Biblioteka, dom kultury i muzeum prowadzone przez samorząd to samorządowe instytucje kultury. W RODO oznacza to obowiązkowego inspektora ochrony danych, rejestr czynności i zasady dla danych czytelników, uczestników zajęć i wizerunku z wydarzeń. Od 3 kwietnia 2026 taka instytucja, jeśli realizuje zadania publiczne z użyciem systemów informacyjnych, jest też podmiotem ważnym w rozumieniu ustawy o krajowym systemie cyberbezpieczeństwa i do 3 kwietnia 2027 musi wdrożyć system zarządzania bezpieczeństwem informacji.
Czytelnicy i uczestnicy zajęć
Zasady i warunki korzystania z biblioteki określa regulamin nadany przez dyrektora (art. 14 ust. 4 ustawy o bibliotekach). To w nim warto zapisać, jakie dane biblioteka zbiera przy zapisie, po co i jak długo je trzyma - ustawa o bibliotekach tego nie rozstrzyga. Biblioteka może pobierać m.in. kaucje i opłaty za nieterminowy zwrot (art. 14 ust. 2), więc część danych służy też rozliczeniom.
Osobną grupą są dzieci: na zajęcia, warsztaty i półkolonie zapisują je rodzice, a lista uczestników, karta zdrowia czy zgoda na samodzielny powrót do domu to dane, które powinny mieć własną czynność w rejestrze czynności i własną klauzulę informacyjną (art. 13 RODO).
Wydarzenia, zdjęcia i wizerunek
Rozpowszechnianie wizerunku wymaga zezwolenia osoby, która jest na nim przedstawiona (art. 81 ust. 1 prawa autorskiego). Zezwolenie nie jest potrzebne, gdy osoba stanowi jedynie szczegół całości, takiej jak zgromadzenie, krajobraz czy publiczna impreza (art. 81 ust. 2 pkt 2). W praktyce:
- zdjęcie sali pełnej widzów po koncercie można zwykle opublikować bez zgody,
- portret laureata konkursu albo zbliżenie dziecka na warsztatach wymaga zgody, a w przypadku dziecka - zgody rodzica,
- informacja o fotografowaniu powinna być w regulaminie wydarzenia i przy wejściu, bo wizerunek jest też daną osobową, a uczestnik ma prawo wiedzieć, gdzie zdjęcia trafią.
Monitoring w budynku to osobna czynność z własną klauzulą - więcej w artykule o monitoringu wizyjnym.
Newsletter i strona internetowa
Newsletter o wydarzeniach zwykle opiera się na zgodzie. Prawo komunikacji elektronicznej wymaga uprzedniej zgody na informację handlową wysyłaną e-mailem (art. 398 ust. 1), a pliki cookies inne niż niezbędne - zgody po wcześniejszej informacji o celu (art. 399 ust. 1). Zgodę trzeba móc wycofać równie łatwo, jak się ją wyraziło (art. 7 ust. 3 RODO).
Inspektor ochrony danych i kary
Samorządowa instytucja kultury należy do sektora finansów publicznych (art. 9 pkt 13 ustawy o finansach publicznych), więc wyznacza inspektora ochrony danych (art. 37 ust. 1 lit. a RODO, art. 9 ustawy o ochronie danych osobowych). Inspektor może być wspólny z gminą i jej jednostkami (art. 37 ust. 3 RODO) - piszemy o tym w artykule IOD w jednostce publicznej. Kara Prezesa UODO dla instytucji kultury wynosi najwyżej 10 000 zł (art. 102 ust. 2 ustawy o ochronie danych osobowych).
Instytucja kultury w ustawie o KSC
Ustawa o KSC zalicza do podmiotów ważnych samorządową instytucję kultury, jeśli realizuje zadanie publiczne z wykorzystaniem systemów informacyjnych (art. 5 ust. 2 pkt 8 i załącznik nr 2). Państwowa instytucja kultury jest podmiotem kluczowym (załącznik nr 1, sektor podmioty publiczne). Samorządowa instytucja kultury do 3 kwietnia 2027 musi:
- wdrożyć SZBI według art. 8 ust. 3 i załącznika nr 4 i przeglądać go co najmniej raz w roku,
- zgłaszać incydenty poważne w ciągu 72 godzin (art. 12c),
- wyznaczyć osobę do kontaktów (art. 9 ust. 3),
- zapewnić coroczne szkolenie dyrektora (art. 8c-8e).
Podmioty publiczne trafiają do wykazu podmiotów kluczowych i ważnych z urzędu. Wpisy i zawiadomienia dla samorządowych instytucji kultury ministerstwo zapowiadało jako kolejny etap, po pierwszej turze wpisów. Od doręczenia wezwania instytucja ma 6 miesięcy na uzupełnienie danych - więcej w artykule o wykazie KSC. Gmina może przejąć obowiązki z ustawy za swoje instytucje kultury w ramach wspólnej obsługi (art. 16e ust. 5 ustawy o KSC, art. 10a pkt 2 ustawy o samorządzie gminnym). Zobacz też Podmiot ważny publiczny w KSC.
Jak pomaga Cyberenu
Wzór Cyberenu ma formę samorządowej instytucji kultury, działalność biblioteki i część wspólną dla instytucji kultury, a cechy dokładają wydarzenia i wizerunek, stronę internetową, wolontariat i monitoring. Z tych samych rejestrów powstaje dokumentacja RODO i SZBI.