Inspektor ochrony danych w szkole: ile kosztuje i co jest w cenie

Szkoła prosi kilka firm o ofertę na inspektora ochrony danych (IOD) i dostaje kwoty, które trudno ze sobą porównać. Jedna to 250 zł brutto miesięcznie, inna ponad 5 tys. zł. Tak wyglądało rozeznanie rynku jednej łódzkiej szkoły pod koniec 2023 roku, a podobne różnice widać w zapytaniach innych szkół i gmin.

Różnica bierze się przede wszystkim z tego, co dokładnie jest w cenie. Pokażę Ci, ile płacą inne szkoły i gminy, jakie zadania inspektor ochrony danych w szkole ma z mocy prawa i za co często płaci się osobno. Do tego dwie sprawy, które w ofertach bywają opisane źle: zawiadomienie do Urzędu Ochrony Danych Osobowych (UODO) i reprezentowanie szkoły przed urzędem, a na koniec wspólny inspektor dla szkół całej gminy.

Czy Twoja szkoła w ogóle musi mieć inspektora, opisałem osobno w tekście Inspektor ochrony danych: kto musi go powołać, a kto nie. Tutaj zakładam, że musi, i pytanie brzmi: za co płacisz.

Outsourcing IOD w szkole: ile to kosztuje według publicznych zapytań?

Outsourcing IOD to po prostu inspektor z zewnątrz, na umowę, a nie na etacie. Szkoły i gminy często kupują tę usługę w zapytaniach ofertowych i przetargach, a ich wyniki publikują. Oto cztery przykłady z ostatnich lat (kwoty miesięczne na placówkę przeliczyłem sam z kwot podanych w ogłoszeniach):

• Jedna szkoła, Łódź, zapytanie z końca 2023 r. Ogólnokształcąca Szkoła Baletowa zebrała 7 ofert na rok. Wymagała m.in. obecności inspektora w szkole raz w tygodniu. Sześć ofert mieściło się między 250 zł a 5 535 zł brutto miesięcznie, a przy najtańszej był dopisek „+ roczny audyt”. Siódma wyniosła ponad 33 tys. zł miesięcznie (protokół z rozeznania rynku).
• 147 placówek oświatowych, Szczecin, 2025. Gmina kupiła inspektora naraz dla 147 szkół i placówek, razem z obsługą w zakresie Krajowych Ram Interoperacyjności (przepisów o bezpieczeństwie systemów informatycznych w urzędach i szkołach). Wybrana oferta: 759 402 zł za 12 miesięcy, czyli ok. 430 zł miesięcznie na placówkę (ogłoszenie o wyniku postępowania). Wygrała droższa z dwóch ofert, bo cena ważyła tylko 40%, a doświadczenie zespołu 60% (ogłoszenie o zamówieniu).
• 9 jednostek, Stalowa Wola, 2024-2027. Centrum usług wspólnych zamówiło inspektora dla siedmiu szkół podstawowych, liceum i żłobka. Wybrana oferta: 151 437,60 zł za okres od kwietnia 2024 do marca 2027, czyli ok. 470 zł miesięcznie na placówkę (ogłoszenie o wyniku postępowania).
• 62 jednostki, Chorzów, 2025. Wspólne zamówienie miejskiej jednostki obsługującej oświatę i 61 przedszkoli, szkół oraz innych placówek: inspektor dla wszystkich i dodatkowo coroczny audyt bezpieczeństwa systemów. Jedynym kryterium wyboru była cena (ogłoszenie o zamówieniu). Oferty od 95 976 zł do ponad 1 mln zł za rok. Wygrała najtańsza, co daje ok. 130 zł miesięcznie na jednostkę (wynik postępowania).

Rozrzut jest więc ogromny: od ok. 130 zł do kilku tysięcy złotych miesięcznie za placówkę. Za każdą z tych kwot stoi inny zakres usługi. W jednym zapytaniu jest cotygodniowa wizyta, w innym audyt systemów, w jeszcze innym cena była jedynym kryterium wyboru. Dlatego zanim porównasz kwoty, porównaj, co szkoła za nie dostaje.

Zadania inspektora ochrony danych w szkole według art. 39 RODO

Zadania inspektora wypisuje art. 39 ust. 1 RODO. To jest minimum, za które płacisz w każdej ofercie, nawet najtańszej. W szkole wygląda to tak:

RODO wymienia szkolenia i audyty w zadaniu monitorowania (art. 39 ust. 1 lit. b), ale nie mówi, czy inspektor ma je prowadzić sam, ile ich ma być i czy mają być w stałej opłacie. To ustalasz w umowie. Jedna oferta obejmie szkolenie na radzie pedagogicznej raz w roku, inna tylko materiały do przeczytania, a jeszcze inna wyceni każde szkolenie osobno.

Podstawową wiedzę o ochronie danych nauczyciele mogą też dostać bezpłatnie od UODO, w jego programie edukacyjnym dla szkół. Co szkoła w nim dostaje i do czego się zobowiązuje, opisuję w tekście Twoje dane - Twoja sprawa 2026/2027: co szkoła dostaje i co musi zrobić. To jednak edukacja, a nie zadania inspektora.

Czego inspektor nie zrobi za szkołę? Nie podejmuje decyzji o danych za dyrektora i nie przejmuje odpowiedzialności. Za dane odpowiada administrator, czyli szkoła (art. 24 RODO). Dlatego inspektorem nie może być ktoś, kto o tych danych decyduje, o czym piszę w tekście Kto nie może być inspektorem ochrony danych: kara 12 tys. zł dla komornika.

Za co zewnętrzny inspektor ochrony danych często liczy osobno?

W części ofert stała opłata obejmuje samą funkcję: inspektor jest wyznaczony, jest kontaktem dla urzędu i ludzi, odpowiada na krótkie pytania. Dłuższa praca jest rozliczana osobno. To normalny model, byle był opisany w ofercie, zanim podpiszesz umowę.

Poza stałą opłatą bywają na przykład:

Pozycja, o której łatwo zapomnieć, to dokumentacja. Jeśli przegląd pokaże, że szkoła nie ma polityki ochrony danych, rejestru czynności przetwarzania albo aktualnych klauzul informacyjnych, ktoś musi je przygotować. To dużo więcej pracy niż odpowiedź na pytanie, więc sprawdź, czy oferta to obejmuje. U nas na przykład dokumentacja RODO to osobna usługa.

Z drugiej strony szkoły prowadzone przez gminę lub powiat muszą mieć inspektora od 2018 roku, więc szkoła zwykle nie wdraża RODO od zera, tylko zmienia inspektora. Wtedy wystarczy przegląd i poprawki tego, co już jest.

U nas też tak to działa: w abonamencie jestem inspektorem i kontaktem dla urzędu, a dłuższą pracę wyceniam, zanim ją zacznę. Dlatego porównuj oferty nie po kwocie w pierwszej linijce, tylko po tym, ile zapłacisz za typowy rok szkoły.

Zanim podpiszesz umowę, zapytaj każdego oferenta o te same rzeczy:

• ile godzin doradztwa jest w cenie i ile kosztuje każda kolejna;
• czy szkolenie i audyt są w cenie, ile razy w roku i czy na miejscu, czy zdalnie;
• ile kosztuje obsługa naruszenia, np. maila z ocenami wysłanego do niewłaściwego rodzica;
• czy dojazd jest w cenie, a jeśli nie, ile kosztuje;
• na jak długo jest umowa i z jakim okresem wypowiedzenia.

Zawiadomienie do UODO: wysyła szkoła, w ciągu 14 dni

Po wyznaczeniu inspektora szkoła ma 14 dni, żeby zawiadomić Prezesa UODO. Mówi o tym art. 10 ust. 1 ustawy o ochronie danych osobowych: zawiadamia „podmiot, który wyznaczył inspektora”, czyli szkoła, a nie sam inspektor. Zawiadomienie składa się elektronicznie, z podpisem kwalifikowanym albo profilem zaufanym (art. 10 ust. 6).

Inspektor może przygotować pismo i powiedzieć, co gdzie wpisać. Zwykle podpisuje je dyrektor jako osoba, która reprezentuje szkołę. Ustawa pozwala też złożyć zawiadomienie przez pełnomocnika z pełnomocnictwem w formie elektronicznej (art. 10 ust. 2), ale obowiązek i termin zostają po stronie szkoły. Te same 14 dni obowiązują przy zmianie danych inspektora i przy jego odwołaniu (art. 10 ust. 4). Przy zmianie inspektora pamiętaj więc o zawiadomieniu o odwołaniu poprzedniego i wyznaczeniu nowego.

Imię, nazwisko oraz e-mail lub telefon inspektora szkoła publikuje niezwłocznie na swojej stronie internetowej (art. 11 ustawy). Samo złożenie zawiadomienia przez pełnomocnika to coś innego niż reprezentowanie szkoły w sprawie przed UODO, o którym piszę niżej.

Czy inspektor reprezentuje szkołę przed UODO?

Nie powinien. Inspektor współpracuje z urzędem i jest dla niego kontaktem, ale nie jest pełnomocnikiem szkoły. Urząd Ochrony Danych Osobowych pisze o tym wprost w swoim biuletynie: „IOD nie może być też pełnomocnikiem administratora przed organem nadzorczym lub sądem”.

Dlaczego? Bo pełnomocnik broni interesu szkoły, a inspektor ma niezależnie oceniać, czy szkoła przestrzega przepisów. Art. 38 ust. 6 RODO zakazuje dawania inspektorowi zadań, które prowadzą do konfliktu interesów. Wytyczne Grupy Roboczej Art. 29 w sprawie inspektorów (WP243, pkt 3.5) podają podobny przykład: zewnętrzny inspektor, którego firma prosi o reprezentowanie jej przed sądem w sprawie danych.

W praktyce wygląda to tak: przychodzi pismo z UODO, często najpierw do inspektora. Inspektor pomaga przygotować wyjaśnienia i dokumenty, ale odpowiedź podpisuje szkoła, a jeśli sprawa skończy się postępowaniem, pełnomocnikiem powinien być ktoś inny. Jak odpowiadać na takie pismo, opisałem w tekście Pismo z UODO: jak odpowiedzieć i kara za brak odpowiedzi.

Oferta, która obiecuje „reprezentację szkoły przed UODO” w ramach funkcji inspektora, obiecuje coś, czego inspektor robić nie powinien.

Jeden inspektor dla wszystkich szkół w gminie

Szkoły i przedszkola prowadzone przez gminę mogą mieć wspólnego inspektora. Art. 37 ust. 3 RODO pozwala organom i podmiotom publicznym wyznaczyć jednego inspektora dla kilku z nich, z uwzględnieniem ich struktury organizacyjnej i wielkości. Wtedy jedno zapytanie ofertowe ogłasza zwykle gmina albo centrum usług wspólnych, które obsługuje szkoły.

Takie wspólne zamówienia ogłosiły Szczecin, Stalowa Wola i Chorzów z przykładów wyżej. Wychodziło w nich na placówkę od ok. 130 do ok. 470 zł miesięcznie, czyli mniej niż w większości ofert dla pojedynczej łódzkiej szkoły. Zakresy były jednak różne, więc to wskazówka, a nie reguła. Jeśli Twoja gmina ogłasza takie zamówienie, warto, żeby szkoły powiedziały wcześniej, czego potrzebują, np. ile wizyt i szkoleń na miejscu.

Wspólny inspektor nie łączy szkół w jedną. Każda szkoła składa własne zawiadomienie o jego wyznaczeniu (art. 10 ust. 5 ustawy o ochronie danych osobowych), choć może to za nią zrobić pełnomocnik (art. 10 ust. 2), i każda nadal odpowiada za swoje dane. Sprawdź też, czy inspektor ma czas dla każdej placówki. Szkoły mają mu zapewnić zasoby niezbędne do wykonywania zadań (art. 38 ust. 2 RODO), a ustawa pozwala wyznaczyć osobę, która zastępuje inspektora w czasie jego nieobecności (art. 11a). Zastępcę też trzeba zgłosić do UODO i podać na stronie szkoły. Przy kilkunastu placówkach warto zapytać, czy oferta przewiduje takiego zastępcę.

Najczęstsze pytania o inspektora ochrony danych w szkole

Jak porównać oferty na inspektora dla szkoły

Pamiętaj: niska kwota w pierwszej linijce oferty niewiele mówi. Policz, ile zapłacisz za rok z jednym szkoleniem, jednym audytem i jednym naruszeniem, i dopiero to porównaj. Jeśli chcesz, sprawdzę z Tobą zakres z Twojego zapytania albo z ofert, które już masz. Zobacz, jak działa u nas zewnętrzny inspektor ochrony danych.