Sponsoring a RODO: jak legalnie przekazywać dane partnerom i wolontariuszom

Dlaczego RODO nie musi zabijać sponsoringu i partnerstw

Celem wielu fundacji, stowarzyszeń i inicjatyw społecznych jest pozyskiwanie sponsorów oraz budowanie stabilnych partnerstw z biznesem. RODO bywa odbierane jako hamulec: „Nie przekażemy listy uczestników, bo RODO”, „Nie możemy pokazać wolontariuszy sponsorowi, bo RODO”. W efekcie relacje z firmami się komplikują, a organizacja traci realne szanse na fundusze i promocję.

RODO rzeczywiście stawia wysoką poprzeczkę, ale nie zakazuje współpracy sponsorskiej ani przekazywania danych. Wymusza jedynie, żeby odbywało się to w sposób przemyślany, udokumentowany i transparentny wobec osób, których dane dotyczą. Gdy ten obszar jest uporządkowany, rozmowy z partnerami stają się prostsze, a organizacja zyskuje wizerunek profesjonalnego, godnego zaufania podmiotu.

Główne lęki przed RODO w rozmowach z firmami

Najczęstsze obawy pojawiają się już przy pierwszych ustaleniach ze sponsorem. Po stronie NGO padają zdania: „Nasz inspektor RODO na to nie pozwoli”, „Nie możemy przekazywać żadnych danych”, „Proszę nam zaufać, ale listy uczestników nie pokażemy”. Po stronie sponsora: „Bez danych kontaktowych nie widzimy sensu współpracy”, „Potrzebujemy imion, nazwisk i maili, inaczej dział marketingu się nie zgodzi”.

Za większością tych lęków stoją trzy problemy:

• brak rozróżnienia między udostępnieniem danych, powierzeniem przetwarzania a współadministrowaniem,
• brak jasnego uzasadnienia celu przekazania danych – po co sponsorowi konkretnie te informacje,
• brak przemyślanych klauzul informacyjnych i zgód, które uwzględniają udział partnerów.

Gdy te kwestie są nazwane i opisane w dokumentach, wiele „nie da się, bo RODO” znika samo.

Ryzyka przy przekazywaniu danych partnerom i wolontariuszom

Realne ryzyka istnieją, szczególnie gdy dane krążą „na oko” i „na zaufanie”. Do najczęstszych należą:

• przekazywanie zbyt szerokiego zakresu danych – np. pełne listy uczestników z numerami telefonów i dodatkowymi informacjami, podczas gdy sponsor potrzebuje jedynie imion do podziękowań,
• brak jasnej podstawy prawnej – dane trafiają do sponsora, ale ani w klauzuli, ani w regulaminie nie ma o tym słowa,
• nieuprawnione cele po stronie sponsora – np. wykorzystanie danych do agresywnego mailingu marketingowego, mimo że uczestnik nie wyraził na to zgody,
• niezabezpieczony transfer – wysyłanie plików z danymi mailem bez szyfrowania, udostępnianie dokumentów w otwartych chmurach, brak kontroli dostępu,
• niejasny podział ról – każdy zakłada co innego: NGO myśli, że sponsor jest procesorem, sponsor uważa się za odrębnego administratora, dokumentów brak.

Do tego dochodzi niebezpieczna praktyka „nadmiarowego kopiowania” – te same dane lądują na komputerach kilku pracowników sponsora, w różnych systemach mailingowych, w drukowanych listach na biurkach. Jedno naruszenie bezpieczeństwa u partnera może odbić się wizerunkowo i prawnie również na organizacji.

Dlaczego uporządkowane RODO pomaga w relacjach z biznesem

Uporządkowane procedury RODO przynoszą organizacji wymierne korzyści:

• krótsze negocjacje – zamiast gorączkowego wymyślania zapisów „na już”, organizacja pokazuje partnerowi gotowe wzory klauzul, umów powierzenia czy modeli współadministrowania,
• większe zaufanie sponsora – firma widzi, że NGO nie działa „na czuja”, lecz świadomie zarządza danymi i ryzykiem,
• mniej konfliktów z działem prawnym sponsora – gotowe, przemyślane rozwiązania ułatwiają porozumienie między prawnikami i fundraiserami po obu stronach,
• łatwiejsze skalowanie współpracy – raz opracowany model przekazywania danych można stosować w kolejnych projektach.

W praktyce „ogarnięte RODO” staje się argumentem sprzedażowym. Sponsorzy, szczególnie więksi, wolą współpracować z organizacjami, które rozumieją ich obowiązki compliance. Zamiast „Nie możemy, bo RODO”, dużo lepiej działa komunikat: „Możemy, ale w takim bezpiecznym modelu”.

Między rozsądną ostrożnością a paraliżem

Zdarza się też odwrotna skrajność – każdy ruch z danymi jest zabroniony, nawet jeśli przepisy na to pozwalają. To prowadzi do paraliżu decyzyjnego: brak list uczestników dla sponsora, brak możliwości wysłania podziękowań, brak realnego raportowania efektów.

Racjonalne podejście zakłada kilka zasad:

• minimalizacja danych – przekazujemy tylko to, co potrzebne do określonego celu, nic więcej,
• transparentność wobec osób – uczestnik, wolontariusz czy darczyńca wie, że jego dane mogą trafić do partnera i w jakim celu,
• konkretne modele współpracy – z góry wiadomo, czy partner jest procesorem, współadministrem czy odrębnym administratorem,
• udokumentowanie ustaleń – umowy, aneksy, regulaminy, procedury.

RODO nie oczekuje perfekcji, lecz rozsądnej staranności. Lepsza jasna, spójna procedura z drobnymi niedoskonałościami niż chaos przetykany panicznym „nie, bo RODO”.

Jakie dane tak naprawdę krążą między organizacją, partnerami i wolontariuszami

Zanim pojawią się umowy i klauzule, trzeba wiedzieć, o jakich danych w ogóle mowa. Bez tego trudno dobrać podstawę prawną, model współpracy i środki bezpieczeństwa.

Typowe kategorie danych w projektach sponsorskich

Najczęściej spotykane kategorie danych przy sponsoringu i partnerstwach to:

• dane uczestników wydarzeń i akcji – imię, nazwisko, adres e-mail, numer telefonu, czasem data urodzenia, miejsce zamieszkania, szkoła / uczelnia,
• dane darczyńców – imię, nazwisko lub nazwa firmy, dane kontaktowe, wysokość wpłat, forma płatności, deklaracje dot. komunikacji marketingowej,
• dane wolontariuszy – dane identyfikacyjne, kontaktowe, informacje o dostępności, umiejętnościach, czasem wrażliwe dane np. o stanie zdrowia (jeśli są potrzebne przy specyficznych działaniach),
• dane pracowników partnera – osoby kontaktowe, koordynatorzy, ambasadorzy akcji, uczestnicy wolontariatu pracowniczego,
• dane osób nagrodzonych w konkursach – dane do wysyłki nagród, podatkowe (np. NIP, PESEL przy rozliczeniach nagród pieniężnych).

Do tego dochodzą dane powstające „po drodze”: listy obecności, dokumentacja foto-wideo, zgłoszenia online, raporty końcowe dla sponsora. Każdy z tych zbiorów ma inny cel, okres przechowywania i potencjalnych odbiorców.

Dane zwykłe a szczególne kategorie danych

RODO wyróżnia tzw. szczególne kategorie danych, potocznie zwane „wrażliwymi”. Chodzi m.in. o:

• dane dotyczące zdrowia,
• pochodzenie rasowe lub etniczne,
• przekonania religijne, światopoglądowe,
• przynależność do związków zawodowych,
• dane genetyczne, biometryczne,
• dane dotyczące życia seksualnego lub orientacji seksualnej.

W wielu projektach społecznych takie dane pojawiają się bardzo szybko, np.:

• programy zdrowotne (uczestnicy z konkretnymi chorobami),
• projekty dla osób z niepełnosprawnościami,
• akcje pomocowe dla migrantów lub konkretnych grup mniejszościowych.

Przy szczególnych kategoriach danych próg ostrożności rośnie. Przekazywanie ich sponsorowi do własnych celów marketingowych jest zazwyczaj niedopuszczalne. Możliwe jest natomiast raportowanie w formie zagregowanej (np. statystyki, procenty, liczby), bez identyfikacji konkretnych osób.

Przepływy danych w praktyce – od formularza do raportu

Przykładowy przepływ danych w projekcie sponsorskim może wyglądać tak:

1. Uczestnik zapisuje się na wydarzenie przez formularz online (strona NGO lub partnera technologicznego).
2. Dane trafiają do systemu CRM lub arkusza organizacji.
3. Organizacja:
   • wysyła maile potwierdzające udział,
   • przygotowuje listy obecności,
   • tworzy identyfikatory, certyfikaty, listy nagrodzonych.
4. Po wydarzeniu dane wykorzystywane są do:
   • wygenerowania raportu dla sponsora (liczba uczestników, profil, zaangażowanie),
   • wysłania podziękowań lub follow-upu,
   • ewentualnej komunikacji marketingowej – jeśli istnieją odpowiednie zgody.
5. Część danych może zostać przekazana sponsorowi:
   • w formie zbiorczej (statystyki, podsumowania),
   • w formie imiennej – gdy sponsor np. wysyła nagrody lub organizuje działania wobec konkretnych uczestników.

Analizując taki schemat, łatwiej ustalić, na jakim etapie kto jest administratorem, kto procesorem i jakie dokładnie dane trafiają do sponsora. To z kolei pomaga dobrać adekwatne podstawy prawne i zapisy w dokumentach.

Prosty „maping danych” pod sponsoring

Przydatne narzędzie to krótka mapa przepływu danych. Można ją zrobić w formie tabeli:

Nawet tak prosty schemat pozwala uniknąć klasycznego chaosu: „Wyślijmy sponsorowi całą bazę, niech sobie wybierze, co mu potrzebne”. Zamiast tego jasno określasz: co, komu, w jakim celu i na jakiej podstawie prawnej.

Podstawy prawne przekazywania danych partnerom – jak nie wymuszać zgody na wszystko

RODO nie wymaga zgody na każde przetwarzanie danych. Mało tego – nadużywanie zgód bywa błędem. Przy sponsoringu kluczowe jest poprawne dobranie i opisanie podstaw prawnych: czy dane trafiają do sponsora z tytułu umowy, uzasadnionego interesu, czy faktycznie potrzebna jest zgoda uczestnika.

Udostępnienie, powierzenie, współadministrowanie – trzy różne sytuacje

Na początek trzeba odróżnić trzy modele współpracy z danymi:

• Powierzenie przetwarzania danych – sponsor lub inny partner przetwarza dane wyłącznie w imieniu i na rzecz NGO, zgodnie z jej instrukcjami (np. firma drukująca certyfikaty na podstawie listy uczestników). Organizacja pozostaje administratorem, partner jest procesorem; zawiera się umowę powierzenia.
• Udostępnienie danych odrębnemu administratorowi – NGO przekazuje dane sponsorowi, który staje się ich własnym administratorem i samodzielnie decyduje o celach i sposobach przetwarzania (np. wykorzystuje dane uczestników do swojego newslettera – przy odpowiedniej podstawie prawnej). Tu nie ma powierzenia, są osobne cele i obowiązki informacyjne.
• Współadministrowanie – NGO i sponsor wspólnie decydują o celach i sposobach przetwarzania danych (np. wspólnie organizują akcję, mają jeden formularz zgłoszeniowy, razem ustalają zasady rekrutacji i komunikacji). Wymaga to umowy współadministrowania oraz jasnego poinformowania osób, kto za co odpowiada.

Pomylenie tych modeli prowadzi do kaskady błędów: sponsor dostaje dane z myślą, że jest procesorem, a korzysta z nich jak administrator; albo odwrotnie – zawierana jest umowa powierzenia, gdy w rzeczywistości mamy dwóch niezależnych administratorów.

Dobór podstawy prawnej – nie zawsze zgoda

RODO dopuszcza kilka podstaw prawnych przetwarzania danych. W kontekście sponsoringu i partnerstw najważniejsze są:

• Umowa lub działania zmierzające do zawarcia umowy – gdy przetwarzanie jest niezbędne do realizacji umowy z osobą, której dane dotyczą (np. uczestnictwo w wydarzeniu na podstawie regulaminu).
• Obowiązek prawny – np. obowiązki podatkowe związane z wydawaniem nagród, prowadzenie księgowości.

Uzasadniony interes – kiedy możesz „oszczędzić” na zgodzie

Przy wielu działaniach sponsorsko-wolontariackich podstawą prawną bywa tzw. uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO). To pojęcie brzmi dość miękko, dlatego kusi, by wrzucić pod nie wszystko. Niestety – tak to nie działa.

Żeby oprzeć przetwarzanie na uzasadnionym interesie, trzeba przejść prosty, ale konkretny test trójkowy:

1. Cel – czy jest realny, zgodny z prawem i rozsądny? (np. rozliczenie projektu przed sponsorem, zapewnienie bezpieczeństwa wydarzenia).
2. Niezbędność – czy da się ten cel osiągnąć w inny, mniej „inwazyjny” wobec prywatności sposób?
3. Równowaga interesów – czy interes NGO/sponsora nie narusza nadmiernie praw i wolności osób, których dane dotyczą?

Typowe sytuacje, gdzie uzasadniony interes dobrze „siada”:

• przekazanie sponsorowi zagregowanych statystyk o uczestnikach (bez identyfikacji konkretnych osób),
• przechowywanie imiennych list obecności przez rozsądny czas na potrzeby rozliczeń i kontroli grantodawcy,
• udostępnienie imiennej listy uczestników ochronie lub zarządcy obiektu, gdy wynika to z zasad bezpieczeństwa.

Gdy w grę wchodzi marketing sponsora, uzasadniony interes jest dużo bardziej ryzykowny. Wysyłka newslettera sponsora do osób, które zapisały się na wydarzenie NGO, bez ich odrębnej zgody, to proszenie się o kłopoty. Tu w praktyce dominuje zgoda jako czysta i przejrzysta podstawa.

Zgoda – kiedy jest potrzebna i jak jej nie „spalić”

Jeżeli sponsor ma korzystać z danych do własnych celów marketingowych (np. newsletter, program lojalnościowy, zaproszenia na eventy sponsora), najbezpieczniej oprzeć to na zgodzie osoby, której dane dotyczą.

Dobra zgoda w kontekście sponsoringu powinna być:

• konkretna – wskazuje, kto i w jakim celu będzie kontaktować się z uczestnikiem (np. „XYZ Sp. z o.o. – newsletter o akcjach społecznych i produktach”);
• odrębna – zaznaczana osobno, nie jako domyślny checkbox przy akceptacji regulaminu;
• dobrowolna – udział w projekcie nie może być uzależniony od zgody na marketing sponsora (tzn. brak zgody nie oznacza „brak udziału”);
• udokumentowana – da się wykazać, kiedy, w jakiej treści i dla kogo została wyrażona.

Źle skonstruowane są np. takie komunikaty:

• „Akceptując regulamin, wyrażasz zgodę na przekazanie danych sponsorowi w celach marketingowych” – tu zgoda jest warunkiem udziału i dodatkowo ukryta w regulaminie.
• „Wyrażam zgodę na przekazywanie moich danych partnerom projektu” – kompletnie nie wiadomo, komu, w jakim celu i na jak długo.

Lepszy, czytelny wariant:

Opcjonalnie: Wyrażam zgodę na przekazanie mojego imienia i adresu e-mail spółce XYZ Sp. z o.o. (sponsor wydarzenia), która będzie wykorzystywać dane do przesyłania newslettera o swoich produktach i działaniach społecznych. Zgodę możesz w każdej chwili wycofać.

Dobrą praktyką jest też oddzielenie zgód: osobno na newsletter NGO, osobno na newsletter sponsora. Przy ewentualnej kontroli to robi różnicę, a uczestnicy nie mają poczucia, że „nie wiadomo, kto będzie do mnie pisał”.

Gdy zgoda nie wchodzi w grę – minimalizacja zakresu danych

Zdarza się, że sponsor bardzo chciałby mieć dokładne profile uczestników, ale zgód nie zbierano lub są zbyt ogólne. Wizja wysłania „surowej” bazy danych powinna wtedy zapalić w głowie czerwone światło.

Rozsądnym kompromisem jest podejście w trzech krokach:

1. Anonimizacja – usunięcie wszelkich danych pozwalających zidentyfikować osoby (imię, e-mail, telefon, identyfikatory). Zostają czyste statystyki.
2. Pseudonimizacja – jeśli sponsor koniecznie musi rozróżniać pojedyncze rekordy (np. przy analizie danych), ale nie potrzebuje wiedzieć „kto jest kim”, można zastosować identyfikatory techniczne (ID), których klucz zostaje wyłącznie w NGO.
3. Redukcja pól – przed przekazaniem danych odciąć wszystko, co nie jest ściśle potrzebne do celu sponsora. Potrzebuje miasta i wieku? Imię i nazwisko zostają u NGO.

W wielu projektach takie „odchudzenie” danych sprawia, że da się legalnie i spokojnie rozliczyć sponsora bez wchodzenia w strefę wysokiego ryzyka „marketingu na cudzej bazie”. Sponsor dostaje informacje biznesowo użyteczne („kto do nas przychodzi?”), a uczestnicy nie lądują nagle w pięciu nowych newsletterach.

Przekazywanie danych wolontariuszom – instrukcje, a nie „róbta co chceta”

Wolontariusze w praktyce często pełnią rolę „przedłużenia rąk” organizacji. Zbierają zgłoszenia, obsługują listy obecności, kontaktują się z uczestnikami. Formalnie działają „w imieniu” NGO, więc z perspektywy RODO są osobami upoważnionymi do przetwarzania danych u administratora, a nie odrębnymi administratorami.

Upoważnienia i poufność – minimum formalne

Jeżeli wolontariusze mają dostęp do imiennych danych (uczestnicy, darczyńcy, osoby w potrzebie), organizacja powinna zapewnić im co najmniej:

• pisemne upoważnienie do przetwarzania danych,
• zobowiązanie do zachowania poufności,
• krótkie, praktyczne instrukcje „co wolno, czego nie”.

Upoważnienie nie musi być sztywnym, biurokratycznym elaboratem na pięć stron. Często wystarczy jedna kartka, która:

• wskazuje zakres danych, z jakimi wolontariusz będzie pracował (np. lista uczestników wydarzenia X),
• opisuje cel – organizacja i obsługa wydarzenia, komunikacja z uczestnikami,
• przypomina o zakazie wykorzystywania danych „po swojemu” (np. do własnych działań, biznesu, prywatnych mailingów).

Krótka rozmowa przy podpisywaniu dokumentu potrafi zdziałać więcej niż najbardziej rozbudowana polityka bezpieczeństwa. Wolontariusz, który rozumie, dlaczego coś jest ważne, rzadziej wyśle bazę na swój prywatny Gmail „na wszelki wypadek”.

Jakich danych wolontariusze naprawdę potrzebują

Kluczem jest zasada minimalizacji – każdy wolontariusz dostaje tylko te dane, które są niezbędne do jego zadania. Przykłady z życia:

• Osoba obsługująca rejestrację na miejscu potrzebuje listy z imieniem, nazwiskiem i może numerem rezerwacji. Nie potrzebuje historii chorób uczestnika ani jego NIP-u.
• Wolontariusz odpowiedzialny za kontakt mailowy powinien mieć dostęp do imienia i e-maila; numer telefonu może pozostać zablokowany, jeśli nie jest wykorzystywany.
• Koordynator transportu dla osób z niepełnosprawnościami może potrzebować informacji o rodzaju wsparcia logistycznego, ale już nie pełnej dokumentacji medycznej.

Organizacja nie musi tworzyć osobnego systemu dla każdego wolontariusza, ale może ustawić różne poziomy dostępu – choćby przez proste podzielenie plików, folderów czy dostępów w systemie CRM.

Wolontariusze a przekazywanie danych partnerom

Częsta sytuacja: wolontariusze przygotowują listy osób do wysyłki nagród lub dyplomów, a potem „podrzucają” je sponsorowi. Tu łatwo o niekontrolowane wycieki.

Bezpieczniejszy model to:

1. Wolontariusze kompletują dane w standardowym narzędziu organizacji (formularze, CRM, arkusze na współdzielonym dysku z kontrolą dostępu).
2. Koordynator NGO weryfikuje zestaw danych (zakres, poprawność, podstawa prawna przekazania sponsorowi).
3. Dopiero po akceptacji dane są przekazywane partnerowi – przez zabezpieczony kanał (szyfrowany plik, bezpośredni dostęp do systemu jako procesora itd.).

Wolontariusz nie powinien być „kurierem” bazy danych do sponsora. Ostatnie słowo zawsze należy do administratora danych, czyli NGO.

Jak dogadać się ze sponsorem „na papierze” – kluczowe zapisy w umowach

Umowy sponsorskie rzadko zaczynają się od RODO. Najpierw są kwoty, logotypy, powierzchnie, świadczenia. Dopiero na końcu ktoś dodaje magiczne zdanie: „Strony zobowiązują się przestrzegać RODO” – i ma być po sprawie. Niestety, to trochę mało.

Kiedy potrzebna jest umowa powierzenia

Jeśli sponsor przetwarza dane wyłącznie w imieniu i na rzecz NGO, zgodnie z jej instrukcjami, mamy klasyczne powierzenie przetwarzania. Typowe przypadki:

• sponsor finansuje i obsługuje platformę rejestracji, ale uczestnicy zapisują się na wydarzenie NGO,
• firma partnerska drukuje i wysyła certyfikaty uczestnictwa na podstawie list dostarczonych przez organizację,
• partner technologiczny obsługuje system mailingowy, z którego NGO wysyła wiadomości.

W takiej sytuacji umowa powierzenia powinna określać m.in.:

• jakiego zakresu danych dotyczy powierzenie,
• w jakim celu są przetwarzane (np. obsługa rejestracji na wydarzenia),
• jakie środki bezpieczeństwa stosuje procesor,
• czy może korzystać z podwykonawców i na jakich zasadach,
• jak postępuje z danymi po zakończeniu współpracy – usuwa, zwraca, anonimizuje.

Bez takiej umowy NGO traci realną kontrolę nad tym, co dzieje się z danymi, a przy incydencie bezpieczeństwa obie strony mogą się długo przekonywać, kto „trzymał piłkę”.

Gdy sponsor jest odrębnym administratorem – co ustalić

Jeśli dane uczestników trafiają do sponsora, który samodzielnie decyduje, co z nimi zrobi (w granicach uzgodnionego celu i podstawy prawnej), mówimy o udostępnieniu danych odrębnemu administratorowi. W umowie sponsorskiej warto wtedy doprecyzować kilka elementów:

• Zakres danych – dokładne pola, które mogą być przekazywane (np. imię, e-mail, brak numeru telefonu).
• Cele przetwarzania – np. jednorazowa wysyłka nagród, jednorazowy mailing z podziękowaniem, regularny newsletter sponsora.
• Podstawa prawna – czy jest to zgoda, uzasadniony interes czy inna podstawa (i kto gromadzi zgody, jeżeli są potrzebne).
• Czas przetwarzania – czy sponsor ma prawo przetwarzać dane przez określony okres (np. okres trwania kampanii + 1 rok), czy do cofnięcia zgody.
• Obowiązki informacyjne – kto informuje osoby o tym, że ich dane trafią do sponsora, i w jakiej treści.

Przykładowy, uproszczony zapis (do „przełożenia” na język prawniczy przez prawnika):

„NGO udostępni Sponsorowi dane w zakresie: imię, nazwisko, adres e-mail, dotyczące uczestników Projektu, którzy wyrazili odrębną zgodę na otrzymywanie informacji marketingowych od Sponsora. Sponsora obciąża obowiązek informacyjny wobec tych osób, w szczególności poinformowanie ich o statusie Administratora danych, celach oraz podstawach przetwarzania danych osobowych.”

Współadministrowanie – gdy wszystko robicie „po równo”

Czasem NGO i sponsor są tak ściśle spleceni w projekcie, że trudno wskazać jednego „szefa” danych. Wspólny formularz zgłoszeniowy, wspólna rekrutacja, wspólne decyzje o komunikacji. To klasyczny grunt pod współadministrowanie.

W takiej konfiguracji konieczne jest porozumienie (umowa współadministrowania), w którym strony jasno się umawiają, kto co robi, np.:

• NGO odpowiada za obsługę zgłoszeń i bieżącą komunikację z uczestnikami,
• spółka-sponsor odpowiada za obsługę praw uczestników (sprzeciw, dostęp do danych) w zakresie swojej części przetwarzania,
• obie strony dzielą się odpowiedzialnością za bezpieczeństwo danych w systemach, z których korzystają.

Osoby, których dane dotyczą, powinny otrzymać przejrzystą informację, kto jest współadministratorem, jak się z nimi skontaktować, jak w praktyce realizuje się ich prawa. Jeśli w klauzuli informacyjnej jest jedynie „Administratorem danych jest Organizator”, a w tle sponsor ma pełen dostęp do bazy i samodzielnie ją używa, to RODO patrzy na to dość sceptycznie.

Bezpieczne narzędzia i kanały przekazywania danych – technika zamiast zaklęć

Wybór narzędzi – „darmowe” rozwiązania mogą sporo kosztować

Wiele NGO żyje na Google Sheets, prywatnych Dropboxach i Messengerze. Da się, ale przy przekazywaniu danych sponsorom i wolontariuszom to proszenie się o kłopoty. Zanim dane wyjdą poza organizację, dobrze ustalić katalog narzędzi „dozwolonych” i „zakazanych”.

Przy wyborze narzędzi do współdzielenia danych z partnerami i wolontariuszami zwróć uwagę na kilka prostych kryteriów:

• Miejsce przetwarzania danych – czy usługa jasno wskazuje, gdzie są serwery (UE/EOG czy poza)?
• Umowa powierzenia danych – czy dostawca oferuje Data Processing Agreement (DPA) i standardowe klauzule umowne, jeśli dane „wyjeżdżają” poza EOG?
• Możliwość kontroli dostępu – czy da się nadać różne role (tylko odczyt, edycja, eksport), ograniczyć pobieranie plików, logować akcje?
• Oddzielenie kont służbowych od prywatnych – czy wolontariusze logują się kontem organizacji, a nie swoim „kotek1994@…”?
• Bezpieczne udostępnianie – czy są linki jednorazowe, termin ważności dostępu, hasła do plików?

Jeśli sponsor proponuje „wyślijcie to na mojego prywatnego Gmaila, będzie szybciej”, to dobry moment, by uprzejmie, ale stanowczo zaproponować narzędzie organizacji. Szybciej nie zawsze znaczy bezpieczniej.

Bezpieczne pliki – szyfrowanie w praktyce

Większość wycieków nie wynika z ataków hakerskich, tylko z wysłania niezaszyfrowanego pliku „do wszystkich z listy”. Dlatego przy przekazywaniu danych sponsorom i partnerom warto wdrożyć prostą rutynę:

• pliki z danymi osobowymi zawsze w formie zaszyfrowanej (np. ZIP/7z z hasłem, dokument Office z hasłem),
• hasło przekazywane innym kanałem – jeśli plik idzie mailem, hasło może być np. SMS-em, komunikatorem, telefonicznie,
• hasła tworzone według ustalonego wzoru (ale nie: „NazwaProjektu2024!”) i przechowywane np. w prostym menedżerze haseł organizacji.

Jeśli sponsor twierdzi, że „u nich nie ma potrzeby szyfrować plików, bo mają dobrego firewalla”, można zapytać, czy ten firewall usunie maila z omyłkowo wpisanym złym adresem.

Wysyłka maili i komunikatorów – jak nie zabić prywatności w „DW”

Mail pozostaje głównym kanałem przekazywania danych. Niestety, nadal króluje klasyk: lista 200 adresów w polu „Do:”. W relacjach ze sponsorami i wolontariuszami kilka prostych trików robi ogromną różnicę:

• używanie UDW/BCc przy mailach zbiorczych (i nauczenie tego każdego wolontariusza),
• ograniczenie liczby osób w DW/Cc tylko do tych, którzy naprawdę muszą widzieć dane,
• korzystanie z dedykowanego systemu mailingowego (Mailchimp, FreshMail, inne CRM-y) zamiast ręcznego wklejania adresów,
• zdefiniowane szablony wiadomości – z minimalnym zakresem danych w treści maila (np. bez pełnych PESEL-i i adresów).

Komunikatory (Messenger, WhatsApp, Signal) bywają wygodne, ale szybciej wymykają się spod kontroli. Poza krótkimi ustaleniami staraj się nie wysyłać tam pełnych list uczestników czy baz darczyńców. Jeden zrzut ekranu i lista ląduje w chmurze aplikacji, kopii zapasowej i jeszcze kilku innych miejscach, o których polityki prywatności mówią dość ogólnie.

Udostępnianie plików w chmurze – granularne uprawnienia zamiast „kto ma link”

Chmura to błogosławieństwo, ale tylko wtedy, gdy link do pliku nie krąży po całym internecie. Gdy wolontariusze i sponsorzy mają uzyskać dostęp do danych, opłaca się poświęcić chwilę na konfigurację:

• wyłączyć opcję „każdy, kto ma link, może wyświetlać”,
• nadawać dostępy na konkretne adresy e-mail (najlepiej – służbowe w domenie firmy/NGO),
• ustawiać datę ważności dostępu – np. tydzień po wydarzeniu,
• blokować pobieranie i udostępnianie dalej, jeśli narzędzie to umożliwia,
• systematycznie czyścić listy osób z dostępem – po każdym projekcie.

Przy projektach powtarzalnych (np. coroczny konkurs) dobrze sprawdza się prosty rytuał: po zakończeniu edycji pliki z danymi przenosi się do archiwum z ograniczonym dostępem, a folder „roboczy” czyści. Partner i wolontariusze widzą wtedy tylko bieżącą edycję, nie pełną historię sprzed lat.

Kopie zapasowe, eksporty i „prywatne” backupy

Backup jest konieczny, ale łatwo zamienia się w niekontrolowaną multiplikację baz. Dobrze, by w organizacji funkcjonowało kilka prostych reguł:

• kopie zapasowe wykonuje system lub wyznaczona osoba, a nie każdy wolontariusz „na wszelki wypadek”,
• zakaz przechowywania danych wrażliwych na prywatnych dyskach, pendrive’ach, chmurach wolontariuszy i pracowników,
• jasna polityka retencji – jak długo są trzymane backupy i jak są usuwane,
• ewidencja miejsc, gdzie trafiają kopie (serwery, dyski zewnętrzne, sejfy).

Scenariusz „eksportuję sobie bazę uczestników na własny laptop, bo może się przyda” jest wygodny tylko do momentu, aż laptop wyląduje na siedzeniu pociągu.

Za granicę z danymi – gdy sponsor lub narzędzie jest spoza EOG

Przy współpracy z międzynarodowymi sponsorami pojawia się pytanie: czy dane uczestników wyjeżdżają poza Europejski Obszar Gospodarczy? Jeżeli tak, wchodzi w grę transfer danych do państwa trzeciego – a to już wymaga dodatkowych zabezpieczeń.

W praktyce trzeba ustalić:

• czy kraj docelowy ma decyzję stwierdzającą odpowiedni poziom ochrony (np. niektóre państwa, Wielka Brytania),
• czy stosowane są standardowe klauzule umowne (SCC) zatwierdzone przez Komisję Europejską,
• jakie dodatkowe środki techniczne stosuje sponsor (szyfrowanie end-to-end, pseudonimizacja, ograniczenie dostępu).

Jeżeli sponsor korzysta z globalnych platform mailingowych, CRM czy marketing automation, dobrze jest poprosić go o dokumentację RODO (np. opis zabezpieczeń, treść SCC, DPA) i sprawdzić, czy w klauzuli informacyjnej dla uczestników transfer ma pokrycie.

Szkolenie wolontariuszy i partnerów – RODO w 30 minut

Formalne upoważnienia to jedno, a zrozumienie zasad – drugie. Zamiast wysyłać wolontariuszowi 20-stronicową politykę, skuteczniej zadziała krótki, konkretny „RODO onboarding”. Może to być:

• 15–30 minutowe spotkanie online przed projektem,
• jednostronicowa checklista do wydruku lub pdf,
• kilka krótkich slajdów z zasadami „tak/nie” i prostymi przykładami.

Co powinno się tam znaleźć?

• czego nie wolno – np. wysyłać list uczestników na prywatny mail, robić screenów bazy i wrzucać na komunikatory,
• jakie narzędzia są obowiązkowe w projekcie (konkretny CRM, dysk współdzielony, szablony maili),
• do kogo zgłosić incydent: zgubiony pendrive, wysłanie maila do złej osoby, podejrzenie włamania na konto,
• co zrobić po projekcie – usunięcie danych z własnych urządzeń, zamknięcie dostępów, zwrot dokumentów.

W relacji ze sponsorem podobny „mini-onboarding” można przeprowadzić na początku współpracy: omówić kanały przekazywania danych, formaty plików, zasady szyfrowania i procedurę reakcji na incydent. Oszczędza to później wymiany maili pod tytułem „ale myśleliśmy, że możemy…”.

Procedura na wypadek wtopy – gdy coś pójdzie nie tak

Nawet przy najlepszych zabezpieczeniach zdarzają się pomyłki. Różnica między incydentem „pod kontrolą” a poważnym naruszeniem polega często na tym, czy ktoś wiedział, co ma zrobić w pierwszej godzinie.

Dobrze spisana, prosta procedura powinna obejmować:

• kanał zgłoszenia – jeden adres mailowy/telefon do osoby odpowiedzialnej (IOD, koordynator),
• minimum informacji, jakie trzeba przekazać: co się stało, kiedy, jakie dane mogły „wypłynąć”, ilu osób dotyczy problem,
• ustalone role – kto kontaktuje się ze sponsorem, kto sprawdza logi systemu, kto ocenia ryzyko dla osób, których dane dotyczą,
• wzór informacji dla osób, gdy trzeba je powiadomić o naruszeniu (żeby w stresie nie pisać komunikatu od zera),
• zasady dokumentowania incydentów – krótki raport, wnioski, działania naprawcze.

Jeżeli „wtopy” dotyczy wspólny projekt ze sponsorem, procedura powinna też określać, kto zgłasza naruszenie do PUODO (i w jakim trybie) oraz jak strony dzielą się zadaniami przy informowaniu uczestników.

RODO w marketingu sponsora – zgody, checkboxy i realna dobrowolność

Najwięcej emocji budzi marketing sponsora. Nawet przy najlepszych intencjach łatwo przekroczyć granicę między „podziękowaniem za udział” a agresywną kampanią mailingową. Kluczową rolę odgrywa tu zgoda (jeśli to ona jest podstawą prawną).

Kilka podstawowych zasad, które pomagają zachować twarz i zgodność z prawem:

• zgoda na marketing sponsora musi być dobrowolna – nie wiążemy jej z udziałem w wydarzeniu czy otrzymaniem nagrody,
• treść zgody jest konkretna: wskazuje sponsora z nazwy, rodzaj komunikatów (newsletter, oferty handlowe, zaproszenia na wydarzenia) i kanały (mail, telefon, SMS),
• checkbox nie jest domyślnie zaznaczony i nie łączymy kilku zgód w jedną „zgodę totalną”,
• NGO i sponsor uzgadniają, kto dokumentuje zgody i w jaki sposób (logi systemowe, formularze papierowe, daty, IP),
• proces wycofania zgody jest tak samo prosty jak jej udzielenie – link w stopce newslettera, jasne instrukcje w klauzuli.

Jeżeli partnerowi bardzo zależy na szerokim marketingu, sensowną przeciwwagą jest ograniczenie zakresu danych (np. tylko e-mail) i czasu przetwarzania oraz jasne poinformowanie uczestnika, że NGO nie ma wpływu na treści wysyłane przez sponsora.

Dane wrażliwe w projektach społecznych – dodatkowy poziom ostrożności

W wielu inicjatywach społecznych pojawiają się dane szczególnych kategorii: zdrowie, niepełnosprawność, wyznanie, poglądy. Tu relacja ze sponsorem wymaga szczególnej dyscypliny.

Jeśli udział sponsora nie wymaga wiedzy o tych danych, najlepszą praktyką jest pseudonimizacja lub całkowite odseparowanie danych wrażliwych od tego, co trafia do partnera. Przykładowo:

• sponsor finansuje sprzęt rehabilitacyjny, ale otrzymuje jedynie numer ID uczestnika i dane do wysyłki, bez opisu schorzenia,
• partner rozlicza stypendia, ale NGO weryfikuje kryteria (np. sytuację zdrowotną) i przekazuje sponsorowi tylko listę zakwalifikowanych osób z minimalnym zakresem danych.

Jeżeli z jakiegoś powodu sponsor musi mieć dostęp do danych wrażliwych (a bywa i tak), wtedy konieczne jest bardzo ostre doprecyzowanie:

• jakie dokładnie dane szczególne są przetwarzane i w jakim celu,
• jaka jest podstawa prawna (np. wyraźna zgoda, szczególne przepisy),
• jakie dodatkowe środki bezpieczeństwa stosuje sponsor: szyfrowanie, ograniczenie dostępu, brak kopiowania poza określone systemy.

Przy takich projektach księgowanie „na alla RODO” wyjątkowo szybko się mści – zarówno formalnie, jak i wizerunkowo.

Rozdzielenie ról w komunikacji – kto pisze do kogo i w czyim imieniu

W projektach sponsorsko-wolontariackich nadawcy potrafią się mnożyć: NGO, sponsor, lokalny partner, kolejny grantodawca. Dla odbiorcy to jedna skrzynka mailowa i jedno pytanie: „od kogo ja właściwie dostałem tę wiadomość?”.

Przy projektowaniu komunikacji warto ustalić:

• kto wysyła komunikaty operacyjne (informacje o wydarzeniu, zmiany harmonogramu) – zazwyczaj NGO,
• kto wysyła podziękowania i raporty – często wspólnie, ale z jasnym wskazaniem administracji danych,