Kontrola UODO 2026: czy Twój BIP chroni dane osobowe tak, jak powinien?

Biuletyn Informacji Publicznej to jedno z niewielu miejsc, gdzie dane osobowe trafiają do internetu z mocy prawa – i gdzie błędy są widoczne dla każdego. W 2026 roku UODO ponownie kieruje uwagę właśnie tam. Warto sprawdzić, czy Twoja jednostka jest przygotowana.

Jak wygląda typowy błąd w BIP?

Pracownik urzędu skanuje decyzję administracyjną i wgrywa ją do BIP. Bez dodatkowego sprawdzenia – tak jak zawsze, tak jak robi to od lat.

W dokumencie są: numer PESEL wnioskodawcy, jego adres zamieszkania i odręczny podpis urzędnika.

Od tej chwili te dane są dostępne publicznie. Wyszukiwarki je indeksują. Każdy może je pobrać i skopiować. Nikt nie kontroluje, kto i w jakim celu to robi.

Takie sytuacje zdarzają się regularnie – w urzędach, szkołach, ośrodkach pomocy społecznej. Nie dlatego, że ktoś działa w złej wierze. Najczęściej dlatego, że nikt nigdy nie ustalił, jak ten proces powinien wyglądać.

A właśnie to UODO sprawdza w pierwszej kolejności.

BIP to nie jest zwykła strona internetowa

Biuletyn Informacji Publicznej pełni ważną funkcję – zapewnia obywatelom dostęp do informacji o działalności jednostek publicznych. Szkoły, przedszkola, urzędy, ośrodki pomocy społecznej mają ustawowy obowiązek jego prowadzenia.

Jednocześnie BIP jest publicznie dostępną bazą danych, w której mogą pojawić się dane osobowe. I to oznacza jedno: RODO obowiązuje tu tak samo jak w każdym innym procesie przetwarzania danych.

Każdy dokument wgrany do BIP staje się dostępny bez ograniczeń – bez możliwości sprawdzenia, kto i po co go pobiera. Dlatego zasady minimalizacji danych i ograniczenia czasu przechowywania są tu równie istotne jak w rejestrze korespondencji czy teczce pracowniczej.

Dlaczego UODO kontroluje właśnie BIP?

Organ nadzorczy obserwuje ten obszar od lat. Powody są konkretne.

Wiele jednostek nie ma żadnych procedur dotyczących publikacji w BIP. Dokumenty trafiają tam bez weryfikacji, bez formalnej akceptacji, bez sprawdzenia zakresu danych. Obowiązuje zasada „bo zawsze tak robiliśmy” – która nie jest podstawą prawną do publikacji danych osobowych i nie będzie wystarczającym wyjaśnieniem podczas kontroli.

Do tego dochodzą dwa kolejne problemy: dokumenty trafiają do BIP bez anonimizacji oraz pozostają tam latami, choć dawno straciły aktualność i jakikolwiek cel prawny.

Każda z tych sytuacji narusza przepisy RODO. I każda jest możliwa do zidentyfikowania podczas kontroli – bez szczególnego wysiłku.

Jakie dane mogą, a jakie nie powinny trafiać do BIP?

Tu intuicja często zawodzi. „Skoro to dokument publiczny, można go opublikować w całości” – tak uważa wiele osób. Tak jednak nie jest.

Przed każdą publikacją należy ocenić, jaka jest podstawa prawna udostępnienia konkretnych danych i czy ich zakres jest niezbędny do realizacji celu. Nie wystarczy, że cały dokument jest „ogólnie publiczny”.

Dane, które można publikować:

imię i nazwisko osoby pełniącej funkcję publiczną – wyłącznie w zakresie związanym z pełnioną funkcją,
dane kierowników komórek organizacyjnych,
dane wykonawców zamówień publicznych (w zakresie wynikającym z przepisów),
oświadczenia majątkowe osób do tego zobowiązanych – wyłącznie w zakresie jawnym, wynikającym z przepisów szczególnych.

Dane, które co do zasady nie powinny trafiać do BIP:

numery PESEL,
adresy zamieszkania osób fizycznych,
prywatne numery telefonów i adresy e-mail,
podpisy odręczne,
dane pracowników na stanowiskach niesamodzielnych (referentów, pracowników obsługi),
dane dzieci i uczniów – poza zagregowanymi wynikami rekrutacji,
numery i serie dokumentów tożsamości,
dane z dokumentów medycznych i psychologicznych.

Zasada jest prosta: publikuj tyle, ile musisz – nie więcej.

Regulamin BIP – dlaczego jego brak widać od razu?

Gdy kontroler UODO pojawia się w jednostce, jedno z pierwszych pytań brzmi: „Czy macie procedury dotyczące publikacji w BIP?”

Wiele jednostek w tym momencie nie ma co pokazać. I nie dlatego, że coś ukrywa – po prostu nikt wcześniej nie zadbał o to, żeby proces był opisany i przypisany do konkretnych osób.

Co się wtedy dzieje?

Gdy brakuje procedur, każda osoba robi to inaczej. Raz weryfikuje zakres danych, raz nie. Raz pyta o akceptację kierownika, raz wgrywa sama. Gdy pojawi się błąd – nikt nie wie, kto powinien go naprawić. Gdy UODO pyta o podstawę prawną publikacji konkretnych danych – nikt nie potrafi odpowiedzieć.

Co powinien zawierać regulamin BIP?

Dobrze przygotowany regulamin porządkuje cały proces: od wskazania odpowiedzialnych osób, przez weryfikację danych osobowych, po archiwizację nieaktualnych informacji. Powinien określać:

kto publikuje – imiennie wskazani redaktorzy z pisemnym upoważnieniem,
kto odpowiada za treść – kierownicy komórek organizacyjnych,
jak przebiega weryfikacja danych osobowych – konkretna procedura przed każdą publikacją,
kiedy wymagana jest anonimizacja – wykaz kategorii danych i dokumentów,
kiedy dokumenty trafiają do archiwum – harmonogram z terminami,
co się dzieje przy wniosku o usunięcie danych – tryb postępowania.

Jednostki korzystające z naszego wsparcia w zakresie inspektora ochrony danych mają do dyspozycji gotowy wzór regulaminu publikacji i aktualizacji BIP – wraz z procedurami weryfikacji danych, anonimizacji i przeglądów. Dokument jest dostępny we wzorach dokumentów w aplikacji RODOpilot.pl pod nazwą: DR-005-1 Regulamin publikowania na BIP.

Najczęstsze naruszenia – i dlaczego są tak powszechne

Poniższe przykłady to nie teoria. Powtarzają się w audytach i podczas kontroli.

Skan bez anonimizacji Protokół z posiedzenia rady pedagogicznej z pełną listą nauczycieli. Decyzja administracyjna z numerem PESEL i adresem wnioskodawcy. Pismo z odręcznym podpisem pracownika. Wgrane do BIP tak, jak wyglądały w oryginale – bez żadnej weryfikacji.

PESEL w dokumencie dostępnym publicznie To jeden z poważniejszych błędów. Numer PESEL umożliwia identyfikację osoby i może być wykorzystany do działań na jej szkodę. Nie ma uzasadnienia prawnego dla jego publikowania w BIP.

Dane dzieci i uczniów Lista dzieci przyjętych do przedszkola. Wyniki konkursów z imionami i nazwiskami uczniów. Protokół z zebrania rodziców. Żaden z tych dokumentów nie powinien trafić do BIP w formie umożliwiającej identyfikację dziecka.

Dane pracowników na niesamodzielnych stanowiskach Przepisy dopuszczają publikację danych osób pełniących funkcje publiczne. Pracownik referatu czy obsługi takiej funkcji nie pełni. Publikacja jego danych bez zgody narusza przepisy RODO – nawet jeśli dokument, w którym się pojawiają, jest formalnie „dokumentem urzędowym”.

Dokumenty, których nikt od lat nie ruszał Ogłoszenie o naborze z 2019 roku. Sprawozdanie za poprzednią kadencję. Umowa z wykonawcą sprzed sześciu lat. Dostępne publicznie, zawierające dane osobowe, bez żadnej aktualnej podstawy prawnej do ich udostępniania.

Podpisy odręczne na skanach Podpis to dana osobowa – a w określonych kontekstach biometryczna. Jego publikacja bez wyraźnej podstawy prawnej to błąd, który można wyeliminować jednym krokiem: usunięciem przed skanowaniem lub zamazaniem przed wgraniem.

Anonimizacja – jak robić to poprawnie?

Anonimizacja na pierwszy rzut oka wydaje się prosta. W praktyce generuje wiele problemów – szczególnie gdy nikt nie wie dokładnie, co trzeba usunąć i jak sprawdzić, że usunięcie było skuteczne.

Trzy typowe sytuacje:

Decyzja administracyjna Dokument zawiera imię i nazwisko, adres, numer PESEL i datę urodzenia wnioskodawcy. Imię i nazwisko może zostać, jeśli wynika z celu publikacji. Pozostałe dane wymagają anonimizacji.

Protokół z zebrania Protokół zawiera podpisy uczestników, ich stanowiska, czasem prywatne numery telefonów. Podpisy należy usunąć bezwzględnie. Dane kontaktowe – ocenić, czy ich publikacja jest niezbędna.

Lista uczniów przyjętych do szkoły Wyniki rekrutacji wolno opublikować w formie zbiorczej: „Przyjęto 25 kandydatów”. Imienna lista dzieci nie może trafić do BIP.

Oświadczenie majątkowe Oświadczenie składa się z części A (jawnej) i części B (niejawnej). Do BIP trafia wyłącznie część A. Część B – zawierająca adres zamieszkania osoby składającej oświadczenie oraz miejsce położenia nieruchomości – podlega wyłączeniu z jawności i nie może być publikowana. W praktyce oznacza to konieczność usunięcia lub trwałego zanonimizowania tych danych przed udostępnieniem dokumentu w BIP. Samo zamazanie nie wystarczy: przy opublikowanym dokumencie należy dodatkowo zamieścić adnotację wskazującą zakres wyłączenia, podstawę prawną i osobę, która wyłączenia dokonała.

Przykładowa adnotacja: Wyłączenia jawności części B oświadczenia majątkowego dokonali: …………………………… (imię i nazwisko / stanowisko), na podstawie …………………………… (właściwy przepis szczególny oraz art. 8 ust. 5 ustawy o dostępie do informacji publicznej).

Jak anonimizować skutecznie?

Usuwać dane z dokumentu źródłowego przed eksportem do PDF.
Zamazywać dane trwałym, nieprzezroczystym wypełnieniem – nie szarym cieniem.
Zastępować dane opisem: „Jan K.”, „mieszkaniec miejscowości N.”.
Tam gdzie to możliwe – publikować dane zbiorcze zamiast list imiennych.

Ważna kwestia techniczna

Nałożenie czarnego prostokąta na tekst w pliku PDF nie usuwa danych. Tekst nadal istnieje w pliku i może być skopiowany lub odczytany po usunięciu grafiki. Skuteczna anonimizacja wymaga usunięcia tekstu na poziomie dokumentu – nie warstwy wizualnej.

Warto też pamiętać, że większość błędów w anonimizacji nie wynika ze złej woli. Wynikają z braku procedury i braku kontroli przed publikacją. Nikt nie sprawdził, co zostało ukryte – i czy ukrycie było w ogóle skuteczne.

Jak wygląda dobrze zorganizowany BIP?

Jasny podział ról to jeden z najprostszych i najskuteczniejszych sposobów na ograniczenie ryzyka. Gdy każdy wie dokładnie, za co odpowiada, błędy są wychwytywane wcześniej – zanim dokument trafi publicznie do sieci.

Redaktor publikujący – osoba w komórce organizacyjnej, która przygotowuje dokumenty do publikacji. Sprawdza zakres danych, stosuje anonimizację, uzyskuje akceptację kierownika i wgrywa materiał. Działa na podstawie pisemnego upoważnienia i po przejściu szkolenia.

Kierownik komórki – zatwierdza dokumenty merytorycznie przed ich publikacją. Odpowiada za to, co trafia do BIP z jego obszaru.

Redaktor naczelny BIP – koordynuje pracę redaktorów, przeprowadza przeglądy, rozstrzyga wątpliwe przypadki. To pierwsza osoba odpowiadająca na pytania podczas kontroli.

Administrator BIP – zajmuje się stroną techniczną: kontami użytkowników, kopiami zapasowymi, konfiguracją systemu. Nie ingeruje w treść dokumentów.

Inspektor Ochrony Danych – pełni rolę doradczą i nadzorczą. Opiniuje wątpliwe przypadki, rekomenduje okresy przechowywania danych, uczestniczy w przeglądach. Nie zatwierdza dokumentów i nie jest elementem łańcucha akceptacyjnego – odpowiedzialność za każdą konkretną publikację spoczywa na redaktorze i kierowniku komórki.

Taki model nie eliminuje wszystkich błędów. Ale sprawia, że każdy błąd ma swojego właściciela – i można go szybko naprawić.

Przeglądy i archiwizacja – obowiązek, który łatwo zaniedbać

RODO wymaga ograniczania czasu przetwarzania danych do niezbędnego minimum. Oznacza to, że dokumenty w BIP nie powinny być dostępne publicznie dłużej, niż wynika to z przepisów lub uzasadnionego celu.

Zalecany rytm przeglądów:

Co tydzień – redaktorzy sprawdzają aktualność ogłoszeń i komunikatów bieżących.
Co miesiąc – kierownicy komórek przeglądają swoje działy i wskazują dokumenty do archiwizacji.
Co kwartał – redaktor naczelny przeprowadza kompleksowy przegląd całego BIP.
Raz w roku – pełny audyt z raportem dla kierownika jednostki.

Informacje nieaktualne powinny być archiwizowane, nie kasowane. BIP musi zachowywać dostęp do historycznych treści. Archiwizacja to przeniesienie dokumentu do działu archiwalnego ze zmianą statusu – bez utraty historii wersji.

BIP to także obowiązki formalne – nie tylko treść publikacji

Wiele jednostek skupia całą uwagę na tym, co publikuje w BIP. To właściwy kierunek – ale niewystarczający. Są jeszcze trzy formalne kwestie, o których łatwo zapomnieć.

Umowa powierzenia przetwarzania danych

Jeżeli BIP jest utrzymywany przez zewnętrzny podmiot – firmę hostingową, dostawcę systemu CMS, wykonawcę strony lub inny podmiot administrujący infrastrukturą – administrator danych powinien mieć zawartą z nim umowę powierzenia przetwarzania danych osobowych, o której mowa w art. 28 RODO.

Powód jest prosty: podmiot obsługujący BIP od strony technicznej może mieć dostęp do danych osobowych znajdujących się w systemie lub na serwerze – choćby potencjalnie. To oznacza powierzenie przetwarzania, które wymaga formalnego uregulowania.

Brak takiej umowy to nie drobne uchybienie. To realne naruszenie obowiązków administratora – i jeden z pierwszych elementów sprawdzanych podczas kontroli.

Sprawa Aleksandrowa Kujawskiego – przykład z praktyki

To nie jest przypadek teoretyczny. Urząd Miejski w Aleksandrowie Kujawskim otrzymał jedną z pierwszych kar nałożonych po wejściu RODO na podmiot publiczny w Polsce – 40 000 zł. Jedną z przyczyn był brak umowy powierzenia z podmiotem obsługującym infrastrukturę informatyczną, w tym stronę BIP. Sprawa ta jest dziś często przywoływana jako ostrzeżenie, że zaplecze techniczne BIP podlega tym samym wymogom co sama treść publikacji.

Zgłoszenie do centralnej strony BIP

Prowadzenie własnego BIP wiąże się jeszcze z jednym obowiązkiem, który bywa pomijany. Podmiot prowadzący BIP powinien być zgłoszony do centralnej strony Biuletynu Informacji Publicznej (bip.gov.pl) i posiadać tam aktualną kartę podmiotu. Dzięki temu obywatel może odnaleźć właściwą stronę BIP danej jednostki.

Warto sprawdzić, czy karta Twojej jednostki jest aktualna – czy adres strony się zgadza, czy dane kontaktowe są prawidłowe. To element, który przy okazji przeglądu BIP łatwo zweryfikować w kilka minut.

Materiały dla jednostek korzystających ze wsparcia

Dla jednostek objętych naszą obsługą IOD przygotowaliśmy wzór regulaminu publikacji i aktualizacji BIP. Umowę powierzenia dla dostawcy hostingu lub systemu CMS można natomiast wygenerować bezpośrednio w aplikacji RODOpilot.pl. Warto sprawdzić, czy oba dokumenty są już wdrożone – i czy odpowiadają aktualnemu stanowi faktycznemu.

Jak sprawdzić w 30 minut, czy Twój BIP jest bezpieczny?

Odpowiedz szczerze na poniższe pytania. To wystarczy, żeby ocenić, gdzie jesteś.

Procedury i odpowiedzialność

[ ] Czy obowiązuje aktualny regulamin publikacji i aktualizacji BIP?
[ ] Czy każda osoba publikująca w BIP ma pisemne upoważnienie?
[ ] Czy redaktorzy przeszli szkolenie z zakresu RODO i zasad publikacji?

Dane osobowe w dokumentach

[ ] Czy żaden dokument w BIP nie zawiera numeru PESEL?
[ ] Czy podpisy odręczne zostały usunięte ze wszystkich skanów?
[ ] Czy dane dzieci i uczniów są dostępne wyłącznie w formie zbiorczej?
[ ] Czy dane pracowników niesamodzielnych nie są publikowane bez ich zgody?

Aktualność i archiwizacja

[ ] Czy odbywają się regularne przeglądy zawartości BIP?
[ ] Czy nieaktualne dokumenty są archiwizowane zgodnie z harmonogramem?
[ ] Czy wiadomo, kto i kiedy ma to zrobić?

Formalności

[ ] Czy z podmiotem obsługującym BIP technicznie zawarto umowę powierzenia przetwarzania danych?
[ ] Czy karta jednostki na centralnej stronie bip.gov.pl jest aktualna?

Jeśli kilka odpowiedzi brzmi „nie” – wiesz, co wymaga działania i warto zabrać się za to bez odkładania.

Jeśli większość odpowiedzi to „nie wiem” – proces publikacji w BIP nie jest realnie kontrolowany w Twojej jednostce. I to jest najpilniejszy problem do rozwiązania.

BIP to proces

BIP jest często traktowany jak uciążliwy obowiązek: coś, co trzeba mieć, bo przepisy nakazują. Tymczasem z perspektywy ochrony danych to jeden z bardziej wrażliwych procesów w jednostce publicznej – bo jego efekty są natychmiast widoczne dla każdego.

Nie chodzi o to, żeby bać się kontroli. Chodzi o to, żeby wiedzieć, co dzieje się z danymi osobowymi obywateli, pracowników i uczniów, które jednostka każdego dnia publikuje w internecie.

Dobre procedury, jasny podział ról i regularne przeglądy to nie biurokratyczny nadmiar. To narzędzia, które pozwalają działać świadomie – i które w razie potrzeby pozwalają spokojnie odpowiedzieć na każde pytanie kontrolera.

BIP da się uporządkować. Wymaga to kilku przemyślanych kroków – i rezygnacji z działania na wyczucie.

Kontrola UODO 2026: czy Twój BIP chroni dane osobowe tak, jak powinien?