RODO w szkółce sportowej: dokumenty, zgody i dane dzieci w praktyce
Szkółka sportowa przetwarza dane dzieci i rodziców: imiona, wiek, telefony, adresy, czasem dane o zdrowiu. To oznacza obowiązki z RODO niezależnie od wielkości szkoły. Poniżej praktyczna lista z perspektywy szkoły pływania. To nie jest porada prawna — przy wątpliwościach skonsultuj dokumenty z prawnikiem.
Kto jest administratorem danych
Administratorem danych uczestników jest szkoła — to ona decyduje, po co i jak przetwarza dane. Dostawca systemu zapisów, poczty czy SMS jest podmiotem przetwarzającym: przetwarza dane w imieniu szkoły i tylko na jej polecenie. Dlatego z każdym takim dostawcą szkoła potrzebuje umowy powierzenia (art. 28 RODO).
Na jakiej podstawie przetwarzasz dane
Zapis i prowadzenie zajęć
- Typowa podstawa
- Umowa z rodzicem
- Uwagi
- Tylko dane potrzebne do zajęć i kontaktu
Rozliczenia, faktury
- Typowa podstawa
- Obowiązek prawny
- Uwagi
- Przepisy podatkowe i rachunkowe określają czas przechowywania
Wizerunek w social media
- Typowa podstawa
- Zgoda
- Uwagi
- Dobrowolna, osobna, możliwa do wycofania
Dane o zdrowiu na obozie
- Typowa podstawa
- Przepisy o wypoczynku dzieci i młodzieży
- Uwagi
- Tylko w zakresie karty kwalifikacyjnej, usuwane po turnusie
Newsletter, promocje
- Typowa podstawa
- Zgoda lub uzasadniony interes
- Uwagi
- Zależnie od kanału i przepisów o komunikacji elektronicznej
| Cel | Typowa podstawa | Uwagi |
|---|---|---|
| Zapis i prowadzenie zajęć | Umowa z rodzicem | Tylko dane potrzebne do zajęć i kontaktu |
| Rozliczenia, faktury | Obowiązek prawny | Przepisy podatkowe i rachunkowe określają czas przechowywania |
| Wizerunek w social media | Zgoda | Dobrowolna, osobna, możliwa do wycofania |
| Dane o zdrowiu na obozie | Przepisy o wypoczynku dzieci i młodzieży | Tylko w zakresie karty kwalifikacyjnej, usuwane po turnusie |
| Newsletter, promocje | Zgoda lub uzasadniony interes | Zależnie od kanału i przepisów o komunikacji elektronicznej |
Zgoda na wizerunek: dobrowolna i osobna
Zdjęcia z zajęć to świetny materiał na profil szkoły, ale zgoda na wizerunek musi być dobrowolna — nie może być warunkiem zapisu. Najlepiej jako osobny, niezaznaczony domyślnie checkbox przy zapisie, z informacją, jak ją wycofać.
Czego wymagać od dostawcy systemu zapisów
- →Umowy powierzenia z listą podwykonawców (hosting, poczta, SMS) i miejscem przechowywania danych.
- →Danych w Unii Europejskiej albo jasnej podstawy transferu poza EOG.
- →Oddzielenia danych Twojej szkoły od danych innych klientów.
- →Zasad dostępu personelu dostawcy do danych — najlepiej tylko na Twoje zgłoszenie.
- →Eksportu danych i ich usunięcia po zakończeniu współpracy.
- →Zgłaszania naruszeń w ciągu kilkudziesięciu godzin, żebyś zdążyła lub zdążył zawiadomić UODO w 72 godziny.
Atlo publikuje swoją umowę powierzenia i opis środków bezpieczeństwa na atlo.pl/dokumenty: każda szkoła ma osobną bazę danych na serwerach we Frankfurcie, a dostęp serwisowy jest tylko na zgłoszenie szkoły i trafia do rejestru.
Jak długo przechowywać dane
Ustal to z góry i wpisz w informacji RODO: dane do rozliczeń zwykle tak długo, jak wymagają tego przepisy podatkowe, dane kontaktowe byłych uczestników — tak długo, jak masz do tego podstawę. Dane o zdrowiu z kart kwalifikacyjnych usuwaj wkrótce po turnusie.
Chcesz uporządkować zapisy, zgody i dokumenty w jednym systemie z umową powierzenia? Pokażę, jak to wygląda w Atlo.