RODO w stowarzyszeniach a obowiązki podmiotu zobowiązanego

Wokół tematu ochrony danych osobowych w organizacjach pozarządowych narosło wiele mitów. Część działaczy społecznych uważa, że małe organizacje są zwolnione z rygorystycznych wymogów prawnych, inni zaś obawiają się, że biurokracja związana z ochroną danych sparaliżuje ich codzienną aktywność. Rzeczywistość plasuje się pośrodku. Przepisy Ogólnego Rozporządzenia o Ochronie Danych (RODO) mają zastosowanie do każdego podmiotu, który przetwarza dane osobowe w sposób zorganizowany – a więc również do stowarzyszeń rejestrowych i zwykłych. Zrozumienie, jak funkcjonuje rodo w stowarzyszeniach, pozwala nie tylko uniknąć kar finansowych ze strony Urzędu Ochrony Danych Osobowych, ale przede wszystkim buduje profesjonalny wizerunek organizacji w oczach jej członków, darczyńców i partnerów.

Stowarzyszenie jako administrator danych osobowych (ADO)

Zgodnie z przepisami prawa, administratorem danych osobowych (ADO) jest podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych. W przypadku organizacji pozarządowej administratorem jest samo stowarzyszenie jako osoba prawna (w przypadku stowarzyszeń rejestrowych) lub jako ustrukturyzowana grupa osób (w przypadku stowarzyszeń zwykłych). Oznacza to, że odpowiedzialność za realizację wymogów prawnych spoczywa na samej organizacji, a w jej imieniu działania podejmuje powołany do tego organ, czyli najczęściej zarząd.

Przetwarzanie danych osobowych w stowarzyszeniach rozpoczyna się już w momencie złożenia przez kandydata deklaracji członkowskiej. Na tym etapie organizacja pozyskuje takie informacje jak imię, nazwisko, adres zamieszkania, numer PESEL, adres e-mail czy numer telefonu. Każda z tych informacji stanowi dane osobowe, a ich gromadzenie, przechowywanie, przeglądanie czy usuwanie to klasyczne operacje przetwarzania. Stowarzyszenie nie może zatem twierdzić, że RODO go nie dotyczy, ponieważ nie prowadzi działalności komercyjnej. Cele statutowe, takie jak organizacja zbiórek, prowadzenie warsztatów, wysyłka newslettera czy ewidencjonowanie składek członkowskich, są w pełni objęte zakresem unijnego rozporządzenia.

Podstawowe obowiązki stowarzyszenia w świetle RODO

Aby skutecznie i legalnie przetwarzać dane, każde stowarzyszenie musi spełnić szereg wymagań. Główny obowiązek organizacji polega na zapewnieniu, że przetwarzanie odbywa się zgodnie z podstawowymi zasadami RODO. Należą do nich m.in. zasada zgodności z prawem, rzetelności i przejrzystości, zasada ograniczenia celu oraz zasada minimalizacji danych.

1. Legalność przetwarzania danych

Stowarzyszenie musi posiadać jasną podstawę prawną do przetwarzania danych. W kontekście działalności społecznej najczęściej stosuje się następujące podstawy prawne:

Niezbędność do wykonania umowy lub podjęcia działań przed jej zawarciem (art. 6 ust. 1 lit. b RODO): Stosowana np. przy zawieraniu umów z wolontariuszami, pracownikami czy umów darowizny.
Prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO): Może obejmować dochodzenie roszczeń (np. zaległych składek) lub marketing bezpośredni własnych celów statutowych.
Zgoda osoby, której dane dotyczą (art. 6 ust. 1 lit. a RODO): Konieczna przy wysyłce newslettera do osób spoza stowarzyszenia lub publikacji wizerunku (np. zdjęć z wydarzeń) w celach promocyjnych.
Realizacja obowiązków statutowych (art. 9 ust. 2 lit. d RODO): Kluczowy przepis dla stowarzyszeń, który pozwala na przetwarzanie szczególnych kategorii danych (np. o poglądach politycznych, religijnych czy stanie zdrowia) przez fundacje, stowarzyszenia lub inne niezarobkowe podmioty o celach politycznych, światopoglądowych, religijnych lub związkowych, pod warunkiem, że przetwarzanie dotyczy wyłącznie członków lub byłych członków tych podmiotów.

2. Obowiązek informacyjny

Każda osoba, której dane stowarzyszenie pozyskuje, musi zostać o tym fakcie szczegółowo poinformowana. Spełnienie obowiązku informacyjnego (art. 13 RODO przy zbieraniu danych bezpośrednio od osoby lub art. 14 RODO przy pozyskiwaniu ich z innych źródeł) polega na przedstawieniu tzw. klauzuli informacyjnej. Klauzula ta powinna być napisana prostym, zrozumiałym językiem i zawierać informacje o tożsamości ADO, celach i podstawach prawnych przetwarzania, okresie przechowywania danych oraz o prawach, jakie przysługują danej osobie.

Dokumentacja RODO w stowarzyszeniu – co trzeba przygotować?

Wdrożenie zasad ochrony danych wymaga stworzenia odpowiedniej dokumentacji wewnętrznej. Choć RODO nie narzuca jednego, sztywnego szablonu dokumentów, zasada rozliczalności wymaga, aby administrator był w stanie wykazać, że przestrzega przepisów. W tym celu w stowarzyszeniu powinny powstać następujące dokumenty:

Polityka ochrony danych osobowych: Główny dokument opisujący zasady zarządzania danymi w organizacji, określający m.in. kto ma dostęp do danych, jak są one zabezpieczane (zarówno fizycznie, np. szafy zamykane na klucz, jak i cyfrowo – hasła, szyfrowanie).
Rejestr Czynności Przetwarzania (RCP): Mimo że mniejsze podmioty zatrudniające poniżej 250 osób są częściowo zwolnione z tego obowiązku, w praktyce stowarzyszenia powinny go prowadzić. Wynika to z faktu, że przetwarzanie danych członkowskich nie ma charakteru sporadycznego – jest to działalność stała i ciągła. RCP pozwala uporządkować wiedzę o tym, jakie procesy zachodzą w organizacji.
Upoważnienia do przetwarzania danych: Każda osoba działająca w imieniu stowarzyszenia (członek zarządu, wolontariusz, pracownik administracyjny), która ma kontakt z danymi osobowymi, musi posiadać pisemne upoważnienie wydane przez zarząd.
Umowy powierzenia przetwarzania danych (DPA): Jeśli stowarzyszenie korzysta z zewnętrznych dostawców usług, np. biura rachunkowego, firmy hostingowej obsługującej pocztę e-mail czy zewnętrznego systemu do wysyłki newsletterów, musi podpisać z tymi podmiotami umowy powierzenia przetwarzania danych.

Prawa osób, których dane dotyczą – jak na nie odpowiadać?

Osoby fizyczne, których dane przetwarza stowarzyszenie, posiadają szeroki katalog uprawnień. Mogą one w każdej chwili złożyć do organizacji odpowiedni wniosek. Do najważniejszych praw należą: prawo dostępu do danych, prawo do ich sprostowania, usunięcia (tzw. prawo do bycia zapomnianym), ograniczenia przetwarzania oraz prawo do przenoszenia danych.

Kluczowym aspektem dla stowarzyszenia jest sprawna procedura obsługi takich żądań. Kiedy do organizacji wpływa wniosek od członka lub sympatyka, zarząd musi zareagować bez zbędnej zwłoki. Przepisy RODO precyzyjnie określają maksymalny termin na udzielenie odpowiedzi – wynosi on miesiąc od dnia otrzymania żądania. W sprawach szczególnie skomplikowanych termin ten może zostać przedłużony o kolejne dwa miesiące, jednak o takim opóźnieniu i jego przyczynach należy poinformować wnioskodawcę w ciągu pierwszego miesiąca.

Jeżeli stowarzyszenie zignoruje wniosek lub odmówi jego realizacji bez uzasadnionej podstawy prawnej, osoba poszkodowana może złożyć skargę do organu nadzorczego. W Polsce takim organem jest Prezes Urzędu Ochrony Danych Osobowych (UODO). Organ ten posiada szerokie uprawnienia kontrolne i może nałożyć na stowarzyszenie upomnienie, nakaz dostosowania operacji przetwarzania do przepisów, a w skrajnych przypadkach – administracyjną karę pieniężną.

Specyfika stowarzyszeń zwykłych a rejestrowych

Stowarzyszenia zwykłe, choć nie posiadają osobowości prawnej (mają tzw. ułomną osobowość prawną), są pełnoprawnymi administratorami danych osobowych. Często popełnianym błędem w stowarzyszeniach zwykłych jest traktowanie danych członków jako prywatnych kontaktów przedstawiciela reprezentującego stowarzyszenie. To błąd – dane te są przetwarzane w celu realizacji wspólnego celu społecznego i muszą być chronione na takich samych zasadach, jak w dużym stowarzyszeniu zarejestrowanym w Krajowym Rejestrze Sądowym (KRS). Różnica polega zazwyczaj na skali przetwarzania oraz zasobach technicznych i finansowych, jakimi dysponuje organizacja, co wpływa na dobór adekwatnych środków bezpieczeństwa.

Najczęstsze błędy i ryzyka w organizacjach pozarządowych

Analiza praktyki działania wielu organizacji pozarządowych pozwala wskazać najczęstsze uchybienia w obszarze ochrony danych osobowych:

Udostępnianie list członków na forach lub w mediach społecznościowych: Publikowanie list obecności, wyników głosowań czy spisów członków zawierających dane osobowe bez wyraźnej podstawy prawnej jest rażącym naruszeniem RODO.
Brak zabezpieczeń fizycznych: Przechowywanie papierowych deklaracji członkowskich na otwartych biurkach lub w niezamykanych szafkach, do których dostęp mają osoby postronne.
Wysyłanie wiadomości masowych w polu "Do" lub "DW" (Do Wiadomości): To jeden z najczęstszych błędotw technicznych. Wysyłając e-mail do wszystkich członków stowarzyszenia, należy korzystać z pola "UDW" (Ukryte Do Wiadomości), aby nie ujawniać adresów e-mail poszczególnych osób pozostałym odbiorcom.
Brak umów powierzenia: Przekazywanie dokumentów kadrowo-płacowych lub księgowych do zewnętrznego biura rachunkowego bez podpisanej umowy powierzenia przetwarzania danych.

Praktyczny przykład wdrożenia RODO w stowarzyszeniu

Przyjrzyjmy się praktycznemu przykładowi. Stowarzyszenie Miłośników Historii Lokalnej "Przeszłość" liczy 40 członków i regularnie organizuje otwarte wykłady oraz wydaje bezpłatny biuletyn. Aby dostosować swoją działalność do RODO, zarząd podjął następujące kroki:

Inwentaryzacja danych: Zarząd ustalił, że przetwarza dane członków (deklaracje papierowe), dane prenumeratorów biuletynu (imię, nazwisko, adres e-mail w bazie cyfrowej) oraz dane darczyńców (wyciągi bankowe).
Opracowanie klauzul informacyjnych: Do deklaracji członkowskiej dodano czytelny formularz informacyjny wyjaśniający, że dane będą przetwarzane w celu realizacji celów statutowych oraz poboru składek. Na stronie internetowej, w zakładce zapisu na biuletyn, umieszczono checkbox ze zgodą na przetwarzanie danych w celu wysyłki newslettera oraz link do polityki prywatności.
Zabezpieczenie dokumentów: Papierowe deklaracje członkowskie przeniesiono do szafy pancernej zamykanej na klucz, do której dostęp ma wyłącznie prezes i sekretarz stowarzyszenia. Komputer, na którym przechowywana jest baza prenumeratorów, zabezpieczono silnym hasłem i zainstalowano program antywirusowy.
Podpisanie umów powierzenia: Ponieważ stowarzyszenie korzysta z zewnętrznego systemu do masowej wysyłki e-maili, zarząd zaakceptował regulamin i umowę powierzenia danych oferowaną przez dostawcę tego oprogramowania.
Szkolenie wewnętrzne: Podczas walnego zebrania zarząd przypomniał wszystkim członkom o zakazie udostępniania danych innych członków osobom trzecim bez ich zgody.

Podsumowanie

Wdrożenie rodo w stowarzyszeniach nie musi wiązać się z ponoszeniem ogromnych kosztów na audyty zewnętrzne czy zakup skomplikowanego oprogramowania. Najważniejsza jest świadomość prawna osób zarządzających organizacją oraz wypracowanie prostych, codziennych nawyków chroniących prywatność. Spełnienie podstawowych obowiązków, takich jak realizacja obowiązku informacyjnego, sprawne reagowanie na każdy wniosek o realizację praw, dbanie o bezpieczne przechowywanie dokumentów oraz terminowe działanie, gdy interweniuje organ nadzorczy, pozwala stowarzyszeniu działać bezpiecznie, transparentnie i w zgodzie z obowiązującym prawem.