RODO dla fundacji: orzecznictwo i linia sądowa

Ochrona danych osobowych w sektorze organizacji pozarządowych (NGO) to temat, który przez wiele lat był traktowany po macoszemu. Wiele podmiotów wychodziło z założenia, że skoro ich celem nie jest wypracowywanie zysku, lecz realizacja celów społecznie użytecznych, to rygorystyczne przepisy prawa o ochronie danych osobowych ich nie dotyczą lub dotyczą w znacznie mniejszym stopniu. Rzeczywistość prawna, ukształtowana przez Ogólne Rozporządzenie o Ochronie Danych (RODO) oraz polską ustawę o ochronie danych osobowych, jest jednak zgoła odmienna. Analiza decyzji administracyjnych oraz wyroków sądów administracyjnych jednoznacznie wskazuje, że fundacje są traktowane przez organ nadzorczy na równi z profesjonalnymi podmiotami gospodarczymi.

Teza publikacji: Fundacja jako pełnoprawny administrator danych

Główną tezą płynącą z analizy orzecznictwa jest uznanie, że status prawny fundacji jako organizacji non-profit w żaden sposób nie łagodzi jej odpowiedzialności za naruszenie przepisów o ochronie danych osobowych. Każda fundacja, która decyduje o celach i sposobach przetwarzania danych (np. swoich podopiecznych, darczyńców, wolontariuszy czy pracowników), jest administratorem danych osobowych (ADO). Oznacza to, że ciąży na niej pełen zakres obowiązków wynikających z zasady rozliczalności. Sądy administracyjne konsekwentnie podkreślają, że brak celu zarobkowego nie zwalnia z obowiązku wdrożenia odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo przetwarzania.

Na czym polega problem z RODO w fundacjach?

Specyfika działalności fundacji generuje unikalne wyzwania w obszarze ochrony danych osobowych. Problemy te można podzielić na trzy główne kategorie:

Przetwarzanie danych szczególnej kategorii (wrażliwych): Fundacje często niosą pomoc osobom chorym, niepełnosprawnym, znajdującym się w trudnej sytuacji życiowej lub mniejszościom. Wiąże się to z przetwarzaniem danych o stanie zdrowia, pochodzeniu etnicznym czy przekonaniach światopoglądowych. Przetwarzanie takich danych wymaga spełnienia dodatkowych przesłanek z art. 9 RODO.
Rotacja personelu i udział wolontariuszy: W fundacjach dużą część zadań wykonują wolontariusze, praktykanci lub osoby współpracujące okazjonalnie. Brak stałego personelu utrudnia utrzymanie wysokiego poziomu świadomości z zakresu procedur bezpieczeństwa.
Ograniczone zasoby finansowe: W przeciwieństwie do dużych korporacji, fundacje rzadko mogą pozwolić sobie na zatrudnienie dedykowanego Inspektora Ochrony Danych (IOD) czy zakup drogich systemów zabezpieczeń IT, co zwiększa ryzyko incydentów.

Kogo dotyczy obowiązek ochrony danych w fundacji?

Obowiązki związane z RODO dotyczą każdego szczebla struktury organizacyjnej fundacji. Kluczową rolę odgrywa tutaj zarząd fundacji, który jako organ reprezentujący administratora ponosi bezpośrednią odpowiedzialność za zgodność działań z prawem. Obowiązek przestrzegania procedur dotyczy jednak również:

Członków rady fundacji (organu nadzorczego).
Pracowników zatrudnionych na umowę o pracę oraz współpracowników na umowach cywilnoprawnych.
Wolontariuszy, którzy muszą posiadać pisemne upoważnienia do przetwarzania danych osobowych.
Darczyńców, których dane są przetwarzane w celach księgowych oraz marketingowych (np. przy wysyłce podziękowań czy newsletterów).
Beneficjentów (podopiecznych) fundacji, których dane są niezbędne do realizacji celów statutowych.

Podstawa prawna i praktyczna linia orzecznicza

Podstawowym aktem prawnym regulującym tę materię jest Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO). W kontekście krajowym kluczowe znaczenie ma Ustawa o ochronie danych osobowych. Analizując linię orzeczniczą Wojewódzkich Sądów Administracyjnych (WSA) oraz Naczelnego Sądu Administracyjnego (NSA), można zauważyć kilka kluczowych trendów.

Obowiązek informacyjny (art. 13 i 14 RODO)

Sądy bardzo rygorystycznie podchodzą do realizacji obowiązku informacyjnego. Fundacja musi w sposób jasny, przejrzysty i łatwo dostępny poinformować osobę, której dane dotyczą, o tożsamości administratora, celach przetwarzania, odbiorcach danych oraz przysługujących jej prawach. Częstym błędem fundacji jest zakładanie, że darczyńca przekazujący darowiznę na konto automatycznie wie, jak jego dane będą przetwarzane, co w świetle wyroków sądowych jest niedopuszczalne.

Wniosek o realizację praw a ustawowy termin

Gdy do fundacji wpływa wniosek od osoby fizycznej (np. o usunięcie danych, ograniczenie przetwarzania lub dostęp do danych), administrator ma obowiązek udzielić odpowiedzi bez zbędnej zwłoki, a w każdym razie w terminie miesiąca od otrzymania żądania. Organ nadzorczy, jakim jest Prezes Urzędu Ochrony Danych Osobowych (PUODO), regularnie nakłada kary lub wydaje upomnienia dla organizacji, które ten termin przekroczyły lub zignorowały wniosek, tłumacząc się brakiem rąk do pracy czy urlopami personelu. Linia orzecznicza jasno wskazuje: problemy kadrowe administratora nie usprawiedliwiają niedotrzymania terminów ustawowych.

Procedura krok po kroku: Jak fundacja powinna wdrożyć RODO?

Aby zminimalizować ryzyko prawne i dostosować działalność do wymagań orzecznictwa, fundacja powinna wdrożyć następującą procedurę:

Krok 1: Inwentaryzacja zasobów danych. Należy ustalić, jakie dane, w jakich celach, na jakiej podstawie prawnej i przez kogo są przetwarzane w organizacji.

Krok 2: Opracowanie Rejestru Czynności Przetwarzania (RCP). Mimo że art. 30 ust. 5 RODO przewiduje pewne wyłączenia dla podmiotów zatrudniających poniżej 250 osób, w praktyce fundacje przetwarzające dane wrażliwe lub profilujące darczyńców mają bezwzględny obowiązek prowadzenia takiego rejestru.

Krok 3: Przygotowanie klauzul informacyjnych i zgód. Należy dostosować formularze na stronie internetowej, dokumenty rekrutacyjne dla wolontariuszy oraz umowy z podopiecznymi.

Krok 4: Zawarcie umów powierzenia przetwarzania danych (art. 28 RODO). Fundacja musi podpisać umowy z zewnętrznymi podmiotami, takimi jak biuro rachunkowe, dostawca hostingu, systemów mailingowych czy zewnętrzny doradca IT.

Krok 5: Szkolenia i upoważnienia. Każda osoba dopuszczona do danych (w tym wolontariusz) musi przejść szkolenie i podpisać imienne upoważnienie do przetwarzania danych oraz oświadczenie o zachowaniu poufności.

Najczęstsze błędy i ryzyka w świetle decyzji organu nadzorczego

Analiza decyzji Prezesa UODO pozwala na wskazanie najpowszechniejszych uchybień popełnianych przez fundacje:

Wysyłka masowa wiadomości e-mail (newsletterów, podziękowań) bez użycia opcji UDW (kopia ukryta). Ujawnienie adresów e-mail wielu darczyńców nawzajem stanowi rażące naruszenie poufności danych i jest częstą przyczyną skarg do organu nadzorczego.
Brak weryfikacji tożsamości osoby składającej wniosek. Fundacje, chcąc działać szybko, często udzielają informacji o danych osobowych telefonicznie lub mailowo bez uprzedniego upewnienia się, czy rozmawiają z uprawnioną osobą.
Przechowywanie dokumentacji medycznej podopiecznych bez odpowiednich zabezpieczeń fizycznych i cyfrowych. Dokumenty papierowe w niezamykanych szafach czy brak haseł do komputerów to bezpośrednia droga do wycieku danych.

Praktyczny przykład (Case Study)

Fundacja "Pomocna Dłoń" prowadzi zbiórki na leczenie dzieci. Wolontariusz fundacji, korzystając z prywatnego laptopa, przygotowywał opisy historii chorób podopiecznych. Laptop nie był zaszyfrowany, a dostęp do niego mieli również członkowie rodziny wolontariusza. Doszło do kradzieży sprzętu. Fundacja nie zgłosiła tego faktu do PUODO w wymaganym terminie 72 godzin, uznając, że sprawa dotyczy tylko wolontariusza. Po skardze jednego z rodziców, organ nadzorczy przeprowadził kontrolę. PUODO uznał fundację za administratora odpowiedzialnego za brak nadzoru nad procesem przetwarzania i nałożył karę administracyjną, podkreślając, że fundacja miała obowiązek wdrożyć procedury szyfrowania nośników oraz natychmiast zgłosić incydent.

Skutki prawne i finansowe dla fundacji

Naruszenie przepisów RODO może nieść za sobą katastrofalne skutki dla fundacji. Poza karami finansowymi nakładanymi przez organ nadzorczy (które mogą wynosić do kilkunastu tysięcy złotych w przypadku mniejszych organizacji, a w skrajnych przypadkach znacznie więcej), fundacja naraża się na utratę reputacji. Dla organizacji pozarządowej zaufanie społeczne jest najcenniejszym kapitałem. Wyciek danych wrażliwych podopiecznych lub danych finansowych darczyńców może doprowadzić do wstrzymania wpłat i zakończenia działalności fundacji. Dodatkowo, osoby poszkodowane mogą dochodzić odszkodowań na drodze cywilnej.

Podsumowanie i rekomendacje

Zapewnienie zgodności z RODO w fundacji nie musi być procesem paraliżującym jej bieżące działania. Wymaga jednak systematyczności i odejścia od przekonania, że sektor NGO podlega taryfie ulgowej. Kluczowe jest stworzenie kultury ochrony danych wewnątrz organizacji, regularne szkolenie wolontariuszy oraz precyzyjne reagowanie na każdy wniosek i incydent. Bezpieczeństwo danych osobowych powinno być traktowane jako element etycznej misji każdej fundacji.