Глосарій
GDPR для спортивних клубів
Регламент (ЄС) 2016/679 — Загальний регламент про захист даних
Автор: Команда Clybo’ ·Опубліковано ·Редакційне оновлення: ·Наступний перегляд заплановано:
Ця стаття пояснює іспанське законодавство: вона стосується лише клубів, податкове місцезнаходження яких — в Іспанії.
GDPR застосовується до кожного спортивного клубу в Іспанії, який обробляє персональні дані спортсменів, опікунів чи персоналу. Клуб завжди є контролером даних; постачальники послуг (як-от Clybo’) є обробниками з підписаним договором. Для даних неповнолітніх діють особливі правила.
Нормативна база
В Іспанії застосовуються два основні нормативні акти:
- Регламент (ЄС) 2016/679, відомий як GDPR, що безпосередньо застосовується в усіх державах-членах.
- Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD, іспанський органічний закон про захист персональних даних і гарантії цифрових прав), який адаптує GDPR до іспанського законодавства.
Ролі: клуб і постачальник
| Роль | Хто | Відповідальність |
|---|---|---|
| Контролер даних | Клуб | Вирішує, які дані обробляються і для чого. Несе остаточну відповідальність перед AEPD. |
| Обробник даних | Постачальники, як-от Clybo’, Stripe, банк | Обробляє дані від імені клубу за його вказівками, на підставі підписаного DPA (ст. 28 GDPR). |
| Суб’єкт даних | Спортсмен, опікун, персонал | Користується своїми правами ARCO+, звертаючись до клубу-контролера. |
Найпоширеніші правові підстави в клубі
- Виконання договору (ст. 6.1.b): обробка даних для реєстрації спортсмена, стягнення внеску, організації тренувань. Згода не потрібна.
- Юридичний обов’язок (ст. 6.1.c): виставлення рахунків-фактур (VeriFactu) і виконання вимог Seguridad Social (системи соціального страхування Іспанії) щодо персоналу.
- Законний інтерес (ст. 6.1.f): надсилання організаційних повідомлень, запобігання шахрайству.
- Згода (ст. 6.1.a): фото для публікації, комерційні повідомлення, необов’язкові файли cookie.
Дані неповнолітніх
Стаття 8 GDPR і стаття 7 LOPDGDD регулюють посилений захист неповнолітніх. Ключові моменти для клубу:
- До 14 років згоду надає особа, що має батьківські права.
- Інформація для неповнолітнього має бути зрозумілою (проста мова, піктограми, якщо доречно).
- Дані про здоров’я (алергії, травми) належать до особливих категорій даних (ст. 9 GDPR) і потребують окремої правової підстави.
- Зображення, на яких можна впізнати особу, потребують явної згоди, яку можна відкликати.
Права суб’єкта даних
- Доступ: знати, які його дані ми обробляємо.
- Виправлення: виправити неточні дані.
- Видалення: видалити дані, які більше не потрібні.
- Заперечення: заперечити проти обробки на підставі законного інтересу.
- Обмеження: призупинити обробку на час розгляду спору.
- Перенесення: отримати дані в структурованому форматі, придатному для повторного використання.
Клуб має відповісти на такі запити протягом місяця (строк можна продовжити до трьох місяців, якщо це виправдано складністю). Суб’єкт даних завжди може подати скаргу до Agencia Española de Protección de Datos (іспанського агентства із захисту даних).
Порушення безпеки
Якщо сталося порушення безпеки, що зачіпає персональні дані, клуб має72 години, щоб повідомити про нього AEPD з моменту, коли про нього стало відомо (ст. 33 GDPR). Якщо порушення становить високий ризик для прав, про нього також потрібно без зволікань повідомити зачеплених суб’єктів даних.
Як це розв’язує Clybo’
Clybo’ підписує з кожним клубом DPA (Data Processing Agreement, договір про обробку даних), що відповідає статті 28 GDPR: він визначає обов’язки, субобробників, заходи безпеки та порядок дій у разі порушень. Ми застосовуємо шифрування AES-256 під час зберігання, TLS 1.3 під час передачі, Row-Level Security у базі даних за club_id і журнал активності для чутливих операцій. Якщо вам потрібна копія DPA до укладення договору, напишіть нам на privacidad@clybo.app.
Поширені запитання про GDPR для спортивних клубів
Чи потрібна згода опікуна, щоб стягувати внесок за неповнолітнього?
Ні, звичайною правовою підставою є виконання договору (ст. 6.1.b GDPR), а не згода. Реєстрація неповнолітнього в клубі означає договір, для виконання якого потрібно стягувати внесок. Згода потрібна для комерційних розсилок або фото для публікації.
З якого віку неповнолітній може самостійно надавати згоду?
В Іспанії — з 14 років (ст. 7 LOPDGDD). До цього віку згоду надає особа, що має батьківські права або опіку.
Чи потрібен інспектор із захисту даних (DPO)?
Ні, якщо тільки не обробляються особливі категорії даних у великих масштабах. Більшості клубів він не потрібен в обов’язковому порядку, але добра практика — призначити внутрішню відповідальну особу з питань конфіденційності.
Чи можна публікувати фото з тренувань у соцмережах?
Для зображень, на яких можна впізнати неповнолітніх, потрібна явна згода опікуна. Отримайте письмову згоду у формі реєстрації й дайте змогу відкликати її будь-коли.
Чим допоможе Clybo’
Clybo’ об’єднує облік спортсменів, платежі та документацію клубу. Перегляньте довідкові інструкції та умови кожного плану. Фіскальні послуги підключаються окремо, а їхня доступність залежить від фіскальної території клубу та відповідної технічної й юридичної активації.
Спробувати Clybo’ 30 днів безкоштовно