Bezpieczeństwo i RODO w BIP

Bezpieczeństwo BIP to konkretne wymogi prawa, a RODO w BIP to dziś główny powód kar i kontroli. Opisujemy, czego wymagają przepisy i jak zabezpiecza dane Polski BIP.

Sześć wymogów rozporządzenia, które sprawdza kontrola

Paragrafy 15-21 rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 18 stycznia 2007 r. w sprawie Biuletynu Informacji Publicznej (Dz.U. 2007 nr 10 poz. 68) opisują, jak BIP ma być chroniony. System realizuje techniczną część każdego wymogu. Ty wyznaczasz redaktorów, a administrator w każdy dzień powszedni przegląda dziennik zmian.

§ 15
Osoby odpowiedzialne i uwierzytelnianie
Imienne konta redaktorów, role (redaktor, zatwierdzający, administrator) i logowanie dwuskładnikowe dla każdego konta. Wyznaczenie osób, zwykle zarządzeniem kierownika, zostaje po stronie jednostki. Dajemy wzór zarządzenia w sprawie BIP.
§ 16
Dziennik zmian, także prób nieuprawnionych zmian
Dziennik zmian to pełny, automatyczny zapis wszystkich operacji dla administratora jednostki. Rejestr zmian to część widoczna dla czytelnika przy każdej informacji: data, osoba i zakres każdej zmiany oraz poprzednie wersje. Gdy zmiana dotyczy danych osobowych albo wyłączenia jawności (art. 8 ust. 5 ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej), w poprzedniej wersji ukryty jest tylko ten fragment, z adnotacją: zakres, podstawa prawna, osoba. Reszta wersji zostaje publiczna, a wpisu o zmianie nie da się usunąć. Jeśli dane zostały usunięte zwykłą edycją, administrator może później ukryć ten fragment w poprzedniej wersji, także z adnotacją, a ten krok trafia do dziennika zmian. Administrator dostaje codzienne podsumowanie, a sam przegląd dziennika w każdy dzień powszedni i jego zapis (np. rejestr przeglądów ze wzoru zarządzenia) należą do jednostki.
§ 17
Ochrona przed zniszczeniem i zmianą przez osoby nieuprawnione
Uprawnienia według ról, logowanie dwuskładnikowe i logi działań administracyjnych.
§ 18
Kopia na odrębnym nośniku najpóźniej dzień po zmianie
Kopia codzienna w drugiej, odrębnej lokalizacji. Odtworzenie z kopii testujemy regularnie, w odstępach zapisanych w umowie.
§ 19
Ochrona przed spowalnianiem i blokowaniem dostępu
Gdy ktoś zasypuje BIP masowym ruchem, żeby go zablokować (atak DDoS), filtr odcina ten ruch, a mieszkańcy dalej czytają.
§ 20-21
BIP działa przez całą dobę, po awarii najwyżej 24 godziny przerwy
Przez całą dobę automatycznie sprawdzamy, czy BIP działa. Procedura odtworzenia jest zapisana w umowie.

Dane osobowe: dwie sprawy, za które płaci się kary

Umowa powierzenia z dostawcą BIP

Dostawca BIP i hostingu przetwarza dane w imieniu jednostki, więc art. 28 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) wymaga umowy powierzenia.

Aleksandrów Kujawski, 40 000 zł. Prezes UODO ukarał burmistrza (2019, kara utrzymana przez NSA 28 lutego 2024 r.) m.in. za brak umowy powierzenia z hostingodawcą i dostawcą oprogramowania BIP, za oświadczenia majątkowe publikowane dłużej niż 6 lat i za transmisje sesji tylko na YouTube bez analizy ryzyka.

W Polskim BIP: umowa powierzenia w standardzie oferty, z listą dalszych podmiotów przetwarzających (podprocesorów) i lokalizacją danych.

Anonimizacja przed publikacją

Dane trzeba usunąć z tekstu, a nie zakryć nakładką. Trzeba też wyczyścić metadane PDF i dodać adnotację z art. 8 ust. 5 ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej.

Myślenice, 7 700 zł. Kara za niezanonimizowaną petycję z danymi 749 osób (komunikat UODO z 25 maja 2026 r.).

W 2026 r. kontrole sektorowe UODO obejmują BIP gmin i powiatów, w tym anonimizację i sesje rady. Co ukryć w oświadczeniach majątkowych i kiedy je zdjąć: oświadczenia majątkowe i RODO w BIP.

W standardzie: Przy ukryciu fragmentu system wymaga zakresu, podstawy prawnej i osoby, która wyłączyła jawność.
W przygotowaniu: Asystent anonimizacji: wykrywa numery PESEL, adresy, numery ksiąg wieczystych i podpisy, usuwa je trwale z warstwy tekstowej.

Cyberbezpieczeństwo (KSC i NIS2): czego ustawa oczekuje od dostawcy BIP

Urzędy gmin, szkoły, przedszkola, OPS i biblioteki podlegają ustawie z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (KSC). Obejmuje je nowelizacja z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252), w mocy od 3 kwietnia 2026 r. Urząd od 50 etatów jest podmiotem kluczowym, mniejsze jednostki są podmiotami ważnymi.

System zarządzania bezpieczeństwem informacji ma działać do 3 kwietnia 2027 r. Kary stosuje się co do zasady od 3 kwietnia 2028 r. Kierownik jednostki odpowiada osobiście. Jednostka musi ocenić ryzyko u swoich dostawców, więc pytania trafią też do dostawcy BIP.

W czerwcu 2024 r. Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa odradził SmodBIP i MegaBIP, a we wrześniu 2025 r. CERT Polska opisał krytyczne podatności PAD CMS. Przeniesienie BIP z tych systemów.

Ocena ryzyka dostawcy: Opis zabezpieczeń i ankieta dostawcy w pakiecie dla informatyka i inspektora ochrony danych (niżej).
Uwierzytelnianie wieloskładnikowe: Logowanie dwuskładnikowe redaktorów i administratorów.
Logi: Rejestr działań administracyjnych, oprócz dziennika zmian z § 16.
Zgłaszanie incydentów: Informujemy jednostkę o incydencie niezwłocznie, w terminie zapisanym w umowie, żeby mogła złożyć wczesne ostrzeżenie (24 godziny) i zgłoszenie (72 godziny).
Ciągłość działania: Plan ciągłości działania i procedura odtworzenia po awarii.
Plan wyjścia: Cały BIP do pobrania w każdej chwili, także dziennik zmian, i zasady odejścia zapisane w umowie.

Bez śledzenia, z jasnym dostępem do danych i wyjściem

Gdzie są dane

W Polsce lub w Europejskim Obszarze Gospodarczym. Dokładna lokalizacja jest wskazana w umowie powierzenia.

Dostęp dostawcy do danych

Zobowiązanie w umowie: nasz pracownik wchodzi do BIP jednostki tylko w zgłoszonej sprawie albo przy awarii. Każde wejście trafia do dziennika, który widzi administrator jednostki.

Cały BIP do pobrania i zasady odejścia

W każdej chwili pobierasz cały BIP: HTML, JSON, załączniki i dziennik zmian. BIP działa w Twojej domenie, a zasady odejścia są w umowie. Po zakończeniu umowy usuwamy dane i kopie w terminie z umowy powierzenia i potwierdzamy to pisemnie.

Wszystkie wymogi w jednym miejscu: wymagania BIP i zgodność z przepisami. Pozostałe funkcje: funkcje BIP.

Pakiet dla informatyka i inspektora ochrony danych

Przed podpisaniem umowy Twój informatyk i inspektor ochrony danych dostają dokumenty, na podstawie których ocenią nas jako dostawcę:

opis zabezpieczeń (art. 32 RODO),
umowa powierzenia z listą dalszych podmiotów przetwarzających (art. 28 RODO),
ankieta dostawcy pod ustawę o krajowym systemie cyberbezpieczeństwa,
opis przetwarzania do rejestru czynności przetwarzania (art. 30 RODO),
procedura obsługi incydentów,
instrukcja podłączenia domeny i certyfikatu,
plan wyjścia.

Poproś o pakiet

Znalazłeś podatność w Polskim BIP? Kanał zgłoszeń opisuje plik security.txt, a zgłoszenie możesz wysłać na [email protected].

Najczęstsze pytania

Czy dostawca BIP musi mieć z jednostką umowę powierzenia?

Tak. Dostawca oprogramowania BIP i hostingu przetwarza dane osobowe w imieniu jednostki, więc potrzebna jest umowa powierzenia z art. 28 RODO. Jej brak był jedną z przyczyn kary 40 000 zł nałożonej przez Prezesa UODO na burmistrza Aleksandrowa Kujawskiego (2019, utrzymana przez NSA 28 lutego 2024 r.). W Polskim BIP umowa powierzenia jest w standardzie oferty, z listą dalszych podmiotów przetwarzających.

Jak poprawnie zanonimizować dokument przed publikacją w BIP?

Dane trzeba usunąć z tekstu, a nie zakryć czarnym prostokątem, bo nakładkę da się zdjąć, a tekst pod nią skopiować. Trzeba też wyczyścić metadane pliku PDF. Przy usuniętym fragmencie podaje się zakres, podstawę prawną i osobę, która wyłączyła jawność (art. 8 ust. 5 ustawy o dostępie do informacji publicznej). Adnotację Polski BIP wymusza już dziś. Asystent anonimizacji jest w przygotowaniu.

Czy BIP potrzebuje banera cookies?

Nie, jeśli używa wyłącznie plików niezbędnych do działania strony. Art. 399 ustawy z dnia 12 lipca 2024 r. - Prawo komunikacji elektronicznej wymaga zgody na pozostałe, np. na Google Analytics. Polski BIP nie używa narzędzi śledzących, więc baner nie jest potrzebny.

Czy szkoła lub OPS podlega ustawie o krajowym systemie cyberbezpieczeństwa?

Tak. Po nowelizacji z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252, w mocy od 3 kwietnia 2026 r.) szkoły, przedszkola, OPS i biblioteki są podmiotami ważnymi, a urząd gminy od 50 etatów podmiotem kluczowym. System zarządzania bezpieczeństwem informacji ma działać do 3 kwietnia 2027 r. Ustawa wymaga oceny ryzyka dostawców, także dostawcy BIP.

Gdzie są przechowywane dane BIP?

W Polsce lub w Europejskim Obszarze Gospodarczym. Dokładną lokalizację wskazujemy w umowie powierzenia, razem z listą dalszych podmiotów przetwarzających.

Poproś o ofertę z opisem zabezpieczeń

Wyślemy ofertę w PDF, wzór umowy, umowę powierzenia i opis zabezpieczeń dla informatyka i inspektora ochrony danych.

Poproś o ofertę Zobacz demo BIP