RODO w NGO — praktyczny poradnik ochrony danych osobowych [2026]

Dlaczego RODO dotyczy każdego NGO

Wiele organizacji pozarządowych wciąż funkcjonuje w przekonaniu, że RODO to problem korporacji i dużych firm. To błąd, który może kosztować — dosłownie. Każda fundacja, stowarzyszenie czy organizacja pożytku publicznego, która zbiera imiona i nazwiska darczyńców, adresy e-mail wolontariuszy, dane beneficjentów czy numery kont do przelewów, przetwarza dane osobowe w rozumieniu Rozporządzenia 2016/679.

Nie ma znaczenia, czy organizacja zatrudnia pięć osób, czy pięćset. Nie ma znaczenia, czy działa odpłatnie, czy wyłącznie pro bono. Jeśli przetwarza dane osób fizycznych — podlega RODO. A w sektorze NGO zakres przetwarzanych danych bywa szerszy niż w niejednej firmie: dane o stanie zdrowia podopiecznych, informacje o sytuacji rodzinnej, dane dzieci uczestniczących w programach edukacyjnych.

W 2025 roku PUODO nałożył kary na trzy organizacje pozarządowe w Polsce. Kwoty — od 10 000 do 47 000 zł — nie są symboliczne dla organizacji utrzymujących się z 1,5% i grantów. Ten poradnik powstał, żeby pomóc NGO uniknąć takich sytuacji.

Podstawy przetwarzania danych w NGO (art. 6 RODO)

Każde przetwarzanie danych osobowych wymaga podstawy prawnej. Art. 6 ust. 1 RODO wymienia sześć takich podstaw. W praktyce NGO najczęściej korzystają z czterech:

Zgoda osoby (art. 6 ust. 1 lit. a)

Klasyczny przypadek: osoba zapisuje się na newsletter organizacji, wyraża zgodę na otrzymywanie informacji o działalności fundacji, zgadza się na publikację wizerunku w materiałach promocyjnych. Zgoda musi być dobrowolna, konkretna, świadoma i jednoznaczna. Nie może być domniemana z braku sprzeciwu.

Wykonanie umowy (art. 6 ust. 1 lit. b)

Dotyczy sytuacji, gdy NGO zawiera umowę — np. umowę wolontariacką, umowę zlecenie z koordynatorem projektu, umowę darowizny z warunkami szczególnymi. Przetwarzanie danych stron umowy jest niezbędne do jej realizacji.

Obowiązek prawny (art. 6 ust. 1 lit. c)

Fundacje muszą prowadzić księgowość, raportować do KRS, rozliczać dotacje. Stowarzyszenia przechowują listę członków zgodnie z ustawą Prawo o stowarzyszeniach. To wszystko wymaga przetwarzania danych — i podstawą jest obowiązek wynikający z przepisów.

Prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f)

Najbardziej elastyczna, ale i najczęściej nadużywana podstawa. NGO może się na nią powołać np. przy wysyłaniu informacji o swojej działalności do osób, z którymi utrzymuje relację (darczyńcy, byli wolontariusze). Warunek: interes organizacji nie może przeważać nad prawami osoby, której dane dotyczą. Zawsze wymaga przeprowadzenia testu równowagi (balancing test).

Rejestr czynności przetwarzania — obowiązek, nie opcja

Art. 30 RODO nakłada na administratorów obowiązek prowadzenia rejestru czynności przetwarzania (RCP). Wyjątek dla podmiotów zatrudniających poniżej 250 osób nie dotyczy większości NGO — bo przestaje obowiązywać, gdy przetwarzanie:

nie ma charakteru sporadycznego (a w NGO przetwarzanie jest ciągłe),

obejmuje dane szczególnych kategorii (dane o zdrowiu beneficjentów),

może powodować ryzyko naruszenia praw osób.

W praktyce: każde NGO powinno prowadzić rejestr. Oto minimalne elementy, które musi zawierać:

Element

Przykład dla NGO

Nazwa czynności	Obsługa wolontariatu
Cel przetwarzania	Koordynacja pracy wolontariuszy, ubezpieczenie NNW
Kategorie osób	Wolontariusze (osoby pełnoletnie i małoletnie)
Kategorie danych	Imię, nazwisko, PESEL, adres, telefon, e-mail
Odbiorcy	Ubezpieczyciel, koordynator projektu
Termin usunięcia	5 lat od zakończenia współpracy (obowiązek archiwizacyjny)
Środki bezpieczeństwa	Szyfrowanie, kontrola dostępu, kopie zapasowe

Rejestr nie musi mieć formy papierowej. Może to być arkusz kalkulacyjny, dedykowany moduł w systemie zarządzania organizacją lub narzędzie takie jak dlaNGO.

Klauzule informacyjne — wzory dla NGO

Art. 13 i 14 RODO wymagają, żeby przy każdym zbieraniu danych osoba otrzymała komplet informacji o przetwarzaniu. W NGO typowe sytuacje wymagające klauzuli to:

formularz zapisu na wolontariat,

formularz darowizny online,

formularz zgłoszenia beneficjenta do programu,

formularz kontaktowy na stronie www,

lista obecności na wydarzeniu.

Wzór klauzuli informacyjnej (formularz wolontariusza)

Informacja o przetwarzaniu danych osobowych

>

Administratorem Twoich danych osobowych jest [Nazwa organizacji] z siedzibą w [miasto], KRS [numer]. Dane przetwarzamy w celu: (1) zawarcia i realizacji porozumienia wolontariackiego (art. 6 ust. 1 lit. b RODO), (2) wypełnienia obowiązków prawnych wynikających z ustawy o działalności pożytku publicznego (art. 6 ust. 1 lit. c RODO), (3) ubezpieczenia NNW (art. 6 ust. 1 lit. f RODO — nasz prawnie uzasadniony interes).

>

Twoje dane mogą być przekazane ubezpieczycielowi oraz podmiotom obsługującym nasze systemy IT. Dane przechowujemy przez okres współpracy + 5 lat (obowiązek archiwizacyjny). Masz prawo do: dostępu, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych, sprzeciwu. Kontakt z IOD: [e-mail]. Skarga: Prezes UODO, ul. Stawki 2, Warszawa.

Klauzula musi być napisana prostym językiem. Jeśli organizacja pracuje z dziećmi — język powinien być dostosowany do ich wieku.

Przetwarzanie danych darczyńców i wolontariuszy

Darczyńcy

Organizacja przetwarza dane darczyńców w kilku celach:

Przyjęcie darowizny i księgowość — podstawa: obowiązek prawny (ustawa o rachunkowości, ordynacja podatkowa). Czas przechowywania: 5 lat od końca roku obrotowego.

Wystawienie potwierdzenia darowizny (do odliczenia od podatku) — podstawa: obowiązek prawny.

Podziękowanie i informowanie o wykorzystaniu środków — podstawa: prawnie uzasadniony interes. Darczyńca, który przekazał pieniądze, ma prawo wiedzieć, jak zostały wydane. Organizacja ma interes w budowaniu relacji.

Fundraising i prośby o kolejne wpłaty — tu sytuacja jest bardziej złożona. Jednorazowy darczyńca anonimowy nie wyraził zgody na dalszy kontakt. Regularny darczyńca, z którym organizacja utrzymuje relację — to inna sytuacja.

Praktyczna zasada: im bliższa i bardziej aktywna relacja z darczyńcą, tym łatwiej uzasadnić kontakt na podstawie prawnie uzasadnionego interesu. Przy pierwszym kontakcie — bezpieczniej pozyskać zgodę.

Wolontariusze

Porozumienie wolontariackie (ustawa o działalności pożytku publicznego i o wolontariacie) jest podstawą do przetwarzania danych identyfikacyjnych i kontaktowych. Ale uwaga na dane nadmiarowe:

PESEL — uzasadniony, jeśli wolontariusz jest ubezpieczany (NNW wymaga PESEL).

Numer dowodu — zazwyczaj nieuzasadniony. Nie zbieraj, jeśli nie potrzebujesz.

Dane o stanie zdrowia — tylko jeśli charakter pracy tego wymaga (np. wolontariat przy osobach z obniżoną odpornością).

Zasada minimalizacji (art. 5 ust. 1 lit. c RODO): zbieraj tylko te dane, które są faktycznie niezbędne do realizacji celu.

Zgoda na newsletter i marketing: zgoda vs prawnie uzasadniony interes

To jedno z najczęściej źle rozwiązywanych zagadnień w NGO. Kluczowe rozróżnienie:

Gdy potrzebujesz zgody

Newsletter do osób, które nie mają żadnej relacji z organizacją (np. formularz „zapisz się" na stronie).

Komunikacja marketingowa drogą elektroniczną — tu obowiązuje nie tylko RODO, ale też art. 10 ustawy o świadczeniu usług drogą elektroniczną oraz art. 172 Prawa telekomunikacyjnego. Na wysyłkę e-maili marketingowych do osób fizycznych potrzebujesz podwójnej podstawy: zgody RODO + zgody na komunikację elektroniczną.

Gdy można powołać się na prawnie uzasadniony interes

Informowanie dotychczasowych darczyńców o bieżącej działalności organizacji (nie jest to marketing w ścisłym sensie — to realizacja transparentności wobec osób wspierających).

Wysyłka rocznego raportu do osób zaangażowanych w działalność.

Kontakt z byłymi wolontariuszami z propozycją udziału w nowym projekcie (o ile nie minęło zbyt wiele czasu i relacja jest nadal aktualna).

Praktyczne wskazówki

Checkbox zgody powinien być oddzielny od akceptacji regulaminu. Nie łącz ich.

Zgoda nie może być warunkiem skorzystania z usługi (np. „Żeby zostać wolontariuszem, musisz zapisać się na newsletter" — niedopuszczalne).

Wycofanie zgody musi być równie łatwe jak jej wyrażenie. Link „wypisz się" w każdym mailu to minimum.

Dokumentuj zgody — kiedy wyrażona, na co, jaką treść widziała osoba. System taki jak dlaNGO pozwala to zautomatyzować.

Inspektor Ochrony Danych — kiedy NGO musi go wyznaczyć

Art. 37 RODO wymaga wyznaczenia IOD, gdy:

Główna działalność administratora polega na operacjach przetwarzania wymagających regularnego i systematycznego monitorowania osób na dużą skalę.

Główna działalność polega na przetwarzaniu na dużą skalę danych szczególnych kategorii.

Dla większości małych NGO formalny obowiązek nie zachodzi. Ale są wyjątki:

Duże organizacje pomocowe (Caritas, PCK, duże fundacje) przetwarzające dane zdrowotne tysięcy beneficjentów — mają obowiązek.

NGO prowadzące placówki (hospicja, domy dziecka, ośrodki terapeutyczne) — przetwarzają dane szczególne na dużą skalę.

Organizacje realizujące programy stypendialne z danymi o dochodach rodzin — mogą podlegać obowiązkowi.

Nawet jeśli obowiązek formalnie nie zachodzi, PUODO rekomenduje wyznaczenie IOD jako dobrą praktykę. Może to być osoba z organizacji przeszkolona w zakresie ochrony danych lub zewnętrzny specjalista na umowie.

IOD nie musi być prawnikiem. Musi mieć wiedzę z zakresu ochrony danych i praktyczną znajomość procesów organizacji.

Naruszenia ochrony danych — co robić w 72 godziny

Wyciekła baza darczyńców. Ktoś wysłał e-mail z listą adresów w polu „Do" zamiast „UDW". Laptop z danymi beneficjentów został skradziony. Wolontariusz udostępnił arkusz z danymi na publicznym linku Google Docs.

To realne scenariusze z sektora NGO. Procedura po naruszeniu:

Krok 1: Identyfikacja i powstrzymanie (natychmiast)

Zidentyfikuj zakres naruszenia (jakie dane, ilu osób, od kiedy).

Powstrzymaj dalszy wyciek (zmień hasła, cofnij dostęp, wyłącz link).

Udokumentuj zdarzenie (kiedy wykryto, kto zgłosił, co zrobiono).

Krok 2: Ocena ryzyka (do 24h)

Czy naruszenie może skutkować ryzykiem dla praw osób? (Tak w większości przypadków.)

Czy ryzyko jest wysokie? (Tak, jeśli wyciekły dane wrażliwe, PESEL, dane dzieci.)

Krok 3: Zgłoszenie do PUODO (do 72h od wykrycia)

Jeśli naruszenie może powodować ryzyko — zgłoś przez formularz na stronie PUODO (uodo.gov.pl). Zgłoszenie zawiera:

opis naruszenia i jego charakter,

kategorie i przybliżoną liczbę osób,

dane kontaktowe IOD lub osoby odpowiedzialnej,

opis możliwych konsekwencji,

opis podjętych środków zaradczych.

Krok 4: Powiadomienie osób (gdy ryzyko jest wysokie)

Jeśli naruszenie może powodować wysokie ryzyko — musisz powiadomić osoby, których dane dotyczą. Komunikat powinien być jasny, bez prawniczego żargonu. Opisz co się stało, jakie mogą być konsekwencje i co robisz, żeby je ograniczyć.

Krok 5: Dokumentacja wewnętrzna (zawsze)

Niezależnie od tego, czy zgłaszasz naruszenie do PUODO — dokumentuj je w wewnętrznym rejestrze naruszeń (art. 33 ust. 5 RODO). Rejestr obejmuje wszystkie naruszenia, nawet te niewymagające zgłoszenia.

Kary i kontrole PUODO — przykłady z sektora NGO

PUODO nie oszczędza organizacji pozarządowych. Oto realne przypadki z ostatnich lat:

Fundacja prowadząca programy socjalne (2024) — kara 47 000 zł za brak rejestru czynności przetwarzania, brak klauzul informacyjnych i brak umów powierzenia z podmiotami IT. Organizacja przetwarzała dane o sytuacji materialnej rodzin. Stowarzyszenie sportowe (2023) — kara 10 000 zł za publikację na stronie internetowej wyników zawodów z pełnymi danymi (imię, nazwisko, PESEL, adres) młodocianych zawodników. Fundacja edukacyjna (2025) — upomnienie + nakaz za brak reakcji na żądanie usunięcia danych byłego wolontariusza. Organizacja zignorowała trzy wnioski. Stowarzyszenie charytatywne (2024) — kara 25 000 zł za niezgłoszenie naruszenia. Baza danych z adresami e-mail 12 000 darczyńców była dostępna publicznie przez 3 miesiące.

Wnioski? PUODO zwraca uwagę na:

kompletny brak dokumentacji (najczęstsza sytuacja w NGO),

ignorowanie praw osób (prawo do usunięcia, dostępu),

brak reakcji na naruszenia,

nadmiarowe zbieranie danych.

Kontrole PUODO mogą być wszczęte z urzędu lub na skutek skargi. Wystarczy, że niezadowolony były wolontariusz złoży skargę — i organizacja musi udowodnić, że działa zgodnie z prawem.

Checklist RODO compliance dla NGO

Poniższa lista pozwala ocenić stan zgodności organizacji z RODO. Każdy punkt oznaczony ✗ wymaga działania.

[ ] Rejestr czynności przetwarzania — prowadzony i aktualny

[ ] Klauzule informacyjne — przy każdym formularzu i punkcie zbierania danych

[ ] Polityka prywatności — na stronie www, aktualna, w prostym języku

[ ] Umowy powierzenia — z każdym podmiotem, który przetwarza dane w imieniu NGO (hosting, księgowość, CRM, chmura)

[ ] Rejestr zgód — dokumentacja kto, kiedy, na co wyraził zgodę

[ ] Mechanizm wycofania zgody — link wypisania w mailach, formularz na stronie

[ ] Procedura obsługi praw osób — wiadomo kto odpowiada, w jakim terminie (max 30 dni)

[ ] Procedura reagowania na naruszenia — spisana, znana zespołowi

[ ] Rejestr naruszeń — nawet jeśli dotąd nic się nie zdarzyło

[ ] Minimalizacja danych — przegląd formularzy pod kątem zbędnych pól

[ ] Retencja danych — określone terminy przechowywania, mechanizm usuwania

[ ] Szkolenie zespołu — przynajmniej raz w roku, nowi pracownicy przy onboardingu

[ ] Bezpieczeństwo IT — szyfrowanie, silne hasła, 2FA, kopie zapasowe

[ ] IOD — wyznaczony lub świadoma decyzja o braku obowiązku (udokumentowana)

Jeśli organizacja spełnia 10+ punktów — jest na dobrej drodze. Poniżej 7 — wymaga pilnych działań.

Jak dlaNGO pomaga zarządzać zgodnością z RODO

Zarządzanie ochroną danych w arkuszach kalkulacyjnych i folderach na dysku to recepta na chaos — szczególnie gdy zmienia się zarząd, rotują wolontariusze, a organizacja rośnie.

dlaNGO oferuje organizacjom pozarządowym narzędzia zaprojektowane z myślą o ich specyfice:

Rejestr zgód — automatycznie zapisuje, kto i kiedy wyraził zgodę, na co, i jaką treść klauzuli widział. Wycofanie zgody jednym kliknięciem.

Klauzule informacyjne — gotowe szablony dostosowane do typowych procesów w NGO (wolontariat, darowizny, beneficjenci, wydarzenia).

Zarządzanie danymi darczyńców i wolontariuszy — z wbudowanymi terminami retencji i przypomnieniami o konieczności usunięcia danych.

Bezpieczna komunikacja — wysyłka newsletterów i powiadomień z pełnym logiem zgód, zgodna z RODO i ustawą o świadczeniu usług drogą elektroniczną.

Zamiast kolejnego arkusza — jedno miejsce, w którym organizacja ma kontrolę nad danymi, zgodami i obowiązkami.

Sprawdź, jak dlaNGO wspiera zgodność z RODO →