Za jakých podmínek lze vést seznam a dále zpracovávat údaje členů spolku, včetně kontaktů?

Pravidla pro seznam členů spolku stanoví § 236 občanského zákoníku. Vedení evidence je zákonným zpracováním údajů ve smyslu čl. 6 GDPR, v tomto případě není nutno, ani nelze vyžadovat  souhlas se zpracováním osobních údajů. GDPR nijak speciálně neupravuje a tím ani nebrání zpracování kontaktních údajů. Vedení a použití dobrovolně sdělených čísel telefonů či e-mailů, např. pro zasílání pozvánek či nekomerčních sdělení, např. zpravodajů, je realizací oprávněného zájmu spolku podle čl. 6 odst. 1 písm. f) GDPR.

V jakých situacích potřebuje spolek získat souhlas členů se zpracováním? Může spolek zveřejňovat seznam členů nebo musí získat jejich souhlas?
Obecně platí, že pro běžné a každodenní činnosti spolku není souhlas členů spolku potřeba a nelze jej vyžadovat.  Avšak pro zveřejnění seznamu členů spolků stanoví občanský zákoník, že se tak může stát jen se souhlasem členů (viz § 236 občanského zákoníku).

Jsme malý spolek, avšak zajišťujeme služby pro spoluobčany a zpracováváme tedy větší množství osobních údajů. Potřebujeme k tomu souhlas?

Ne, poskytování služeb osobám, které nejsou členy spolku (např. charita), se děje na smluvním základě, bez ohledu na to, zda je sjednáno písemně či nikoliv, jedná se o zpracování dle čl. 6 odst. 1 písm. b) GDPR. Souhlas se zpracováním údajů proto nelze vyžadovat. Náplni poskytované služby však vždy musí obsahově odpovídat zpracování údajů (např. vedení evidence a záznamů o klientech), klienty je třeba o zpracování řádným a přiměřeným způsobem informovat (zejména důvodech vyžadování a způsobech zpracování, vč. předávání údajů).

Může spolek zveřejňovat fotografie z pořádaných společných akcí, představení, veřejných vystoupení, na nichž jsou společně s pořadateli, vystupujícími, herci a dalšími účastníky zachyceni i návštěvníci akcí a širší veřejnost?

Ano, může. Při pořizování a zveřejňování reportážních a propagačních fotografií se nejedná primárně o problematiku ochrany osobních údajů, ale o postup, kde je třeba se při jejich pořizování chovat slušně – zejména respektovat ustanovení § 84 a násl. občanského zákoníku, která upravují pořizování podobizny.

Dostali jsme na akci (výlet, představení, zájezd) veřejnou dotaci. Musíme pro kontrolu vynaložených prostředků vydat kontrolujícímu seznam účastníků (podpořených osob) či jejich další osobní údaje?

Kontrola materiálů s osobními údajů je jistě na místě, pokud byla dotace cílena na konkrétní osoby. V jiných případech je nutné přihlédnout k rozsahu a povaze dotace.

Jsme sportovní klub s řadou zákonných povinností, mění nějak GDPR tato zvláštní pravidla?

GDPR nic nemění na plnění zvláštních povinností, které se týkají povinných ohlašování údajů, např. v rámci postupů dle zákona o podpoře sportu či při poskytování dotací. Taková zpracování jsou nezbytná pro splnění právních povinností dle čl. 6 odst. 1 písm. c) GDPR.

Brání předpisy o ochraně osobních údajů tomu, aby sportovní klub zveřejňoval jmenné osobní údaje svých členů (hráčů) společně s fotografiemi?

V případě veřejně provozovaných aktivit, zejména sportu, jsou různé formy prezentace hráčů s uváděním jejich jmenných údajů nezbytné a přirozené. Zveřejnění takových údajů (např. společně s fotografiemi nebo na výsledkových listinách) se neděje na základě souhlasů hráčů (který tak ani nelze vyžadovat), ale je dovoleným zpracováním na základě oprávněného zájmu sportovního klubu.

Má spolek povinnost jmenovat pověřence pro ochranu osobních údajů?
Činnost malého spolku nebude spadat pod činnosti uvedené v článku 37 odst. 1 písm. a), b) a c) GDPR, na základě kterých vzniká správci povinnost jmenovat pověřence pro ochranu osobních údajů. Takový spolek není orgánem veřejné moci ani veřejným subjektem ani zpravidla neprovádí zpracování vyžadující rozsáhlé pravidelné a systematické monitorování subjektů údajů ani rozsáhlé zpracování zvláštních kategorií údajů uvedených v článku 9 a osobních údajů týkajících se rozsudků v trestních věcech a trestných činů uvedených v článku 10 GDPR.