Osoby z kontem w Systemie Obsługi Programów Ministerstwa Kultury powinny dziś zastrzec PESEL, bo po ataku z 6 października 2026 roku ich PESEL i numer dowodu mogły trafić w obce ręce. Na liście zagrożonych danych jest też numer konta bankowego. Tak pisze sam resort w zawiadomieniu, które zastąpiło stronę systemu, i dodaje drugie zalecenie: rozważyć wymianę dokumentu tożsamości. Wymiana dowodu osobistego z tego powodu jest bezpłatna, ale zaczyna się od unieważnienia starego dokumentu, więc warto znać kolejność kroków, zanim pójdziesz do urzędu. Stan na 4 listopada 2026 roku, godz. 12:10, według zawiadomienia na stronie SOP, komunikatu ministerstwa na gov.pl i stron usług na gov.pl.
Co się stało w Systemie Obsługi Programów
System Obsługi Programów (SOP) to serwis, przez który instytucje i inne uprawnione podmioty składają wnioski o dofinansowanie z programów ministra kultury. Obsługuje też wnioski o stypendia ministra. Według zawiadomienia o naruszeniu ochrony danych 6 października w godzinach 11-16 doszło do “zamierzonego ataku hakerskiego na aplikację SOP na serwerze podmiotu przetwarzającego”. Podmiot przetwarzający to ten, któremu ministerstwo powierzyło przetwarzanie danych. Resort go nie nazywa.
Przyczyną była luka w systemie, a sprawca jest nieustalony. Ministerstwo pisze, że naruszenie wykryto tego samego dnia. ABW powiedziała PAP, że zespół CSIRT GOV zidentyfikował naruszenie 7 października. 9 października resort opublikował na gov.pl krótki komunikat bez listy danych. Pełne zawiadomienie z listą danych i zaleceniami wisi na stronach sopprogramy.mkidn.gov.pl i sopstypendia.mkidn.gov.pl. Serwer podaje jako datę ostatniej zmiany tego pliku 20 października; daty pierwszej publikacji nie znamy.
Rzecznik resortu Piotr Jędrzejowski powiedział PAP, że w SOP zarejestrowanych jest około 24 tysięcy użytkowników: 14 tysięcy kont w programach i 10 tysięcy w stypendiach. Ilu osób faktycznie dotyczy wyciek, resort nie podaje. Rzecznik mówi, że wycieku nie można wykluczyć, ale “w samym systemie nie zidentyfikowano śladów kopiowania danych lub przesyłania ich na zewnątrz”.
Na zdjęciu wyróżniającym: Pałac Potockich, siedziba ministerstwa. Fot. Adrian Grycuk, Wikimedia Commons, licencja CC BY-SA 3.0 PL.
Jakie dane mogły wyciec z SOP
Według zawiadomienia naruszenie mogło objąć dziewięć kategorii danych osobowych:
- imię i nazwisko,
- adres zamieszkania, adres zameldowania, adres związany z prowadzoną działalnością,
- numer telefonu,
- adres e-mail,
- numer PESEL,
- numer i seria dokumentu tożsamości,
- obywatelstwo,
- kraj,
- numer rachunku bankowego.
Resort zaznacza, że wśród nich nie było danych szczególnych kategorii z art. 9 RODO, na przykład o zdrowiu, ani danych o wyrokach z art. 10 RODO. Sam ocenia, że naruszenie może powodować “wysokie ryzyko naruszenia Państwa praw lub wolności”. Właśnie dlatego zawiadamia użytkowników na podstawie art. 34 RODO. Jako możliwe skutki wymienia podszywanie się, próby oszustwa i wyłudzenie kredytu.
Resort nie podał, które grupy użytkowników ani które konta mogło objąć naruszenie. Zalecenia z zawiadomienia dotyczą więc każdego, kto miał konto w SOP, także osoby zakładającej je w imieniu instytucji, jeśli podawała przy tym własne dane.
Serwis bezpiecznedane.gov.pl 4 listopada przed południem nadal miał dane tylko z wycieków w MyDr i Qbusoft. Sprawdzenie tam swojego PESEL-u nic nie powie o SOP. Jak działa ten serwis, opisaliśmy przy wycieku z Medyc i Qbusoft.
Co zaleca Ministerstwo Kultury
Ministerstwo zaleca w zawiadomieniu sześć działań:
- zachowanie szczególnej ostrożności w przypadku wiadomości e-mail, SMS-ów lub telefonów dotyczących twoich danych;
- nieprzekazywanie osobom trzecim haseł, kodów autoryzacyjnych ani innych danych umożliwiających dostęp do kont;
- zmianę hasła, jeżeli naruszenie obejmowało dane umożliwiające dostęp do konta;
- monitorowanie aktywności na rachunku bankowym, jeżeli ujawniono dane finansowe;
- zastrzeżenie numeru PESEL;
- rozważenie wymiany dokumentu tożsamości.
Przy podejrzanej wiadomości albo telefonie resort każe sprawdzić rozmówcę przez oficjalny kanał kontaktu. Pytania o naruszenie przyjmuje inspektor ochrony danych ministerstwa pod adresem iod@kultura.gov.pl. Jeśli hasło z SOP było takie samo jak do poczty albo innego serwisu, zmień je również tam.
Jak zastrzec PESEL po wycieku z SOP
Zastrzeżenie PESEL zajmuje kilka minut, jest bezpłatne i działa od razu. Od 1 czerwca 2024 roku banki i inne instytucje finansowe muszą sprawdzać, czy PESEL jest zastrzeżony, zanim podpiszą umowę kredytu albo pożyczki. Według opisu usługi na gov.pl z zastrzeżonym numerem nadal zarejestrujesz się do lekarza, zrealizujesz receptę, wypłacisz pieniądze z bankomatu, zlecisz przelew, wyjedziesz za granicę i załatwisz sprawę w urzędzie.
- Na stronie usługi kliknij Zastrzeż PESEL lub cofnij zastrzeżenie i zaloguj się. Wystarczy profil zaufany, podpis kwalifikowany, e-dowód albo dane do bankowości elektronicznej.
- System przeniesie cię do mObywatel.gov.pl. Wybierz Zastrzeż PESEL.
- Bez internetu złóż wniosek w dowolnym urzędzie gminy, z dowodem osobistym albo paszportem.
Tę samą usługę ma aplikacja mObywatel.
Zastrzeżenie cofniesz tą samą drogą, także na określony czas, na przykład na dzień podpisania umowy kredytowej. Co zastrzeżenie blokuje, a czego nie, opisaliśmy w tekście o tym, co realnie daje zastrzeżenie PESEL.
Wymiana dowodu osobistego po wycieku krok po kroku
Wymiana dowodu po wycieku ma dwa etapy: najpierw zgłaszasz podejrzenie nieuprawnionego wykorzystania danych, co od razu unieważnia stary dowód, a potem składasz wniosek o nowy. Podstawą jest art. 46 ust. 1 pkt 5a ustawy o dowodach osobistych. Pozwala on wydać nowy dowód, gdy posiadacz uprawdopodobni podejrzenie nieuprawnionego wykorzystania swoich danych, w tym serii i numeru dowodu.
Krok 1. Zgłoś nieuprawnione wykorzystanie danych
Zgłoszenie składasz w dowolnym urzędzie gminy albo przez internet, przez usługę “Zgłoś nieuprawnione wykorzystanie swoich danych osobowych (kradzież tożsamości) – unieważnij dowód”. Online potrzebujesz profilu zaufanego, certyfikatu kwalifikowanego albo e-dowodu, a od 1 stycznia 2026 roku także skrzynki do e-Doręczeń. Gov.pl podaje, jakim dokumentem uprawdopodobnić zdarzenie:
- pismo lub e-mail z firmy, z którą masz umowę, informujące o wycieku danych, albo
- wydruk oświadczenia o wycieku ze strony internetowej razem z dokumentem potwierdzającym, że firma gromadziła twoje dane.
Przy SOP takim dokumentem może być wydruk zawiadomienia ze strony systemu i potwierdzenie, że miałeś w nim konto, na przykład e-mail z rejestracji. Czy urzędnik je przyjmie, rozstrzyga urząd. Gov.pl zaznacza, że może poprosić o dodatkowe informacje.
Urzędnik od razu unieważnia dowód. Jeśli masz 18 lat lub więcej, twój PESEL zostanie przy okazji zastrzeżony z urzędu. Usługa jest bezpłatna.
Krok 2. Złóż wniosek o nowy dowód
Wniosek złożysz w dowolnym urzędzie gminy albo przez internet, przez usługę “Uzyskaj dowód osobisty”. Jako powód wskaż nieuprawnione wykorzystanie danych (kradzież tożsamości) i dołącz ten sam dokument co przy zgłoszeniu. Ustawa każe złożyć taki wniosek niezwłocznie. Wydanie dowodu jest bezpłatne.
Przy wniosku online potrzebujesz kolorowego zdjęcia 35 × 45 mm w pliku do 2,5 MB. W ciągu 30 dni musisz pójść do wybranego urzędu, żeby oddać odciski palców i wzór podpisu. Bez tej wizyty wniosek przepada. Na gotowy dowód czekasz do 30 dni od złożenia odcisków, a przy odbiorze możesz ustalić kody PIN. Jeśli chcesz mieć w nowym dowodzie certyfikat podpisu osobistego, zaznacz to we wniosku.
Od unieważnienia do odbioru nowego dokumentu nie masz ważnego dowodu osobistego. Jeśli masz paszport, możesz nim w tym czasie potwierdzać tożsamość. Resort pisze o “rozważeniu” wymiany, więc decyzja należy do ciebie.
Zastrzec dowód czy go wymienić
Zastrzeżenie dowodu i wymiana dowodu to dwie różne usługi w dwóch różnych rejestrach. Zastrzeżenie trafia do bazy Dokumenty Zastrzeżone Związku Banków Polskich, z której korzystają banki i operatorzy komórkowi. Dowód pozostaje wtedy ważny. W mObywatelu ta usługa nazywa się Zastrzeż dokument (Usługi → Ochrona danych). Aplikacja opisuje ją jako zabezpieczenie utraconego dowodu albo paszportu.
Wymiana unieważnia stary dokument w państwowym Rejestrze Dowodów Osobistych. Seria i numer z wycieku przestają wtedy wskazywać ważny dokument. Ministerstwo w zaleceniach dla użytkowników SOP wymienia zastrzeżenie PESEL i rozważenie wymiany dokumentu. Zastrzeżenia samego dowodu w tej liście nie ma. Różnice między zastrzeżeniem, zawieszeniem e-dowodu i unieważnieniem rozpisaliśmy w tekście zastrzeżenie dowodu osobistego a unieważnienie.
Najczęstsze pytania
Ile kosztuje wymiana dowodu osobistego po wycieku danych?
Nic. Zgłoszenie nieuprawnionego wykorzystania danych, unieważnienie starego dowodu i wydanie nowego są bezpłatne. Tak podają strony obu usług na gov.pl. Płacisz najwyżej za zdjęcie do dokumentu.
Czy po wycieku z SOP trzeba wymienić dowód?
Nie ma takiego obowiązku. Ministerstwo zaleca “rozważenie wymiany dokumentu tożsamości”, a zastrzeżenie PESEL wymienia jako osobne zalecenie. Najpierw zastrzeż PESEL, bo działa od razu i chroni przed kredytem na twoje dane. O wymianie zdecyduj, gdy zobaczysz, czy masz paszport na czas oczekiwania i czy chcesz iść do urzędu w ciągu 30 dni.
Podsumowanie
Atak na System Obsługi Programów Ministerstwa Kultury z 6 października 2026 roku mógł ujawnić PESEL, serię i numer dowodu, adresy, telefon, e-mail i numer konta bankowego użytkowników. W systemie zarejestrowanych jest około 24 tysięcy kont; ile z nich objęło naruszenie, resort nie podał. Resort nie potwierdza wycieku, ale ocenia ryzyko jako wysokie i zawiadamia na podstawie art. 34 RODO. Danych z SOP nie ma w bezpiecznedane.gov.pl. Jeśli miałeś konto w SOP, zastrzeż dziś PESEL w mObywatelu albo w urzędzie gminy. Zmień hasło wszędzie, gdzie było takie samo jak w SOP, i sprawdzaj historię konta bankowego. Jeśli zdecydujesz się na wymianę dowodu, najpierw zgłoś nieuprawnione wykorzystanie danych, potem złóż wniosek o nowy dowód z wydrukiem zawiadomienia. Pamiętaj, że stary dowód traci ważność od razu. Stan na 4 listopada 2026 roku, godz. 12:10.
