RODO w stowarzyszeniu

Wprowadzenie RODO w stowarzyszeniu powinno zacząć się od określenia administratora. Często spotkać można się z interpretacją, że będzie nim prezes stowarzyszenia. 

Zgodnie z art. 4 pkt 7 RODO administratorem danych osobowych jest osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych. W rozumieniu przepisów RODO administratorem danych w opisanej sytuacji będzie zatem stowarzyszenie. Prezes stowarzyszenia jest natomiast członkiem organu zarządu uprawnionym do reprezentowania stowarzyszenia.

Warto wskazać, że Rozporządzenie o ochronie danych osobowych wprowadza podejście oparte na ryzyku. Zasada ta uzależnia sposób realizacji obowiązków nałożonych na administratora od charakteru, zakresu, kontekstu i celów przetwarzania danych oraz od ryzyka naruszenia praw i wolności osób, których dane dotyczą, a także ryzyka naruszenia interesów administratora. Ochrona danych osobowych w kontekście szacowania ryzyka, skupia się zatem na prawach i wolnościach osób, których dane dotyczą. 

Zatem zastosowanie odpowiednich środków ochrony danych osobowych w stowarzyszeniu zależeć będzie od tego czyje i jakie dane są przetwarzane, w jaki sposób odbywa się przetwarzanie, jakie jest ryzyko utraty danych oraz ich wycieku, a przede wszystkim jakie będzie miło to konsekwencje dla osób, których dane są przetwarzane. 

Którą z przytoczonych podstaw przetwarzania danych można posłużyć się w przypadku zbierania danych członków stowarzyszenia przez organizację?

Przetwarzanie może odbywać się ze względu na uzasadniony interes stowarzyszenia, którym jest możliwość dochodzenia roszczeń wynikających z członkostwa. 

Kolejną podstawą prawną przetwarzania może być realizacja obowiązków stowarzyszenia, które wynikają z przepisów ustawy o rachunkowości w związku z, na przykład koniecznością księgowania opłat członkowskich (art. 6 ust. 1 lit. c RODO).

Obecny jest także pogląd, który mówi, że statut stowarzyszenia można uznać za umowę cywilnoprawną zawartą pomiędzy stowarzyszeniem a jego członkiem. Co za tym idzie, wypełnianie obowiązków nałożonych na członka stowarzyszenia, a także realizacja wszelkich praw związane są z realizacją umowy. Przetwarzanie odbywać się będzie w celu realizacji umowy,  co stanowi podstawę prawną przetwarzania zawartą w art. 6 ust. 1 lit. b RODO.

RODO nakazuje także określenie czasów retencji dla poszczególnych danych. Czas ten uzależniony będzie od celu przetwarzania danych. Dla danych osobowych członków stowarzyszenia kluczowy jest czas trwania członkostwa. Wydaje się że po jego zakończeniu powinno się je usunąć. Administrator może natomiast przetrzymywać dane dłużej, jeśli istnieje ku temu podstawa, na przykład w celu ochrony przed potencjalnymi roszczeniami, ale nie dłużej niż do momentu wygaśnięcia tych roszczeń.

Przestrzeganie przepisów RODO w stowarzyszeniu, tak jak w każdym innym podmiocie jest ciągłym procesem. Niewystarczającym jest wdrożenie odpowiedniej dokumentacji i jednorazowe zaimplementowanie zmian. Należy stale monitorować to co dzieje się z danymi, sprawdzać zabezpieczenia i w razie potrzeby je modyfikować. Zgodnie bowiem z art. 32 RODO,  to administrator powinien podejmować działania w celu zapewnienia odpowiedniego stopnia bezpieczeństwa poprzez uwzględnienie ryzyka związanego z przetwarzaniem danych.