RODO w fundacji a prawa strony albo administratora

Fundacje, jako podmioty realizujące cele społecznie użyteczne, codziennie wchodzą w interakcje z setkami, a czasem tysiącami osób. Darczyńcy, wolontariusze, podopieczni, pracownicy, a także osoby jedynie odwiedzające stronę internetową organizacji – wszyscy oni pozostawiają po sobie ślad w postaci danych osobowych. W świetle Ogólnego Rozporządzenia o Ochronie Danych (RODO), każda fundacja staje się administratorem tych danych. Status ten wiąże się z koniecznością przestrzegania rygorystycznych zasad prawnych, które z jednej strony chronią prywatność jednostki (prawa strony), a z drugiej – nakładają na organizację (administratora) określone obowiązki i dają jej pewne uprawnienia obronne. Zrozumienie tej delikatnej równowagi jest kluczowe dla bezpiecznego i zgodnego z prawem funkcjonowania każdej organizacji pozarządowej.

Status prawny fundacji jako administratora danych osobowych

Zgodnie z art. 4 pkt 7 RODO, administratorem danych osobowych jest osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych. Ponieważ fundacja posiada osobowość prawną, którą nabywa z chwilą wpisu do Krajowego Rejestru Sądowego (KRS), automatycznie staje się administratorem danych (ADO) w odniesieniu do wszystkich procesów przetwarzania realizowanych w ramach jej działalności statutowej i gospodarczej.

Warto podkreślić, że status administratora nie jest kwestią wyboru czy deklaracji władz fundacji. Jest to stan faktyczny i prawny, który powstaje w momencie, gdy organizacja decyduje się na zbieranie i wykorzystywanie danych. Dotyczy to zarówno danych przetwarzanych w formie tradycyjnej (np. papierowe deklaracje członkowskie, umowy z wolontariuszami), jak i elektronicznej (bazy darczyńców, systemy newsletterowe, formularze kontaktowe na stronie WWW). Fundacja jako administrator ponosi pełną odpowiedzialność za zgodność przetwarzania z prawem, co oznacza, że to na jej zarządzie spoczywa obowiązek wdrożenia odpowiednich procedur i zabezpieczeń.

Kluczowe obowiązki fundacji jako administratora danych (ADO)

Bycie administratorem danych osobowych wiąże się z koniecznością realizacji szeregu obowiązków nałożonych przez RODO. Do najważniejszych z nich należą:

Obowiązek informacyjny (art. 13 i 14 RODO): Fundacja musi w jasny, przejrzysty i łatwo dostępny sposób poinformować każdą osobę, której dane zbiera, o szczegółach tego procesu. Informacja ta powinna zawierać m.in. dane identyfikacyjne fundacji, cele i podstawy prawne przetwarzania, okres przechowywania danych, odbiorców danych oraz szczegółowy wykaz praw przysługujących danej osobie.
Zasada minimalizacji danych: Organizacja powinna zbierać tylko te dane, które są niezbędne do realizacji konkretnego celu. Przykładowo, jeśli fundacja wysyła jedynie newsletter, nie ma podstaw do żądania od subskrybenta numeru PESEL czy adresu zamieszkania.
Prowadzenie rejestru czynności przetwarzania (RCP): Choć RODO przewiduje pewne wyłączenia dla podmiotów zatrudniających poniżej 250 osób, w praktyce większość fundacji musi taki rejestr prowadzić. Przetwarzanie danych w NGO rzadko ma charakter sporadyczny – zazwyczaj bazy darczyńców czy podopiecznych są prowadzone w sposób ciągły, co obliguje do dokumentowania tych procesów.
Zapewnienie bezpieczeństwa danych: Fundacja musi wdrożyć odpowiednie środki techniczne i organizacyjne, aby chronić dane przed przypadkowym lub niezgodnym z prawem zniszczeniem, utratą, modyfikacją czy nieuprawnionym ujawnieniem. Obejmuje to m.in. stosowanie haseł dostępu, szyfrowanie dysków, zabezpieczenie dokumentacji papierowej w zamykanych szafach oraz regularne szkolenie personelu i wolontariuszy.
Wyznaczenie Inspektora Ochrony Danych (IOD): Obowiązek ten dotyczy fundacji w szczególnych przypadkach, np. gdy ich główna działalność polega na przetwarzaniu na dużą skalę szczególnych kategorii danych (danych wrażliwych), takich jak informacje o stanie zdrowia podopiecznych (częste w fundacjach medycznych czy pomocowych).

Prawa osób, których dane dotyczą – uprawnienia strony

RODO wyposaża osoby fizyczne w szeroki katalog praw, które mogą one egzekwować wobec fundacji jako administratora. Prawa te mają na celu przywrócenie jednostce kontroli nad jej własnymi informacjami osobistymi. W kontekście działalności fundacji najczęściej spotykamy się z realizacją następujących uprawnień:

1. Prawo dostępu do danych oraz otrzymania ich kopii (art. 15 RODO)

Każda osoba ma prawo zwrócić się do fundacji z pytaniem, czy przetwarza ona jej dane osobowe. Jeśli tak, fundacja ma obowiązek udzielić szczegółowych informacji o celach przetwarzania, kategoriach danych, odbiorcach oraz planowanym okresie ich przechowywania, a także przekazać bezpłatną kopię tych danych.

2. Prawo do sprostowania danych (art. 16 RODO)

Jeśli dane posiadane przez fundację są nieprawidłowe lub niekompletne (np. darczyńca zmienił nazwisko lub adres e-mail), ma on prawo żądać ich niezwłocznego sprostowania lub uzupełnienia.

3. Prawo do usunięcia danych, czyli "prawo do bycia zapomnianym" (art. 17 RODO)

To jedno z najgłośniejszych uprawnień. Osoba może żądać usunięcia swoich danych, jeśli m.in. dane nie są już niezbędne do celów, w których zostały zebrane, cofnięto zgodę na przetwarzanie (a nie ma innej podstawy prawnej), lub dane były przetwarzane niezgodnie z prawem. Fundacja musi jednak pamiętać, że prawo to nie ma charakteru bezwzględnego.

4. Prawo do ograniczenia przetwarzania (art. 18 RODO)

W określonych sytuacjach (np. gdy osoba kwestionuje prawidłowość danych), może ona zażądać, aby fundacja zaprzestała jakichkolwiek operacji na jej danych poza ich przechowywaniem, do czasu wyjaśnienia sprawy.

5. Prawo do sprzeciwu (art. 21 RODO)

Jeżeli fundacja przetwarza dane na podstawie swojego prawnie uzasadnionego interesu (np. marketing bezpośredni, budowanie relacji z darczyńcami), osoba, której dane dotyczą, może w dowolnym momencie wnieść sprzeciw wobec takiego przetwarzania z przyczyn związanych z jej szczególną sytuacją.

Procedura obsługi wniosków krok po kroku – jak powinna reagować fundacja?

Gdy do fundacji wpływa wniosek od osoby fizycznej dotyczący realizacji jej praw, organizacja musi zadziałać sprawnie i zgodnie z procedurą przewidzianą w art. 12 RODO. Oto jak powinien wyglądać ten proces krok po kroku:

Rejestracja wniosku: Każde żądanie powinno zostać odnotowane w wewnętrznym rejestrze wniosków RODO. Pozwala to na kontrolowanie terminów i dokumentowanie działań na wypadek kontroli organu nadzorczego.
Weryfikacja tożsamości wnioskodawcy: Przed udzieleniem jakichkolwiek informacji lub dokonaniem zmian, fundacja musi upewnić się, że osoba składająca wniosek jest rzeczywiście tą, za którą się podaje. Uzasadnione wątpliwości pozwalają administratorowi na zażądanie dodatkowych informacji niezbędnych do potwierdzenia tożsamości. Ma to na celu zapobieganie wyciekom danych do osób nieuprawnionych.
Analiza merytoryczna żądania: Fundacja musi ocenić, czy żądanie jest zasadne i czy nie zachodzą przesłanki wyłączające realizację danego prawa (np. obowiązek przechowywania dokumentacji księgowej).
Udzielenie odpowiedzi w terminie: Informacji o podjętych działaniach należy udzielić bez zbędnej zwłoki, a w każdym razie w terminie miesiąca od otrzymania żądania. W skomplikowanych przypadkach termin ten można przedłużyć o kolejne dwa miesiące, jednak fundacja musi poinformować o tym wnioskodawcę w ciągu pierwszego miesiąca, podając konkretne przyczyny opóźnienia.
Forma odpowiedzi: Odpowiedź powinna być udzielona w tej samej formie, w jakiej wpłynął wniosek (np. elektronicznie), chyba że wnioskodawca zażądał innej formy. Informacje muszą być sformułowane jasnym, prostym i zrozumiałym językiem.

Konflikt interesów: Prawa strony a uprawnienia i obowiązki administratora

W praktyce funkcjonowania fundacji niezwykle często dochodzi do zderzenia praw osób fizycznych z obowiązkami prawnymi nałożonymi na fundację przez inne ustawy. Najlepszym przykładem jest żądanie usunięcia danych osobowych zgłoszone przez darczyńcę lub byłego pracownika/wolontariusza.

Czy fundacja musi bezwarunkowo usunąć wszystkie dane na każde żądanie? Odpowiedź brzmi: zdecydowanie nie. Uprawnienia administratora do odmowy realizacji żądania usunięcia danych wynikają bezpośrednio z art. 17 ust. 3 RODO. Fundacja ma prawo, a wręcz obowiązek odmówić usunięcia danych, gdy ich przetwarzanie jest niezbędne:

Do wywiązania się z prawnego obowiązku: Fundacje podlegają przepisom o rachunkowości oraz ordynacji podatkowej. Jeśli darczyńca przekazał darowiznę, fundacja musi przechowywać dokumentację finansowo-księgową (zawierającą imię, nazwisko, adres i kwotę) przez okres 5 lat, licząc od końca roku kalendarzowego, w którym upłynął termin płatności podatku. W tym okresie żądanie usunięcia tych konkretnych danych z dokumentacji księgowej jest prawnie bezskuteczne.
Do ustalenia, dochodzenia lub obrony roszczeń: Fundacja może przetwarzać dane byłego wolontariusza czy kontrahenta w celu zabezpieczenia się przed ewentualnymi roszczeniami cywilnoprawnymi. Okres ten wynika z terminów przedawnienia roszczeń określonych w Kodeksie cywilnym (zazwyczaj od 3 do 6 lat).
Do celów statystycznych lub archiwalnych: W interesie publicznym, o ile spełnione są odpowiednie warunki bezpieczeństwa.

W takich sytuacjach fundacja powinna precyzyjnie wyjaśnić wnioskodawcy, dlaczego jego żądanie nie może zostać spełnione w całości, wskazując konkretną podstawę prawną (np. art. 74 ustawy o rachunkowości w zw. z art. 17 ust. 3 lit. b RODO) oraz poinformować o prawie wniesienia skargi do organu nadzorczego.

Rola organu nadzorczego (UODO) i konsekwencje naruszeń

Organem nadzorczym w Polsce, odpowiedzialnym za monitorowanie stosowania RODO, jest Prezes Urzędu Ochrony Danych Osobowych (PUODO). Każda osoba, która uzna, że fundacja przetwarza jej dane niezgodnie z prawem lub bezpodstawnie odmawia realizacji jej praw, ma prawo wnieść skargę do PUODO.

Dla fundacji wszczęcie postępowania przez organ nadzorczy wiąże się z koniecznością składania wyjaśnień, przedstawiania dokumentacji (w tym rejestru czynności przetwarzania, polityk bezpieczeństwa, upoważnień) oraz poddania się ewentualnej kontroli na miejscu. Konsekwencje stwierdzenia naruszeń mogą być bardzo dotkliwe:

Nakazy administracyjne: PUODO może nakazać fundacji dostosowanie operacji przetwarzania do przepisów, spełnienie żądania wnioskodawcy (np. usunięcie danych lub wydanie ich kopii) w określonym terminie.
Ostrzeżenia i upomnienia: Stosowane zazwyczaj przy drobnych, pierwszorazowych uchybieniach.
Administracyjne kary pieniężne: RODO przewiduje gigantyczne kary finansowe (do 10 lub 20 milionów euro, a w przypadku przedsiębiorstw do 2% lub 4% rocznego obrotu). Choć wobec organizacji pozarządowych kary te są zazwyczaj miarkowane i znacznie niższe, to nawet kara rzędu kilku tysięcy złotych może stanowić barierę nie do pokonania dla małej fundacji, prowadząc do jej likwidacji.
Straty wizerunkowe: Dla organizacji opierających swoją działalność na zaufaniu społecznym i darowiznach, publiczna informacja o wycieku danych lub ukaraniu przez UODO może oznaczać natychmiastowy odpływ darczyńców i partnerów biznesowych.

Praktyczny przykład zastosowania przepisów RODO w fundacji

Aby lepiej zobrazować mechanizm działania RODO w sektorze NGO, przeanalizujmy następujący przypadek praktyczny:

Stan faktyczny: Pani Anna była wolontariuszką w Fundacji "Zielone Jutro", która zajmuje się ochroną środowiska. W trakcie rocznej współpracy fundacja przetwarzała jej dane: imię, nazwisko, PESEL (do ubezpieczenia), adres e-mail, numer telefonu oraz wizerunek (zdjęcia z akcji sadzenia drzew publikowane na profilu społecznościowym fundacji na podstawie wyrażonej zgody). Po zakończeniu współpracy Pani Anna przesyła do fundacji wniosek o treści: "Żądam natychmiastowego usunięcia wszystkich moich danych osobowych z Państwa baz danych, w tym usunięcia moich zdjęć z profilu na Facebooku oraz moich danych z podpisanej umowy wolontariackiej".

Działanie Fundacji (Administratora):

Fundacja rejestruje wniosek i weryfikuje tożsamość Pani Anny (adres e-mail, z którego wysłano wniosek, zgadza się z adresem w bazie).
Zarząd fundacji analizuje poszczególne kategorie danych i podstawy ich przetwarzania:
- Wizerunek (zdjęcia na Facebooku): Przetwarzanie opierało się na zgodzie wolontariuszki. Cofnięcie zgody oznacza, że fundacja musi niezwłocznie usunąć zdjęcia z Panią Anną z profilu społecznościowego lub zanonimizować jej wizerunek (np. zamazując twarz). Tutaj prawo do bycia zapomnianym działa w pełni.
- Dane kontaktowe (e-mail, telefon): Służyły do bieżącej komunikacji. Ponieważ współpraca się zakończyła, fundacja nie ma już celu, by je przechowywać do bieżącego kontaktu. Musi je usunąć z aktywnych list kontaktowych.
- Dane z umowy wolontariackiej (imię, nazwisko, PESEL, adres): Fundacja ma obowiązek przechowywać umowę wolontariacką (oraz dowody ubezpieczenia) w celu obrony przed ewentualnymi roszczeniami (np. gdyby wolontariuszka uległa wypadkowi podczas akcji i po latach żądała odszkodowania) oraz do celów podatkowo-ubezpieczeniowych. Okres ten wynosi 6 lat od końca roku, w którym umowa wygasła.
Fundacja formułuje odpowiedź do Pani Anny w terminie 14 dni. Informuje w niej, że zdjęcia zostały usunięte z profilu społecznościowego, dane kontaktowe zostały usunięte z systemów komunikacyjnych, natomiast dane zawarte w umowie wolontariackiej oraz dokumentacji ubezpieczeniowej nie mogą zostać usunięte na obecnym etapie z uwagi na prawnie uzasadniony interes administratora polegający na obronie przed ewentualnymi roszczeniami (art. 17 ust. 3 lit. e RODO) oraz obowiązki prawne wynikające z przepisów o ubezpieczeniach społecznych. Dane te zostaną trwale usunięte po upływie okresu przedawnienia roszczeń.

Powyższy przykład pokazuje, jak profesjonalne podejście pozwala na zadośćuczynienie prawom strony w stopniu, w jakim pozwala na to prawo, przy jednoczesnym zabezpieczeniu interesów prawnych samej fundacji.

Najczęstsze błędy popełniane przez fundacje w zakresie RODO

Analiza działalności wielu polskich fundacji pozwala na wskazanie powtarzających się błędów, które mogą prowadzić do poważnych konsekwencji prawnych:

Traktowanie RODO jako jednorazowego projektu: Wiele fundacji uważa, że zakup gotowego pakietu dokumentów (szablonów polityk) załatwia sprawę. RODO to proces ciągły – dokumentacja musi być stale aktualizowana i dostosowywana do nowych projektów realizowanych przez organizację.
Brak szkoleń dla wolontariuszy: Wolontariusze często mają dostęp do danych wrażliwych podopiecznych (np. w fundacjach pomagających dzieciom czy chorym). Brak przeszkolenia ich z zasad poufności oraz brak podpisanych upoważnień do przetwarzania danych to prosta droga do wycieku informacji.
Ignorowanie terminów: Brak wypracowanej procedury obsługi wniosków skutkuje przekraczaniem ustawowego terminu jednego miesiąca na odpowiedź, co niemal zawsze kończy się skargą do UODO.
Niewłaściwe zabezpieczenia techniczne: Przechowywanie haseł do baz danych na kartkach przyklejonych do monitora, korzystanie z niezabezpieczonych sieci Wi-Fi podczas pracy zdalnej czy brak szyfrowania laptopów służbowych.
Brak umów powierzenia przetwarzania danych: Fundacje często korzystają z zewnętrznych biur rachunkowych, firm hostingowych czy systemów do wysyłki newsletterów. Przekazywanie im danych bez podpisania umowy powierzenia (art. 28 RODO) jest rażącym naruszeniem prawa.

Podsumowanie

Wdrożenie i przestrzeganie przepisów RODO w fundacji nie powinno być postrzegane wyłącznie jako uciążliwy obowiązek biurokratyczny. W dzisiejszych czasach dbałość o bezpieczeństwo danych osobowych to element budowania profesjonalnego wizerunku i wiarygodności organizacji. Darczyńcy chętniej wspierają podmioty, które gwarantują, że ich dane nie zostaną wykorzystane w sposób nieuprawniony, a podopieczni czują się bezpiecznie, powierzając fundacji często intymne szczegóły ze swojego życia. Kluczem do sukcesu jest zrozumienie, że prawa strony (osoby fizycznej) i uprawnienia administratora (fundacji) nie muszą się wykluczać – rzetelne procedury i jasna komunikacja pozwalają na harmonijne współistnienie obu tych sfer w codziennej działalności społecznej.