RODO w urzędzie: obowiązki i granice
Podstawy prawne przetwarzania, inspektor ochrony danych, kary dla podmiotów publicznych oraz relacja RODO z jawnością i cyberbezpieczeństwem. Praktyczny przegląd dla pracowników urzędów i jednostek publicznych.
Treść ma charakter informacyjny i nie jest poradą prawną. Stan prawny: 21 października 2026 r.
100 tys. zł
górny pułap kary administracyjnej dla jednostek sektora finansów publicznych (art. 102 ust. 1 ustawy o ochronie danych osobowych).
art. 37 ust. 1 lit. a
RODO: organy i podmioty publiczne muszą wyznaczyć inspektora ochrony danych.
lit. c i e
główne podstawy przetwarzania w administracji: obowiązek prawny i zadanie w interesie publicznym lub w ramach władzy publicznej (art. 6 ust. 1 RODO).
3 kwietnia 2026
weszła w życie nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (NIS2), obejmująca także administrację publiczną.
Źródła: rozporządzenie (UE) 2016/679 (RODO), ustawa z 10 maja 2018 r. o ochronie danych osobowych, gov.pl. Dane aktualne na dzień 21 października 2026 r.
Na jakiej podstawie urząd przetwarza dane
Dla każdego zadania urzędu powinien istnieć konkretny przepis, który uzasadnia przetwarzanie. Dwie podstawy są w administracji kluczowe, a jedna jest wyłączona.
Zadanie publiczne i władza publiczna
Najczęstsza podstawa w urzędach: przetwarzanie niezbędne do wykonania zadania w interesie publicznym lub w ramach władzy publicznej. Musi wynikać z prawa UE lub krajowego, a cel ma być w nim określony albo niezbędny do wykonania zadania (art. 6 ust. 3).
Obowiązek prawny
Przetwarzanie niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze, np. wynikającego z ustawy. Podstawę też wskazuje prawo UE lub krajowe (art. 6 ust. 3).
Czego nie wolno
Prawnie uzasadniony interes (lit. f) nie ma zastosowania do przetwarzania przez organy publiczne w ramach realizacji zadań. Zgoda zwykle nie jest dobrą podstawą, bo przy organie publicznym trudno o jej dobrowolność.
Sześć spraw w codziennej pracy jednostki
Te sprawy wracają w każdym urzędzie, od gminy po jednostkę ochrony zdrowia. Każda opiera się na konkretnym przepisie.
Inspektor ochrony danych
Obowiązkowy dla organów i podmiotów publicznych. W Polsce chodzi o jednostki sektora finansów publicznych, instytuty badawcze i NBP. O wyznaczeniu zawiadamia się Prezesa UODO w ciągu 14 dni. Dla kilku organów można wyznaczyć jednego inspektora (art. 37 ust. 3).
Niezależność inspektora
Inspektor nie otrzymuje wiążących instrukcji co do wykonywania zadań i podlega bezpośrednio najwyższemu kierownictwu (art. 38 ust. 3). Jego funkcja nie może prowadzić do konfliktu interesów z innymi zadaniami (art. 38 ust. 6).
Bezpieczeństwo systemów
Środki techniczne i organizacyjne mają być dopasowane do ryzyka. Obok RODO obowiązują przepisy o krajowym systemie cyberbezpieczeństwa, które obejmują także administrację i jednostki samorządu terytorialnego.
Naruszenia: dwie ścieżki
Naruszenie ochrony danych, które zagraża osobom, zgłasza się Prezesowi UODO w ciągu 72 godzin. Poważny incydent cyberbezpieczeństwa zgłasza się osobno do zespołu CSIRT. Jedno zdarzenie może wymagać obu zgłoszeń.
Jawność i informacja publiczna
Prawo do informacji publicznej podlega ograniczeniu ze względu na prywatność osoby fizycznej, ale nie dotyczy informacji o osobach pełniących funkcje publiczne, związanych z pełnieniem tych funkcji. Samo RODO nie przesądza o odmowie, a ujawnienie danych odbywa się z poszanowaniem RODO.
Prawa osób, których dane przetwarzasz
Wnioski o dostęp, sprostowanie czy usunięcie danych rozpatruje się bez zbędnej zwłoki, najpóźniej w miesiąc, z możliwością przedłużenia o dwa miesiące (art. 12 ust. 3). Przy podstawie z art. 6 ust. 1 lit. e osoba może wnieść sprzeciw (art. 21 ust. 1).
Pięć kroków dla jednostki publicznej
Kolejność od formalności do praktyki, która pozwala wykazać zgodność z RODO (art. 5 ust. 2).
Co robić po wycieku danychWyznacz IOD i zawiadom UODO
Sprawdź, czy jednostka jest podmiotem publicznym z art. 9 ustawy, wyznacz inspektora (może być wspólny dla kilku jednostek) i zawiadom Prezesa UODO w ciągu 14 dni.
Wskaż przepis dla każdego zadania
Przy każdej czynności przetwarzania zapisz podstawę z art. 6 ust. 1 lit. c lub e i konkretny przepis, który ją uzasadnia. Nie opieraj przetwarzania na zgodzie ani na prawnie uzasadnionym interesie.
Uporządkuj role i umowy
Dla dostawców systemów i usług przygotuj umowy powierzenia (art. 28), a przy wspólnych zadaniach ustal zasady współadministrowania (art. 26).
Połącz RODO z cyberbezpieczeństwem
Sprawdź, czy jednostka jest podmiotem kluczowym lub ważnym w rozumieniu ustawy o krajowym systemie cyberbezpieczeństwa, i zadbaj o spójne procedury zarządzania ryzykiem oraz incydentami.
Przewęż procedury
Przygotuj tryb obsługi wniosków osób (miesiąc na odpowiedź), zgłaszania naruszeń do UODO (72 godziny) i incydentów do CSIRT. Dokumentuj każde naruszenie (art. 33 ust. 5).
Kary i inne środki wobec podmiotów publicznych
Kary dla jednostek publicznych są niższe niż dla firm, ale obowiązki są takie same.
Prawo krajowe decyduje
Państwa członkowskie mogą ustalić, czy i w jakim zakresie nakładać administracyjne kary pieniężne na organy i podmioty publiczne. Polska skorzystała z tej możliwości w ustawie z 10 maja 2018 r.
Limity kar
Do 100 tys. zł dla jednostek sektora finansów publicznych z art. 9 pkt 1-12 i 14 ustawy o finansach publicznych, instytutów badawczych i NBP oraz do 10 tys. zł dla jednostek z art. 9 pkt 13. Kary nakłada się na zasadach art. 83 RODO.
Inne środki
Prezes UODO może też zastosować inne środki naprawcze, np. upomnienie lub nakaz dostosowania przetwarzania do przepisów. Limity kar nie zwalniają z obowiązków wynikających z RODO.
RODO to nie jedyny reżim: ustawa o KSC
Od 3 kwietnia 2026 r. obowiązuje nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca dyrektywę NIS2. Obejmuje także administrację publiczną, w tym jednostki samorządu terytorialnego, i wiąże się m.in. z zarządzaniem ryzykiem, odpowiedzialnością kierowników jednostek oraz zgłaszaniem poważnych incydentów do zespołów CSIRT przez system S46.
Zgłoszenie incydentu do CSIRT nie zastępuje zgłoszenia naruszenia ochrony danych do Prezesa UODO. Gdy incydent jest też naruszeniem danych osobowych, obie ścieżki prowadzi się osobno (wytyczne EROD 9/2022 przypominają o odrębnych obowiązkach zgłoszeniowych w innych aktach prawnych).
Stan prawny: 21 października 2026 r. Przepisy KSC dotyczą różnych kategorii podmiotów w różnym zakresie, więc status jednostki warto sprawdzić w tekście ustawy.
Gdzie sprawdzić przepisy i wytyczne
Każdy obowiązek opisany na tej stronie opiera się na przepisach i materiałach organów. Tu sprawdzisz je u źródła.
UODO: materiały dla administratorów
Poradniki, wyjaśnienia i materiały dla administratorów danych.
Przejdź do uodo.gov.pl →
Inspektor ochrony danych
Opracowanie UODO o roli i statusie IOD oraz zawiadamianiu Prezesa UODO.
Otwórz opracowanie →
Ustawa o ochronie danych osobowych
Ustawa z 10 maja 2018 r. o ochronie danych osobowych: m.in. art. 9, 10 i 102.
Szukaj w ISAP →
RODO w EUR-Lex
Art. 6, 26, 28, 32-34, 37, 38, 58 i 83 oraz motyw 43.
Otwórz w EUR-Lex →
Cyberbezpieczeństwo: ustawa o KSC
Informacje o nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa (NIS2).
Przejdź do gov.pl →
Portal orzeczeń UODO
Decyzje Prezesa UODO, także wobec podmiotów publicznych.
Przejdź do orzeczenia.uodo.gov.pl →Najczęstsze pytania administracji
Czy urząd musi wyznaczyć inspektora ochrony danych?
Tak. Organy i podmioty publiczne wyznaczają IOD (art. 37 ust. 1 lit. a RODO), z wyjątkiem sądów w zakresie sprawowania wymiaru sprawiedliwości. W Polsce ustawa z 2018 r. wskazuje jednostki sektora finansów publicznych, instytuty badawcze i NBP (art. 9). O wyznaczeniu zawiadamia się Prezesa UODO w ciągu 14 dni (art. 10). Dla kilku organów można wyznaczyć jednego inspektora (art. 37 ust. 3).
Czy urząd może przetwarzać dane na podstawie zgody?
Zwykle nie. Zgoda ma być dobrowolna, a motyw 43 RODO wskazuje, że nie powinna być ważną podstawą przy wyraźnej nierównowadze między osobą a administratorem, w szczególności gdy jest nim organ publiczny. W zadaniach urzędu podstawą jest zwykle przepis prawa (art. 6 ust. 1 lit. c lub e).
Czy urząd może powołać się na prawnie uzasadniony interes?
Nie w ramach realizacji zadań. Art. 6 ust. 1 lit. f RODO nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.
Jaka kara grozi jednostce publicznej?
Prezes UODO może nałożyć karę do 100 tys. zł na jednostki sektora finansów publicznych z art. 9 pkt 1-12 i 14 ustawy o finansach publicznych, instytuty badawcze i NBP oraz do 10 tys. zł na jednostki z art. 9 pkt 13 (art. 102 ustawy o ochronie danych osobowych). Może też zastosować inne środki, np. upomnienie.
Czy RODO pozwala odmówić udostępnienia informacji publicznej?
Samo powołanie się na RODO nie przesądza o odmowie. Trzeba ocenić, czy zachodzi ograniczenie z art. 5 ust. 2 ustawy o dostępie do informacji publicznej (prywatność osoby fizycznej), pamiętając, że nie dotyczy ono informacji o osobach pełniących funkcje publiczne, związanych z pełnieniem tych funkcji. Ujawnienie danych odbywa się z poszanowaniem RODO.
Czy zgłoszenie incydentu do CSIRT zastępuje zgłoszenie do UODO?
Nie. To dwa osobne obowiązki: naruszenie ochrony danych zgłasza się Prezesowi UODO w ciągu 72 godzin (art. 33 RODO), a poważny incydent cyberbezpieczeństwa do właściwego zespołu CSIRT. Jedno zdarzenie może wymagać obu zgłoszeń.
Sprawdź procedury, zanim dojdzie do incydentu
Zobacz, co robić po wycieku danych, albo wróć do podstaw: czym są dane osobowe.
Serwis ma charakter informacyjny i nie jest poradą prawną. Stan prawny: 21 października 2026 r.