Wytyczne · stan prawny na 11.10.2026

Ośrodek pomocy społecznej

OPS to podmiot WAŻNY w rozumieniu KSC (jednostka budżetowa gminy), więc stosuje SZBI według zał. 4 i zgłasza incydent poważny w 72 h – obowiązki od 3.04.2027. Główne wyzwanie to dane szczególnych kategorii (art. 9 RODO), tajemnica pomocy społecznej, pisemne upoważnienia i system dziedzinowy zgodny z rozporządzeniem. OPS obsługuje też zespół interdyscyplinarny i procedurę „Niebieskie Karty”.

Dotyczy: gminny ośrodek pomocy społecznej (OPS, GOPS, MOPS) działający jako jednostka organizacyjna gminy.

Obowiązki z ustawy o KSC, KRI i zgłaszanie incydentów, wspólne dla wszystkich jednostek, opisano szczegółowo na stronie wspólne wymagania.

§1Przepisy

Jakie przepisy obejmują jednostkę

Obszar	Dotyczy	Co to znaczy	Podstawa
Cyberbezpieczeństwo (KSC)	tak	Podmiot WAŻNY (samorządowa jednostka budżetowa realizująca zadanie publiczne z użyciem systemów informacyjnych): SZBI według zał. 4, zgłoszenie incydentu poważnego w 72 h, 2 osoby do kontaktu (zob. dokumenty), informacja z KRK dla osób realizujących zadania KSC. Obowiązki od 3.04.2027, kary od 3.04.2028. Ośrodek sam rejestruje się w S46 po informacji o wpisie do wykazu.	art. 5 ust. 2 pkt 8 i zał. 2 ustawy o KSC; Q&A MC 3.36
Krajowe Ramy Interoperacyjności (KRI)	tak	Do 22.02.2027 obowiązuje SZBI z § 19 (m.in. audyt wewnętrzny co najmniej raz w roku) i logi z § 20 przechowywane 2 lata. Od 23.02.2027 nowe przepisy, wymagania SZBI mają wynikać z KSC.	art. 13 ust. 1 ustawy o informatyzacji; KRI § 19–20
RODO i inspektor ochrony danych	tak	OPS jest odrębnym administratorem danych świadczeniobiorców i ma obowiązkowego IOD (może być wspólny z gminą, ale każdy administrator zawiadamia UODO).	upś art. 100 ust. 5; RODO art. 37 ust. 1 lit. a, ust. 3; uodo art. 9 pkt 1, art. 10 ust. 5
Dane szczególnych kategorii i tajemnica pomocy społecznej	tak	Dane o zdrowiu, nałogach, skazaniach i dzieci wymagają szczególnej ochrony; nie podaje się do publicznej wiadomości nazwisk ani rodzaju świadczeń. Dostęp tylko z pisemnym upoważnieniem.	RODO art. 9–10; upś art. 100 ust. 1, 6–7; ustawa o przeciwdziałaniu przemocy domowej art. 9c ust. 1
Przemoc domowa i „Niebieskie Karty”	tak	OPS obsługuje organizacyjnie i technicznie zespół interdyscyplinarny, jest administratorem danych zespołu, a pracownik socjalny wchodzi do grupy diagnostyczno-pomocowej. Zespół powołuje wójt.	ustawa o przeciwdziałaniu przemocy domowej art. 9a ust. 2, 9, 11, art. 9c ust. 6
e-Doręczenia	tak	OPS ma własny adres do doręczeń elektronicznych w Bazie Adresów Elektronicznych (jednostka z REGON-em). Obowiązek stosowania od 1.01.2025; ePUAP działa do 30.09.2029.	art. 8, art. 12 ust. 1c, art. 155 ust. 9 ustawy o doręczeniach elektronicznych
Dostępność cyfrowa i ogólna	tak	Deklaracja dostępności własnej strony lub BIP co roku do 31 marca. Koordynator ds. dostępności dotyczy organu władzy publicznej, więc w OPS to zalecenie. Raport co 4 lata (2029) – czy OPS składa go odrębnie, jest do weryfikacji.	udc art. 2 pkt 1, art. 10–11; ustawa o zapewnianiu dostępności art. 3 pkt 1, art. 6, art. 11
BIP	tak	OPS jest jednostką organizacyjną gminy objętą obowiązkiem BIP. W praktyce zwykle ma odrębną stronę podmiotową; czy musi, a czy może być dział w BIP gminy – do weryfikacji.	art. 4 ust. 1 pkt 4, art. 8, art. 9 ust. 2 ustawy o dostępie do informacji publicznej
Ochrona sygnalistów	warunkowo	OPS liczy się osobno od urzędu. Procedura wewnętrzna obowiązuje, gdy na rzecz OPS pracuje co najmniej 50 osób, a gmina ma co najmniej 10 000 mieszkańców. Zgłoszeń zewnętrznych OPS nie przyjmuje (to organy publiczne).	ustawa o ochronie sygnalistów art. 23 ust. 1, 4, 5
Centralny Rejestr Umów (CRU)	tak	Własne konto kierownika OPS i wpisy umów zawartych od 1.07.2026 w ciągu 30 dni.	ufp art. 34a ust. 1–2, art. 34b ust. 3–4
Kontrola zarządcza	tak	Odpowiada kierownik OPS, a w gminie wójt.	ufp art. 69 ust. 1 pkt 2–3
Kancelaria i archiwum	tak	OPS ma własną instrukcję kancelaryjną, JRWA lub kwalifikator i instrukcję archiwalną w porozumieniu z archiwum państwowym albo wspólne akty ustalone przez wójta dla jednostek podległych.	ustawa o narodowym zasobie archiwalnym art. 6 ust. 2, 2f, 2h

§2Dokumenty

Dokumentacja, którą trzeba mieć

„Obowiązek” wynika wprost z przepisu. „Zalecenie” to rekomendacja organów (CERT Polska, Ministerstwo Cyfryzacji, UODO) albo dobra praktyka.

Dokument	Kto przygotowuje lub zatwierdza	Aktualizacja	Podstawa
Rodzinny wywiad środowiskowy (kwestionariusz według wzoru), akta spraw i decyzjeobowiązek	Pracownik socjalny; decyzje – kierownik lub upoważniony pracownik	Przy zmianie sytuacji; okres przechowywania wg JRWA OPS (ustawa go nie określa)	upś art. 107 ust. 1; rozp. MRPiPS w sprawie rodzinnego wywiadu środowiskowego (Dz.U. 2021 poz. 893)
Upoważnienie wójta dla kierownika OPS (i innych osób) do wydawania decyzji administracyjnychobowiązek	Wójt	Przy zmianie kierownika	upś art. 110 ust. 7–8
Pisemne upoważnienia do przetwarzania danych i pisemne zobowiązania do zachowania tajemnicyobowiązek	Kierownik OPS jako administrator	Przy zmianach osobowych; przegląd co roku	upś art. 100 ust. 6–7
Informacja RODO wywieszona w widocznym miejscu budynku, w którym udziela się świadczeńobowiązek	Kierownik OPS; IOD	Przy zmianie celów lub odbiorców danych	upś art. 100 ust. 3–4; RODO art. 13
Rejestr czynności przetwarzania, umowy powierzenia (np. z dostawcą systemu dziedzinowego), polityka bezpieczeństwa, procedura naruszeń i rejestr naruszeńobowiązek	Kierownik OPS; IOD	Na bieżąco	RODO art. 28, 30, 32–34
Wyznaczenie IOD i zawiadomienie Prezesa UODOobowiązek	Kierownik OPS (lub wspólny IOD z gminą – każdy administrator zawiadamia osobno)	Zmiana IOD – zawiadomienie w 14 dni	RODO art. 37; uodo art. 9–10
SZBI według KRI: analiza ryzyka, inwentaryzacja, szkolenia, audyt wewnętrzny, logiobowiązek	Kierownik OPS	Audyt co najmniej raz w roku; obowiązuje do 22.02.2027	KRI § 19–20
SZBI według zał. 4 do ustawy o KSC (18 elementów, m.in. uprawnienia, procedura awaryjna, szkolenia); dokumentowanie realizacji działańobowiązek	Kierownik OPS; może to wykonywać jednostka wyznaczona przez gminę	Przegląd co najmniej raz w roku oraz po rekomendacji Pełnomocnika Rządu lub zmianie ryzyka; wdrożenie do 3.04.2027	art. 8 ust. 3 i zał. 4 ustawy o KSC
Osoby do kontaktu z podmiotami KSC – wyznacz 2 osobyobowiązek	Kierownik wyznacza 2 osoby i wpisuje ich dane do wykazu. Podmiot ważny publiczny: art. 9 ust. 3 wymaga co najmniej jednej osoby, ale kara dla kierownika (art. 73a ust. 1 pkt 6) dotyczy niewyznaczenia co najmniej 2 – dlatego 2.	przy zmianie osoby – aktualizacja wykazu w 14 dni; od 3.04.2027	art. 9 ust. 1 pkt 1 i ust. 3, art. 73a ust. 1 pkt 6 ustawy o KSC
Wykaz podmiotów KSC, system S46 oraz informacja i kanał zgłoszeń na stronie wwwobowiązek	Podmiot publiczny jest wpisywany z urzędu i uzupełnia dane po wezwaniu. Kierownik podpisuje wniosek do wykazu podpisem kwalifikowanym, zaufanym lub osobistym. Na stronie www: informacja o cyberzagrożeniach i sposobach ochrony (wystarczy link do strony organu lub CSIRT) oraz własny kanał zgłaszania zagrożeń, incydentów i podatności, np. adres e-mail (link go nie zastępuje).	dane w wykazie: 6 miesięcy od doręczenia wezwania, zmiany w 14 dni; rejestracja w S46 najpóźniej do 3.04.2027; strona www – stale	art. 7b ust. 2 i 4, art. 7c ust. 3, art. 9 ust. 1 pkt 2–4 i ust. 4 ustawy o KSC; komunikat MC (Dz.Urz. MC 2026 poz. 7)
Dokumentacja bezpieczeństwa systemu informacyjnego (art. 10)obowiązek	Kierownik: ustanawia, stosuje i aktualizuje dokumentację; dostęp tylko dla upoważnionych, ochrona przed nieuprawnioną zmianą, kontrola wersji	na bieżąco, od 3.04.2027; przechowywanie według przepisów o archiwach i JRWA (art. 10 ust. 7), zniszczenie z protokołem	art. 10 ust. 1 i 6–8 ustawy o KSC (podmiot ważny publiczny – przez art. 16d)
Potwierdzenie rocznego szkolenia kierownika i informacja z KRK dla osób wykonujących zadania KSCobowiązek	Kierownik OPS	Szkolenie raz w roku kalendarzowym; KRK przed powierzeniem zadań	art. 8e, 8f ustawy o KSC
Oprogramowanie dziedzinowe zgodne z wymaganiami ministra (świadectwo zgodności producenta)obowiązek	Kierownik OPS wybiera system; producent uzyskuje świadectwo	Przy aktualizacjach systemu (producent przekazuje je według § 24 rozporządzenia)	upś art. 23 ust. 3–4; rozp. MRPiPS z 27.10.2023 (Dz.U. 2023 poz. 2494) § 4, 6–7
Instrukcja kancelaryjna, JRWA lub kwalifikator, instrukcja archiwalna OPS albo wspólne akty wójta dla jednostek podległychobowiązek	Kierownik OPS w porozumieniu z archiwum państwowym albo wójt	Przy zmianie zadań	ustawa o narodowym zasobie archiwalnym art. 6 ust. 2, 2f, 2h
Coroczne sprawozdanie z działalności OPS dla rady gminy wraz z potrzebami w zakresie pomocy społecznejobowiązek	Kierownik OPS	Co roku (termin w ustawie nie wskazano)	upś art. 110 ust. 9
Sprawozdawczość zadań zleconych do wojewody w formie elektronicznej przez system teleinformatycznyobowiązek	OPS lub gmina	Według wojewody (terminów ustawa nie określa)	upś art. 18 ust. 1 pkt 10
Porozumienia wójta z podmiotami zespołu interdyscyplinarnego, regulamin zespołu, oświadczenia poufności i upoważnienia członków zespołu i grupobowiązek	Wójt (porozumienia, powołanie zespołu); zespół (regulamin); członkowie (oświadczenia)	Przy zmianach składu	ustawa o przeciwdziałaniu przemocy domowej art. 9a ust. 6b, 8; art. 9c ust. 3, 7
Obsługa zespołu interdyscyplinarnego i ochrona dokumentacji „Niebieskich Kart” z ograniczonym dostępemobowiązek	Kierownik OPS	Stale; okres przechowywania dokumentacji wg JRWA (przepisy go nie określają)	ustawa o przeciwdziałaniu przemocy domowej art. 9a ust. 9, art. 9c ust. 4–5, art. 9e ust. 4
Deklaracja dostępności strony lub BIP OPS (oraz raport o stanie dostępności, jeśli OPS składa go odrębnie)obowiązek	Kierownik OPS	Co roku do 31 marca; raport co 4 lata (2029)	udc art. 10–11; ustawa o zapewnianiu dostępności art. 11
Konto w CRU i wpisy umów; kontrola zarządcza jednostkiobowiązek	Kierownik OPS (kontrola zarządcza razem z wójtem)	Wpis umowy w 30 dni; kontrola stale	ufp art. 34a–34b; art. 68, art. 69 ust. 1 pkt 3
Procedura zgłoszeń wewnętrznych sygnalistów i rejestr (gdy na rzecz OPS pracuje co najmniej 50 osób, a gmina ma co najmniej 10 000 mieszkańców)obowiązek	Kierownik OPS po konsultacji z przedstawicielami pracowników	Przy zmianach	ustawa o ochronie sygnalistów art. 23–29
Zasady monitoringu wizyjnego (jeśli stosowany): oznakowanie, przechowywanie do 3 miesięcy; ocena skutków dla ochrony danych jako dobra praktykaobowiązek	Kierownik OPS	Przy zmianie systemu	usg art. 9a; RODO art. 35 (zalecenie)

§3Technika

Sprzęt i zabezpieczenia

Środek	Na czym polega	Podstawa lub źródło
Dostęp do danych tylko dla osób z pisemnym upoważnieniem; wyłączona jawność nazwisk beneficjentów i rodzaju świadczeńobowiązek	Dane świadczeniobiorców nie mogą być wystawiane publicznie (strona www, tablice, BIP).	upś art. 100 ust. 1, 6–7
Zabezpieczenia danych art. 9 RODO adekwatne do ryzyka: szyfrowanie, kontrola dostępu, kopie zapasowe, odtwarzalność, rejestrowanie dostępuobowiązek	Konkretne środki dobiera administrator; przy danych o zdrowiu i przemocy ryzyko jest zwykle wysokie.	RODO art. 32
System dziedzinowy OPS: poziom ochrony co najmniej podwyższony (wysoki dla danych w sieci publicznej i transmisji), identyfikator każdego użytkownika, rejestr prób logowania, automatyczne kopie bezpieczeństwaobowiązek	Producent uzyskuje świadectwo zgodności; przepisy nie wskazują konkretnych systemów.	rozp. MRPiPS z 27.10.2023 (Dz.U. 2023 poz. 2494) § 4 ust. 1, § 6–7; upś art. 23 ust. 3–4
Zabezpieczenia KSC (podmiot ważny): odseparowane kopie zapasowe z testem odtwarzania, antywirus, aktualizacje, minimalne uprawnienia, inwentaryzacja, przetestowana procedura awaryjna, poczta z SPF, DKIM i DMARCobowiązek	Cała część I zał. 4 jest obowiązkowa. Poczta z SPF, DKIM i DMARC obowiązuje już teraz.	zał. 4 cz. I ustawy o KSC (od 3.04.2027); art. 24 ust. 2 ustawy z 28.07.2023 o zwalczaniu nadużyć w komunikacji elektronicznej
Zabezpieczenia KRI: inwentaryzacja, aktualizacje, ochrona przed nieuprawnionym dostępem, bezpieczna praca zdalna, logi przechowywane 2 lataobowiązek	Obowiązuje do 22.02.2027.	KRI § 19 ust. 2, § 20 ust. 4
Fizyczne zabezpieczenie dokumentacji papierowej: zamykane szafy, archiwum zakładowe, ochrona przed zniszczeniem i utratąobowiązek	Dotyczy akt wywiadów, decyzji i „Niebieskich Kart”.	ustawa o narodowym zasobie archiwalnym art. 6 ust. 1; RODO art. 32
Oddzielne uprawnienia w systemie i w segregatorach do formularzy i protokołów „Niebieskiej Karty”obowiązek	Osoba stosująca przemoc nie może mieć dostępu do danych osoby doznającej przemocy ani zgłaszającej, jeśli to zagraża jej bezpieczeństwu.	ustawa o przeciwdziałaniu przemocy domowej art. 9c ust. 5, art. 9e ust. 4
Adres do doręczeń elektronicznych OPS w Bazie Adresów Elektronicznych; skrzynka ePUAP do 30.09.2029obowiązek	OPS ma odrębny adres od adresu urzędu.	ustawa o doręczeniach elektronicznych art. 8, art. 12 ust. 1c
Strona lub BIP OPS: kopia bazy w ciągu doby po zmianie, dziennik zmian, niedostępność do 24 godzinobowiązek	Dotyczy własnej strony podmiotowej BIP OPS.	rozp. MSWiA z 18.01.2007 § 16–18, § 21 ust. 2
Monitoring wizyjny (jeśli jest): oznakowanie, nagrania do 3 miesięcy, zabezpieczenie nagrańobowiązek	Wizerunek osób korzystających z pomocy jest wrażliwy kontekstowo, więc ocena skutków jest wskazana.	usg art. 9a ust. 3, 5–6; RODO art. 35 (zalecenie)
Szyfrowanie dysków laptopów i nośników pracowników socjalnych pracujących w tereniezalecenie	Utrata sprzętu z wywiadami to naruszenie ochrony danych art. 9 RODO.	zalecenie CERT Polska i UODO; RODO art. 32 ust. 1 lit. a
Uwierzytelnianie wieloskładnikowe (MFA) dla pracowników z dostępem do danych art. 9, wydzielony segment sieci lub serwer dla systemu dziedzinowego, blokada pamięci USBzalecenie	Dla podmiotu ważnego MFA i szyfrowanie nie są wprost obowiązkiem.	zalecenie CERT Polska i MC
Bezpieczne pomieszczenie do rozmów, procedura niszczenia dokumentów, zasady bezpieczeństwa pracowników socjalnychzalecenie	Czyny wobec pracownika socjalnego odnotowuje się w rejestrze centralnym.	dobra praktyka; upś art. 23a ust. 1 pkt 6
NSC 200 (MC) i poradnik NASK „Cyberbezpieczny samorząd”zalecenie	Wersję NSC 200 trzeba sprawdzić.	zalecenie MC i NASK

§4Kalendarz

Co i kiedy zrobić

Kiedy	Co zrobić	Podstawa
na bieżąco (Niebieska Karta)	Formularz „Niebieska Karta – A” do przewodniczącego zespołu w 5 dni roboczych od wszczęcia; przekazanie do grupy w 3 dni robocze; pierwsze posiedzenie grupy w 5 dni roboczych; grupa powołana w 3 dni od zgłoszenia	rozp. RM z 6.09.2023 (Dz.U. 2023 poz. 1870) § 7–8, 19–20; ustawa o przeciwdziałaniu przemocy domowej art. 9a ust. 10a
co najmniej co 2 miesiące	Posiedzenia zespołu interdyscyplinarnego (zwołanie z 7-dniowym wyprzedzeniem)	ustawa o przeciwdziałaniu przemocy domowej art. 9a ust. 7, 7b
12 miesięcy od powołania	Obowiązkowe szkolenie członków zespołu interdyscyplinarnego	ustawa o przeciwdziałaniu przemocy domowej art. 9a ust. 5a
9 miesięcy po zakończeniu procedury	Działania monitorujące osoby objęte procedurą „Niebieskie Karty”	ustawa o przeciwdziałaniu przemocy domowej art. 9h ust. 2
co roku	Sprawozdanie OPS dla rady gminy; audyt wewnętrzny bezpieczeństwa informacji (do 22.02.2027); przegląd SZBI według zał. 4; szkolenie kierownika z dokumentacją (rok kalendarzowy); przegląd upoważnień	upś art. 110 ust. 9; KRI § 19 ust. 2 pkt 14; zał. 4 cz. III i art. 8e ustawy o KSC
co roku do 31 marca	Przegląd deklaracji dostępności. Sprawozdanie ze zgłoszeń zewnętrznych do RPO nie dotyczy OPS (przyjmują je organy publiczne).	udc art. 11; ustawa o ochronie sygnalistów art. 47 ust. 3
1 stycznia i 1 lipca	Policz osoby pracujące na rzecz OPS (próg 50 osób dla procedury sygnalistów)	ustawa o ochronie sygnalistów art. 23 ust. 1–2
do 30 dni	Wpis umowy do Centralnego Rejestru Umów	ufp art. 34a ust. 10
6 miesięcy od doręczenia wezwania	Uzupełnij dane w wykazie podmiotów kluczowych i ważnych (wykaz-ksc.gov.pl), w tym 2 osoby do kontaktu; potem zmiany w 14 dni. Jeśli wezwanie nie przyszło, napisz na S46-admin@nask.pl.	art. 7b ust. 2 i 4, art. 7c ust. 3 ustawy o KSC; Q&A MC 2.11
22.02.2027 / 23.02.2027	Koniec obowiązywania KRI z 2024 r. / nowe brzmienie art. 13 i 18 ustawy o informatyzacji	Dz.U. 2025 poz. 1158
3.04.2027	Pełne obowiązki KSC dla podmiotu ważnego: SZBI według zał. 4, osoby do kontaktu, zgłaszanie incydentów, szkolenie kierownika, informacja z KRK. Rejestracja w S46 najpóźniej do tego dnia.	art. 33 ust. 1 przepisów przejściowych ustawy z 23.01.2026 (Dz.U. 2026 poz. 252)
3.04.2028	Od tego dnia organ nadzoru może nakładać kary KSC	art. 35 przepisów przejściowych ustawy z 23.01.2026
31.03.2029	Raport o stanie dostępności (jeśli OPS składa go odrębnie, a nie w raporcie wójta)	ustawa o zapewnianiu dostępności art. 11
w 14 dni od zmiany	Zawiadomienie UODO o zmianie IOD; aktualizacja osoby do kontaktu w wykazie KSC	uodo art. 10 ust. 4; art. 7c ust. 3 ustawy o KSC

§5Zgłoszenia

Co, gdzie i kiedy zgłaszać

Termin podaje kolumna „Termin”. Terminy z ustawy o KSC liczy się od wykrycia incydentu, także gdy wykrył go dostawca IT; termin z RODO – od stwierdzenia naruszenia. Gdy zagrożone jest życie, zdrowie lub mienie, najpierw dzwoń pod 112.

Zdarzenie	Do kogo i jak	Termin	Podstawa
Naruszenie ochrony danych (np. wyciek wywiadów, kradzież laptopa z danymi)	Prezes UODO: system S46 (moduł „Naruszenia”) lub formularz UODO. Osoby poszkodowane przy wysokim ryzyku – przy danych art. 9 ryzyko jest zwykle wysokie.	do 72 h dla UODO (w miarę możliwości); osoby – bez zbędnej zwłoki	RODO art. 33–34
Incydent poważny w cyberbezpieczeństwie (OPS jako podmiot ważny)	System S46, do właściwego CSIRT (do czasu uruchomienia CSIRT sektorowego – CSIRT NASK). Bez wczesnego ostrzeżenia i sprawozdań. Do 3.04.2027 zgłaszanie jest zalecane.	niezwłocznie, najpóźniej 72 h od wykrycia (obowiązek od 3.04.2027)	art. 11 ust. 1 pkt 4a, art. 12 ust. 3–8, art. 12c ustawy o KSC
Podejrzenie stosowania przemocy domowej	Formularz „Niebieska Karta – A” do przewodniczącego zespołu interdyscyplinarnego	niezwłocznie, najpóźniej w 5 dni roboczych od wszczęcia procedury	ustawa o przeciwdziałaniu przemocy domowej art. 9d ust. 4; rozp. RM Dz.U. 2023 poz. 1870 § 2, 7
Osoba stosująca przemoc posiada broń palną	Komórka policji właściwa ds. pozwoleń na broń (KWP lub KSP); dla żołnierza – Żandarmeria Wojskowa. Zawiadamia przewodniczący zespołu, jeśli procedurę wszczął podmiot inny niż Policja.	niezwłocznie	ustawa o przeciwdziałaniu przemocy domowej art. 9f ust. 1–4
Podejrzenie przestępstwa ściganego z urzędu, w tym z użyciem przemocy domowej lub cyberataku	Policja lub prokurator; zabezpiecz ślady	niezwłocznie	ustawa o przeciwdziałaniu przemocy domowej art. 12 ust. 1; KPK art. 304 § 2
Zagrożenie życia lub zdrowia dziecka – zapewnienie mu ochrony	Zawiadomienie sądu opiekuńczego	niezwłocznie, najpóźniej w 24 h od zapewnienia ochrony	ustawa o przeciwdziałaniu przemocy domowej art. 12a ust. 5
Czyn z art. 222, 223 lub 226 Kodeksu karnego wobec pracownika socjalnego	Rejestr centralny (system teleinformatyczny ministra) oraz Policja lub prokurator	do rejestru – termin nie został ustalony; do Policji niezwłocznie	upś art. 23 ust. 4a, art. 23a ust. 1 pkt 6; KPK art. 304 § 2
Wyznaczenie, zmiana lub odwołanie IOD	Prezes UODO, elektronicznie	14 dni	uodo art. 10 ust. 1, 4, 6
Zawarcie lub zmiana umowy objętej obowiązkiem wpisu	Centralny Rejestr Umów JSFP	do 30 dni (umowy zawarte od 1.07.2026)	ufp art. 34a ust. 10
Zgłoszenie wewnętrzne sygnalisty (gdy procedura obowiązuje)	Potwierdzenie przyjęcia zgłaszającemu i informacja zwrotna	7 dni; 3 miesiące	ustawa o ochronie sygnalistów art. 25 ust. 1 pkt 5 i 7

§6Odpowiedzialność

Kto odpowiada

Kto	Za co	Sankcja	Podstawa
Kierownik OPS	Administrator danych w zakresie świadczeń: upoważnienia i tajemnica, SZBI, CRU, kontrola zarządcza, dostępność, adres e-Doręczeń, obsługa zespołu interdyscyplinarnego. Odpowiada za obowiązki KSC osobiście, także gdy je powierzył innej osobie.	KSC: kara do 100% wynagrodzenia (od 3.04.2028)	art. 8c, 8d, 73a ustawy o KSC; upś art. 100 ust. 5–6, art. 110; ufp art. 69 ust. 1 pkt 3
Wójt, burmistrz	Upoważnia kierownika OPS do decyzji, powołuje zespół interdyscyplinarny i zawiera porozumienia, odpowiada za kontrolę zarządczą w gminie; skarga na zespół trafia do wójta	–	upś art. 110 ust. 3, 7; ustawa o przeciwdziałaniu przemocy domowej art. 9a ust. 2, 7h, 8; ufp art. 69 ust. 1 pkt 2
OPS jako administrator danych (jednostka budżetowa gminy)	Naruszenie RODO	administracyjna kara pieniężna Prezesa UODO do 100 000 zł	uodo art. 102 ust. 1 pkt 1; RODO art. 83
OPS jako podmiot KSC	Brak SZBI według zał. 4, niezgłoszenie incydentu, nieuzupełnienie wykazu	do 7 mln EUR lub 1,4% przychodów, min. 15 000 zł; organ uwzględnia możliwości finansowe podmiotu publicznego; od 3.04.2028	art. 73 ust. 1, 1c, 4, art. 76a ustawy o KSC
Pracownik OPS (osobiście)	Nieuprawnione przetwarzanie danych; naruszenie tajemnicy pomocy społecznej	grzywna, ograniczenie wolności lub pozbawienie wolności do 2 lat; dane szczególne do 3 lat (sankcja za samo naruszenie tajemnicy nie została wprost ustalona)	uodo art. 107; upś art. 100 ust. 7
Członkowie zespołu interdyscyplinarnego i grup	Poufność danych oraz obowiązek zawiadomienia o przestępstwie	–	ustawa o przeciwdziałaniu przemocy domowej art. 9c ust. 2–3, art. 12
Kierownik OPS – dostępność cyfrowa	Brak lub wadliwa deklaracja dostępności; uporczywy brak dostępności cyfrowej	kara pieniężna do 5 000 zł (deklaracja) lub do 10 000 zł (uporczywy brak dostępności)	udc art. 19
Kierownik OPS – sygnaliści i informacja publiczna	Brak procedury zgłoszeń wewnętrznych, gdy obowiązuje; nieudostępnienie informacji publicznej	grzywna; za nieudostępnienie informacji publicznej także ograniczenie lub pozbawienie wolności do 1 roku	ustawa o ochronie sygnalistów art. 58; art. 23 ustawy o dostępie do informacji publicznej

§7Źródła

Podstawa prawna i zastrzeżenia

Stan prawny na 11.10.2026. Zestawienie ma charakter informacyjny i nie zastępuje porady prawnej ani analizy konkretnej jednostki. Przepisy wykonawcze do znowelizowanej ustawy o KSC wciąż się zmieniają.

Źródła

Do sprawdzenia w indywidualnej analizie

Forma prawna OPS (jednostka budżetowa czy inna) wpływa na status w KSC i na wysokość kary z art. 102 uodo. Status „ważny” wynika ze stanowiska Ministerstwa Cyfryzacji dla gminnych OPS jako jednostek budżetowych; sprawdź formę własnego ośrodka w statucie.
Do weryfikacji: czy OPS (jednostka budżetowa) podpada pod art. 155 ust. 6 czy ust. 9 ustawy o doręczeniach elektronicznych (data obowiązku ta sama, różni się usługa hybrydowa), czy musi mieć odrębną stronę BIP i deklarację dostępności oraz czy składa własny raport o dostępności, czy jest ujęty w raporcie wójta.
Okresu przechowywania wywiadów, decyzji i dokumentacji „Niebieskich Kart” ustawy nie określają – decyduje JRWA lub kwalifikator OPS. Terminy sprawozdawczości do wojewody i do rejestru centralnego wynikają z instrukcji wojewody, a nie z ustawy.
Sygnaliści: liczy się osoby pracujące na rzecz samego OPS (nie całej gminy) i ustawa nie wskazuje, czyją liczbę mieszkańców brać do progu 10 000. Do 3.04.2027 zgłaszanie incydentów do CSIRT wydaje się dobrowolne, ale zalecane jest już teraz.
Nowe KRI od 23.02.2027 to na razie projekt (usuwa SZBI z KRI). Wpływ zmiany ustawy o pomocy społecznej z 11.06.2026 (Dz.U. 2026 poz. 974, usługi opiekuńcze) na dokumentację i dane OPS nie był badany.
Osoby do kontaktu i dokumentacja KSC: sprzeczność art. 9 ust. 3 (co najmniej jedna osoba) z art. 73a ust. 1 pkt 6 (kara za brak 2) oceni dopiero praktyka organu. Do oceny prawnika jest też, czy przy wspólnej obsłudze osoby do kontaktu może wyznaczyć jednostka wyznaczona przez gminę (art. 16e ust. 5) oraz jaki zakres art. 10 ust. 3 pkt 2–3 i art. 14 dotyczy podmiotu ważnego publicznego.