Prowadzenie działalności gospodarczej bardzo często wiąże się z gromadzeniem i przetwarzaniem informacji niejawnych. Jak wygląda kontrola stanu zabezpieczenia informacji niejawnych i czym dokładnie są takie informacje? Czy przedsiębiorca ma obowiązek kontrolować stan ich zabezpieczenia? Odpowiadamy na te pytania w artykule.
Czym są informacje niejawne?
Podstawowym aktem prawnym odnoszącym się do informacji niejawnych jest Ustawa o ochronie informacji niejawnych. Zgodnie z treścią jej art. 1 ust. 1 do tego rodzaju informacji zaliczamy informacje, których nieuprawnione ujawnienie spowodowałoby lub mogłoby spowodować szkody dla Rzeczypospolitej Polskiej albo byłoby z punktu widzenia jej interesów niekorzystne, także w trakcie ich opracowywania oraz niezależnie od formy i sposobu ich wyrażania. Informacji niejawnych nie powinniśmy utożsamiać z tajemnicą przedsiębiorstwa, a więc danymi, których opublikowanie nie spowodowałoby szkody dla Polski, lecz dla samego przedsiębiorcy.
Przepisy ww. wskazanej ustawy znajdują zastosowanie głównie do organów władzy publicznej, takich jak Sejm, Senat, NBP czy Prezydent RP. W art. 1 ust. 2 pkt 6 czytamy jednak, że zasady rządzące przetwarzaniem tego rodzaju informacji można stosować także względem przedsiębiorców zamierzających ubiegać się albo ubiegających się o zawarcie umów związanych z dostępem do informacji niejawnych lub wykonujących takie umowy, albo wykonujących na podstawie przepisów prawa zadania związane z dostępem do informacji niejawnych. W teorii możliwe jest więc, że prywatne firmy zyskają dostęp do informacji niejawnych, a przez to będą podlegać reżimowi prawnemu w zakresie kontroli stanu zabezpieczeń udostępnionych im danych. Ustawodawca nie ogranicza dostępu do informacji niejawnych ze względu na kryterium wielkości przedsiębiorstwa, które stara się uzyskać do nich dostęp. W praktyce możliwe jest więc przyznanie wglądu do informacji niejawnych zarówno małym, średnim, jak i wielkim przedsiębiorstwom niezależnie od tego, jak długo funkcjonują na rynku.
Przykład 1.
Firma X podpisała umowę z NBP, na mocy której uzyskała dostęp do informacji niepodlegających powszechnemu udostępnieniu. Czy w tym przypadku firma X ma obowiązek stosowania przepisów ustawy o ochronie informacji niejawnych?
Tak, ponieważ jest przedsiębiorstwem, które zawarło umowę związaną z dostępem do informacji niejawnych.
Przykład 2.
Firma Z od lat wykorzystuje w swojej działalności specjalne procedury do produkcji towarów, które stanowią informacje nieudostępniane publicznie. Dane te wynikają z wieloletniej praktyki przedsiębiorstwa i od samego początku są jej własnością. Czy firma Z ma obowiązek stosowania przepisów ustawy o ochronie informacji niejawnych?
Nie, ponieważ w tym przypadku nie mamy do czynienia z takimi informacjami w rozumieniu tej ustawy. Dane wykorzystywane przez firmę Z są tajemnicą przedsiębiorstwa, a nie informacjami niejawnymi.
Przykład 3.
Pan Jan prowadzi jednoosobową działalność gospodarczą i zamierza wystartować w konkursie pozwalającym na nawiązanie współpracy z organami administracji rządowej. Umowa, którą podpisze wygrane przedsiębiorstwo, będzie wiązała się z dostępem do informacji niejawnych. Mężczyzna obawia się, że choć spełnia warunki udziału w konkursie, to jednak nie będzie mógł złożyć swojej oferty, ponieważ JDG nie mogą mieć dostępu do informacji niejawnych – czy ma rację? Nie, ponieważ ustawodawca nie ogranicza dostępu do tego rodzaju informacji ze względu na rodzaj lub formę prowadzonej działalności gospodarczej. Pan Jan może więc wystartować w konkursie.
Kontrola stanu zabezpieczenia informacji niejawnych
Jeśli przedsiębiorca uzyska dostęp do informacji niejawnych, ma obowiązek dbać o ich pełną ochronę. Niedopuszczalne jest opublikowanie tego typu informacji, ponieważ stanowiłoby to poważne zagrożenie interesu państwa polskiego. Ze względu na szczególne znaczenie takich danych ustawodawca wprowadził możliwość kontroli stanu zabezpieczeń stosowanych przez podmioty wykorzystujące informacje niejawne. Zgodnie z treścią art. 12 ust. 1 i 2 ustawy o ochronie informacji niejawnych w zakresie niezbędnym do kontroli stanu zabezpieczenia informacji niejawnych upoważnieni pisemnie funkcjonariusze ABW albo funkcjonariusze lub żołnierze SKW mają prawo do:
- wstępu do obiektów i pomieszczeń jednostki kontrolowanej, gdzie informacje takie są przetwarzane;
- wglądu do dokumentów związanych z organizacją ochrony tych informacji w kontrolowanej jednostce organizacyjnej;
- żądania udostępnienia do kontroli systemów teleinformatycznych służących do przetwarzania tych informacji;
- przeprowadzania oględzin obiektów, składników majątkowych i sprawdzania przebiegu określonych czynności związanych z ochroną tych informacji;
- żądania od kierowników i pracowników kontrolowanych jednostek organizacyjnych udzielania ustnych i pisemnych wyjaśnień;
- zasięgania w związku z przeprowadzaną kontrolą informacji w jednostkach niekontrolowanych, jeżeli ich działalność pozostaje w związku z przetwarzaniem lub ochroną informacji niejawnych, oraz żądania wyjaśnień od kierowników i pracowników tych jednostek;
- powoływania oraz korzystania z pomocy biegłych i specjalistów, jeżeli stwierdzenie okoliczności ujawnionych w czasie przeprowadzania kontroli wymaga wiadomości specjalnych;
- uczestniczenia w posiedzeniach kierownictwa, organów zarządzających lub nadzorczych, a także organów opiniodawczo-doradczych w sprawach dotyczących problematyki ochrony tych informacji w kontrolowanej jednostce organizacyjnej.
Jeżeli w czasie wykonywania kontroli zostanie w znacznym stopniu uprawdopodobnione podejrzenie możliwości przetwarzania informacji niejawnych w systemach teleinformatycznych niemających akredytacji bezpieczeństwa teleinformatycznego, funkcjonariusze ABW albo funkcjonariusze lub żołnierze SKW mogą żądać udostępnienia do kontroli tych systemów, wyłącznie w celu i zakresie niezbędnym do ustalenia, czy przetwarzanie takie miało miejsce, oraz wyjaśnienia okoliczności z tym związanych.
ABW albo SKW prowadzi kontrole planowe na podstawie rocznego planu kontroli, zatwierdzonego przez Szefa ABW albo Szefa SKW, po uzyskaniu opinii Kolegium do Spraw Służb Specjalnych. Szef ABW albo Szef SKW może zarządzić kontrolę doraźną, nieujętą w rocznym planie kontroli, jeżeli uzyska informacje wskazujące na występowanie istotnych zagrożeń systemu zabezpieczenia informacji niejawnych lub nieprawidłowości dotyczących postępowań sprawdzających. Kontrole przeprowadza się na podstawie programu kontroli zatwierdzanego przez Szefa ABW albo Szefa SKW.
Jak przebiega kontrola stanu zabezpieczenia informacji niejawnych?
Kontrolę przeprowadza funkcjonariusz ABW albo funkcjonariusz lub żołnierz SKW na podstawie imiennego upoważnienia określającego jednostkę kontrolowaną, wystawionego przez Szefa ABW albo Szefa SKW. Kontroler, wykonując czynności kontrolne:
- postępuje zgodnie z programem kontroli,
- dokonuje w sposób wnikliwy i obiektywny ustaleń kontroli oraz rzetelnie je dokumentuje,
- bierze udział w rozpatrywaniu zastrzeżeń do protokołu kontroli.
Kontrolerzy mają prawo do zbierania materiałów dowodowych w toku przeprowadzanych czynności. Zabezpieczenie materiału dowodowego zebranego w toku kontroli w postaci dokumentu lub rzeczy potwierdza się protokołem zabezpieczenia dokumentu lub rzeczy stanowiących materiał dowodowy, a ich zwrot potwierdza się pokwitowaniem. Przebieg i wyniki oględzin mogą być utrwalone za pomocą urządzeń technicznych służących do utrwalania obrazu lub dźwięku. Nośnik, na którym został utrwalony obraz lub dźwięk, stanowi załącznik do protokołu oględzin. Kontroler dokumentuje przebieg i wyniki czynności kontrolnych w aktach kontroli. Dokonane w toku kontroli ustalenia kontroler opisuje w protokole kontroli, który powinien zawierać:
- oznaczenie jednostki kontrolowanej, jej adres, imię i nazwisko kierownika, z uwzględnieniem zmian w okresie objętym kontrolą;
- stopień, imię i nazwisko kontrolera, nazwę organu prowadzącego kontrolę oraz numer i datę upoważnienia do kontroli;
- datę rozpoczęcia i zakończenia czynności kontrolnych, z wymienieniem dni przerw w kontroli;
- określenie zakresu i przedmiotu kontroli oraz okresu objętego kontrolą;
- opis stwierdzonego w wyniku kontroli stanu faktycznego, w tym ustalonych nieprawidłowości, z uwzględnieniem przyczyn ich powstania i zakresu;
- pouczenie o prawie, sposobie i terminie zgłoszenia zastrzeżeń co do ustaleń zawartych w protokole oraz o prawie odmowy podpisania protokołu, a także o prawie złożenia pisemnych wyjaśnień dotyczących przyczyn powstania nieprawidłowości przedstawionych w protokole;
- adnotację o dokonaniu wpisu do księgi ewidencji kontroli, jeżeli taka księga jest prowadzona przez jednostkę kontrolowaną;
- oznaczenie miejsca i daty podpisania protokołu;
- podpisy kontrolera i kierownika jednostki kontrolowanej na ostatniej stronie.
Protokół kontroli sporządza się w 2 egzemplarzach. Jeden egzemplarz protokołu otrzymuje kierownik jednostki kontrolowanej, a drugi załącza się do akt kontroli.
Kontrola stanu zabezpieczenia informacji niejawnych - podsumowanie
Przedsiębiorcy mogą być kontrolowani w zakresie prawidłowego zabezpieczania informacji niejawnych, do których zyskali dostęp. Informacje te nie są tym samym co tajemnica przedsiębiorstwa i wynikają z umów zawartych z właściwymi organami państwowymi. W toku przeprowadzanych czynności kontrolnych dopuszczalne jest zabezpieczenie zgromadzonych dowodów. Każda kontrola stanu zabezpieczenia informacji niejawnych kończy się sporządzeniem protokołu, do którego przedsiębiorca ma prawo wnieść zastrzeżenia.
