Organizacje pozarządowe często zakładają, że RODO dotyczy głównie firm. To nieporozumienie — fundacja i stowarzyszenie są administratorami danych dokładnie tak samo jak przedsiębiorca, a przetwarzają dane wyjątkowo wrażliwych grup.
Lista członków i władze
Stowarzyszenie musi wiedzieć, kto jest jego członkiem — bez tego nie da się zwołać walnego zebrania, policzyć głosów ani rozliczyć składek; obowiązek wynika z ustawy Prawo o stowarzyszeniach (art. 10 ust. 1 pkt 4 — statut określa nabywanie i utratę członkostwa) i statutu, dlatego podstawą jest obowiązek prawny (art. 6 ust. 1 lit. c RODO), a nie zgoda członka. Lista członków to pierwsza czynność w rejestrze. Ponadto dane członków władz publikowane w KRS mają swoje odrębne podstawy. Ważne: przynależność do stowarzyszenia bywa daną szczególnej kategorii (np. przy organizacjach światopoglądowych), co podnosi wymagania.
Darczyńcy
Dane darczyńców (przelewy, umowy darowizny, a przy statusie OPP także 1,5% podatku) przetwarzasz na podstawie przepisów podatkowych i rachunkowych, natomiast podziękowania czy newsletter dla darczyńców wymagają już odrębnej podstawy. Dlatego warto rozdzielić te cele w dokumentacji od samego początku.
Wolontariusze i podopieczni
Porozumienia wolontariackie, zaświadczenia, ubezpieczenie — to standardowy zestaw danych. Najwyższą ostrożność zachowaj przy danych podopiecznych: w organizacjach pomocowych są to często dane o zdrowiu lub sytuacji rodzinnej, czyli szczególne kategorie z art. 9 RODO. W praktyce oznacza to ściślejsze upoważnienia i minimalizację dostępu.
Granty i sprawozdawczość
Realizując projekty (w tym unijne), przekazujesz dane uczestników grantodawcom — sprawdź, czy jesteś współadministratorem, czy przekazujesz dane odrębnemu administratorowi, bo od tego zależą obowiązki informacyjne. Rekrutację uczestników, przekazywanie danych instytucji i przechowywanie dokumentów w okresie trwałości projektu obejmuje pakiet RODO dla projektów unijnych.
Dokumentacja skrojona pod NGO
Przygotowaliśmy osobne pakiety: dla fundacji oraz dla stowarzyszenia — z rejestrem, politykami, klauzulami dla darczyńców i wolontariuszy oraz upoważnieniami; oba mają osobny wariant dokumentów dla organizacji ze statusem OPP. Przeczytaj też: kogo obejmuje obowiązek rejestru.
Najczęstsze pytania (FAQ)
Czy mała fundacja bez pracowników podlega RODO?
Tak — status administratora nie zależy od zatrudnienia ani od tego, czy organizacja prowadzi działalność gospodarczą.
Czy można publikować zdjęcia z wydarzeń?
Relacja z wydarzenia publicznego jest zwykle możliwa, jednak wizerunek konkretnych osób (zwłaszcza podopiecznych i dzieci) wymaga zgody.
Czy NGO musi mieć IOD-a?
Rzadko — obowiązek dotyczy głównie przetwarzania na dużą skalę danych szczególnych kategorii. Większości organizacji wystarczy dobra dokumentacja.