Mail z UODO o monitoringu wizyjnym: jak rozpoznać oszustwo i co zrobić

Mail z UODO wygląda poważnie: artykuły RODO, prawie poprawne dane urzędu, tabelka o kamerach do wypełnienia i termin 7 dni roboczych. Na końcu zdanie, że to „urzędowe wezwanie UODO”. Tyle że urząd tego maila nie wysłał. To oszustwo, przed którym Urząd Ochrony Danych Osobowych ostrzegł 20 października 2026 r.

Mail trafia do firm, które instalują monitoring. Ale pyta o kamery u ich klientów: gdzie wiszą, jakie mają adresy w sieci i kto z nich korzysta. Jeśli masz kamery w zakładzie, ta tabelka może być o Tobie. Poniżej znajdziesz, po czym poznać fałszywkę, czym grozi jej wypełnienie, jak naprawdę pisze UODO i co sprawdzić w monitoringu Twojej firmy.

Co jest w fałszywym mailu z UODO o monitoringu?

W poniedziałek 19 października CSIRT GOV (Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego) poinformował urząd o kampanii skierowanej do firm instalujących monitoring. Nadawca podszywa się pod UODO i prosi o zestawienie instalacji monitoringu wizyjnego z ostatnich 12 miesięcy. Fragment fałszywki urząd pokazał w komunikacie „Oszuści podszywają się pod UODO i chcą wyłudzić dane”:

„(…) W związku z prowadzoną analizą zgodności systemów monitoringu wizyjnego z obowiązującymi przepisami dotyczącymi ochrony danych osobowych, w szczególności art. 5 ust. 1 lit. f, art. 25 oraz art. 32 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), zwracamy się o przygotowanie szczegółowego zestawienia instalacji systemów monitoringu wizyjnego wykonanych przez Państwa przedsiębiorstwo w okresie ostatnich 12 miesięcy...”

Brzmi wiarygodnie i właśnie o to chodzi. Do tego prawie poprawne dane teleadresowe urzędu, tabelka do wypełnienia i ponaglenie: komplet w pliku Excela (XLSX) w ciągu 7 dni roboczych. Na koniec zdanie „Niniejszy wniosek stanowi urzędowe wezwanie UODO”.

UODO pisze wprost: nie wysłał tego maila, nigdy nie rozsyła takich pism ani ankiet, zwłaszcza w formie urzędowego wezwania, i nie zbiera takich informacji.

Jakich danych o kamerach chcą oszuści?

Według UODO oszust żąda między innymi takich danych:

• dane kontaktowe użytkownika końcowego, czyli firmy, która korzysta z kamer;
• lokalizacja kamer razem z dokładnymi współrzędnymi geograficznymi;
• adresy IP urządzeń, czyli ich adresy w sieci;
• numery seryjne;
• wersja firmware, czyli oprogramowania wbudowanego w kamerę;
• model kamery.

Użytkownik końcowy to firma, w której kamery wiszą. Jeśli instalator zakładał Twój monitoring w ostatnich 12 miesiącach, dostał taki mail i odesłał tabelkę, mogą w niej być Twoje kamery.

Co oszust może zrobić z danymi o kamerach w zakładzie pracy?

Według UODO adresy IP, numery seryjne i wersja oprogramowania pozwalają ustalić, czy kamera może mieć np. nieaktualne oprogramowanie. Przestępcy mogą też wykorzystać fabryczne ustawienia urządzenia, jeśli instalator albo użytkownik ich nie zmienił, żeby przejąć nad nim kontrolę.

Kamery w zakładzie pracy patrzą na to, co mają chronić, i na ludzi, którzy tam pracują. Urząd ostrzega, że wyłudzone dane mogą pozwolić ustalić adresy użytkowników końcowych, a przejęcie obrazu może wpływać na bezpieczeństwo osób i mienia. Czyli kamera, która miała pilnować zakładu, może zacząć pokazywać go komuś obcemu.

Czy UODO zbiera dane o monitoringu wizyjnym w firmach?

Nie w ten sposób. Prezes UODO przede wszystkim bada, jak administratorzy przetwarzają dane osobowe i jak je zabezpieczają. Administrator to ten, kto decyduje o celach i sposobach przetwarzania danych. Przy kamerach w zakładzie to Ty jako pracodawca, a nie instalator, dostawca kamer czy serwis.

Gdy urząd chce sprawdzić, jak firmy wykonują jakiś obowiązek z RODO, najpierw zapowiada to komunikatem na uodo.gov.pl. Pytania w takiej ankiecie są ogólne, opisowe i idą do administratorów. Taka ankieta jest dobrowolna, tak jak choćby ta o sztucznej inteligencji.

O szczegóły urząd dopytuje w postępowaniu. Sprawa ma wtedy konkretną sygnaturę, w piśmie jest kontakt do departamentu, który ją prowadzi, a korespondencja idzie tradycyjną pocztą, przez e-Doręczenia (elektroniczny odpowiednik listu poleconego za potwierdzeniem odbioru) albo ePUAP (Elektroniczną Platformę Usług Administracji Publicznej). Na takie pismo trzeba odpowiedzieć, bo firma ma obowiązek współpracować z urzędem na jego żądanie (art. 31 RODO). Jak to zrobić, przeczytasz we wpisie Pismo z UODO u pracodawcy: o co pyta urząd i jak odpowiedzieć.

Tak prawdziwa korespondencja UODO różni się od fałszywki:

Jak sprawdzić, czy mail od UODO jest prawdziwy?

Zanim ktokolwiek w firmie odpisze albo wypełni tabelkę, przejdź po kolei te punkty:

• Sygnatura i departament. Prawdziwe pismo w sprawie ma jej sygnaturę i kontakt do departamentu, który ją prowadzi. Fałszywka ma tabelkę do wypełnienia, a nie sygnaturę sprawy. Sama sygnatura też niczego nie dowodzi, bo da się ją zmyślić, więc potwierdź ją w urzędzie pod numerem 22 531 03 00 ze strony kontaktowej UODO, a nie pod numerem z pisma.
• Zapowiedź na stronie. Wpisz adres uodo.gov.pl samodzielnie i zajrzyj do aktualności. Ankiety urząd zapowiada, a przed tym mailem ostrzegł w komunikacie.
• Kontakt spoza maila. Dane urzędu w fałszywce są „prawie poprawne”, więc nie dzwoń i nie odpisuj na nie. Numer urzędu (22 531 03 00, w godzinach pracy 8:00-16:00), infolinię (606-950-000, w dni robocze 10:00-14:00) i adres kancelaria@uodo.gov.pl weź ze strony kontaktowej, którą sam otworzysz.
• Treść pytań. Hurtowe zestawienie kamer z adresami IP, numerami seryjnymi i współrzędnymi? UODO takich informacji nie zbiera, więc mail, który o nie prosi, nie jest od urzędu.

Fałszywkę możesz zgłosić do CERT Polska, zespołu reagowania na incydenty komputerowe w NASK (państwowym instytucie badawczym zajmującym się bezpieczeństwem sieci), przez formularz na stronie incydent.cert.pl. Formularz zapyta, czy jesteś podmiotem kluczowym albo ważnym. To w zasadzie średnie i duże firmy z sektorów wymienionych w załącznikach do ustawy o krajowym systemie cyberbezpieczeństwa, np. z sektora energii czy transportu, plus kilka rodzajów podmiotów wskazanych niezależnie od wielkości (art. 5 ustawy po zmianie z 2026 r.). Mała firma zwykle do nich nie należy, nawet jeśli działa w takiej branży. Wtedy wybierasz „Osoba fizyczna / inne podmioty”, a potem „Podejrzana wiadomość e-mail”.

Co zrobić z kamerami w zakładzie, gdy krąży taki mail?

Mail mógł dostać Twój instalator, ale kamery są Twoje. Te rzeczy warto sprawdzić od razu:

Jeśli instalator odesłał tabelkę z Twoimi kamerami, poproś go o sprawdzenie ich ustawień i oprogramowania. A jeśli ktoś obcy dostał się do obrazu, to może być naruszenie ochrony danych osobowych. Zgłaszasz je do UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od jego stwierdzenia, chyba że jest mało prawdopodobne, by stworzyło ryzyko dla nagranych osób (art. 33 ust. 1 RODO). Jak to zrobić, opisaliśmy we wpisie Zgłoszenie naruszenia RODO krok po kroku: wyciek z programu do faktur.

Fałszywka działa tylko wtedy, gdy ktoś da się nabrać. Osoba, która w Twojej firmie odbiera pocztę, powinna znać te sygnały. O tym, jak uczyć zespół zasad ochrony danych, piszemy we wpisie Szkolenie RODO obok BHP: jak często i jak dokumentować skuteczność.

Najczęstsze pytania o mail z UODO

Urzędowe wezwanie w mailu z tabelką? Najpierw sprawdź nadawcę

Pamiętaj: prawdziwy urząd nie pyta mailem o adresy IP i współrzędne kamer. Każde „wezwanie” z tabelką do odesłania sprawdzasz u źródła: na uodo.gov.pl i pod numerem ze strony urzędu, a nie w danych z maila.

Nagrania z kamer to dane osobowe pracowników i wszystkich, którzy wchodzą w zasięg kamer, a montaż monitoringu to jeden z momentów, po których aktualizuje się dokumenty RODO. Jeśli od tamtej pory nikt do nich nie zaglądał, uporządkujemy je w ramach dokumentacji RODO dla firmy. A jeśli zamiast fałszywki przyjdzie zapowiedź prawdziwej kontroli, pomożemy Ci się przygotować przy kontroli w firmie. Napisz albo zadzwoń.