Asociacija ir viešoji įstaiga: narių, savanorių ir rėmėjų duomenys pagal BDAR

Nedidelė asociacija ar viešoji įstaiga tvarko daugiau asmens duomenų, nei atrodo: narių ar dalininkų sąrašą, savanorių sutartis, rėmėjų apskaitą, paramos gavėjų sąrašus. Bendrasis duomenų apsaugos reglamentas (toliau – BDAR) taikomas tvarkymui automatizuotomis priemonėmis ir susistemintiems popieriniams rinkiniams (BDAR 2 str. 1 d.). Kam jis taikomas, rašome straipsnyje Kam taikomas BDAR: įmonės, įstaigos, asociacijos ir užsienio verslas.

Čia – ką Lietuvos įstatymai liepia turėti, kam tai rodyti ir ko neskelbti, kada savanorį privaloma patikrinti ir kada reikia duomenų apsaugos pareigūno.

Kurie duomenys tvarkomi todėl, kad to reikalauja įstatymas

Kai tvarkyti būtina teisinei prievolei įvykdyti, sutikimo nereikia (BDAR 6 str. 1 d. c p.).

Viešosios įstaigos dalininkai. Lietuvos Respublikos viešųjų įstaigų įstatymas (toliau – VšĮĮ) reikalauja pranešti įstaigai apie dalininko teisių įgijimą, nurodant dalininkų vardus, pavardes ir asmens kodus (VšĮĮ 4 str. 5 d.). Dalininkų duomenys su adresu korespondencijai teikiami Juridinių asmenų dalyvių informacinei sistemai (VšĮĮ 10 str. 1 d. 1 p.).

Rėmėjai ir paramos gavėjai. Lietuvos Respublikos labdaros ir paramos įstatymas (toliau – LPĮ) leidžia asociacijoms ir viešosioms įstaigoms būti paramos gavėjais (LPĮ 7 str. 1 d.), kai jos gauna paramos gavėjo statusą (LPĮ 7 str. 3 d.). Paramos gavėjas tvarko gautos paramos apskaitą, kurioje nurodo paramos teikėjus (jei parama gauta ne anonimiškai) ir konkrečius gavėjus (jei parama perduota kitam), o kasmet teikia ataskaitą Valstybinei mokesčių inspekcijai (LPĮ 11 str. 2 d.). 2027 m. sausio 1 d. įsigaliosiančioje redakcijoje ši nuostata nesikeičia.

Kas tampa vieša. Lietuvos Respublikos asociacijų įstatymas (toliau – AĮ) reikalauja paramą gavusios asociacijos finansinių ataskaitų aiškinamajame rašte atskirai nurodyti kiekvieną paramą suteikusį juridinį asmenį, išskyrus nedidelės paramos atvejį (AĮ 10 str. 3 d.). Viešoji įstaiga fizinių asmenų paramą nurodo tik bendra verte ir dalyku (VšĮĮ 22 str. 3 d.). Ataskaitas skelbia Juridinių asmenų registro tvarkytojas (AĮ 10¹ str. 2 d., VšĮĮ 23 str. 2 d.), o savo svetainėje (asociacija – jei ją turi, viešoji įstaiga – kai daugiau kaip pusę balsų dalininkų susirinkime turi valstybė ar savivaldybė) jos skelbiamos be fizinių asmenų duomenų, kurių neleidžia skelbti duomenų apsaugos įstatymai (AĮ 10¹ str. 1 d., VšĮĮ 23 str. 1 d.). Įstatymas reikalauja nurodyti viešosios įstaigos dalininkus (VšĮĮ 22 str. 5 d. 2 p.), bet ne rėmėjus – fizinius asmenis. Mūsų vertinimu, jų įrašymas yra klaida, nes ataskaita tampa vieša.

Nariai ir savanoriai

Narių sąrašas. Kiekvienas asociacijos narys turi teisę susipažinti su narių sąrašu (AĮ 13 str. 5 d.), su asociacijos dokumentais ir gauti visą jos turimą informaciją apie jos veiklą (AĮ 13 str. 4 d. 3 p.). Viešosios įstaigos dalininkas turi panašią teisę (VšĮĮ 4 str. 3 d. 2 p.). Mūsų vertinimu, šios teisės neapima teisės skelbti sąrašą svetainėje ar perduoti jį partneriams, nes duomenų negalima toliau tvarkyti su rinkimo tikslais nesuderinamu būdu (BDAR 5 str. 1 d. b p.). AĮ 13 str. 5 d. kalba tik apie teisę susipažinti, todėl, mūsų vertinimu, sąrašo kopijos išduoti neprivaloma.

Savanoriai. Lietuvos Respublikos savanoriškos veiklos įstatymas (toliau – SVĮ) leidžia asociacijoms ir viešosioms įstaigoms priimti savanorius (SVĮ 7 str.). Rašytinė sutartis privaloma, kai veikla ilgalaikė, kai kompensuojamos išlaidos arba kai jos pageidauja viena iš šalių (SVĮ 11 str. 2 d.). Jai vykdyti duomenys tvarkomi BDAR 6 str. 1 d. b p. pagrindu. Organizacija gali reikalauti dokumentų, įrodančių, kad žmogus atitinka specialiuosiuose teisės aktuose konkrečiai veiklai nustatytus reikalavimus. Jei juose yra specialių kategorijų (pavyzdžiui, sveikatos) ar teistumo duomenų, taikomos tinkamos apsaugos priemonės (SVĮ 11 str. 5 d.).

Savanoriai ir vaikai. Vienas toks specialusis įstatymas – Lietuvos Respublikos vaiko teisių apsaugos pagrindų įstatymas (toliau – VTAPĮ). Jis apima savanorišką veiklą organizacijose, kurios socialines, kultūros, švietimo, sporto ar sveikatos priežiūros paslaugas teikia tik vaikams, ir kitose organizacijose, įskaitant religines bendruomenes, jei veikla tiesioginiais ir reguliariais kontaktais susijusi su vaikais (VTAPĮ 30 str. 1 d.). Kontaktas laikomas tiesioginiu, jei asmuo gali likti vienas su vaiku arba užmegzti su juo fizinį ar emocinį santykį, o reguliariu – jei jis gali neatsitiktinai, daugiau nei vieną kartą, kontaktuoti su vaikais (VTAPĮ 30 str. 3 ir 4 d.). Tokiais atvejais organizacija gali pasitelkti savanorį tik patikrinusi jo teisėto darbo su vaikais kodo galiojimą ir įsitikinusi, kad jam netaikomas įstatymo draudimas. Užsienietis pateikia pilietybės ar nuolatinės gyvenamosios vietos valstybės dokumentus, kad nėra teistas už įstatyme nurodytas veikas (VTAPĮ 30 str. 5 d.). Jei kodo nėra, dėl jo kreipiasi pati organizacija, o galiojimą ji tikrina ne rečiau kaip kartą per kalendorinius metus (VTAPĮ 30 str. 6 d.). Gautos informacijos perduoti tretiesiems asmenims negalima, išskyrus įstatymų nustatytus atvejus (VTAPĮ 30 str. 8 d.).

Jautrūs duomenys ir 9 straipsnio išimtis

Duomenis, atskleidžiančius politines pažiūras, religinius ar filosofinius įsitikinimus, narystę profesinėse sąjungose ar sveikatą, tvarkyti draudžiama, nebent taikoma išimtis (BDAR 9 str. 1 d.). Religinės bendruomenės ar pacientų draugijos narių sąrašas pats gali juos atskleisti.

BDAR 9 str. 2 d. d p. leidžia juos tvarkyti pelno nesiekiančiai organizacijai, jei:

• ji siekia politinių, filosofinių, religinių ar profesinių sąjungų tikslų;
• ji vykdo teisėtą veiklą ir taiko tinkamas apsaugos priemones;
• tvarkomi tik narių, buvusių narių ar reguliariai su ja dėl jos tikslų bendraujančių asmenų duomenys;
• duomenys neatskleidžiami už organizacijos ribų be žmonių sutikimo.

Mūsų vertinimu, asociacija, kurios tikslas nėra nei politinis, nei filosofinis, nei religinis, nei profesinės sąjungos, pavyzdžiui, pacientų, neįgaliųjų ar sporto asociacija, šia išimtimi remtis negali. Jai lieka kitos išimtys, pavyzdžiui, aiškus žmogaus sutikimas (BDAR 9 str. 2 d. a p.). Organizacija, kuri išimtimi remtis gali, be žmonių sutikimo negali atskleisti jų duomenų už savo ribų (BDAR 9 str. 2 d. d p.), taigi ir perduoti narių sąrašo rėmėjui, savivaldybei ar renginio partneriui.

Įrašai, pareigūnas ir naujienlaiškiai

Duomenų tvarkymo veiklos įrašai. Ši pareiga netaikoma organizacijai, kurioje dirba mažiau kaip 250 darbuotojų, išskyrus atvejus, kai tvarkymas gali kelti pavojų žmonių teisėms ir laisvėms, nėra nereguliarus arba apima specialių kategorijų ar teistumo duomenis (BDAR 30 str. 5 d.). Mūsų vertinimu, nuolat tvarkomas narių sąrašas ar paramos apskaita, už kurią kasmet atsiskaitoma (LPĮ 11 str. 2 d.), nėra nereguliarus tvarkymas, todėl išimtis netinka net dviejų darbuotojų organizacijai.

Duomenų apsaugos pareigūnas. Pareigūnas, be kita ko, privalomas, kai duomenis tvarko valdžios institucija ar įstaiga (BDAR 37 str. 1 d. a p.) arba kai organizacijos pagrindinė veikla yra didelio masto specialių kategorijų ar teistumo duomenų tvarkymas (BDAR 37 str. 1 d. c p.). Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymas (toliau – ADTAĮ) valdžios institucijomis ir įstaigomis laiko ir viešąsias įstaigas, finansuojamas iš valstybės ar savivaldybių biudžetų bei valstybės pinigų fondų ir įgaliotas atlikti viešąjį administravimą arba teikiančias asmenims viešąsias ar administracines paslaugas ar vykdančias kitas viešąsias funkcijas (ADTAĮ 2 str. 2 d.). Mūsų vertinimu, tokiai viešajai įstaigai pareigūnas privalomas nepriklausomai nuo jos dydžio. Kitai nedidelei asociacijai ar viešajai įstaigai jis neprivalomas, nebent jos pagrindinė veikla yra, pavyzdžiui, didelio masto sveikatos duomenų tvarkymas. Paskirti jį galima ir savanoriškai (BDAR 37 str. 4 d.). Plačiau – straipsnyje Ar mūsų organizacijai privalomas duomenų apsaugos pareigūnas.

Informavimas ir naujienlaiškiai. Renkant duomenis iš žmogaus, jam, be kita ko, nurodomas valdytojas, tvarkymo tikslai ir teisinis pagrindas (BDAR 13 str. 1 d.): nario anketoje, savanorio sutartyje, rėmėjo formoje. Jei rėmėjų duomenys tvarkomi tiesioginės rinkodaros tikslais, žmogus turi teisę bet kada tam nesutikti (BDAR 21 str. 2 d.). Kada el. laiškui ar SMS reikia sutikimo, rašome straipsnyje Tiesioginė rinkodara el. paštu ir SMS: kada reikia sutikimo.

Kas gali nutikti

Pirmoji rizika – bauda. Už tvarkymą be pagrindo ar be 9 straipsnio išimties – iki dvidešimties milijonų eurų arba, įmonės atveju, iki keturių procentų apyvartos (BDAR 83 str. 5 d. a p.). Už įrašų ar kitų valdytojo pareigų pažeidimą – iki dešimties milijonų eurų arba iki dviejų procentų apyvartos (BDAR 83 str. 4 d. a p.). Valdžios institucijai ar įstaigai, įskaitant ADTAĮ 2 str. 2 d. nurodytą viešąją įstaigą, ribos mažesnės: ne daugiau kaip trisdešimt tūkstančių eurų už BDAR 83 str. 4 d. a–c p. pažeidimus ir ne daugiau kaip šešiasdešimt tūkstančių eurų už BDAR 83 str. 5 d. pažeidimus (ADTAĮ 33 str. 1 ir 2 d.), nebent ji vykdo ūkinę komercinę veiklą (ADTAĮ 33 str. 3 d.). Tai viršutinės ribos: bauda turi būti veiksminga, proporcinga ir atgrasoma (BDAR 83 str. 1 d.).

Antroji – žala. Žmogus, patyręs materialinę ar nematerialinę žalą dėl pažeidimo, turi teisę gauti kompensaciją iš valdytojo (BDAR 82 str. 1 d.), pavyzdžiui, kai paskelbiamas religinės bendruomenės narių sąrašas.

Trečioji – paramos gavėjo statusas. Jei organizacija neparengia LPĮ 11 str. 2 d. nurodytos ataskaitos per du mėnesius po įspėjimo, institucija kreipiasi dėl statuso panaikinimo (LPĮ 13 str. 5 d. 1 p.).

Kada kreiptis į teisininką

• organizacija turi jautrių narių duomenų ir nežino, ar gali remtis BDAR 9 str. 2 d. d p.;
• partneris, rėmėjas ar savivaldybė prašo narių, savanorių ar paramos gavėjų sąrašo;
• savanoriai dirba organizacijoje, kuri paslaugas teikia tik vaikams, arba turi tiesioginių ir reguliarių kontaktų su vaikais, o jų teisėto darbo su vaikais kodas netikrintas;
• viešoji įstaiga finansuojama iš valstybės ar savivaldybės biudžeto ar valstybės pinigų fondų ir nežino, ar jai privalomas pareigūnas;
• narių ar rėmėjų sąrašas buvo išsiųstas ne tiems žmonėms arba paskelbtas viešai.