Instituciones y asociaciones
La aplicación de la normativa se extiende a las asociaciones sin ánimo de lucro, puesto que también manejan datos de carácter personal de sus socios y aquellas personas o entidades con las que colaboren en algún momento.
Normativa aplicable
Las normas que regulan la Protección de Datos en asociaciones son:
- RGPD (vigente a partir del 25 de mayo en toda Europa)
- LOPD (España)
- LSSI (regula los servicios de la sociedad de la información y el comercio electrónico)
¿Cómo deben cumplir la normativa?
A continuación te explicamos detalladamente cada una de las obligaciones que se deben cumplir.
Registro de actividades de tratamiento
¿Qué tipo de datos se manejan en y qué cantidad?
En ese registro debes incluir la siguiente información:
- Tipo de datos almacenados
- Finalidad
- Legitimados
- Política de almacenamiento de esos datos
- Si se realizan cesiones o transferencias internacionales
- Medios a través de los que se realiza el tratamiento
Este registro de actividades de tratamiento debes mantenerlo siempre actualizado.
Los tratamientos más habituales en las asociaciones son:
- Socios
- Proveedores
- Contabilidad
- Recursos Humanos
- Curriculum
- Videovigilancia
Contratos con Encargados de tratamiento
Cada vez que contratas una gestoría para llevar los temas fiscales o laborales o si tienes una empresa informática que realiza el mantenimiento de los equipos en la asociación.
Estos son los Encargados de tratamiento.
Así que, además de tener un registro de actividades de tratamiento, debes disponer de una lista de esas empresas externas con las que tienes contacto y asegurar que también cumplan la normativa obligatoria. Y qué decir tiene que hay que estar seguros de que el socio sepa qué datos suyos se recopilan a través de estas páginas.
Para ello es necesario firmar un contrato de encargo de tratamiento con esos terceros en el que se establezcan las obligaciones de estos para proteger los datos personales a los que accedan.
Recuerda firmar el contrato de encargo de tratamiento con los terceros
¿Qué tiene que incluir ese contrato? ¿lo sabes?
Como mínimo debe establecerse:
- objeto, la duración, la naturaleza y la finalidad del tratamiento
- tipo de datos personales
- categorías de interesados
- obligaciones y derechos del responsable
Acuerdo de confidencialidad con empleados de la asociación
Es posible que en la asociación tengas contratados empleados. O haya voluntarios.
¿A que sí?
Los empleados tienen acceso a toda la información y datos que maneja la asociación y, por tanto, deben firmar un acuerdo que garantice la confidencialidad para evitar que esa información sea revelada a personas no autorizadas. También deben cumplir las medidas de seguridad establecidas.
En las asociaciones los empleados disponen de un correo electrónico para comunicarse entre ellos y con socios y proveedores. Esto les convierte en objetivos de los atacantes, porque la ingeniería social y técnicas como el phishing son los métodos de ataque más utilizados debido al éxito que tiene para los ciberdelincuentes.
Consentimiento de socios
Además de actualizar la política de privacidad, tu asociación debe tener el consentimiento expreso de todos sus socios para poder tratar sus datos, si necesitas una plantilla de este documento, aquí tienes un modelo de consentimiento de protección de datos para tu ONG o asociación, podrás descargarlo y editarlo según tus necesidades.
Para cumplir correctamente con la LOPD la asociaciones deben contar con un formulario (virtual, si la captación de datos se realiza vía web, o en papel, para el resto de casos) solicitando el consentimiento para el tratamiento (máxime si se van a tratar datos sensibles).
En él deben informar claramente de:
- datos del responsable del tratamiento (tu asociación),
- finalidad concreta del tratamiento,
- tiempo que se conservarán,
- destinatarios si los hay (¿se ceden los datos a otras entidades?),
- transferencias de datos internacionales si se realizan,
- derechos de los afectados y cómo se pueden exigir estos y
- Dpo (si la asociación debe contar con uno o así lo ha decidido).
Uno de los fines principales del RGPD es que los clientes sean mucho más conscientes de qué información disponen las empresas de ellos y para qué se utiliza. Por ello, es esencial que se les comunique cualquier cambio que se vaya a realizar.
¿Y cómo se hace?
Una buena opción sería enviar emails a los socios y empleados o publicar alguna entrada en la página web y difundirla posteriormente por redes sociales, para generar más confianza.
Página web
Si tu asociación sin ánimo de lucro opera online, debes incluir en la página web los textos exigidos por la LOPD y la LSSI:
- Aviso legal
- Política de privacidad
- Política de cookies
Aviso legal
Este es el documento donde se identifica al propietario de la página web.
En él debes incluir:
- Nombre del propietario
- CIF / NIF
- Dirección
Debes poner un enlace visible a este texto desde cualquier página de la web.
Política de privacidad
Es importante revisar la política de privacidad de la asociación y hacer una versión de esta más extensa, que incluya más información acerca del procesamiento de los datos.
Así, en el texto de Política de privacidad tendrás que informar expresamente de:
- existencia de un tratamiento de los datos que se le están solicitando,
- finalidad,
- destinatario o destinatarios de aquella información,
- legitimación para el tratamiento,
- plazo de conservación de los datos,
- identidad y dirección del responsable del tratamiento de los datos y
- posibilidad de ejercer sus derechos de acceso, rectificación, cancelación y oposición y por qué vía.
Todos esos detalles deberán formar parte de la política de privacidad. Una vez actualizada, tienes que asegurarse de que esta nueva versión se publique en la web.
Política de cookies
Las cookies son archivos de información enviados por un sitio web y almacenados en el navegador del usuario que visita ese sitio. Se utilizan para analizar las visitas a nuestra página web o mostrar publicidad dinámica.
Por tanto, si tu web incluye algo de esto, debes cumplir con la ley de cookies.
La ley que regula las cookies es la propia LSSI. En ese texto debe informarse sobre las cookies utilizadas en la página, su finalidad y duración.
¿Necesitas cumplir el RGPD?
Análisis de riesgos
También se debe realizar un análisis del riesgo en el que valores los riesgos que puedan derivarse de los tratamientos que se realicen, teniendo en cuenta, entre otras cuestiones:
- tipo de datos
- naturaleza de los datos
- medios de tratamiento
- cesiones
- transferencias internacionales
- número de interesados afectados
Además, si el riesgo resultara ser especialmente alto deberás realizar una evaluación de impacto para minimizar las posibilidades de afectar a los derechos o libertades de los interesados.
Es frecuente que las asociaciones almacenen datos sensibles de sus socios, como datos de salud, políticos o sindicales. En ese caso necesita realizar la Evaluación de impacto debido a que, por el tipo de datos que maneja, existe un riesgo alto para los derechos y libertades de los afectados.
Tras estos análisis deberás implementar unas medidas de seguridad adecuadas.
Notificar brechas de seguridad
Una de las obligaciones que establece el RGPD es la notificación de los incidentes de seguridad que se produzcan en la empresa, tanto a los afectados como a la AEPD.
En el caso de que se dé una situación de ciberataque o infracción en la asociación, lo ideal es que estés prevenido con un plan de respuesta ante incidentes. Existe un límite de 72 horas para notificar a las autoridades y dotar a estas de información, por lo que el plan debe someterse a prueba para garantizar que cumpla con el plazo.
¡Cuidado! Debes notificar las brechas de seguridad en un plazo de 72 horas
Cabe destacar que, aunque no se permitirán infracciones intencionadas de la ley, existirán atenuantes si se puede demostrar a las autoridades y a los clientes que se está haciendo todo lo posible para cumplir con ella.
DPO
Para la mayoría de las asociaciones no es obligatorio nombrar un Delegado de Protección de datos, ya que no están dentro de los supuestos en los que así lo exige el RGPD.
En cualquier caso, cada asociación deberá analizar si en su caso procede el nombramiento del DPO, porque realicen un tratamiento a gran escala de categorías especiales de datos personales, por ejemplo, o porque así lo decidan voluntariamente para asegurar el buen cumplimiento de la norma.
Modelos
Aquí tienes diferentes modelos de documento para la protección de datos necesarios para un correcto cumplimiento de la normativa vigente.
- Contrato con terceros
- Página web
- Compromiso confidencialidad empleados
- Consentimientos
- Videovigilancia
- Comunicaciones
Sanciones
Con esta normativa se incrementan las exigencias y también las sanciones en caso de incumplimiento.
Las sanciones se endurecen considerablemente, con multas que pueden llegar a los 20 millones de euros o el 4% de la facturación global anual. Teniendo en cuenta que las asociaciones son sin ánimo de lucro, está claro que este tipo de sanciones no serán las que motiven a la asociación a cumplir con el RGPD, sino el ánimo de cuidar los derechos y libertades de sus miembros.
¿Necesitas ayuda?
¡Recibe hasta 4 presupuestos! Te ayudamos a encontrar una empresa especializada en la materia para poder resolver todas tus dudas.