Wyciek z Wakacje.pl: co zrobić z danymi paszportu

Komunikaty o wycieku z Wakacje.pl kończą się zwykle radą, by zastrzec PESEL i „rozważyć zastrzeżenie paszportu”. Za tym jednym zdaniem stoją dwie różne procedury o różnych skutkach. Ten tekst opisuje obie na podstawie ustawy o dokumentach paszportowych i stron gov.pl, a do tego to, co wiadomo o samym incydencie. Stan na 4 października 2026.

1. Co wiadomo o incydencie

Oryginalnego komunikatu nie znaleźliśmy na stronie Wakacje.pl, dlatego opieramy się na jego treści cytowanej przez TVN24 i Bankier.pl 3 października 2026. Według firmy 29 września ktoś uzyskał nieuprawniony dostęp do części skrzynek pocztowych i do systemu obsługi klienta. Dostęp objął adresy e-mail, imiona i nazwiska, numery telefonów, adresy, daty urodzenia i dane paszportowe.

Firma podała, że te dane „nie pozwalają na zalogowanie się do Panelu Klienta”, a incydent nie objął systemów płatności. Zgłosiła go do CSIRT NASK, UODO i organów ścigania. Nie ujawniła, ilu klientów dotyczy, ani tego, czy wyciekły skany paszportów, czy same numery. Pytania można kierować do inspektora ochrony danych pod adresem iodo@wakacje.pl.

2. Co jest na stronie z danymi paszportu

Od tego, czy wyciekł skan, czy tylko numer, zależy, ile danych ma napastnik. Art. 12 ustawy o dokumentach paszportowych wylicza, co jest wydrukowane na stronie personalizacyjnej paszportu. Z danych osoby są to nazwisko, imiona, data i miejsce urodzenia, obywatelstwo, płeć, numer PESEL, wizerunek twarzy i odwzorowanie podpisu. Z danych dokumentu są to jego rodzaj, kraj wydania, seria i numer, data wydania, data ważności i nazwa organu wydającego.

Skan tej strony zawiera więc także PESEL, zdjęcie i wzór podpisu. Sam numer paszportu to znacznie mniej informacji. Masz prawo zapytać firmę, jakie twoje dane przetwarza, na podstawie art. 15 RODO.

3. Zastrzeżenie paszportu w systemie Dokumenty Zastrzeżone

System DOKUMENTY ZASTRZEŻONE prowadzi Związek Banków Polskich. Na stronie systemu ZBP opisuje go jako ogólnopolską bazę skradzionych i zagubionych dokumentów, którą banki sprawdzają między innymi przy udzielaniu kredytów. Dokument zastrzeżesz w banku, przez infolinię +48 828 828 828 albo w aplikacji mObywatel. Ministerstwo Cyfryzacji potwierdza, że usługa „Zastrzeż dokument” w mObywatelu obejmuje dowód osobisty i paszport.

To zastrzeżenie jest informacją dla banków i innych uczestników systemu. Ustawa o dokumentach paszportowych nie wymienia go wśród podstaw unieważnienia paszportu w art. 70 ust. 2.

4. Unieważnienie paszportu po wycieku danych

Ustawa przewiduje osobny tryb dokładnie na taką sytuację. Art. 68 ust. 1 pozwala posiadaczowi, który uprawdopodobni nieuprawnione wykorzystanie swoich danych, w tym danych dotyczących paszportu, zgłosić to dowolnemu wojewodzie lub konsulowi w celu unieważnienia dokumentu. Zgłasza się to na formularzu, a art. 68 ust. 3 odsyła odpowiednio do art. 63 ust. 1 pkt 1 i 2. Te przepisy przewidują zgłoszenie osobiście przed organem albo na formularzu w postaci elektronicznej z podpisem kwalifikowanym, zaufanym lub osobistym.

Według strony polskiego konsulatu na gov.pl zgłoszenie jest bezpłatne. Art. 74 pkt 1 ustawy stanowi, że paszport traci ważność z dniem zgłoszenia, więc od tej chwili nie możesz nim podróżować.

4.1. Nowy paszport

Unieważnienie nie daje nowego dokumentu. Według gov.pl wniosek o paszport składasz osobiście, bez możliwości złożenia go online. Opłata dla dorosłego bez ulg wynosi 140 zł, a na dokument czeka się około miesiąca. Jeśli masz zaplanowany wyjazd, ten czas decyduje o tym, kiedy warto złożyć zgłoszenie.

5. Prośby o dopłatę i fałszywe wiadomości

Wakacje.pl ostrzegło klientów przed wiadomościami z prośbą o płatność. CERT Polska opisywał w styczniu 2026 oszustwa na rezerwacje, w których przestępcy korzystają z przejętych kont hoteli i wycieków danych, a treść wiadomości i fałszywej strony jest dopasowana do konkretnej osoby. Taka wiadomość może więc zawierać twoje prawdziwe dane i szczegóły wyjazdu.

Jak rozpoznać i zgłosić podejrzaną wiadomość, opisaliśmy w poradniku o fałszywych SMS-ach i e-mailach.

6. PESEL i inne dane

Data urodzenia, adres i ewentualny PESEL ze skanu to dane, które firma radzi zabezpieczyć zastrzeżeniem numeru PESEL. Jak to zrobić i co ono blokuje, opisuje poradnik o zastrzeżeniu PESEL. Sposoby sprawdzenia, czy twoje dane trafiły do innych wycieków, zebraliśmy w tekście jak sprawdzić, czy twoje dane wyciekły.

7. Podsumowanie

Rada „zastrzeż paszport” może oznaczać dwie rzeczy. Zastrzeżenie w systemie Dokumenty Zastrzeżone ostrzega banki i nie należy do ustawowych podstaw unieważnienia paszportu. Unieważnienie z art. 68 ustawy działa od dnia zgłoszenia, ale potem potrzebujesz nowego paszportu za 140 zł i około miesiąca oczekiwania. Wybór zależy od tego, jakie dane wyciekły, o co możesz zapytać firmę na podstawie RODO.