GDPR a spolky

Řadu spolků trápí v současnosti otázky související s aplikací nařízení Evropského parlamentu a Rady 2016/679/EU o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (GDPR). S GDPR se stává jakési strašidlo. Spolky řeší jak budou získávat souhlasy se zpracováním kontaktních údajů od stovek svých členů, zda mohou na svých spolkových akcích pořizovat fotografie, zda mohou na svých webových stránkách zveřejnit kontaktní údaje na své funkcionáře.
Funkcionáři spolků navštěvují nejrůznější školení, na nichž jsou většinou strašeni, jak může být zlikvidován jejich spolek udělením drakonických pokut za porušení GDPR. Většina spolkových obav je neopodstatněná.
Spolky podle §236 OZ mohou vést seznam členů. Pokud spolek seznam vede, určí ve stanovách, jakým způsobem provádí v seznamu zápisy a výmazy týkající se členství osob ve spolku. Vedení seznamu členů spolku je zákonným zpracováním údajů ve smyslu čl. 6 GDPR, v tomto případě není nutno, ani nelze vyžadovat souhlas se zpracováním osobních údajů. GDPR nijak nebrání zpracování údajů členů spolků. Spolek musí být schopen zajistit svým členům realizaci jejich členských práv včetně podílu na realizaci účelu spolku. K tomu spolek potřebuje mít k dispozici údaje člena – jméno, příjmení, adresu, číslo telefonu, e-mailovou adresu. Vedení a použití těchto údajů např. pro zasílání pozvánek, nekomerčních sdělení, časopisů vydávaných spolkem, je realizací oprávněného zájmu spolku podle čl. 6 odst.1 písm.f) GDPR. V takovém případě se nevyžaduje k nakládání s údaji členů spolku jejich souhlas se zpracováním osobních údajů.
Obdobně není nutné mít souhlas s uveřejněním jmen a příjmení, funkce a kontaktních údajů na funkcionáře spolku. I zde je dán oprávněný zájem spolku na zveřejnění údajů o funkcionářích. Tyto informace jsou potřebné pro členskou základnu spolku i možnost veřejnosti obracet se na příslušné funkcionáře při realizaci účelu spolku. Je však potřeba dbát na to, aby byly zveřejněny pouze údaje nezbytné. 
Podle §236 odst.3 OZ se vyžaduje souhlas všech členů spolku v seznamu uvedených s uveřejněním seznamu tj. s jeho zpřístupněním veřejnosti mimo členskou základnu spolku. Neposkytne-li člen tento souhlas, lze seznam zveřejnit bez jeho jména s uvedením, že se jedná o seznam neúplný.
Úřad pro ochranu osobních údajů poskytl i jednoznačné stanovisko v otázce vyžadování souhlasu se zpracováním osobních údajů osob, pro které spolek zajišťuje služby, činnost a kteří nejsou členy spolku. Cituji: „Poskytování služeb osobám, které nejsou členy spolku (např. charita), se děje na smluvním základě, bez ohledu na to, zda je sjednáno písemně či nikoliv, jedná se o zpracování dle čl. 6 odst. 1 písm. b) GDPR. Souhlas se zpracováním údajů proto nelze vyžadovat. Náplni poskytované služby však vždy musí obsahově odpovídat zpracování údajů (např. vedení evidence a záznamů o klientech), klienty je třeba o zpracování řádným a přiměřeným způsobem informovat (zejména o důvodech vyžadování a způsobech zpracování, vč. předávání údajů).“ (Zdroj: www.uoou.cz)
I když nemusejí spolky pro naprostou většinu svých aktivit vyžadovat souhlas svých členů nebo osob, kterým poskytují služby, vztahuje se na ně povinnost podle čl.12 GDPR poskytnout subjektům osobních údajů stručným, transparentním, srozumitelným a snadno přístupným způsobem informace o tom, jaké osobní údaje zpracovává,  k jakému účelu spolek jako správce údaje zpracovává, z jakých důvodů (na základě zákona, z oprávněného zájmu), po jakou dobu a jaká jsou práva subjektů, jejichž osobní údaje spolek zpracovává, ve vztahu k těmto osobním údajům tj. právo na přístup k osobním údajům, právo na opravu, resp. doplnění, právo na omezení zpracování, právo na přenositelnost údajů, právo vznést námitku a právo na výmaz. Takovouto informaci však může spolek dát na vědomí členům např. zveřejněním na webové stránce spolku nebo jiným způsobem, který používá k informování svých členů o činnosti spolku.
Dalším otázkou, s níž se spolky potýkají, je zda na akcích spolku mohou pořizovat a následně zveřejňovat fotografie. Není třeba se nadbytečně bát. Spolek může zveřejňovat fotografie ze svých akcí. Dle stanoviska ÚOOÚ se při pořizování a zveřejňování reportážních a propagačních fotografií nejedná primárně o problematiku ochrany osobních údajů, ale o postup, kdy je nutné respektovat ustanovení § 84 a násl. občanského zákoníku, která upravují pořizování podobizny. Fotografie z akcí spolku, které zachycují spíše atmosféru než jednotlivé osoby, lze pořizovat bez individuálního souhlasu na nich zachycených osob v rámci tzv. zpravodajské licence. Lze však doporučit, aby při informaci o akci, v jejích propozicích bylo uvedeno, že na akci bude pořizována fotodokumentace. Pokud se jedná o pořizování fotografií, které mají portrétní charakter, je třeba při jejich pořizování získat souhlas dané osoby nebo skupiny osob. Ten může být udělen např. podpisem souhlasu při registraci na akci.
ÚOOÚ zaujal i stanovisko ke sportovní činnosti spolků apod. a zveřejňování osobních údajů členů hráčů společně s fotografiemi. Opět cituji: „V případě veřejně provozovaných aktivit, zejména sportu, jsou různé formy prezentace hráčů s uváděním jejich jmenných údajů nezbytné a přirozené. Zveřejnění takových údajů (např. společně s fotografiemi nebo na výsledkových listinách) se neděje na základě souhlasů hráčů (který tak ani nelze vyžadovat), ale je dovoleným zpracováním na základě oprávněného zájmu sportovního klubu.“

JUDr. Lenka Deverová