En Weok sabemos que la protección de datos para asociaciones es un aspecto fundamental que, en muchas ocasiones, puede pasar desapercibido. Es necesario que la conozcas, ya que, su incumplimiento puede conllevar sanciones importantes y, sobre todo, una pérdida de confianza por parte de socios y colaboradores.
Todo lo que debes saber para cumplir con la normativa
Las ONG y AMPAs, manejan datos personales de socios, voluntarios, colaboradores, proveedores y, en muchos casos, de colectivos especialmente vulnerables. Es fundamental que las asociaciones cumplan con estas obligaciones legales, no solo para evitar posibles sanciones, sino también para reforzar la confianza y la transparencia ante sus miembros y colaboradores.
Qué norma se aplica
Las asociaciones y ONG no solo tratan datos personales básicos, sino también datos de categorías especiales, como los relacionados con la salud, la orientación religiosa o política, o la situación económica de los beneficiarios. Por tanto, están plenamente sujetas al cumplimiento de una norma. Actualmente, la normativa incluye:
- El Reglamento General de Protección de Datos 2016/679. A nivel europeo.
- Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD).
- Real Decreto-ley 5/2018, de medidas urgentes para adaptar la legislación española al RGPD.
- Ley 34/2002, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI-CE)
La Agencia Española de Protección de Datos (AEPD) establece que cualquier organización que trate datos personales identificables está obligada a cumplir con esta normativa, incluidas las asociaciones sin ánimo de lucro.
En el caso de las AMPAs, se elabora un documento de protección de datos para AMPAs adaptado a sus particularidades, ya que el tratamiento de datos de menores exige medidas adicionales.
Elaboración de la política de privacidad
La política de privacidad es un documento clave que detalla cómo se recogen, utilizan y protegen los datos personales. Se incluye:
- Identidad y datos de contacto del responsable y, si aplica, del Delegado de Protección de Datos.
- Finalidad y base jurídica del tratamiento.
- Posibles cesiones y transferencias internacionales.
- Plazo de conservación.
- Derechos ARSULIPO (acceso, rectificación, supresión, limitación, portabilidad y oposición).
- Obligación o no de facilitar datos y consecuencias de no hacerlo.
- Medidas de seguridad y confidencialidad.
- Vías para reclamar ante la AEPD.
- En casos donde se gestionen datos sensibles, añadimos protocolos específicos de acceso, uso y destrucción segura.
Requisitos para cumplir con la normativa
La asociación debe cumplir con todas las exigencias legales:
- Deber de informar
Informamos al interesado sobre qué datos recogemos, con qué finalidad, durante cuánto tiempo, y si habrá cesión a terceros. Además, si se realizarán transferencias internacionales, lo dejamos reflejado expresamente. - Consentimiento expreso
El RGPD exige que el consentimiento sea libre, informado, específico e inequívoco. Si su asociación ha recogido consentimientos tácitos o presuntos según la antigua LOPD, es necesario renovarlos. - Contratos con encargados de tratamiento
Cuando la asociación trabaja con proveedores que acceden a datos (por ejemplo, una gestoría o una plataforma de mailing), firmamos acuerdos de tratamiento conforme al RGPD. - Contratos y cláusulas internas
Si cuenta con personal, voluntariado o colaboradores, elaboramos documentos firmados que regulen la confidencialidad y el acceso a los datos personales. - Tratamiento de datos sensibles
Si su entidad trata datos especialmente protegidos (salud, menores, antecedentes penales, etc.), establecemos:
Protocolos específicos de acceso, permisos necesarios, procedimientos de destrucción segura. - Análisis de riesgos y evaluaciones de impacto: antes de iniciar el tratamiento de datos, realizamos un análisis para identificar posibles amenazas y aplicar las medidas de seguridad necesarias.
En caso de tratar datos especialmente sensibles, redactamos también una evaluación de impacto, como exige el RGPD. - Notificación de brechas de seguridad
Establecemos protocolos para que, en caso de incidente, la brecha se comunique a la AEPD en un plazo máximo de 72 horas, y también a los afectados si se pone en riesgo su privacidad. - Delegado de Protección de Datos (DPO)
No todas las asociaciones están obligadas a contar con un DPO. No obstante, si la suya trata datos personales a gran escala o sensibles, le asesoramos sobre su nombramiento o asumimos el rol desde Weok si así lo requiere. - Página web y textos legales (si la asociación tiene web) hay que revisar:
- Aviso legal: identificación del titular
- Política de privacidad: clara, extensa y conforme al RGPD
- Política de cookies: adaptada a la LSSI y con consentimiento explícito.
Consecuencias de no cumplir
Las sanciones por incumplir la protección de datos para asociaciones pueden ser elevadas:
- Leves: hasta 40.000 €
- Graves: de 40.001 a 300.000 €
- Muy graves: de 300.001 € a 20.000.000 € o el 4% de la facturación global anual
No solo se trata de evitar estas multas, sino en garantizar que su asociación actúe conforme a la ley y transmita confianza a sus socios y beneficiarios.
Weok te ayuda a cumplir con la protección de datos para asociaciones
En definitiva, entendemos que cumplir con la protección de datos para asociaciones puede parecer complejo. Por eso, ponemos a su disposición un equipo especializado que le guiará en cada paso, garantizando que todos los documentos, procedimientos y medidas se adapten a la normativa y a la realidad de su organización. No dude en contactarnos.
