Klub tenisa stołowego, nawet mały, jednosekcyjny UKS, jest administratorem danych osobowych w rozumieniu RODO — i to danych dzieci, czyli kategorii, na którą Urząd Ochrony Danych Osobowych patrzy najbardziej uważnie. Dobra wiadomość: dla małego klubu zgodność z RODO to głównie kwestia kilku jasno spisanych zasad, nie skomplikowanej infrastruktury prawnej.
Jakie dane przetwarza klub
Typowy zakres: dane kontaktowe zawodnika i rodzica/opiekuna, PESEL (potrzebny do licencji PZTS), czasem dane o stanie zdrowia (orzeczenie lekarskie o zdolności do uprawiania sportu) — to już kategoria danych wrażliwych, wymagająca szczególnej staranności w przechowywaniu i dostępie.
Podstawa prawna i zgoda rodzica
Dla osoby niepełnoletniej zgodę na przetwarzanie danych wyraża rodzic lub opiekun prawny. Ważny szczegół z praktyki UODO: jeśli oboje rodzice mają pełnię praw rodzicielskich, a jedno z nich się sprzeciwia, zgoda drugiego nie wystarcza — sprzeciw jednego rodzica blokuje przetwarzanie (dotyczy to zwłaszcza wizerunku).
Wizerunek to osobna zgoda — nie warunek uczestnictwa
To najczęstszy błąd w regulaminach klubowych: łączenie zgody na udział w zajęciach ze zgodą na publikację zdjęć/filmów. UODO jasno wskazuje, że:
- udział w zajęciach nie może być uzależniony od zgody na publikację wizerunku,
- zgoda na różne cele (strona klubu, social media, kronika, materiały drukowane) powinna być zbierana osobno dla każdego celu,
- nie wolno oferować żadnych zniżek czy przywilejów w zamian za zgodę na publikację zdjęć,
- zgodę najlepiej zbierać w formie pisemnej — to administrator (klub) musi umieć wykazać, że zgoda została udzielona.
Czy formularz zapisu do klubu ma dwa osobne checkboxy — jeden na udział w zajęciach (obowiązkowy), drugi na wizerunek (dobrowolny, z jasnym opisem, gdzie zdjęcia będą publikowane)? Jeśli to jeden punkt "akceptuję regulamin", prawdopodobnie trzeba go rozdzielić.
Przechowywanie i dostęp do danych
Praktyczne zasady, które warto wdrożyć niezależnie od wielkości klubu:
- dostęp do pełnych danych zawodników (w tym PESEL, dane zdrowotne) mają tylko osoby, którym jest to faktycznie potrzebne do pracy — nie każdy trener musi widzieć wszystko o każdym zawodniku,
- dane przechowywane elektronicznie najlepiej trzymać na serwerach w Unii Europejskiej — to prostszy sposób na spełnienie wymogów RODO dotyczących transferu danych poza UE,
- określ, jak długo dane są przechowywane po odejściu zawodnika z klubu, i usuwaj je po tym okresie, zamiast trzymać "na wszelki wypadek".
Czy mały klub potrzebuje Inspektora Ochrony Danych
Dla typowego małego UKS-u — nie. Obowiązek wyznaczenia IOD dotyczy głównie podmiotów przetwarzających dane na dużą skalę lub dane wrażliwe jako główny przedmiot działalności. Mały klub powinien mieć jednak wyznaczoną osobę odpowiedzialną za dane (zwykle prezes lub sekretarz) — nawet nieformalnie, żeby było wiadomo, kto odpowiada za zgodność z RODO.
Dane klubu w PNS są przechowywane na serwerach w Unii Europejskiej, a dostęp do danych zawodników mają tylko uprawnieni użytkownicy klubu — zgodnie z zasadami opisanymi wyżej. Dane zawsze można wyeksportować, jeśli klub zdecyduje się zmienić narzędzie.