GDPR pentru organizații studențești și ONG-uri: ghidul pe înțelesul tuturor

Stai liniștit: GDPR nu a fost inventat ca să-ți facă ție viața grea în organizație. Ideea din spate e una pe care, ca student, o înțelegi imediat - datele tale (numele, emailul, poza, CNP-ul) îți aparțin ție, iar cine le folosește trebuie să o facă responsabil. Iar organizația ta, în momentul în care ține o listă de membri sau colectează înscrieri la un eveniment, devine exact "cineva care folosește date".

Vestea bună: pentru o organizație studențească obișnuită, conformarea nu înseamnă avocați și dosare, ci câteva obiceiuri sănătoase. Hai să le luăm pe rând.

Ce înseamnă, de fapt, GDPR

GDPR este Regulamentul (UE) 2016/679, aplicabil direct în toată Uniunea Europeană, completat în România de Legea nr. 190/2018. Autoritatea care supraveghează respectarea lui la noi este ANSPDCP. Regulamentul se aplică oricui prelucrează "date cu caracter personal" - adică orice informație despre o persoană identificabilă: nume, email, telefon, fotografie, CNP, dar și un simplu număr de membru asociat unui om.

Dacă ții o bază de membri, un formular de înscriere, o listă de prezență sau o galerie foto de la eveniment, ești sub incidența GDPR. Nu contează că ești o organizație mică sau că totul e "pe voluntariat".

Principiile pe care le ții minte ușor

Regulamentul are multe articole, dar pentru tine se reduc la câteva idei de bun-simț:

• Scop clar - colectezi date pentru un motiv anume și spui care e (de exemplu: gestionarea membrilor).

• Minimizare - ceri doar ce îți trebuie. Nu cere CNP-ul dacă nu ai un motiv legal real pentru el.

• Limitarea păstrării - nu ții datele la nesfârșit. Un aplicant respins de acum trei ani nu mai are ce căuta în baza ta.

• Securitate - protejezi datele: parole, acces limitat, fără fișiere cu membri trimise în grupuri publice.

• Transparență - omul știe ce date ai despre el, de ce și ce drepturi are.

Pe ce temei ai voie să colectezi date

GDPR cere ca orice prelucrare să aibă un "temei legal". Pentru organizații studențești, cele mai des întâlnite sunt:

• Consimțământul - persoana spune clar "da, sunt de acord". Trebuie să fie liber, specific și ușor de retras. Tipic pentru newsletter sau pentru publicarea pozelor.

• Executarea unui contract - de exemplu, datele dintr-un contract de voluntariat sau de membru.

• Interesul legitim - când ai un motiv rezonabil, echilibrat cu drepturile persoanei (de exemplu, gestionarea internă a membrilor).

Pentru fotografiile de la evenimente, cel mai curat e să anunți la intrare că se fotografiază și să oferi o variantă pentru cei care nu vor să apară. Pentru minori, regulile sunt mai stricte și de obicei e nevoie de acordul părintelui - un aspect tratat expres în Legea 190/2018.

Cât timp ții datele

Una dintre cele mai frecvente greșeli e să păstrezi totul "pentru orice eventualitate". GDPR cere exact opusul: stabilește o perioadă de păstrare pentru fiecare categorie de date și șterge ce nu mai e necesar.

• Datele aplicanților respinși - șterge-le după încheierea recrutării (sau păstrează-le doar dacă ți-au dat acordul pentru o viitoare campanie).

• Datele membrilor activi - cât timp sunt membri, plus o perioadă rezonabilă după plecare.

• Documentele financiare - aici intervin termene legale separate (vezi mai jos).

Atenție: nu confunda GDPR cu obligațiile contabile

Un punct care derutează: deși GDPR îți cere să nu ții datele mai mult decât e nevoie, alte legi îți cer să păstrezi anumite documente ani de zile. Legea contabilității nr. 82/1991 impune termene de păstrare pentru documentele financiar-contabile (în general 5 sau 10 ani, în funcție de tip). Cele două nu se contrazic: pentru documentele financiare se aplică termenul legal de arhivare, iar pentru restul datelor se aplică principiul minimizării din GDPR.

Ce drepturi au membrii tăi

Orice persoană ale cărei date le prelucrezi poate să-ți ceară:

• Să afle ce date ai despre ea (dreptul de acces).

• Să corectezi datele greșite (rectificare).

• Să ștergi datele când nu mai e nevoie de ele ("dreptul de a fi uitat").

• Să-și retragă consimțământul oricând.

Trebuie să poți răspunde acestor cereri, de regulă în cel mult o lună. Dacă datele tale sunt împrăștiate pe cinci platforme și trei laptopuri, vei avea probleme. Dacă sunt într-un singur loc, e o chestiune de minute.

Pași concreți de conformare

1. Fă o listă cu toate datele pe care le colectezi și unde le ții (membri, aplicanți, prezențe, poze).

2. Pentru fiecare, notează scopul, temeiul legal și cât timp le păstrezi.

3. Scrie o notă de informare scurtă, pe care o atașezi formularelor de înscriere.

4. Limitează accesul: nu toată lumea trebuie să vadă tot.

5. Stabilește un responsabil intern care știe să răspundă la cererile membrilor.

6. Șterge periodic ce nu mai e necesar.

Cum te ajută o platformă centralizată

Cel mai mare risc GDPR într-o organizație studențească nu e reaua-credință, ci dezordinea: liste de membri în zeci de fișiere, trimise pe grupuri, copiate pe laptopuri personale. Într-o platformă ca Quorify, datele membrilor stau într-un singur loc, cu acces controlat pe roluri, iar ștergerea sau exportul unei persoane se face din câteva clicuri. Conformarea devine o consecință naturală a felului în care lucrezi, nu un proiect separat.

Vrei să faci toate astea într-un singur loc, nu pe zece tool-uri separate? Înrolează-ți organizația în Quorify și gestionează membri, ședințe, voturi și documente dintr-o singură aplicație.

Întrebări frecvente

Avem nevoie de un DPO (responsabil cu protecția datelor)? Majoritatea organizațiilor studențești mici nu sunt obligate să numească un DPO, dar e util să ai o persoană internă responsabilă. Verifică criteriile din GDPR și din Legea 190/2018 dacă prelucrezi date la scară mare.

Putem publica pozele de la evenimente? Da, dacă ai un temei (acordul persoanelor sau informare clară la intrare) și oferi o variantă celor care nu vor să apară. Pentru minori, regulile sunt mai stricte.

Acest articol are scop informativ și nu reprezintă consultanță juridică. Legislația se modifică periodic, iar fiecare organizație are situația ei. Pentru cazuri concrete, verifică textul legal actualizat și, la nevoie, întreabă un specialist sau juristul universității tale.

Surse și referințe

• Parlamentul European și Consiliul Uniunii Europene. (2016). Regulamentul (UE) 2016/679 (Regulamentul general privind protecția datelor). Jurnalul Oficial al Uniunii Europene, L 119, 4 mai 2016.

• Parlamentul României. (2018). Legea nr. 190/2018 privind măsuri de punere în aplicare a Regulamentului (UE) 2016/679. Monitorul Oficial al României, Partea I, nr. 651 din 26 iulie 2018.

• Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal. (f.a.). Ghiduri și informații oficiale ANSPDCP. Accesat în 2026.

• Parlamentul României. (1991). Legea contabilității nr. 82/1991. Republicată în Monitorul Oficial al României, Partea I, nr. 454 din 18 iunie 2008.