RODO w urzędzie – najważniejsze obowiązki i pułapki, których unikać

RODO obowiązuje od 2018 roku, a jednak urzędy nadal popełniają te same błędy i płacą za nie wysokie kary. Ten artykuł jest praktyczny przewodnik dla pracowników administracji publicznej oraz jakie obowiązki wynikają z RODO, gdzie najczęściej pojawiają się problemy i jak skutecznie się przed nimi zabezpieczyć. Dowiedz się też, jak szkolenie RODO może uchronić Twój urząd przed kosztownymi wpadkami.

1. Dlaczego RODO w samorządzie to ważny temat?

Gmina, starostwo, urząd marszałkowski, ośrodek pomocy społecznej, szkoła publiczna, każda z tych jednostek gromadzi i przetwarza ogromne ilości danych osobowych od danych adresowych oraz podatkowych mieszkańców, przez wrażliwą dokumentację socjalną, po dane kadrowo-płacowe pracowników. RODO obowiązuje je tak samo jak każdą firmę prywatną z jedną istotną różnicą podstawą prawną przetwarzania jest najczęściej przepis prawa, a nie zgoda osoby.

Nieznajomość przepisów nie zwalnia z odpowiedzialności. Prezes UODO prowadzi kontrole z urzędu i na skutek skarg mieszkańców. Decyzje są publiczne i nagłaśniane w mediach, reputacyjne konsekwencje dla urzędu bywają poważniejsze niż sama kara finansowa.

2. Kto jest administratorem danych w urzędzie?

To pytanie sprawia trudność wielu pracownikom. Administratorem danych osobowych w urzędzie jest co do zasady urząd jako jednostka organizacyjna (np. Urząd Miasta Warszawy, Starostwo Powiatowe w Krakowie) lub organ administracji (np. Wójt Gminy, Burmistrz, Starosta). Nie jest nim konkretny pracownik choć pracownicy przetwarzają dane w imieniu administratora i ponoszą odpowiedzialność za swoje działania.

W praktyce oznacza to, że to kierownictwo urzędu odpowiada za wdrożenie polityki ochrony danych, a pracownicy są zobowiązani do jej przestrzegania na co dzień, przy obsłudze klientów, korespondencji e-mailowej, pracy z dokumentami i systemami informatycznymi.

3. Najważniejsze obowiązki wynikające z RODO

1

Rejestr Czynności Przetwarzania (RCP)

Każda jednostka prowadzi rejestr wszystkich operacji, w których przetwarza dane osobowe, cel przetwarzania, kategorie danych, odbiorcy, okresy retencji, zastosowane zabezpieczenia. RCP to dokument bazowy każdej kontroli UODO i musi być na bieżąco aktualizowany.

2

Obowiązek informacyjny – klauzula informacyjna

Każda osoba, od której jednostka pozyskuje dane, musi otrzymać pełną informację: kto jest administratorem, w jakim celu i na jakiej podstawie prawnej dane są przetwarzane, jak długo będą przechowywane i jakie prawa jej przysługują. Klauzula musi być przekazana w momencie zbierania danych, nie po fakcie.

3

Upoważnienia pracowników i ich ewidencja

Każdy pracownik mający dostęp do danych osobowych musi posiadać pisemne upoważnienie określające zakres przetwarzania. Upoważnienia należy ewidencjonować i aktualizować przy każdej zmianie zakresu obowiązków lub stanowiska.

4

Ocena skutków przetwarzania (DPIA)

Gdy jednostka wdraża nowy system IT, aplikację lub proces przetwarzania niosący wysokie ryzyko dla praw osób fizycznych (np. system monitoringu, duża baza danych mieszkańców), musi najpierw przeprowadzić DPIA. To analiza ryzyka, która dokumentuje, że zagrożenia zostały zidentyfikowane i zminimalizowane.

5

Zgłaszanie naruszeń – 72 godziny

Każde naruszenie bezpieczeństwa danych od zagubionego pendrive’a po e-mail wysłany do złego odbiorcy wymaga oceny. Jeśli stwarza ryzyko dla praw osób fizycznych, należy je zgłosić do UODO w ciągu 72 godzin od wykrycia. Jeśli ryzyko jest wysokie trzeba też poinformować osoby, których dane dotyczą.

6

Zabezpieczenia techniczne i organizacyjne

RODO wymaga wdrożenia środków adekwatnych do ryzyka: szyfrowania, kontroli dostępu, polityki czystego biurka, zarządzania hasłami, umów powierzenia z dostawcami IT. Administrator musi być w stanie udowodnić zastosowanie tych środków to tzw. zasada rozliczalności.

7

Szkolenie pracowników – obowiązek, nie opcja

Art. 36a ustawy o ochronie danych osobowych wprost wskazuje szkolenie pracowników jako element obowiązkowy systemu ochrony danych. Każdy pracownik przetwarzający dane musi być przeszkolony, a dokumentacja szkolenia powinna być przechowywana jako dowód realizacji tego obowiązku.

Nasze szkolenie RODO realizuje obowiązek przeszkolenia pracowników

Program obejmuje wszystkie wymagane obszary, legalność przetwarzania, upoważnienia, zabezpieczenia, incydenty i prawa podmiotów danych. Po szkoleniu każdy uczestnik otrzymuje certyfikat, który stanowi dokumentację spełnienia obowiązku szkoleniowego.

Zapisz się na szkolenie

4. Cztery najczęstsze pułapki RODO w urzędach oraz jak ich unikać

• RCP tworzony raz i nigdy nie aktualizowany
  Rejestr Czynności Przetwarzania tworzony przy wdrożeniu RODO i nieprzeglądany od lat to jeden z najczęstszych błędów. Każde nowe narzędzie IT, zmiana celu przetwarzania czy nowa usługa powinna znaleźć odzwierciedlenie w rejestrze.
• Brak umowy powierzenia z dostawcami IT i oprogramowania
  Korzystasz z chmury czy zewnętrznego serwisu IT lub oprogramowania SaaS? Dostawca przetwarza w ten sposób dane osobowe Twoich mieszkańców i pracowników. Bez umowy powierzenia (art. 28 RODO) to naruszenie przepisów niezależnie od tego, czy doszło do wycieku.
• Upoważnienia brakuje albo jest przestarzałe
  Pracownicy obsługujący dane bez aktualnego upoważnienia to powszechny problem w urzędach. Brakujące, zbyt szerokie lub niepowiązane z zakresem obowiązków upoważnienia to bezpośrednia podstawa zalecenia pokontrolnego.
• Drobne incydenty traktowane jak nic nieistotnego
  E-mail do złego odbiorcy czy pismo znalezione na korytarzu, niezablokowany komputer przy okienku. Pracownicy często uznają to za nieistotne błędy. Tymczasem każda taka sytuacja może być naruszeniem wymagającym oceny i potencjalnego zgłoszenia do UODO.

5. Kary za naruszenie RODO w sektorze publicznym

Organem nadzorczym w Polsce jest Prezes Urzędu Ochrony Danych Osobowych (UODO). Dla jednostek sektora publicznego ustawodawca ustalił niższy próg kar niż dla podmiotów prywatnych, maksymalnie 100 000 zł. To jednak nie wszystko, Prezes UODO może nakazać zaprzestanie przetwarzania danych, co w praktyce może sparaliżować działanie urzędu. Decyzje są jawne i często trafiają do mediów lokalnych i ogólnopolskich.

6. Najczęściej zadawane pytania (FAQ)

FAQ

Czy urząd musi uzyskiwać zgodę mieszkańca na przetwarzanie jego danych?

Zazwyczaj nie. Jednostki samorządowe przetwarzają dane najczęściej na podstawie przepisów prawa (art. 6 ust. 1 lit. c lub e RODO), czyli realizując zadania publiczne. Zgoda jest potrzebna tylko wtedy, gdy cel przetwarzania nie wynika z żadnego przepisu np. udział w konkursie gminnym.

Czy każdy pracownik urzędu musi przejść szkolenie z RODO?

Tak. Obowiązek szkolenia wynika wprost z art. 36a ustawy o ochronie danych osobowych. W praktyce dotyczy każdego pracownika, który w jakimkolwiek zakresie styka się z danymi osobowymi, a w urzędzie jest to praktycznie każda osoba. Certyfikat ukończenia szkolenia stanowi dokumentację realizacji tego obowiązku.

Jak długo można przechowywać dane osobowe mieszkańców?

Okres przechowywania musi być z góry określony i wynikać z przepisów lub uzasadnionych potrzeb jednostki. Dla dokumentacji urzędowej okresy wynikają z JRWA (jednolitego rzeczowego wykazu akt). Po upływie okresu dane powinny być usunięte lub zanonimizowane.

Czy szkolenie RODO można przeprowadzić dla całego zespołu urzędu naraz?

Tak. Oferujemy szkolenia w formie zamkniętej organizowane w siedzibie jednostki lub online dla całej grupy pracowników. To najwygodniejsza i najoszczędniejsza forma dla urzędów chcących przeszkolić cały zespół jednocześnie.

7. Szkolenie RODO dla jednostek samorządowych – nasza oferta

Jeśli dotarłeś do tej sekcji, wiesz już, że RODO to nie jednorazowe wdrożenie, lecz bieżący obowiązek. Szkolenie organizowane przez nas zostało zaprojektowane dokładnie z myślą o pracownikach jednostek samorządowych również łączy część teoretyczną z praktyczną i odpowiada na realne pytania z codziennej pracy urzędnika.

Zapisz całą kadrę urzędu!

Forma zamknięta szkolenia oznacza, że organizujemy je specjalnie dla Waszej jednostki w wybranym terminie, w siedzibie urzędu lub online. To najwygodniejszy sposób na spełnienie ustawowego obowiązku szkoleniowego dla całego zespołu jednocześnie, bez konieczności indywidualnych wyjazdów pracowników.

Zobacz pełną ofertę szkoleń RODO

Program szkolenia RODO

I. Obligatoryjne dokumenty i czynności

• Rejestr czynności przetwarzania danych osobowych
• Ocena skutków przetwarzania (DPIA) – ryzyko i jego minimalizacja
• Inwentaryzacja danych osobowych, zbiorów, czynności i operacji
• Uwzględnienie ochrony danych w fazie projektowania (privacy by design)
• Zgłaszanie naruszeń organowi nadzorczemu i zawiadamianie podmiotów danych

II. Nadanie upoważnień pracownikom i ich ewidencja

• Kto i kiedy musi posiadać upoważnienie
• Jak prawidłowo prowadzić ewidencję upoważnień
• Aktualizacja upoważnień przy zmianie stanowiska

III. Szkolenie pracowników jako element realizacji obowiązku ustawowego

• Legalność przetwarzania danych – przesłanki
• Świadomość osób przetwarzających dane osobowe
• Zabezpieczenia techniczne i organizacyjne
• Obowiązki notyfikacyjne – incydenty i IOD
• Prawa przysługujące osobom, których dane są przetwarzane

IV. RODO w praktyce jednostki samorządowej

• Jednolite prawo w całej UE – co to oznacza dla samorządów
• Sankcje karne za nieprzestrzeganie przepisów
• IOD – rola i obowiązki w jednostce publicznej
• Ocena skutków przetwarzania – kiedy obowiązkowa
• Procesor – obowiązki i ograniczenia, umowa powierzenia
• Raportowanie naruszeń do UODO – procedura 72 godzin
• Katalog danych wrażliwych i szczególnych kategorii danych
• Obowiązek informacyjny – klauzule w praktyce urzędowej