Kartoteka klubu to kilkaset osób: zawodnicy, rodzice, trenerzy. W jednym z warszawskich klubów kolarskich (około 500 zawodników) dochodzą do tego deklaracje, zgody, telefony rodziców, numery kont i historia wpłat. RODO patrzy na taki zbiór poważnie: to dane dzieci, a obok nich informacje o zdrowiu. Ten tekst podaje listę rzeczy, które klub musi mieć: zgody, okresy przechowywania i umowy powierzenia. Po lekturze wiesz, od czego zacząć.
Jakie dane zbiera klub i które są szczególne
Zacznij od spisania, co faktycznie trzymasz w kartotece. Kluby trzymają zwykle więcej, niż potrzebują: PESEL „na wszelki wypadek”, waga sprzed dwóch lat, telefony rodziców, którzy odeszli z klubem trzy sezony temu. RODO dzieli te dane na dwie grupy i traktuje je zupełnie inaczej.
| Dane | Przykład z klubu | Status w RODO |
|---|---|---|
| Podstawowe | imię, rocznik, adres, telefon rodzica | zwykłe dane osobowe |
| Identyfikacyjne | PESEL, numer licencji PZKol | zwykłe; zbieraj tylko, gdy licencja albo zawody wymagają |
| O zdrowiu | alergie, leki, przeciwwskazania do wysiłku | szczególna kategoria (art. 9 RODO) |
| Wizerunek | zdjęcia z zawodów na stronie i w mediach społecznościowych | osobna zgoda |
| Finansowe | numer konta rodzica, historia wpłat | zwykłe; wysokie ryzyko przy wycieku |
| Logowanie | konto rodzica w systemie klubowym | zwykłe |
Dane o zdrowiu są domyślnie zakazane. Klub może je zbierać na wyraźnej zgodzie rodzica, a powód jest szczery: fizjoterapeuta musi wiedzieć, czego nie podać dziecku, zanim wsiądzie do busa. Wyniki, frekwencja i oceny treningowe to zwykłe dane. Zgody szczególnej nie potrzebują.
Spis kończy zasada minimalizacji: zbierasz to, czego używasz. Nie wystawiasz licencji, PESEL nie wchodzi do kartoteki. Rozmiar koszulki nie musi trafić do kartoteki na cały rok. Pole przy zapisie na obóz wystarczy.
Zgody: kto podpisuje i co musi być zapisane
Za małoletniego zgadza się rodzic albo opiekun prawny. Dziecko nie podpisuje skutecznej zgody na przetwarzanie swoich danych, więc liczy się podpis (albo klik) opiekuna. Zawodnik pełnoletni odpowiada za siebie. Odnotuj w kartotece, kiedy zawodnik stał się dorosły: wtedy zgody podpisuje od nowa, samodzielnie.
Trzy zasady, które oszczędzają problemów:
- zgoda stoi osobno od akceptacji regulaminu, każdy checkbox osobno,
- rodzic dostaje kopię treści zgody, którą zaakceptował, razem z datą,
- wycofanie zgody ma być tak samo proste jak jej udzielenie.
Zgoda na wizerunek to osobna decyzja. Rodzic może zgodzić się na prowadzenie kartoteki i odmówić publikacji zdjęć z zawodów. To dwa osobne checkboxy.
Formularz deklaracji online załatwia całość jednorazowo: treść zgody, wersja dokumentu i data zapisują się same, bez segregatora i długopisu. Jak taki formularz może wyglądać, opisujemy we wpisie Deklaracje członkowskie online: koniec z papierowym formularzem.
Ile lat trzymać dane zawodnika
RODO nie podaje jednej liczby. Wymaga czegoś prostszego: dane trzymasz tak długo, jak są potrzebne do celu, dla którego je zebrałeś. Okresy ustalasz więc per kategoria danych.
Praktyczny podział:
- dane czynnego zawodnika: przez cały czas członkostwa, plus sezon na rozliczenie końcowe,
- frekwencja i listy obecności: do końca rozliczenia dofinansowania, które ich wymaga,
- dokumenty finansowe (wpłaty, potwierdzenia, faktury): co najmniej 5 lat, bo tego wymaga ustawa o rachunkowości,
- dane zawodnika po odejściu: 2–3 sezony na odwołania i sprawy licencyjne, potem usuwasz.
Rodzic prosi o usunięcie danych
Przykład: rodzic trojga dzieci wychodzi z klubu po trzech latach i pisze, żebyś usunął ich dane. Z ustalonymi okresami odpowiadasz w jeden dzień. Kartoteka znika, dokumenty finansowe zostają do upływu 5 lat, a rodzic dostaje potwierdzenie z listą usuniętego. Bez ustalonych okresów sprawa ląduje na dnie skrzynki i wraca za rok jako skarga do UODO.
Ustawowy termin odpowiedzi na takie pismo to miesiąc. Rodzic oceni klub jednak po jednym dniu, nie po trzech tygodniach.
Umowa powierzenia: każdy, kto przetwarza dane za klub
Klub jest administratorem danych i za nie odpowiada. Ale nie jest sam: dane zawodników trzyma system klubowy, hosting strony, operator SMS i biuro rachunkowe. Każdemu, kto przetwarza dane na polecenie klubu, zawierasz umowę powierzenia przetwarzania. Jej podstawę podaje art. 28 RODO.
W umowie mają być określone:
- zakres danych i cel: co dostawca przetwarza i po co,
- czas: przez cały czas świadczenia usługi,
- podprzetwarzający: komu dostawca przekazuje dane dalej (hosting, operator SMS),
- bezpieczeństwo: szyfrowanie, kontrola dostępu, kopie zapasowe,
- naruszenia: w jakim czasie dostawca zgłasza wyciek klubowi,
- koniec współpracy: dane wracają eksportem albo zostają usunięte, razem z kopiami zapasowymi.
Naruszenie ma swoje terminy. W SportDesk dostawca zgłasza je klubowi w ciągu 36 godzin od stwierdzenia. Klub ma potem, co do zasady, 72 godziny na zgłoszenie organowi nadzorczemu. Bez umowy powierzenia te terminy nie działają: nie wiesz nawet, kiedy dowiesz się o problemie.
Przed podpisaniem czegokolwiek z dostawcą sprawdź trzy rzeczy: gdzie stoją serwery, komu przekazuje dane dalej i co dzieje się z danymi po rezygnacji. Odpowiedzi mają być w umowie powierzenia, nie w ustnym zapewnieniu handlowca.
Umowa powierzenia z symu.co, operatorem SportDesk, jest jawna: przeczytaj ją tutaj. Klub akceptuje ją elektronicznie przy zakładaniu konta, a system zapisuje datę, wersję dokumentu i adres e-mail akceptującego.
Trener, mail i dane „na szybko”
Znasz ten scenariusz: trener zbiera rodziców na wyjazd, potrzebuje listy telefonów, wyciąga z systemu nazwiska i numery, wysyła plik na prywatną skrzynkę. W drodze wrzuca go jeszcze do grupy na komunikatorze. Sprawa zajęła pięć minut.
Problem tkwi w tym, co zostało po drodze. Kopia danych dzieci trafiła teraz do prywatnej skrzynki i na cudze telefony. Nie kontrolujesz, kiedy zniknie, komu zostanie przekazana i czy ta skrzynka ma w ogóle zabezpieczenia. Do tego eksport nie miał opisanego celu ani terminu na skasowanie.
Zamiast tego:
- trener widzi telefony rodziców swojej grupy w aplikacji na telefonie, bez eksportów,
- komunikaty do grupy, rocznika albo uczestników wydarzenia idą z systemu, bo tam widać, komu i co poszło,
- eksport pełnych danych robi wyłącznie zarząd, a system zapisuje, kto i kiedy,
- jeśli eksport był naprawdę potrzebny, zapisz: komu, po co i do kiedy plik zniknie.
O wyborze kanału piszemy osobno: Komunikacja z rodzicami: SMS czy e-mail.
Lista na jeden wieczór
W klubie na 500 osób większość tej pracy to spisanie tego, co już robisz. Kolejność, która działa:
- Spisz kategorie danych w kartotece i zaznacz dane o zdrowiu.
- Przejrzyj deklarację: zgody odrębne od regulaminu, z treścią, wersją i datą; wizerunek osobno.
- Ustal okresy przechowywania per kategoria i wpisz je do dokumentu klubowego.
- Zrób listę dostawców z dostępem do danych i sprawdź umowy powierzenia.
- Ustal jedną zasadę dla trenerów: żadnych danych dzieci na prywatne skrzynki i komunikatory.
- Wyznacz osobę odpowiedzialną za odpowiedzi rodzicom (dostęp, sprostowanie, usunięcie) i termin: miesiąc.
Sześć punktów to jeden wieczór pracy. Od tego miejsca kolejne sprawy klubu (składki, obozy, komunikacja) idą po przygotowanym gruncie.
Jak to wygląda w SportDesk
Moduł Ochrona danych jest obowiązkowy w każdym planie, także darmowym, więc zgody i retencja nie są dodatkiem za dopłatą. Deklaracja członkowska online zbiera zgody, a rejestr zapisuje ich treść, wersję i datę. Role działają tak: trener widzi kontakty swojej grupy, rodzic swoje dzieci, eksporty i usuwanie danych zostają przy zarządzie. Okresy retencji ustawisz per kategoria danych, a umowę powierzenia z symu.co klub akceptuje elektronicznie w kreatorze klubu, z datą i wersją dokumentu. Pełną listę modułów znajdziesz na stronie funkcje.
Klub możesz założyć za darmo w kilka minut: Załóż klub.