Jak zbierać podpisy zgodnie z RODO w codziennej działalności?

RODO wyraźnie określa, jak należy zbierać podpisy w codziennej działalności, gdy przetwarzanie danych odbywa się z użyciem choć częściowo zautomatyzowanych środków – takich jak komputer lub internetowy formularz. Najważniejsze obowiązki obejmują minimalizację zbieranych danych, uzyskanie wyraźnej zgody i prawidłowe informowanie osób podpisujących się pod petycjami czy inicjatywami [1][4]. Szczegóły opisane są poniżej.

Zakres danych i minimalizacja

RODO nakłada obowiązek minimalizacji danych – przy zbieraniu podpisów możesz pozyskiwać wyłącznie te informacje, które są niezbędne do realizacji określonego celu. W przypadku petycji wymagane są jedynie imię, nazwisko oraz miejsce zamieszkania, zgodnie z ustawą o petycjach (art. 4 ust. 2). Nie wolno zbierać zbędnych danych takich jak PESEL, chyba że przewiduje to szczególny przepis (np. inicjatywa ustawodawcza wymaga dodatkowo numeru PESEL)[1][4]. Każde pozyskanie nadmiarowych danych jest naruszeniem RODO i grozi sankcjami [1][2][4].

Zgoda jako podstawa przetwarzania danych

Zasadniczo zgoda stanowi podstawę prawną przetwarzania danych – powinna być dobrowolna, świadoma i jednoznaczna. Oznacza to, że dane osoby są przetwarzane dopiero po jej wyraźnym działaniu: podpisaniu listy lub zaznaczeniu checkboxu [1][5][6]. Nie dopuszcza się domyślnych zgód ani pozostawiania pustych pól. Brak aktywnego działania nie oznacza zgody [2][5].

Zgoda musi być granularna – osobno wyrażona np. na udział w petycji, a osobno na subskrypcję newslettera. Administrator ma obowiązek udokumentować otrzymanie zgody przez cały okres przetwarzania danych [1][4][6].

Osoba udzielająca zgody musi mieć możliwość jej cofnięcia w dowolnym momencie, a wycofanie nie wpływa na zgodność przetwarzania danych przed tym momentem [4][6].

Klauzula informacyjna i obowiązki administratora danych

Kluczową rolę odgrywa prawidłowa klauzula informacyjna RODO. Administrator zobowiązany jest poinformować osobę podpisującą się pod petycją czy listą o:

• tożsamości administratora danych,
• celach oraz podstawach prawnych przetwarzania danych,
• prawie do cofnięcia zgody, dostępu, sprostowania oraz usunięcia danych,
• okresie przechowywania danych,
• braku profilowania ani podejmowania automatycznych decyzji

Szczegółowe obowiązki wynikają z art. 13 RODO [1][3][5].

Administrator danych ponosi pełną odpowiedzialność za legalność przetwarzania oraz za dokumentację otrzymanych zgód [4][6].

Zabezpieczenie list i ochrona danych

RODO wymaga skutecznych zabezpieczeń przy zbieraniu podpisów. Listy z podpisami należy chronić przed dostępem osób nieuprawnionych – w praktyce oznacza to m.in. nadzór nad dokumentacją, zakrywanie wypełnionych pól, a w przypadku przetwarzania elektronicznego zabezpieczenie haseł oraz dostępów [2][7].

Brak odpowiednich zabezpieczeń może prowadzić do poważnych konsekwencji – przykładowo, za nieprzestrzeganie tych zasad nałożono administracyjną karę pieniężną na Komitet Inicjatywy Ustawodawczej „Stop LGBT” w wysokości 10 913 zł [2].

Proces zbierania podpisów zgodnie z RODO

Bezpieczne i zgodne z RODO zbieranie podpisów obejmuje kolejne kroki:

1. Określenie celu przetwarzania – warunkiem jest jasno sprecyzowany cel, np. reprezentacja w petycji na podstawie art. 6 ust. 1 lit. c RODO [1][3].
2. Zbieranie minimalnych niezbędnych danych – zgodnie z ustawą o petycjach lub innymi przepisami szczególnymi [1][4].
3. Uzyskanie jednoznacznej zgody – wyrażonej aktywnie przez podpis czy kliknięcie [5][6].
4. Przekazanie jasnej klauzuli informacyjnej RODO – informującej o wszystkich istotnych elementach [3][5].
5. Zabezpieczenie list z podpisami – ochrona przed ich ujawnieniem i nieuprawnionym przetwarzaniem [2][7].
6. Dokumentowanie zgody oraz procesów przetwarzania – administrator musi być w stanie wykazać uzyskanie zgody przez cały okres przetwarzania [1][5].

Kary za naruszenia i obowiązki prawne

UODO kładzie nacisk na przestrzeganie procedur oraz na skuteczne zabezpieczenie danych osobowych. Za naruszenia grożą kary od kilku tysięcy do nawet milionów euro, jeśli naruszenie ma charakter systemowy [2]. W razie błędów – na przykład niewłaściwej klauzuli informacyjnej lub nieodpowiedniego zabezpieczenia listy – administrator naraża się na odpowiedzialność finansową i wizerunkową [2][7].

Rola trendów i zmieniających się wytycznych

Rosnące zainteresowanie inicjatywami obywatelskimi oraz kampaniami społecznymi sprawia, że coraz większą uwagę przykłada się do przepisów RODO przy zbieraniu podpisów. Urząd Ochrony Danych Osobowych aktualizuje swoje zalecenia i intensyfikuje kontrole w obszarze zabezpieczenia danych oraz dokumentowania zgody [2][7]. Tworzone są nowe, bardziej przejrzyste wzory klauzul informacyjnych. Administratorzy powinni na bieżąco aktualizować procedury zgodnie z najnowszymi wytycznymi, aby uniknąć ryzyka naruszeń [2][7].

Podsumowanie najważniejszych zasad zbierania podpisów z RODO

Zbieranie podpisów zgodnie z RODO wymaga ścisłego przestrzegania zasady minimalizacji, aktywnego uzyskania zgody, przekazania właściwej klauzuli informacyjnej oraz zabezpieczenia wszystkich list lub formularzy. Administrator musi nieprzerwanie dokumentować uzyskane zgody i zapewnić każdej osobie możliwość wycofania zgody w dowolnym momencie [1][4][6]. Szczególne znaczenie mają również środki zabezpieczające przed dostępem osób trzecich oraz monitorowanie zmian w wytycznych UODO. Nieprzestrzeganie powyższych zasad grozi dotkliwymi sankcjami [2][7].

Źródła:

• [1] https://www.sk-kancelaria.com.pl/2021/03/03/rodo-a-zbiorka-podpisow-pod-petycja/
• [2] https://uodo.gov.pl/pl/138/3078
• [3] https://platforma.org/upload/document/199/attachments/396/Klauzula%20inf.%20RODO%20zal.%20do%20Instrukcji%20zbierania%20podpisow.pdf
• [4] https://siecobywatelska.pl/petycja-a-ochrona-danych-osobowych/
• [5] https://inspektorzyodo.pl/kryteria-zgody-i-zasady-jej-dokumentowania-na-gruncie-rodo/
• [6] https://www.parp.gov.pl/component/content/article/75021:zgoda-jako-podstawa-prawna-przetwarzania-danych-osobowych-kiedy-nalezy-ja-stosowac
• [7] https://uodo.gov.pl/pl/file/1447