§ 16 rozporządzenia wymaga dziennika zmian, czyli pełnego, automatycznego zapisu dla administratora, także prób nieuprawnionych zmian. Rejestr zmian to jego część publiczna, widoczna przy każdej informacji. Zgodnie z § 16 rozporządzenia MSWiA z dnia 18 stycznia 2007 r. w sprawie Biuletynu Informacji Publicznej dziennik musi zapisywać zmiany samoczynnie (bez udziału redaktora) i rejestrować także próby nieuprawnionych zmian. Administrator ma obowiązek przeglądać go w każdy dzień powszedni. Rejestr nie jest więc ozdobą strony, tylko jednym z wymogów technicznych i organizacyjnych, o które może zapytać kontrola.
Co wynika z § 16 rozporządzenia
Przepis zawiera trzy obowiązki:
- Automatyzm. Wpisy powstają same przy każdej operacji. Ręcznie prowadzona tabela w Wordzie czy arkuszu nie spełnia wymogu.
- Próby nieuprawnionych zmian. Dziennik zapisuje nie tylko udane zmiany, ale też nieudane próby, np. nieudane logowania, próby edycji bez uprawnień czy odrzucone żądania.
- Przegląd w każdy dzień powszedni. Administrator sprawdza dziennik w każdy dzień powszedni, żeby szybko zauważyć nieuprawnioną zmianę.
Ten paragraf współpracuje z innymi przepisami rozporządzenia: § 15 (imiennie wyznaczeni redaktorzy i uwierzytelnianie), § 17 (zabezpieczenie przed zniszczeniem lub zmianą przez osoby nieuprawnione) i § 18 (kopia bezpieczeństwa na odrębnym nośniku najpóźniej dzień po zmianie). Rejestr zmian pokazuje, co się stało, a kopia pozwala to odwrócić.
Rejestr zmian a metryczka
Te dwa pojęcia są często mylone.
| Metryczka | Rejestr zmian | |
|---|---|---|
| Podstawa | art. 8 ust. 6 ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej | § 16 rozporządzenia MSWiA w sprawie BIP |
| Czego dotyczy | jednej informacji | wszystkich operacji w systemie |
| Co zawiera | podmiot, autor, osoba wprowadzająca, czas wytworzenia i udostępnienia | data i godzina, osoba, rodzaj operacji, obiekt, poprzednia wersja, nieudane próby |
| Kto widzi | każdy czytelnik | administrator całość; czytelnik datę, osobę i zakres zmian oraz poprzednie wersje, w których fragment z danymi osobowymi albo wyłączony z jawności jest ukryty z adnotacją |
Art. 8 ust. 6 UDIP wymaga „możliwości identyfikacji rzeczywistego czasu udostępnienia” informacji. Sama metryczka tego nie zapewni, jeśli redaktor może ją edytować. Dopiero rejestr zmian, którego nie da się poprawić ręcznie, pozwala ustalić, kiedy informacja naprawdę się pojawiła i co w niej później zmieniono. O samej metryczce piszemy w tekście Metryczka w BIP.
Co powinien zapisywać dobry rejestr
Rozporządzenie nie podaje listy pól, ale żeby dziennik był użyteczny przy kontroli albo w sporze o termin publikacji, każdy wpis powinien zawierać:
- datę i godzinę z dokładnością co najmniej do minuty, z zegara serwera,
- imię i nazwisko (lub jednoznaczny identyfikator) osoby, która wykonała operację,
- rodzaj operacji: dodanie, edycja, przeniesienie do archiwum, usunięcie, zmiana uprawnień,
- obiekt: której informacji lub którego załącznika dotyczy zmiana,
- poprzednią wersję treści albo możliwość jej odtworzenia,
- dla prób nieuprawnionych: czas, konto lub adres, z którego nastąpiła próba, i jej rodzaj.
Rejestr powinien być odporny na edycję. Jeśli administrator może usunąć wpisy, dziennik traci wartość dowodową. Takie podejście jest też zgodne z zasadą rozliczalności z rozporządzenia Rady Ministrów z 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności.
Publiczny rejestr przy każdej informacji
Wiele BIP-ów pokazuje pod każdą informacją przycisk „Rejestr zmian” z listą wersji. To dobra praktyka, która pozwala mieszkańcowi sprawdzić, czy ogłoszenie o naborze nie zostało zmienione po terminie, a urzędowi wykazać, że niczego nie ukrywa. Część techniczna (logowania, próby włamań, zmiany uprawnień) powinna pozostać dostępna tylko dla administratora. Dla porządku warto rozróżniać nazwy: dziennik zmian to pełny zapis z § 16 dla administratora, a rejestr zmian to jego część widoczna dla czytelnika przy informacji.
Uwaga na dane osobowe. Jeśli redaktor poprawił dokument, bo usunął z niego PESEL, adres albo inny fragment objęty wyłączeniem jawności (art. 8 ust. 5 ustawy o dostępie do informacji publicznej), publiczna poprzednia wersja ujawniłaby właśnie to, co usunięto. Nie trzeba jednak ukrywać całej poprzedniej wersji. Wystarczy ukryć ten fragment i opatrzyć go adnotacją: zakres, podstawa prawna, osoba. Reszta poprzedniej wersji zostaje publiczna, a wpisu o zmianie nie da się usunąć, więc mieszkaniec widzi, że i kiedy coś ukryto. Pełna wersja zostaje tylko w dzienniku dla administratora jednostki.
Codzienny przegląd: jak to zorganizować
Obowiązek przeglądu w każdy dzień powszedni bywa w praktyce martwy, bo nikt nie wie, na co patrzeć. Wystarczy prosta procedura na kilka minut dziennie.
Kto: administrator BIP wskazany w dokumentacji, z zastępcą na czas nieobecności.
Na co patrzeć:
- zmiany wprowadzone poza godzinami pracy lub w dni wolne,
- zmiany z kont osób, które są na urlopie albo już nie pracują,
- seria nieudanych logowań na jedno konto,
- usunięcia informacji, zwłaszcza uchwał, ogłoszeń i wyników naborów,
- zmiany uprawnień i nowe konta redaktorów.
Co zapisać: datę przeglądu i krótką adnotację „bez uwag” albo opis podjętych działań. Ta notatka to dowód, że obowiązek z § 16 jest wykonywany.
Jeśli system sam wysyła codzienne podsumowanie zmian na skrzynkę administratora, przegląd sprowadza się do przeczytania jednej wiadomości.
Rejestr zmian a bezpieczeństwo i KSC
Nieuprawniona zmiana w BIP może być incydentem bezpieczeństwa. Od 3 kwietnia 2026 r. obowiązuje nowelizacja ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Według niej szkoły, przedszkola, ośrodki pomocy społecznej i biblioteki są podmiotami ważnymi, a urząd gminy podmiotem ważnym lub kluczowym (od 50 etatów). Taki podmiot ma 24 godziny na wczesne ostrzeżenie i 72 godziny na zgłoszenie incydentu. Bez rejestru zmian trudno ustalić, kiedy incydent się zaczął i czego dotyczył.
Od dostawców BIP podmioty objęte KSC będą oczekiwać m.in. logów działań administracyjnych, logowania dwuskładnikowego i zgłaszania incydentów do klienta. Więcej na stronie Bezpieczeństwo.
Usuwanie i archiwizacja
Niektóre informacje trzeba zdjąć z BIP, np. oświadczenia majątkowe, które przechowuje się przez 6 lat (art. 24h ust. 6 ustawy z dnia 8 marca 1990 r. o samorządzie gminnym). Każde takie zdjęcie powinno zostawić wpis w rejestrze: kto, kiedy i na jakiej podstawie. Treści, które tylko się zdezaktualizowały (stary regulamin, poprzedni plan finansowy), lepiej przenieść do archiwum. Zachowują wtedy swój adres, metryczkę i historię, a linki w pismach i mediach dalej działają. Archiwum nie zwalnia jednak z terminów publikacji danych osobowych: oświadczenia majątkowe zdejmuje się po 6 latach, a dane z wyników naborów po okresie publikacji (co najmniej 3 miesiące, art. 15 ustawy z dnia 21 listopada 2008 r. o pracownikach samorządowych). Pod dotychczasowym adresem może zostać informacja o zakończeniu publikacji.
Lista kontrolna rejestru zmian
- Dziennik zmian prowadzi się automatycznie, bez udziału redaktora
- Rejestrowane są dodania, edycje, archiwizacje i usunięcia
- Rejestrowane są nieudane logowania i próby zmian bez uprawnień
- Każdy wpis ma datę i godzinę z serwera oraz osobę
- Da się odtworzyć poprzednią wersję treści
- W publicznej poprzedniej wersji ukryty jest tylko fragment z danymi osobowymi, z adnotacją
- Wpisu o zmianie nie da się usunąć, także gdy dotyczy danych osobowych
- Wpisów nie można edytować ani kasować z poziomu panelu
- Każdy redaktor ma własne konto (§ 15), bez wspólnego loginu
- Wskazany administrator i zastępca przeglądają dziennik w każdy dzień powszedni
- Przeglądy są odnotowywane
- Rejestr jest objęty kopią bezpieczeństwa (§ 18)
- Przy zmianie systemu dziennik jest eksportowany i archiwizowany
Rejestr zmian przy przeniesieniu BIP
Przy zmianie dostawcy rejestr zmian ginie najczęściej, bo nie jest „treścią” i nikt go nie zamawia w eksporcie. Poproś starego dostawcę o eksport dziennika (choćby jako plik CSV lub PDF) i przechowuj go razem z dokumentacją BIP. Bez niego nie wykażesz, kiedy opublikowano dokumenty sprzed migracji. Szczegóły w tekście PAD CMS wyłączony: jak bezpiecznie przenieść BIP i na stronie Migracja.
W Polskim BIP rejestr zmian działa automatycznie i wysyła administratorowi codzienne podsumowanie. Czytelnik widzi przy każdej informacji datę, osobę i zakres każdej zmiany oraz poprzednie wersje. Jeśli zmiana dotyczyła danych osobowych albo wyłączenia jawności, w poprzedniej wersji ukryty jest tylko ten fragment, z adnotacją, a pełna wersja zostaje w dzienniku dla administratora jednostki. Możesz to zobaczyć w demo BIP, a listę pozostałych wymogów rozporządzenia znajdziesz na stronie Zgodność z prawem.