Nagyon sok olyan helyzet van, amikor a civil szervezetnek törvényi kötelezettsége az adatokat kezelni, így pl. nem teheti attól függővé az adatkezelést, hogy az érintett hozzájárult-e vagy sem. 

A GDPR 6. cikk (1) c) pontja elismeri érvényes jogalapnak azokat a helyzeteket, amelyekben az adatkezelés az adatkezelőre vonatkozó valamilyen jogi kötelezettség teljesítéséhez szükséges. Ilyen kötelezettséget a NAIH értelmezése alapján csak törvény, vagy önkormányzati rendelet határozhat meg. A vonatkozó jogszabályokban nem az általános rendelkezéseket kell figyelembe vennünk, hanem amikor egy jogszabály kötelezettségeket (“kell”) határoz meg számunkra. Ha a jogszabály eltérést enged, akkor arra jogalapként nem hivatkozhatunk. 

Civil szervezetek esetében az  adatkezelési kötelezettségek alapvetően hasonlóak a cégekhez, de vannak olyan kifejezetten civil szervezetekre vonatkozó törvények, amelyek hatással vannak a kötelezően kezelendő adatok körére (pl. 2011. évi CLXXV. törvény (a civil szervezetek működéséről és támogatásáról, Civil tv.)

Az alábbiakban példálózó jelleggel, tehát nem az összes kötelezettséget felsorolva bemutatjuk a civil szervezetek adatkezelési kötelezettségeit:

1. Közhasznúsági Jelentés Készítése

   - Törvény: 2011. évi CLXXV. törvény a civil szervezetek működéséről és támogatásáról (Civil tv.)

   - Kötelezettség: Közhasznú szervezetek esetében évente közhasznúsági jelentést kell készíteni, amely tartalmazza az éves beszámolót, a közhasznú tevékenység rövid tartalmi beszámolóját beleértve a vezető tisztségviselők juttatásait. Ezt a jelentést nyilvánossá kell tenni.

2. Tagok Nyilvántartása

   - Törvény: 2011. évi CLXXV. törvény a civil szervezetek működéséről és támogatásáról (Civil tv.)

   - Kötelezettség: A civil szervezeteknek nyilván kell tartaniuk a tagjaik adatait, beleértve a nevüket, lakcímüket, valamint a tagsági jogviszony kezdő és záró időpontját. A szervezet létesítő okirata, vagy belső működési szabályzata indokolt esetében meghatározhat eltérő adatkezelési időtartamot is, ezt azonban indokolni szükséges.

PÉLDA: kilépett tagot érintő adatkezelések törlési határideje meghatározásának lehetséges szempontjai:

4. Számviteli bizonylatok megőrzése

   - Törvény: 2000. évi C. törvény a számvitelről (Számviteli törvény)

   - Kötelezettség: Ugyanaz, mint cégek esetében: minden könyvelési bizonylatot, számlát és egyéb pénzügyi dokumentumot meg kell őrizni legalább 8 évig.

5. Adóbevallások és adózási dokumentumok kezelése

   - Törvény: 2017. évi CL. törvény az adózás rendjéről (Art.)

   - Kötelezettség: Ugyanaz, mint cégek esetében: adóbevallások, adóigazolások és egyéb adózással kapcsolatos dokumentumok megőrzése legalább 5 évig.

6. Munkavállalói bérszámfejtési adatok kezelése

   - Törvény: 2012. évi I. törvény a munka törvénykönyvéről (Mt.)

   - Kötelezettség: Ugyanaz, mint cégek esetében: munkavállalói bérjegyzékek, fizetési nyilvántartások megőrzése legalább 5 évig.

7. Társadalombiztosítási járulékok nyilvántartása

   - Törvény: 1997. évi LXXX. törvény a társadalombiztosítás ellátásaira és a magánnyugdíjra jogosultakról, valamint e szolgáltatások fedezetéről (Tbj.)

   - Kötelezettség: Ugyanaz, mint cégek esetében: TB járulékokkal kapcsolatos nyilvántartások vezetése és megőrzése legalább 5 évig.

8. Munkaszerződések és munkaügyi dokumentumok kezelése

   - Törvény: 2012. évi I. törvény a munka törvénykönyvéről (Mt.)

   - Kötelezettség: Ugyanaz, mint cégek esetében: munkaszerződések, módosítások, felmondások és egyéb munkaügyi dokumentumok megőrzése legalább 3 évig a munkaviszony megszűnését követően.

9. Egészségügyi alkalmassági vizsgálatok nyilvántartása

   - Rendelet: 33/1998. (VI. 24.) NM rendelet a munkaköri, szakmai és személyi higiénés alkalmassági vizsgálatokról

   - Kötelezettség: Ugyanaz, mint cégek esetében: egészségügyi alkalmassági vizsgálatok eredményeinek megőrzése legalább 5 évig.

10. Munkaidő-nyilvántartások vezetése

   - Törvény: 2012. évi I. törvény a munka törvénykönyvéről (Mt.)

   - Kötelezettség: Ugyanaz, mint cégek esetében: munkaidő-nyilvántartások vezetése és megőrzése legalább 3 évig.

11. Baleseti jegyzőkönyvek és munkavédelmi nyilvántartások kezelése

   - Törvény: 1993. évi XCIII. törvény a munkavédelemről

   - Kötelezettség: Ugyanaz, mint cégek esetében: munkahelyi balesetek jegyzőkönyveinek és munkavédelmi nyilvántartások megőrzése legalább 5 évig.

9. Adatszolgáltatási kötelezettség a KSH felé

   - Törvény: 2016. évi CLV. törvény a hivatalos statisztikáról

   - Kötelezettség: Ugyanaz, mint cégek esetében: a Központi Statisztikai Hivatal által előírt adatszolgáltatások teljesítése és az adatok megőrzése legalább 5 évig.

10. Pénzmosás megelőzésével kapcsolatos adatok kezelése

    - Törvény: 2017. évi LIII. törvény a pénzmosás és terrorizmus finanszírozása megelőzéséről és megakadályozásáról

    - Kötelezettség: Ugyanaz, mint cégek esetében: az ügyfélazonosítás és a gyanús tranzakciók bejelentésének dokumentálása és megőrzése legalább 8 évig.

A Pmt.-ben meghatározott szolgáltatók kötelesek ügyfél-átvilágítást alkalmazni és ennek során megállapítani az ügyfeleik tényleges tulajdonosait. Eszerint a civil szervezetek nem kötelesek elvégezni semmilyen ügyfélazonosítást, ha nem minősülnek a Pmt-ben meghatározott szolgáltatónak.  A  civil szervezet jó hírnevének védelme érdekében azonban elhatározhatja, hogy  megakadályozza a szervezet esetlges felhasználását a nemzetközi közösségre és benne Magyarországra veszélyt jelentő tevékenységekhez és határozhat arról, hogy eljárásokat vezet be pl. nemzetközi szankciók érvényesítése, a terrorizmus finanszírozásának megelőzése és megakadályozása céljából. Ugyanakkor fontos megjegyezni, hogy amennyiben a szervezet igénybe veszi a Pmt. hatálya alá eső szolgáltatónak (pl. biztosítók, bankok, könyvvizsgálók, ügyvédi irodák) valamely szolgáltatását, abban az  esetben a szolgáltató kötelező módon el fogja végezni a civil szervezetre vonatkozó  ügyfél-átvilágítást.

Összefoglalva: a civil szervezetek esetében a fenti adatkezelési kötelezettségek alapvetően hasonlóak a cégekéhez, de jónéhány további specifikus kötelezettség is érvényes rájuk, különösen pl. a közhasznúsági jelentésekkel, vagy az egyesületi tagsággal kapcsolatban.