Zawonia zgłosiła incydent do UODO, ale nie zna liczby pobrań
Gmina Zawonia potwierdziła, że zgłosiła do Prezesa Urzędu Ochrony Danych Osobowych incydent związany z dokumentacją przetargu na budowę ścieżki rowerowej między Zawonią a Złotówkiem. Urząd nie wskazał jednak, kiedy dokładnie wysłał zgłoszenie, ile razy pobrano dokumenty ani kto osobiście odpowiadał za ich publikację.
Sprawa dotyczy postępowania GPI.PZP.10.2025 pod nazwą „Budowa ścieżki rowerowej w ciągu drogi powiatowej nr 1371D pomiędzy miejscowościami Zawonia i Złotówek”. Postępowanie prowadzone było przez Gminę Zawonia na publicznej platformie zakupowej.
Radio DTR informowało wcześniej, że w opublikowanej dokumentacji miały znajdować się uproszczone wypisy z rejestru gruntów zawierające dane mieszkańców, w tym imiona, nazwiska, adresy, numery PESEL oraz numery ksiąg wieczystych. Dokumenty były dostępne w internecie przez wiele miesięcy.
Teraz urząd oficjalnie potwierdził, że sprawa została zgłoszona organowi nadzorczemu.
Gmina zgłosiła sprawę do UODO
W odpowiedzi przesłanej 15 lipca 2026 roku sekretarz Gminy Zawonia Wojciech Hoffman poinformował, że urząd „dopełnił obowiązków nałożonych przepisami ogólnego rozporządzenia o ochronie danych” i przekazał zgłoszenie za pomocą elektronicznego formularza do Prezesa UODO.
Urząd twierdzi jednocześnie, że nie posiada kopii przesłanego zgłoszenia, a jedynie jego elektroniczne potwierdzenie. Potwierdzenia tego nie załączono jednak do odpowiedzi udzielonej redakcji.
Nie podano również dokładnej daty i godziny przesłania zgłoszenia.
To istotna informacja, ponieważ administrator danych powinien zgłosić naruszenie bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od jego stwierdzenia. Bez daty zgłoszenia nie można zweryfikować, czy termin ten został zachowany.
Urząd dowiedział się 13 maja
Gmina poinformowała, że czynności związane z identyfikacją zdarzenia oraz modyfikacją dokumentów na platformie zakupowej podjęto 13 maja 2026 roku.
Oznacza to, że tego dnia urząd — według własnego stanowiska — powziął informację o incydencie i rozpoczął zmienianie opublikowanej dokumentacji.
Nie wiadomo jednak, czy 13 maja był pierwszym dniem, w którym ktokolwiek w urzędzie mógł wiedzieć o problemie, czy jedynie dniem jego formalnego potwierdzenia.
Nie ujawniono też:
- kto zawiadomił urząd o dokumentach;
- kto dokonał pierwszej oceny incydentu;
- kto zdecydował o usunięciu lub podmianie załączników;
- o której godzinie ograniczono publiczny dostęp do danych.
ilustracja do artykułu wyciek danych mieszkańców z przetarguNie wiadomo, ile razy pobrano dokumenty
Jedno z najważniejszych pytań dotyczyło liczby pobrań dokumentów zawierających dane mieszkańców.
Gmina odpowiedziała, że wykorzystywana platforma zakupowa nie ma funkcji umożliwiającej rejestrowanie ani zliczanie liczby pobrań. W konsekwencji urząd nie posiada takich informacji.
Ta odpowiedź nie rozstrzyga jednak, czy operator platformy posiada inne dane techniczne, na przykład logi połączeń, zapisy żądań kierowanych do serwera albo informacje pozwalające przynajmniej częściowo ustalić skalę dostępu do dokumentów.
Nie wiadomo również, czy Gmina Zawonia zwróciła się do administratora technicznego platformy o zabezpieczenie istniejących logów.
To szczególnie ważne, ponieważ przy przedłużaniu terminu odpowiedzi urząd informował, że konieczna jest „szczegółowa weryfikacja danych pozyskanych z elektronicznej platformy przetargowej”, której obsługę techniczną i administracyjną prowadzi podmiot zewnętrzny.
Po ponad dwóch miesiącach redakcja otrzymała jednak tylko informację, że platforma nie zlicza pobrań.
Kto odpowiadał? „Właściwe komórki”
Radio DTR zapytało również, kto odpowiadał za opublikowanie dokumentacji i kto podejmował decyzje o jej zmianie po ujawnieniu problemu.
Urząd nie wskazał nazwiska, stanowiska ani nawet konkretnego referatu. W odpowiedzi zapisano jedynie, że za przebieg postępowania, publikację dokumentów oraz wprowadzanie zmian odpowiadają „właściwe komórki merytoryczne Urzędu Gminy Zawonia, działające w granicach przyznanych uprawnień i upoważnień”.
To odpowiedź ogólna, która nie pozwala ustalić faktycznego przebiegu procesu publikacyjnego.
Dokumenty nie trafiają przecież na platformę samodzielnie. Ktoś je przygotowuje, ktoś przekazuje do zamieszczenia, ktoś publikuje, a często ktoś inny powinien wcześniej sprawdzić ich zawartość.
W odpowiedzi gminy odpowiedzialność rozmywa się jednak w bezosobowym określeniu „właściwe komórki”.
Dodatkowa kontrola dopiero po incydencie
Gmina przekazała, że po zdarzeniu wprowadzono dodatkową weryfikację dokumentów przeznaczonych do publikacji na platformach teleinformatycznych.
Ma ona ograniczyć ryzyko wystąpienia podobnych przypadków w przyszłości. Po zakończeniu postępowania przed Prezesem UODO urząd nie wyklucza wdrożenia dalszych rozwiązań organizacyjnych i technicznych.
To ważna deklaracja, ale rodzi kolejne pytanie: jakie procedury kontrolne obowiązywały wcześniej?
Skoro konieczne było wprowadzenie „dodatkowej weryfikacji”, można wnioskować, że dotychczasowy mechanizm sprawdzania dokumentów okazał się niewystarczający. Nie oznacza to jeszcze automatycznie odpowiedzialności konkretnego pracownika, ale wskazuje na problem organizacyjny, który powinien zostać szczegółowo wyjaśniony.
Gdzie jest dokumentacja incydentu?
RODO zobowiązuje administratora do dokumentowania każdego naruszenia ochrony danych. Dokumentacja powinna obejmować okoliczności zdarzenia, jego skutki oraz działania podjęte w celu ograniczenia szkód. Musi też umożliwiać organowi nadzorczemu sprawdzenie, czy administrator właściwie wykonał swoje obowiązki.
Radio DTR zwróciło się o przekazanie kopii raportu, wyjaśnień lub dokumentacji sporządzonej w związku z incydentem.
Gmina nie przekazała takiego materiału. Nie wyjaśniła także, czy sporządzono:
- wewnętrzny raport z naruszenia;
- analizę ryzyka dla mieszkańców;
- protokół z postępowania wyjaśniającego;
- rejestr osób mających dostęp do dokumentów;
- opis środków podjętych po wykryciu zdarzenia.
Nie można na tej podstawie twierdzić, że dokumentacja nie istnieje. Można natomiast stwierdzić, że nie została redakcji udostępniona, a odpowiedź urzędu nie opisuje jej zawartości.
Czy mieszkańcy zostali powiadomieni?
Odpowiedź gminy nie wyjaśnia również, czy osoby, których dane znalazły się w dokumentacji, zostały indywidualnie powiadomione o incydencie.
Jeżeli naruszenie może powodować wysokie ryzyko dla praw lub wolności osób fizycznych, administrator powinien bez zbędnej zwłoki zawiadomić osoby, których dane dotyczą.
W orzecznictwie UODO wskazywano, że ujawnienie łącznie imienia, nazwiska i numeru PESEL może wiązać się między innymi z ryzykiem kradzieży lub sfałszowania tożsamości.
Nie przesądza to jeszcze, że w sprawie Zawoni obowiązek indywidualnego zawiadomienia mieszkańców bezwzględnie powstał. Ocena zależy od dokładnego zakresu ujawnionych danych, liczby osób, czasu dostępności dokumentów i innych okoliczności.
Gmina powinna jednak jasno odpowiedzieć, czy przeprowadziła taką analizę i jaki był jej wynik.
Sprawę oceni Prezes UODO
Urząd poinformował, że sprawa pozostaje przedmiotem postępowania prowadzonego przez Prezesa UODO.
Dopiero organ nadzorczy będzie mógł ocenić, czy gmina:
- właściwie zabezpieczyła dane;
- odpowiednio szybko zareagowała;
- terminowo zgłosiła incydent;
- prawidłowo oszacowała zagrożenie dla mieszkańców;
- właściwie udokumentowała zdarzenie;
- powinna była indywidualnie zawiadomić osoby objęte naruszeniem.
Na obecnym etapie nie można przesądzać wyniku tego postępowania ani odpowiedzialności poszczególnych osób.
Można jednak już dziś powiedzieć, że odpowiedź Gminy Zawonia pozostawia wiele podstawowych pytań bez odpowiedzi.
Urząd potwierdził zgłoszenie incydentu, ale nie podał daty jego wysłania. Potwierdził zmianę dokumentów, ale nie wskazał osób odpowiedzialnych. Przyznał, że nie zna liczby pobrań, ale nie wyjaśnił, czy zabezpieczono jakiekolwiek dane techniczne.
Mieszkańcy nadal nie wiedzą więc, jak długo ich dane były dostępne, kto mógł je pobrać i jakie realne działania podjęto w celu ochrony osób objętych zdarzeniem.
A w sprawach dotyczących danych osobowych stwierdzenie „nie wiemy, kto pobrał” nie zamyka problemu. Ono dopiero pokazuje jego skalę.
Więcej z Zawonia
Czytaj dalej
Ten temat ma ciąg dalszy
Wybraliśmy teksty, które naturalnie prowadzą czytelnika dalej.
