Dziś wójt Zawoni odpowiada już osobiście

Oceń materiał

Radio DTR czyta:

—

Gotowy do czytania

PESEL-e mieszkańców wisiały miesiącami.

Dane mieszkańców były publiczne przez siedem miesięcy

To miała być zwykła dokumentacja przetargowa dotycząca budowy ścieżki rowerowej między Zawonią a Złotówkiem. Tymczasem sprawa zaczyna przeradzać się w jeden z najpoważniejszych kryzysów dotyczących bezpieczeństwa danych w lokalnym samorządzie.

Gmina Zawonia oficjalnie potwierdziła, że w dokumentach opublikowanych na platformie zakupowej Open Nexus ujawniono numery PESEL mieszkańców.

Reklama

Jak wynika z oświadczenia podpisanego przez wójt Agnieszkę Werstę, problem dotyczył 32 osób.

Dane miały być dostępne publicznie od października 2025 roku aż do maja 2026 roku.

Przez około siedem miesięcy.

To nie był „chwilowy błąd”

W oficjalnym komunikacie urząd tłumaczy sprawę „błędem ludzkim”.

Tyle że coraz trudniej mówić o pojedynczej pomyłce, gdy:

dokumenty wiszą publicznie przez wiele miesięcy,
nikt ich wcześniej nie kontroluje,
mieszkańcy nie wiedzą o wycieku,
a reakcja następuje dopiero po medialnym nagłośnieniu sprawy.

Jeszcze bardziej niepokojące jest to, co wydarzyło się później.

Załącznik nagle zmienił treść

Redakcja przeanalizowała dokumentację postępowania GPI.PZP.10.2025 dotyczącą budowy ścieżki rowerowej.

Na platformie nadal widnieje:
„Zał nr 12 do SWZ – Oświadczenie o aktualności informacji.docx”.

Problem polega na tym, że obecna zawartość pliku dotyczy już zupełnie innego przetargu — zakupu samochodu do przewozu niepełnosprawnych uczniów dla szkoły w Zawoni.

Nazwa załącznika pozostała ta sama.
Oznaczenie postępowania również.

Zmieniła się treść.

I właśnie to może być dziś jednym z najpoważniejszych wątków całej sprawy.

Dokumentacji przetargowej nie powinno się „nadpisywać”

Eksperci od zamówień publicznych od lat podkreślają, że dokumentacja przetargowa ma charakter archiwalny i dowodowy.

To oznacza, że:

nie powinno się podmieniać plików,
zmieniać ich zawartości bez śladu,
ani nadpisywać dokumentów po czasie.

Każda modyfikacja powinna pozostawiać historię zmian lub formalny komunikat.

Tymczasem tutaj mieszkańcy i osoby analizujące sprawę zauważyły sytuację wyjątkowo nietypową:

ten sam załącznik,
ta sama nazwa,
ale inna treść.

Pojawia się więc pytanie:
czy po ujawnieniu afery ktoś próbował „uprzątnąć” problem w dokumentacji?

Reklama

ReklamaType your text here

Reklama

A teraz wchodzi nowe prawo

I właśnie tutaj sprawa robi się naprawdę poważna dla władz gminy.

W marcu 2026 roku weszła w życie nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa wdrażająca unijną dyrektywę NIS2.

Nowe przepisy po raz pierwszy tak mocno akcentują odpowiedzialność kierowników jednostek publicznych za bezpieczeństwo systemów informacyjnych i danych.

Ustawa definiuje wprost:
„kierownika podmiotu kluczowego lub podmiotu ważnego” jako osobę kierującą jednostką sektora finansów publicznych.

W praktyce oznacza to, że odpowiedzialność nie kończy się już na:

urzędniku,
pracowniku,
czy „błędzie ludzkim”.

Za system bezpieczeństwa odpowiada kierownictwo jednostki.

Czyli w tym przypadku — wójt.

Koniec tłumaczenia „to informatyk wrzucił plik”

Nowelizacja ustawy została przygotowana właśnie po to, aby wymusić realny nadzór nad cyberbezpieczeństwem i ochroną danych.

Nowe przepisy mówią m.in. o:

odporności systemów informacyjnych,
ochronie poufności danych,
reagowaniu na incydenty,
obowiązkach nadzorczych,
i odpowiedzialności podmiotów publicznych.

To oznacza, że dziś pytanie nie brzmi już wyłącznie:
„kto wrzucił plik?”

Coraz ważniejsze staje się:

dlaczego nikt tego nie kontrolował przez siedem miesięcy,
kto odpowiadał za nadzór,
oraz dlaczego po nagłośnieniu sprawy zmieniła się zawartość dokumentacji.

Sprawa może dopiero się zaczynać

Urząd poinformował, że wdrożono już „mechanizm podwójnej weryfikacji dokumentów”. To jednak rodzi kolejne pytanie:
dlaczego taki mechanizm nie istniał wcześniej?

Bo dziś problemem nie jest już wyłącznie wyciek PESEL-i.

Problemem staje się również:

sposób reakcji urzędu,
integralność dokumentacji,
oraz możliwe manipulowanie zawartością załączników po wybuchu afery.

A to może zainteresować nie tylko UODO.

Ale również instytucje kontrolujące zamówienia publiczne i cyberbezpieczeństwo w samorządach.

Podstawą prawną wniosku są przepisy:

ustawy z dnia 14 czerwca 2024 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (wdrożenie dyrektywy NIS2),
ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa,
oraz art. 61 Konstytucji RP i ustawy o dostępie do informacji publicznej.

Nowe przepisy obowiązujące od 2026 roku wzmacniają odpowiedzialność kierowników jednostek samorządu terytorialnego za bezpieczeństwo systemów informacyjnych oraz ochronę danych osobowych.