Kara UODO dla szkoły, szpitala i biblioteki: kto ma limit 100 tys. zł, a kto 10 tys. zł

Kara UODO (Urzędu Ochrony Danych Osobowych) dla szkoły czy szpitala to najwyżej 100 tys. zł? Jeszcze niedawno na naszej stronie z ofertą RODO stało zdanie, że „dla szkoły czy publicznego szpitala polska ustawa ogranicza ją do 100 tys. zł”. Poprawiliśmy je, bo jest prawdziwe tylko w połowie.

Limit nie zależy od tego, czy uczysz dzieci, leczysz pacjentów albo wypożyczasz książki. Zależy od formy prawnej: kto prowadzi placówkę i w jakiej formie działa. Gminna szkoła ma limit, prywatna już nie. Szpital działający jako samodzielny publiczny zakład opieki zdrowotnej go ma, ten sam szpital przekształcony w spółkę już nie. Poniżej rozpisujemy, kto ma limit 100 tys. zł, kto 10 tys. zł, kto żadnego i jak to sprawdzić u siebie.

Ile wynosi limit kary UODO dla jednostek publicznych?

RODO, czyli unijne rozporządzenie o ochronie danych osobowych, pozwala każdemu państwu zdecydować, czy i w jakim zakresie urząd może karać podmioty publiczne (art. 83 ust. 7 RODO). Polska zdecydowała w art. 102 ustawy o ochronie danych osobowych, a przepis odsyła do listy z art. 9 ustawy o finansach publicznych:

• do 100 tys. zł - jednostki sektora finansów publicznych z art. 9 pkt 1-12 i 14, m.in. gminy, powiaty, jednostki budżetowe (w tym szkoły samorządowe), samodzielne publiczne zakłady opieki zdrowotnej i uczelnie publiczne, a do tego instytuty badawcze i Narodowy Bank Polski (art. 102 ust. 1);
• do 10 tys. zł - państwowe i samorządowe instytucje kultury, czyli art. 9 pkt 13 (art. 102 ust. 2).

Każdy spoza sektora finansów publicznych (z wyjątkiem instytutów badawczych i NBP) płaci według pełnej skali RODO (art. 101 ustawy mówi wprost, że administracyjną karę pieniężną nakłada się wtedy na warunkach z art. 83 RODO). Maksymalna kara RODO to 20 mln euro, a w przypadku przedsiębiorstwa 4% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, jeśli ta kwota jest wyższa (art. 83 ust. 5 RODO). Za część naruszeń, np. brak inspektora ochrony danych, górna granica to 10 mln euro albo 2% obrotu (art. 83 ust. 4).

Limit to górna granica, a nie stawka. W konkretnej sprawie urząd i tak bierze pod uwagę m.in. wagę naruszenia, czas jego trwania i współpracę z UODO (art. 83 ust. 2 RODO). Ile wynosiły kary dla małych podmiotów w praktyce, także dla instytucji miejskich i obsługującej je spółki, pokazujemy we wpisie Kary za naruszenie RODO w Polsce: 4 sprawy małych podmiotów.

Szkoła samorządowa i niepubliczna: kto ma limit kary?

Szkołę albo przedszkole może prowadzić samorząd (gmina, powiat, województwo), minister, inna osoba prawna (np. stowarzyszenie, fundacja, spółka) albo osoba fizyczna (art. 8 Prawa oświatowego). Samorząd może prowadzić tylko szkoły publiczne (art. 8 ust. 3).

Przedszkola, szkoły i placówki prowadzone przez samorząd albo ministra są jednostkami budżetowymi (art. 4 ust. 1 ustawy o finansowaniu zadań oświatowych). Jednostka budżetowa należy do sektora finansów publicznych (art. 9 pkt 3 ustawy o finansach publicznych), więc szkoła gminna, powiatowa czy ministerialna ma limit 100 tys. zł.

Szkoła i przedszkole niepubliczne limitu nie mają. Płacą według pełnej skali RODO, tak jak każda firma. Uwaga na pułapkę: to samo dotyczy szkoły publicznej, którą prowadzi stowarzyszenie, fundacja albo osoba fizyczna. Status szkoły publicznej nie robi z niej jednostki budżetowej, a o limicie decyduje właśnie przynależność do sektora finansów publicznych.

Ta sama forma prawna decyduje o tym, czy szkoła musi mieć inspektora ochrony danych. Wyjaśniamy to we wpisie Inspektor ochrony danych: kto musi go powołać, a kto nie.

Gdy już wiesz, że szkoła musi mieć inspektora, następne pytanie dotyczy pieniędzy. Ceny z publicznych zapytań szkół i gmin oraz listę rzeczy, które warto sprawdzić w ofercie, zebraliśmy w tekście Inspektor ochrony danych w szkole: ile kosztuje i co jest w cenie.

Jaka kara UODO grozi szpitalowi: SP ZOZ czy spółka?

Szpital, przychodnia albo inny podmiot leczniczy może działać m.in. jako przedsiębiorca (np. spółka), samodzielny publiczny zakład opieki zdrowotnej (SP ZOZ), jednostka budżetowa, instytut badawczy, fundacja albo stowarzyszenie (art. 4 ust. 1 ustawy o działalności leczniczej). Od tej formy zależy górna granica kary:

Forma prowadzenia szpitala lub przychodni	Górna granica kary
SP ZOZ	100 tys. zł
Jednostka budżetowa	100 tys. zł
Instytut badawczy	100 tys. zł
Spółka, także powiatowa	pełna skala RODO
Fundacja, stowarzyszenie	pełna skala RODO

SP ZOZ jest w art. 9 pkt 10 ustawy o finansach publicznych, więc ma limit 100 tys. zł. Szpital przekształcony w spółkę limitu już nie ma, nawet gdy jedynym wspólnikiem jest powiat. Ustawa o działalności leczniczej przewiduje takie przekształcenie SP ZOZ w spółkę kapitałową (art. 69), a ustawa o finansach publicznych wprost wyłącza spółki prawa handlowego z art. 9 pkt 14 i nie wymienia ich nigdzie indziej.

Dla pacjenta to po prostu szpital powiatowy. Dla UODO różnica jest duża: limit 100 tys. zł albo pełna skala RODO, czyli do 20 mln euro (4% obrotu liczy się tylko wtedy, gdy daje więcej). Jak wygląda pełna skala kar przy wycieku danych pacjentów, opisujemy we wpisie Wyciek danych medycznych: kara dla szpitala we Francji, kary w Polsce i co sprawdzić w przychodni.

Samorządowy dom kultury, biblioteka publiczna, muzeum: limit 10 tys. zł

Samorząd i minister prowadzą działalność kulturalną, tworząc instytucje kultury (art. 8 i 9 ustawy o organizowaniu i prowadzeniu działalności kulturalnej). Ustawa wymienia wśród form działalności kulturalnej m.in. teatry, muzea, biblioteki i domy kultury (art. 2). Państwowe i samorządowe instytucje kultury to art. 9 pkt 13 ustawy o finansach publicznych, więc kara UODO dla nich to najwyżej 10 tys. zł, najniższy próg w ustawie.

Biblioteka publiczna gminy, powiatu czy województwa działa jako samodzielna instytucja kultury albo jako część innej instytucji kultury, np. domu kultury (art. 18 ust. 2 i 3 ustawy o bibliotekach). W obu przypadkach obowiązuje limit 10 tys. zł.

Wyjątki, o które łatwo się potknąć. Biblioteka szkolna nie jest instytucją kultury. Działa w szkole (art. 22 ust. 1 ustawy o bibliotekach), a jej organizację określa statut szkoły (art. 98 ust. 1 pkt 23 Prawa oświatowego), więc w szkole samorządowej obowiązuje limit szkoły, czyli 100 tys. zł. Podobnie publiczna biblioteka pedagogiczna: to placówka oświatowa prowadzona przez samorząd, zwykle województwo (art. 8 ust. 22 i 23 Prawa oświatowego), czyli jednostka budżetowa z limitem 100 tys. zł. A dom kultury czy muzeum prowadzone przez stowarzyszenie, fundację albo osobę prywatną nie jest państwową ani samorządową instytucją kultury, więc limitu nie ma wcale.

Inne sankcje mimo limitu: nakazy UODO, odszkodowanie, odpowiedzialność karna

Limit dotyczy tylko administracyjnej kary pieniężnej, a urząd ma też inne narzędzia, i to zarówno przy limicie 10 tys. zł, jak i 100 tys. zł. Prezes UODO może np. udzielić upomnienia, nakazać dostosowanie przetwarzania do przepisów albo ograniczyć je, a nawet zakazać przetwarzania (art. 58 ust. 2 RODO). Kara pieniężna może iść obok tych środków albo zamiast nich (art. 83 ust. 2), a art. 83 ust. 7 zostawia te uprawnienia urzędu w mocy także wobec podmiotów publicznych.

Poza urzędem są jeszcze dwie sankcje za naruszenie RODO, których limit nie obejmuje. Osoba, która poniosła szkodę, może żądać odszkodowania (art. 82 RODO), a o takich roszczeniach orzeka sąd okręgowy (art. 93 ustawy o ochronie danych osobowych). Do tego osoba, która przetwarza dane, choć nie wolno tego robić albo nie ma do tego uprawnienia, odpowiada karnie: grzywna, ograniczenie wolności albo pozbawienie wolności do 2 lat, a przy danych o zdrowiu i innych danych szczególnych kategorii do 3 lat (art. 107 ustawy).

Jak sprawdzić, czy Twoja placówka ma limit kary?

Nie zgaduj po nazwie placówki. Sprawdź formę prawną w dokumentach:

Masz wątpliwość? Zakładaj, że kara UODO może być liczona według pełnej skali, dopóki ktoś nie pokaże przepisu, który Cię obejmuje. Lepiej przygotować dokumentację pod wyższe ryzyko niż liczyć na limit, który dotyczy kogoś innego.

Najczęstsze pytania o limit kary UODO

Pamiętaj: limit zmienia tylko górną granicę kary, a nie obowiązki. Zabezpieczenia danych i zgłaszanie naruszeń obowiązują szkołę gminną tak samo jak prywatną, SP ZOZ tak samo jak spółkę. Różnica jest przy inspektorze ochrony danych: podmioty publiczne muszą go mieć zawsze, a pozostali wtedy, gdy spełniają warunki z art. 37 ust. 1 RODO, np. szpital przetwarzający dane o zdrowiu na dużą skalę. Jeśli chcesz mieć obowiązki spisane pod Twoją placówkę, zobacz, jak przygotowujemy dokumentację RODO, a gdy pismo od urzędu już przyszło, sprawdź, jak pomagamy przy kontroli UODO.