Evidencija članova i GDPR: što klub mora, a što ne smije

Sportski klub — bio udruga ili dio veće organizacije — vodi evidenciju članova. To nije samo praktična potreba: za udruge je popis članova zakonska obveza (Zakon o udrugama, čl. 12). A čim vodite popis ljudi s imenima, datumima rođenja i kontaktima, na vas se primjenjuje i Opća uredba o zaštiti podataka (GDPR). Klub je voditelj obrade podataka svojih članova — s odgovornostima koje iz toga slijede.

Zvuči strašnije nego što jest. Većinu obveza mali klub ispuni urednim alatom i s nekoliko jasnih pravila. Problem obično nije zloća, nego navika: tablica koja kruži mailom i fotografije djece objavljene bez pitanja.

Koje podatke smijete voditi — i po kojoj osnovi

GDPR traži da za svaku vrstu podatka znate zašto je obrađujete. Za klub su tipične tri osnove:

• Članstvo samo po sebi (izvršenje ugovora/pristupnice i zakonska obveza vođenja popisa članova): ime i prezime, datum rođenja, kontakt, datum pristupanja. Za ovo vam ne treba privola — to je nužno da članstvo uopće postoji.
• Legitimni interes ili ugovor: podaci potrebni za treninge i natjecanja — grupa, raspored, rezultati, kontakt roditelja za maloljetne članove.
• Privola: sve što nije nužno — fotografije i snimke s treninga i turnira, objave na webu i društvenim mrežama, newsletter koji nije vezan uz članstvo. Privola mora biti dobrovoljna i opoziva, a za djecu je daju roditelji ili skrbnici.

Praktična posljedica: pristupnica treba razdvojiti ono što se potpisuje kao uvjet članstva od onoga što se posebno kvači (fotografije — da/ne). Jedna kućica „slažem se sa svime" nije valjana privola.

Djeca su posebna kategorija pažnje

Većina klubova radi pretežno s maloljetnicima, pa vrijedi biti konzervativan:

• privole potpisuje roditelj/skrbnik, i to odvojeno za evidenciju natjecanja i za objavu fotografija;
• objave imenom i prezimenom („Luka M., 2014.") ograničite na ono što je sportski nužno, npr. službene rezultate;
• vodite računa tko sve vidi kontakte roditelja — trener treba kontakt svoje grupe, ne cijele škole.

Zašto je dijeljena tablica najveći rizik

Nije poanta u tome da je Excel „zabranjen" — nego u tome što tablica koja kruži ne zna odgovoriti na tri pitanja koja GDPR postavlja:

1. Tko ima pristup? Svatko kome je ikad proslijeđena — bivši trener, bivši član uprave, nečiji privatni laptop.
2. Koja je verzija istinita? Kopije žive svaka svojim životom; brisanje iz jedne ne briše iz drugih.
3. Što je obrisano kad član istupi? GDPR daje pravo na brisanje onoga za što više nema osnove — u raspršenim kopijama to je praktično neizvedivo.

Uredan sustav s korisničkim računima rješava sva tri: pristup po ulozi (trener vidi svoju grupu, tajnik članstvo, roditelj samo svoje dijete), jedna istinita evidencija i jedno mjesto s kojeg se podatak briše. U Sportovniku je evidencija postavljena upravo tako, a klub prema članovima nastupa kao voditelj obrade — platforma je izvršitelj, s ugovorom o obradi podataka.

Minimalni GDPR red za klub — popis za provjeru

1. Popišite što vodite i zašto (evidencija aktivnosti obrade — za mali klub je to jedna stranica).
2. Razdvojite privole na pristupnici; za maloljetnike potpisuje roditelj.
3. Ograničite pristup po ulozi — i ukinite slanje tablica mailom.
4. Odredite rokove: što se briše kad član istupi, a što čuvate zbog zakonskih obveza (npr. računovodstvenu dokumentaciju).
5. Objavite kratku obavijest o privatnosti na webu kluba — tko ste, što vodite, koga kontaktirati.
6. Znajte kome se javiti: nadzorno tijelo u Hrvatskoj je AZOP (azop.hr); za pitanja članova dovoljan je klupski e-mail naveden u obavijesti.

Ništa od navedenog ne traži pravnika na puno radno vrijeme. Traži jednu odluku: da podaci članova prestanu biti usputna tablica i postanu uređena evidencija s poznatim pravilima.