Aplicarea corectă a Regulamentului General privind Protecția Datelor (GDPR) este esențială pentru organizațiile non-profit (ONG-uri), care gestionează frecvent date personale ale beneficiarilor, voluntarilor, angajaților și donatorilor. Respectarea GDPR nu doar că asigură protecția drepturilor persoanelor vizate, dar crește și încrederea în ONG, evitând sancțiuni legale. Iată un ghid detaliat despre cum să implementezi corect GDPR în activitățile unui ONG.

1. Înțelegerea cadrului legal și a principiilor GDPR

GDPR, aplicabil în România prin Regulamentul (UE) 2016/679, stabilește reguli clare privind prelucrarea datelor cu caracter personal1. Principiile fundamentale pe care trebuie să le respecte orice ONG sunt:

• Limitarea scopului: Datele se colectează doar pentru un scop clar și legitim, stabilit înainte de începerea prelucrării.
• Minimizarea datelor: Se colectează doar datele strict necesare pentru atingerea scopului.
• Legalitate și transparență: Prelucrarea trebuie să se bazeze pe un temei legal prevăzut de art. 6 GDPR, iar persoanele vizate trebuie informate clar și complet despre modul în care datele lor sunt folosite.
• Exactitate: Datele trebuie să fie corecte și actualizate, cu proceduri pentru corectarea celor inexacte.
• Responsabilitate: ONG-ul trebuie să poată demonstra conformitatea cu GDPR și să documenteze toate măsurile luate pentru protecția datelor.

2. Stabilirea temeiului legal pentru prelucrarea datelor

ONG-urile trebuie să identifice temeiul legal care le permite să prelucreze datele personale, conform art. 6 din GDPR. În general, temeiurile utilizate sunt:

• Consimțământul explicit al persoanei vizate (de exemplu, pentru înscrierea la evenimente sau newslettere).
• Executarea unui contract sau a unei obligații legale.
• Interesul legitim al ONG-ului, în limitele prevăzute de lege.
• Notabil, în România, partidele politice, organizațiile minorităților și ONG-urile pot prelucra anumite categorii de date personale și speciale fără consimțământ expres, în condiții stricte de protecție.

3. Implementarea unei politici interne de protecție a datelor

ONG-ul trebuie să elaboreze o Politică de prelucrare a datelor personale, care să detalieze:

• Ce date sunt colectate și în ce scop.
• Cum sunt protejate aceste date (măsuri tehnice și organizatorice).
• Cine are acces la date și responsabilitățile acestora.
• Proceduri pentru gestionarea incidentelor de securitate (breșe de date).
• Modalități de informare și exercitare a drepturilor persoanelor vizate (dreptul la acces, rectificare, ștergere etc.).
• Această politică trebuie comunicată și explicată angajaților, voluntarilor și colaboratorilor ONG-ului.

4. Numirea unui Responsabil cu Protecția Datelor (DPO)

GDPR prevede că anumite ONG-uri trebuie să numească un DPO, în special dacă:

• Prelucrează date sensibile pe scară largă (de exemplu, date privind sănătatea, opinii politice).
• Activitățile principale implică monitorizarea sistematică a persoanelor vizate.
• Sunt organizații publice sau de utilitate publică1.
• Chiar dacă nu este obligatoriu, numirea unui DPO este recomandată pentru asigurarea conformității și pentru a avea o persoană responsabilă cu respectarea GDPR.

5. Evaluarea impactului asupra protecției datelor (DPIA)

• Pentru activitățile care implică riscuri ridicate pentru drepturile persoanelor, ONG-ul trebuie să realizeze o evaluare de impact (DPIA). Aceasta presupune analiza detaliată a modului de prelucrare a datelor, identificarea riscurilor și stabilirea măsurilor de reducere a acestora.

6. Gestionarea securității datelor

ONG-urile trebuie să implementeze măsuri tehnice și organizatorice adecvate pentru a proteja datele personale împotriva accesului neautorizat, pierderii sau distrugerii. Exemple includ:

• Stocarea datelor în spații securizate (cu încuietori fizice și parole pentru fișiere digitale).
• Controlul accesului la date doar pentru persoanele autorizate.
• Backup-uri regulate și actualizări ale sistemelor informatice.

7. Transparența și informarea persoanelor vizate

ONG-urile trebuie să informeze persoanele ale căror date le prelucrează, înainte de colectarea datelor, prin:

• Note de informare clare și accesibile.
• Explicarea scopului prelucrării, temeiului legal, drepturilor persoanei și modalităților de exercitare a acestora.
• Informarea despre perioada de stocare și despre cine are acces la date.

8. Documentarea și evidența prelucrărilor

ONG-ul trebuie să țină un Registru al prelucrărilor de date, conform art. 30 GDPR, care să conțină informații despre:

• Tipul datelor prelucrate.
• Scopul prelucrării.
• Categoriile de persoane vizate.
• Măsurile de securitate aplicate.
• Transferurile de date către terți, dacă există.

9. Instruirea personalului și voluntarilor

Toți cei care prelucrează date personale în cadrul ONG-ului trebuie să fie instruiți cu privire la obligațiile GDPR și la procedurile interne. Aceasta include:

• Modul corect de colectare și stocare a datelor.
• Cum se gestionează solicitările persoanelor vizate.
• Cum se raportează eventualele incidente de securitate.

10. Gestionarea incidentelor de securitate

În cazul unei breșe de securitate (de exemplu, pierderea unui laptop cu date personale), ONG-ul trebuie să:

• Documenteze incidentul și circumstanțele.
• Evalueze riscurile pentru persoanele vizate.
• Notifice Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) în termen de 72 de ore, dacă este cazul.
• Informeze persoanele afectate, dacă riscurile sunt ridicate.

Aplicarea corectă a GDPR în activitățile unui ONG presupune o abordare sistematică, pornind de la înțelegerea principiilor și obligațiilor legale, stabilirea temeiurilor legale pentru prelucrare, elaborarea unor politici interne clare, până la instruirea personalului și gestionarea securității datelor. Respectarea acestor pași nu doar că protejează drepturile persoanelor vizate, dar asigură și credibilitatea și sustenabilitatea ONG-ului pe termen lung.