Dział kadr i płac to w każdej organizacji prawdziwy skarbiec informacji. To tutaj spływają najbardziej wrażliwe dane: numery PESEL, historie chorób, zaświadczenia o niekaralności, a także pełne dane o zarobkach, potrąceniach komorniczych czy sytuacji rodzinnej pracowników. W erze postępującej cyfryzacji i rosnącej aktywności cyberprzestępców to właśnie w tym obszarze incydenty i wycieki danych w HR stały się jednym z największych zagrożeń – działy te są dziś głównym celem ataków oraz najczęstszym źródłem niezamierzonych błędów.Błąd ludzki, zmęczenie czy nieodpowiednia procedura – wystarczy jedno nieostrożne kliknięcie, wysłanie e-maila z błędnym załącznikiem lub zgubienie pendrive’a, aby narazić firmę na wielomilionowe kary ze strony Urzędu Ochrony Danych Osobowych (UODO), paraliż operacyjny oraz nieodwracalną utratę reputacji. W 2026 roku, gdy świadomość prawna pracowników jest coraz większa, naruszenie bezpieczeństwa danych to już nie jest tylko problem działu IT. To kryzys, w którego centrum znajduje się zespół kadr i którym trzeba umiejętnie zarządzać od pierwszej sekundy.
Dział HR jako epicentrum ryzyka w organizacji
Aby w pełni zrozumieć wagę problemu, należy uświadomić sobie, z jak potężnym i zróżnicowanym zbiorem danych na co dzień pracuje specjalista ds. HR. Zgodnie z art. 221 Ustawy z 26 czerwca 1974 roku – Kodeks pracy pracodawca żąda od kandydata, a następnie od pracownika, podania szeregu informacji niezbędnych do nawiązania i trwania stosunku pracy. Jednak na tym katalog się nie kończy. W procesach kadrowych przetwarzane są tzw. dane szczególnych kategorii (dawniej wrażliwe), o których mówi art. 9 unijnego Ogólnego Rozporządzenia o Ochronie Danych (RODO). Należą do nich informacje o stanie zdrowia (zwolnienia L4, orzeczenia o niepełnosprawności), przynależności związkowej (potrącanie składek), czy nawet dane biometryczne (np. w systemach rejestracji czasu pracy).
Większość incydentów bezpieczeństwa w firmach wcale nie wynika z brawurowych ataków hakerskich na serwery, znanych z hollywoodzkich filmów. Z danych i raportów instytucji audytorskich jasno wynika, że najsłabszym ogniwem zawsze pozostaje człowiek. Działy HR pracują pod nieustanną presją czasu, próbując sprostać terminom wypłat, raportów do ZUS czy urzędu skarbowego. Taka rutyna usypia czujność. Wyciek danych w obszarze zarządzania zasobami ludzkimi rzadko jest intencjonalny; najczęściej stanowi wypadkową pośpiechu, braku odpowiednich narzędzi szyfrujących oraz niedostatecznej higieny cyfrowej.
Zgodnie z definicją zawartą w art. 4 pkt 12 RODO naruszenie ochrony danych osobowych to nie tylko ich kradzież przez osobę z zewnątrz. To także każde naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych. Oznacza to, że wysłanie e-maila z paskami płacowymi do niewłaściwej osoby w firmie jest w świetle prawa traktowane tak samo rygorystycznie jak atak hakerski.
Anatomia incydentów – najczęstsze grzechy i schematy błędów
Błędy prowadzące do incydentów w działach personalnych można podzielić na kilka głównych kategorii. Ich znajomość to pierwszy krok do zbudowania skutecznego systemu prewencji.
Pierwszą, najbardziej powszechną, grupą są błędy adresacyjne. Autouzupełnianie adresów w programach pocztowych to funkcja tyleż wygodna, co niebezpieczna. Wystarczy, że rekruter, chcąc wysłać ofertę pracy i draft umowy do kandydata (Jana Kowalskiego), z roztargnienia wybierze z listy Jana Kowalskiego – obecnego klienta firmy. W ten sposób na zewnątrz wypływają informacje o proponowanym wynagrodzeniu, systemie premiowym i warunkach zatrudnienia.
Drugą kategorią jest niewłaściwe zabezpieczenie sprzętu i nośników pamięci. Praca zdalna i hybrydowa nasiliły problem wynoszenia dokumentacji poza chroniony obwód biura. Pendrive z listą płac, który gubi się w transporcie publicznym, czy kradzież niezabezpieczonego laptopa z samochodu specjalisty ds. kadr, to klasyczne scenariusze, które błyskawicznie przeradzają się w poważny kryzys prawny.
Trzeci wektor to celowe ataki cyberprzestępców wycelowane w rekruterów. Cyberprzestępcy doskonale wiedzą, że obowiązkiem rekrutera jest otwieranie załączników od nieznanych nadawców. Dlatego masowo wysyłają wiadomości e-mail z rzekomym CV (często spakowanym w plik .ZIP lub podszywającym się pod PDF), które w rzeczywistości jest złośliwym oprogramowaniem typu ransomware. Po otwarciu pliku cały dysk działu HR, a nierzadko sieć całej firmy, zostaje zaszyfrowany, a przestępcy żądają gigantycznego okupu za przywrócenie dostępu.
Przykład 1.
Firma logistyczna, zatrudniająca 500 osób, prowadziła intensywną rekrutację na stanowiska kierownicze. Młodszy specjalista HR otrzymał perfekcyjnie przygotowanego maila od rzekomego kandydata. Aplikacja zawierała link z zachętą do pobrania portfolio. Po jego kliknięciu na komputerze rekrutera zostało zainstalowane oprogramowanie ransomware. W ciągu kilkunastu minut zaszyfrowany został cały dysk sieciowy działu kadr, zawierający akta osobowe, umowy oraz pliki eksportowe do ZUS z ostatnich 5 lat. Firma została całkowicie sparaliżowana operacyjnie na 4 dni. Musiano zatrudnić zewnętrzną firmę informatyki śledczej, zgłosić incydent do UODO oraz poinformować wszystkich obecnych i byłych pracowników o potencjalnym wycieku danych, co wywołało w firmie panikę i zaowocowało masowymi wnioskami o zapomogę na wykupienie alertów BIK. Szacowane koszty bezpośrednie i utracone korzyści firmy przekroczyły 400 tys. zł.
Procedura kryzysowa – złota zasada 72 godzin
Gdy dochodzi do naruszenia, najważniejszy jest czas. Z perspektywy prawa moment, w którym specjalista HR orientuje się, że popełnił błąd (lub odkrywa skutki ataku), uruchamia niezwykle rygorystyczny licznik.
Zgodnie z art. 33 RODO w przypadku naruszenia ochrony danych osobowych administrator (czyli pracodawca) musi bez zbędnej zwłoki – w miarę możliwości, niepóźniej niż w terminie 72 godzin po stwierdzeniu naruszenia – zgłosić je do organu nadzorczego (Prezesa UODO). Co niezmiernie istotne z perspektywy HR, obowiązek ten nie dotyczy każdej błahostki, lecz tylko takich naruszeń, które mogą skutkować naruszeniem praw lub wolności osób fizycznych. Kto dokonuje tej oceny? Zespół reagowania, w skład którego powinien wejść inspektor ochrony danych (IOD), radca prawny oraz szef HR.
Czas 72 godzin biegnie od momentu stwierdzenia naruszenia. Jeśli pracownik HR w piątek o 16:00 zorientuje się, że wysłał bazę danych do niewłaściwej osoby, czas na zgłoszenie do UODO upływa w poniedziałek o 16:00. Nie ma tu taryfy ulgowej na weekendy lub święta. Próba zatajenia incydentu przez pracownika, w obawie przed naganą, drastycznie pogarsza sytuację firmy i niemal na pewno doprowadzi do nałożenia maksymalnej kary administracyjnej, jeśli sprawa wyjdzie na jaw.
Jeżeli analiza ryzyka wykaże, że ryzyko naruszenia praw lub wolności jest wysokie (co w przypadku wycieku danych kadrowych jest niemal regułą, ze względu na obecność numerów PESEL, adresów i danych finansowych), na firmę spada kolejny, znacznie trudniejszy wizerunkowo obowiązek wynikający z art. 34 RODO. Pracodawca musi niezwłocznie zawiadomić osobę, której dane dotyczą, o naruszeniu. Taki komunikat do pracowników musi być napisany jasnym językiem, opisywać charakter wycieku, potencjalne konsekwencje (np. ryzyko kradzieży tożsamości, wzięcia pożyczki w instytucjach parabankowych) oraz wskazywać środki, jakie pracownik może podjąć, aby się chronić (np. zastrzeżenie numeru PESEL w aplikacji mObywatel). Komunikacja w takiej sytuacji wymaga od działu HR najwyższych umiejętności interpersonalnych, aby uspokoić nastroje i zapobiec pozwom zbiorowym.
Przykład 2.
Podczas przygotowywania comiesięcznych pasków wynagrodzeń w firmie IT zatrudniającej 200 pracowników specjalistka ds. płac pomyliła formuły w systemie pocztowym. Zamiast rozesłać indywidualne dokumenty w formacie PDF do każdego pracownika z osobna, wysłała do wszystkich osób w organizacji jeden, nieszyfrowany plik Excel, zawierający pełne zestawienie płacowe. Arkusz zawierał imiona, nazwiska, stanowiska, wysokość wynagrodzenia zasadniczego, przyznane premie, a także kwoty potrąceń tytułem alimentów i zajęć komorniczych. Naruszenie zauważono po 10 minutach. Choć dział IT natychmiast próbował cofnąć wysyłkę z serwera, wielu pracowników zdążyło zapisać plik.
Zarząd, wraz z działem HR i IOD, niezwłocznie zgłosił incydent do UODO i wystosował pismo do wszystkich pracowników. Skutki? Pomimo dopełnienia obowiązków formalnych, wyciek doprowadził do potężnego kryzysu wewnętrznego. Ujawnienie głębokich i nie zawsze uzasadnionych dysproporcji płacowych na tych samych stanowiskach wywołało bunt załogi. W ciągu kolejnych trzech miesięcy z firmy odeszło 15 kluczowych programistów, a osoba, której ujawniono zajęcia komornicze, wytoczyła firmie proces cywilny o naruszenie dóbr osobistych, domagając się 50 tys. zł zadośćuczynienia.
Odpowiedzialność pracodawcy a odpowiedzialność pracownika HR
Kwestia odpowiedzialności za wyciek danych jest skomplikowana i często stanowi źródło potężnego stresu dla pracowników działów kadr. Należy tu wyraźnie oddzielić odpowiedzialność finansową samej firmy (na gruncie RODO) od odpowiedzialności pracowniczej konkretnego sprawcy zdarzenia (na gruncie Kodeksu pracy).
Prezes Urzędu Ochrony Danych Osobowych karze administratora – czyli firmę. Administracyjne kary pieniężne mogą sięgać do 20 mln euro lub do 4% całkowitego rocznego światowego obrotu przedsiębiorstwa z poprzedniego roku obrotowego (przy czym stosuje się kwotę wyższą). Oczywiście w polskich realiach UODO stosuje zasadę proporcjonalności, jednak kary dla pracodawców z tytułu wycieków danych HR regularnie opiewają na kilkadziesiąt lub kilkaset tysięcy złotych. Inspektorzy UODO badają przede wszystkim, czy firma wdrożyła odpowiednie środki techniczne i organizacyjne (np. wymuszanie stosowania silnych haseł, blokada złącz USB, szyfrowanie dysków, regularne szkolenia dla kadr). Jeśli wyciek był skutkiem błędu człowieka, ale pracodawca udowodni, że pracownik był przeszkolony, a procedury zawiodły mimo ich wdrożenia, kara może być łagodniejsza.
A co z pracownikiem HR, popełnił katastrofalny w skutkach błąd? Pracodawca, który poniósł szkodę finansową z powodu nałożonej kary lub konieczności wypłaty odszkodowań dla poszkodowanych pracowników, ma prawo pociągnąć do odpowiedzialności osobę zatrudnioną w dziale personalnym. Ogranicza go tu jednak Kodeks pracy.
Zgodnie z art. 114 i 119 Kodeksu pracy, jeżeli pracownik HR spowodował wyciek danych nieumyślnie (np. z powodu roztargnienia wysłał maila na zły adres), jego odpowiedzialność materialna wobec pracodawcy jest ograniczona do wysokości trzymiesięcznego wynagrodzenia przysługującego mu w dniu wyrządzenia szkody. Jeśli jednak pracodawca udowodni pracownikowi winę umyślną (np. specjalista HR celowo skopiował bazę pracowników dla konkurencji lub złośliwie ujawnił zarobki nielubianego kolegi), pracownik jest zobowiązany do naprawienia szkody w pełnej wysokości, co może oznaczać koszty rzędu setek tysięcy złotych i ruinę finansową.
Poza odpowiedzialnością materialną błąd skutkujący incydentem bezpieczeństwa stanowi najczęściej ciężkie naruszenie podstawowych obowiązków pracowniczych (art. 52 § 1 pkt 1 Kodeksu pracy), jakim jest dbałość o dobro zakładu pracy i ochrona mienia pracodawcy. Pracodawca ma pełne prawo rozwiązać z takim pracownikiem umowę o pracę bez wypowiedzenia z winy pracownika. Ponadto Ustawa z 10 maja 2018 roku o ochronie danych osobowych przewiduje odpowiedzialność karną (grzywnę, karę ograniczenia wolności albo pozbawienia wolności do lat 2) dla osoby, która przetwarza dane osobowe bez uprawnienia lub niezgodnie z przepisami. Odpowiedzialność taka może dotyczyć w szczególności przypadków poważnego naruszenia zasad przetwarzania danych osobowych.
Przykład 3.
Starszy specjalista ds. HR, pracujący w firmie produkcyjnej, otrzymał polecenie wysłania zwolnienia lekarskiego (zawierającego dane medyczne i PESEL) do księgowości. Z powodu pośpiechu i bałaganu na pulpicie załączył inny plik PDF – wykaz osób wytypowanych do zwolnień grupowych w kolejnym kwartale, wraz z pełną argumentacją (np. niska wydajność, problemy alkoholowe) – i wysłał go na ogólny adres e-mail związku zawodowego działającego w firmie.
Związkowcy natychmiast nagłośnili sprawę, zarzucając firmie tworzenie „czarnych list”. Prezes UODO, po interwencji związków, nałożył na firmę 80 tys. zł kary za brak odpowiednich procedur ochrony danych oraz przetwarzanie wrażliwych informacji w sposób niekontrolowany. Pracodawca z uwagi na rozmiar szkody wizerunkowej zwolnił specjalistę HR dyscyplinarnie, argumentując, że pracownik z 10-letnim stażem powinien stosować elementarne zasady weryfikacji załączników. Dodatkowo firma obciążyła byłego już pracownika karą finansową w wysokości jego trzykrotnego wynagrodzenia, która po potrąceniach kosztowała go ponad 25 tys. zł.
Incydenty i wycieki danych w HR
Analizując zagadnienie incydentów danych w 2026 roku, nie można pominąć wpływu, jaki wywarła w pełni funkcjonująca Ustawa z 14 czerwca 2024 roku o ochronie sygnalistów. Tworzy ona specyficzny, podwójny wektor ryzyka w kontekście działalności działów personalnych.
Z jednej strony ustawa chroni osoby zgłaszające nieprawidłowości, w tym dotyczące prywatności i ochrony danych osobowych. Oznacza to, że pracownik, który zauważy nieprawidłowości w zakresie zabezpieczenia dokumentacji pracowniczej, brak blokowania ekranów komputerów czy niewłaściwe postępowanie z dokumentami zawierającymi dane osobowe, może dokonać zgłoszenia za pośrednictwem wewnętrznego kanału. Jeżeli pracodawca nie podejmie odpowiednich działań, sygnalista może zgłosić sprawę właściwemu organowi publicznemu, w tym Prezesowi UODO i skorzystać przy tym z ochrony przed działaniami odwetowymi. Z perspektywy działów HR oznacza to konieczność stałego dbania o przestrzeganie zasad ochrony danych osobowych i właściwe zabezpieczenie informacji.
Z drugiej strony tożsamość samego sygnalisty to jedna z najściślej chronionych tajemnic w firmie. Dział HR często w ramach procedur jest zaangażowany w obsługę zgłoszeń (np. jeśli koordynatorem jest dyrektor HR). Ujawnienie – nawet przypadkowe – danych osobowych osoby zgłaszającej naruszenie (sygnalisty) osobie, której zgłoszenie dotyczy, to katastrofa prawna. Grożą za to nie tylko gigantyczne kary z UODO, ale też surowe konsekwencje karne wynikające wprost z przepisów o ochronie sygnalistów, łącznie z karą pozbawienia wolności dla osoby, która dopuściła się ujawnienia tożsamości.
Prewencja i audyt – jak zabezpieczyć procesy HR?
Zarządzanie ryzykiem to nie gaszenie pożarów, lecz upewnianie się, że w budynku nie ma łatwopalnych materiałów. Działy kadr i płac muszą wdrożyć bezwzględną higienę cyfrową oraz procedury, które ograniczają skutki potencjalnych błędów. Kluczem do sukcesu nie są skomplikowane algorytmy zabezpieczające, ale systematyczność i proste nawyki wpajane całemu zespołowi.
Zasada minimalizacji danych: dział HR nie powinien przechowywać informacji dłużej, niż jest to niezbędne. Regularne czyszczenie systemów rekrutacyjnych i skrzynek pocztowych to podstawa. Trzymanie na skrzynce mailowej CV kandydatów z rekrutacji sprzed 3 lat, na których przetwarzanie firma dawno nie ma zgody, to tykająca bomba. W przypadku włamania na to konto haker uzyskuje dostęp do tysięcy rekordów, których w ogóle nie powinno tam być.
Szyfrowanie to standard, nie przywilej: każdy dokument zawierający dane finansowe, zdrowotne lub numery PESEL, przesyłany drogą mailową (nawet wewnętrznie), musi być zabezpieczony hasłem. To rozwiązanie techniczne, które potrafi uratować firmę przed konsekwencjami tzw. omyłkowej wysyłki. Hasło absolutnie nie może być wysyłane w tym samym mailu – należy je przekazać innym kanałem komunikacji (np. SMS, komunikator wewnętrzny typu Slack/Teams). Jeśli zaszyfrowany plik trafi do błędnej osoby, wyciek faktycznie nie następuje, ponieważ pliku nie da się odczytać, a incydent można uznać za niosący niskie ryzyko, niewymagające zgłoszenia do UODO.
Czyste biurko i polityka niszczenia dokumentów: cyfryzacja nie wyeliminowała papieru z działów kadr w 100%. Teczki, zwolnienia, wnioski urlopowe wciąż wędrują po biurkach. Konieczne jest wdrożenie zasady „czystego biurka”. Po zakończeniu pracy na blacie nie ma prawa znajdować się żaden dokument. Wszystkie muszą być chowane w szafach zamykanych na klucz, do których dostęp mają tylko upoważnione osoby. Dokumenty przeznaczone do wyrzucenia muszą trafiać do certyfikowanych pojemników do utylizacji lub bezpośrednio do niszczarek najwyższej klasy (minimum DIN P-4).
Przykład 4.
W agencji zatrudnienia tymczasowego wybuchł wielki skandal, gdy przypadkowy przechodzień znalazł w ogólnodostępnym kontenerze na śmieci przed biurowcem dziesiątki kartek z kopiami dowodów osobistych oraz numerami kont bankowych pracowników z Ukrainy. Okazało się, że nowo zatrudniona asystentka w dziale HR, robiąc porządki w archiwum i nie wiedząc, jak obsłużyć zapchaną niszczarkę, po prostu wyniosła dokumenty do śmieci, żeby szybciej skończyć pracę w piątek. Sprawę nagłośniły lokalne media, a UODO nałożyło karę, wskazując na dramatyczny brak nadzoru nad procedurą niszczenia i ułomność procesu onboardingu nowych członków zespołu HR.
Szkolenia – praktyczne, a nie teoretyczne: standardowe szkolenie z RODO polegające na czytaniu slajdów z ustawą jest dla pracowników HR stratą czasu. Szkolenia muszą być oparte na realnych, życiowych case studies, symulacjach phishingu (np. kontrolowane wysyłanie fałszywych CV z bezinwazyjnym plikiem monitorującym kliknięcia) i warsztatach z używania programów do szyfrowania (np. 7-Zip). Pracownik musi wiedzieć dokładnie, co zrobić, gdy podejrzewa wyciek: nie ukrywać, nie wyciągać wtyczki z kontaktu, ale odłączyć komputer od Wi-Fi i natychmiast powiadomić IOD oraz przełożonego.
Podsumowanie
W cyfrowym środowisku biznesowym działy HR pełnią nie tylko funkcję wspierającą rozwój organizacji, ale również odpowiadają za właściwe zabezpieczenie danych pracowników. Lekceważenie ryzyka związanego z incydentami ochrony danych może prowadzić do poważnych konsekwencji finansowych, wizerunkowych oraz organizacyjnych. Jak pokazują przedstawione przykłady, koszty usunięcia skutków naruszeń, zapłaty kar nakładanych przez Prezesa Urzędu Ochrony Danych Osobowych oraz wypłaty odszkodowań mogą wielokrotnie przewyższać wydatki poniesione na działania zapobiegawcze.
Świadomy pracodawca powinien inwestować w rozwiązania zwiększające bezpieczeństwo danych, takie jak szyfrowanie czy zaawansowane filtry antyspamowe, ale równie ważne jest budowanie odpowiedzialnego podejścia do ochrony informacji wśród pracowników działu personalnego. Specjalista HR powinien pamiętać, że zarządza nie tylko dokumentacją pracowniczą, ale również danymi osobowymi wymagającymi szczególnej ochrony. Jasne procedury dotyczące weryfikacji adresów e-mail, niszczenia nośników danych oraz zgłaszania incydentów pozwalają ograniczyć ryzyko naruszeń i zwiększają bezpieczeństwo organizacji. W 2026 roku kompetencje z zakresu bezpieczeństwa informacji w HR są równie istotne jak znajomość przepisów prawa pracy i stanowią jeden z elementów profesjonalnego zarządzania zasobami ludzkimi.
