Ponad miesiąc od ataku na System Obsługi Programów Ministerstwa Kultury nadal nie wiadomo, kiedy ruszą nabory na 2027 r. i ilu osób dotyczyło naruszenie ochrony danych. Mnożą się też pytania o zbieranie przez resort nadmiarowych danych.
fot. gov.pl
MKiDN nie wyklucza wycieku. W systemie jest zarejestrowanych ok. 24 tys. użytkowników. Z kolei odpowiedzi Urzędu Ochrony Danych Osobowych są ogólnikowe: nie wyjaśniono, czy wszczęto kontrolę lub postępowanie ani czy Urząd zbada zasadność zbierania przez MKiDN niektórych danych osobowych.
29 października opublikowaliśmy artykuł „Programy Ministra Kultury 2027 z opóźnieniem. Resort nie podaje nowych terminów”. Opisywaliśmy w nim skutki wyłączenia SOP dla instytucji i organizacji przygotowujących przyszłoroczne projekty. Ministerstwo zapowiadało ogłoszenie nowych terminów po przywróceniu pełnej funkcjonalności systemu.
Wracamy do sprawy z odpowiedziami MKiDN i Urzędu Ochrony Danych Osobowych. 12 listopada od ataku mijają 37 dni. Wnioskodawcy nadal czekają na harmonogram, a ministerstwo wciąż nie wyklucza wycieku danych.
W poprzedniej edycji pierwszych pięć naborów rozpoczęło się 1 października 2025 r. i trwały do końca miesiąca. Kolejne 23 programy, w tym „Teatr”, „Taniec”, „Muzyka” i „Edukacja kulturalna”, uruchomiono 5 listopada. Wnioski można było składać do 1 grudnia. www.gov.pl
W kalendarzu tegorocznych naborów minęło już sześć tygodni od daty odpowiadającej ubiegłorocznemu rozpoczęciu pierwszej grupy konkursów. Poszczególne programy miały jednak różne terminy, dlatego dla „Teatru” właściwym porównaniem jest 5 listopada.
Według nieoficjalnych informacji naszej redakcji oczekiwanie na uruchomienie systemu potrwa jeszcze co najmniej dwa tygodnie. Oznaczałby on przesunięcie względem startu pierwszej grupy konkursów w poprzedniej edycji blisko dwóch miesięcy.
Dla teatrów, organizatorów festiwali i organizacji pozarządowych oznacza to coraz mniej czasu na zaplanowanie przyszłorocznych projektów. Nadal nie wiadomo, ile dni otrzymają na złożenie wniosków, kiedy zapadną rozstrzygnięcia i kiedy będą mogli liczyć na środki.
Już w komunikacie z 9 października ministerstwo informowało:
„W wyniku nieuprawnionego dostępu do systemu informatycznego dane użytkowników mogły zostać udostępnione osobie nieuprawnionej. Obecnie prowadzona jest analiza, jakie dane i w jakim zakresie mogły zostać pozyskane podczas ataku”.
Resort ostrzegał przed podszywaniem się pod użytkowników, próbami oszustwa i pozyskiwaniem dodatkowych informacji. Zalecał ostrożność wobec wiadomości e-mail, SMS-ów i telefonów. Poinformował również o powiadomieniu CSIRT GOV oraz Prezesa UODO.
W odpowiedzi przekazanej obecnie Teatrowi dla Wszystkich ministerstwo stwierdza:
„W związku z naruszeniem bezpieczeństwa strony Systemu Obsługi Programów nie możemy wykluczyć możliwości wycieku danych, choć w samym systemie nie zidentyfikowano śladów kopiowania danych lub przesyłania ich na zewnątrz”.
Resort podaje również liczbę zarejestrowanych użytkowników: ok. 14 tys. w części obsługującej programy i ok. 10 tys. w części stypendialnej. Łącznie to ok. 24 tys. Ta liczba określa rozmiar systemu. MKiDN nie wskazało, ilu osób dotyczyło naruszenie ani czy ustalono, jakie konkretnie dane mogły zostać przejęte.
W zawiadomieniach do użytkowników wymieniono m.in. imiona i nazwiska, numery PESEL, dane dokumentów tożsamości, adresy e-mail, a nawet numery rachunków bankowych. Ostrzeżono przed podszywaniem się, próbami oszustwa i zaciąganiem zobowiązań na cudze dane. Zalecono m.in. zastrzeżenie numeru PESEL i monitorowanie rachunków.
Zapewnienie o braku zidentyfikowanych śladów kopiowania nie zamyka sprawy. Samo ministerstwo zastrzega, że wycieku nie potrafi wykluczyć.
Odpowiedź resortu pozwala odtworzyć dokładniejszą chronologię. Naruszenie wykryto 6 października o godz. 14.30. Dostęp do systemu zablokowano o godz. 15.12, czyli 42 minuty później. Według ministerstwa Prezes UODO otrzymał zawiadomienie 8 października rano.
Resort twierdzi, że tego samego dnia opublikował pierwszy komunikat. Dostępny na stronie gov.pl komunikat o naruszeniu nosi zaś datę 9 października. W odpowiedzi dla redakcji nie wskazano miejsca publikacji komunikatu z 8 października.
Indywidualne wiadomości e-mail wysłano 29 października, 23 dni po wykryciu naruszenia.
„Wiadomości e-mail do użytkowników zostały wysłane 29 października, po ponownym uruchomieniu systemu. Wcześniejsza wysyłka nie była możliwa ze względu na ograniczenia techniczne oraz konieczność zapewnienia bezpieczeństwa systemu” – wyjaśnia ministerstwo.
Jednocześnie resort informuje, że prace nad pełnym przywróceniem dostępu do SOP nadal trwają. Nie precyzuje zakresu ponownego uruchomienia, które pozwoliło wysłać ostrzeżenia.
Wyjaśnienie nie wskazuje, czy rozważano wcześniejsze indywidualne ostrzeżenie użytkowników inną drogą. Nie podaje również, kiedy ustalono wysokie ryzyko dla osób, których dane znajdowały się w systemie.
RODO przewiduje co do zasady zgłoszenie naruszenia organowi nadzorczemu w ciągu 72 godzin od jego stwierdzenia. Zawiadomienie osób przy wysokim ryzyku powinno nastąpić bez zbędnej zwłoki. Według chronologii przedstawionej przez MKiDN zgłoszenie do UODO mieściło się w terminie 72 godzin.
Ministerstwo potwierdza, że założenie konta osoby fizycznej w SOP wymaga podania numeru PESEL. Seria i numer dokumentu tożsamości są dobrowolne w programach ministra, natomiast w części stypendialnej system nie przewiduje pola na te dane.
„Niezależnie od rodzaju składanego wniosku wszyscy wnioskodawcy mają obowiązek podania numeru rachunku bankowego” – przekazuje ministerstwo.
To obowiązek budzący wątpliwości dotyczące nadmiarowego gromadzenia danych. Numer rachunku do wypłaty dotacji można pozyskać po przyznaniu dofinansowania, przy przygotowywaniu umowy. Na etapie oceny wniosku nie wiadomo jeszcze, czy jego autor otrzyma jakiekolwiek środki. Ministerstwo nie wyjaśniło, do czego numer rachunku jest potrzebny wcześniej ani dlaczego wymaga go od wszystkich wnioskodawców, także tych, którzy ostatecznie nie uzyskają wsparcia.
Zasada minimalizacji danych, zapisana w art. 5 ust. 1 lit. c RODO, wymaga ograniczenia zbieranych informacji do tego, co niezbędne dla konkretnego celu. Administrator musi umieć wykazać przestrzeganie tej zasady. Sama informacja, że system wymaga numeru rachunku, nie uzasadnia takiego wymagania. Resort powinien wyjaśnić, dlaczego nie wystarczyłoby zebranie danych do przelewu dopiero od osób i podmiotów, którym przyznano pieniądze.
Odpowiedź ministerstwa pozostawia więc uzasadnione pytanie, czy dane zbierano na zapas. Nie wyjaśnia też, na jakim dokładnie etapie podanie rachunku staje się obowiązkowe ani dlaczego PESEL jest konieczny już do założenia konta.
Osobny problem stanowi przechowywanie danych osób, które rozpoczęły przygotowanie wniosku, lecz ostatecznie go nie złożyły. Zawiadomienie o naruszeniu otrzymała również autorka tego tekstu. W 2025 roku rozpoczęła wypełnianie wniosku w programie „Teatr”, ale go nie wysłała. Ministerstwo nie podało, jak długo przechowuje dane z takich kont i formularzy, w jakim celu je zachowuje oraz kiedy je usuwa. Zbiorcza treść ostrzeżenia nie pozwala również ustalić, które z wymienionych kategorii danych były zagrożone w jej przypadku.
Co ciekawe, resort wskazuje, że za hosting odpowiada zewnętrzna firma IQ.PL Sp. z o.o. z Gdańska. W przekazanej odpowiedzi nie opisuje natomiast zakresu dostępu instytucji zarządzających programami, w tym Instytutu Teatralnego, ani zasad zabezpieczania ewentualnych kopii danych pobieranych poza SOP.
Redakcja skierowała do Urzędu Ochrony Danych Osobowych szczegółowe pytania o skalę naruszenia, kontrolę, postępowanie administracyjne, zabezpieczenia oraz zasadność zbierania i dalszego przechowywania danych. Pytała również o dostęp instytucji zarządzających programami.
Odpowiedzi rzecznika UODO Karola Witowskiego są dość ogólnikowe. W piśmie z 2 listopada przekazał:
„Do Prezesa UODO wpłynęło zgłoszenie naruszenia ochrony danych osobowych z Ministerstwa Kultury i Dziedzictwa Narodowego. UODO analizuje to zgłoszenie”.
Następnie dodał:
„UODO nie udziela informacji o szczegółach dotyczących zgłoszeń naruszeń ochrony danych. Informacji takich może udzielać jedynie administrator, u którego doszło do naruszenia ochrony danych”.
Większą część odpowiedzi zajęło przedstawienie ogólnych obowiązków administratorów. Nie przedstawiono żadnych konkretnych ustaleń w sprawie SOP.
Po dodatkowych pytaniach i ponowieniu prośby o odpowiedź rzecznik prasowy UODO napisał:
„Analiza zgłoszenia naruszenia ochrony danych osobowych nie jest tożsama z wszczęciem postępowania administracyjnego ani przeprowadzeniem kontroli u administratora”.
Opisał również ogólny zakres analizy: ocenę ryzyka, działania zaradcze, zabezpieczenia oraz zawiadamianie osób.
Pytaliśmy jednak o konkretne działania w sprawie SOP. Rzecznik nadal nie odpowiedział jednoznacznie, czy wszczęto postępowanie albo zarządzono kontrolę. Nie podał dat czynności, wyników ustaleń ani informacji o wydanych nakazach.
W odniesieniu do dodatkowych pytań o zasady przetwarzania danych UODO wskazał, że ich zbadanie wymagałoby szerszej oceny, wykraczającej poza analizę zgłoszenia. Według odpowiedzi rzecznika kwestie podniesione przez redakcję mogą „stać się w przyszłości przyczynkiem do zbadania, w toku postępowania administracyjnego, zgodności realizowanych procesów przetwarzania z przepisami o ochronie danych osobowych”.
Po dwóch odpowiedziach nadal nie wiemy, czy Urząd sprawdzi, dlaczego wymagano numerów rachunków przed przyznaniem dotacji oraz po co przechowywano dane związane z niewysłanymi wnioskami. Rzecznik UODO przedstawił możliwość przyszłego działania, bez zobowiązania i bez terminu.
Ministerstwo informuje o wprowadzaniu dodatkowych zabezpieczeń i prowadzeniu testów penetracyjnych, które mają sprawdzić odporność systemu na ataki. Beneficjentom przekazano awaryjną procedurę umożliwiającą realizację przyznanych dofinansowań i bieżące rozliczanie projektów poza SOP.
„Mamy świadomość, jak ważne jest uruchomienie Programów i Stypendiów Ministra dla planowania przyszłorocznych budżetów w kulturze. System SOP zostanie uruchomiony natychmiast po zakończeniu prac technicznych i przetestowaniu systemów bezpieczeństwa” – zapewnia ministerstwo.
W odpowiedzi nadal brakuje daty zakończenia tych prac. Procedura awaryjna dotyczy już przyznanego wsparcia. Instytucje i organizacje przygotowujące projekty na 2027 rok wciąż czekają na otwarcie naborów i harmonogram, na którym mogłyby oprzeć swoje plany.
