Ośrodek pomocy społecznej i centrum usług społecznych przetwarzają dane, których ujawnienie krzywdzi najbardziej: o zdrowiu, uzależnieniach, przemocy w rodzinie, dochodach i skazaniach. Do RODO dochodzą tu przepisy ustawy o pomocy społecznej i ustawy o przeciwdziałaniu przemocy domowej, które same wskazują administratora, cel i minimalne zabezpieczenia. A ponieważ OPS jest zwykle samorządową jednostką budżetową, od 3 kwietnia 2026 obejmuje go też ustawa o krajowym systemie cyberbezpieczeństwa.
Dane szczególne i ich podstawa
Informacje o zdrowiu i nałogach to szczególne kategorie danych (art. 9 ust. 1 RODO), a informacje o skazaniach podlegają art. 10 RODO. Ośrodek przetwarza je, bo każe mu to ustawa: podstawą jest obowiązek prawny albo zadanie publiczne (art. 6 ust. 1 lit. c i e RODO), a dla danych szczególnych jeden z wyjątków z art. 9 ust. 2, zwykle lit. g albo h. Zgoda podopiecznego rzadko jest właściwą podstawą - osoba w trudnej sytuacji nie wyraża jej swobodnie.
Co mówi ustawa o pomocy społecznej
Art. 100 ustawy o pomocy społecznej to w praktyce mała polityka ochrony danych:
- dane przetwarza się w zakresie i celu niezbędnym do zadań z ustawy (ust. 2),
- nazwisk podopiecznych ani rodzaju i zakresu świadczeń nie podaje się do wiadomości publicznej (ust. 1),
- administratorem danych jest jednostka, która przyznaje i udziela świadczeń (ust. 5),
- do danych mają dostęp tylko osoby z pisemnym upoważnieniem, które pisemnie zobowiązały się do zachowania tajemnicy (ust. 6),
- tajemnica obejmuje wszystkie informacje uzyskane przy wykonywaniu zadań (ust. 7).
Więcej o upoważnieniach w artykule Upoważnienie do przetwarzania danych - wzór.
Wywiad środowiskowy i praca w terenie
Rodzinny wywiad środowiskowy przeprowadza pracownik socjalny po okazaniu legitymacji, czasem z drugim pracownikiem albo w asyście Policji (art. 107 ust. 3-3a). Wywiad służy nie tylko pomocy społecznej - przeprowadza się go także na potrzeby innych świadczeń, np. świadczenia pielęgnacyjnego czy wychowawczego (art. 107 ust. 1a). Kwestionariusz w teczce, laptop w samochodzie i notatki w telefonie to typowe źródła naruszeń, dlatego praca w terenie powinna mieć własne pozycje w analizie ryzyka.
Niebieska Karta i zespół interdyscyplinarny
Ustawa o przeciwdziałaniu przemocy domowej wylicza dane, które przetwarzają członkowie zespołu interdyscyplinarnego i grup diagnostyczno-pomocowych: od PESEL i adresu po informacje o stanie zdrowia, nałogach i skazaniach (art. 9c ust. 1). Administratorem jest ośrodek pomocy społecznej albo centrum usług społecznych, które obsługuje zespół (ust. 6). To on wydaje pisemne upoważnienia także członkom spoza ośrodka - policjantom, pedagogom, przedstawicielom ochrony zdrowia (ust. 7).
Udostępnianie danych innym instytucjom
Sąd rodzinny, Policja, prokuratura, szkoła, powiatowe centrum pomocy rodzinie - lista odbiorców jest długa i każdy z nich powinien się znaleźć w rejestrze czynności. Przy każdym przekazaniu warto sprawdzić, który przepis na nie pozwala, i zapisać to w dokumentacji - zasada rozliczalności wymaga, by ośrodek umiał to wykazać (art. 5 ust. 2 RODO). Kary Prezesa UODO dla jednostki sektora finansów publicznych sięgają 100 000 zł (art. 102 ust. 1 ustawy o ochronie danych osobowych).
OPS w ustawie o KSC
Samorządowa jednostka budżetowa, która realizuje zadanie publiczne z użyciem systemów informacyjnych, jest podmiotem ważnym (art. 5 ust. 2 pkt 8 ustawy o KSC). Dla ośrodka oznacza to, że do 3 kwietnia 2027 musi:
- wdrożyć SZBI według art. 8 ust. 3 i załącznika nr 4 i przeglądać go co najmniej raz w roku,
- zgłaszać incydenty poważne w ciągu 72 godzin (art. 12c) - szczegóły w artykule Incydent poważny w KSC,
- wyznaczyć osobę do kontaktów (art. 9 ust. 3),
- zapewnić coroczne szkolenie kierownika (art. 8c-8e).
Gmina może te obowiązki przejąć w ramach wspólnej obsługi albo porozumienia (art. 16e ust. 5-6). Więcej w artykule Podmiot ważny publiczny w KSC.
Jak pomaga Cyberenu
Wzór Cyberenu ma część wspólną dla pomocy społecznej i wspierania rodziny oraz gotowe karty czynności dla wspierania rodziny, placówek wsparcia dziennego i profilaktyki uzależnień. Czynności, których katalog jeszcze nie ma, dopisujemy podczas wdrożenia. Na tych samych rejestrach powstaje dokumentacja RODO i SZBI.