Wśród organizacji pozarządowych wciąż pokutuje przekonanie, że RODO to problem korporacji i sklepów internetowych (podobnie jak KSeF 😉 ), a mała fundacja czy stowarzyszenie może „jakoś to obejść”. Tymczasem NGO przetwarzają często dane szczególnie wrażliwe – informacje o stanie zdrowia podopiecznych, sytuacji materialnej, orientacji czy pochodzeniu etnicznym – co stawia je w gronie podmiotów, od których RODO wymaga wyjątkowej staranności, a nie mniejszej. Ten artykuł nie jest wykładem z teorii ochrony danych, tylko przeglądem konkretnych błędów, które najczęściej pojawiają się w praktyce organizacji społecznych, wraz z tym, jak je naprawić.

Błąd 1: Brak podstawy prawnej do przetwarzania danych wolontariuszy

Wiele organizacji zbiera dane wolontariuszy (imię, nazwisko, PESEL, dane kontaktowe, czasem dane o niekaralności przy pracy z dziećmi) bez jasno określonej podstawy prawnej wskazanej w dokumentacji. Tymczasem RODO wymaga, aby dla każdego celu przetwarzania istniała konkretna podstawa – w przypadku wolontariuszy najczęściej będzie to zawarcie i wykonanie porozumienia wolontariackiego (podstawa: niezbędność do wykonania umowy) lub obowiązek prawny (np. weryfikacja niekaralności przy pracy z małoletnimi, wynikająca z odrębnych przepisów). Naprawa tego błędu polega na tym, żeby przy każdym porozumieniu wolontariackim mieć jasno spisaną klauzulę informacyjną wskazującą cel, podstawę prawną, okres przechowywania danych i prawa osoby, której dane dotyczą.

Błąd 2: Zbieranie zgód „na wszelki wypadek” zamiast realnej podstawy prawnej

Wiele organizacji domyślnie prosi o zgodę na przetwarzanie danych do wszystkiego, co przyjdzie im do głowy – od kontaktu, przez publikację zdjęć, po przekazywanie danych partnerom. To błąd z dwóch powodów: po pierwsze, zgoda musi być konkretna i dotyczyć określonego celu, a nie być „zgodą na wszystko”; po drugie, tam gdzie istnieje inna podstawa prawna (np. realizacja umowy czy obowiązek prawny), zgoda w ogóle nie jest potrzebna i jej nadużywanie tylko komplikuje sytuację, bo zgodę można w każdej chwili wycofać, a wtedy trzeba przestać przetwarzać dane na tej podstawie – co bywa problematyczne, jeśli dane były faktycznie potrzebne z innego, trwalszego powodu.

Błąd 3: Publikacja zdjęć podopiecznych bez jasnej zgody i bez uwzględnienia ich dobra

To jeden z najbardziej wrażliwych obszarów w działalności NGO. Publikowanie zdjęć podopiecznych (zwłaszcza dzieci, osób z niepełnosprawnościami, osób w kryzysie bezdomności) na potrzeby promocji działań organizacji czy zbiórek wymaga nie tylko zgody na przetwarzanie wizerunku (co jest kwestią RODO), ale też zgody na rozpowszechnianie wizerunku w rozumieniu prawa autorskiego – to dwie osobne zgody, o różnej podstawie prawnej, i obie są potrzebne. W przypadku dzieci zgodę musi wyrazić opiekun prawny, a dodatkowo warto rozważyć, czy sama publikacja nie narusza godności czy dobra dziecka, nawet jeśli formalna zgoda została uzyskana – to kwestia etyczna wykraczająca poza samo RODO, ale równie istotna dla wizerunku organizacji.

Błąd 4: Brak umowy powierzenia przetwarzania danych z zewnętrznymi dostawcami

Organizacje korzystają z zewnętrznych narzędzi – systemów mailingowych, platform do zarządzania wolontariuszami, biur księgowych, firm hostingowych – które w praktyce przetwarzają dane osobowe w imieniu organizacji. RODO wymaga, aby z każdym takim podmiotem (nazywanym procesorem) zawrzeć umowę powierzenia przetwarzania danych, określającą zakres, cel i zasady bezpieczeństwa przetwarzania. Wiele NGO korzysta z darmowych lub tanich narzędzi (np. systemów do newsletterów) bez sprawdzenia, czy dostawca w ogóle oferuje taką umowę i czy przechowuje dane zgodnie z wymogami (np. czy dane nie trafiają na serwery poza Europejskim Obszarem Gospodarczym bez odpowiednich zabezpieczeń).

Błąd 5: Brak rejestru czynności przetwarzania

Organizacje zatrudniające pracowników lub przetwarzające dane w sposób systematyczny (co w praktyce dotyczy większości NGO prowadzących regularną działalność) powinny prowadzić rejestr czynności przetwarzania danych (art. 30 RODO) – dokument wewnętrzny opisujący, jakie dane, w jakim celu, na jakiej podstawie i jak długo są przetwarzane. Brak takiego rejestru to jeden z pierwszych elementów, o które pyta Urząd Ochrony Danych Osobowych przy kontroli, a jego przygotowanie to relatywnie prosta praca, którą można wykonać samodzielnie przy pomocy dostępnych szablonów, bez konieczności zatrudniania drogiej kancelarii.

Błąd 6: Przechowywanie danych bez określonego okresu retencji

Częsty problem to gromadzenie danych podopiecznych, darczyńców czy wolontariuszy „na zawsze”, bez żadnej polityki usuwania nieaktualnych danych. RODO wymaga, aby dane były przechowywane nie dłużej, niż jest to niezbędne do realizacji celu, dla którego zostały zebrane (z uwzględnieniem obowiązków wynikających z innych przepisów, np. przepisów podatkowych czy o rachunkowości, które mogą wymagać przechowywania dokumentów finansowych przez określony czas). W praktyce warto ustalić proste zasady – np. dane kandydatów na wolontariuszy, którzy nie podjęli współpracy, usuwane po 6 miesiącach; dane byłych podopiecznych archiwizowane zgodnie z wymogami sprawozdawczości projektowej, a potem usuwane.

Błąd 7: Brak wyznaczonej osoby odpowiedzialnej za ochronę danych

Nie każda organizacja jest zobowiązana do wyznaczenia inspektora ochrony danych (IOD) – obowiązek ten dotyczy głównie podmiotów przetwarzających dane na dużą skalę lub dane szczególnych kategorii jako główny przedmiot działalności. Jednak nawet mała organizacja powinna wyznaczyć osobę (np. w zarządzie lub biurze) odpowiedzialną za nadzór nad zgodnością z RODO – kogoś, kto wie, co robić w razie incydentu (np. wycieku danych) i do kogo mogą się zwrócić osoby, których dane dotyczą, z pytaniem o swoje prawa. Suma summarum i tak jak coś odpowiedzialność spocznie na zarządzie 😉

Co zrobić, jeśli podejrzewacie, że macie zaległości

Najlepszym pierwszym krokiem jest prosty audyt wewnętrzny: spisanie wszystkich miejsc, w których organizacja gromadzi dane osobowe (formularze na stronie, arkusze Excel, systemy CRM, dokumentacja papierowa), sprawdzenie, czy dla każdego z nich istnieje jasna podstawa prawna i informacja dla osoby, której dane dotyczą, oraz uporządkowanie umów z dostawcami zewnętrznymi. To praca, którą można rozłożyć na kilka tygodni i wykonać własnymi siłami przy wsparciu dostępnych bezpłatnie wzorów dokumentów (np. udostępnianych przez sieci wsparcia NGO czy Urząd Ochrony Danych Osobowych), a w bardziej skomplikowanych przypadkach – skonsultować z prawnikiem specjalizującym się w ochronie danych.

Jeśli chcesz skonsultować RODO z naszym prawnikiem, wypełnij formularz, umówimy spotkanie w dogodnym terminie

RODO w organizacji społecznej nie jest formalnością do „odhaczenia”, tylko realnym elementem ochrony osób, którym organizacja stara się pomóc – często osób w trudnej sytuacji życiowej, dla których nieodpowiednie zabezpieczenie danych (np. wyciek informacji o stanie zdrowia czy sytuacji materialnej) może mieć poważne konsekwencje. Dobra wiadomość jest taka, że większość opisanych błędów da się naprawić bez wielkich nakładów finansowych – wymaga to głównie uporządkowania dokumentacji i wypracowania prostych, powtarzalnych procedur.