Profil Zaufany i e-dowód: co naprawdę zmienia nowelizacja z maja 2026 i skąd obawy o wykluczenie

Profil zaufany to dla ponad 13,8 mln Polaków codzienny klucz do e-administracji: PIT przez Twój e-PIT, wniosek w ZUS, rejestracja firmy w CEIDG, pismo na ePUAP czy e-Doręczenia. Każda zmiana w zasadach logowania do niego budzi więc emocje, a tym razem emocje były spore. W konsultacjach publicznych pojawiła się fala protestów, że „od teraz zalogujesz się tylko e-dowodem", a część komentujących pisała wprost o wykluczeniu cyfrowym milionów obywateli.

W naszym przeglądzie nowelizacji tygodnia 25–31 maja wskazaliśmy tę zmianę jako jedyne rozporządzenie warte osobnej uwagi – właśnie ze względu na skalę i kontrowersje. Teraz przyglądamy się jej z bliska, z tekstem rozporządzenia w ręku. Nowelizacja rozporządzenia Ministra Cyfryzacji w sprawie profilu zaufanego i podpisu zaufanego (rozporządzenie z dnia 3 kwietnia 2026 r., Dz.U. 2026 poz. 482) wprowadza trzy zmiany: dopisuje uwierzytelnianie profilem osobistym jako metodę, której opcji nie można wyłączyć, rozszerza kanały komunikatów o aplikację mObywatel oraz ustanawia obowiązkowe powiadomienia o zdarzeniach bezpieczeństwa.

Skąd ta zmiana

Rozporządzenie wydano na podstawie art. 20d ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne i jest to nowelizacja bazowego rozporządzenia o profilu zaufanym z 2020 r. Ministerstwo Cyfryzacji opisuje w ocenie skutków regulacji trzy braki dotychczasowego stanu: komunikaty o koncie szły wyłącznie na e-mail, użytkownik nie mógł wybrać ich rodzaju ani kanału, a przepisy nie przewidywały, że opcji logowania profilem osobistym nie da się wyłączyć.

Kluczowy jest cel bezpieczeństwa. Profil osobisty – czyli uwierzytelnienie z użyciem warstwy elektronicznej dowodu osobistego (e-dowodu) – został przez Polskę notyfikowany Komisji Europejskiej jako środek identyfikacji elektronicznej na wysokim poziomie bezpieczeństwa, najwyższym z trzech poziomów (niski, średni, wysoki) przewidzianych w unijnym rozporządzeniu eIDAS (rozporządzenie (UE) nr 910/2014). W uzasadnieniu czytamy wprost, po co czyni się z niego metodę nieusuwalną:

Jest to szczególnie istotne w przypadku, gdyby doszło do nieuprawnionego przejęcia profilu zaufanego przez osobę trzecią. Dzięki wprowadzeniu rozwiązań przewidzianych w projekcie osoba, której profil zaufany przejęto w sposób nieuprawniony, będzie mogła przywrócić do niego dostęp z wykorzystaniem uwierzytelnienia profilem osobistym, który jest środkiem identyfikacji elektronicznej cechującym się najwyższym poziomem bezpieczeństwa i najtrudniejszym do przejęcia przez osoby postronne.

Co istotne dla oceny skali: według oceny skutków regulacji zmiany dotyczą ponad 13,8 mln użytkowników profilu zaufanego i ponad 10 mln użytkowników aplikacji mObywatel, a przy tym „nie generują kosztów" i „odzwierciedlają aktualne działanie systemu teleinformatycznego". Samo rozporządzenie kończy się przepisem o wejściu w życie:

§ 2. Rozporządzenie wchodzi w życie z dniem 28 maja 2026 r.

Profil osobisty: opcja, której nie wyłączysz

Sercem nowelizacji są dwie zmiany w § 10 bazowego rozporządzenia. Po pierwsze, do katalogu metod uwierzytelnienia dopisano profil osobisty:

3. z wykorzystaniem profilu osobistego.

Po drugie – i to budziło najwięcej emocji – dodano przepis, który zakazuje rezygnacji z tej metody:

8a. Posiadacz profilu zaufanego nie może zrezygnować z możliwości uwierzytelniania w sposób, o którym mowa w ust. 6 pkt 3.

Warto przeczytać ten przepis dokładnie, bo różnica jest zasadnicza. Mowa w nim o „możliwości uwierzytelniania", a nie o obowiązku. Innymi słowy: profil osobisty musi pozostać dostępny jako jedna z metod logowania i użytkownik nie może go sobie z konta usunąć. Nie znaczy to, że pozostałe metody znikają. Sam resort w uzasadnieniu zaznacza, że dopisanie profilu osobistego w pkt 3 ma charakter „precyzujący i porządkujący", bo takie uwierzytelnienie było możliwe już wcześniej na podstawie § 10 ust. 4 rozporządzenia. Logika jest spójna z celem: skoro profil osobisty ma służyć odzyskiwaniu przejętego konta, nie mógłby działać, gdyby dało się go wcześniej wyłączyć.

Komunikaty: mObywatel obok e-maila i alerty, których nie wyłączysz

Druga grupa zmian dotyczy powiadomień. Dotąd komunikaty o koncie profilu zaufanego trafiały wyłącznie na adres e-mail. Po nowelizacji mogą być też udostępniane w aplikacji mObywatel, jeżeli posiadacz konta jest jej użytkownikiem i wyraził na to zgodę, a użytkownik samodzielnie wybiera rodzaj komunikatów i kanał ich dostarczania (e-mail, mObywatel albo oba).

Od tej swobody jest jednak ważny wyjątek – powiadomienia o bezpieczeństwie:

10c. Posiadacz profilu zaufanego nie może zrezygnować z otrzymywania komunikatów generowanych przez system, w którym jest wydawany profil zaufany, dotyczących zdarzeń związanych z bezpieczeństwem profilu zaufanego.

To rozwiązanie w duchu tego samego, co przy profilu osobistym: o ile o większości komunikatów decyduje użytkownik, o tyle alertu o podejrzanym zdarzeniu na koncie wyłączyć się nie da. Logujesz się gdzie indziej, ktoś zmienia ustawienia, pojawia się nietypowa aktywność – system ma o tym powiadomić niezależnie od preferencji.

Druga strona medalu: spór o wykluczenie cyfrowe

Nowelizacja przeszła konsultacje publiczne i opiniowanie (projekt trafił m.in. do UODO, ZUS, NFZ oraz organizacji takich jak Panoptykon czy Sieć Obywatelska Watchdog Polska). I to właśnie konsultacje pokazały, że niepozorne rozporządzenie potrafi wywołać realny niepokój.

Najmocniejszy zarzut dotyczył wykluczenia cyfrowego. Uczestnicy konsultacji pisali, że obowiązkowe powiązanie logowania z e-dowodem odetnie od e-urzędów osoby, które nie mają e-dowodu (dokumenty wydane przed 2019 r. nie mają warstwy elektronicznej), nie pamiętają PIN-u do warstwy elektronicznej albo mają telefon bez NFC, który nie obsłuży aplikacji e-dowodu. Jeden z komentujących ostrzegał, że projekt w tej formie „wykluczy setki tysięcy osób z elektronicznego kontaktu z urzędami z powodu: braku e-dowodu, zapomnianych numerów PIN do e-dowodu, braku smartfonów obsługujących" aplikację, i apelował: „Proszę pozostawić alternatywne metody logowania (login, hasło). Cyfryzacja ma ułatwiać życie obywatelom, a nie wykluczać z życia cyfrowego". Inny pytał wprost, czy nowy przepis nie oznacza, że „od 12 stycznia 2026 roku logowanie do Profilu Zaufanego będzie możliwe jedynie przy użyciu e-dowodu z warstwą elektroniczną" – bo tak zmianę relacjonowała część mediów.

Ministerstwo Cyfryzacji odpowiadało na te uwagi konsekwentnie, rozstrzygając wątpliwość co do istoty przepisu:

Projekt nie przewiduje, że możliwość logowania się do profilu zaufanego będzie możliwa jedynie za pośrednictwem profilu osobistego. (…) Nowością w stosunku do obecnego stanu prawnego i faktycznego jest natomiast wskazanie, że opcji (nie przymusu czy nakazu) uwierzytelnienia z wykorzystaniem profilu osobistego nie będzie można wyłączyć.

Resort dodał też w ocenie skutków regulacji argument adresowany wprost do obaw o seniorów i osoby bez e-dowodu: „Projekt nie będzie mieć wpływu na osoby będące użytkownikami profilu zaufanego, które nie posiadają profilu osobistego lub nie korzystają z niego". Z tekstu rozporządzenia i ze stanowiska resortu wynika więc, że zarzut „logowania wyłącznie e-dowodem" był nieporozumieniem – choć skala protestów pokazuje, jak łatwo o takie nieporozumienie, gdy zmiana dotyka kilkunastu milionów ludzi, a jej komunikacja jest skąpa.

Nie wszystkie uwagi były jednak emocjonalne. Prezes Urzędu Ochrony Danych Osobowych, opiniując projekt, zwrócił uwagę na kwestię czysto techniczną: skoro komunikaty mają płynąć nowymi kanałami (mObywatel, poczta elektroniczna), to „zaleca się wyraźne wskazanie w projektowanym rozporządzeniu minimalnych wymogów technicznych dla bezpieczeństwa transmisji danych, co pozwoli zapewnić zgodność projektowanej regulacji z zasadą integralności i poufności". UODO rekomendował też przeprowadzenie oceny skutków dla ochrony danych (art. 35 RODO). Ministerstwo obu uwag nie uwzględniło: argumentowało, że wpisanie sztywnych wymogów technicznych do rozporządzenia hamowałoby rozwój systemu (każda drobna aktualizacja wymagałaby nowelizacji), a osobna ocena skutków jest zbędna, bo profil zaufany jako element publicznego systemu identyfikacji został już zweryfikowany pod kątem bezpieczeństwa na poziomie unijnym (eIDAS).

Bilans? Sama treść rozporządzenia broni odczytania resortu: to opcja, nie obowiązek, a logika bezpieczeństwa (odzyskanie przejętego konta najsilniejszym środkiem) jest sensowna. Jednocześnie cała sprawa obnażyła realny problem – dla milionów użytkowników e-administracji nawet drobna zmiana zasad logowania jest źródłem lęku, a stanowisko UODO przypomina, że „bezpieczeństwo transmisji" warto opisać konkretami, nie tylko deklaracją.

Pełny tekst rozporządzenia, bazowego rozporządzenia z 2020 r. oraz ustawy o informatyzacji sprawdzisz w wyszukiwarce aktów prawnych w Prostej Umowie, a jeśli wokół nowych zasad logowania pojawią się pierwsze rozstrzygnięcia czy interpretacje – w Wyszukiwarce Orzeczeń Sądowych.

Niniejszy artykuł ma charakter informacyjny i nie stanowi porady prawnej. Każda sprawa wymaga indywidualnej analizy stanu faktycznego, treści dokumentów oraz aktualnego orzecznictwa.