Czy fundacja musi przejmowa\u0107 si\u0119 RODO tak samo jak firma? Kto w\u0142a\u015bciwie jest administratorem danych w projekcie grantowym? I czy mo\u017cna poprosi\u0107 wolontariusza o pomoc przy li\u015bcie uczestnik\u00f3w, skoro to \u201etylko\u201d wolontariusz? To pytania, kt\u00f3re wracaj\u0105 na ka\u017cdym spotkaniu z organizacjami.<\/p>\n\n\n\n
Zacznijmy od rzeczy, kt\u00f3ra potrafi zaskoczy\u0107.<\/p>\n\n\n\n
Fundacja, kt\u00f3ra pomaga ludziom, wci\u0105\u017c przetwarza dane osobowe \u2013 i z punktu widzenia RODO ma dok\u0142adnie te same obowi\u0105zki co firma. Dobre intencje nie tworz\u0105 tu \u017cadnej taryfy ulgowej. Licz\u0105 si\u0119 m.in.: podstawa przetwarzania, minimalizacja danych, ograniczenie celu i prawid\u0142owo\u015b\u0107. <\/p>\n\n\n\n
Warto to sobie powiedzie\u0107 wprost na pocz\u0105tku, bo w organizacjach pomocowych \u0142atwo pomyli\u0107 misj\u0119 z brakiem obowi\u0105zk\u00f3w. Misja jest po Waszej stronie. Obowi\u0105zki te\u017c. Bardzo prawdopodobne, \u017ce jako organizacja przetwarzacie du\u017c\u0105 ilo\u015b\u0107 danych dotycz\u0105cych zdrowia, sytuacji rodzinnej lub innych potocznie zwanych „wra\u017cliwymi”<\/p>\n\n\n\n
Pierwszy krok to nie polityka ochrony danych. Pierwszy krok to lista miejsc, w kt\u00f3rych trzymacie dane. Skrzynki mailowe, dyski i chmura, arkusze i bazy, formularze online, komunikatory, a cz\u0119sto te\u017c zwyk\u0142e dokumenty papierowe w szafie. Dop\u00f3ki nie wiecie, gdzie te dane le\u017c\u0105, ka\u017cda polityka b\u0119dzie tylko dokumentem na p\u00f3\u0142k\u0119.<\/p>\n\n\n\n
Kiedy ju\u017c to wiecie, praca z danymi uk\u0142ada si\u0119 w kilka krok\u00f3w. <\/p>\n\n\n\n
Przy danych zwyk\u0142ych podstaw jest kilka i nie zawsze musi to by\u0107 zgoda. Poza zgod\u0105 macie do dyspozycji realizacj\u0119 umowy, obowi\u0105zek prawny (na przyk\u0142ad rozliczenia i sprawozdawczo\u015b\u0107), uzasadniony interes, interes publiczny, a w wyj\u0105tkowych sytuacjach \u017cywotny interes osoby. Zgoda bywa najs\u0142abszym wyborem, bo mo\u017cna j\u0105 wycofa\u0107 \u2013 je\u015bli dane s\u0105 Wam potrzebne do rozliczenia projektu, oprzyjcie je raczej na obowi\u0105zku prawnym.<\/p>\n\n\n\n
Inaczej wygl\u0105da to przy danych szczeg\u00f3lnej kategorii, czyli informacjach o zdrowiu, pochodzeniu, przekonaniach czy sytuacji \u017cyciowej. Tu zasada jest taka, \u017ce przetwarzanie jest co do zasady zakazane, chyba \u017ce zachodzi jeden z wyj\u0105tk\u00f3w z art. 9 RODO.<\/p>\n\n\n\n
Dla organizacji najcz\u0119\u015bciej w gr\u0119 wchodz\u0105 nast\u0119puj\u0105ce wyj\u0105tki. Pierwszy to wyra\u017ana zgoda osoby, kt\u00f3rej dane dotycz\u0105, przy czym musi by\u0107 ona rzeczywi\u015bcie wyra\u017ana i \u015bwiadoma, a nie domy\u015blna. Drugi to dzia\u0142alno\u015b\u0107 fundacji lub stowarzyszenia, ale tylko w okre\u015blonym zakresie, czyli w odniesieniu do w\u0142asnych cz\u0142onk\u00f3w, by\u0142ych cz\u0142onk\u00f3w lub os\u00f3b utrzymuj\u0105cych z organizacj\u0105 sta\u0142y kontakt w zwi\u0105zku z jej celami, i bez ujawniania danych na zewn\u0105trz bez zgody. Trzeci to \u017cywotny interes osoby, gdy chodzi o ochron\u0119 \u017cycia lub zdrowia, a osoba nie jest w stanie wyrazi\u0107 zgody. <\/p>\n\n\n\n
Najcz\u0119stszy b\u0142\u0105d w projektach to pomylenie r\u00f3l. A od roli zale\u017cy, jakie dokumenty w og\u00f3le musicie mie\u0107.<\/p>\n\n\n\n
Administrator decyduje, po co i jak przetwarza dane, i to on odpowiada. Podmiot przetwarzaj\u0105cy robi to na cudze zlecenie, na podstawie umowy powierzenia. \u017beby to zobrazowa\u0107 tak, najcz\u0119\u015bciej dzia\u0142a biuro rachunkowe czy firma IT dostarczaj\u0105ca nam oprogramowanie.<\/p>\n\n\n\n
Wsp\u00f3\u0142administrator ustala cele wsp\u00f3lnie z innym podmiotem, co wymaga osobnego uzgodnienia. <\/p>\n\n\n\n
Administrator potrzebuje podstawy i klauzuli, a powierzenie wymaga umowy. Zanim ruszycie z projektem, warto t\u0119 rol\u0119 nazwa\u0107 po imieniu.<\/p>\n\n\n\n
Osobny temat to przekazywanie danych grantodawcy. Zanim cokolwiek wy\u015blecie, ustalcie podstaw\u0119 \u2013 zwykle wynika ona z umowy grantowej i rozliczenia projektu. <\/p>\n\n\n\n
Przekazujcie minimum: do rozliczenia rzadko potrzebna jest pe\u0142na lista z numerami PESEL, cz\u0119\u015bciej wystarcza zakres wskazany w umowie. Sprawd\u017acie te\u017c, czy grantodawca staje si\u0119 w tym uk\u0142adzie odr\u0119bnym administratorem, czy dzia\u0142acie jako wsp\u00f3\u0142administratorzy, bo to zmienia dokumenty.<\/p>\n\n\n\n
I na ko\u0144cu dope\u0142nijcie obowi\u0105zku informacyjnego \u2013 uczestnicy powinni wiedzie\u0107, \u017ce ich dane mog\u0105 trafi\u0107 do grantodawcy i po co.<\/p>\n\n\n\n
Klasyczny b\u0142\u0105d? Organizacja wysy\u0142a grantodawcy pe\u0142n\u0105 list\u0119 uczestnik\u00f3w z numerami PESEL i danymi kontaktowymi, cho\u0107 umowa wymaga\u0142a tylko liczby os\u00f3b i potwierdzenia udzia\u0142u. To przekazanie danych bez podstawy.<\/p>\n\n\n\n
Organizacje pomocowe cz\u0119sto zbieraj\u0105 du\u017co, \u201ena wszelki wypadek”. To zrozumia\u0142y odruch, ale ka\u017cda dodatkowa informacja to dodatkowe ryzyko i wi\u0119kszy obowi\u0105zek ochrony, gdy dojdzie do naruszenia.<\/p>\n\n\n\n
Zbierajcie tylko dane potrzebne do konkretnej formy pomocy. Tam, gdzie wystarczy wiek albo rok urodzenia, nie pro\u015bcie o PESEL. Zamiast kopii dowodu czy dokumentu medycznego cz\u0119sto wystarczy o\u015bwiadczenie. A zakres danych ustalcie wcze\u015bniej, zanim zaczniecie je zbiera\u0107, a nie po fakcie. Im mniej wra\u017cliwych danych trzymacie, tym mniejsze ryzyko dla ludzi i tym l\u017cejsze obowi\u0105zki po Waszej stronie \u2013 bo to w\u0142a\u015bnie dane wra\u017cliwe decyduj\u0105 o skali szkody, gdy dojdzie do wycieku.<\/p>\n\n\n\n
Tu te\u017c zaczyna si\u0119 od roli. Wolontariusz dzia\u0142a w imieniu i pod kontrol\u0105 organizacji, wi\u0119c w\u0142a\u015bciw\u0105 form\u0105 jest upowa\u017cnienie do przetwarzania danych i wpis do ewidencji \u2013 a nie umowa powierzenia. <\/p>\n\n\n\n
Umowa powierzenia jest dla odr\u0119bnego podmiotu, kt\u00f3ry przetwarza dane na Wasze zlecenie, jak biuro rachunkowe czy firma IT. Wolontariusz nim nie jest.<\/p>\n\n\n\n
Je\u015bli nie chcecie nadawa\u0107 upowa\u017cnienia, wolontariusz musi wykonywa\u0107 swoje zadania bez \u017cadnego dost\u0119pu do danych. <\/p>\n\n\n\n
Je\u015bli je nadajecie, przeszkolcie wolontariusza wcze\u015bniej z ochrony danych. Do kompletu warto mie\u0107 porozumienie wolontariackie z klauzul\u0105 informacyjn\u0105, upowa\u017cnienie (odbierane po zako\u0144czeniu wsp\u00f3\u0142pracy) oraz zobowi\u0105zanie do zachowania poufno\u015bci. <\/p>\n\n\n\n
Pami\u0119tajcie przy tym, \u017ce sama wsp\u00f3\u0142praca z wolontariuszem ma podstaw\u0119 tak\u017ce poza RODO \u2013 reguluje j\u0105 ustawa o dzia\u0142alno\u015bci po\u017cytku publicznego i o wolontariacie.<\/p>\n\n\n\n
Dziecko mo\u017ce mniej rozumie\u0107 ryzyko i skutki, dlatego jego dane traktujemy ze szczeg\u00f3ln\u0105 ostro\u017cno\u015bci\u0105. Zgod\u0119 w imieniu dziecka wyra\u017ca rodzic lub opiekun prawny, a komunikaty i klauzule kierowane do dzieci powinny by\u0107 napisane prostym, zrozumia\u0142ym j\u0119zykiem (je\u015bli informujecie r\u00f3wnie\u017c dzieci). My\u015blcie te\u017c o skutkach na przysz\u0142o\u015b\u0107 i regularnie sprawdzajcie, co dzieje si\u0119 z danymi.<\/p>\n\n\n\n
Szczeg\u00f3lnej uwagi wymaga wizerunek. Jest on jednocze\u015bnie dan\u0105 osobow\u0105 i dobrem osobistym dziecka, a jego rozpowszechnianie wymaga zgody, kt\u00f3r\u0105 w imieniu dziecka daje opiekun. Zgoda na wizerunek jest przy tym odr\u0119bna od udzia\u0142u w wydarzeniu i od innych zg\u00f3d \u2013 nie wolno uzale\u017cnia\u0107 uczestnictwa dziecka od zgody na publikacj\u0119 zdj\u0119\u0107. <\/p>\n\n\n\n
Warto rozdziela\u0107 zakres i zgody pobiera\u0107 osobno sam obraz, osobno nagranie z g\u0142osem i wypowiedzi\u0105, przygotowa\u0107 r\u00f3\u017cne warianty zgody. Im precyzyjniejszy zakres, tym mniejsze ryzyko, \u017ce zgoda obejmie wi\u0119cej, ni\u017c kto\u015b naprawd\u0119 chcia\u0142.<\/p>\n\n\n\n
Obok RODO warto te\u017c wdro\u017cy\u0107 Standardy Ochrony Ma\u0142oletnich, nie wykorzystywa\u0107 wizerunku dziecka w spos\u00f3b nara\u017caj\u0105cy je na cyberzagro\u017cenia i nie publikowa\u0107 zdj\u0119\u0107 wskazuj\u0105cych na trudn\u0105 sytuacj\u0119 rodzinn\u0105 czy \u017cyciow\u0105 bez pewno\u015bci, \u017ce macie na to wystarczaj\u0105c\u0105 zgod\u0119.<\/p>\n\n\n\n
Jak to wszystko uporz\u0105dkowa\u0107? Zwykle wystarczy trzyma\u0107 si\u0119 kolejno\u015bci: <\/p>\n\n\n\n
<\/p>\n\n\n\n