Cyberbezpieczeństwo żołnierza – prywatny telefon i media społecznościowe

Jakie dane i zagrożenia występują przy prywatnym telefonie i social mediach?

W sprawach dotyczących cyberbezpieczeństwa żołnierza trzeba rozdzielić co najmniej trzy sytuacje: samo posiadanie i wnoszenie prywatnego urządzenia do obiektu wojskowego, korzystanie z niego podczas służby oraz publikowanie informacji w Internecie. Każda z nich może podlegać innym zasadom.

Decyzja nr 77/MON Ministra Obrony Narodowej z 9 czerwca 2020 r. zalicza do urządzeń przetwarzających obraz i dźwięk między innymi telefony komórkowe, smartfony, aparaty, smartwatche, kamery, tablety, laptopy i komputery. Nie chodzi więc wyłącznie o telefon wyposażony w aparat fotograficzny. Ograniczenia mogą dotyczyć również zegarka z mikrofonem, kamery sportowej lub innego urządzenia zdolnego do rejestrowania albo przekazywania obrazu i dźwięku.

W strefie ochronnej I prywatnego telefonu co do zasady nie można wnosić i używać. W strefie ochronnej II prywatne urządzenie żołnierza lub pracownika danej jednostki również jest zasadniczo niedopuszczalne, jednak w szczególnie uzasadnionym przypadku kierownik jednostki lub komórki organizacyjnej może wyrazić pisemną zgodę. W strefie ochronnej III zasady są łagodniejsze, lecz nawet tam konkretne przedsięwzięcie może wymagać zdeponowania urządzeń.

Szczególne znaczenie mają odprawy, narady i inne przedsięwzięcia, podczas których przetwarza się informacje niejawne. Decyzja nr 77/MON przewiduje między innymi deponowanie urządzeń uczestników w punktach depozytowych przy przedsięwzięciach dotyczących informacji o klauzuli „zastrzeżone” lub „poufne”. Sam fakt, że żołnierz mógł wcześniej wejść z telefonem do określonej części obiektu, nie oznacza więc, że może używać go podczas każdej odprawy.

W mediach społecznościowych ryzyko powstaje natomiast nie tylko wtedy, gdy żołnierz publikuje skan dokumentu. Źródłem informacji mogą być również:

• automatycznie oznaczona lokalizacja i czas wykonania zdjęcia,
• budynki, bramy, stanowiska ochronne i układ pomieszczeń widoczne w tle,
• numery pojazdów, oznaczenia sprzętu, wyposażenie i ekrany urządzeń,
• nazwy jednostek, pododdziałów, stanowisk lub nazwiska innych żołnierzy,
• informacja o terminie wyjazdu, ćwiczeń, dyslokacji albo nieobecności pododdziału,
• listy uczestników, grafiki służby, dokumenty pozostawione w tle fotografii,
• regularnie publikowane dane, które pojedynczo wydają się nieistotne, ale po połączeniu pozwalają odtworzyć schemat działania jednostki.

Takie informacje mogą zostać zestawione z danymi pochodzącymi z innych otwartych źródeł. Z punktu widzenia bezpieczeństwa liczy się więc nie tylko treść pojedynczego posta, lecz także możliwość zbudowania z wielu publikacji szerszego obrazu działalności żołnierza lub jednostki.

Podstawy przetwarzania danych i zakres informacji

Nie każda czynność dotycząca telefonu lub profilu społecznościowego żołnierza podlega identycznemu reżimowi ochrony danych. Ustawa o obronie Ojczyzny zawiera własne podstawy przetwarzania informacji przez organy wojskowe, a art. 10 tej ustawy przewiduje w określonym zakresie możliwość przetwarzania informacji, w tym danych osobowych, bez zgody i wiedzy osoby, której dane dotyczą. Jednocześnie część przetwarzania związanego z bezpieczeństwem państwa i obronnością znajduje się poza zakresem stosowania RODO.

Nie oznacza to jednak, że każda czynność jednostki wojskowej jest wyłączona z zasad ochrony danych. W zwykłych sprawach administracyjnych, organizacyjnych czy innych operacjach nieobjętych wyłączeniem może mieć zastosowanie RODO, w tym zasada legalności, ograniczenia celu, minimalizacji danych i bezpieczeństwa przetwarzania. Dlatego przed oceną żądania trzeba ustalić przede wszystkim po co dane są zbierane, przez jaki podmiot, na jakiej podstawie i do jakiego zadania mają zostać wykorzystane.

Szczególnie wyraźnie widać tę różnicę przy zgodzie na wniesienie prywatnego telefonu do strefy ochronnej II. Jeżeli zgoda jest udzielana w szczególnie uzasadnionym przypadku na zasadach decyzji nr 77/MON, dokument powinien zawierać m.in. rodzaj, markę i model urządzenia, numer fabryczny lub IMEI, numer telefonu, nazwę operatora, numer karty SIM, adres MAC Wi-Fi i Bluetooth oraz imię i nazwisko użytkownika. Dane te mogą następnie znaleźć się w rejestrze urządzeń.

Jest to jednak ewidencja samego urządzenia i uprawnienia do jego wniesienia. Z tych przepisów nie wynika ogólne uprawnienie dowódcy do swobodnego przeglądania prywatnej galerii zdjęć, prywatnych rozmów, kont bankowych, historii przeglądarki czy wszystkich komunikatorów żołnierza.

Przymusowy dostęp do danych przechowywanych w telefonie może natomiast wynikać z odrębnej procedury, np. postępowania karnego. Kodeks postępowania karnego przewiduje stosowanie przepisów o zatrzymaniu rzeczy i przeszukaniu także odpowiednio do danych informatycznych znajdujących się w urządzeniach oraz systemach. W takiej sytuacji zakres uprawnień i środków zaskarżenia ocenia się już na podstawie przepisów procesowych, a nie samej decyzji dotyczącej zasad używania telefonu w jednostce.

Podobnie trzeba odróżnić zobaczenie publicznego wpisu w serwisie społecznościowym od systematycznego gromadzenia, utrwalania i wykorzystywania informacji o żołnierzu. To, że post jest publicznie dostępny, nie przesądza jeszcze o dowolności dalszego przetwarzania zgromadzonych z niego danych przez każdy podmiot i w każdym celu.

Profil społecznościowy może również ujawniać informacje dotyczące statusu osobistego, np. drugiego obywatelstwa. Samego problemu cyberbezpieczeństwa nie należy jednak mieszać ze skutkami statusowymi. Odrębnie omawiamy podwójne obywatelstwo i jego znaczenie na gruncie przepisów wojskowych.

Dokumenty, zgody i skargi – co powinien zrobić żołnierz?

Jeżeli problem dotyczy prywatnego telefonu, pierwszym krokiem nie powinno być automatyczne powoływanie się na prywatność albo RODO. Najpierw trzeba ustalić, jaka zasada obowiązuje w konkretnym miejscu i w odniesieniu do konkretnej czynności.

Jeżeli prywatny telefon ma wyjątkowo zostać dopuszczony do strefy ochronnej II, warto zachować kopię pisemnej zgody oraz sprawdzić, czy zakres wpisywanych danych odpowiada wymaganiom decyzji nr 77/MON. Zgoda na wniesienie telefonu do chronionego miejsca jest czym innym niż zgoda na przetwarzanie danych osobowych w rozumieniu RODO i czym innym niż zgoda na przeglądanie zawartości urządzenia.

Jeżeli żołnierz kwestionuje sposób przetwarzania swoich danych w sprawie podlegającej RODO, powinien w pierwszej kolejności ustalić administratora i – jeżeli został wyznaczony – inspektora ochrony danych. Może zwrócić się m.in. o informację o celu i podstawie przetwarzania, zakresie danych, ich źródle, odbiorcach i okresie przechowywania, o ile w konkretnej sprawie przepisy nie ograniczają tych uprawnień.

W zwykłym reżimie RODO administrator powinien odpowiedzieć na żądanie dotyczące praw osoby bez zbędnej zwłoki, zasadniczo w ciągu miesiąca. W sprawach złożonych termin może zostać przedłużony maksymalnie o kolejne dwa miesiące, przy czym osoba powinna zostać poinformowana o przedłużeniu i jego przyczynach.

Jeżeli RODO ma zastosowanie, a żołnierz uważa, że dane są przetwarzane niezgodnie z prawem, możliwa jest skarga do Prezesa Urzędu Ochrony Danych Osobowych. Wcześniejsze zwrócenie się do administratora lub IOD pozwala ustalić podstawę działania i zgromadzić dokumenty potrzebne do skargi.

Inną ścieżką są skargi i wnioski dotyczące działania organów resortu obrony narodowej. Ministerstwo Obrony Narodowej prowadzi procedurę skargową na podstawie działu VIII Kodeksu postępowania administracyjnego. Nie zastępuje ona jednak szczególnego odwołania od decyzji, orzeczenia dyscyplinarnego ani środka przewidzianego w postępowaniu karnym. W sprawach wynikających ze stosunku służbowego trzeba ponadto uwzględnić właściwą drogę służbową i art. 122 ustawy o obronie Ojczyzny.

Odmowa zezwolenia na wniesienie telefonu do chronionej strefy nie musi być decyzją administracyjną, od której przysługuje standardowe odwołanie w terminie znanym z KPA. Przed składaniem środka zaskarżenia trzeba więc sprawdzić, jaki charakter prawny ma konkretne rozstrzygnięcie. Samo nazwanie pisma „decyzją” przez przełożonego nie przesądza jeszcze o tym, że jest to decyzja administracyjna.

Ryzyka dla żołnierza i jednostki

Najpoważniejszym błędem jest utożsamianie zakazu publikacji wyłącznie z dokumentami oznaczonymi klauzulą tajności. Art. 268 ustawy o obronie Ojczyzny nakłada na żołnierzy obowiązek zachowania w tajemnicy informacji niejawnych oraz innych informacji chronionych, z którymi zapoznali się podczas pełnienia służby lub w związku z nią. Obowiązek ten trwa także po zakończeniu służby wojskowej.

Niezależnie od tego art. 353 ustawy o obronie Ojczyzny określa naruszenie dyscypliny wojskowej szerzej. Może nim być zachowanie godzące w dobre imię lub interes Sił Zbrojnych, niewykonanie obowiązków wynikających z prawa, regulaminów, zasad etyki, rozkazów lub poleceń, a wprost wymieniono również ujawnienie informacji pozostającej w związku z wykonywaniem czynności służbowych, jeżeli spowodowało to lub mogło spowodować szkodę w służbie.

Dlatego ocena posta powinna obejmować nie tylko pytanie „czy informacja była tajna?”, ale również:

• skąd żołnierz znał daną informację,
• czy pozostawała ona w związku z czynnościami służbowymi,
• czy obowiązywał zakaz fotografowania, nagrywania lub publikacji,
• czy można było przewidzieć, że publikacja stworzy zagrożenie dla jednostki, ludzi albo wykonywanego zadania,
• czy zachowanie było umyślne, czy wynikało z niezachowania wymaganej ostrożności.

Ma to znaczenie także przy nieumyślnym ujawnieniu danych. Zgodnie z art. 354 przewinienie dyscyplinarne może być zawinione również wtedy, gdy żołnierz nie zamierzał naruszyć obowiązków, ale nie zachował ostrożności wymaganej w danych okolicznościach, mimo że możliwość naruszenia mógł i powinien przewidzieć.

Jeżeli sprawa prowadzi do postępowania dyscyplinarnego, znaczenie mają również terminy. Co do zasady nie można wymierzyć żołnierzowi kary dyscyplinarnej po upływie roku od popełnienia przewinienia. Ustawa przewiduje jednak przypadki, w których bieg tego terminu nie rozpoczyna się albo ulega zawieszeniu, a gdy czyn jest jednocześnie przestępstwem lub wykroczeniem, stosowany jest dłuższy okres odpowiadający przedawnieniu danego czynu.

Publikacja może także wywołać konsekwencje poza postępowaniem dyscyplinarnym. Jeżeli zachodzi podejrzenie przestępstwa, odpowiedzialność dyscyplinarna może istnieć niezależnie od odpowiedzialności karnej. Skutki takiego postępowania dla służby omawia osobny materiał o tym, czym jest sprawa karna żołnierza.

Z perspektywy jednostki problemem jest również możliwość wykorzystania prywatnego urządzenia jako narzędzia pozyskania informacji. Złośliwa aplikacja, przejęte konto, automatyczna synchronizacja zdjęć z chmurą, włączona lokalizacja, niezabezpieczone Wi-Fi lub Bluetooth mogą doprowadzić do ujawnienia informacji nawet bez świadomego działania użytkownika. Dlatego bezpieczeństwo telefonu nie sprowadza się wyłącznie do zakazu wykonywania zdjęć.

Nie należy też wychodzić z założenia, że własność prywatna daje pełną swobodę korzystania z przedmiotu podczas wykonywania zadań wojskowych. Przepisy i zasady bezpieczeństwa mogą ograniczać używanie prywatnych rzeczy w warunkach służby. W odrębnym kontekście pokazuje to materiał dotyczący prywatnej broni żołnierza.

Jeżeli doszło już do przypadkowej publikacji informacji związanych ze służbą, rozsądne działanie polega przede wszystkim na ograniczeniu dalszej publicznej dostępności materiału, zachowaniu informacji pozwalających ustalić co i kiedy zostało opublikowane oraz niezwłocznym zgłoszeniu zdarzenia zgodnie z obowiązującymi w jednostce procedurami. Nie należy próbować ukrywać incydentu ani samodzielnie oceniać, że informacja „na pewno nie była ważna”, jeżeli mogła dotyczyć bezpieczeństwa jednostki lub informacji chronionych.

FAQ

Czy dowódca może kazać żołnierzowi odblokować prywatny telefon?

Sama decyzja nr 77/MON dotycząca wnoszenia i używania urządzeń nie tworzy ogólnego prawa do przeglądania całej zawartości prywatnego telefonu. Jeżeli żądanie dotyczy dostępu do danych, trzeba ustalić jego odrębną podstawę – np. przepisy postępowania dyscyplinarnego, karnego albo szczególne kompetencje właściwego organu. Istotne jest również, kto wydaje żądanie i w jakiej procedurze.

Czy żołnierz może opublikować w Internecie zdjęcie w mundurze?

Samo wystąpienie w mundurze na prywatnym zdjęciu nie przesądza o naruszeniu prawa. Ryzyko zależy od treści zdjęcia, miejsca jego wykonania, widocznego otoczenia, oznaczenia lokalizacji, informacji ujawnionych w opisie oraz obowiązujących poleceń i zasad bezpieczeństwa. Szczególnej ostrożności wymagają zdjęcia wykonane na terenie wojskowym lub podczas czynności służbowych.

Czy publiczny profil społecznościowy żołnierza może być sprawdzany przez jednostkę?

Publiczne treści są dostępne również dla osób działających w jednostce, ale utrwalanie i wykorzystywanie informacji o żołnierzu musi mieć podstawę odpowiadającą celowi konkretnego działania. Inaczej należy oceniać zwykłe zapoznanie się z publicznym postem, inaczej systematyczne gromadzenie danych, a jeszcze inaczej czynności prowadzone w ramach ustawowych zadań związanych z obronnością lub bezpieczeństwem państwa.

Czy jednostka może żądać numeru IMEI i adresu MAC prywatnego telefonu?

Takie dane są wprost przewidziane w decyzji nr 77/MON w związku z pisemną zgodą na wyjątkowe wniesienie prywatnego urządzenia przez żołnierza lub pracownika danej jednostki do strefy ochronnej II. Zgoda powinna obejmować m.in. model urządzenia, IMEI, numer telefonu, operatora, numer karty SIM i adresy MAC Wi-Fi oraz Bluetooth. Nie oznacza to jednak nieograniczonego prawa do pozyskiwania takich identyfikatorów w każdym miejscu i w każdym celu.

Czy skarga do UODO zawsze jest właściwa w sprawie danych żołnierza?

Nie. Najpierw trzeba ustalić, czy konkretne przetwarzanie podlega RODO. Ustawa o obronie Ojczyzny przewiduje szczególny reżim dla części działań związanych z bezpieczeństwem państwa i obronnością. Jeżeli natomiast operacja podlega RODO, żołnierz może korzystać z praw wobec administratora oraz – w razie naruszenia – złożyć skargę do Prezesa UODO.

Co zrobić po przypadkowym opublikowaniu informacji z jednostki?

Jeżeli materiał nadal jest publiczny, należy przede wszystkim ograniczyć jego dalsze rozpowszechnianie, zachować dane pozwalające odtworzyć zakres i czas publikacji oraz zgłosić incydent zgodnie z zasadami obowiązującymi w jednostce. Przy informacji niejawnej lub innym realnym zagrożeniu bezpieczeństwa nie należy zwlekać z powiadomieniem właściwego przełożonego lub osoby odpowiedzialnej za ochronę informacji.

Źródła

• Ustawa z dnia 11 marca 2022 r. o obronie Ojczyzny, tekst jednolity Dz.U. z 2025 r. poz. 825 ze zm., w szczególności art. 10, art. 122, art. 268, art. 348, art. 353, art. 354 oraz art. 382.
• Ustawa z dnia 5 sierpnia 2010 r. o ochronie informacji niejawnych, tekst jednolity Dz.U. z 2025 r. poz. 1209.
• Decyzja nr 77/MON Ministra Obrony Narodowej z dnia 9 czerwca 2020 r. w sprawie zasad używania urządzeń do przetwarzania obrazu i dźwięku oraz organizacji ochrony informacji niejawnych podczas przedsięwzięć realizowanych w komórkach i jednostkach organizacyjnych podległych Ministrowi Obrony Narodowej lub przez niego nadzorowanych, Dz. Urz. MON z 2020 r. poz. 94.
• Rozporządzenie Parlamentu Europejskiego i Rady UE 2016/679, w szczególności art. 2, art. 5, art. 6, art. 12–15 i art. 77.
• Ustawa z dnia 6 czerwca 1997 r. – Kodeks postępowania karnego, tekst jednolity Dz.U. z 2026 r. poz. 490 ze zm., w szczególności przepisy rozdziału 25 oraz art. 236a.
• Ministerstwo Obrony Narodowej, oficjalna informacja „Skargi i wnioski”, aktualizacja z 8 lipca 2026 r.