Do druku 2597 - opinia PUODO

To pismo szefa Urzędu Ochrony Danych Osobowych (UODO) do Sejmu w sprawie rządowego projektu zmian w przepisach o organizacjach pożytku publicznego (czyli fundacjach i stowarzyszeniach zbierających 1,5% podatku) oraz w ustawie o grach hazardowych. UODO ocenia jeden konkretny fragment tego projektu - przepis o tym, co ma się znaleźć w raporcie z kontroli takiej organizacji - i ostrzega, że jego obecne brzmienie pozwala wpisywać do raportu praktycznie dowolne dane osobowe.

• Projekt wprowadza dokładny wykaz tego, co ma zawierać wstępny raport z kontroli organizacji pożytku publicznego: nazwę i adres organizacji, dane osób kontrolujących, daty kontroli, zakres kontroli, ocenę działalności, pouczenie o prawie do zgłoszenia zastrzeżeń oraz opis stwierdzonych nieprawidłowości.
• Wykaz ten jest jednak otwarty - poprzedza go sformułowanie „w szczególności", co oznacza, że kontroler może dopisać do raportu także informacje, których przepis w ogóle nie wymienia.
• UODO uważa, że taka otwarta formuła narusza unijne zasady ochrony danych: przejrzystości (jasno określonego zakresu przetwarzanych danych) oraz minimalizacji (zbierania tylko tego, co naprawdę potrzebne).
• UODO rekomenduje usunięcie słów „w szczególności", żeby lista była zamknięta i kontroler nie mógł wpisywać do raportu dowolnych dodatkowych danych osobowych.
• Wcześniejsze uwagi UODO, zgłoszone jesienią 2025 roku na etapie przygotowywania projektu przez rząd, zostały już uwzględnione - obecna uwaga dotyczy tylko jednego, nowo dodanego fragmentu.

Opinię podpisał Mirosław Wróblewski, Prezes Urzędu Ochrony Danych Osobowych (UODO), 27 maja 2026 r., odpowiadając na pismo Kancelarii Sejmu z 22 maja 2026 r. Sam oceniany projekt ustawy przygotował rząd.

Bezpośrednio dotyczy to organizacji pożytku publicznego - fundacji i stowarzyszeń, które m.in. zbierają odpisy 1,5% podatku. To one podlegają kontrolom i to o nich powstają raporty pokontrolne. Pośrednio sprawa dotyczy osób, których dane mogą trafić do takich raportów - pracowników tych organizacji, wolontariuszy, darczyńców czy podopiecznych.

Jeśli jesteś na przykład w zarządzie małej fundacji i przechodzisz kontrolę, to przy obecnym brzmieniu przepisu kontroler może wpisać do oficjalnego raportu więcej danych o tobie i twoich współpracownikach, niż jest to naprawdę potrzebne do oceny działalności organizacji - bo lista tego, co wolno wpisać, nie jest zamknięta. Jeśli UODO przekona posłów do swojej poprawki, raport będzie mógł zawierać tylko to, co wymienia przepis, i nic więcej.

Ten dokument to w całości opinia jednej instytucji - Prezesa Urzędu Ochrony Danych Osobowych (UODO), niezależnego organu nadzorczego do spraw ochrony danych osobowych. UODO przypomina, że swoje wcześniejsze uwagi z września 2025 roku zgłosiło jeszcze na etapie przygotowywania projektu przez rząd i zostały one wtedy uwzględnione. Na obecnym etapie prac sejmowych UODO z własnej inicjatywy zgłasza nową uwagę: przepis o zawartości raportu z kontroli organizacji pożytku publicznego ma formę otwartej listy („w szczególności"), co - zdaniem UODO - narusza zasady przejrzystości i minimalizacji danych z unijnego rozporządzenia o ochronie danych osobowych (RODO). UODO rekomenduje doprecyzowanie przepisu przez usunięcie tego sformułowania. Do druku nie dołączono opinii innych instytucji.

Ten dokument nie jest projektem ustawy ani jego uzasadnieniem, tylko opinią prawną - nie zawiera więc własnej Oceny Skutków Regulacji (OSR) ani wyliczeń kosztów czy liczby objętych podmiotów.

Jeśli Sejm uwzględni uwagę UODO i usunie otwartą formułę z przepisu, kontrolerzy będą mogli wpisywać do raportu z kontroli organizacji pożytku publicznego tylko dane wymienione wprost w ustawie - to zwiększy ochronę danych osobowych pracowników, wolontariuszy i innych osób związanych z kontrolowaną organizacją. Jeśli przepis zostanie przyjęty w obecnym brzmieniu, kontrolerzy zachowają swobodę dopisywania do raportu dodatkowych informacji, co UODO ocenia jako ryzykowne z punktu widzenia zgodności z unijnymi przepisami o ochronie danych osobowych.

Opinia powstała na etapie prac sejmowych nad rządowym projektem - już po tym, jak wcześniejsze uwagi UODO z września 2025 roku zostały uwzględnione na etapie przygotowania projektu przez rząd. UODO monitoruje projekt na bieżąco i reaguje na kolejne zmiany tekstu.

Spór dotyczy jednego przepisu: rząd chce, by lista informacji w raporcie z kontroli organizacji pożytku publicznego była otwarta („w szczególności"), co daje kontrolerom elastyczność w opisywaniu nieprawidłowości. UODO uważa jednak, że taka otwartość narusza unijne zasady ochrony danych osobowych i grozi zbieraniem informacji, które nie są naprawdę potrzebne do oceny działalności organizacji. Z tego pisma nie wynika jeszcze, czy posłowie uwzględnią tę uwagę przed ostatecznym głosowaniem.