Okoliczności wycieku danych

5 sierpnia 2025 roku doszło do nieuprawnionego skopiowania danych kadrowych przez pracownika Urzędu Marszałkowskiego Województwa Lubelskiego (UMWL). Incydent miał miejsce na skutek przekazania służbowego komputera, na którym nie zostały uprzednio usunięte dane, co umożliwiło dostęp do danych osobowych innej osobie.

Jak wyjaśnia komunikat UMWL, pracownik Lubelskiego Centrum Innowacji i Technologii przekazał komputer służbowy bez uprzedniego usunięcia danych, a 5 sierpnia inny pracownik skopiował informacje kadrowe na zasób sieciowy oraz zewnętrzny nośnik. Zdarzenie potwierdzono analizą logów systemowych.

Zakres skopiowanych danych

Wyciek objął dane osobowe tysięcy osób, w tym pracowników zatrudnionych przed 1 stycznia 2024 roku (wraz z informacjami o wynagrodzeniu i nagrodach), stypendystów z 2023 roku, zdobywców Nagrody Marszałka 2023, strony umów cywilnoprawnych zawieranych w 2023 oraz radnych sejmiku poprzedniej kadencji. Najczęściej wyciekły imiona, nazwiska oraz numery PESEL, które pozwalają m.in. na odczytanie daty urodzenia.

Reakcja urzędu i działania prawne

Po wykryciu wycieku uruchomiono wewnętrzną procedurę wyjaśniającą. Urząd powiadomił zarówno Prokuraturę Rejonową Lublin-Południe, jak i Prezesa Urzędu Ochrony Danych Osobowych. Prokuratura wszczęła postępowanie w sprawie podejrzenia nielegalnego przetwarzania danych osobowych, za co grozi kara do 2 lat więzienia.

Rzeczniczka prokuratury Agnieszka Kępka poinformowała:

Dostaliśmy zawiadomienie z Urzędu Marszałkowskiego o podejrzeniu popełnienia przestępstwa. Badamy okoliczności wskazane w zawiadomieniu — Agnieszka Kępka, Prokuratura Okręgowa w Lublinie

Pracownik, który skopiował dane, złożył oświadczenie o trwałym ich usunięciu oraz zobowiązał się do nieudostępniania ich osobom trzecim i niewykorzystywania w jakiejkolwiek formie. Urząd zaleca jednak zastrzeżenie numerów PESEL osobom, których dane wyciekły.

Niejasności i dalsze kroki

Nie jest znany motyw działania pracownika oraz to, gdzie dokładnie trafiły skopiowane dane. Obecnie wobec żadnego z pracowników nie podjęto jeszcze sankcji służbowych; ich ewentualne nałożenie będzie zależało od wyników dochodzenia prokuratorskiego.