RODO w ROD — obowiązki zarządu w praktyce

RODO obowiązuje od 2018 roku, ale w wielu ogrodach wciąż budzi niepokój — bo nie wiadomo, co konkretnie trzeba robić. Tymczasem zarząd ROD przetwarza dane osobowe działkowców na co dzień: imiona i nazwiska, adresy, numery telefonów, salda opłat, umowy dzierżawy. I to zarząd odpowiada za ich ochronę. Wyjaśniamy najważniejsze obowiązki prostymi słowami.

Kto jest administratorem danych w ROD

Administratorem danych działkowców jest stowarzyszenie ogrodowe prowadzące ROD — w praktyce działa za nie zarząd. To znaczy, że zarząd decyduje, jakie dane są zbierane i po co, oraz odpowiada za ich bezpieczeństwo. Nie da się tej odpowiedzialności „przenieść" na firmę informatyczną ani na biuro rachunkowe — im można dane jedynie powierzyć, o czym niżej.

Najważniejsze zasady w praktyce ogrodu

• Zbierajcie tylko to, co potrzebne. Do prowadzenia ogrodu wystarczą dane z umowy dzierżawy i dane kontaktowe. Nie ma powodu przechowywać np. numerów dowodów osobistych „na wszelki wypadek".
• Ograniczajcie dostęp. Każda rola powinna mieć dostęp wyłącznie do informacji potrzebnych w swojej pracy. Gospodarz nie musi znać sald działkowców, a księgowość — korespondencji zarządu. Lista wszystkich działkowców na prywatnym laptopie członka zarządu to prosta droga do kłopotów.
• Dbajcie o zgody i informowanie. Działkowiec powinien wiedzieć, kto i po co przetwarza jego dane. Na dodatkowe formy kontaktu — na przykład powiadomienia SMS — warto mieć odnotowaną zgodę z datą.
• Nie wywieszajcie danych na tablicy. Lista zaległości z nazwiskami w gablocie to naruszenie ochrony danych. Informacje o saldzie przekazujcie każdemu działkowcowi indywidualnie.

Prawa działkowców

Każdy działkowiec może zapytać, jakie dane ogród o nim przechowuje, zażądać ich poprawienia, a w pewnych sytuacjach usunięcia; może też otrzymać kopię swoich danych. Zarząd musi umieć na taki wniosek odpowiedzieć — najlepiej bez przekopywania segregatorów. Jeśli dane działkowca są w jednym miejscu, odpowiedź zajmuje kilka minut.

Umowa powierzenia danych

Gdy ogród korzysta z zewnętrznej firmy — biura rachunkowego czy programu do prowadzenia ROD — dane działkowców są jej „powierzane". RODO wymaga wtedy pisemnej umowy powierzenia (art. 28 RODO), w której firma zobowiązuje się chronić dane i przetwarzać je wyłącznie na polecenie ogrodu. Jeśli dostawca programu nie proponuje takiej umowy sam z siebie — to sygnał ostrzegawczy. W dzialkowiec.io umowa powierzenia jest podpisywana z każdym ROD na starcie wdrożenia.

Bezpieczeństwo techniczne — o co pytać dostawcę

• Gdzie są przechowywane dane? (powinny być na serwerach na terenie UE)
• Czy połączenie jest szyfrowane certyfikatem SSL?
• Czy kopie zapasowe robione są codziennie i czy da się z nich odtworzyć dane?
• Czy program zapisuje, kto i kiedy zmieniał dane (rejestr czynności)?

Ściąga dla zarządu — pięć pytań kontrolnych

1. Czy wiemy, gdzie fizycznie są wszystkie dane działkowców (komputery, teczki, skrzynki mailowe)?
2. Czy każda osoba w ogrodzie widzi tylko to, czego potrzebuje w swojej roli?
3. Czy mamy podpisane umowy powierzenia z każdą firmą, która przetwarza nasze dane?
4. Czy potrafimy w kilka minut odpowiedzieć działkowcowi, jakie dane o nim mamy?
5. Czy wiemy, co zrobić w ciągu 72 godzin od wykrycia naruszenia?

Jeśli na któreś pytanie odpowiedź brzmi „nie wiemy" — to dobry punkt startu do uporządkowania danych w ogrodzie.

Co zrobić, gdy dojdzie do wpadki

Zgubiony pendrive z listą działkowców, mail z danymi wysłany do niewłaściwej osoby, włamanie do biura zarządu — to są naruszenia ochrony danych. RODO wymaga, aby ocenić ryzyko dla osób, których dane wyciekły, a poważniejsze naruszenia zgłosić Prezesowi UODO w ciągu 72 godzin. Dlatego warto z góry ustalić prostą procedurę: kto w zarządzie przyjmuje zgłoszenie, kto ocenia sytuację i kto ewentualnie zawiadamia urząd oraz działkowców. Najlepszą ochroną jest jednak ograniczenie okazji do wpadki — dane w zabezpieczonym programie zamiast na pendrive\x27ach i prywatnych skrzynkach mailowych.

Podsumowanie

RODO w ROD to przede wszystkim porządek: wiadomo, jakie dane ogród ma, kto ma do nich dostęp i na jakiej podstawie. Dobry program robi większość tej pracy za zarząd — od rejestru zgód po ograniczenie dostępu według ról. Jeśli chcecie sprawdzić, jak to wygląda w praktyce, umówcie bezpłatną prezentację. A szczegóły ochrony danych w naszym programie znajdziecie na stronie Bezpieczeństwo i RODO.