Ministerstwo Cyfryzacji: propaganda sukcesu zamiast realnej odporności cyfrowej

Miliardy złotych na cyberbezpieczeństwo, rekordowe statystyki, kolejne strategie i niekończące się opowieści o "cyfrowej tarczy" - tak obecnie wygląda rzeczywistość przedstawiana przez Ministerstwo Cyfryzacji pod kierownictwem Krzysztofa Gawkowskiego. Tymczasem wyciek z MyDr ujawnił zagrożenie dla danych niemal 19 milionów osób, państwowe usługi nadal mają problemy z dostępnością, a zapowiadana transparentność mObywatela skończyła się udostępnieniem jedynie fragmentów kodu frontendu. W tym samym czasie politycy resortu domagają się gigantycznych kar dla firmy Meta i forsują rozwiązania umożliwiające administracyjne blokowanie treści w sieci. Naszym zdaniem najwyższy czas zapytać, czy polska cyfryzacja jest zarządzana przez ludzi rozumiejących technologię, czy przez polityków znacznie sprawniejszych w organizowaniu konferencji prasowych i niezbyt mądrych prezentacji niż w przedstawianiu mierzalnych rezultatów swojej pracy.

Od grudnia 2023 roku Ministerstwem Cyfryzacji kieruje Krzysztof Gawkowski, a w jego kierownictwie znajdują się Dariusz Standerski, Michał Gramatyka i Paweł Olszewski.

To czterech polityków odpowiedzialnych za obszary, od których zależy funkcjonowanie państwowych usług cyfrowych, bezpieczeństwo informacji, rozwój technologii i regulacje dotyczące Internetu. Można byłoby oczekiwać, że w przypadku tak technicznie wymagającego resortu na pierwszy plan wysuną się kompetencje, sprawność zarządzania i odpowiedzialność za wyniki.

Tymczasem w publicznej komunikacji nieustannie powracają miliardowe inwestycje, nowe strategie, kolejne inicjatywy i zapewnienia o skutecznym budowaniu odporności. Nie twierdzimy, że wszystkie te działania są zbędne, natomiast ich ogłaszanie nie jest dowodem sukcesu.

W świecie szerokiego IT projekt nie staje się udany tylko dlatego, że menedżer wyświetlił zielony status w prezentacji. System musi działać, spełniać wymagania, przechodzić testy i zapewniać oczekiwane rezultaty i dokładnie tak samo należy oceniać Ministerstwo Cyfryzacji.

Rekordowe statystyki. Tylko gdzie są rezultaty?

W 2025 roku CERT Polska zarejestrował 260 783 incydenty bezpieczeństwa, z czego 253 238 stanowiły oszustwa komputerowe. W porównaniu z poprzednim rokiem liczba rejestrowanych incydentów wzrosła o 152%.

Oficjalne statystyki pokazują jedynie tę część zagrożeń, którą udało się wykryć i zarejestrować. Poza nimi pozostają incydenty niezgłoszone, włamania niewykryte przez administratorów oraz zaawansowane ataki, których skutki mogą ujawnić się dopiero po miesiącach lub nawet po latach.

Rzeczywista skala zagrożeń pozostaje więc nieznana i to właśnie dlatego oczekujemy od Ministerstwa Cyfryzacji czegoś znacznie więcej niż komunikatów o rekordowych inwestycjach i kolejnych rzekomych sukcesach. Oczekujemy rzetelnych, weryfikowalnych dowodów, że wydawane miliardy rzeczywiście przekładają się na ochronę danych, ograniczanie strat obywateli i zwiększanie odporności państwa polskiego.

To kierownictwo resortu powinno rozliczać się z rezultatów prowadzonej polityki. Obywatele nie powinni być zmuszani do przyjmowania zapewnień o jej skuteczności na wiarę Eksperci CERT wykonują przy tym konkretną, potrzebną prac - rozwijają narzędzia wykrywania zagrożeń, analizują kampanie phishingowe i ograniczają dostęp do szkodliwych witryn i tego dorobku nie zamierzamy podważać. Nie zamierzamy natomiast automatycznie przypisywać politycznemu kierownictwu resortu sukcesu za każdym razem, gdy państwowy zespół specjalistów przedstawia wyniki swojej pracy.

Interesuje nas coś innego. Jak zmieniają się rzeczywiste straty finansowe obywateli? Czy maleje skuteczność oszustw? Czy państwowe programy edukacyjne trwale poprawiają zachowanie użytkowników? Jak skutecznie ograniczamy ryzyko masowych wycieków danych?

I przede wszystkim: gdzie można znaleźć regularną, przejrzystą ocenę tych rezultatów w odniesieniu do poniesionych nakładów?

Ministerstwo lubi informować, ile pieniędzy przeznaczono na bezpieczeństwo, a zdecydowanie mniej miejsca zajmuje odpowiedź na pytanie, jakie konkretne, długofalowe efekty przyniosły te wydatki.

Wydanie pięciu miliardów złotych nie jest osiągnięciem technologicznym. Osiągnięciem byłoby wykazanie, że dzięki tym pieniądzom określone zagrożenia zostały rzeczywiście ograniczone. Reszta to przede wszystkim rachunkowość i polityczna komunikacja - w tym przypadku dość siermiężna i często prymitywna.

MyDr. Niemal 19 milionów potencjalnie zagrożonych osób, dziewiętnaście dni oczekiwania i totalny chaos informacyjny

10 sierpnia 2026 roku zgłoszono poważny incydent dotyczący systemów firmy MyDr, dostawcy oprogramowania wykorzystywanego przez placówki ochrony zdrowia. Dwa dni później Ministerstwo Cyfryzacji poinformowało, że nieuprawniony dostęp do historycznych zasobów mógł dotyczyć danych około 18,8 miliona osób oraz ponad 12 tysięcy placówek medycznych.

Nie oznacza to, że każdej z tych osób skradziono pełną historię chorób. Liczba potencjalnie dotkniętych pacjentów nie jest równoznaczna z zakresem informacji ujawnionych o każdym z nich. Nie zmienia to jednak zasadniczego problemu: doszło do naruszenia bezpieczeństwa systemów przechowujących wyjątkowo wrażliwe informacje dotyczące ogromnej części polskiego społeczeństwa.

Wśród potencjalnie zagrożonych danych znajdowały się numery PESEL, dane kontaktowe oraz informacje związane z leczeniem i receptami. Tego rodzaju informacji nie można po prostu unieważnić czy zmienić, tak jak hasła do poczty elektronicznej. Raz ujawniona historia leczenia może pozostawać w obiegu przez wiele lat.

I właśnie w takiej sytuacji obywatele musieli czekać dziewiętnaście dni (!) zanim udostępniono im podstawową możliwość sprawdzenia, czy ich numer PESEL znalazł się w zbiorze powiązanym z incydentem.

Ministerstwo Cyfryzacji już 12 sierpnia zapowiedziało, że odpowiednie informacje zostaną udostępnione w serwisie bezpiecznedane.gov.pl w ciągu kilku dni - tyle że kilka dni zamieniło się w niemal trzy tygodnie. Dopiero 29 sierpnia w istniejącym już wcześniej serwisie pojawiła się możliwość zweryfikowania numeru PESEL w związku z wyciekiem MyDr.

W międzyczasie pojawiały się kolejne szumne i nic nie znaczące komunikaty i zapowiedzi. Najpierw mówiono o kilku dniach, później o technicznej możliwości udostępnienia informacji w ciągu kilku godzin od otrzymania odpowiednich danych, a następnie o kolejnych kilkudziesięciu godzinach oczekiwania. 18 sierpnia Centralne Biuro Zwalczania Cyberprzestępczości poinformowało, że udostępnienie numerów PESEL na tym etapie mogłoby utrudnić prowadzone postępowanie.

Ochrona materiału dowodowego jest oczywiście istotna. Nie zmienia to jednak faktu, że wcześniejsze zapowiedzi dotyczące terminu uruchomienia weryfikacji okazały się nierealistyczne, a obywatele nie otrzymali od początku jednej, spójnej informacji o przewidywanym przebiegu całego procesu. Co więcej, udostępnione 29 sierpnia narzędzie pozwalało przede wszystkim sprawdzić numer PESEL. Nie przedstawiało pełnego zakresu informacji medycznych, które mogły zostać ujawnione. Aby uzyskać szczegółowe informacje, zainteresowana osoba nadal musiała zwrócić się do właściwego administratora danych, czyli odpowiedniej placówki medycznej.

Po niemal trzech tygodniach oczekiwania obywatel mógł więc otrzymać odpowiedź na jedno podstawowe pytanie, ale niekoniecznie dowiedzieć się, jakie konkretnie informacje na jego temat znalazły się w rękach osób nieuprawnionych.

A teraz wyobraźmy sobie dziewięćdziesięcioletnią pacjentkę, która dowiaduje się z telewizji, że przestępcy mogli uzyskać dostęp do informacji dotyczących jej zdrowia - przecież nie ma smartfona, nie korzysta z Internetu, nie posiada Profilu Zaufanego. Nie wie, czym jest phishing, nie rozumie zasad działania serwisu bezpiecznedane.gov.pl i nie potrafi samodzielnie ustalić, czy jej dane zostały zagrożone! Słyszy jedynie, że państwo przygotowuje narzędzie do weryfikacji. Mijają kolejne dni. Narzędzia nadal nie ma.A kiedy wreszcie zostaje udostępnione, i tak może potrzebować pomocy innych osób, żeby z niego skorzystać.

Nie każdy obywatel potrafi śledzić komunikaty Ministerstwa Cyfryzacji, CBZC, CERT Polska i administratorów danych. Nie każdy rozumie techniczne aspekty cyberataków. Nie każdy ma rodzinę, która pomoże mu zabezpieczyć tożsamość albo ustalić, czy powinien podjąć dodatkowe działania.

I właśnie takich osób państwo nie powinno pozostawiać w informacyjnej niepewności.

Zastrzeżenie numeru PESEL, zachowanie ostrożności wobec podejrzanych telefonów czy korzystanie z narzędzi sprawdzających wycieki danych są użytecznymi metodami ograniczania ryzyka. Nie mogą jednak stanowić całej odpowiedzi na incydent dotyczący informacji o milionach pacjentów.

Ochrona obywateli powinna być projektowana również z myślą o osobach starszych, wykluczonych cyfrowo i pozbawionych specjalistycznej wiedzy. Sprawa MyDr ujawnia zresztą dwa odrębne problemy.

Pierwszy dotyczy samego bezpieczeństwa systemów medycznych. Jakie wymagania powinien spełniać dostawca oprogramowania przetwarzający dane milionów pacjentów? Jak państwo ocenia ryzyko koncentracji tak ogromnych zbiorów informacji u pojedynczych przedsiębiorstw? Jakie mechanizmy kontroli dostawców funkcjonują i w jaki sposób ocenia się ich skuteczność?

Drugi problem dotyczy zarządzania kryzysowego już po ujawnieniu incydentu. Kto odpowiadał za uzgadnianie terminów udostępnienia danych? Dlaczego pierwotnie zapowiedziane kilka dni zamieniło się w dziewiętnaście? Czy można było wcześniej wypracować spójny sposób informowania obywateli, uwzględniający zarówno potrzeby postępowania karnego, jak i ochronę potencjalnie poszkodowanych?

Są to pytania, na które kierownictwo Ministerstwa Cyfryzacji powinno przedstawić konkretne odpowiedzi, ale tego nie zrobiło, bo i po co? Lepiej trąbić w mediach społecznościowych jakie to wielkie sukcesy odnoszą, chwalić się nielicznymi i nie swoimi sukcesami.

Odpowiedzialność karna za włamanie spoczywa na jego sprawcach, a obowiązki administratorów danych wynikają z właściwych przepisów. Nie zamyka to jednak dyskusji o skuteczności publicznego systemu cyberbezpieczeństwa, nadzoru nad dostawcami oprogramowania medycznego oraz koordynacji działań podejmowanych w sytuacjach kryzysowych.

Dziewiętnaście dni oczekiwania na możliwość podstawowej weryfikacji numeru PESEL to nie jest drobna niedogodność administracyjna - to jest poważny problem komunikacji kryzysowej w sprawie dotyczącej potencjalnie milionów obywateli. Państwo, które tak chętnie opowiada o cyfrowej odporności, powinno potrafić sprawnie i rzetelnie informować ludzi o zagrożeniu dotyczącym ich najbardziej wrażliwych danych.

Nie wystarczy ogłosić, że odpowiednie służby podjęły działania i prowadzą koordynację. Obywatel ma prawo oczekiwać terminowych informacji, przejrzystych procedur oraz rzeczywistej pomocy. W sprawie MyDr oczekiwanie na udostępnienie weryfikacji, zmieniające się zapowiedzi i ograniczony zakres informacji dostępnych po jej uruchomieniu wymagają szczegółowego wyjaśnienia.

A przede wszystkim wymagają odpowiedzi, dlaczego w państwie deklarującym budowę "cyfrowej tarczy" miliony potencjalnie zagrożonych obywateli musiały przez niemal trzy tygodnie czekać na podstawowe narzędzie pozwalające sprawdzić, czy incydent dotyczy również ich.

KSeF. System działał znakomicie, tylko z logowaniem był problem. A potem pojawiła się Imperva

2 lutego 2026 roku część użytkowników próbujących korzystać z KSeF napotkała utrudnienia związane z Profilem Zaufanym. Ministerstwo Finansów potwierdziło problemy, podkreślając jednocześnie, że sam KSeF przetwarzał faktury bez zakłóceń, a alternatywne sposoby uwierzytelniania pozostawały dostępne.

Od strony technicznej to istotne rozróżnienie. Od strony użytkownika wygląda jednak dość groteskowo. System działa. Tylko nie każdy może się do niego dostać. To trochę tak, jakby hotel zapewniał, że wszystkie pokoje są gotowe, klimatyzacja działa, obsługa czeka, a problem polega wyłącznie na tym, że część gości nie może otworzyć drzwi wejściowych.

KSeF podlega Ministerstwu Finansów, a Profil Zaufany jest częścią szerszego ekosystemu państwowej identyfikacji elektronicznej. Trudno więc nie zapytać, jak wyglądało przygotowanie infrastruktury do przewidywalnego wzrostu obciążenia. Jakie testy przeprowadzono? Jak planowano pojemność? Jakie scenariusze awaryjne przewidziano? Jednak problemy z logowaniem okazują się zaledwie wstępem do znacznie poważniejszej dyskusji o architekturze bezpieczeństwa KSeF.

KSeF, Imperva i pytania o kontrolę nad polskimi danymi gospodarczymi

Krajowy System e-Faktur to nie kolejna aplikacja administracyjna. Jest centralnym systemem gromadzącym szczegółowe informacje o transakcjach gospodarczych. Faktury mogą ujawniać relacje handlowe, dane kontrahentów, ceny produktów i usług, wartości zamówień oraz informacje o strukturze działalności przedsiębiorstw.

W odpowiedniej skali analiza takich danych pozwala odtwarzać powiązania gospodarcze pomiędzy podmiotami, identyfikować zależności dostawców i klientów, a nawet wnioskować o kondycji określonych sektorów gospodarki. Dlatego architektura komunikacyjna KSeF powinna podlegać szczególnie rygorystycznej ocenie bezpieczeństwa.

Tymczasem analizy techniczne przeprowadzone na początku 2026 roku wskazały, że komunikacja z systemem wykorzystuje infrastrukturę zagranicznego dostawcy usług bezpieczeństwa – firmy Imperva, należącej do francuskiej grupy Thales. Badacze wskazywali między innymi na rekordy DNS kierujące ruch do domen impervadns.net, nagłówki odpowiedzi HTTP identyfikujące Impervę oraz obecność zewnętrznej warstwy WAF/CDN.

Samo zastosowanie zewnętrznego WAF nie jest błędem bo takie rozwiązania są powszechnie wykorzystywane do ochrony przed atakami aplikacyjnymi, automatycznym ruchem i DDoS. W przypadku systemu zawierającego dane gospodarcze praktycznie całego kraju znaczenie mają jednak szczegóły implementacji. Najważniejszy z nich dotyczy terminacji TLS. Jeżeli zewnętrzny reverse proxy kończy sesję TLS i analizuje żądania HTTP w postaci jawnej, może technicznie uzyskiwać dostęp do informacji zawartych w tej warstwie komunikacji.

To, czy zobaczy również treść faktur, zależy od dodatkowych mechanizmów szyfrowania na poziomie aplikacji oraz sposobu obsługi dokumentów. Szyfrowanie HTTPS i szyfrowanie samych dokumentów nie są tym samym. Właśnie dlatego nie wystarczy ogólna deklaracja, że połączenie jest szyfrowane. Trzeba wiedzieć, gdzie następuje terminacja TLS, kto kontroluje odpowiednie klucze i jakie dane są dostępne poszczególnym elementom infrastruktury.

Szczególne pytania dotyczą operacji pobierania faktur. Czy dokumenty są zabezpieczone dodatkowym szyfrowaniem aż do urządzenia odbiorcy? Jeżeli nie, jaki zakres informacji może zobaczyć system pośredniczący? Jakie metadane znajdują się poza zaszyfrowanym ładunkiem?

Nie są to rozważania czysto akademickie. Już w lutym 2026 roku zagadnienia te stały się przedmiotem interpelacji poselskich.

Ministerstwo Finansów odpowiada, ale architektury nie ujawnia

9 lutego 2026 roku Ministerstwo Finansów opublikowało komunikat dotyczący informacji o zagranicznych dostawcach obsługujących infrastrukturę KSeF. Resort zapewnił, że wszystkie faktury przechowywane są na jego serwerach, a operator usług bezpieczeństwa nie ma wglądu w przesyłane dane. Wskazał również na wykorzystanie szyfrowania zapewniającego ochronę treści faktur.

To ważne deklaracje, ale nie rozstrzygają wszystkich pytań technicznych. 19 lutego poseł Janusz Kowalski skierował interpelację nr 15455 dotyczącą architektury komunikacyjnej KSeF, terminacji TLS, jurysdykcji zagranicznego dostawcy oraz możliwości korzystania z infrastruktury pozostającej całkowicie pod kontrolą państwa.

24 czerwca poseł Bartłomiej Pejo złożył interpelację nr 18034, pytając między innymi o dostęp zagranicznego operatora do metadanych faktur, mechanizmy kontrolne i ewentualne opiniowanie architektury przez polskie służby specjalne.

W odpowiedzi z 10 sierpnia Ministerstwo Finansów powtórzyło, że faktury są przechowywane na serwerach resortu. Jednocześnie odmówiło przedstawienia szczegółów technicznych infrastruktury i współpracy z dostawcami, powołując się na względy bezpieczeństwa.

Ochrona szczegółów infrastruktury krytycznej przed publicznym ujawnieniem może być uzasadniona. Nie oznacza to jednak, że odpowiednie informacje powinny pozostawać poza kontrolą uprawnionych instytucji państwa. Przy tej skali wrażliwości danych potrzebna jest możliwość niezależnego potwierdzenia, że zastosowane rozwiązania zapewniają deklarowany poziom bezpieczeństwa i suwerenności technologicznej.

Kto zaakceptował tę architekturę i kto ją skontrolował?

W naszej ocenie sprawa wymaga kompleksowej kontroli przeprowadzonej przez odpowiednie organy państwa, w tym rozważenia udziału Agencji Bezpieczeństwa Wewnętrznego oraz Służby Kontrwywiadu Wojskowego w zakresie wynikającym z ich ustawowych kompetencji. KSeF przetwarza dane, które mogą mieć znaczenie nie tylko podatkowe, ale również gospodarcze i strategiczne. Wśród użytkowników systemu znajdują się przecież także przedsiębiorstwa działające w sektorach istotnych dla bezpieczeństwa państwa.

Dlatego oczekujemy ustalenia:

1. Kto zatwierdził architekturę komunikacyjną KSeF i zastosowanie infrastruktury Imperva?

2. Gdzie faktycznie następuje terminacja TLS, jakie dane mogą być analizowane przez warstwę WAF i kto kontroluje klucze kryptograficzne?

3. Czy zagraniczny operator ma techniczną możliwość dostępu do metadanych transakcji lub odszyfrowanej treści dokumentów?

4. Jakie dane są logowane, gdzie są przechowywane, przez jaki czas i kto może uzyskiwać do nich dostęp?

5. Czy dokonano analizy ryzyka związanego z jurysdykcją zagranicznego dostawcy, dostępem podmiotów trzecich oraz zależnością operacyjną państwa od jego infrastruktury?

6. Czy ABW lub właściwe organy kontrwywiadowcze opiniowały ten model i jakie wnioski przedstawiono osobom podejmującym decyzję?

7. Czy istnieje plan ciągłości działania pozwalający utrzymać KSeF w przypadku niedostępności lub zakończenia współpracy z dostawcą warstwy WAF?

Nie przesądzamy, że doszło do przekazania danych zagranicznym służbom. Publicznie dostępny materiał nie dowodzi takiego zdarzenia - nie ma jednak powodu, aby pytania o kontrolę nad kryptografią, metadanymi i dostępem do strategicznej infrastruktury fiskalnej pozostawiać wyłącznie do rozstrzygnięcia instytucjom odpowiedzialnym za jej wdrożenie.

Szczególnie że zastosowanie konkretnego produktu bezpieczeństwa nie jest automatycznie równoznaczne z bezpieczną architekturą całego rozwiązania. Certyfikaty, standardy, procedury zakupowe i deklaracje dostawców mają znaczenie. Nie zastępują jednak technicznej weryfikacji rzeczywistego przepływu danych oraz konfiguracji zabezpieczeń.

Jeżeli kontrola wykaże poważne zaniedbania, należy ustalić personalną odpowiedzialność osób, które podjęły lub zatwierdziły odpowiednie decyzje. Ewentualna odpowiedzialność konstytucyjna lub karna musiałaby wynikać z ustalonych naruszeń prawa, a nie wyłącznie z politycznej oceny architektury.

KSeF jest projektem Ministerstwa Finansów, ale bezpieczeństwo państwowych usług cyfrowych wymaga także sprawnej współpracy pomiędzy resortami i wyspecjalizowanymi instytucjami. System gromadzący informacje o polskim obrocie gospodarczym powinien podlegać kontroli odpowiadającej znaczeniu tych danych. Obywatele i przedsiębiorcy mają prawo wiedzieć, że jego bezpieczeństwo zostało niezależnie sprawdzone, a nie jedynie zadeklarowane w komunikacie prasowym.

To są pytania techniczne i ustrojowe o ogromnym znaczeniu dla państwa. Nie rozstrzygnie ich ani konferencja prasowa, ani kolejna strategia cyfryzacji do 2035 roku.

mObywatel. Kod źródłowy pokazany przez dziurkę od klucza

29 grudnia 2025 roku Ministerstwo Cyfryzacji ogłosiło publikację kodu źródłowego mObywatela. Dostępna została jednak tylko część kodu. Jego udostępnienie uzależniono również od potwierdzenia tożsamości. Resort powołał się na rekomendacje zespołów CSIRT i względy bezpieczeństwa. Można dyskutować o zasadności wyłączenia określonych elementów z publikacji. Nie zmienia to jednak faktu, że fragmentaryczny kod nie daje takich możliwości niezależnej analizy jak kompletna, aktualna implementacja.

W styczniu 2026 roku posłanka Paulina Matysiak zwróciła uwagę na ograniczony zakres publikacji i wcześniejszą zmianę przepisów dotyczącą aktualizowania udostępnianego kodu. W naszej ocenie jest to przykład pseudo transparentności mocno kontrolowanej przez samą instytucję, która powinna podlegać weryfikacji.

Państwo mówi obywatelowi: zaufaj naszej aplikacji. Gdy jednak obywatel, a zwłaszcza niezależny badacz bezpieczeństwa, chciałby sprawdzić jej działanie, zakres dostępnych materiałów okazuje się ograniczony. Nie oznacza to, że mObywatel jest niebezpieczny. Oznacza natomiast, że zapowiadana przejrzystość pozostaje niepełna i jest dyskusyjna. 

Zaufanie do państwowego oprogramowania powinno wynikać z możliwości jego rzetenlej weryfikacji, a nie wyłącznie z zapewnień polityków, że wszystko zostało sprawdzone przez odpowiednich ekspertów.

Meta. Siedem dni, 250 milionów euro i wielkie polityczne przedstawienie

W sierpniu 2026 roku kierownictwo Ministerstwa Cyfryzacji przeszło do ofensywy przeciwko firmie Meta (właściciel m.in. Facebooka i Instagrama). 18 sierpnia Krzysztof Gawkowski skierował do koncernu pytania dotyczące między innymi oszukańczych reklam, wykorzystywania wizerunków osób publicznych oraz mechanizmów przeciwdziałania nadużyciom. Meta miała odpowiedzieć w ciągu siedmiu dni. 27 sierpnia minister wystąpił do Komisji Europejskiej z wnioskiem o nałożenie na Meta kary w wysokości 250 milionów euro. Następnie pojawiły się informacje o zabieganiu przez polski resort o poparcie innych państw członkowskich.

Siedem dni. Ćwierć miliarda euro. Komisja Europejska. Wielkie deklaracje. Brakuje tylko muzyki z filmu sensacyjnego. Przy czym jest jeden dość niewygodny szczegół: polski minister nie jest organem, który samodzielnie wymierza Meta wnioskowaną karę na podstawie unijnych przepisów dotyczących największych platform.

Może zawiadamiać Komisję, przedstawiać dowody, wnioskować o podjęcie działań i zabiegać o współpracę innych państw. Nie może jednak zamienić własnego życzenia w decyzję egzekucyjną wyłącznie dlatego, że ogłosił konkretną kwotę przed dziennikarzami. I tu zaczyna się problem politycznej demonstracji siły.

Dla przeciętnego odbiorcy komunikat o żądaniu kary w wysokości 250 milionów euro może brzmieć jak zapowiedź nieuchronnych konsekwencji. W rzeczywistości jest to dopiero żądanie uruchomienia lub wykorzystania odpowiednich mechanizmów prawnych. Meta nie jest oczywiście nietykalna.

W kwietniu 2025 roku Komisja Europejska nałożyła na Meta karę w wysokości 200 milionów euro za naruszenie Digital Markets Act. Brzmi imponująco. Pozostaje jednak znacznie mniej medialne pytanie: czy te pieniądze rzeczywiście zostały wyegzekwowane? Według stanu informacji dostępnych na 16 października 2026 roku nie ma publicznego potwierdzenia zapłaty tej konkretnej kary, a przecież samo ogłoszenie sankcji nie jest przecież tożsame z jej wykonaniem, podobnie jak wydanie decyzji nie gwarantuje zmiany praktyk przedsiębiorstwa.

Dlatego oczekujemy od instytucji europejskich nie tylko informacji o wysokości nakładanych kar, lecz również przejrzystych danych dotyczących ich egzekucji i faktycznych rezultatów - bo jeżeli polityk ogłasza astronomiczne sankcje wobec technologicznego giganta, powinien umieć odpowiedzieć na trzy proste pytania: ile nałożono, ile wyegzekwowano i co rzeczywiście zmieniło się w działaniu przedsiębiorstwa? Bez tych informacji pozostaje efektowny komunikat prasowy. A komunikatem prasowym nie da się wyegzekwować przestrzegania prawa.

Dlatego pytamy Gawkowskiego i Standerskiego: Jakie konkretne dowody przekazano Komisji? Jak uzasadniono wysokość proponowanej kary? Jakie działania podjęto poza wystosowaniem pisma i szukaniem politycznego poparcia? Jakie wymierne efekty osiągnięto do chwili publikacji tego artykułu? Nie znaleźliśmy mimo naszych usilnych starań potwierdzenia, aby wnioskowana przez Gawkowskiego kara 250 milionów euro została już nałożona.

A skoro tak, to na razie mamy żądanie, korespondencję i komunikację polityczną. Nie mamy potwierdzonego rezultatu, którym można byłoby się pochwalić. Zwraca uwagę również fakt, że adresatem pisma ministra był Jakub Turowski, przedstawiciel Meta odpowiedzialny za politykę publiczną w Europie Środkowo-Wschodniej, związany jednocześnie z Radą ds. Cyfryzacji przy ministrze. Sam ten fakt nie dowodzi konfliktu interesów. Powinien jednak skłaniać do pytań o transparentność relacji pomiędzy resortem a firmami, których działania zamierza on kontrolować.

Wysyłanie listów do globalnego koncernu może być elementem postępowania. Nie jest jednak samo w sobie dowodem skutecznego egzekwowania odpowiedzialności, a my oczekujemy rezultatów, nie politycznej inscenizacji stanowczości.

Grożenie globalnym platformom. A może najpierw warto zrozumieć, jak działa Internet?

Osobnym problemem są publiczne deklaracje dotyczące możliwości blokowania czy "wyłączania" wielkich platform. Facebook, Instagram, X i pozostałe globalne usługi nie przestają istnieć dlatego, że polski organ administracyjny ograniczy dostęp do określonej domeny. Blokada DNS nie oznacza usunięcia serwerów, aplikacji, infrastruktury ani danych. Może utrudnić dostęp określonym użytkownikom. Nie wyłącza jednak usługi globalnie i nie jest tożsama z doprowadzeniem do zaprzestania bezprawnych praktyk.

Oczywiście istnieją rzeczywiste instrumenty regulacyjne i sankcyjne, w tym wynikające z prawa UE, ale jeśli politycy mówią o wyłączaniu platform, powinni precyzyjnie wyjaśniać, co właściwie mają na myśli. Czy chodzi o ograniczenie dostępu na terytorium Polski? Nakaz dotyczący określonych treści? Sankcję finansową? Działanie Komisji Europejskiej? A może rozwiązanie wymagające odrębnej podstawy prawnej?

To nie są drobiazgi dla prawników - to są do diaska fundamentalne różnice techniczne i kompetencyjne! Nie da się zarządzać bezpieczeństwem Internetu przy pomocy politycznych metafor, które brzmią potężnie, ale nie wyjaśniają rzeczywistych możliwości państwa.

Jak naprawdę uderzyć w model biznesowy Meta? Zacząć od edukacji!

I tutaj dochodzimy do kwestii, którą uważamy za znacznie ważniejszą niż polityczne przepychanki o wysokość kolejnych kar. Prywatność obywateli. Meta zarabia ogromne pieniądze na reklamie i wykorzystaniu informacji o aktywnośći użytkowników.

Facebook i Instagram są istotnymi elementami tego modelu. WhatsApp korzysta z innej konstrukcji usługowej, w tym szyfrowania end-to-end prywatnych wiadomości, ale również pozostaje częścią tego samego koncernu i przetwarza określone dane związane z korzystaniem z usługi. Problem nie sprowadza się do pytania, czy konkretna reklama jest legalna. Chodzi również o skalę informacji, jakie użytkownicy przekazują platformom, często nie rozumiejąc, jakie wnioski można z nich wyciągnąć.

Lokalizacja, kontakty społeczne, zainteresowania, zachowania zakupowe, aktywność w aplikacjach i na stronach internetowych - wszystko to może służyć do budowania szczegółowych profili. Dlatego zamiast ograniczać się do kolejnych konferencji dotyczących sankcji, oczekiwałbym od państwa szerokiej, konsekwentnej edukacji w zakresie prywatności.

Nie jednorazowego filmu promocyjnego. Nie kolejnego portalu z poradami, którego przeciętny obywatel nigdy nie odwiedzi. Powszechnej, zrozumiałej edukacji pokazującej, jakie informacje zbierają platformy, jak działają mechanizmy profilowania, jak ograniczać udostępnianie danych i jakie istnieją alternatywy.

Wyobraźmy sobie sytuację, w której miliony Europejczyków świadomie ograniczają korzystanie z Facebooka i Instagrama, ponieważ nie akceptują określonych praktyk przetwarzania danych. Dla koncernu utrzymującego się przede wszystkim z reklamy oznaczałoby to poważną presję ekonomiczną. Nie byłaby ona skutkiem administracyjnego blokowania domen ani politycznej deklaracji ministra. Wynikałaby z decyzji samych użytkowników.

Nie twierdzę, że taki scenariusz automatycznie doprowadziłby do upadku Mety. Efekt sieciowy, dominująca pozycja platform i przyzwyczajenia użytkowników są niezwykle silne, ale trwała zmiana zachowań konsumentów może oddziaływać na model biznesowy znacznie szerzej niż pojedynczy spór regulacyjny. To właśnie ten kierunek uważamy za wart większego zainteresowania administracji - no, ale to trzeba mieć, jak mawiał mości Zagłoba, oleum w głowie.

Nie wystarczy grozić gigantowi. Trzeba sprawić, żeby obywatele rozumieli, ile warte są ich dane i potrafili samodzielnie zdecydować, czy chcą nadal powierzać je temu gigantowi. Jeżeli państwo zamierza walczyć o prywatność obywateli, niech potraktuje ich jak świadomych ludzi, których warto edukować, zamiast sprowadzać całą politykę do wysokości potencjalnych sankcji.

DSA i blokowanie treści w Internecie

8 października 2026 roku Sejm przyjął ustawę dotyczącą krajowych mechanizmów realizacji Aktu o usługach cyfrowych. 14 października Senat przyjął poprawki rozszerzające możliwość natychmiastowego wykonywania określonych nakazów dotyczących nielegalnych treści. Według Ministerstwa Cyfryzacji w pewnych sprawach dotyczących przemocy lub bezprawnych gróźb decyzje mają być podejmowane przez Prezesa UKE albo Przewodniczącego KRRiT, zamiast przez sąd jako organ pierwszej instancji.

Równocześnie projekt przewiduje określone mechanizmy związane z ograniczaniem dostępu do domen internetowych. Tutaj nasze stanowisko jest jednoznaczne - kategorcznie sprzeciwiamy się proponowanemu systemowi administracyjnego blokowania całych domen. Nie dlatego, że akceptujemy przestępstwa w Internecie, a dDlatego, że blokowanie całych domen jest środkiem, który może oddziaływać również na legalne treści i usługi.

Blokowanie rozwiązywania nazwy domenowej nie usuwa danych z serwera, nie zatrzymuje automatycznie sprawcy i nie likwiduje infrastruktury wykorzystywanej do popełnienia przestępstwa - ogranicza natomiast dostęp użytkowników korzystających z określonej konfiguracji sieciowej. A jeżeli pod jedną domeną znajdują się materiały legalne i nielegalne, pojawia się problem nadmiernego blokowania.

Kontrola sądowa jest ważna, ale kontrola przeprowadzona po wykonaniu decyzji nie pozwoli odwrócić wszystkie jej konsekwencje! W przypadku publikacji dziennikarskiej czy informacji o bieżących wydarzeniach nawet krótkotrwałe ograniczenie dostępu może mieć istotne znaczenie. Wprowadzanie takich mechanizmów wymaga więc szczególnie mocnego uzasadnienia, precyzyjnych przesłanek i skutecznych zabezpieczeń.

Nie wystarczy zapewnienie, że politycy mają dobre intencje bo intencje obecnych polityków nie będą obowiązywały ich następców. Raz ustanowione kompetencje administracji mogą być później wykorzystywane przez kolejne kierownictwa państwa. Na HACKIN9 przedstawiliśmy już swoje stanowisko w manifeście "Ręce precz od Internetu!".Podtrzymujemy zatem sprzeciw wobec proponowanego mechanizmu blokowania domen.

Ministerstwo techniczne zarządzane przez polityków. Dlaczego mamy to akceptować?

Zdajemy sobie sprawę, że w demokratycznym państwie ministrowie są powoływani w ramach procesu politycznego. Nie oznacza to jednak, że powinniśmy  akceptować dowolnie niski standard przygotowania technologicznego osób kierujących resortem cyfryzacji. Uważamy, że minister odpowiedzialny za technologie powinien posiadać rzeczywistą wiedzę techniczną. Tak, również podstawy programowania. Tak, również znajomość architektury sieci komputerowych i tak, również rozumienie kryptografii, uwierzytelniania, zarządzania tożsamością, zasad bezpieczeństwa systemów oraz technicznych konsekwencji proponowanych regulacji.

Nie oczekujemy, że minister będzie osobiście programował mObywatela, oczekujeym natomiast, że potrafi samodzielnie zrozumieć raport techniczny, ocenić architekturę rozwiązania, rozpoznać błędne założenia i merytorycznie zakwestionować rekomendacje swoich doradców. Doświadczenie polityczne nie zastępuje wiedzy specjalistycznej.

Podobnie jak doskonała prezentacja handlowa nie dowodzi, że sprzedawca potrafi zaprojektować system, który reklamuje. Nie powierzylibyśmy projektowania samolotu człowiekowi, który nie rozumie aerodynamiki, tylko dlatego, że jest znakomitym organizatorem konferencji. Dlaczego więc zarządzanie cyfrową infrastrukturą państwa miałoby wymagać wyłącznie sprawności politycznej?

Realne kompetencje technologiczne powinny stanowić jeden z podstawowych warunków obejmowania najwyższych stanowisk w resorcie odpowiedzialnym za cyfryzację. W naszej skronmej ocenie kierownictwo Ministerstwa Cyfryzacji powinno podlegać znacznie bardziej szczegółowej ocenie merytorycznej niż zwykłemu politycznemu rozliczeniu z liczby ogłoszonych projektów.

Cztery nazwiska, cztery zakresy odpowiedzialności

Krzysztof Gawkowski odpowiada za polityczne kierowanie resortem, jego priorytety i ogólną skuteczność działania. Dariusz Standerski uczestniczy w przygotowywaniu i komunikowaniu istotnych projektów technologicznych i regulacyjnych. Powinien zatem odpowiadać na szczegółowe pytania dotyczące ich technicznych i prawnych założeń. Michał Gramatyka odpowiada za powierzone mu obszary transformacji cyfrowej i telekomunikacji. Jego działania należy oceniać na podstawie dostępności usług, jakości wdrożeń, transparentności i rezultatów. Paweł Olszewski zajmuje się zagadnieniami cyberbezpieczeństwa. W tym obszarze szczególnie istotne jest rozliczanie polityki prewencji, koordynacji i odporności systemów.

Nikt z nas nie twierdzi, że cztery osoby odpowiadają osobiście za każdy cyberatak czy każdą awarię. Uważamy jednak, że żadna z nich nie powinna być oceniana wyłącznie przez pryzmat politycznej komunikacji. W każdym z tych obszarów potrzebujemy jasno określonych celów, kompetencji, wskaźników wyników i odpowiedzialności za ich realizację.

Kwestionujemy obecną strukturę resortu i domagamy się natychmiastowej dymisji kierownictwa

Nasze zastrzeżenia nie ograniczają się do poszczególnych decyzji czy komunikatów. Kwestionujemy sens dalszego utrzymywania Ministerstwa Cyfryzacji w jego obecnej formule organizacyjnej i modelu zarządzania. Nie domagamy się likwidacji państwowych kompetencji w dziedzinie informatyzacji. Przeciwnie. Uważamy, że są zbyt ważne, aby ich funkcjonowanie pozostawało poza gruntowną oceną.

Polska potrzebuje instytucji, która potrafi profesjonalnie zarządzać technologią, rozliczać dostawców, koordynować bezpieczeństwo cyfrowe i skutecznie chronić prawa obywateli. Potrzebuje kierownictwa posiadającego nie tylko polityczny mandat, ale również przygotowanie merytoryczne do sprawowania nadzoru nad złożonymi systemami.

Nie przekonuje nas model, w którym resort ogłasza kolejne sukcesy, a obywatel ma samodzielnie ustalać, czy jego dane wyciekły, jak chronić swoją tożsamość i które państwowe zapewnienia o bezpieczeństwie odpowiadają rzeczywistości.

Nie przekonuje nas również model, w którym ministerstwo tak wiele uwagi poświęca nowym instrumentom administracyjnego ograniczania dostępu do informacji, a tak trudno uzyskać spójną ocenę rzeczywistych efektów jego polityki bezpieczeństwa. Wreszcie, nie akceptujemy traktowania technicznych kompetencji kierownictwa jako drugorzędnego dodatku do politycznego doświadczenia.

Domagamy się zatem jak najszybszej dymisji Krzysztofa Gawkowskiego, Dariusza Standerskiego, Michała Gramatyki i Pawła Olszewskiego oraz gruntownej reformy struktury i sposobu zarządzania Ministerstwem Cyfryzacji.

To nasz postulat wynikający z oceny priorytetów resortu, sposobu komunikowania jego działalności oraz standardów zarządzania technologią, których oczekuje od administracji publicznej. Nie oczekujemy kolejnej kosmetycznej reorganizacji, nowego logotypu ani następnej wieloletniej strategii. Oczekujemy kompetentnego kierownictwa, przejrzystego podziału odpowiedzialności i mierzalnych rezultatów. Przede wszystkim zaś oczekujemy państwa, które rozumie, że bezpieczeństwo cyfrowe obywateli to nie tylko nowe przepisy, wielkie budżety i kolejne systemy informatyczne.

To również edukacja, prywatność, niezawodność usług i wolność korzystania z Internetu. Nie chcemy państwa, które nie potrafi zagwarantować wystarczającej ochrony naszych danych, ale chce otrzymywać kolejne narzędzia kontrolowania tego, do jakich informacji mogę mieć dostęp.

Nie chcemy również ministerstwa, w którym miarą skuteczności polityka staje się rozmiar kary, której zażądał od zagranicznego koncernu, zamiast rezultatu, jaki rzeczywiście udało się uzyskać. Bo wysłanie pisma do Meta nie jest zwycięstwem nad Meta. Ogłoszenie inwestycji nie jest jeszcze poprawą cyberbezpieczeństwa.

A posiadanie stanowiska ministra cyfryzacji nie oznacza automatycznie posiadania kompetencji do zarządzania technologią. Cyfrowa tarcza powinna chronić obywateli, a nie polityczny wizerunek kierownictwa resortu. I właśnie dlatego domagamy się reformy Ministerstwa Cyfryzacji oraz odejścia jego obecnego politycznego kierownictwa.

Internet nie należy do ministra. Nasze dane nie są własnością administracji. A bezpieczeństwo obywateli jest zbyt poważną sprawą, żeby sprowadzać je do politycznego spektaklu. Ręce precz od naszego Internetu. I najwyższy czas zacząć rozliczać tych, którzy odpowiadają za cyfrową przyszłość państwa.