Gmina jest administratorem danych tysięcy rekordów - od ewidencji ludności i podatków po monitoring rynku - i od 3 kwietnia 2026 podlega też znowelizowanej ustawie o krajowym systemie cyberbezpieczeństwa. W praktyce oznacza to dwa równoległe obowiązki: dokumentację RODO z inspektorem ochrony danych, rejestrem czynności i analizą ryzyka oraz system zarządzania bezpieczeństwem informacji (SZBI), który urząd i jego jednostki muszą mieć do 3 kwietnia 2027. Obie rzeczy da się zbudować na jednym opisie urzędu.
RODO w urzędzie - co jest obowiązkowe
Gmina należy do sektora finansów publicznych, więc musi wyznaczyć inspektora ochrony danych i zawiadomić o nim Prezesa UODO w ciągu 14 dni (art. 37 ust. 1 lit. a RODO, art. 9 i art. 10 ust. 1 ustawy o ochronie danych osobowych). Kary, które Prezes UODO może nałożyć na gminę, sięgają 100 000 zł (art. 102 ust. 1 tej ustawy). Szerzej o roli inspektora piszemy w artykule IOD w jednostce publicznej.
Urząd prowadzi rejestr czynności przetwarzania (art. 30 RODO) i przekazuje klauzule informacyjne petentom, pracownikom i kandydatom (art. 13-14). Kilka obszarów jest typowych tylko dla gminy:
- BIP i informacja publiczna. Prawo do informacji publicznej ustępuje prywatności osoby fizycznej, ale nie dotyczy to informacji o osobach pełniących funkcje publiczne (art. 5 ust. 2 ustawy o dostępie do informacji publicznej). Przed publikacją umowy czy decyzji trzeba zdecydować, co się anonimizuje.
- Sesje rady gminy. Obrady są transmitowane i utrwalane, a nagrania trafiają do BIP i na stronę gminy (art. 20 ust. 1b ustawy o samorządzie gminnym). Imienne wykazy głosowań radnych także publikuje się w BIP (art. 14 ust. 4).
- Monitoring wizyjny. O nim osobno poniżej.
Monitoring miejski według art. 9a
Gmina może prowadzić monitoring przestrzeni publicznej (za zgodą zarządzającego tym obszarem), swoich nieruchomości i obiektów oraz terenu wokół nich, jeśli jest to konieczne dla porządku publicznego, bezpieczeństwa obywateli albo ochrony przeciwpożarowej i przeciwpowodziowej (art. 9a ust. 1 ustawy o samorządzie gminnym). Kamery nie mogą obejmować pomieszczeń sanitarnych, szatni, stołówek, palarni ani obiektów socjalnych (ust. 2). Nagrania przechowuje się najwyżej 3 miesiące, a potem niszczy, chyba że zostały zabezpieczone (ust. 3-4). Teren oznacza się czytelnie (ust. 5). Więcej w artykule o monitoringu wizyjnym.
Urząd i jednostki w ustawie o KSC
Status w ustawie o KSC nie zależy od nazwy, tylko od rodzaju jednostki i, w przypadku urzędu gminy, od zatrudnienia.
| Jednostka | Rodzaj podmiotu | SZBI | Incydent poważny |
|---|---|---|---|
| Urząd gminy z co najmniej 50 etatami na umowę o pracę (stan na 1 stycznia) | kluczowy (zał. nr 1) | art. 8 ust. 1, audyt co 3 lata | wczesne ostrzeżenie 24 h, zgłoszenie 72 h |
| Mniejszy urząd gminy | ważny publiczny (art. 5 ust. 2 pkt 8) | art. 8 ust. 3 i zał. nr 4 | zgłoszenie 72 h (art. 12c) |
| Starostwo powiatowe | kluczowy (zał. nr 1) | art. 8 ust. 1, audyt co 3 lata | wczesne ostrzeżenie 24 h, zgłoszenie 72 h |
| Szkoła, OPS, biblioteka, dom kultury | ważny publiczny, jeśli realizuje zadanie publiczne z użyciem systemów | art. 8 ust. 3 i zał. nr 4 | zgłoszenie 72 h (art. 12c) |
Podmioty publiczne Minister Cyfryzacji wpisuje do wykazu z urzędu i wzywa do uzupełnienia danych w 6 miesięcy od doręczenia wezwania - szczegóły w artykule o wykazie KSC. O tym, czym jest podmiot ważny publiczny, piszemy w artykule Podmiot ważny publiczny w KSC. Jednostkom gminy poświęcamy osobne strony i artykuły: RODO w szkole, RODO i KSC w OPS oraz RODO i KSC w bibliotekach i domach kultury.
Wspólna obsługa i porozumienie
Ustawa daje gminie dwie drogi. Może zapewnić wspólną obsługę obowiązków z ustawy o KSC swoim jednostkom na zasadach art. 10a-10d ustawy o samorządzie gminnym (art. 16e ust. 5). Jednostki samorządu mogą też zawrzeć porozumienie i powierzyć te obowiązki jednej z nich (art. 16e ust. 6). Jednostka wyznaczona zgłasza wtedy incydenty w imieniu obsługiwanych, wskazuje osobę kontaktową i korzysta z systemu S46 (art. 16h), a jednostki przekazują jej informacje o incydentach i wykonują jej decyzje dotyczące SZBI (art. 16f).
Porozumienia zawarte przed nowelizacją zachowują moc do wyznaczenia jednostki do wspólnej obsługi, ale najdłużej przez 2 lata od wejścia ustawy w życie (art. 43 ustawy nowelizującej).
Jak pomaga Cyberenu
Każda jednostka gminy ma w Cyberenu własny obszar z dokumentacją RODO, a te objęte ustawą także SZBI z wymaganiami dobranymi do rodzaju podmiotu. Inspektor albo konsultant widzi wszystkie jednostki i ich postęp na jednym ekranie, a jednostki nie przepisują sobie nawzajem tych samych danych.