Praktyczne wskazania z dnia 10 czerwca 2019 r. dotyczące przetwarzania danych osobowych przy organizacji pielgrzymek wydane przez KIOD

Transkrypt

1 Praktyczne wskazania z dnia 10 czerwca 2019 r. dotyczące przetwarzania danych osobowych przy organizacji pielgrzymek wydane przez KIOD Zastrzeżenia 1. Interpretacje zawarte w Praktycznych wskazaniach są przeznaczone wyłącznie do użytku wewnętrznego podmiotów kościelnych. 2. Interpretacje i porady należy uznać za wykonywanie przez KIOD zadań własnych, o których mowa w art. 37 ust. 1 pkt 2) i 3) Dekretu, tj. upowszechnianie wiedzy o ochronie danych osobowych w Kościele oraz doradzanie administratorom danych w zakresie ochrony danych osobowych. 3. Zastosowanie się do interpretacji i porad przed ich zmianą, wyłącza odpowiedzialność tylko i wyłącznie względem KIOD. Niniejsze Praktyczne wskazania składające się z: 1) Teoretycznego wstępu, 2) Praktycznych wskazań i 3) Pytań i odpowiedzi, 4) Wzorów, mają pomóc podmiotom kościelnym organizującym pielgrzymki i wyjazdy do miejsc kultu religijnego prawidłowo stosować przepisy dotyczące ochrony danych osobowych. 1. Teoretyczny wstęp 1.1. Pielgrzymka jako res mixta Pielgrzymowanie do miejsc kultu religijnego jest elementem życia religijnego, dlatego organizowanie pielgrzymek jest działaniem w ramach spraw własnych Kościoła katolickiego. Kluczowe zastosowanie przy przetwarzaniu danych osobowych będzie miał więc Dekret KEP z dnia 13 marca 2018 r. o ochronie osób fizycznych w związku z przetwarzaniem danych osobowych (dalej: Dekret). Jednakże, państwo reguluje prawnie organizację turystyki. W związku z tym podmiot organizujący pielgrzymkę stosować musi także prawo powszechnie obowiązujące, w tym regulacje dotyczące danych osobowych (np. RODO).

2 2 Zważywszy na powyższe należy stwierdzić, że co do zasady pielgrzymki mieszczą się w tzw. sprawach mieszanych (res mixtae), w których do przetwarzania danych osobowych zastosowanie będzie miał zazwyczaj i Dekret, i RODO. UWAGA: Praktyczne wskazania nie obejmują przetwarzania danych przy organizacji wycieczek szkolnych, do których zastosowanie będą miały głównie przepisy sektorowe, np. ustawa z 14 grudnia 2016 r. Prawo oświatowe (tekst jedn. Dz.U. z 2018 r. poz. 996 z późn. zm.) i jej akty wykonawcze Dane osobowe i ich przetwarzanie przy organizacji pielgrzymek W kontekście pielgrzymek danymi osobowymi będą informacje o osobie fizycznej, identyfikujące tę osobę lub umożliwiające jej zidentyfikowanie, takie jak np.: imię i nazwisko, numer PESEL, numer telefonu, adres. Za przetwarzanie danych przy organizacji pielgrzymek należy uznać działania na danych osobowych, a w szczególności: zbieranie danych, porządkowanie, przechowywanie, przeglądanie, wykorzystywanie, przesłanie lub innego rodzaju udostępnianie, usuwanie i niszczenie. Czasami jednak w kontekście pielgrzymek może dochodzić do przetwarzania danych szczególnie chronionych zwanych także danymi wrażliwymi. Będą to przede wszystkim informacje o stanie zdrowia pielgrzyma, w której zawierają się np. informacje o przebytych chorobach, diecie lub przyjmowanych lekach. UWAGA: Do przetwarzania takich danych wrażliwych należy uzyskać uprzednią, wyraźną zgodę, w przeciwnej sytuacji przetwarzanie takich danych jest zabronione Podmioty zaangażowane w przetwarzanie danych przy pielgrzymce A. Administratorem danych w zakresie organizacji pielgrzymki jest ta kościelna osoba prawna, która określa cel i sposób przetwarzania danych w celu jej przeprowadzenia. A więc najczęściej będzie to organizator pielgrzymki: parafia, diecezja lub zgromadzenie zakonne. Podmioty te działają jednak przez osoby uprawnione do

3 3 ich reprezentowania. I tak np. dla parafii będzie tą osobą proboszcz, dla diecezji biskup diecezjalny, a dla danej jednostki zgromadzenia zakonnego przełożony tej jednostki. Wymienione osoby fizyczne są zobowiązane do zapewnienia zgodności z prawem przetwarzania danych osobowych oraz ponoszą odpowiedzialność za ewentualne uchybienia, na gruncie prawa polskiego oraz prawa kanonicznego. Oczywistym jest jednak, że w procesie organizacji pielgrzymki powyżej wskazane osoby nie działają samodzielnie, ale także przez inne osoby upoważnione przez nich do działania dla tego podmiotu kościelnego. Będą to przykładowo koordynatorzy pielgrzymek, kierownicy grup pielgrzymkowych, wolontariusze, etc. Jeżeli te osoby, działające na zlecenie podmiotu kościelnego, mają dostęp do danych osobowych zebranych przez administratora, to powinny być odpowiednio do tego upoważnione i zobowiązane do zachowania tajemnicy w zakresie przetwarzanych danych osobowych. Przykładowo, proboszcz jako przedstawiciel parafii powinien pisemnie upoważnić np. wikarego do przetwarzania danych w zakresie organizacji pielgrzymki, z tym, że jeżeli wikary miał uprzednio upoważnienie do przetwarzania danych w zakresie wykonywania swoich obowiązków w parafii, to należy przyjąć, że obejmuje ono również organizację pielgrzymek. Upoważnienie takie może być przez wikarego udzielone innym osobom, jeżeli w upoważnieniu wskazano taką możliwość. Gdy takiej możliwości nie przewidziano, to wówczas upoważnienia wszystkim osobom zaangażowanym w organizację wycieczki, podpisuje proboszcz. Osoby reprezentujące dany podmiot kościelny ponoszą także odpowiedzialność za niezgodne z prawem działania osób przez nich upoważnionych. B. Drugim podmiotem, który może występować w procesie przetwarzania danych jest tzw. podmiot przetwarzający. Jest to odrębna od struktury administratora osoba fizyczna, prawna lub jednostka organizacyjna, która przetwarza dane osobowe w imieniu administratora. Przykładem podmiotów przetwarzających będzie osoba lub podmiot, który dostarcza usługę polegającą na utrzymaniu działalności strony internetowej, na której znajduje się platforma do zapisów (może także na serwerach tego

4 4 podmiotu będą zapisywane dane uczestników pielgrzymki). Taka umowa może być częścią szerszej umowy na świadczenie usług. Podmiotem przetwarzającym nie będą organizacje, którym przedstawia się jedynie dane statystyczne, np. catering, któremu podaje się wyłącznie liczbę osób. Z podmiotem przetwarzającym zgodnie z Dekretem oraz RODO należy zawrzeć umowę powierzenia przetwarzania danych osobowych, w której określi się sposoby działania na danych osobowych oraz odpowiedzialności podmiotu przetwarzającego za niezgodne z tą umową przetwarzanie danych. Postanowienia dotyczące przetwarzania danych mogą być także zawarte w umowie podstawowej między tymi podmiotami, np. umowie o usługę turystyczną. UWAGA: Umowa powierzenia przetwarzania nie zwalnia z odpowiedzialności samego administratora, który podjął decyzję o przekazaniu danych temu właśnie podmiotowi. C. Trzecim podmiotem, który może brać udział przy organizacji pielgrzymki, jest odbiorca danych. Dekret i RODO stanowią, że odbiorcą (w praktyce zwykło się go także nazywać odbiorcą końcowym) jest osoba fizyczna lub prawna, organ publiczny, bądź jednostka organizacyjna, której ujawnia się dane osobowe. Przykładem odbiorców mogą być podmioty realizujące zakwaterowanie dla pielgrzymów. Organy publiczne (takie jak Policja, prokuratura, sąd), które mogą otrzymywać dane osobowe w ramach konkretnego postępowania zgodnie z prawem, nie są uznawane za odbiorców. Zważywszy na punkty A, B i C w danym przypadku ocenić trzeba będzie, czy biuro podróży współpracujące w organizacji pielgrzymki będzie administratorem danych, czy podmiotem przetwarzającym, czy też innym podmiotem. Mogą zaistnieć następujące sytuacje: 1. Nie ma powierzenia danych. Jeżeli współpraca polegałaby np. na zapewnieniu tylko przewodnika, który informowany jest jedynie o liczbie pielgrzymów w

5 5 grupie, bez podawania ich danych osobowych. W takim wypadku nie dochodzi do powierzenia danych osobowych. 2. Dwóch administratorów. Jeżeli biuro turystyczne organizuje cały wyjazd, a parafia tylko zgłasza uczestników korzystając z pełnej obsługi biura (np. gotowej oferty biura turystycznego), wówczas będzie ono osobnym administratorem. W takim wypadku w informacji przekazywanej na podstawie art. 8 Dekretu i art. 13 RODO parafia powinna podać, że odbiorcą danych będzie także to biuro. 3. Powierzenie przetwarzania. Jeżeli zaś mamy do czynienia z sytuacją, gdy organizator pielgrzymki parafia w pełni decyduje o jej przebiegu, czyli miejscu docelowym pielgrzymki, rezerwacji wejść do wskazanych obiektów, liczby uczestników, rodzaju transportu, zaś biuro turystyczne tylko przyjmuje polecenia od parafii i na tej podstawie realizuje wskazany zakres usługi, to wówczas biuro będzie podmiotem przetwarzającym i konieczne będzie podpisanie z nim umowy o powierzeniu przetwarzania danych. W informacji przekazanej na podstawie art. 8 Dekretu i art. 13 RODO parafia powinna podać, że odbiorcą danych będzie także to biuro turystyczne jako podmiot przetwarzający. 4. Współadministrowanie. Możliwe także będzie, że dane biuro turystyczne będzie organizować dany wyjazd wspólnie z parafią na zasadzie ścisłej współpracy, czyli o sposobach i celach przetwarzania te dwa podmioty będą decydować razem. Wówczas będziemy mieli do czynienia ze współadministrowaniem. W takiej sytuacji konieczne będzie podpisanie umowy o współadministrowanie oraz odpowiednia informacja o tym zawarta w informacji udzielonej na podstawie art. 8 Dekretu i art. 13 RODO Cel zbierania danych Administrator, co do zasady, powinien określić cel, dla realizacji którego przetwarzanie danych jest niezbędne. W kontekście pielgrzymki celem tym będzie przede wszystkim właściwe zorganizowanie oraz skuteczne i bezpieczne jej przeprowadzenie.

6 6 W wielu przypadkach organizator po zakończonej pielgrzymce chce dalej pozostawać w kontakcie z jej uczestnikami, np. poprzez kontakt mailowy, przesyłanie newsletteru, czy informowanie o przyszłych wydarzeniach, np. o spotkaniu po pielgrzymce. Na taki dodatkowy cel przetwarzania danych (czyli cel sit venia verbo popielgrzymkowy) osoba, której dane dotyczą może wyrazić zgodę oraz musi być o tym celu poinformowana w klauzuli informacyjnej udostępnianej przy zapisie na pielgrzymkę. W klauzuli informacyjnej trzeba także poinformować tę osobę, że może ona cofnąć zgodę. Nie będzie takiej potrzeby, jeżeli informacja o spotkaniu popielgrzymkowym będzie przekazywana np. w drodze ogłoszeń parafialnych skierowanych do ogółu wiernych zebranych w kościele i dane uczestników pielgrzymki nie będą wykorzystane. Przetwarzanie danych osobowych do informowania o spotkaniach popielgrzymkowych może odbywać się także na podstawie uzasadnionego interesu prawnego administratora w postaci realizacji takich spotkań i podtrzymywania więzi po pielgrzymce z jej uczestnikami. W takim wypadku osoba, której dane dotyczą może w każdym czasie sprzeciwić takiemu przetwarzaniu jej danych. Wówczas zawsze trzeba uszanować jej wolę. UWAGA: Sprzeciw jest możliwy w sytuacji, gdy przetwarzanie danych odbywa się na podstawie RODO. W Dekrecie wprawdzie nie ma wprost wyszczególnionego prawa do sprzeciwu, ale można go wyinterpretować z innych przepisów prawa do prywatności Prawne podstawy przetwarzania danych Przy organizacji pielgrzymek podstawą prawną legalizującą przetwarzanie danych osobowych będą najczęściej: 1. wykonanie umowy między uczestnikiem i organizatorem zwykle podmiotem kościelnym czy to zawarta w formie pisemnej czy ustnej. Wówczas to parafia ma jakieś obowiązki i prawa względem zgłaszającego, a zgłaszający może mieć jakieś roszczenie wobec parafii i ma też obowiązki związane z zapisaniem się na pielgrzymkę. Przykładowo, po zapłacie zaliczki zgłaszający

7 7 może oczekiwać, że pielgrzymka się odbędzie, a jeżeli nie to otrzyma zwrot zaliczki. Natomiast parafia może wymagać, aby pielgrzym stawił się w określonym miejscu i czasie w celu rozpoczęcia podróży i zachowywał się w odpowiedni sposób w jej trakcie; albo 2. zgoda osoby, której dane dotyczą albo w przypadku małoletniej osoby jej opiekuna prawnego. Będzie miało to zastosowanie przy realizacji pielgrzymek, w czasie których parafia nie zobowiązuje się do rozbudowanych świadczeń turystycznych (taki jak np. dalekiego przewozu autokarem, zapewnienia noclegów i wyżywienia), lecz zapewnia jedynie duszpasterską opiekę. Taka sytuacja będzie miała miejsce, gdy np. podmiot kościelny organizuje pieszą pielgrzymkę. Tylko do sytuacji przetwarzania danych na podstawie zgody mają zastosowanie wzory z punktu 4.1. i 4.3. W takiej sytuacji (gdy cel jest duszpasterski i brak konieczności wykonania obowiązków przez parafię w zakresie turystycznym na podstawie ustaw świeckich) organem nadzorczym będzie wyłącznie Kościelny Inspektor Ochrony Danych. Na przetwarzanie danych zwykłych (vide pkt 1.2.) w powyższym wypadku wyrażenie zgody może być formie pisemnej lub ustnej. Jednakże dla wypełnienia przez administratora obowiązku rozliczalności, zasadnym jest jednak posiadanie potwierdzenia na piśmie uzyskania zgody na przetwarzanie danych osobowych zwykłych lub choćby w formie a. UWAGA: W sytuacji powyższej, gdy zbierane są także dane osobowe wrażliwe, należy zawsze posiadać potwierdzenie udzielenia wyraźnej zgody na przetwarzanie takich danych. Umowa i zgoda nie są jedyną podstawą prawną przetwarzania danych przy organizacji pielgrzymek. Przy przetwarzaniu danych osobowych zwykłych może to być także: 1. wypełnianie obowiązku prawnego ciążącego na administratorze zgodnie z przepisami prawa kanonicznego lub prawa świeckiego;

8 8 2. realizowanie zadania w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; 3. ochrona żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; 4. realizowanie celów wynikających z prawnie uzasadnionych interesów administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności, gdy osoba, której dane dotyczą, jest dzieckiem Zasady przetwarzania danych oraz obowiązki administratora Administrator musi przestrzegać zasad przetwarzania danych osobowych, od których początek biorą przepisy dotyczące ochrony danych. Są to zasady: 1. legalności (zgodność z prawem, rzetelność i przejrzystość) administrator musi zawsze wykazać podstawę prawną przetwarzania i wykazać się wypełnieniem swych obowiązków w sposób rzetelny i przejrzysty; 2. celowości (przetwarzanie musi być zgodne z konkretnym celem) dane osobowe mogą być przetwarzane wyłącznie w konkretnym celu i nie można poddawać ich dalszemu przetwarzaniu niezgodnemu z tym celem, a podmiot danych musi być o tym celu poinformowany; 3. adekwatności (minimalizacji danych) można zbierać tylko tyle danych, ile jest niezbędne do realizacji celu. Administrator przed rozpoczęciem zbierania danych musi przemyśleć, jakie dane są mu wyłącznie potrzebne i tylko te pozyskiwać od pielgrzymów; 4. poprawności (prawidłowości i aktualności danych); 5. ograniczonego czasu (retencja przechowywania) można przetwarzać dane osobowe tylko tak długo, jak długo istnieje cel, dla którego zostały zebrane; 6. integralności dane muszą być zabezpieczone, aby nie nastąpiła ich utrata, zniszczenie, zmiana lub uszkodzenie; 7. poufności dane muszą być chronione przed nieuprawnionym udostępnieniem; 8. rozliczalności administrator musi umieć udowodnić, że zrealizował swoje obowiązki wymagane prawem.

9 9 Do podstawowych obowiązków administratora (lub osoby przez niego upoważnionej) należy (wszystkie szczegółowo omówione w Podręczniku ochrony danych osobowych w Kościele katolickim, wersja 3.): 1. wyraźnie oznaczenie celu zbierania danych; 2. wskazanie na podstawę prawną przetwarzania; 3. upoważnienie osób mających dostęp do danych osobowych oraz zobowiązanie ich do zachowania tajemnicy w tym zakresie; 4. dopełnienie obowiązku informacyjnego wobec osób, których dane zebrał administrator. UWAGA: Dostosowanie się do przepisów przetwarzania danych na gruncie ochrony danych osobowych nie wyłącza możliwości dochodzenia roszczeń na gruncie innych przepisów. W sytuacji, gdy dopełnione zostaną wszystkich formalności z zakresu ochrony danych, ale nie zostanie zabezpieczona kwestii opieki medycznej w trakcie pielgrzymki lub zajęcia pasa drogowego. Niektóre sytuacje naruszenia ochrony przetwarzania danych mogą być także dodatkowo źródłem roszczeń wystosowanych na innej podstawie niż w zakresie ochrony danych osobowych, np. gdy naruszono dobra osobiste, np. imię, nazwisko (vide art. 23 Kodeksu cywilnego), poprzez bezprawne rozpowszechnienie wizerunku Organizacja przetwarzania danych osobowych Organizacja przetwarzania danych osobowych będzie dotyczyła przede wszystkim przekazywania danych pomiędzy podmiotami uprawnionymi oraz pracy na tychże danych. Dokumenty powinny być w taki sposób przekazywane, żeby nie doszło do przypadkowego ujawnienia danych osobom nieuprawnionym. Przy przetwarzaniu danych osobowych ważne jest to, aby przestrzegać podstawowe zasady ich ochrony, np. polityki czystego biurka, polityki czystego ekranu, zabezpieczania plików przesyłanych pocztą elektroniczną, pilnowania dokumentów w trakcie pielgrzymki etc.

10 10 2. Praktyczne wskazania 2.1. Zawarcie umowy na obsługę pielgrzymki z innym podmiotem przetwarzającym Niejednokrotnie będzie dochodziło do sytuacji, w której przy organizacji pielgrzymki będzie zawarta umowa z innym podmiotem na jej przeprowadzenie czy organizację. Do zawarcia umowy czasami niezbędne będą podstawowe informacje o pielgrzymie, takie jak jego imię, nazwisko, adres, numer PESEL, numer paszportu w przypadku wyjazdu zagranicznego poza teren strefy Schengen, itp. W zależności od tego, jaki będzie zakres tej umowy, może zajść potrzeba podania różnych danych. Niemniej jednak, należy pamiętać, aby były to dane niezbędne i rzeczywiście konieczne do zawarcia i prawidłowej realizacji umowy. Grupą danych osobowych, które nie zawsze są niezbędne do zawarcia umowy, mogą być dane, które mogą być jednak istotne dla prawidłowego jej wykonania. Będą to np. informacje o schorzeniach pielgrzyma, czy stosowanych przez niego dietach. Dane te (przekazywane zazwyczaj za zgodą) mogą być oczywiście przetwarzane, gdy możliwe jest podanie podstawy do tego Wykonywanie zdjęć pielgrzymów i ich publikacja w Internecie Tematyka udostępniania zdjęć w gazetce parafialnej czy Internecie została szeroko omówiona w Podręczniku ochrony danych osobowych w Kościele katolickim, wersja 3, pkt 28. Dla skrótowego przypomnienia: publikacja zdjęcia osoby w periodyku parafialnym dystrybuowanym wyłącznie w ramach tej wspólnoty i dla jej członków nie wymaga wcześniejszego uzyskania zgody osoby na zdjęciu jest bowiem dopuszczalna na mocy Dekretu. Wyjątkiem jest wyraźnie zastrzeżenie takiej publikacji dokonane przez osobę będącą na zdjęciu. W przypadku osób małoletnich zdjęcie można opublikować jedynie za zgodą rodziców lub opiekunów prawnych. Z kolei w przypadku zamiaru upublicznienia zdjęcia poza przestrzeń działania Kościoła np. poprzez umieszczenie w Internecie lub wydanie publikacji (np. książki) przeznaczonej do szerszego grona odbiorców niż parafianie, należy stosować (poza

11 11 Dekretem) także przepisy prawa powszechnie obowiązującego, w tym ustawy z dnia 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych (tekst jedn. Dz.U. z 2018 r. poz. 1191). Zgodnie z art. 81 tej ustawy rozpowszechnianie wizerunku wymaga zezwolenia osoby na nim przedstawionej. Zezwolenia nie wymaga rozpowszechnianie wizerunku: 1. osoby powszechnie znanej, jeżeli wizerunek wykonano w związku z pełnieniem przez nią funkcji publicznych np. duchownego prowadzącego pielgrzymkę; 2. osoby stanowiącej jedynie szczegół całości takiej jak zgromadzenie, krajobraz, publiczna impreza np. grupy pielgrzymów. UWAGA: Uzyskanie zezwolenia na wykonanie komuś zdjęcia (także w przypadku wspólnego selfie) nie oznacza, że takie zdjęcie może być upublicznione. Ważnym jest, szczególnie w kontekście pielgrzymek, aby zamieszczone zdjęcia nie przedstawiały osób w sytuacjach dla nich niekomfortowych. Zamieszczenie takiego zdjęcia może narazić podmiot kościelny na roszczenie związane z naruszeniem dóbr osobistych. Należy zatem zachować szczególną rozwagę i wyczucie Dopełnienie obowiązku informacyjnego oraz prawa przysługujące osobom, których dane dotyczą Jak wskazano powyżej, w przypadku zbierania danych osobowych niezbędne jest także dopełnienie obowiązku informacyjnego przez administratora. Najlepiej, z punktu widzenia zasady rozliczalności, aby administrator miał potwierdzenia udzielenia informacji. Są to informacje: 1) identyfikujące administratora i pozwalające się z nim skontaktować, 2) wskazujące cel przetwarzania danych, 3) podstawę prawną przetwarzania, 4) o odbiorcach oraz ewentualnie 5) zamiarze przekazania danych do podmiotu mającego siedzibę poza terytorium Rzeczypospolitej Polskiej, 6) o tym, jak długo dane będą przechowywane, 7) o prawach osoby: dostępu do danych, sprostowania, usunięcia (jeżeli będzie taka możliwość) lub ograniczenia przetwarzania, sprzeciwu na gruncie RODO oraz 8) o prawie wniesienia skargi do KIOD lub PUODO w zależności od rodzaju pielgrzymki. Zasadniczo obowiązek informacyjny powinien zostać dopełniony w momencie pozyskiwania danych osobowych przez administratora zazwyczaj będzie to moment wypełnienia formularza zgłoszeniowego.

12 12 Takiego obowiązku informacyjnego, o którym mowa odpowiednio w art. 13 RODO oraz art. 8 Dekretu można dokonać etapami (warstwowo). Praktycznym rozwiązaniem jest przy zgłoszeniu internetowy, po pozyskaniu adresu , wysłanie informacji o przyjęciu zgłoszenia i załączeniu do wiadomości klauzuli informacyjnej. Przy wypełnianiu formularza w formie papierowej praktycznym rozwiązaniem jest umieszczenie klauzuli informacyjnej na drugiej stronie formularza lub na dole strony, zwracając uwagę pielgrzymowi, żeby się z nią zapoznał Okres przechowywania danych osobowych zawartych w dokumentach związanych z organizacją pielgrzymki Dane osobowe mogą być przetwarzane tak długo, jak są niezbędne do realizacji celów przetwarzania, czyli zorganizowania i przeprowadzenia pielgrzymki. Niektóre dane powinny być jednak przechowywane ze względu na wymagania prawa, np. dane zawarte w dokumentach finansowych mają być przechowywane przez 5 lat zgodnie z ustawą z dnia 29 września 1994 r. o rachunkowości (tekst jedn. Dz.U. z 2019 r. poz. 351), a czasem mogą one zawierać dane osobowe. W przypadku, gdy podstawą przeprowadzenia pielgrzymki będzie umowa, wówczas warto zachować dokumenty z danymi także przez okres, w którym możliwe będzie pozwanie organizatora za niewykonanie lub nienależyte wykonanie umowy lub za powstałą w trakcie pielgrzymki szkodę (okres przedawnienia w Kodeksie cywilnym). Planowany okres przechowania danych może zostać przedłużony, gdy pozyskano informację o zgłoszeniu roszczenia w zakresie dotyczącym przetwarzanych przez administratora danych. Wtedy okres odpowiednio wydłuża się do czasu prawomocnego rozstrzygnięcia sprawy. Należy wskazać, że dłuższe niż w minimalnym okresie niezbędnym do realizacji celów przetwarzanie danych osobowych jest niezgodne z zasadami ograniczenia przechowywania, ale także adekwatności i ograniczonego celu Dokumenty dotyczące ochrony danych osobowych przy organizacji pielgrzymek Do realizacji zasady rozliczalności przez administratora w zakresie prawidłowego przetwarzania danych osobowych wymagane jest, aby organizator pielgrzymki:

13 13 1. zawarł przetwarzanie danych w zakresie pielgrzymki w rejestrze czynności przetwarzania; 2. posiadał udzielone upoważnienia do przetwarzania danych osobowych (czy to tylko na daną pielgrzymkę, czy w ramach upoważnienia udzielonego wcześniej do szerszego zakresu, w którym mieści się organizacja pielgrzymki); 3. potrafił udowodnić zrealizowanie obowiązku informacyjnego; 4. posiadał potwierdzenie udzielenia zgód przez osoby, których dane dotyczą, gdy podstawą przetwarzania będzie zgoda. Te potwierdzenia mogą być także w wersji elektronicznej. Zaleca się także przygotowanie Regulaminu pielgrzymki, w którym ujęte mogą zostać także podstawowe kwestie dotyczące zasad ochrony danych osobowych pielgrzyma (vide pkt 4.4.). 3. Pytania i odpowiedzi 3.1. Czy w przypadku zasłabnięcia można przekazać dane osobowe, w tym dane wrażliwe o stanie zdrowia służbom medycznym lub osobom bliskim? Dekret i RODO przewidują taką możliwość. Przetwarzanie takich danych odbywać się będzie na podstawie przesłanki legalizacyjnej określonej jako ochrona żywotnych interesów osoby. Ochrona życia i zdrowia pielgrzyma przeważa w takiej sytuacji nad jego prawem do prywatności Czy można stosować formularze internetowe zapisów na pielgrzymki? Zasadniczo można stosować takie powszechnie wykorzystywane formularze. Należy zadbać, aby były one prawidłowo zabezpieczone (np. hasłem) i nie doszło do wycieku danych osobowych tam zawartych. Należy pamiętać, że stosowanie formularzy internetowych nie zwalnia z obowiązków uzyskania zgody i poinformowania przez administratora o przetwarzaniu danych osobowych. W przypadku internetowych zapisów i po pozyskaniu adresu zgłaszającego, można wysłać mu informację o przyjęciu zgłoszenia i załączeniu do wiadomości klauzuli informacyjnej.

14 Czy przepisy o ochronie danych osobowych mają zastosowanie między uczestnikami pielgrzymki? Przepisów o ochronie danych osobowych nie stosuje się w kontaktach prywatnych i w działalności czysto osobistej. Wskazuje na to jednoznacznie motyw 4 i 18 RODO oraz art. 2 ust. 2 pkt c) RODO. Przepis ten wprost wyłącza stosowanie RODO do czynności przetwarzania danych osobowych przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze Czy można zamieszczać listę uczestników jako publicznie dostępną w Internecie? Zasadniczo można to uczynić uzyskując uprzednią zgodę osób, których dane dotyczą Czy przekazanie informacji o liczbie osób jest przetwarzaniem danych osobowych? Czy można to zrobić? Przekazanie danych statystycznych zasadniczo nie jest przetwarzaniem danych osobowych, ponieważ nie dochodzi do identyfikacji osoby, które uczestniczą w pielgrzymce. Można zatem takie dane zawsze przekazać Czy i komu można przekazać listę pielgrzymów, np. w sytuacji popełnienia przestępstwa kradzieży? Co do zasady, osoba pokrzywdzona może wnioskować o udostępnienie danych osobowych pielgrzymów. Jednakże w praktyce administrator będzie miał podstawy, aby udostępniać takie dane tylko w zakresie postępowania prowadzonego przez odpowiednie organy i tylko tym organom (Policję, prokuraturę, sąd). Wówczas najczęściej ten właśnie organ będzie bezpośrednio żądał od administratora danych ujawnienia tych informacji. W takiej jednak sytuacji po wpłynięciu żądania od osoby pokrzywdzonej winno się zabezpieczyć ten zbiór, na wypadek prośby ze strony wskazanych wyżej organów Czy można wyczytywać osoby z imienia i nazwiska przez mikrofon? Przetwarzaniem danych osobowych jest udostępnienie listy uczestników pielgrzymki prowadzącym grupę lub innym osobom także poprzez jej odczytanie. Jeżeli uczestnicy pielgrzymki stanowią taką grupę, w której osoby się znają, a tak należy uznać w

15 15 przypadku grupy pielgrzymkowej, to nie obowiązują pomiędzy nimi normy z RODO lub Dekretu. Listę w takiej grupie można więc odczytać. Także w przypadku, gdyby odczytanie nazwiska miało odbyć się na szerszym forum, to można wyczytać osobę przez mikrofon, np. z prośbą o podejście, gdy jest to uzasadnione. Podstawą takiego działania będzie realizowanie uzasadnionego interesu administratora danych lub interesu osoby, której dane dotyczą Czy organizator pielgrzymki lub osoby przez niego upoważnione mogą zażądać okazania identyfikatora lub karty pielgrzyma? Organizator, jak i osoby przez niego upoważnione mają prawo potwierdzenia tożsamości pielgrzyma poprzez przedstawienie odpowiedniego dokumentu potwierdzającego jego tożsamość. Działają oni w ramach uzasadnionego interesu administratora, którym jest konieczność zapewnienia właściwego przebiegu pielgrzymki. Zasadnym jest, aby przepis o takiej możliwości został zawarty w regulaminie pielgrzymki. 4. Wzory Podane wzory trzeba zawsze stosować mutatis mutandis. Informacje zawarte w klauzuli informacyjnej należy przedstawiać w sposób prosty i komunikatywny Wzór zgody na przetwarzanie danych osobowych uczestnika pielgrzymki UWAGA: Zwykle podstawą przetwarzania w przypadku pielgrzymek będzie umowa, a nie zgoda (vide pkt 1.5). Zgoda na przetwarzanie danych osobowych Oświadczam, iż wyrażam zgodę na przetwarzanie przez administratora (nazwa parafii lub innej kościelnej publicznej osoby prawnej) moich danych osobowych: (np. imię i nazwisko lub inne gdy zainteresowany jest pełnoletni) albo danych osobowych (np. imię i nazwisko zainteresowanego gdy nie jest on pełnoletni), którego jestem przedstawicielem ustawowym, w celu organizacji pielgrzymki.

16 16 UWAGA: przy większej liczbie celów trzeba się zastanowić, czy nie ma konieczności wprowadzenia możliwość wyrażenia osobnej zgody na różne cele w formie zaznaczenia pustych kwadratów lub podpisów pod każdym osobnym celem. Wyrażam zgodę na przetwarzanie moich danych wrażliwych (np. dotyczących zdrowia). Wyrażam zgodę na przetwarzanie moich danych w zakresie wizerunku i wykorzystanie ich (np. w periodyku parafialnym). Wyrażam zgodę na przetwarzanie moich danych w celach organizacji spotkania popielgrzymkowego. (Można dopisać inne cele). Powyższa zgoda została wyrażona dobrowolnie i może być cofnięta w każdym czasie. (miejsce, data i podpis zainteresowanego albo jego przedstawiciela ustawowego) 4.2. Wzór klauzuli informacyjnej przy zbieraniu danych (do przetwarzania na podstawie umowy) Klauzula informacyjna Zgodnie z art. 13 RODO oraz art. 8 Dekretu informuję, że: 1. Administratorem danych jest (nazwa podmiotu, adres, ). 2. (ewentualnie) Kontakt z inspektorem ochrony danych ustanowionym przez organizatora wycieczki: (np. ). 3. Celem przetwarzania danych jest (np.): organizacja pielgrzymki (jakiej?); właściwe zorganizowanie i bezpiecznie przeprowadzenie pielgrzymki; udokumentowanie jej przebiegu (np. w periodyku parafialnym); (ewentualnie: a także obrona przed roszczeniami lub dochodzenie roszczeń po jej zakończeniu); podtrzymywanie więzi po pielgrzymce z uczestnikami pielgrzymki. 4. Podstawą prawną przetwarzania jest umowa.

17 17 5. Także podstawą prawną przetwarzania w zakresie są przepisy prawa polskiego (np. konieczność wykonania obowiązku, np. rachunkowego, podatkowego) lub kanonicznego (wynikające np. z dekretu biskupa). 6. Podstawą prawną przetwarzania w zakresie przetwarzania danych po zakończeniu pielgrzymki jest uzasadniony interes prawny administratora polegający na możliwości obrony przed roszczeniami lub dochodzeniu ewentualnych roszczeń dotyczących realizacji pielgrzymki, a także polegający na możliwości udokumentowania przebiegu pielgrzymki (np. w periodyku parafialnym). UWAGA: Jeżeli były zbierane w tym zakresie zgody: W zakresie informowania (np. o spotkaniach popielgrzymkowych) dane są przetwarzane na podstawie Pani/Pana. Zgodę w tym zakresie można cofnąć w każdym czasie. UWAGA: Jeżeli nie były zbierane w tym zakresie zgody. W zakresie informowania (np. o spotkaniach popielgrzymkowych) dane są przetwarzane na podstawie uzasadnionego interesu prawnego administratora w postaci realizacji tych spotkań i podtrzymywania więzi po pielgrzymce z jej uczestnikami. W każdym czasie możecie się państwo sprzeciwić takiemu przetwarzaniu Państwa danych. 8. Odbiorcami danych są (mogą być) następujące podmioty: (np. firma ubezpieczeniowa). 9. Dane będą przetwarzane przez czas trwania pielgrzymki a następnie odpowiadający okresowi przedawnienia roszczeń lub wymagań prawnych w zależności, który z nich upłynie później. 10. Dane (nie) będą przekazywane do publicznej kościelnej osoby prawnej mającej siedzibę poza terytorium Rzeczypospolitej Polskiej, czyli do (wpisać kraj). 11. Przysługuje Pani/Panu prawo wniesienia skargi do organu nadzorczego, którym jest Prezes Urzędu Ochrony Danych (w sprawach regulowanych prawem świeckim) lub Kościelny Inspektor Ochrony Danych (w zakresie objętym prawem kanonicznym). 12. Ma Pani/Pan prawo dostępu do swoich danych, ich sprostowania, a także usunięcia i ograniczenia przetwarzania oraz wniesienia sprzeciwu w przypadkach przewidzianych prawem. 13. Pani/Pana dane nie będą przetwarzane w sposób zautomatyzowany, w tym profilowane.

18 Wzór klauzuli informacyjnej przy zbieraniu danych (do przetwarzania na podstawie zgody) Klauzula informacyjna Zgodnie z art. 13 RODO oraz art. 8 Dekretu informuję, że: 1. Administratorem danych jest (nazwa podmiotu, adres, ). 2. (ewentualnie) Kontakt z inspektorem ochrony danych ustanowionym przez organizatora wycieczki: (np. ). 3. Celem przetwarzania danych jest (w zależności od tego, na co wyrażono zgodę, np.): organizacja pielgrzymki (jakiej?); właściwe zorganizowanie i bezpiecznie przeprowadzenie pielgrzymki; udokumentowanie jej przebiegu (np. w periodyku parafialnym); (ewentualnie: a także obrona przed roszczeniami lub dochodzenie roszczeń po jej zakończeniu); podtrzymywanie więzi po pielgrzymce z jej uczestnikami. 4. Podstawą prawną przetwarzania jest zgoda. 5. Odbiorcami danych są (mogą być) podmioty, przy pomocy których administrator realizuje swoje cele: (np. firma ubezpieczeniowa). 6. Dane będą przetwarzane do czasu wycofania zgody. 7. Dane (nie) będą przekazywane do publicznej kościelnej osoby prawnej mającej siedzibę poza terytorium Rzeczypospolitej Polskiej, czyli do (wpisać kraj). 8. Przysługuje Pani/Panu prawo wniesienia skargi do organu nadzorczego, którym jest Kościelny Inspektor Ochrony Danych. 9. Ma Pani/Pan prawo dostępu do swoich danych, ich sprostowania, a także usunięcia i ograniczenia przetwarzania jednak w przypadkach przewidzianych prawem. 10. Ma Pani/Pan prawo do cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem. 11. Pani/Pana dane nie będą przetwarzane w sposób zautomatyzowany, w tym profilowane.

19 Wzór przepisów dotyczących przetwarzania danych osobowych do umieszczenia w Regulaminie pielgrzymki Regulamin pielgrzymki organizowanej przez (organizator) w dniach (data) (numer) Przetwarzanie danych osobowych uczestnika pielgrzymki 1. Przy organizacji pielgrzymki, jak i w jej trakcie dochodzić będzie do przetwarzania danych osobowych pielgrzymów. 2. Podstawą przetwarzania danych będą zarówno przepisy prawa powszechnie obowiązującego, w szczególności RODO, jak i przepisy prawa kanonicznego, w szczególności Dekret Ogólny KEP z dnia 13 marca 2018 r. o ochronie osób fizycznych w związku z przetwarzaniem danych osobowych (albo tylko prawo kanoniczne, vide pkt 1.5.). 3. Przesłanką legalizującą przetwarzanie danych osobowych będzie (obowiązek należytego wykonania umowy zawartej z pielgrzymem albo zgoda pielgrzyma). 4. Pielgrzym jest zobowiązany okazać kartę pielgrzyma i identyfikator na wezwanie Organizatora lub inny dokument potwierdzający jego tożsamość. 5. Organizator zapewnia przetwarzanie danych zgodnie z prawem. Wszystkie osoby fizyczne uczestniczące w procesie przetwarzania danych przy organizacji pielgrzymki, tj. służba zostały upoważnione i zobowiązane do zachowania tajemnicy w tym zakresie. 6. Żądanie dotyczącego przetwarzania danych osobowych, powinno być kierowane do kierownika pielgrzymki. W takim przypadku stosuje się odpowiednio przepisy Dekretu i RODO. 7. Dane osobowe mogą być także udostępnione służbom państwowym, w szczególności Policji i prokuraturze, po otrzymaniu pisemnego żądania ich wydania. 8. Zdjęcia z pielgrzymki wykorzystane będą dla udokumentowania jej przebiegu (np. w periodyku parafialnym) oraz do celów archiwalnych.