogącej pomóc w identyfikacji sprawców. - Czy postępowanie w sprawie Pandabuy zostało już wznowione?
Nie. Według komunikatu UODO z 29 września 2026 r. prezes urzędu zwrócił się do Prokuratora Generalnego o rozważenie ponownego podjęcia postępowania. Sam wniosek UODO nie oznacza więc jeszcze, że sprawa została formalnie wznowiona.
