Po co urzędowi dane o dochodach mieszkańców?

Czeladzka Karta Mieszkańca ma być wygodna, nowoczesna i korzystna dla tych, którzy są związani z miastem. Zniżki, lokalne przywileje, aplikacja w telefonie. Wszystko wygląda prosto.

Do momentu, w którym aplikacja prosi mieszkańca o dokument podatkowy.

Na ekranie „Wymagane dokumenty” możemy przeczytać, że jednym ze sposobów potwierdzenia uprawnienia jest:

„pierwsza strona zeznania o wysokości dochodów za rok poprzedni”.

Obok znajduje się przycisk „Dodaj dokument”.

I tu zaczyna się problem, który naszym zdaniem wymaga bardzo konkretnego wyjaśnienia.

Bo jeżeli miasto chce jedynie potwierdzić, że mieszkaniec rozlicza podatek w Czeladzi, to dlaczego system został zaprojektowany w taki sposób, aby można było przekazać dokument podatkowy dotyczący jego dochodów?

Miasto potrzebuje jednej informacji

Warunek jest prosty. Chcesz korzystać z Karty jako osoba rozliczająca podatek w Czeladzi? Trzeba potwierdzić, że właśnie tutaj rozliczasz PIT.

I to jest zrozumiałe. Miasto ma interes w tym, żeby mieszkańcy rozliczali podatki lokalnie. Część wpływów z PIT wraca przecież do samorządu.

Tylko że z punktu widzenia mieszkańca potrzebna jest właściwie jedna informacja:

TAK – ta osoba rozlicza podatek w Czeladzi.

I tyle.

Nie jest potrzebna wiedza o tym, ile ktoś zarabia. Nie jest potrzebna wiedza o wysokości jego dochodu. Nie jest potrzebna analiza jego sytuacji finansowej. Nie jest potrzebna wiedza, z kim rozliczał się wspólnie.

Dlatego pytanie jest banalnie proste:

Po co więc urząd ma otrzymywać dokument zawierający więcej informacji?

Być może odpowiedź jest bardzo prosta. Być może dane nie są przechowywane. Być może dokument po weryfikacji jest kasowany. Być może pracownik widzi tylko informację konieczną do potwierdzenia uprawnienia. Być może system ma odpowiednie zabezpieczenia.

Ale mieszkaniec powinien to wiedzieć zanim kliknie „Dodaj dokument”, a nie dopiero wtedy, gdy zacznie zadawać pytania.

„Dodaj dokument” to nie to samo co „pokaż dokument”

Jeżeli w urzędzie pokazujemy dokument pracownikowi, który sprawdza właściwy urząd skarbowy i oddaje nam kartkę, sytuacja jest stosunkowo czytelna.

Ale aplikacja pozwala przesłać dokument elektronicznie.

A plik elektroniczny gdzieś trafia: do systemu, na serwer, do konkretnego konta i konkretnego procesu obsługi.

I właśnie wtedy zaczynają się pytania, na które każdy użytkownik systemu powinien znać odpowiedź:

• Czy plik zostaje zapisany?
• Na jak długo?
• Kto może go zobaczyć?
• Czy jest automatycznie usuwany po weryfikacji?
• Czy administrator systemu może do niego wrócić później?
• Czy pozostaje w historii konta?
• Czy można przesłać dokument z zasłoniętą kwotą dochodu?

To nie są pytania przesadzone. To podstawowe pytania o dane mieszkańca.

Inne miasta pokazują, że można to uregulować bardzo jasno

W Krakowie regulamin Karty Krakowskiej przewiduje mechanizm, zgodnie z którym dokument podatkowy przekazany elektronicznie po zweryfikowaniu potrzebnych danych ma zostać niezwłocznie i trwale usunięty.

Czyli zasada jest prosta: sprawdzamy, potwierdzamy, usuwamy.

W Katowicach dokument podatkowy może być przedstawiany do wglądu.

W Dąbrowie Górniczej wprowadzono dodatkową ochronę przy wspólnym rozliczeniu małżonków: dane drugiego małżonka, które nie są potrzebne do uzyskania uprawnienia, powinny zostać zanonimizowane.

To praktyczne zastosowanie zasady: urząd powinien wiedzieć tylko tyle, ile rzeczywiście musi wiedzieć.

A jak jest w Czeladzi?

Czeladzki regulamin przewiduje możliwość przedstawienia pierwszej strony zeznania podatkowego, zaświadczenia urzędu skarbowego albo UPO.

Jednocześnie przewiduje możliwość skanowania wniosku oraz jego załączników i przetwarzania ich w systemie. Sama aplikacja pokazuje użytkownikowi funkcję „Dodaj dokument”.

Dlatego nie wystarczy powiedzieć: „przecież PIT jest potrzebny tylko do potwierdzenia podatku”.

My to rozumiemy.

Pytamy o coś innego.

Co dzieje się później?

Bo jeśli dokument po sprawdzeniu jest kasowany, należy to mieszkańcom powiedzieć.

Jeśli nie jest kasowany, należy wyjaśnić, dlaczego jego dalsze przechowywanie jest konieczne.

Jeżeli mieszkaniec może zakryć kwoty dochodu, powinien zostać o tym jasno poinformowany.

Jeżeli nie może, chcielibyśmy wiedzieć, dlaczego.

RODO nie działa według zasady „weźmy wszystko, bo może się przydać”

Jedną z podstawowych zasad ochrony danych jest minimalizacja. W uproszczeniu: zbieramy tyle danych, ile jest potrzebne do określonego celu. Ani więcej.

Jeżeli celem jest potwierdzenie, że Kowalski rozlicza PIT w Czeladzi, zakres danych powinien odpowiadać właśnie temu celowi.

Dlatego szczególnie interesujące jest sformułowanie pojawiające się w miejskiej aplikacji: „zeznanie o wysokości dochodów”.

Oczywiście jest to nazwa dokumentu podatkowego. Ale dla mieszkańca komunikat brzmi bardzo konkretnie: chcesz Kartę, dodaj dokument dotyczący swoich dochodów.

I w tym miejscu urząd powinien być wyjątkowo precyzyjny.

Nie dlatego, że zakładamy złe intencje. Dlatego, że dobre systemy ochrony danych nie wymagają od mieszkańca zaufania na słowo. One pokazują użytkownikowi, co dzieje się z jego informacjami.

Mieszkaniec nie powinien musieć się domyślać

Można powiedzieć: „przecież urząd już ma wiele naszych danych”. To prawda.

Ale właśnie dlatego każda kolejna baza danych, każdy nowy system i każda nowa aplikacja powinny być projektowane tak, aby ograniczać zakres informacji do minimum.

Pytanie nie brzmi: „Czy urząd jest godny zaufania?”

Pytanie brzmi: „Czy system został skonstruowany tak, żeby nie wymagał od mieszkańca nieograniczonego zaufania?”

To zasadnicza różnica.

Pytamy Urząd Miejski

wCzeladzi TV zwróci się do miasta o odpowiedź na konkretne pytania:

1. Czy dokument podatkowy przesłany przez aplikację jest przechowywany po przyznaniu Karty Mieszkańca?
2. Jeżeli tak, przez jaki okres?
3. Kto posiada dostęp do przesłanych plików?
4. Czy po zweryfikowaniu prawa do Karty dokument jest automatycznie i trwale usuwany?
5. Czy mieszkaniec może przed przesłaniem pierwszej strony PIT zanonimizować wysokość dochodu oraz inne informacje niezwiązane z miejscem rozliczenia podatku?
6. Czy w przypadku wspólnego rozliczenia można zasłonić dane małżonka?
7. Jaki konkretnie zakres informacji z PIT jest niezbędny do przyznania Karty?
8. Dlaczego w aplikacji wymagane jest przekazanie dokumentu, skoro możliwe byłoby potwierdzenie samego faktu rozliczania podatku?
9. Czy miasto rozważa rozwiązanie podobne do Krakowa, gdzie elektronicznie przekazany dokument podatkowy po weryfikacji jest trwale usuwany?

Nie pytamy, ile zarabiają mieszkańcy. Pytamy, dlaczego urząd miałby to wiedzieć

Czeladzka Karta Mieszkańca może być dobrym projektem. Ale dobry projekt to nie tylko ładna aplikacja. To również transparentność.

Jeżeli miasto potrzebuje potwierdzenia, że mieszkaniec płaci tutaj podatki, niech potwierdzi właśnie to.

Jeżeli nie potrzebuje informacji o jego dochodach, system powinien być skonstruowany w taki sposób, aby tych informacji nie zbierać albo nie przechowywać.

A jeżeli jednak są przechowywane, mieszkańcy mają prawo wiedzieć: po co?

Bo zanim kolejny raz klikniemy bez zastanowienia „Dodaj dokument”, warto zadać jedno bardzo zwyczajne pytanie:

Co dokładnie oddajemy miastu razem z tym plikiem i co później dzieje się z naszymi danymi?

Na odpowiedź Urzędu Miejskiego będziemy czekać.

wCzeladzi TV

Dokument. Fakt. Pytanie. Analiza.

Źródła i dokumenty

1. Regulamin Czeladzkiej Karty Mieszkańca — § 1 i § 3: dokumenty potwierdzające, system oraz skanowanie załączników.
2. Procedury Karty Krakowskiej — § 6 ust. 6: niezwłoczne i trwałe usunięcie dokumentu po weryfikacji.
3. Regulamin Katowickiej Karty Mieszkańca — Rozdział 3 ust. 5: dokument podatkowy okazywany do wglądu.
4. Regulamin programu Aktywna Dąbrowa Górnicza — Przypis do § 3: anonimizacja danych małżonka przy wspólnym PIT.
5. RODO – art. 5 ust. 1 lit. c — Zasada minimalizacji danych.

Stan źródeł sprawdzony 20 sierpnia 2026 r.