🎯Koszmary NGO #36: Ochrona danych osobowych NGO

To kolejny, obok przepisów
o AML, duży i ważny temat, ale równie często zaniedbywany. Aktualnie obowiązujące przepisy o ochronie danych osobowych nakładają różne obowiązki, jednak nie zawsze precyzują, jak dokładnie należy się z nich wywiązać. Żeby zrobić to prawidłowo, należy przyjąć w organizacji wewnętrzne przepisy o ochronie danych osobowych i odpowiednio je stosować.

Im mniej danych zbiera organizacja i im mniej je przetwarza, tym łatwiej będzie temat opanować. Trudniej, jeśli organizacja posiada dane osobowe wrażliwe np. wyznanie wiary, dane medyczne, dane biometryczne. Takie dane trzeba szczególnie chronić. 

Punktem startowym do opanowania tematu danych jest zidentyfikowanie, jakie dane posiada organizacja,
jak je przetwarza i jak przechowuje.

Dane osobowe pojawiają się już przy otrzymaniu pierwszej darowizny od osoby fizycznej. Najczęściej na wyciągu bankowym widoczne jest nie tylko imię i nazwisko (czasem dwa imiona lub dane dwóch osób, współwłaścicieli rachunku),
ale też adres. Wiele organizacji dane pozyskane w ten sposób przetwarza dalej np. wysyłając korespondencję listowną na te adresy z podziękowaniem dla darczyńcy. W przypadku rozpoczęcia działalności gospodarczej lub odpłatnej pozyskujemy dane klientów i przetwarzamy je np. w sklepie internetowym. Pojawiają się też one przy powoływaniu członków organów organizacji (imię i nazwisko, pesel, adres) oraz są dalej przekazywane np. do KRS.

Pozyskiwane, przetwarzane i przechowywane są również dane pracowników i wolontariuszy.
W przypadku pracowników może też zdarzyć się sytuacja, kiedy ich dane powierzamy innemu podmiotowi
np. przekazujemy je do biura rachunkowego celem prowadzenia odpowiedniej dokumentacji kadrowo-płacowej.
Takie powierzenie powinno być dokonane na podstawie odpowiedniej umowy z biurem. 

Wspomniałam też o przechowywaniu danych. To jedna z kluczowych spraw, bo mamy je nie tylko w papierowych dokumentach, ale też na cyfrowych nośnikach (platformach internetowych, dyskach itd.). Stosowanie zabezpieczeń przed kradzieżą danych, zaszyfrowaniem ich lub utratą – to absolutna podstawa. Ważne też, aby do danych nie miały dostępu postronne osoby, bo często do przetwarzania czy przechowywania tych danych bywa wykorzystywany prywatny sprzęt komputerowy.