RODO przy zbieraniu darowizn online — obowiązki fundacji w praktyce

Fundacja, która przyjmuje darowizny przez internet, zbiera dane osobowe. Imię i adres e-mail wystarczą, żeby pojawiły się obowiązki — a te bywają mylone nawet w rozwiązaniach sprzedawanych organizacjom.

Poniżej praktyczne rozróżnienia. To nie jest porada prawna: przepisy stosuje się do konkretnej sytuacji, a fundacja, stowarzyszenie i OPP mogą mieć różne uwarunkowania.

Kto jest administratorem danych darczyńcy

To pytanie rozstrzyga większość pozostałych.

Administrator to podmiot, który decyduje o celach i sposobach przetwarzania (art. 4 pkt 7 RODO). Gdy darczyńca wpłaca na Twoją zbiórkę, to Ty decydujesz, po co te dane zbierasz: żeby wysłać podziękowanie, wystawić potwierdzenie, rozliczyć darowiznę. Administratorem jest zatem Twoja organizacja.

Dostawca narzędzia do zbierania wpłat jest wtedy podmiotem przetwarzającym — przetwarza dane na Twoje polecenie i tylko w zakresie, który mu wskazałeś. Relację tę musi regulować umowa powierzenia przetwarzania danych osobowych (art. 28 RODO).

Praktyczne skutki:

• to Ty odpowiadasz za podstawę prawną przetwarzania,
• to Ty spełniasz obowiązek informacyjny wobec darczyńcy,
• to do Ciebie darczyńca kieruje żądania dostępu do danych czy ich usunięcia,
• dostawca ma obowiązek Cię w tym wspierać, ale nie robi tego za Ciebie.

Jeśli dostawca nie oferuje umowy powierzenia, to jest to sygnał ostrzegawczy. Bez niej przetwarzanie odbywa się bez wymaganej podstawy, a odpowiedzialność zostaje po Twojej stronie.

Obowiązek informacyjny to nie zgoda

To najczęstszy błąd w formularzach wpłat i warto go rozebrać dokładnie.

Obowiązek informacyjny (art. 13 RODO) polega na poinformowaniu osoby, gdy zbierasz jej dane. Musisz podać między innymi: kto jest administratorem, w jakim celu i na jakiej podstawie przetwarzasz dane, jak długo je przechowujesz, komu je przekazujesz i jakie prawa przysługują. Informacji się nie akceptuje — ją się przekazuje.

Zgoda (art. 6 ust. 1 lit. a RODO) to odrębna podstawa prawna. Musi być dobrowolna, konkretna, świadoma i jednoznaczna. Domyślnie zaznaczone pole nie jest zgodą. Zgoda wymuszona też nie.

Dlaczego to nie jest formalność

Przetwarzanie danych darczyńcy w celu obsługi jego darowizny opiera się zwykle na wykonaniu umowy (art. 6 ust. 1 lit. b RODO) albo na obowiązku prawnym — nie na zgodzie. Darczyńca nie może odmówić podania adresu e-mail i mimo to otrzymać potwierdzenia.

Jeśli więc postawisz przy klauzuli informacyjnej checkbox „akceptuję", sugerujesz coś nieprawdziwego: że darczyńca ma wybór, którego nie ma. Co gorsza, gdyby rzeczywiście oprzeć to przetwarzanie na zgodzie, darczyńca mógłby ją w każdej chwili wycofać — a Ty i tak musisz przechowywać dane rozliczeniowe przez lata ze względu na przepisy podatkowe.

Poprawnie: klauzula informacyjna jest widoczna przy formularzu, bez pola do zaznaczenia. Zgoda marketingowa — jeśli ją zbierasz — jest osobna, domyślnie niezaznaczona i nieobowiązkowa.

Co powinna zawierać klauzula informacyjna

Minimum, którego wymaga art. 13:

1. Kto jest administratorem — pełna nazwa organizacji i dane kontaktowe.
2. Inspektor ochrony danych, jeżeli został wyznaczony.
3. Cel i podstawa prawna — obsługa darowizny, wykonanie umowy.
4. Odbiorcy danych — operator płatności, dostawca narzędzia, biuro rachunkowe.
5. Okres przechowywania albo kryteria jego ustalenia.
6. Prawa — dostęp, sprostowanie, usunięcie, ograniczenie, sprzeciw, skarga do Prezesa UODO.
7. Informacja, czy podanie danych jest wymogiem i jakie są skutki ich niepodania.

Gotowy szablon jest punktem wyjścia, nie dokumentem końcowym. Okres przechowywania i informacja o inspektorze zależą od Twojej organizacji i nikt nie wypełni tego za Ciebie.

Rzeczy, o których łatwo zapomnieć

Wizerunek podopiecznych

Zdjęcie dziecka w opisie zbiórki to dane osobowe, a informacja o jego chorobie — dane szczególnej kategorii (art. 9 RODO), chronione surowiej. Potrzebna jest odrębna podstawa i zwykle zgoda opiekuna. To ryzyko znacznie poważniejsze niż brak klauzuli przy formularzu.

Publiczna lista darczyńców

Jeśli pokazujesz „ścianę darczyńców", potrzebujesz podstawy do publikacji imienia i kwoty. Rozwiązaniem jest wybór po stronie darczyńcy: pole „ukryj moje dane" albo publikacja wyłącznie po wyraźnym wskazaniu.

Metadane zdjęć

Zdjęcie zrobione telefonem niesie w metadanych EXIF datę i często współrzędne GPS. Wgrane wprost do opisu zbiórki publikuje lokalizację, o której nikt nie pomyślał — na przykład adres domowy podopiecznego. Warto sprawdzić, czy narzędzie usuwa te metadane przy wgrywaniu.

Kto trzyma dane po zakończeniu współpracy

Umowa powierzenia powinna określać, co dzieje się po rozwiązaniu umowy: zwrot danych, ich usunięcie i termin. Bez tego zostajesz z danymi w cudzym systemie i bez wpływu na to, co się z nimi stanie.

Rejestr czynności przetwarzania

Organizacje często zakładają, że ich to nie dotyczy. Zwolnienie z art. 30 ust. 5 RODO dla podmiotów poniżej 250 osób nie ma zastosowania, gdy przetwarzanie nie ma charakteru sporadycznego — a regularne zbieranie darowizn sporadyczne nie jest.

Rejestr nie musi być skomplikowany. Wystarczy tabela: jakie dane, w jakim celu, na jakiej podstawie, jak długo, komu przekazywane.

Krótka lista kontrolna

Zanim uruchomisz zbieranie wpłat:

• Mam podpisaną umowę powierzenia z dostawcą narzędzia.
• Klauzula informacyjna jest widoczna przy formularzu wpłaty.
• Klauzula nie ma pola „akceptuję" — informuje, nie pyta o zgodę.
• Zgoda marketingowa, jeśli ją zbieram, jest osobna i domyślnie niezaznaczona.
• Wiem, kto jest odbiorcą danych i mam to wypisane w klauzuli.
• Darczyńca może ukryć swoje dane na publicznej liście wpłat.
• Mam podstawę do publikacji wizerunku podopiecznych.
• Prowadzę rejestr czynności przetwarzania.
• Wiem, co stanie się z danymi po zakończeniu współpracy z dostawcą.

Większość tych punktów da się zamknąć w jedno popołudnie. Żaden z nich nie zamyka się sam.