RODO w sektorze pozarządowym — specyfika i wyzwania
Rozporządzenie o Ochronie Danych Osobowych (RODO) obowiązuje wszystkie podmioty przetwarzające dane osobowe — w tym fundacje, stowarzyszenia i organizacje pożytku publicznego. Dla sektora pozarządowego RODO stanowi szczególne wyzwanie, ponieważ NGO przetwarzają dane wielu kategorii osób: darczyńców, beneficjentów, wolontariuszy, członków i partnerów. Każda z tych kategorii wymaga odrębnej podstawy prawnej i innego zakresu ochrony.
Organizacje pozarządowe często przetwarzają dane szczególnych kategorii w rozumieniu art. 9 RODO — dane dotyczące zdrowia beneficjentów programów pomocowych, przekonań religijnych lub politycznych, pochodzenia etnicznego. Przetwarzanie tych danych wymaga spełnienia dodatkowych warunków i podwyższonego poziomu zabezpieczeń technicznych i organizacyjnych.
W praktyce wiele NGO nie zdaje sobie sprawy z pełnego zakresu swoich obowiązków wynikających z RODO. Brak dedykowanych zasobów prawnych i IT prowadzi do sytuacji, w których organizacje naruszają przepisy nie ze złej woli, lecz z nieświadomości. Ten przewodnik ma pomóc fundacjom i stowarzyszeniom zrozumieć i wdrożyć najważniejsze wymogi ochrony danych.
Podstawy prawne przetwarzania danych w NGO
RODO wymaga, aby każde przetwarzanie danych osobowych miało wyraźną podstawę prawną. Dla organizacji pozarządowych najczęściej stosowane są cztery podstawy.
Pierwsza to zgoda osoby, której dane dotyczą (art. 6 ust. 1 lit. a). Ta podstawa jest stosowana przy zbieraniu danych do newslettera, komunikacji marketingowej i publikacji wizerunku. Zgoda musi być dobrowolna, konkretna i łatwa do wycofania.
Druga to wykonanie umowy (art. 6 ust. 1 lit. b). Stosuje się ją do przetwarzania danych wolontariuszy w ramach porozumienia wolontariackiego, danych pracowników w ramach umowy o pracę i danych darczyńców przy realizacji darowizny celowej.
Trzecia to obowiązek prawny (art. 6 ust. 1 lit. c). Fundacje muszą przetwarzać dane wymagane przepisami podatkowymi, ustawą o rachunkowości i ustawą o fundacjach — niezależnie od zgody osób.
Czwarta to prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f). NGO mogą powoływać się na tę podstawę przy prowadzeniu korespondencji, zapewnieniu bezpieczeństwa systemów IT i dochodzeniu roszczeń. Wymaga to udokumentowania testu równowagi interesów.
Rejestr czynności przetwarzania — obowiązek każdej organizacji
Każda fundacja i stowarzyszenie przetwarzające dane osobowe ma obowiązek prowadzenia Rejestru Czynności Przetwarzania (RCP) zgodnie z art. 30 RODO. Rejestr powinien dokumentować każdy proces, w ramach którego organizacja przetwarza dane osobowe.
Typowe czynności przetwarzania w NGO obejmują: prowadzenie bazy darczyńców, zarządzanie wolontariatem, realizację programów pomocowych, prowadzenie księgowości i kadr, wysyłkę newslettera, prowadzenie strony internetowej i mediów społecznościowych, organizację wydarzeń i zbiórek, współpracę z grantodawcami.
Dla każdej czynności rejestr powinien zawierać: cel przetwarzania, kategorie osób i danych, odbiorców danych, planowany termin usunięcia, opis zastosowanych zabezpieczeń technicznych i organizacyjnych. Rejestr musi być na bieżąco aktualizowany i udostępniany na żądanie UODO.
Dane darczyńców — co wolno, a czego nie wolno
Przetwarzanie danych darczyńców wymaga szczególnej uwagi, ponieważ obejmuje dane finansowe. Przy przyjmowaniu darowizny organizacja może gromadzić dane identyfikacyjne darczyńcy (imię, nazwisko, adres), dane transakcyjne (kwota, data, cel darowizny) i dane kontaktowe (e-mail, telefon) — wyłącznie w zakresie niezbędnym do realizacji darowizny i wywiązania się z obowiązków podatkowych.
Organizacja nie może udostępniać danych darczyńców innym podmiotom bez podstawy prawnej. Nie może wykorzystywać danych zebranych w celu realizacji darowizny do celów marketingowych bez odrębnej zgody. Nie może przechowywać danych dłużej niż wymaga to cel przetwarzania.
Systemy CRM przechowujące dane darczyńców muszą spełniać wymogi bezpieczeństwa: szyfrowanie danych w spoczynku i w transmisji, kontrola dostępu oparta na rolach, rejestrowanie operacji na danych i regularne tworzenie kopii zapasowych. Audyt bezpieczeństwa systemu CRM powinien być przeprowadzany co najmniej raz w roku.
Dane beneficjentów — podwyższona ochrona danych wrażliwych
Dane beneficjentów programów pomocowych często stanowią szczególne kategorie danych osobowych w rozumieniu art. 9 RODO. Fundacja pomagająca ofiarom przemocy domowej przetwarza dane dotyczące zdrowia psychicznego i sytuacji rodzinnej. Organizacja wspierająca osoby bezdomne gromadzi informacje o statusie socjalnym. Stowarzyszenie działające na rzecz mniejszości etnicznych przetwarza dane o pochodzeniu.
Przetwarzanie tych danych wymaga spełnienia jednego z warunków określonych w art. 9 ust. 2 RODO — najczęściej wyraźnej zgody osoby lub niezbędności przetwarzania do celów profilaktyki zdrowotnej lub zabezpieczenia społecznego. Organizacja musi wdrożyć podwyższone zabezpieczenia: pseudonimizację danych, ograniczenie dostępu do minimum niezbędnego, szyfrowanie nośników i transmisji, fizyczne zabezpieczenie dokumentacji papierowej.
Wyciek danych beneficjentów może mieć katastrofalne konsekwencje — od dyskryminacji po bezpośrednie zagrożenie bezpieczeństwa osób. Dlatego zabezpieczenie tych danych powinno być priorytetem organizacji.
Inspektor Ochrony Danych w NGO
Wyznaczenie Inspektora Ochrony Danych (IOD) jest obowiązkowe, gdy organizacja przetwarza dane na dużą skalę lub przetwarza szczególne kategorie danych jako istotną część swojej działalności. W praktyce większość fundacji realizujących programy pomocowe powinna wyznaczyć IOD.
IOD może być pracownikiem organizacji lub osobą zewnętrzną. Dla mniejszych NGO rozwiązaniem jest outsourcing funkcji IOD do wyspecjalizowanej firmy — pozwala to na dostęp do profesjonalnej wiedzy prawnej bez konieczności zatrudniania pełnoetatowego specjalisty.
Kluczowe zadania IOD w NGO obejmują: monitorowanie zgodności przetwarzania z RODO, szkolenie pracowników i wolontariuszy, prowadzenie rejestru czynności przetwarzania, obsługę żądań osób, których dane dotyczą, ocenę skutków dla ochrony danych (DPIA) dla ryzykownych procesów, współpracę z UODO w przypadku kontroli lub naruszenia.
Naruszenie ochrony danych — procedura zgłaszania
Każda organizacja pozarządowa musi posiadać procedurę reagowania na naruszenia ochrony danych osobowych. Naruszenie to każde zdarzenie prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub dostępu do danych osobowych.
W przypadku naruszenia organizacja ma 72 godziny na zgłoszenie do UODO — liczone od momentu stwierdzenia naruszenia. Zgłoszenie powinno zawierać opis naruszenia, kategorie i przybliżoną liczbę osób dotkniętych, możliwe konsekwencje oraz podjęte środki zaradcze.
Jeśli naruszenie może powodować wysokie ryzyko dla praw i wolności osób, organizacja musi dodatkowo powiadomić osoby, których dane dotyczą. W praktyce oznacza to indywidualne zawiadomienie darczyńców lub beneficjentów o wycieku ich danych.
Profesjonalny plan reagowania na incydenty pozwala minimalizować szkody i spełnić obowiązki prawne w terminie. nFlo wspiera organizacje w opracowaniu procedur i w obsłudze incydentów bezpieczeństwa.
Powierzenie przetwarzania danych dostawcom IT
Każda organizacja korzystająca z zewnętrznych usług IT — hostingu, CRM, poczty elektronicznej, narzędzi do zbierania darowizn — powierza przetwarzanie danych osobowych podmiotom trzecim. RODO wymaga zawarcia umowy powierzenia przetwarzania (art. 28) z każdym takim dostawcą.
Umowa powierzenia musi określać przedmiot i czas trwania przetwarzania, charakter i cel, rodzaj danych i kategorie osób, obowiązki i prawa administratora. Przed powierzeniem przetwarzania organizacja powinna zweryfikować, czy dostawca zapewnia odpowiednie gwarancje bezpieczeństwa — certyfikaty ISO 27001, polityki bezpieczeństwa, procedury reagowania na incydenty.
Szczególną uwagę należy zwrócić na transfer danych poza Europejski Obszar Gospodarczy. Wiele popularnych narzędzi chmurowych przechowuje dane na serwerach w USA — wymaga to dodatkowych zabezpieczeń prawnych (standardowe klauzule umowne) i technicznych (szyfrowanie end-to-end).
Praktyczne wdrożenie RODO w organizacji pozarządowej
Wdrożenie RODO w NGO można podzielić na etapy. Pierwszym jest inwentaryzacja — zidentyfikowanie wszystkich procesów, w ramach których organizacja przetwarza dane osobowe, i stworzenie Rejestru Czynności Przetwarzania.
Drugim jest analiza luk — porównanie obecnych praktyk z wymogami RODO i zidentyfikowanie obszarów wymagających poprawy. Trzecim jest wdrożenie zabezpieczeń technicznych: szyfrowanie, kontrola dostępu, kopie zapasowe, MFA, monitoring.
Czwartym jest opracowanie dokumentacji: polityka ochrony danych, procedura zgłaszania naruszeń, wzory klauzul informacyjnych, wzory umów powierzenia, rejestr upoważnień. Piątym jest szkolenie pracowników i wolontariuszy — bez świadomości zespołu nawet najlepsza dokumentacja pozostanie martwym dokumentem.
nFlo oferuje kompleksowe wsparcie w dostosowaniu infrastruktury IT organizacji pozarządowej do wymogów RODO — od audytu technicznego po wdrożenie zabezpieczeń i szkolenia zespołu.
Tematy powiązane
Zobacz również:
