Obveznosti NVO po novi Splošni uredbi o varstvu osebnih podatkov!

25.5.2018 stopi v veljavo nova uredba EU, ki določa nove obveznosti za vse organizacije, ki v okviru svojih dejavnosti obdelujejo osebne podatke posameznikov.

Osebni podatek je vsaka informacija, ki vodi do določenega ali določljivega posameznika.

Grobo poenostavljeno to pomeni, da vsaka informacija, ki lahko nekomu pove, kdo je konkretni posameznik, ki ga ta podatek opisuje ali identificira, predstavlja njegov osebni podatek. Primeri: osebno ime, elektronski naslov - email, fotografija, naslov prebivališča, EMŠO, davčna številka, registrska tablica, zdravstveni podatki, ekonomski podatki...

Osebni podatki (v nadaljevanju OP) posameznikov (z določenimi izjemami) so varovani po novi Uredbi; vsaka organizacija, ki pri svojem delu kakorkoli uporablja (oz. s pravnim jezikom obdeluje) OP različnih posameznikov, mora uskladiti svoje delovanje z novo zakonodajo EU.

Na tej točki predstavimo še t.i. posebne osebne podatke, za katere v določenih primerih velja posebni pravni režim, oz. strožja stopnja varovanja; to so vsi podatki, ki se nanašajo na:

rasno ali etnično poreklo,
politično mnenje ali prepričanje,
versko ali filozofsko prepričanje,
članstvo v sindikatu,
genetske podatke,
biometrične podatke,
zdravstvene podatke in
spolno življenje ali usmerjenost.

Kaj nova Uredba dejansko pomeni za vaše društvo, zavod, ustanovo?

Pozor, nova Uredba posega v marsikatero vašo dejavnost! Poskrbeti boste morali, da bodo vaši člani, prostovoljci, uporabniki vaših storitev ali drugi posamezniki, katerih osebne podatke zbirate, jasno poznali namene, zaradi katerih obdelujete njihove posebne podatke, vi pa boste morlai uporabo OP in vaše evidence OP posameznikov omejiti na absolutni minimum, torej le na tiste podatke, ki jih nujno rabite za dosego vašega upravičenega namena.

Ker je obrazložitev Uredbe in poglobljena obrazložitev vaših obveznosti preobširna tema za ta spletni prispevek, naštevamo nekaj glavnih in konkretnih obveznosti, ki jih boste morali izpolniti v vaši organizaciji (za vse ostale informacije smo na seveda na voljo!):

1. Od vseh prejemnikova vaših spletnih obvestil morate ponovno pridobiti soglasje, da želijo še naprej prejemati vaša obvestila (o dogodkih, o tržnih vsebinah, o drugih relevantnih obvestilih). Soglasje mora vsebovati najmanj jasen namen vaše obdelave njihovih osebnih podatkov. Primer:

''Preko elektronske pošte vas bomo obveščali o delovanju društva, o dogodkih, ki jih društvo organizira ter o morebitnih tržnih vsebinah, ki jih nudi društvo.''

Soglasje mora biti prostovoljno in izrecno; vsebovati mora tudi obrazložitev, kako se lahko posameznik odjavi od novic, ta postopek pa mora biti za uporabnika preprost. Soglasje mora vsebovati tudi kontaktno osebo za primere vprašanj glede njegovih OP, ki jih NVO obdeluje.

2. Pripraviti morate novo pristopno izjavo za vključitev v društvo, v kateri je jasno zapisan namen ali več namenov obdelave OP vaših članov, podobno kot v prejšnji točki.

3. Za vse primere objavljanja fotografij na spletnih straneh vaše organizacije, v medijih, na Facebooku in v drugih socialnih omrežjih, morate pridobiti soglasje oseb, ki so na fotografiji; to velja vselej, kadar so osebe na sliki osrednji motiv fotografije, so prepoznavne, ali slikane izključno z namenom, da so njihove slike objavljene. Tako soglasje mora biti podano posebej, ali v pristopni izjavi za vključitev v organizacijo; v obeh primerih mora imeti posameznik možnost, da se prostovoljno odloči, ali dovoljuje objavo svojih fotografij.

Tako soglasnje ne sme biti vnaprej označeno, ne sme biti avtomatsko vključeno v pristopno izjavo in posameznik v tako soglasje ne sme biti na kakršenkoli način prisiljen (npr. pogojevanje za vstop v društvo).

4. Z vsemi podizvajalci, s katerimi imate sklenjene pogodbe in obdelujejo OP vaših članov ali drugih posameznikov, vključenih v vaše društvo (računovodski servis, izvajalec IT storitev, izdelovalec članskih izkazni itd.), boste morali skleniti novo pogodbo, ki bo jasno določila namen obdelave in omejila obdelavo OP pri podizvajalcu, določila katere OP se obdeluje, koliko časa se bodo obdelovali, ter določala obveznost obdelovalca, da zagotovi ustrezne tehnične in organizacijske ukrepe za varstvo OP.

5. V skladu z vašimi nameni obdelave OP boste morali iz svojih evidenc izbrisati vse OP, za katere niste pridobili posebne privolitve posameznikov za obdelavo.

DA, to pomeni, da bodo vsi maili, telefonske številke, imena in drugi kontaktni podatki, morali biti IZBRISANI iz vaših evidenc, če jih ne boste obdelovali na ustrezni pravni podlagi (soglasje, pogodba, pristopna izjava...).

6. V skladu z novo Uredbo boste morali preveriti, ali ste dolžni:

opraviti oceno učinka obdelave OP v vaši organizaciji,
imenovati odgovorno osebo za varstvo OP,
pripraviti nov pravilnik, ki bo določal ukrepe za varstvo OP v vaši organizaciji.

Tu je pogosto odločujoč faktor ali obdelujete posebne osebne podatke ali ne.

Vse to in še več

Ker je informacij še veliko, vprašanj pa še več, vam tu prilagamo povezavo do besedila Uredbe in do spletne strani Informacijskega pooblaščenca, kjer si lahko preberete več in si že sami odgovorite na nekatera najpogosteje zastavljena vprašanja.

Opozarjamo, da prične nova Uredba veljati 25.5.2018, novi Zakon o varstvu osebnih podatkov (ZVOP-2), ki še ni bil sprejet zaradi padca vlade, pa bo najverjetneje sprejet v novem mandatu in bo prinašal konkretizirano vsebino Uredbe in morebiti tudi dodatne obveznosti za vaše organizacije.

Uskladitev vašega delovanja z novo Uredbo pa je v tem trenutku bistvenega pomena, saj novi Zakon ni bil sprejet in Uredba velja neposredno. Zaradi splošne zmede in nejasnosti smo vam za pomoč in za vprašanja na voljo na elektronskem naslovu info@consulta.si.