Zgodność RODO w jednostkach samorządu – najnowsze wytyczne 2026

Nowe wytyczne RODO dla JST w 2026 roku – co się zmienia?

Prezes Urzędu Ochrony Danych Osobowych opublikował w pierwszym kwartale 2026 roku zaktualizowane rekomendacje dla sektora publicznego. To już trzecia wersja wytycznych od momentu wejścia RODO w życie – i zdecydowanie najbardziej wymagająca.

Główny nacisk położono na transparentność i minimalizację danych. Urzędy gmin, szkoły oraz spółki komunalne muszą wykazać, że faktycznie zbierają tylko te informacje, które są niezbędne do realizacji zadań publicznych. Brzmi oczywiscie? W praktyce to spore wyzwanie.

Aktualizacja rejestrów czynności przetwarzania

To pierwszy i najważniejszy obowiązek. Rejestry czynności przetwarzania (RCP) w wielu jednostkach samorządu terytorialnego są nieaktualne od 2020 roku. Nowe wytyczne wymagają uwzględnienia w nich przetwarzania danych w systemach chmurowych oraz w aplikacjach dla mieszkańców.

Weźmy przykład: gmina uruchomiła w 2024 roku aplikację do zgłaszania usterek przez mieszkańców. Jeśli nie została ona wpisana do RCP z adnotacją o lokalizacji serwerów i zabezpieczeniach – to już naruszenie. UODO zapowiada, że podczas kontroli w 2026 roku będzie sprawdzał właśnie takie szczegóły.

Obowiązek weryfikacji umów powierzenia

Kolejny newralgiczny punkt to umowy z dostawcami usług IT. Hosting, e-usługi, systemy obiegu dokumentów – każdy zewnętrzny podmiot przetwarzający dane musi mieć aktualną umowę powierzenia. I to nie byle jaką.

Z danych UODO wynika, że w 2025 roku blisko 40% skontrolowanych JST miało nieaktualne lub niekompletne umowy powierzenia. Brak aktualizacji grozi sankcjami – i to nie tylko finansowymi. Inspektor może nakazać natychmiastowe wstrzymanie przetwarzania danych do czasu poprawy dokumentacji. A to paraliżuje pracę urzędu.

Najczęstsze błędy w ochronie danych w gminach i szkołach

Skala problemów w jednostkach samorządu jest większa, niż się powszechnie uważa. W 2025 roku aż 62% zgłoszonych naruszeń w sektorze publicznym dotyczyło błędów organizacyjnych, nie technicznych. Ludzie, procesy i procedury – to tu leży źródło problemu.

Brak zgód na przetwarzanie danych uczniów

W placówkach oświatowych wciąż zdarzają się przypadki przetwarzania danych dzieci bez ważnej zgody rodzica. Dotyczy to przede wszystkim publikacji zdjęć na stronach szkoły, wyników konkursów czy list obecności na wycieczkach.

Szkoły często działają na zgodach zebranych przy zapisie dziecka do placówki – tych sprzed kilku lat. Rodzic ma prawo w każdej chwili cofnąć zgodę. Jeśli szkoła tego nie odnotuje i dalej publikuje zdjęcia – to naruszenie. Proste, a jakże częste.

Niewłaściwe zarządzanie dostępem do systemów

W urzędach gmin problemem są nieaktualne uprawnienia pracowników. Pracownik zmienił stanowisko, ale w systemie wciąż ma dostęp do danych mieszkańców z poprzedniego wydziału. Albo – co gorsza – były pracownik nadal ma aktywne konto.

Naruszenia związane z brakiem szyfrowania nośników (laptopy, pendrive'y) stanowią drugą co do częstości kategorię incydentów w JST. Urzędnik bierze służbowy laptop do domu, gubi go w komunikacji miejskiej, a na dysku są dane osobowe bez szyfrowania. I mamy zgłoszenie naruszenia do UODO.

Narzędzia i rozwiązania wspierające zgodność RODO w JST

Jak sobie z tym wszystkim poradzić? Ręczne prowadzenie dokumentacji w Excelu to prosta droga do błędu. Na szczęście są już narzędzia zaprojektowane specjalnie dla sektora publicznego.

Platformy do zarządzania compliance

Platforma nis2panel.pl oferuje kompleksowe moduły do zarządzania rejestrem czynności, oceny ryzyka i monitorowania incydentów. Jest idealnie dopasowana do potrzeb gmin, szkół i spółek komunalnych. Co ważne – uwzględnia zarówno wymogi RODO, jak i obowiązki NIS2 dla gmin, które wchodzą w życie w pełni od 2026 roku.

Automatyczne przypomnienia o przeglądach i aktualizacjach dokumentacji znacząco redukują ryzyko przeoczenia terminów. System sam generuje alerty, gdy zbliża się termin odnowienia zgody lub aktualizacji umowy powierzenia. Dla przeciążonego obowiązkami IOD to prawdziwe odciążenie.

Szkolenia i audyty wewnętrzne

Żadne narzędzie nie zastąpi jednak świadomych pracowników. Warto rozważyć cykliczne audyty zewnętrzne oraz szkolenia e-learningowe dla wszystkich osób mających styczność z danymi osobowymi. Koszt szkolenia to kilkadziesiąt złotych na osobę – kara za brak przeszkolenia może być tysiąckrotnie wyższa.

Dla jednostek realizujących wdrożenie NIS2 w szkole lub NIS2 dla spółek komunalnych, kluczowe jest połączenie wymogów obu regulacji. Platforma do zarządzania NIS2 taka jak nis2panel.pl pozwala zarządzać zgodnością w jednym miejscu, bez dublowania dokumentacji.

Koszty i kary za nieprzestrzeganie RODO w samorządach

Mówiąc wprost: ignorowanie RODO kosztuje. I to coraz więcej.

Skala kar w 2026 roku

W 2026 roku Prezes UODO nałożył już kilka kar na JST. Najwyższa sięgnęła 150 000 zł za brak zgłoszenia naruszenia w terminie. To o 30% więcej niż średnia kara w 2025 roku. Trend jest jasny – urząd zaostrza podejście.

Co ciekawe, kary nie dotyczą tylko dużych miast. W 2026 roku ukarano małą gminę wiejską (40 000 zł) za brak rejestru czynności przetwarzania. Wielkość jednostki nie ma znaczenia – liczy się stan compliance.

Ryzyko reputacyjne i utrata zaufania

Oprócz kar finansowych, jednostki narażają się na kontrole i nakazy usunięcia naruszeń, co generuje dodatkowe koszty administracyjne. Ale jest coś gorszego niż pieniądze.

Utrata zaufania mieszkańców i partnerów biznesowych może być długoterminowo bardziej dotkliwa niż sama sankcja pieniężna. Gdy w lokalnej prasie pojawi się informacja, że urząd gminy nie chronił danych mieszkańców – odbudowa reputacji trwa latami. A przecież chodzi o podstawową powinność administracji publicznej: bezpieczeństwo danych obywateli.

Jak przygotować jednostkę na kontrolę UODO? Praktyczne kroki

Kontrola może przyjść w każdej chwili. Oto konkretne działania, które warto podjąć już teraz.

Audyt gotowości RODO

Przeprowadź kompleksowy audyt zgodności z RODO. Obejmij nim rejestr czynności, politykę prywatności i procedurę zgłaszania naruszeń. Sprawdź, czy dokumentacja jest spójna i aktualna. Nie chodzi o to, by mieć ładne segregatory – chodzi o realne odzwierciedlenie tego, co faktycznie dzieje się w jednostce.

Warto skorzystać z gotowych checklist dostępnych na platformach takich jak nis2panel.pl. Umożliwiają one przeprowadzenie audytu krok po kroku, z automatycznym generowaniem raportu.

Dokumentacja i procedury

Upewnij się, że wszystkie zgody na przetwarzanie są aktualne i przechowywane w sposób umożliwiający ich łatwe udostępnienie. Papierowe segregatory to już przeszłość – inspektor UODO oczekuje szybkiego dostępu do dokumentacji.

Przygotuj zespół na symulację kontroli. Przećwicz odpowiedzi na pytania inspektora i sposób prezentacji dokumentacji. To brzmi jak nadmiar ostrożności? Do czasu, aż inspektor rzeczywiście zapuka do drzwi. Wtedy każda godzina przygotowań procentuje.

Dla jednostek objętych obowiązkami z dyrektywy NIS2 – a to już większość gmin i spółek komunalnych – kluczowe jest połączenie wymogów obu regulacji. NIS2 dla jednostek samorządu terytorialnego nakłada dodatkowe obowiązki w zakresie cyberbezpieczeństwa, które trzeba zintegrować z istniejącymi procedurami RODO. W praktyce oznacza to jedno: potrzebujesz narzędzia, które ogarnie obie regulacje jednocześnie.

Zgodność RODO w jednostkach samorządu to nie jednorazowy projekt. To ciągły proces, który wymaga systematycznej uwagi. Ale z odpowiednimi narzędziami i procedurami – jest w pełni osiągalny. Nawet dla małej gminy z ograniczonym budżetem.