GDPR u sportskim klubovima: zašto opća privola više nije dovoljna

Rukometni i drugi sportski klubovi u posljednje vrijeme podliježu zakonskoj obvezi provođenja opširnijih zdravstvenih pregleda za svoje članove, a istovremeno redovito objavljuju fotografije i videozapise s treninga i utakmica na društvenim mrežama. Oba trenda nose ozbiljne obveze u pogledu zaštite osobnih podataka koje se lako previde, posebno kada su u pitanju maloljetni članovi.

Zdravstveni podaci su posebna kategorija osobnih podataka

Obveza provođenja opširnijih redovitih liječničkih pregleda prije početka sezone proizlazi iz propisa o sportu i sigurnosti sportaša, no za klub istovremeno znači da dolazi u posjed opsežnijih podataka o zdravstvenom stanju svojih članova. Prema Općoj uredbi o zaštiti podataka (GDPR), podaci o zdravlju spadaju u posebnu kategoriju osobnih podataka i uživaju pojačanu zaštitu.

To u praksi znači da klub mora imati jasnu pravnu osnovu za prikupljanje i čuvanje takvih podataka, ograničiti pristup samo osobama kojima je to nužno za obavljanje dužnosti (primjerice treneru ili klupskom liječniku), voditi ih odvojeno od ostale dokumentacije i čuvati ih samo onoliko dugo koliko je stvarno potrebno. Nalazi liječničkih pregleda ne bi smjeli kružiti e-mailom bez zaštite niti se čuvati u zajedničkim, svima dostupnim dokumentima.

Zašto opća privola više nije dovoljna

Mnogi klubovi i dalje se oslanjaju na jednu opću privolu koju roditelj potpiše prilikom upisa djeteta, a koja navodno pokriva „sve” – od obrade osobnih podataka, preko zdravstvenih informacija, do objave fotografija na internetu. Takva praksa danas nije u skladu s temeljnim načelima GDPR-a.

Privola mora biti konkretna i posebna za svaku svrhu obrade. To znači da privola za pohranu zdravstvenih podataka ne može automatski pokrivati i objavljivanje fotografije djeteta na Facebooku ili Instagramu kluba – riječ je o dvije različite svrhe s različitim rizicima, pa zahtijevaju i zasebne privole. Privola mora biti i informirana (osoba mora točno znati čemu pristaje), slobodno dana te u svakom trenutku opoziva, bez štetnih posljedica za člana kluba.

Fotografije i objave djece traže poseban oprez

Objave fotografija i videozapisa mladih sportaša uobičajena su praksa promocije kluba, ali upravo je to područje u kojem se najčešće griješi. Fotografija djeteta na kojoj je ono prepoznatljivo smatra se osobnim podatkom, a njezina javna objava predstavlja obradu podataka koja zahtijeva jasnu privolu roditelja ili skrbnika.

Pri tome je preporučljivo razmisliti i o opsegu objave: treba li uz fotografiju stajati puno ime i prezime djeteta, ili je dovoljno samo ime, inicijali ili opći opis (npr. „naši mlađi kadeti na turniru u Zagrebu”)? Manje podataka uz fotografiju znači i manji rizik. Klub bi trebao unaprijed roditeljima jasno objasniti gdje će se fotografije objavljivati (web stranica, Facebook, Instagram), u koju svrhu i koliko dugo će ostati javno dostupne, te im omogućiti da privolu naknadno povuku ako se predomisle.

Preporuke koje vrijedi slijediti

Hrvatska agencija za zaštitu osobnih podataka (AZOP) u svojim smjernicama za rad s osobnim podacima djece dosljedno naglašava nekoliko načela koja mogu poslužiti klubovima kao vodilja:

• Privole prikupljati odvojeno za svaku svrhu obrade, a ne kroz jedan opći dokument koji „pokriva sve”
• Jasno i razumljivo, jezikom prilagođenim roditeljima (i po mogućnosti djeci), objasniti zašto se podaci prikupljaju i tko će imati pristup njima
• Omogućiti jednostavan način povlačenja privole u bilo kojem trenutku
• Zdravstvene podatke čuvati odvojeno, s ograničenim pristupom i jasno određenim rokom čuvanja
• Kod objave fotografija djece razmotriti minimalizaciju podataka – izbjegavati nepotrebno navođenje punog imena i prezimena uz snimku
• Voditi evidenciju danih i povučenih privola, kako bi klub u svakom trenutku mogao dokazati da određenu obradu provodi zakonito

Sportski klubovi rade s velikim brojem obitelji i djece, često uz ograničene administrativne resurse, pa je razumljivo da ova tema lako ostane u drugom planu. No upravo zato što uključuje najosjetljivije kategorije podataka – zdravlje i djecu – zaslužuje jasan sustav privola i internih pravila, umjesto oslanjanja na jedan opći potpis prikupljen prije godinama.

Napomena: ovaj tekst donosi opće informacije o obvezama sportskih klubova prema GDPR-u i ne predstavlja pravni savjet za konkretan slučaj. Za usklađivanje dokumentacije kluba preporučuje se konzultacija s osobom ili tvrtkom specijaliziranom za zaštitu osobnih podataka.