RODO dla jednostek samorządu terytorialnego

Gminy przetwarzają dane osobowe obywateli i pracowników w wielu obszarach swojej działalności.
Przykładowe dane to:

• Dane identyfikacyjne – imię, nazwisko, numer PESEL, adres zamieszkania, data urodzenia, numer dowodu osobistego, adres e-mail.
• Dane kontaktowe – numer telefonu, adres e-mail.
• Dane dotyczące świadczeń i usług publicznych – dane o korzystaniu z usług socjalnych (np. zasiłki, dopłaty), dane o przyznawaniu ulg, dotacji, programów pomocowych.
• Dane dotyczące obiegu dokumentów administracyjnych – dane związane z obiegiem decyzji administracyjnych, pozwoleniami na budowę, rejestracją działalności gospodarczej itp.
• Dane dotyczące zatrudnienia – dane osobowe pracowników gminnych, takie jak imię, nazwisko, stanowisko, numer PESEL, dane kontaktowe, wynagrodzenie, staż pracy.
• Dane podatkowe – dane dotyczące płatności podatków lokalnych, dane o nieruchomościach, dane związane z opłatami za śmieci, wodę, kanalizację.

Gminy przetwarzają dane osobowe na podstawie różnych przesłanek prawnych, w tym:

• Wykonywanie zadań publicznych – Na podstawie art. 6 ust. 1 lit. e RODO (wypełnianie obowiązków publicznych). Wiele działań samorządu, takich jak przyznawanie zasiłków, dopłat, decyzje administracyjne, wymagają przetwarzania danych osobowych.
• Wykonanie umowy – Przetwarzanie danych w celu realizacji umowy zawartej z obywatelem (np. usługi komunalne, wynajem mieszkań).
• Zgoda osoby, której dane dotyczą – W przypadkach, gdy samorząd zbiera dane na podstawie zgody (np. zapisy na wydarzenia, usługi marketingowe).
• Obowiązek prawny – Gmina przetwarza dane również w celu wykonania obowiązków nałożonych przez przepisy prawa, np. ustawy o podatkach lokalnych.

Większość gmin powołuje Inspektora Ochrony Danych (IOD), który jest odpowiedzialny za nadzór nad przestrzeganiem przepisów ochrony danych osobowych w gminnych jednostkach. IOD wspiera gminę w zapewnieniu zgodności z RODO, pomaga w opracowywaniu dokumentacji oraz organizuje szkolenia dla pracowników. Ponadto IOD pełni rolę doradczą i monitorującą, a także współpracuje z organem nadzorczym (UODO) w przypadku wystąpienia naruszeń ochrony danych.

Zgodnie z RODO, gminy mają obowiązek prowadzenia rejestru czynności przetwarzania danych osobowych, który dokumentuje wszystkie operacje przetwarzania danych (np. zbieranie, przechowywanie, modyfikowanie, udostępnianie). Rejestr ten pozwala na kontrolowanie zgodności z przepisami i jest podstawą do audytów ochrony danych.

W gminach przetwarzane są różne rodzaje danych osobowych, w tym dane wrażliwe (np. dane zdrowotne, dane dotyczące niepełnosprawności). Z tego powodu bardzo ważne jest wdrożenie odpowiednich środków bezpieczeństwa w celu ochrony tych danych przed nieuprawnionym dostępem, zniszczeniem czy utratą. Przykładowe środki to:

• Zabezpieczenie systemów informatycznych – Wykorzystanie programów antywirusowych, zapór ogniowych, systemów szyfrowania danych.
• Kontrola dostępu do danych – Ograniczenie dostępu do danych tylko do uprawnionych pracowników, zapewnienie odpowiednich loginów i haseł.
• Regularne szkolenia pracowników – Przeprowadzanie szkoleń dotyczących ochrony danych osobowych, zwracanie uwagi na wrażliwość danych i procedury postępowania w przypadku naruszeń.

Gmina jako administrator danych osobowych, jest zobowiązana do zapewnienia realizacji praw osób, których dane przetwarza, takich jak:

• Prawo dostępu do danych – Obywatele mogą wystąpić z wnioskiem o dostęp do swoich danych osobowych przetwarzanych przez gminę.
• Prawo do sprostowania danych – Obywatele mogą żądać poprawienia swoich danych, jeśli są one nieaktualne lub błędne.
• Prawo do usunięcia danych (prawo do bycia zapomnianym) – W pewnych sytuacjach, osoby mogą żądać usunięcia swoich danych osobowych.
• Prawo do ograniczenia przetwarzania danych – Osoby mogą wystąpić o ograniczenie przetwarzania ich danych w określonych okolicznościach.
• Prawo do przenoszenia danych – Obywatele mogą żądać przeniesienia swoich danych do innego administratora, jeśli jest to możliwe.

Gminy, podobnie jak inne organy publiczne, muszą być przygotowane na ewentualne naruszenia ochrony danych osobowych. W przypadku naruszenia danych (np. wycieku danych), gmina ma obowiązek zgłoszenia incydentu do Urzędu Ochrony Danych Osobowych (UODO) w ciągu 72 godzin. W przypadku, gdy naruszenie stanowi wysokie ryzyko dla osób, których dane dotyczą, gmina powinna poinformować o tym także tych obywateli.

• Złożoność przepisów – Gminy często muszą dostosować się do zmieniających się przepisów prawnych, co wiąże się z koniecznością aktualizacji procedur.
• Zarządzanie dużą ilością danych – Gminy przetwarzają dane o dużej liczbie mieszkańców, co wymaga skutecznego zarządzania i przechowywania danych w sposób zgodny z RODO.
• Ochrona danych w systemach informatycznych – Gminy często korzystają z różnych systemów IT, które muszą być odpowiednio zabezpieczone przed cyberzagrożeniami.