Stowarzyszenie lub fundacja podlega RODO, gdy przetwarza dane osobowe w działalności objętej rozporządzeniem. Brak zysku i praca społeczna nie tworzą ogólnego zwolnienia. Nie oznacza to jednak, że każda mała organizacja potrzebuje takich samych procedur jak rozbudowana instytucja. Obowiązki trzeba odnieść do rzeczywistych celów, danych, odbiorców oraz ryzyka dla członków, darczyńców, wolontariuszy i osób korzystających z pomocy.
Punktem wyjścia jest oficjalny tekst RODO. Najważniejszą decyzją nie jest zebranie podpisów pod jednym formularzem zgody. Trzeba rozdzielić zwykłe prowadzenie organizacji, rozliczenia, udzielanie pomocy, pozyskiwanie wsparcia i publiczne opowiadanie o działalności. Każdy z tych celów może wymagać innych danych oraz odmiennego uzasadnienia prawnego.
Ustal, kto odpowiada za konkretny proces
Organizacja jest administratorem, gdy ustala cele i sposoby przetwarzania. Zwykle dotyczy to własnej listy członków, obsługi darowizn czy organizacji wolontariatu. Zarząd działa w imieniu organizacji; poszczególni członkowie zarządu nie stają się z tego powodu odrębnymi administratorami każdego dokumentu. Powinni natomiast wiedzieć, kto może podjąć decyzję o nowym wykorzystaniu danych.
Przy projekcie partnerskim trzeba sprawdzić rzeczywiste ustalenia. Dwie fundacje mogą samodzielnie realizować różne cele, wspólnie je określać albo pozostawać w relacji administratora i procesora. Nazwa umowy grantowej nie przesądza kwalifikacji. Jeżeli partner otrzymuje imienną listę beneficjentów, warto najpierw ustalić, dlaczego jej potrzebuje, w jakiej roli działa i czy wystarczyłoby zestawienie zbiorcze.
Samo finansowanie ze środków publicznych nie zmienia każdego NGO w organ publiczny ani nie daje ogólnego uprawnienia do przetwarzania na podstawie zadania publicznego. Podstawa z art. 6 ust. 1 lit. e wymaga odpowiedniego umocowania i spełnienia warunków rozporządzenia. W projektach wykonywanych na podstawie szczególnych przepisów pomocne jest porównanie z zasadami RODO w administracji publicznej, z zachowaniem różnicy między własnym statusem a statusem partnera.
Podstawa prawna zależy od celu, nie od nazwy organizacji
Dla każdej operacji trzeba ustalić odpowiednią przesłankę z art. 6 RODO. Wykonanie umowy może uzasadniać dane rzeczywiście niezbędne do umowy z osobą, której dotyczą, lub działania przed jej zawarciem podejmowane na jej żądanie. Nie uzasadnia automatycznie wszystkich informacji, które organizator chciałby zebrać przy okazji wydarzenia.
Obowiązek prawny wymaga wskazania przepisu nakładającego konkretny obowiązek na organizację. Nie można zastąpić go ogólnym zdaniem, że dane są potrzebne „do celów statutowych”. Prawnie uzasadniony interes wymaga określenia rzeczywistego interesu, oceny niezbędności i wyważenia praw osoby. Społecznie wartościowy cel ma znaczenie, lecz nie usuwa tych etapów ani obowiązków informacyjnych.
Zgoda jest właściwa wtedy, gdy może być dobrowolna, konkretna, świadoma i jednoznaczna. Powinna dawać rzeczywisty wybór. Nie należy uzależniać niezbędnej pomocy od zgody na publikację historii osoby, jeśli taka publikacja nie jest potrzebna do jej udzielenia. Organizacja musi umieć wykazać uzyskanie zgody, zapewnić łatwe wycofanie i wyjaśnić, które działania opiera właśnie na niej.
Rezygnacja z członkostwa, wycofanie zgody marketingowej i żądanie usunięcia danych nie są tym samym zdarzeniem. Zakończenie jednej relacji nie usuwa automatycznie innego prawnego obowiązku przechowywania dokumentu. Nie pozwala też zachować całej bazy pod dowolnym nowym uzasadnieniem. Warto od początku opisać osobno cele, podstawy i sposób zakończenia każdego rodzaju wykorzystania.
Członkostwo i szczególne kategorie danych
Nie każda lista członków zawiera szczególne kategorie danych. Członkostwo może jednak ujawniać przekonania religijne, światopoglądowe lub polityczne, przynależność związkową, a w określonych okolicznościach także informacje o zdrowiu. Trzeba oceniać, co wynika z danych i kontekstu, zamiast ograniczać sprawdzenie do nazw pól formularza.
Art. 9 ust. 2 lit. d nie jest podstawą dla wszystkich fundacji i stowarzyszeń. Dotyczy uprawnionej działalności prowadzonej z odpowiednimi zabezpieczeniami przez niezarobkowy podmiot o celach politycznych, światopoglądowych, religijnych lub związkowych. Przetwarzanie musi dotyczyć wyłącznie członków, byłych członków lub osób utrzymujących regularne kontakty z podmiotem w związku z jego celami. Dane nie mogą być ujawniane poza nim bez zgody osób, których dotyczą.
Ta przesłanka usuwa zakaz z art. 9 w swoim zakresie; nie zastępuje odrębnego ustalenia podstawy z art. 6. Nie pozwala również dopisać wszystkich okazjonalnych darczyńców do wewnętrznej listy członkowskiej. Organizacja pomagająca osobom chorym nie może automatycznie uznać, że sam dobroczynny charakter jej działalności spełnia wymienione cele i warunki.
Dla danych beneficjentów trzeba więc ustalić właściwy wyjątek z art. 9, jeżeli są to dane szczególnej kategorii. Może wymagać to odpowiedniego przepisu krajowego, szczególnych zabezpieczeń albo wyraźnej zgody spełniającej wszystkie warunki. Nie należy żądać pełnej dokumentacji medycznej, gdy do rozpatrzenia wniosku wystarcza węższe potwierdzenie. Dane o wyrokach i naruszeniach prawa podlegają odrębnemu art. 10, a nie dowolnie wybranej zgodzie na dane wrażliwe.
Darowizna, podziękowanie i kolejna kampania
Przyjmując darowiznę, ustal dane potrzebne do jej obsługi, kontaktu w konkretnej sprawie i wymaganych rozliczeń. Dostęp działu księgowego do dokumentu nie oznacza, że zespół komunikacji potrzebuje pełnych danych płatniczych. Jeżeli organizacja przygotowuje publiczną listę wspierających, musi osobno ocenić dopuszczalność ujawnienia nazwisk oraz kwot.
Jednorazowa wpłata nie jest automatycznym zapisem do newslettera ani zgodą na telefoniczne kampanie. Wiadomość potwierdzająca przyjęcie wpłaty ma inny cel niż ponawiana prośba o wsparcie połączona z ofertą produktów. Przy planowaniu kontaktu trzeba ocenić zarówno podstawę przetwarzania danych, jak i przepisy dotyczące używanego kanału komunikacji.
Art. 398 Prawa komunikacji elektronicznej dotyczy używania wskazanych w nim systemów i urządzeń do przesyłania informacji handlowej, w tym marketingu bezpośredniego, bez uprzedniej zgody abonenta lub użytkownika końcowego. Nie można utożsamić każdej wiadomości organizacji społecznej z informacją handlową. Nie można też założyć, że status NGO wyłącza przepis, niezależnie od treści i celu kampanii.
Oceń zatem konkretny komunikat, jego odbiorców i sposób wysyłki. Jeżeli mieści się w zakresie art. 398, potrzebna jest uprzednia zgoda; sama podstawa uzasadnionego interesu z RODO jej nie zastępuje. Przy komunikacji poza tym zakresem nadal obowiązują właściwe zasady RODO. Poradnik o marketingu bezpośrednim pomaga rozdzielić te pytania i obsługę sprzeciwu.
W praktyce warto zapisać, na co dana osoba się zgodziła, kiedy i w jakim formularzu. Osobne cele powinny być zrozumiałe bez czytania całego regulaminu. Jeśli zgoda dotyczy e-maili określonej fundacji, nie należy uznawać jej za zgodę na telefony partnerów projektu. Cofnięcie zgody musi skutecznie zatrzymać odpowiednie wykorzystanie, również w narzędziu obsługiwanym przez zewnętrznego dostawcę.
Dane podatników wspierających OPP kwotą 1,5%
Przekazanie części podatku i przekazanie danych podatnika to odrębne kwestie. Art. 45c ust. 5 ustawy o PIT określa informacje przekazywane organizacji pożytku publicznego przez właściwego naczelnika urzędu skarbowego. Przepis obejmuje dane identyfikacyjne, wysokość kwoty i jej przeznaczenie, przy zachowaniu przewidzianych warunków zgody lub wskazania celu szczegółowego.
Zgoda na przekazanie danych identyfikacyjnych i kwoty nie jest automatycznie zgodą na dowolny newsletter, reklamę ani publikację nazwiska. Organizacja musi ustalić dopuszczalny cel dalszego wykorzystania, podstawę prawną i zakres informacji przekazywanych osobie. Nie powinna dopisywać danych kontaktowych pozyskanych z innych źródeł tylko dlatego, że podatnik wsparł jej działalność.
Lista powinna trafić do osób, które potrzebują jej do uzasadnionego zadania. Nie należy udostępniać całego zestawienia wolontariuszom prowadzącym media społecznościowe. Jeżeli cel szczegółowy wskazuje konkretnego podopiecznego, trzeba ocenić także ryzyko ujawnienia informacji o jego sytuacji. Przejrzystość finansowania nie uzasadnia automatycznie publicznego połączenia tożsamości podatnika, kwoty i historii beneficjenta.
Otrzymanie danych od urzędu lub partnera wymaga także sprawdzenia art. 14 RODO. Gdy ma zastosowanie obowiązek informacyjny, informacje przekazuje się w rozsądnym terminie, najpóźniej w ciągu miesiąca, a przy wcześniejszym kontakcie lub ujawnieniu odpowiednio najpóźniej przy pierwszej komunikacji albo pierwszym ujawnieniu. Istnienie ustawowego przepływu danych nie uzasadnia automatycznej rezygnacji z informacji: trzeba sprawdzić konkretną przesłankę wyjątku i jej warunki. Osoba powinna móc zrozumieć, skąd organizacja zna jej dane, po co je wykorzystuje i jak skorzystać z praw. Umieszczenie ogólnej polityki na stronie nie zawsze samo realizuje ten obowiązek wobec konkretnego odbiorcy.
Zdjęcia i opowieści o osobach korzystających z pomocy
Fotografia rozpoznawalnej osoby może być daną osobową. Jej wykonanie, przechowywanie i publikacja wymagają oceny na gruncie RODO, a rozpowszechnianie wizerunku dodatkowo podlega art. 81 prawa autorskiego. Nie należy sprowadzać obu porządków do jednego hasła o zgodzie fotograficznej.
Art. 81 przewiduje zezwolenie osoby oraz wyjątki, między innymi dla osoby stanowiącej jedynie szczegół całości, takiej jak zgromadzenie, krajobraz lub publiczna impreza. Odrębny wyjątek dotyczy osoby powszechnie znanej fotografowanej w związku z pełnieniem funkcji publicznych. Przepis reguluje również sytuację umówionej zapłaty za pozowanie przy braku wyraźnego zastrzeżenia. Sam udział w otwartym wydarzeniu nie oznacza, że każde zbliżenie twarzy spełnia wyjątek dotyczący szczegółu całości.
Zezwolenie na rozpowszechnianie wizerunku nie znosi konieczności odpowiedniej podstawy przetwarzania danych. Podobnie wyjątek od zezwolenia nie usuwa automatycznie zasad przejrzystości, minimalizacji i ochrony interesów osoby. Przy zdjęciach dzieci oraz osób zależnych od pomocy szczególnie ważne są dobro osoby, sposób reprezentacji i rzeczywista dobrowolność decyzji.
Przed wydarzeniem określ cel zdjęć, planowane kanały i osoby odpowiedzialne za wybór materiału. Zapewnij praktyczny sposób zgłoszenia braku chęci udziału w zdjęciach, gdy opierasz publikację na zgodzie. Informacja o fotografowaniu jest przydatna, ale sama tablica przy wejściu nie stanowi automatycznego zezwolenia na każdy sposób wykorzystania wizerunku.
Historia podopiecznego może ujawniać więcej niż zdjęcie: stan zdrowia, relacje rodzinne, przemoc lub trudności ekonomiczne. Rozważ, czy rezultat projektu można przedstawić zbiorczo, bez nazwiska i rozpoznawalnych szczegółów. Usunięcie samego imienia nie daje anonimizacji, jeśli lokalna społeczność łatwo rozpozna osobę z opisu. Publiczny materiał trzeba ocenić przed publikacją, a nie dopiero po zgłoszeniu zastrzeżeń.
Wolontariusze i dostęp do dokumentów
Wolontariusz działający pod zwierzchnictwem organizacji nie staje się automatycznie zewnętrznym procesorem. Powinien otrzymać jasne instrukcje i dostęp ograniczony do powierzonych zadań. Osoba organizująca dyżury może potrzebować danych kontaktowych zespołu, ale nie całej dokumentacji zdrowotnej beneficjentów. Zasady poufności i korzystania z narzędzi należy wyjaśnić również osobom zaangażowanym tylko na krótko.
Nie trzeba przedstawiać jednego konkretnego wzoru upoważnienia jako uniwersalnej formy wymaganej przez art. 29. Ważne jest rzeczywiste określenie uprawnień, działanie zgodnie z instrukcjami oraz możliwość wykazania przyjętego rozwiązania. Dokument powinien pasować do obowiązków i uwzględniać ewentualne szczególne wymagania prawne dla danej działalności.
Przy zmianie zarządu lub zakończeniu wolontariatu trzeba przekazać dokumentację, odebrać zbędne uprawnienia i rozliczyć kopie. Konto organizacji nie powinno zależeć wyłącznie od prywatnego adresu odchodzącej osoby. Ustal wcześniej, kto zachowuje dostęp do poczty, formularzy, strony i aplikacji darowizn. Taka organizacja pracy chroni ciągłość pomocy i ogranicza ryzyko przypadkowego ujawnienia danych.
Narzędzia, usługodawcy i bezpieczeństwo
Wybierając platformę zapisów, chmurę lub obsługę księgową, ustal rolę usługodawcy dla konkretnej operacji. Nie każdy wykonawca jest procesorem. Gdy przetwarza dane w imieniu organizacji, potrzebna jest odpowiednia pisemna, także elektroniczna, umowa lub inny wiążący akt prawny Unii albo państwa członkowskiego zgodny z art. 28. Warunki powierzenia przetwarzania powinny odpowiadać rzeczywistej usłudze i jej podwykonawcom.
Sprawdź dostęp, miejsce przetwarzania, ewentualne transfery i możliwość odzyskania danych po zakończeniu współpracy. W zależności od decyzji administratora procesor zwraca lub usuwa dane po zakończeniu usług, a istniejące kopie usuwa również przy zwrocie, chyba że prawo Unii lub państwa członkowskiego wymaga przechowywania. Praktyczne wykonanie tej zasady, również dla kopii zapasowych, trzeba uzgodnić bez tworzenia fikcyjnej gwarancji natychmiastowego technicznego usunięcia wszystkiego.
Zabezpieczenia z art. 32 RODO dobiera się do ryzyka. Organizacja powinna ocenić konta współdzielone, prywatne urządzenia, przesyłanie załączników oraz możliwość odtworzenia ważnej dokumentacji. Ograniczony budżet ma znaczenie dla wyboru proporcjonalnego rozwiązania, ale nie uzasadnia pozostawienia wrażliwych dokumentów dostępnych wszystkim uczestnikom projektu.
Rejestr czynności i inspektor ochrony danych
Rejestr czynności przetwarzania pomaga uporządkować cele, kategorie danych, odbiorców i retencję. Zwolnienie dla podmiotów zatrudniających mniej niż 250 osób nie obejmuje odpowiedniego przetwarzania, gdy może ono powodować ryzyko naruszenia praw lub wolności, nie jest sporadyczne albo dotyczy danych z art. 9 lub 10. Regularna obsługa członków lub darczyńców często wyłącza zwolnienie dla tych czynności, nawet w małym stowarzyszeniu.
Obowiązek rejestru nie oznacza automatycznie obowiązku wyznaczenia inspektora ochrony danych. Wśród przesłanek art. 37 znajduje się przetwarzanie przez organ lub podmiot publiczny, z wyjątkiem sądów działających w ramach sprawowania wymiaru sprawiedliwości. Pozostałe główne przesłanki dotyczą podstawowej działalności wymagającej regularnego i systematycznego monitorowania osób na dużą skalę albo podstawowej działalności polegającej na przetwarzaniu na dużą skalę danych z art. 9 lub 10. Samo korzystanie z dotacji nie rozstrzyga tej oceny.
Niezależnie od obowiązku IOD warto wyznaczyć osobę koordynującą dokumentację i wnioski. Powinna znać granice swojej roli oraz wiedzieć, kiedy skierować problem do zarządu lub specjalisty. Zewnętrzna pomoc może ułatwić pracę, ale nie zastępuje informacji od zespołu o faktycznym przebiegu projektu.
Retencja, prawa osób i reakcja na naruszenie
Nie należy przyjmować jednego okresu przechowywania dla wszystkich danych NGO. Dokumenty rozliczeniowe, deklaracje członkowskie, zgody na publikację i robocze notatki mają różne cele. Ustal właściwe wymagania ustawowe, uzasadnione potrzeby i moment rozpoczęcia biegu terminu. Wymóg sprawozdawczości wobec grantodawcy trzeba ocenić co do zakresu i podstawy, zamiast zachowywać bezterminowo wszystkie dokumenty uczestników.
Wniosek o dostęp, sprostowanie lub usunięcie danych powinien trafić do osoby umiejącej rozpoznać właściwe prawo. RODO przewiduje zasadniczo działanie bez zbędnej zwłoki, najpóźniej w ciągu miesiąca od otrzymania wniosku; przewidziane przedłużenie wymaga spełnienia warunków i informacji w pierwszym miesiącu. Przy odmowie również trzeba bez zbędnej zwłoki, najpóźniej w tym miesiącu, podać powody oraz informację o skardze i ochronie sądowej. Ogólne powołanie się na statut nie zastępuje analizy.
Jeśli dojdzie do naruszenia ochrony danych, organizacja ocenia ryzyko i potrzebę zgłoszenia organowi bez zbędnej zwłoki, w miarę możliwości do 72 godzin od stwierdzenia, chyba że ryzyko dla praw lub wolności jest mało prawdopodobne. Późniejsze zgłoszenie wymaga wyjaśnienia opóźnienia. Każde naruszenie ochrony danych dokumentuje się, także niezgłaszane; przy wysokim ryzyku osobno ocenia się obowiązek zawiadomienia osób według art. 34. Pracownik lub wolontariusz powinien wiedzieć, komu natychmiast przekazać informację o pomyłce, bez czekania na najbliższe zebranie zarządu.