Protección de Datos en Asociaciones: Un Pilar Fundamental para la Confianza y el Cumplimiento

La protección de datos no es una obligación exclusiva de las empresas, sino que afecta a cualquier organización que trate información personal, incluyendo asociaciones y ONGs. Cumplir con la normativa vigente no solo evita importantes sanciones económicas, sino que también fortalece la reputación y la confianza de socios, voluntarios, donantes y beneficiarios. La Asociación Española de Empresas de Protección de Datos (AEPD.ORG) es una entidad sin ánimo de lucro que agrupa a empresas especializadas en prestar servicios de protección de datos personales, garantizando estrictos niveles de calidad.

Normativa Aplicable a la Protección de Datos en Asociaciones

Las normas que regulan la Protección de Datos en asociaciones son:

• RGPD (Reglamento (UE) 2016/679, de 27 de abril de 2016): Vigente en toda Europa, establece un marco legal común para la protección de datos personales.
• LOPDGDD (Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales): Rige en España y afecta a cualquier asociación que trate datos personales de ciudadanos españoles, tenga su sede en territorio español o en el extranjero.
• LSSI (Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico): Regula los servicios de la sociedad de la información y el comercio electrónico, incluyendo el uso de cookies en páginas web.

Es importante destacar que tanto las asociaciones empresariales como las sin ánimo de lucro están obligadas a cumplir con esta normativa. Por ejemplo, si una asociación sin ánimo de lucro recibe donaciones, debe proteger los datos bancarios de sus benefactores. Además, debe proteger la privacidad de cualquier otra información de carácter personal de donantes, socios, voluntarios, proveedores, usuarios beneficiarios o empleados.

Tipos de Datos Personales Tratados Comúnmente en Asociaciones

Una asociación puede tratar una gran variedad de datos que deben protegerse con medidas adecuadas. Es crucial contar con mecanismos de seguridad físicos, digitales y organizativos para evitar el robo o la difusión de cualquier información de carácter personal. Estos son los tipos de datos personales más comúnmente tratados en asociaciones y ONGs:

• Nombres y apellidos de socios, voluntarios, donantes, beneficiarios.
• Información bancaria.
• Datos médicos de los usuarios, o bien sociales/económicos.

Además, es posible que las asociaciones también manejen datos sensibles o especialmente protegidos, como pueden ser datos de salud, religión o ideología. Cualquier filtración de estos datos puede suponer perjuicios para las personas afectadas, como la discriminación o la estigmatización.

Obligaciones Clave para el Cumplimiento de la Normativa de Protección de Datos

Registro de Actividades de Tratamiento

Las asociaciones deben llevar un registro de las actividades de tratamiento de datos que realizan. Este registro debe incluir la siguiente información:

• Tipo de datos almacenados.
• Finalidad del tratamiento.
• Base legal del tratamiento de datos.
• Política de almacenamiento de esos datos.
• Si se realizan cesiones o transferencias internacionales.
• Medios a través de los que se realiza el tratamiento.

Este registro debe mantenerse siempre actualizado. Los tratamientos más habituales en las asociaciones son los relacionados con socios, proveedores, contabilidad, recursos humanos, currículums y videovigilancia.

Deber de Informar y Solicitar el Consentimiento Expreso

Además de cumplir las medidas de protección, es obligatorio informar a los interesados sobre el tratamiento de sus datos personales. Se les debe comunicar:

• Quién es el responsable de protección de datos en la asociación.
• Con qué finalidad se tratará la información.
• Base legal del tratamiento de datos.
• Destinatarios, en caso de que se compartan con terceros.
• Derechos que pueden ejercer los interesados (acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición).
• Posibilidad de retirar el consentimiento en cualquier momento y de reclamar ante la autoridad de control (AEPD).

El Reglamento General de Protección de Datos exige que el consentimiento se dé de forma concreta y explícita, mediante un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada e inequívoca del interesado. Para ello, las asociaciones pueden apoyarse en software RGPD, como las CMP o plataformas de gestión del consentimiento, y es fundamental que quede registrado para poder probarlo ante la autoridad competente.

Contratos con Terceros y Encargados de Tratamiento

Si la asociación comparte datos con terceros (por ejemplo, una gestoría, una empresa informática o proveedores de servicios en la nube), debe asegurarse de que estos cumplan con las leyes de protección de datos. Para ello, es necesario firmar un contrato de encargo de tratamiento con esos terceros en el que se establezcan las obligaciones para proteger los datos personales a los que accedan. Este contrato debe incluir, como mínimo, el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales, las categorías de interesados, y las obligaciones y derechos del responsable.

Acuerdos de Confidencialidad con Empleados y Voluntarios

Los empleados y voluntarios tienen acceso a la información y datos que maneja la asociación, por lo que deben firmar un acuerdo que garantice la confidencialidad para evitar que esa información sea revelada a personas no autorizadas. También deben cumplir las medidas de seguridad establecidas.

Protección de la Página Web y Análisis de Riesgos

La página web puede ser un espacio vulnerable sujeto a amenazas cibernéticas. Es responsabilidad de la asociación proteger los datos en este canal. Algunas medidas recomendadas son:

• Uso de certificados SSL para cifrar la información transmitida al servidor.
• Firewall para bloquear accesos no autorizados a la página web.
• Actualizaciones periódicas del software.
• Analizar los riesgos de manera regular para detectar posibles brechas.

El análisis de riesgos es una herramienta esencial para identificar y evaluar los posibles riesgos a los que se enfrentan los datos personales tratados por la asociación. Este proceso permite adoptar medidas de seguridad adecuadas y proporcionales para minimizar dichos riesgos. Si el riesgo resultara ser especialmente alto, se deberá realizar una evaluación de impacto. Se recomienda realizar un análisis de riesgos periódicamente o siempre que se produzcan cambios significativos en el tratamiento de datos.

Textos Legales en la Página Web

Si la asociación tiene una página web, esta debe actualizar sus textos legales al RGPD, incluyendo:

• Aviso legal: Documento donde se identifica al propietario de la página web.
• Política de privacidad: Versión extensa que incluya más información acerca del procesamiento de los datos.
• Política de cookies: Información sobre las cookies utilizadas en la página, su finalidad y duración, cumpliendo con la LSSI.

Notificación de Brechas de Seguridad

La asociación, como cualquier empresa, puede sufrir una violación de seguridad. Es fundamental prevenir y no esperar a que surja el problema. Se aconseja realizar protocolos de actuación en caso de brechas. En caso de que ocurra una violación de la seguridad, el RGPD obliga a las organizaciones a notificar el incidente a la Agencia Española de Protección de Datos (AEPD) en un plazo máximo de 72 horas desde que se tenga conocimiento. Además, si la brecha supone un alto riesgo para los derechos y libertades de las personas afectadas, también se les deberá informar sin dilación indebida.

Delegado de Protección de Datos (DPO)

El DPO es un profesional independiente que se encarga de supervisar el cumplimiento de la normativa de protección de datos. La asignación de la figura del delegado de protección de datos no es siempre obligatoria. Solo en ciertos supuestos es requisito indispensable, en función del volumen y el tipo de datos recopilados. Las asociaciones que traten datos sensibles o monitoricen datos a gran escala deberán contar con un DPO. Aunque no todas las asociaciones están obligadas a contar con un DPD, es altamente recomendable, ya que este profesional puede ofrecer asesoramiento y apoyo para garantizar el cumplimiento de la LOPD y el RGPD.

Sanciones por Incumplimiento

El incumplimiento de la normativa de protección de datos puede acarrear sanciones económicas significativas, además de dañar la reputación de la asociación. Las multas pueden llegar hasta los 20 millones de euros o al 4% del volumen de negocio anual global de la asociación, la cantidad que sea mayor. Aparte del daño pecuniario, un problema de seguridad que afectase a sus usuarios o miembros podría dañar la confianza por parte de miembros, donantes y beneficiarios, algo especialmente relevante para asociaciones sin ánimo de lucro.

A continuación, se presenta una tabla resumen de algunas de las obligaciones clave:

Herramientas para el Cumplimiento: Usercentrics

La tecnología es muy útil para obtener el consentimiento de los usuarios y cumplir con otras medidas que exigen las leyes de protección de datos. Con esta finalidad, Usercentrics ofrece una CMP o plataforma de gestión del consentimiento. Este tipo de herramienta facilita el cumplimiento gracias a sus funcionalidades:

• Obtener el consentimiento de los usuarios de manera expresa.
• Gestionar las preferencias de cookies.
• Documentar todo el proceso de cumplimiento.
• Adaptarse a posibles cambios futuros en la legislación.

Con Usercentrics, las asociaciones pueden garantizar el tratamiento de datos personales conforme a la ley, impulsar su reputación y proteger su marca y la confianza de sus miembros y beneficiarios.

En resumen, las asociaciones, ya sean empresariales o sin ánimo de lucro, están obligadas a cumplir con la normativa de protección de datos. Para garantizar el cumplimiento de estas leyes, es fundamental llevar a cabo una serie de acciones, como informar a los titulares de los datos, solicitar su consentimiento expreso, firmar contratos con encargados de tratamiento y empleados, realizar análisis de riesgos, notificar brechas de seguridad y, en algunos casos, contar con un Delegado de Protección de Datos.