I club sono riconosciuti come Persone responsabili ai sensi dell'art. 4 n. 7 GDPR obbligati a soddisfare tutti i requisiti di protezione dei dati e a dimostrarne l'osservanza (art. 5 par. 2). GDPR - responsabilità). L'attuazione pone regolarmente notevoli sfide pratiche, soprattutto per le associazioni più piccole organizzate su base volontaria. Le spiegazioni che seguono riassumono i principali obblighi dell'associazione.
Legittimità del trattamento dei dati
La base giuridica centrale per l'elaborazione dei dati nell'associazione è l'art. 6 par. 1 lett. b. GDPR - l'adempimento dell'accordo di associazione, specificato nello statuto dell'associazione. Inoltre interessi legittimi (Art. 6 comma 1 lettera f)) GDPR) o il consenso (art. 6, par. 1, lett. a). GDPR) il Elaborazione giustificare. Questi ultimi sono particolarmente necessari se i dati vengono elaborati o pubblicati al di là degli scopi dell'iscrizione (ad es. Fotoliste di compleanno, appelli per donazioni via e-mail). Il Consenso deve essere volontaria, informata, inequivocabile, destinata e revocabile in qualsiasi momento. Deve essere documentata per iscritto o elettronicamente e non deve essere nascosta in dichiarazioni generiche.
Con il Elaborazione categorie particolari di dati personali (art. 9 GDPR) - ad es. Dati sulla salute - è regolarmente un'esplicita Consenso richiesto. In genere si tratta di gruppi di auto-aiuto, sindacati o organizzazioni religiose.
Responsabilità organizzativa nell'associazione
Il Consiglio direttivo dell'associazione è legalmente ed effettivamente responsabile dell'osservanza delle norme sulla protezione dei dati (art. 26 (1) frase 2 BGB in combinato disposto con l'art. 24 GDPR). Art. 24 GDPR). Ha un'adeguata misure tecniche e organizzative da adottare per garantire la legittimità del trattamento dei dati.
Ciò comprende anche la delega di compiti, per la quale deve essere garantita l’attuazione nel rispetto della normativa sulla protezione dei dati. Anche in caso di delega, la responsabilità generale rimane a carico del Consiglio di Amministrazione.
Obblighi di riservatezza e di informazione
Tutti i membri dell'associazione con il Elaborazione le persone incaricate del trattamento dei dati personali sono Riservatezza di impegnarsi. Anche se il GDPR nessun regolamento corrispondente all'art. 5 BDSG vecchia versione, ma un impegno documentato a rispettare i principi di protezione dei dati di cui all'art. 5 par. 1 GDPR richiesto.
Inoltre, si deve garantire che le persone interessate - in particolare i membri, i volontari e i fornitori di servizi - siano informate del Elaborazione i vostri dati ai sensi degli artt. 13 e 14 GDPR essere informati. Questo Obbligo di informazione dovrebbero essere inseriti nel modulo di adesione; nel caso di adesioni già in essere, si raccomanda di fornire un’informazione a posteriori.
Sicurezza del trattamento nell'organizzazione
La sicurezza del Elaborazione dei dati personali è un principio centrale del Regolamento generale sulla protezione dei dati. Ai sensi dell'art. 32 GDPR sono Persone responsabili – quindi anche le associazioni – sono tenute a predisporre adeguate misure tecniche e organizzative (TOM) al fine di garantire un livello di protezione adeguato al rischio. Tali misure devono essere riviste periodicamente e, se necessario, adeguate.
Le misure tecniche di protezione sono, ad esempio: Crittografia dati memorizzati e trasmessi (ad es. dati di trasporto e end-to-end-Crittografia (per le e-mail), protezione tramite password e autenticazione a due fattori per l'accesso ai dati degli utenti, aggiornamenti di sicurezza regolari e software antivirus, account utente separati nei sistemi condivisi, meccanismi di blocco automatico in caso di inattività.
Tra le misure organizzative adottate dall’associazione figurano, tra l’altro: un sistema di autorizzazioni e ruoli chiaramente definito per l’utilizzo dei dati, la formazione dei membri del consiglio direttivo e dei volontari sul trattamento sicuro dei dati personali, l’elaborazione di un piano di protezione dei dati e di sicurezza informatica, la definizione delle procedure di segnalazione in caso di violazioni della protezione dei dati, norme scritte sull’utilizzo di dispositivi privati („Portate il vostro dispositivo“) e il relativo controllo.
Inoltre, anche i piani di backup, la registrazione degli accessi e le procedure di cancellazione dei dati non più necessari devono essere considerati parte integrante dell'organizzazione della protezione dei dati.
Suggerimento di lettura: Newsletter tra GDPR ed ePrivacy: il consenso non è sempre necessario
Diritti degli interessati
Le associazioni devono istituire procedure interne che garantiscano un trattamento rapido, completo e conforme alla normativa sulla protezione dei dati delle richieste presentate dagli interessati. Ciò comprende, in particolare, l’istituzione di un punto di contatto centrale per le questioni relative alla protezione dei dati, la formazione del personale responsabile e la Documentazione le richieste di informazioni in entrata e le relative fasi di elaborazione.
Ai sensi dell'art. 15 GDPR avere colpiti le persone hanno il diritto di essere informate sui dati personali che le riguardano. Questo Diritto all'informazione si estende, tra l'altro, agli scopi di Elaborazionele categorie di dati trattati, i destinatari o le categorie di destinatari a cui i dati sono stati o saranno comunicati, il periodo di conservazione previsto o i criteri per determinarlo e l'esistenza di ulteriori destinatari. Diritti degli interessati. Anche sull'origine dei dati (se non sono stati raccolti dall'interessato) e sull'esistenza di un processo decisionale automatizzato, compresi i seguenti dati Profilazione devono essere informati.
Inoltre Parti interessate in determinate condizioni legali il diritto di
- Correzione dati non corretti (art. 16 GDPR),
- Cancellazione ("Diritto all'oblio", art. 17 GDPR),
- Limitazione del Elaborazione (Art. 18 GDPR),
- Portabilità dei dati (art. 20 GDPR) e
- Contraddizione contro il Elaborazione i loro dati (art. 21 GDPR).
Le associazioni hanno l'obbligo di adempiere a questi diritti in modo tempestivo - di solito entro un mese - e di colpiti persona sulle misure adottate. Se le richieste vengono respinte, devono essere fornite le motivazioni e deve essere notificato il diritto di presentare un reclamo all'autorità di controllo della protezione dei dati.
Responsabile della protezione dei dati e registro delle attività di trattamento all'interno dell'associazione
È necessario nominare un responsabile della protezione dei dati qualora almeno 20 persone siano regolarmente Dati personali trattamento automatizzato (art. 38 BDSG). In questo contesto vanno inclusi anche i collaboratori volontari e quelli che svolgono attività a titolo accessorio. Qualora non sussista l’obbligo di nomina, in presenza di rischi particolari può essere consigliabile procedere a una nomina volontaria, ad esempio nel caso di gruppi di auto-aiuto o associazioni politiche.
Ogni club deve inoltre avere un Elenco delle attività di trattamento ai sensi dell'art. 30 GDPR devono essere mantenuti. Ciò deve includere tutti i processi di elaborazione dei dati regolari, in particolare l'amministrazione dei soci, la contabilità dei contributi o la gestione di un sito web. L'eccezione ai sensi dell'art. 30 comma 5 GDPR non entra quasi mai in gioco nella pratica, poiché i club vengono regolarmente Dati personali processo.
Valutazione d'impatto sulla protezione dei dati
Uno Valutazione d'impatto sulla protezione dei dati (DSFA) ai sensi dell'art. 35 GDPR deve essere effettuata se un Elaborazione è probabile che comporti un rischio elevato per i diritti e le libertà degli interessati. Questo è raramente il caso delle attività tipiche di un'associazione, ma potrebbe diventare rilevante se:
- estensivo Dati sulla salute vengono raccolti ed elaborati in gruppi di auto-aiuto,
- sistematico Tracciamento o Videosorveglianza venga effettuato,
- le categorie di dati particolarmente sensibili sono analizzate con procedure di IA o di profilazione.
Qualora sussista l’obbligo di effettuare una valutazione d’impatto sulla protezione dei dati (DSFA), questa deve essere effettuata prima dell’inizio del trattamento dei dati e deve essere documentata. Inoltre, in tale contesto devono essere indicate anche le misure volte alla riduzione dei rischi e, se del caso, le Autorità di vigilanza se non è possibile minimizzare il rischio.
In caso di dubbio, le associazioni dovrebbero verificare se sia necessaria una valutazione d’impatto sui dati personali (DSFA) ed effettuare, a titolo precauzionale, una valutazione strutturata dei rischi. Per molte operazioni di trattamento standard – come la gestione dei soci o il calcolo delle quote associative – non sussiste invece, di norma, l’obbligo di effettuare una DSFA.
Ai sensi dell'art. 32 GDPR sono adatti misure tecniche e organizzative da attuare per garantire la sicurezza del trattamento dei dati. Tra queste figurano in particolare Crittografia, modelli di autorizzazione, la separazione tra le banche dati dell’associazione e quelle private e una gestione efficace dei dispositivi terminali, utilizzati anche in regime di telelavoro. Si raccomanda inoltre l’adozione di un piano di sicurezza informatica. L’invio di dati personali tramite e-mail dovrebbe avvenire almeno con crittografia durante il trasporto; nel caso di dati particolarmente sensibili è necessaria una crittografia end-to-end-Crittografia Consigliabile. Quando si utilizzano dispositivi privati, è necessario garantire la classificazione e la separazione dei dati, ad esempio tramite account utente distinti.
Pubblicazione di informazioni relative all'associazione
Nel caso di pubblicazione di dati personali - come nomi, funzioni, immagini o date di nascita - è generalmente necessaria un'autorizzazione documentata. Consenso da ottenere. Questo vale in particolare per
- Foto individuali e di gruppo durante gli eventi,
- Classifiche di tornei o competizioni,
- Riferimenti a membri onorari o anniversari,
- Pubblicazione dei verbali delle riunioni o dei referenti sul sito web.
Per Foto Si applicano anche le sezioni 22 e 23 della KUG. Sebbene questi permettano in alcuni casi la pubblicazione senza Consenso (ad esempio, immagini di riunioni o eventi storici), ma esistono notevoli incertezze legali, soprattutto nel caso della distribuzione digitale. Nel contesto dell'associazione, un Consenso che deve essere inequivocabile, volontaria e revocabile.
È necessario prestare particolare attenzione anche nel caso di trasmissione dei dati a fornitori di servizi: se un soggetto terzo esterno non svolge solo un ruolo di supporto, ma tratta i dati per conto del titolare, si configura di norma una Elaborazione dell'ordine ai sensi dell'art. 28 GDPR Ciò richiede un contratto separato.
Per motivi di tracciabilità e responsabilità, ogni trasmissione di dati – in particolare su Internet – dovrebbe essere documentata internamente, in modo da poter dimostrare, in caso di reclami o verifiche da parte delle autorità di controllo, che sono stati rispettati i requisiti in materia di protezione dei dati.
Trasferimenti di dati a Terza parte - in particolare alle organizzazioni affiliate, alle associazioni, ai fornitori di servizi esterni o al pubblico attraverso i siti web, necessitano di una base giuridica. La pubblicazione di dati personali su Internet costituisce un trasferimento di dati ai sensi della Convenzione di Ginevra. GDPR ed è regolarmente possibile solo sulla base di una Consenso ammissibile. Lo stesso vale per Fotoverbali delle riunioni e liste di risultati, a meno che non venga fatta un'eccezione in conformità con il Legge sul diritto d'autore (§§ 22, 23 KUG). Per sicurezza, il Consenso essere documentati in ogni caso, soprattutto per le foto individuali e di gruppo.
Elaborazione degli ordini e sito web
Se viene incaricato un fornitore di servizi esterno con la Elaborazione dei dati personali, è necessario un contratto di elaborazione degli ordini ai sensi dell'art. 28 GDPR. GDPR da concludere. È il caso, ad esempio, di commissionare fornitori di servizi informatici, consulenti fiscali o fornitori di hosting.
Il sito web dell'associazione deve includere un'informativa sulla privacy in conformità a GDPR essere facilmente accessibile e reperibile in ogni sottopagina. Tra le altre cose, deve contenere informazioni sul titolare del trattamento, sul responsabile della protezione dei dati (se nominato), sulle finalità, sulle modalità di trattamento dei dati. Base giuridica, i periodi di conservazione e i diritti degli interessati. Banner di consenso ai cookie e informazioni trasparenti su Tracciamento- Anche gli strumenti di analisi sono obbligatori.
I social media
In base all'attuale situazione giuridica, l'uso delle pagine fan di Facebook e di altri social network non è consigliabile, in quanto non soddisfano i requisiti di protezione dei dati previsti dalla legge. GDPR - in particolare per quanto riguarda la responsabilità congiunta e i trasferimenti da paesi terzi. In caso di utilizzo obbligatorio, è necessario adottare misure tecniche aggiuntive (ad esempio, soluzioni a due clic).
Fonte: Protezione dei dati nell'associazione secondo il GDPR
Avete bisogno di assistenza per l'attuazione all'interno della vostra associazione? Offriamo consulenza pratica in materia di protezione dei dati e soluzioni digitali: efficienti, comprensibili e conformi alla normativa.
Contattateci: saremo lieti di aiutarvi!
☎️ +49 (228) 926165-100
📧 verona@2b-advice.com
German 
English 
Italian 
French