Coraz więcej Polaków decyduje się co roku przy okazji rozliczeń z urzędem skarbowym przekazać 1% swojego podatku na rzecz organizacji pożytku publicznego (OPP), której działanie chce wesprzeć. Wraz z przekazaniem tych środków możemy również wyrazić zgodę na przekazanie naszych danych – imię, nazwisko i adres organizacji, której przekazaliśmy nasz 1%.
Skąd te dane?
Dane osób, które przekazały danej organizacji swój 1% i które wyraziły zgodę na takie przekazanie trafiają do organizacji pożytku publicznego raz w roku w zbiorczej informacji, która do nich powinna trafić we wrześniu w roku, w którym zdecydowaliśmy się na przekazanie środków. Dane przekazuje naczelnik urzędu skarbowego zgodnie z siedzibą OPP lub inny organ wyznaczony przez Ministra Finansów w rozporządzeniu.
Podstawa prawna i opinia UODO
Jak wynika ze stanowiska Prezesa Urzędu Ochrony Danych Osobowych (PUODO) OPP jako administrator danych będzie przetwarzać te dane w oparciu o art. 6 ust. 1 lit. f RODO, czyli swój prawnie uzasadniony interes. RODO na OPP jak na każdego administratora nakłada szereg obowiązków, które powinien wykonać aby przetwarzanie danych było zgodne z prawem. Jednym z nich jest obowiązek informacyjny, czyli konieczność poinformowania osoby, której dane przetwarzamy na jakiej podstawie jej dane przetwarzamy, w jakich celach, jak długo dane będą przetwarzane, jakie przysługują jej prawa oraz poinformować skąd posiadamy jej dane o ile nie pochodzą one od niej. Wykonanie powinno nastąpić przy pierwszym kontakcie OPP z darczyńcą.
Co ważne, w stanowisku Prezesa Urzędu Ochrony Danych Osobowych możemy również znaleźć wskazówkę, że dane otrzymane przez OPP nie mogą zostać przekazane osobom na których rzecz są zbierane pieniądze przez organizacje. Jeśli organizacja chciałaby przekazać swoim podopiecznym taką informację musi najpierw skontaktować się z darczyńcą i uzyskać jego zgodę.
Obowiązek informacyjny (?)
W praktyce przedstawiona przez PUODO interpretacja przepisów może znacznie ograniczyć działalność OPP, poprzez uszczuplenie środków, które zostały na konkretny cel (darowizn) na rzecz konieczności realizacji obowiązku informacyjnego.
Oczywiście RODO przewiduje możliwość odstąpienia od wykonania obowiązku informacyjnego, mówi o tym m.in. art. 14 ust. 5 lit. a i b RODO. Administrator może nie wykonać obowiązku m.in. gdy:
- osoba, której dane dotyczą, dysponuje już tymi informacjami;
- udzielenie takich informacji okazuje się niemożliwe lub wymagałoby niewspółmiernie dużego wysiłku. W takich przypadkach administrator podejmuje odpowiednie środki, by chronić prawa i wolności oraz prawnie uzasadnione interesy osoby, której dane dotyczą, w tym udostępnia informacje publicznie.
Wydaje się, że wspomniane wyjątki mogłyby być podstawą przyjęcia zwolnienia z obowiązku informacyjnego przez OPP a wystarczające byłoby opublikowanie odpowiedniej klauzuli informacyjnej na stronie organizacji. Jednak trudno się spodziewać by jakakolwiek organizacja zdecydowała się na takie działania wobec rygorystycznego stanowiska PUODO w zakresie możliwości korzystania z ww. wyjątków. Zatem pozostaje apel do PUODO o racjonalną wykładnię.
