Zapytanie nr 3902

Szanowny Panie Ministrze,

na początku sierpnia 2026 r. Żabka Polska poinformowała o wykryciu nieautoryzowanego dostępu do wybranych zasobów technicznych wykorzystywanych do wymiany informacji między franczyzodawcą a franczyzobiorcami. Według informacji medialnych do incydentu doszło z wykorzystaniem konta zewnętrznego dostawcy usług, a sprawa została zgłoszona właściwym organom. W publikacji wskazano, że wyciek miał objąć dane osobowe pracowników i partnerów posiadających dostęp do infrastruktury Żabki, natomiast pojawiają się również informacje o możliwym wycieku danych części klientów. Minister cyfryzacji poinformował, że incydent nie objął danych klientów aplikacji Żappka ani danych transakcyjnych. Ze względu na rozbieżności dotyczące zakresu danych objętych incydentem kluczowe jest przedstawienie aktualnych ustaleń właściwych organów państwa.

W związku z powyższym proszę o odpowiedź na następujące pytania:

1. Jakimi aktualnymi informacjami dysponuje Ministerstwo Cyfryzacji w zakresie liczby osób, których dane zostały lub mogły zostać objęte cyberatakiem na infrastrukturę Żabka Polska, oraz jakie kategorie danych zostały przejęte - w szczególności czy incydent objął jakiekolwiek dane klientów niekorzystających z aplikacji Żappka?

2. Jakie działania podjęło Ministerstwo Cyfryzacji oraz właściwe podmioty krajowego systemu cyberbezpieczeństwa po uzyskaniu informacji o incydencie, w szczególności w zakresie ustalenia jego przyczyn, ograniczenia skutków oraz przeciwdziałania dalszemu wykorzystaniu wykradzionych danych?

3. Czy osoby, których dane zostały objęte wyciekiem, zostały lub zostaną indywidualnie poinformowane o zakresie naruszenia oraz zalecanych działaniach zabezpieczających, a jeżeli tak – jaka jednostka odpowiada za te działania i w jakim terminie mają one zostać zakończone?

Z poważaniem