W skrócie:
- Wasz zarząd jest administratorem danych już dziś. Papierowe wezwanie w kopercie to także przetwarzanie danych osobowych.
- Automat liczy na numerze działki, dane osobowe dokleja dopiero tam, gdzie cel tego wymaga.
- Automat przygotowuje naliczenie, człowiek zatwierdza wysyłkę. Mniej ręcznej roboty, więcej kontroli.
- Jeśli dane osobowe już się pojawią, zostają na osobnym hostingu Waszego ogrodu i są objęte umową powierzenia, a nie trafiają do wspólnej bazy z innymi ROD-ami.
- Cały temat automatyzacja ROD a RODO sprowadza się do pytania, jak zarządzać danymi, a nie czy w ogóle je zbierać.
Automatyzacja kusi. System sam wyśle przypomnienie o opłacie, wyliczy zużycie wody z licznika, odpowie na typowe pytanie o północy. Zarząd słyszy jednak, że maszyna działająca na danych działkowców to ryzyko, więc temat automatyzacja ROD a RODO budzi niepokój. W tym artykule spokojnie pokażę, co bez obaw można oddać automatowi, a co musi zostać przy człowieku.
Czy automatyzacja w ROD oznacza utratę kontroli nad danymi?
Zacznę od przyznania racji. W obiegu krążą ostrzeżenia przed aplikacjami dla ogrodów działkowych i co do samych przepisów są one słuszne. Każdy automat w którymś momencie dotyka danych, a Wasz zarząd pozostaje administratorem i za to odpowiada. To realna odpowiedzialność, nie powód do paniki.
Z mojego doświadczenia jest jednak druga strona tej historii. Dobrze zaprojektowany automat bywa bardziej kontrolowany niż proces prowadzony ręcznie. Wszystko dzieje się w jednym miejscu, z ograniczonym dostępem i ze śladem, kto i co zrobił. Jeśli dopiero rozważacie wejście do internetu, sam sens posiadania witryny rozłożyłem osobno w tekście o tym, czy warto mieć stronę dla ogrodu działkowego.
Papierowe wezwanie to już przetwarzanie danych
Skarbnik, który wpisuje imię i adres na kopercie z papierowym wezwaniem, przetwarza dane osobowe. Segregator z adresami, lista w prywatnym Excelu czy papierowe kartoteki to dokładnie to samo, często mniej bezpieczne i bez żadnej umowy powierzenia.
- Cyfrowy system niczego nie zaczyna. On porządkuje coś, co w ogrodzie i tak dzieje się każdego dnia.
- Pytanie nie brzmi „zbierać dane czy nie”, tylko „jak nimi rozsądnie zarządzać”.
Im mniej danych przepływa przez automat, tym bezpieczniej
Tu wchodzi zasada minimalizacji danych w ogrodzie działkowym. Większość rutynowych automatów w ogóle nie potrzebuje danych osobowych, żeby zadziałać.
- Przypomnienie o terminie opłaty, ogłoszenie o wywozie odpadów czy wyliczenie zużycia z licznika. Do tego wystarczy numer działki.
- Imię, nazwisko i adres e-mail wchodzą do gry dopiero przy imiennym wezwaniu do zapłaty albo indywidualnym kontakcie.
Rekord działki jako fundament, dane osobowe jako osobna warstwa
W praktyce cały system kręci się wokół numeru działki, nie wokół nazwiska. To on jest głównym rekordem, do którego przypięte są opłaty, liczniki i zgłoszenia. Dane osobowe to osobna, opcjonalna warstwa, którą zarząd świadomie włącza dopiero wtedy, gdy chce prowadzić imienną korespondencję.
Uczciwie trzeba jednak dodać: gdy ta warstwa jest włączona, dane osobowe fizycznie znajdują się w systemie, powiązane z konkretną działką. Nie znikają i nie trafiają „gdzieś indziej”. Różnica polega na tym, że same operacje techniczne, czyli naliczanie czy przypomnienia, nie potrzebują tożsamości, żeby zadziałać.
Mniej danych w obiegu to jednak nie to samo, co pełna zgodność z RODO. Zarząd, jako administrator danych osobowych w ROD, potrzebuje obok minimalizacji jeszcze kilku elementów: podstawy prawnej przetwarzania, umowy powierzenia z dostawcą systemu, jasnego obowiązku informacyjnego wobec działkowców oraz możliwości eksportu i usunięcia danych na żądanie. Minimalizacja zmniejsza ryzyko, ale nie zastępuje tych obowiązków.
Gdzie trafiają dane działkowców i kto je kontroluje?
Pytania o automatyzację ROD a RODO najczęściej trafiają właśnie tutaj, do rozliczeń ROD i danych osobowych. Dane działkowców, jeśli warstwa osobowa jest włączona, trafiają na osobny hosting należący do Waszego ogrodu, nie na jeden wspólny serwer wykonawcy dzielony z dziesiątkami innych ROD-ów. Każdy ogród dostaje własną, oddzielną instalację systemu.
Administratorem tej instalacji i właścicielem danych pozostaje zarząd, nie firma, która system dostarczyła. Dostęp serwisowy jest nadawany świadomie i w każdej chwili można go cofnąć.
W rjweb.pl do tego dokładamy podpisaną umowę powierzenia przetwarzania danych już na starcie wdrożenia, nie jako załącznik do uzupełnienia później. Reguluje ona na piśmie zakres dostępu wykonawcy, zakaz wykorzystania danych do marketingu czy odsprzedaży oraz lokalizację serwerów w UE. Finalny kształt takiej umowy zawsze warto przejrzeć z radcą prawnym lub inspektorem ochrony danych.
Osobny hosting ogrodu i podpisana umowa powierzenia to razem dwa filary, dzięki którym dane zostają pod realną kontrolą zarządu, a odpowiedzialność wykonawcy jest spisana czarno na białym, nie tylko obiecana ustnie.
Dwie warstwy ochrony dostępu
Samo trzymanie mało danych to jedno, a pilnowanie, kto może do nich zajrzeć, to drugie. W panelu administracyjnym, który budujemy, można włączyć logowanie dwuetapowe: obok hasła potrzebny jest jednorazowy kod z aplikacji albo e-maila. To zabezpiecza przed najczęstszą drogą wycieku, czyli przejęciem konta administratora. Mechanizm logowania dwuetapowego opisałem szerzej w osobnym poradniku o logowaniu dwuetapowym.
Drugą warstwą są role. Zarząd ma osobne konta, na przykład prezes, skarbnik, sekretarz, a dane osobowe działkowców widzą tylko te osoby, które faktycznie ich potrzebują do swojej funkcji. Nie każdy, kto loguje się do systemu, automatycznie widzi wszystkie dane.
Obie warstwy razem, czyli 2FA i role dostępu, to konkretne środki techniczne i organizacyjne, których RODO oczekuje od administratora danych. Nie jest to więc puste życzenie, tylko codzienna praktyka.
Czego automat nie powinien decydować sam?
Jest zasadnicza różnica między automatem, który liczy, a automatem, który decyduje. RODO szczególnie traktuje decyzje podejmowane wyłącznie automatycznie, gdy wywołują wobec działkowca istotne skutki. To kierunek wyznaczony przez art. 22 RODO o decyzjach automatycznych, a ocenę konkretnego przypadku warto skonsultować z radcą prawnym.
Posłużę się analogią kasy w sklepie. Maszyna sama skanuje i sumuje ceny, ale płatność i tak potwierdza człowiek. W ogrodzie oznacza to prostą regułę: automat przygotowuje naliczenie, a skarbnik zatwierdza je przed wysłaniem.
- Automat nalicza opłaty na numerach działek. Robi rachunki, nie podejmuje decyzji.
- Skarbnik otwiera podgląd. Sprawdza, czy kwoty się zgadzają.
- Dopiero po zatwierdzeniu przez człowieka wezwania trafiają do działkowców.
Dlaczego to ważne? Błędne wezwanie wysłane automatycznie do stu osób to problem wizerunkowy i potencjalnie prawny. Krok „zatwierdź” chroni i dane działkowców, i sam zarząd. Ile czasu taki układ realnie oszczędza, pokazałem w tekście o tym, jak strona ROD oszczędza czas i pieniądze zarządu.
Pułapka, której łatwo nie zauważyć: publiczna lista zaległości
Najczęstsza pokusa to automat, który publikuje listę zaległości na stronie albo wrzuca ją do grupy. W ogrodzie numer działki zwykle wskazuje konkretną osobę, więc taka lista to w praktyce publiczne ogłoszenie, kto ma długi.
Wewnątrz systemu numer działki to dobra praktyka i nic złego się nie dzieje. Kłopot zaczyna się dopiero, gdy dane wychodzą na zewnątrz, na tablicę ogłoszeń w altanie czy do grupy na Facebooku. W małej, zamkniętej społeczności numer bywa równie rozpoznawalny jak nazwisko.
Rozwiązanie jest spokojne i wykonalne. Każdy działkowiec widzi swoje rozliczenie dopiero po zalogowaniu, a automat przypomina o płatności indywidualnie. Co taka witryna powinna mieć od strony funkcji, zebrałem w tekście o najważniejszych elementach strony ROD. Konkretną praktykę, na przykład zamkniętą grupę kontra otwarty profil, też warto omówić z prawnikiem.
O co zapytać dostawcę, zanim cokolwiek zautomatyzujesz
Te pytania o automatyzację ROD a RODO warto zadać każdemu wykonawcy, nie tylko nam. Dobry dostawca odpowie na nie bez wahania.
- Które kroki automat wykonuje na samym numerze działki, a gdzie sięga po dane osobowe?
- Czy automatyczne naliczenia i wezwania wymagają zatwierdzenia przez człowieka, czy wychodzą same?
- Przez jakie narzędzia zewnętrzne przepływają dane i gdzie, w UE czy poza nią, są przetwarzane?
- Czy te narzędzia są wymienione w umowie powierzenia jako podwykonawcy?
- Czy da się wyłączyć automat, podejrzeć, co wysłał, i usunąć dane na żądanie?
W rjweb.pl traktujemy te pytania jak listę kontrolną przy każdym wdrożeniu. Jeśli ktoś nie potrafi powiedzieć, przez co przechodzą Wasze dane, to dla zarządu sygnał ostrzegawczy.
Najczęsciej zadawane pytania
Zebraliśmy pytania, które najczęściej zadają zarządy, kiedy zastanawiają się nad cyfryzacją ogrodu. Odpowiedzi są praktyczne i napisane z myślą o prezesie i skarbniku.
Powyższe odpowiedzi mają charakter porządkujący i informacyjny, a nie stanowią porady prawnej.
Konkretny przypadek Waszego ogrodu, szczególnie kwestię publikowania danych i doboru podstawy prawnej, warto skonsultować z radcą prawnym lub inspektorem ochrony danych.
Głównie do jednego celu: imiennej komunikacji z konkretną osobą, na przykład wysłania wezwania do zapłaty, zawiadomienia o walnym czy informacji o wyniku przeglądu działki. Żeby wysłać e-mail, trzeba mieć adres, a adres to już dana osobowa. Poza takimi sytuacjami system świetnie radzi sobie bez imion i nazwisk.
Na pierwszy rzut oka tak, ale w praktyce numer działki jest równie wygodny w obsłudze. Dodatkowo zdejmuje z zarządu odpowiedzialność, której nie warto brać na siebie bez potrzeby. Wciąganie danych osobowych tam, gdzie nie są konieczne, to dokładnie ten nawyk, przed którym ostrzegają specjaliści od ochrony danych.
Dopiero wtedy, gdy zarząd świadomie włączy warstwę osobową, bo chce wysyłać imienne pisma. Do tego momentu moduł pozostaje wyłączony, a wszystko działa na numerach działek. Granica jest w gruncie rzeczy prosta: bez adresu nie ma wysyłki, więc dane osobowe pojawiają się tylko przy realnej potrzebie, nie na zapas.
Pod członkostwo i rozliczenia podstawą jest umowa i obowiązek prawny, a nie zgoda. To, że działkowiec podaje dane, żeby otrzymać wezwanie, nie znaczy, że „wyraża zgodę”. Oparcie rozliczeń na zgodzie tworzyłoby pułapkę, bo zgodę można w każdej chwili wycofać, a brzmienie dokumentów warto potwierdzić z radcą prawnym.
Klauzula informacyjna tylko informuje działkowca, jak i po co przetwarzacie jego dane, i należy się każdemu, zwykle przy umowie lub rejestracji (kierunek art. 13 RODO). Zgoda dotyczy wyłącznie rzeczy opcjonalnych, jak mailing marketingowy czy publikacja zdjęć z wydarzeń, i można ją w każdej chwili wycofać. To dwie różne rzeczy, więc nie zbiera się ogólnej „zgody na przetwarzanie danych” pod członkostwo.
Trzeba rozróżnić rodzaj wiadomości. Przypomnienie o obowiązkowej opłacie opiera się na umowie i obowiązku prawnym, więc zgoda nie jest do niego potrzebna. Treści marketingowe i nieobowiązkowe powiadomienia to inna sprawa, bo nie wolno ich dorzucać automatycznie bez wcześniejszej zgody, a działkowiec powinien wiedzieć, kto wysyła wiadomość.
Bezpieczniej, gdy automat przygotowuje naliczenie, a człowiek zatwierdza je przed wysłaniem. Krok „zatwierdź” chroni i dane działkowców, i zarząd przed błędnym wezwaniem rozesłanym do wielu osób naraz. Automat ma odciążać, nie zastępować odpowiedzialności administratora.
Nie. Nawet jeśli narzędzie zewnętrzne realnie przetwarza dane, to zarząd decyduje, po co i jak, więc pozostaje administratorem i odpowiada, a dostawca jest zwykle podmiotem przetwarzającym na podstawie umowy powierzenia. To trochę jak z kurierem: za to, komu powierza się paczkę z adresem, odpowiada nadawca, nie sam kurier.
Najczęściej tak, choć to zwykle drobna korekta, a nie pisanie dokumentu od nowa. Jeśli automatyzacja wprowadza nowego dostawcę technicznego albo nowy cel przetwarzania, na przykład automatyczne powiadomienia SMS, klauzula powinna o tym wyraźnie wspominać. W rjweb.pl do wdrożenia dołączamy gotowy aneks do istniejącej klauzuli, a ostateczne brzmienie i tak warto przejrzeć z radcą prawnym.
Zwykle nie musicie zmieniać samego regulaminu, bo reguluje on przede wszystkim zasady korzystania z działek i funkcjonowanie ogrodu, nie szczegóły przetwarzania danych. Kwestie związane z RODO żyją zazwyczaj osobno, w klauzuli informacyjnej i wewnętrznej dokumentacji przetwarzania. Jeśli jednak Wasz regulamin już zawiera zapisy o przechowywaniu dokumentów działkowców, ich spójność z nowym systemem warto sprawdzić z radcą prawnym.
Tak, i to formalność niezależna od tego, co już macie przygotowane. Skoro dostawca automatyzacji dotyka danych osobowych działkowców, staje się podmiotem przetwarzającym, a to wymaga osobnej umowy powierzenia na podstawie art. 28 RODO. W rjweb.pl taka umowa jest częścią wdrożenia od pierwszego dnia, nie dodatkiem do podpisania później.
Serwery w Unii Europejskiej oznaczają, że automatycznie obowiązuje RODO, i to najprostsza droga dla zarządu. Narzędzia z serwerami poza UE nie są zakazane, ale wymagają świadomego sprawdzenia oraz odpowiednich zabezpieczeń i umów. Aktualne wskazówki dla administratorów publikuje też Urząd Ochrony Danych Osobowych.
Sama wizytówka nie tworzy bazy działkowców ani nie zbiera ich danych w sposób systemowy, bo nie ma logowania i rejestru. To nie znaczy „zero danych”, bo formularz kontaktowy zbiera to, co wpisze nadawca, a witryna może używać plików cookies. Dlatego i tutaj należą się polityka prywatności oraz zgodny z prawem formularz, co jest standardem każdej strony.
Mniej ręcznej roboty, więcej kontroli. Od czego zacząć?
Automat liczy i przypomina, człowiek zatwierdza i odpowiada. Nie musicie zaczynać od pełnego systemu. Można ruszyć od zwykłej strony-wizytówki, gdzie temat danych działkowców w ogóle nie wchodzi w grę, i rozbudowywać ją dopiero w razie potrzeby.
Jeśli wolicie, żeby ktoś ustawił to zgodnie z tymi zasadami od początku, chętnie pomożemy. Umówcie bezpłatną, niezobowiązującą rozmowę.
Porozmawiajmy o stronie dla Waszego ogrodu
