Wytyczne · stan prawny na 11.10.2026

Żłobek

Żłobek gminny jest podmiotem ważnym według ustawy o KSC (jako jednostka budżetowa): SZBI według zał. 4 i zgłaszanie poważnych incydentów w 72 h obowiązują od 3.04.2027. Od 1.01.2026 obowiązują standardy opieki z rozporządzenia MRPiPS. Od 1.09.2027 obowiązuje zakaz publicznego udostępniania wizerunku dzieci, także za zgodą rodzica, a od 1.01.2028 zakaz stały i podstawa prawna monitoringu. Żłobek nie jest jednostką oświatową – Prawo oświatowe i SIO go nie dotyczą.

Dotyczy: żłobek gminny (samorządowa jednostka budżetowa) prowadzony przez gminę.

Obowiązki z ustawy o KSC, KRI i zgłaszanie incydentów, wspólne dla wszystkich jednostek, opisano szczegółowo na stronie wspólne wymagania.

§1Przepisy

Jakie przepisy obejmują jednostkę

Obszar	Dotyczy	Co to znaczy	Podstawa
Cyberbezpieczeństwo (KSC)	tak	Podmiot ważny jako jednostka budżetowa – SZBI według załącznika nr 4, zgłaszanie incydentów poważnych w 72 h, obowiązki od 3.04.2027, kary od 3.04.2028.	art. 5 ust. 2 pkt 8 i zał. 2 ustawy o KSC
Krajowe Ramy Interoperacyjności (KRI)	tak	Jednostka sektora finansów publicznych: system zarządzania bezpieczeństwem informacji (§ 19) i logi (§ 20) do 22.02.2027, potem nowe przepisy.	art. 2 ust. 1 pkt 1 ustawy z 17.02.2005 o informatyzacji; KRI § 19–20
RODO i inspektor ochrony danych (IOD)	tak	Trzeba wyznaczyć IOD, zgłosić go Prezesowi UODO w 14 dni i podać jego dane na stronie internetowej.	art. 37 ust. 1 lit. a RODO; art. 9 pkt 1, art. 10, 11 uodo
BIP	tak	Jednostka tworzy własną stronę podmiotową BIP (odrębna strona WWW). Przepis wymaga „własnej strony”; czy wystarczy podstrona w BIP gminy, nie rozstrzyga.	art. 4 ust. 1 pkt 4 i 5, art. 8 ust. 3–6, art. 9 ust. 2 ustawy o dostępie do informacji publicznej; § 9 ust. 1 rozp. MSWiA z 18.01.2007
Dostępność (strona internetowa, budynek, informacja)	tak	Strona i aplikacje muszą spełniać wymagania z załącznika do ustawy (deklaracja dostępności, przegląd do 31 marca). Jednostka zapewnia też dostępność architektoniczną i informacyjną.	art. 2 pkt 1 udc; art. 3 pkt 1 i art. 6 ustawy o zapewnianiu dostępności
e-Doręczenia	tak	Jednostka ma mieć adres do doręczeń elektronicznych wpisany do bazy adresów; dla jednostki z numerem REGON tworzy się odrębny adres. Stosowanie najpóźniej od 1.01.2025.	art. 8, art. 12 ust. 1c, art. 155 ust. 6, 9 i 11 ustawy o doręczeniach elektronicznych
Sygnaliści	warunkowo	Procedura zgłoszeń wewnętrznych jest obowiązkowa przy co najmniej 50 osobach wykonujących pracę zarobkową (stan na 1 stycznia lub 1 lipca, pracownicy w przeliczeniu na pełne etaty). Poniżej progu – dobrowolna. Obowiązek nie dotyczy jednostek gmin liczących mniej niż 10 000 mieszkańców.	art. 23 ust. 1–2 i 4–5, art. 24 ust. 2 ustawy o ochronie sygnalistów
Standardy ochrony małoletnich	tak	Żłobek jest objęty jako placówka opiekuńcza (przepis nie używa słowa „żłobek”, ale potwierdza to praktyka Ministerstwa Sprawiedliwości i wzór standardów dla żłobków). Dyrektor wprowadza standardy, sprawdza personel w Rejestrze i w KRK, ocenia standardy co najmniej raz na 2 lata.	art. 21, art. 22b pkt 1, art. 22c ustawy z 13.05.2016
Standardy opieki nad dziećmi do lat 3	tak	Od 1.01.2026 obowiązują standardy niezbędne: m.in. kodeks etyczny personelu, procedury odbioru dzieci i obecności osób trzecich, ochrony danych i wizerunku dzieci, zapobiegania wypadkom i postępowania w razie wypadku, informacje o zgłaszaniu przemocy.	art. 6c–6d ustawy o opiece nad dziećmi do lat 3; rozp. MRPiPS z 13.12.2024 (Dz.U. 2024 poz. 1882) § 10
Monitoring wizyjny	warunkowo	Do 31.12.2027 brak szczególnej podstawy ustawowej – art. 108a PO nie obowiązuje, bo żłobek nie jest jednostką oświatową. Od 1.01.2028 monitoring regulować będzie art. 25b ustawy o opiece nad dziećmi do lat 3.	art. 25b ustawy o opiece nad dziećmi do lat 3 (od 1.01.2028; ustawa z 31.07.2026, Dz.U. 2026 poz. 1123)
Wizerunek dziecka	tak	Od 1.09.2027 zakaz publicznego udostępniania wizerunku dziecka objętego opieką, nawet za zgodą rodzica (do 31.12.2027 przepis przejściowy), a od 1.01.2028 zakaz stały. Wyjątki: wizerunek jako szczegół całości (zgromadzenie, krajobraz, publiczna impreza) oraz udostępnienie wyłącznie rodzicom dzieci z danego żłobka.	art. 74e (od 1.09.2027) i art. 3a ust. 3–4 (od 1.01.2028) ustawy o opiece nad dziećmi do lat 3; art. 48 ustawy z 31.07.2026 (Dz.U. 2026 poz. 1123)
Prawo oświatowe, SIO, OSE	nie	Żłobek nie jest jednostką systemu oświaty – nie stosuje się art. 108a i art. 27 PO, rozporządzeń o dokumentacji nauczania i BHP szkolnym, SIO ani OSE. Dane do rejestru żłobków przekazuje się przez system z art. 62a ustawy żłobkowej.	art. 8 ust. 1–2 i art. 62a ustawy o opiece nad dziećmi do lat 3

§2Dokumenty

Dokumentacja, którą trzeba mieć

„Obowiązek” wynika wprost z przepisu. „Zalecenie” to rekomendacja organów (CERT Polska, Ministerstwo Cyfryzacji, UODO) albo dobra praktyka.

Dokument	Kto przygotowuje lub zatwierdza	Aktualizacja	Podstawa
Standardy ochrony małoletnich (pełne i skrócone dla dzieci)obowiązek	dyrektor wprowadza (forma np. zarządzenie – zalecenie)	ocena co najmniej raz na 2 lata, wnioski pisemnie; publikacja na stronie i wywieszenie w widocznym miejscu	art. 22b, art. 22c ust. 1–2 i 4–7 ustawy z 13.05.2016. Muszą zawierać m.in.: zasady bezpiecznych relacji i zachowania niedozwolone, procedurę interwencji przy podejrzeniu krzywdzenia, osoby odpowiedzialne za zawiadomienia (przestępstwo, sąd opiekuńczy, Niebieska Karta), zasady przeglądu, szkolenie personelu, udostępnianie rodzicom, osoby przyjmujące zgłoszenia, sposób dokumentowania i przechowywania incydentów zagrażających dziecku, zasady korzystania z urządzeń z Internetem i ochrony przed szkodliwymi treściami.
Informacja z Rejestru z dostępem ograniczonym, informacja z KRK, oświadczenia o pobytach za granicąobowiązek	dyrektor; przed zatrudnieniem lub dopuszczeniem do pracy z dziećmi (także wolontariusze, praktykanci)	przy każdym zatrudnieniu; wydruki do akt osobowych	art. 21 ust. 2–9 ustawy z 13.05.2016
Rejestr czynności przetwarzania danychobowiązek	dyrektor (administratorem jest jednostka reprezentowana przez dyrektora)	na bieżąco, przy zmianie procesów	art. 30 RODO
Umowy powierzenia przetwarzania (np. e-dziennik, monitoring, hosting, kadry), upoważnienia do przetwarzania, klauzule informacyjneobowiązek	dyrektor, obsługa prawna gminy	przy zmianie dostawcy lub zakresu danych	art. 28, 29, 13, 14 RODO
Rejestr naruszeń ochrony danych (także tych niezgłaszanych do UODO)obowiązek	dyrektor, IOD	po każdym naruszeniu	art. 33 ust. 5 RODO
Dokumentacja środków technicznych i organizacyjnych ochrony danych (dane zdrowotne i dieta dzieci to dane szczególnej kategorii)obowiązek	dyrektor	okresowa analiza ryzyka	art. 9, 24–25, 32 RODO
Zawiadomienie Prezesa UODO o IOD i dane IOD na stronie internetowejobowiązek	dyrektor	14 dni od wyznaczenia, zmiany lub odwołania IOD	art. 10, 11 uodo
SZBI według załącznika nr 4 (18 elementów, m.in. inwentaryzacja, uprawnienia, kopie zapasowe, procedura incydentu, szkolenia)obowiązek	kierownik jednostki (dyrektor); może to wykonywać jednostka wyznaczona przez gminę	przegląd co najmniej raz w roku; pełne wdrożenie do 3.04.2027	art. 8 ust. 3 i zał. 4 ustawy o KSC
Osoby do kontaktu z podmiotami KSC – wyznacz 2 osobyobowiązek	Kierownik wyznacza 2 osoby i wpisuje ich dane do wykazu. Podmiot ważny publiczny: art. 9 ust. 3 wymaga co najmniej jednej osoby, ale kara dla kierownika (art. 73a ust. 1 pkt 6) dotyczy niewyznaczenia co najmniej 2 – dlatego 2.	przy zmianie osoby – aktualizacja wykazu w 14 dni; od 3.04.2027	art. 9 ust. 1 pkt 1 i ust. 3, art. 73a ust. 1 pkt 6 ustawy o KSC
Wykaz podmiotów KSC, system S46 oraz informacja i kanał zgłoszeń na stronie wwwobowiązek	Podmiot publiczny jest wpisywany z urzędu i uzupełnia dane po wezwaniu. Kierownik podpisuje wniosek do wykazu podpisem kwalifikowanym, zaufanym lub osobistym. Na stronie www: informacja o cyberzagrożeniach i sposobach ochrony (wystarczy link do strony organu lub CSIRT) oraz własny kanał zgłaszania zagrożeń, incydentów i podatności, np. adres e-mail (link go nie zastępuje).	dane w wykazie: 6 miesięcy od doręczenia wezwania, zmiany w 14 dni; rejestracja w S46 najpóźniej do 3.04.2027; strona www – stale	art. 7b ust. 2 i 4, art. 7c ust. 3, art. 9 ust. 1 pkt 2–4 i ust. 4 ustawy o KSC; komunikat MC (Dz.Urz. MC 2026 poz. 7)
Dokumentacja bezpieczeństwa systemu informacyjnego (art. 10)obowiązek	Kierownik: ustanawia, stosuje i aktualizuje dokumentację; dostęp tylko dla upoważnionych, ochrona przed nieuprawnioną zmianą, kontrola wersji	na bieżąco, od 3.04.2027; przechowywanie według przepisów o archiwach i JRWA (art. 10 ust. 7), zniszczenie z protokołem	art. 10 ust. 1 i 6–8 ustawy o KSC (podmiot ważny publiczny – przez art. 16d)
Informacja z KRK o niekaralności dla osób realizujących zadania z zakresu cyberbezpieczeństwaobowiązek	kierownik; dopuszcza osobę dopiero po otrzymaniu informacji	przed rozpoczęciem zadań; od 3.04.2027	art. 8f ustawy o KSC
System zarządzania bezpieczeństwem informacji według KRI (regulacje wewnętrzne, analiza ryzyka, plan szkoleń, audyt wewnętrzny)obowiązek	dyrektor (kierownictwo podmiotu)	audyt wewnętrzny nie rzadziej niż raz na rok; obowiązuje do 22.02.2027	§ 19 KRI (rozp. RM z 21.05.2024, Dz.U. 2024 poz. 773); wymagania uznaje się za spełnione przy oparciu o PN-ISO/IEC 27001 (§ 19 ust. 3)
Deklaracja dostępności strony i aplikacji; raport o stanie zapewniania dostępnościobowiązek	dyrektor	deklaracja: przegląd do 31 marca każdego roku; raport: co 4 lata do 31 marca, publikacja w BIP, adresat wojewoda (następny 2029)	art. 10, 11 udc; art. 11 ustawy o zapewnianiu dostępności
Procedura zgłoszeń wewnętrznych (sygnaliści) i rejestr zgłoszeń – przy co najmniej 50 osobachobowiązek	dyrektor po konsultacji ze związkami lub przedstawicielami pracowników; wchodzi w życie 7 dni po podaniu do wiadomości	rejestr przechowuje się 3 lata po zakończeniu roku, w którym zakończono działania	art. 24–25, 29 ustawy o ochronie sygnalistów
Instrukcja kancelaryjna, jednolity rzeczowy wykaz akt (JRWA), instrukcja archiwalnaobowiązek	dyrektor, w porozumieniu z właściwym archiwum państwowym	okresy przechowywania wg JRWA	art. 6 ust. 1–2 ustawy z 14.07.1983 o narodowym zasobie archiwalnym i archiwach
Adres do doręczeń elektronicznych i administrator skrzynkiobowiązek	dyrektor (wniosek o adres, wyznaczenie administratora)	stała obsługa skrzynki; zmiana administratora	art. 8, art. 12 ust. 1c i ust. 2 pkt 7 ustawy o doręczeniach elektronicznych
Statut żłobka i regulamin organizacyjnyobowiązek	statut: podmiot prowadzący (gmina); regulamin: dyrektor	przy zmianach	art. 11 ust. 1 i art. 21 ust. 1 ustawy o opiece nad dziećmi do lat 3
Wpis do rejestru żłobków i klubów dziecięcych oraz zaświadczenie; dane w systemie z art. 62aobowiązek	podmiot prowadzący (gmina); rejestr prowadzi wójt	zmiany: 3 dni (część danych, przez system), 14 dni (wniosek o zmianę), 5 dni roboczych od 1. dnia miesiąca (dane o dzieciach i rodzicach)	art. 26–28, 30 ustawy o opiece nad dziećmi do lat 3; do wniosku m.in. decyzja straży pożarnej, opinia sanitarna, oświadczenie o tytule do lokalu, oświadczenie o uwzględnianiu standardów opieki
Sprawozdanie z zakresu opieki nad dziećmi do lat 3obowiązek	gmina (przygotowuje także dyrektor); elektronicznie przez system z art. 62a	co roku; gmina przekazuje wojewodzie do 14 lutego	art. 64 ustawy o opiece nad dziećmi do lat 3
Dokumentacja standardów opieki: kodeks etyczny podpisany przez personel, zapoznanie z procedurami (odbiór dzieci, ochrona danych i wizerunku, wypadki, choroba), materiały dla rodziców o standardach ochrony małoletnichobowiązek	dyrektor, podmiot prowadzący	monitorowanie wdrażania standardów (§ 8); od 1.01.2028 nowe brzmienie art. 6c–6d	rozp. MRPiPS z 13.12.2024 (Dz.U. 2024 poz. 1882), zał. 1–2; art. 6c–6d ustawy o opiece nad dziećmi do lat 3
Dokumentacja kadrowa: KRK (wydana nie wcześniej niż 3 miesiące przed pracą), brak wpisu w Rejestrze, badania sanitarno-epidemiologiczne, szkolenie z pierwszej pomocy, kwalifikacje opiekunówobowiązek	dyrektor, podmiot prowadzący	przy zatrudnieniu; pierwsza pomoc co 2 lata	art. 4, 16, 18, 18a ustawy o opiece nad dziećmi do lat 3; art. 21 ustawy z 13.05.2016
Dane dzieci i rodziców (zakres: PESEL, zdrowie, dieta, rozwój, dochody przy zwolnieniu z opłat)obowiązek	dyrektor	przetwarzanie wyłącznie dla rekrutacji, prawidłowej opieki i rozliczeń ZUS	art. 3a ust. 1–2 ustawy o opiece nad dziećmi do lat 3

§3Technika

Sprzęt i zabezpieczenia

Środek	Na czym polega	Podstawa lub źródło
Środki ochrony danych wrażliwych dzieciobowiązek	Kontrola dostępu, kopie i odtwarzanie, zabezpieczenie nośników, aktualizacje, rejestrowanie dostępu do danych o zdrowiu i diecie dzieci (dane szczególnej kategorii).	art. 9 i 32 RODO
Dzienniki zdarzeń (logi)obowiązek	Rejestrowanie dostępu administracyjnego, zmian konfiguracji zabezpieczeń i dostępu do danych chronionych; przechowywanie 2 lata.	§ 20 KRI (do 22.02.2027)
Wymagania zał. 4 do ustawy o KSC, część Iobowiązek	Inwentaryzacja sprzętu i usług, aktualizacje, antywirus, kopie zapasowe odseparowane od danych produkcyjnych z testami odtwarzania, przetestowana procedura awaryjna, szkolenia z cyberhigieny. Cała część I jest obowiązkowa.	zał. 4 cz. I ustawy o KSC (od 3.04.2027)
Poczta e-mail z SPF, DKIM i DMARCobowiązek	Mechanizmy uwierzytelniania poczty; kontroluje Prezes UKE. Dostawca poczty ma oferować MFA – korzystanie z MFA to zalecenie.	art. 24 ust. 2 i 6 ustawy z 28.07.2023 o zwalczaniu nadużyć w komunikacji elektronicznej
Adres do doręczeń elektronicznychobowiązek	Skrzynka z publiczną usługą rejestrowanego doręczenia; trzeba ją regularnie odbierać.	art. 8 ustawy o doręczeniach elektronicznych
Dostępność cyfrowa strony i aplikacjiobowiązek	Spełnienie wymagań z załącznika do ustawy (uznaje się je za spełnione przy zachowaniu pkt 9, 10, 11 normy PN-EN 301 549); alternatywa dla elementów niedostępnych.	art. 5 i 7 udc
Monitoring wizyjny (jeśli wprowadzony) – od 1.01.2028obowiązek	Niezbędność dla bezpieczeństwa dzieci, personelu lub mienia; uzgodnienie z podmiotem prowadzącym; konsultacje z radą rodziców (jeśli jest); zakaz w pomieszczeniach zajęć, odpoczynku personelu, sanitarnych, pomocy zdrowotnej i szatniach; nagrania do 3 miesięcy; informacja dla rodziców i personelu co najmniej 14 dni wcześniej, oznakowanie dzień wcześniej.	art. 25b ustawy o opiece nad dziećmi do lat 3 (od 1.01.2028)
Plac zabaw na terenie żłobkaobowiązek	Od 1.01.2027 podmiot prowadzący zapewnia plac zabaw dla dzieci do lat 3; wymagania funkcjonalne tylko jeśli minister wyda rozporządzenie.	art. 25 ust. 4–7 ustawy o opiece nad dziećmi do lat 3; art. 48 pkt 3 ustawy z 31.07.2026
Kopie zapasowe zasadą 3-2-1 i test odtwarzaniazalecenie	Trzy kopie, dwa nośniki, jedna offline lub niezmienialna; regularny test odtworzenia.	zalecenia CSIRT/CERT Polska
MFA i szyfrowaniezalecenie	Uwierzytelnianie wieloskładnikowe (poczta, konta administracyjne, dostęp zdalny) oraz szyfrowanie dysków laptopów i nośników. Dla podmiotu ważnego to zalecenie.	zalecenia CERT Polska i MC; art. 32 ust. 1 lit. a RODO
Segmentacja siecizalecenie	Sieć dla dzieci i gości oddzielona od administracji i systemu e-dziennika; ograniczenie kont uprzywilejowanych; plan reagowania na incydent z ćwiczeniem.	zalecenia CSIRT (ransomware, 2025)

§4Kalendarz

Co i kiedy zrobić

Kiedy	Co zrobić	Podstawa
na bieżąco	Odbiór korespondencji ze skrzynki e-Doręczeń; aktualizacja BIP; odpowiedź na wniosek RODO w miesiąc; wpis naruszeń do rejestru.	art. 8 ustawy o doręczeniach elektronicznych; art. 12 ust. 3 RODO
przy każdym zatrudnieniu	Sprawdzenie w Rejestrze z dostępem ograniczonym i w KRK, badania, upoważnienie do danych, szkolenie ze standardów.	art. 21 ustawy z 13.05.2016; art. 18 ustawy o opiece nad dziećmi do lat 3
14 dni od zmiany	Zawiadomienie Prezesa UODO o IOD.	art. 10 uodo
3 dni / 14 dni / 5 dni roboczych	Zmiany danych w rejestrze żłobków – zależnie od rodzaju danych.	art. 35 ust. 1 ustawy o opiece nad dziećmi do lat 3
do 31 marca każdego roku	Przegląd i aktualizacja deklaracji dostępności.	art. 11 udc
co roku do 31 stycznia i 14 lutego	Sprawozdanie za rok poprzedni: podmioty inne niż gmina do gminy do 31 stycznia, gmina do wojewody do 14 lutego.	art. 64 ustawy o opiece nad dziećmi do lat 3
co 2 lata	Ocena i aktualizacja standardów ochrony małoletnich; szkolenie z pierwszej pomocy dla opiekunów.	art. 22c ust. 6–7 ustawy z 13.05.2016; art. 18a ust. 1 ustawy o opiece nad dziećmi do lat 3
1 stycznia i 1 lipca	Sprawdzenie liczby osób względem progu 50 (sygnaliści).	art. 23 ust. 1 ustawy o ochronie sygnalistów
6 miesięcy od doręczenia wezwania	Uzupełnij dane w wykazie podmiotów kluczowych i ważnych (wykaz-ksc.gov.pl), w tym 2 osoby do kontaktu; potem zmiany w 14 dni. Jeśli wezwanie nie przyszło, napisz na S46-admin@nask.pl.	art. 7b ust. 2 i 4, art. 7c ust. 3 ustawy o KSC; Q&A MC 2.11
1.01.2027	Zmiany dla kadry: kwalifikacje dyrektora, szkolenie z pierwszej pomocy także dla dyrektora, płatny czas na szkolenia; obowiązek zapewnienia placu zabaw.	art. 48 pkt 3 ustawy z 31.07.2026 (Dz.U. 2026 poz. 1123)
22.02.2027 / 23.02.2027	Do 22.02.2027 obowiązuje KRI z 2024 r.; od 23.02.2027 nowe przepisy (projekt usuwa SZBI z KRI).	art. 17 ustawy z 25.07.2025, Dz.U. 2025 poz. 1158
3.04.2027	Pełne obowiązki z ustawy o KSC: SZBI, osoby do kontaktu, rejestracja w S46, zgłaszanie incydentów, szkolenie kierownika, informacja z KRK; kary od 3.04.2028.	art. 33 ust. 1 i art. 35 przepisów przejściowych (ustawa z 23.01.2026, Dz.U. 2026 poz. 252)
1.09.2027–31.12.2027	Przejściowy zakaz publicznego udostępniania wizerunku dziecka przez żłobek, nawet za zgodą rodzica.	art. 74e ustawy o opiece nad dziećmi do lat 3
1.01.2028	Stały zakaz publicznego udostępniania wizerunku dzieci i podstawa prawna monitoringu (art. 25b).	art. 3a ust. 3, art. 25b ustawy o opiece nad dziećmi do lat 3; art. 48 ustawy z 31.07.2026

§5Zgłoszenia

Co, gdzie i kiedy zgłaszać

Termin podaje kolumna „Termin”. Terminy z ustawy o KSC liczy się od wykrycia incydentu, także gdy wykrył go dostawca IT; termin z RODO – od stwierdzenia naruszenia. Gdy zagrożone jest życie, zdrowie lub mienie, najpierw dzwoń pod 112.

Zdarzenie	Do kogo i jak	Termin	Podstawa
Naruszenie ochrony danych osobowych (wyciek, zgubiony nośnik, błędny adresat, ransomware z dostępem do danych)	Prezes UODO – formularz elektroniczny na biznes.gov.pl albo moduł „Naruszenia” w systemie S46; zgłoszenie można uzupełniać. Przy wysokim ryzyku także osoby, których dane dotyczą. Zawsze wpis do własnego rejestru naruszeń.	bez zbędnej zwłoki, w miarę możliwości do 72 godzin od stwierdzenia	art. 33, 34 RODO
Poważny incydent cyberbezpieczeństwa (np. atak uniemożliwiający pracę, utrata dostępu do systemów)	System S46 – zgłoszenie do CSIRT (do czasu uruchomienia CSIRT sektorowego: CSIRT NASK). Tylko zgłoszenie, bez wczesnego ostrzeżenia i sprawozdania końcowego. Jeśli obsługę prowadzi jednostka wyznaczona przez gminę, zgłasza w imieniu jednostki. Gdy incydent wpływa na usługi – informacja dla rodziców. Przestępstwo ścigane z urzędu: także Policja lub prokurator.	niezwłocznie, najpóźniej 72 godziny od wykrycia; obowiązkowo od 3.04.2027 (wcześniej zalecane: CSIRT NASK, incydent.cert.pl)	art. 11 ust. 1 pkt 4a i ust. 2b, art. 12 ust. 3–8, art. 12c ustawy o KSC; art. 44 ust. 1 przepisów przejściowych (ustawa z 23.01.2026, Dz.U. 2026 poz. 252); art. 304 § 2 KPK
Podejrzenie przestępstwa ściganego z urzędu na szkodę dziecka (przemoc, wykorzystanie seksualne)	Policja lub prokurator – pisemnie albo ustnie do protokołu; do przybycia organu zabezpieczyć ślady. Procedurę i osoby odpowiedzialne wskazują standardy ochrony małoletnich.	niezwłocznie	art. 304 § 2 KPK; art. 22c ust. 1 pkt 3 ustawy z 13.05.2016
Zagrożenie dobra dziecka	Sąd opiekuńczy (rodzinny)	przepis nie określa terminu	art. 572 § 1–2 KPC; art. 22c ust. 1 pkt 3 ustawy z 13.05.2016
Podejrzenie przemocy domowej	Procedura „Niebieskie Karty”: formularz „Niebieska Karta – A” wypełnia osoba, która powzięła podejrzenie w czynnościach służbowych; formularz trafia do zespołu interdyscyplinarnego. Kto wszczyna w jednostce, wpisuje się do standardów.	niezwłocznie, nie później niż 5 dni roboczych od wszczęcia	art. 9d ust. 1–4 ustawy z 29.07.2005 o przeciwdziałaniu przemocy domowej; rozp. RM z 6.09.2023 (Dz.U. 2023 poz. 1870) § 4–7
Wypadek dziecka w żłobku	W żłobku nie ma odpowiednika § 41 rozp. MENiS (dotyczy szkół i placówek oświatowych). Postępowanie w razie wypadku wynika z procedur standardów opieki; przy ciężkich zdarzeniach – Policja lub prokurator.	niezwłocznie	rozp. MRPiPS z 13.12.2024 (Dz.U. 2024 poz. 1882); art. 304 § 2 KPK
Zmiany w rejestrze żłobków	Wójt – przez system z art. 62a.	3 dni / 14 dni / 5 dni roboczych, zależnie od danych	art. 35 ustawy o opiece nad dziećmi do lat 3
Nieprawidłowości stwierdzone w nadzorze wójta	Usunięcie nieprawidłowości w wyznaczonym terminie; zastrzeżenia do wójta. Nieusunięcie grozi wykreśleniem z rejestru.	termin wyznaczony przez organ; zastrzeżenia w 7 dni	art. 57 ustawy o opiece nad dziećmi do lat 3
Wyznaczenie, zmiana lub odwołanie IOD	Prezes UODO – elektronicznie (podpis kwalifikowany lub profil zaufany)	14 dni	art. 10 uodo

§6Odpowiedzialność

Kto odpowiada

Kto	Za co	Sankcja	Podstawa
Dyrektor żłobka	Kieruje pracą żłobka, odpowiada za realizację regulaminu organizacyjnego, standardy ochrony małoletnich oraz prowadzenie i bezpieczeństwo danych (RODO, IOD).	– (kary za RODO ponosi jednostka; kary z innych ustaw – patrz niżej)	art. 13 ust. 1 i art. 21 ust. 2 ustawy o opiece nad dziećmi do lat 3; art. 22b ustawy z 13.05.2016
Inspektor ochrony danych (IOD)	Doradza i monitoruje zgodność z RODO; punkt kontaktowy dla Prezesa UODO i osób, których dane dotyczą. Jeden IOD może obsługiwać kilka jednostek publicznych.	–	art. 37–39 RODO
Podmiot prowadzący (gmina)	Wpis do rejestru, aktualizacja danych, sprawozdania; zapewnia warunki lokalowe, sanitarne i przeciwpożarowe; od 1.01.2027 plac zabaw; uzgadnia monitoring od 2028.	–	art. 25, art. 28 ust. 5, art. 35, art. 64 ustawy o opiece nad dziećmi do lat 3
Wójt (burmistrz)	Prowadzi rejestr i nadzoruje warunki i jakość opieki (także we własnym żłobku gminy); kontroluje wykonywanie art. 21 i 22b ustawy z 13.05.2016; plan nadzoru uchwala rada gminy.	wykreślenie z rejestru przy nieusuniętych nieprawidłowościach	art. 27, 54–57 ustawy o opiece nad dziećmi do lat 3; art. 22x ust. 1 ustawy z 13.05.2016
Prezes UODO	Nakłada kary na jednostkę (nie na dyrektora osobiście) i prowadzi postępowania; odpowiedzialność karna za przetwarzanie bez podstawy.	kara administracyjna dla jednostki sektora finansów publicznych do 100 000 zł; grzywna, ograniczenie wolności lub do 2 lat pozbawienia wolności (do 3 lat przy danych szczególnych kategorii)	art. 102 ust. 1 pkt 1, art. 107 ust. 1–2 uodo
Kierownik jednostki (dyrektor) – obowiązki z ustawy o KSC	Odpowiada za SZBI, szkolenie kierownika raz w roku, informacje z KRK, osoby do kontaktu, zgłaszanie incydentów – także po powierzeniu zadań innej osobie lub firmie. Organ nadzoru: Minister Cyfryzacji.	od 3.04.2028 kara do 100% wynagrodzenia (liczonego jak ekwiwalent za urlop), także za jednorazowe zaniechanie i niezależnie od kary dla jednostki	art. 8c, 8d, 8e, 8f, art. 41a ust. 1, art. 73a ust. 1–5 ustawy o KSC
Dyrektor / jednostka – standardy ochrony małoletnich i sprawdzanie personelu	Brak standardów; dopuszczenie do pracy z dziećmi bez sprawdzenia w Rejestrze lub bez KRK.	brak standardów: grzywna do 250 zł albo nagana, przy ponownym stwierdzeniu grzywna co najmniej 1000 zł; dopuszczenie bez sprawdzenia: areszt, ograniczenie wolności albo grzywna co najmniej 1000 zł	art. 23b ust. 1–2, art. 23 ust. 2–3 ustawy z 13.05.2016
Jednostka – dostępność cyfrowa i sygnaliści	Brak deklaracji dostępności lub uporczywy brak dostępności; brak procedury zgłoszeń wewnętrznych (przy co najmniej 50 osobach).	dostępność: do 5 000 zł (brak deklaracji) i do 10 000 zł (uporczywy brak dostępności); sygnaliści: grzywna (kwota według Kodeksu wykroczeń)	art. 19 ust. 5 udc; art. 58 ustawy o ochronie sygnalistów

§7Źródła

Podstawa prawna i zastrzeżenia

Stan prawny na 11.10.2026. Zestawienie ma charakter informacyjny i nie zastępuje porady prawnej ani analizy konkretnej jednostki. Przepisy wykonawcze do znowelizowanej ustawy o KSC wciąż się zmieniają.

Źródła

Do sprawdzenia w indywidualnej analizie

Status KSC wynika z formy jednostki budżetowej. Jeśli żłobek działa w innej formie (np. prowadzi go podmiot niepubliczny na zlecenie gminy), zwykle nie jest w sektorze „Podmioty publiczne” – sprawdzić formę konkretnego żłobka.
Do 31.12.2027 monitoring opiera się wyłącznie na ogólnych przepisach (RODO, przepisy pracy); nie wolno kopiować art. 108a PO jako obowiązującego dla żłobka. Podstawa ogólna wymaga oceny prawnika.
Objęcie żłobka art. 22b ustawy z 13.05.2016 to wniosek z formuły „placówka opiekuńcza”, ale traktować jako obowiązek. Mechanizm zastąpienia rozporządzenia MRPiPS od 1.01.2028 (nowe brzmienie art. 6c–6d) wymaga weryfikacji.
Zakres zakazu wizerunku od 2028 obejmuje też BIP, profile gminy w mediach społecznościowych i fotorelacje; zakres wyjątków z art. 3a ust. 4 jest do interpretacji.
W żłobku brak szczególnej procedury zgłaszania wypadków w ustawie – procedurę warto wpisać do standardów i regulaminu. Część zmian z ustawy z 31.07.2026 wchodzi etapami (2027–2028), sprawdzić jej tekst.
Osoby do kontaktu i dokumentacja KSC: sprzeczność art. 9 ust. 3 (co najmniej jedna osoba) z art. 73a ust. 1 pkt 6 (kara za brak 2) oceni dopiero praktyka organu. Do oceny prawnika jest też, czy przy wspólnej obsłudze osoby do kontaktu może wyznaczyć jednostka wyznaczona przez gminę (art. 16e ust. 5) oraz jaki zakres art. 10 ust. 3 pkt 2–3 i art. 14 dotyczy podmiotu ważnego publicznego.