Czy można udostępnić dokumenty po incydencie cyberbezpieczeństwa? Praktyczny przewodnik dla JST

Atak ransomware w urzędzie, wyciek danych osobowych, awaria systemu IT - każdy taki incydent rodzi pytania ze strony mediów, obywateli i organizacji pozarządowych. Czy podmiot publiczny może odmówić udostępnienia dokumentów związanych z naruszeniem? Odpowiedź brzmi: to zależy od tego, o jakie konkretnie informacje chodzi.

Co mówi prawo?

Kluczowy dla tej kwestii jest art. 37 ust. 1 ustawy o krajowym systemie cyberbezpieczeństwa. Ten przepis wprost wyłącza stosowanie ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej do informacji o podatnościach, incydentach i zagrożeniach cyberbezpieczeństwa. Brzmi jak całkowita odmowa? Nie do końca. W praktyce trzeba rozróżnić informacje o faktach od szczegółów technicznych.

Orzecznictwo sądów administracyjnych z ostatnich lat konsekwentnie wskazuje, że dokumenty techniczne bezpieczeństwa - rejestry RODO, dokumentacja SZBI, protokoły audytów - nie są informacją publiczną. Jednocześnie sądy wymagają, by każda odmowa była szczegółowo uzasadniona, a tam gdzie to możliwe, dane osobowe należy zanonimizować i udostępnić dokument częściowo.

Co można, a czego nie można udostępnić?

Informacje do udostępnienia (bez ograniczeń)

• Fakt wystąpienia incydentu i datę jego wykrycia.
• Ogólną kategorię naruszenia (poufność, integralność, dostępność).
• Liczbę osób dotkniętych naruszeniem w sposób zagregowany (“100-1000 osób”).
• Kategorie naruszonych danych w ujęciu ogólnym (“dane kontaktowe”, “dane identyfikacyjne”).
• Fakt zgłoszenia do UODO, policji czy CERT Polska (o samym obowiązku zgłoszenia piszę w omówieniu poradnika UODO).
• Ogólny opis podjętych działań naprawczych.

Informacje wymagające anonimizacji

• Dane osobowe pracowników obsługujących incydent.
• Dane osób, których naruszenie dotyczyło (o anonimizacji przy publikacji nagrań z obrad piszę w osobnym wpisie: Nagrywanie i transmisje z posiedzeń w JST).
• Dane kontaktowe inspektora ochrony danych.
• Ogólne wnioski z analiz ryzyka (bez szczegółów technicznych).

Ważne: organ sam musi przeprowadzić anonimizację - nie może odmówić udostępnienia, tłumacząc się czasochłonnością tego procesu. Potwierdził to wyrok WSA w Warszawie, który nałożył karę 20 000 zł na prokuraturę za udostępnienie dokumentów bez uprzedniej anonimizacji.

Informacje podlegające całkowitej odmowie

• Pełna dokumentacja SZBI (polityki, procedury, instrukcje).
• Protokoły audytów bezpieczeństwa.
• Szczegółowe analizy ryzyka i oceny skutków (DPIA).
• Korespondencja z UODO zawierająca szczegóły zgłoszenia.
• Plany ciągłości działania i odtwarzania po katastrofie.
• Szczegóły techniczne podatności i konfiguracji systemów.

Dlaczego to ma sens?

Wyobraźmy sobie, że udostępniamy protokół audytu bezpieczeństwa. Taki dokument zawiera kompletną mapę naszych słabości: jakie systemy są podatne, które zabezpieczenia nie działają, co wymaga poprawy. To byłby prezent dla potencjalnych atakujących. Z tego powodu art. 15 ust. 7 ustawy o KSC wprost określa, że sprawozdanie z audytu może otrzymać tylko jeden z trzech podmiotów: organ ds. cyberbezpieczeństwa, Dyrektor RCB lub Szef ABW - i to tylko na uzasadniony wniosek.

Jak to wygląda w praktyce?

Podobny schemat komunikacji zastosowało MPK Kraków po ataku w grudniu 2024 r.. Gdy w lutym 2021 roku Urząd Marszałkowski Województwa Małopolskiego padł ofiarą ataku ransomware, opublikowano komunikat zawierający: datę incydentu, fakt zawiadomienia UODO i służb, ogólne kategorie dotkniętych osób oraz podjęte działania naprawcze. Nie ujawniono jednak szczegółów technicznych ataku. To wzorcowe podejście - transparentność co do faktów przy ochronie szczegółów technicznych.

Jak uzasadnić odmowę?

Jeśli odmawiacie udostępnienia dokumentacji SZBI, nie wystarczy napisać “dokument wewnętrzny” czy “bezpieczeństwo”. Należy wskazać konkretnie:

• Jakie kategorie informacji są chronione (podatności, zagrożenia, dane osobowe)?
• Jaki przepis wyłącza udostępnienie (art. 37 ust. 1 ustawy o KSC)?
• Dlaczego anonimizacja nie wystarczy (dokument zawiera szczegóły techniczne)?
• Jaki interes publiczny chroni odmowa (bezpieczeństwo systemów)?

Podsumowanie

W dobie rosnącej liczby cyberataków (Polska była globalnym liderem w I połowie 2025 roku z 6% światowych ataków ransomware) transparentność jest kluczowa dla zaufania publicznego. Obywatele mają prawo wiedzieć, że incydent wystąpił i jakie były jego skutki. Nie mają jednak prawa do wiedzy technicznej, która mogłaby ułatwić kolejne ataki.

Złota zasada: informujcie o faktach, chrońcie szczegóły techniczne, zawsze anonimizujcie dane osobowe.

Najczęściej zadawane pytania

Czy urząd musi udostępnić dokumentację dotyczącą incydentu cyberbezpieczeństwa na wniosek o informację publiczną?

Zależy od rodzaju informacji. Fakty - data incydentu, ogólna kategoria naruszenia, zagregowana liczba dotkniętych osób, fakt zgłoszenia do UODO czy CERT Polska - podlegają udostępnieniu bez ograniczeń. Dokumenty techniczne, takie jak pełna dokumentacja SZBI, protokoły audytów bezpieczeństwa czy szczegółowe DPIA, podlegają całkowitej odmowie na podstawie art. 37 ust. 1 ustawy o krajowym systemie cyberbezpieczeństwa.

Kto ponosi obowiązek anonimizacji danych osobowych przed udostępnieniem dokumentów o incydencie?

To organ udostępniający dokument musi sam przeprowadzić anonimizację - nie może odmówić udostępnienia, tłumacząc się czasochłonnością tego procesu. Potwierdził to wyrok WSA w Warszawie, który nałożył karę 20 000 zł na prokuraturę za udostępnienie dokumentów bez uprzedniej anonimizacji danych osobowych.

Jak prawidłowo uzasadnić odmowę udostępnienia dokumentacji bezpieczeństwa?

Nie wystarczy ogólnikowe stwierdzenie „dokument wewnętrzny” czy „bezpieczeństwo”. Trzeba wskazać konkretne kategorie chronionych informacji (podatności, zagrożenia, dane osobowe), przepis wyłączający udostępnienie (art. 37 ust. 1 ustawy o KSC), wyjaśnić, dlaczego anonimizacja nie wystarczy, oraz jaki interes publiczny chroni odmowa.

Źródła

• Ustawa z 6 września 2001 r. o dostępie do informacji publicznej
• Ustawa z 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa

Stan prawny na dzień publikacji: 21.10.2025. Wpis nie był od tego czasu weryfikowany pod kątem zmian w przepisach. Wpis jest informacją ogólną, nie poradą prawną (zasady publikacji).