La Ley Orgánica de Protección de Datos (LOPD) establece pautas para el manejo responsable y seguro de la información personal de las personas. En esta guía, exploraremos el alcance de la LOPD en las asociaciones, quién debe aplicarla, qué tipos de datos se manejan y las medidas técnicas y procedimientos necesarios para cumplir con esta regulación.
¿Están obligados las Asociaciones a cumplir la LOPD?
Las Asociaciones están obligadas a cumplir. La LOPD establece que cualquier entidad que maneje datos personales debe hacerlo de manera responsable y garantizar la seguridad de esta información. Esto incluye a las asociaciones, que no solo recopilan y gestionan datos personales como cualquier actividad, sino que en muchos casos van a tratar datos sensibles o especialmente protegidos. Por ello, la aplicación de la normativa de privacidad en estas organizaciones debe ser atendida de una manera especialmente cuidadosa.
Normativa de protección de datos para Asociaciones
Existen cinco normativas principales que afectan a la hora de aplicar la normativa de protección de datos a las Asociaciones y ONG’s:
- Reglamento General de Protección de Datos o RGPD.
- Ley de Protección de Datos y Garantía de Derechos Digitales o LOPD-GDD.
- Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo.
- Ley 34/2002, de 11 de julio que regula las transacciones mediante medios electrónicos.
- Ley 50/2002, de 26 de diciembre, de Fundaciones.
¿Qué datos personales tratan las Asociaciones?
Las asociaciones pueden manejar una variedad de datos personales, como información de sus miembros, donantes, empleados y colaboradores. Estos datos pueden ser simples, como nombres y correos electrónicos, o más sensibles, como pueden ser los datos relativos a:
- Víctimas de violencia de género,
- Discapacidad,
- Historias médicas, psicológicas y/o sociales,
- Personas en riesgo de exclusión social,
- Menores,
- Menores dependientes de sujetos vulnerables,
- Personas mayores,
- Entre otras,
¿Quién es el responsable de aplicar la LOPD en las Asociaciones?
En el contexto de las asociaciones, este la responsabilidad de implantar medias de seguridad y protocolos suele recaer en un miembro del equipo directivo o en una persona designada específicamente para esta función. El responsable se encargará de asegurarse de que la asociación cumpla con todas las obligaciones legales relacionadas con la protección de datos.
¿Qué medidas técnicas y procedimientos debe implementar una Asociación?
Para cumplir con la LOPD, las asociaciones deben implementar una serie de medidas técnicas y procedimientos para garantizar la seguridad de los datos personales que manejan. Estas medidas pueden incluir:
- Deber de informar: Se debe informar correctamente a todas las personas que nos den sus datos personales, ya sean asociados, colaboradores, empleados,etc.La información que debe incluir es:
-
- Identificación del responsable del tratamiento;
- Finalidad del tratamiento;
- Base legítima principal del tratamiento;
- Especificar los derechos del asociado/a;
- Destinatarios o las categorías de destinatarios de los datos;
- Dónde o cómo poder ampliar la información básica de Protección de Datos.
- Consentimiento: Si la actividad de la entidad implica la recopilación de datos especialmente protegidos, es obligatorio obtener el consentimiento expreso de la persona afectada. Además, el encargado del tratamiento debe conservar este consentimiento como prueba de su obtención. Esto es esencial para garantizar el cumplimiento de las normativas de protección de datos y demostrar que se ha obtenido el consentimiento de manera adecuada.
- Confidencialidad de empleados, colaboradores, becarios, etc: Todos los usuarios autorizados, ya sean empleados o colaboradores, que estén bajo la responsabilidad del responsable del tratamiento, deben firmar un compromiso de confidencialidad. Este documento garantiza el deber de confidencialidad no solo durante la relación laboral, sino también después de que esta haya concluido. Esto es esencial para proteger la privacidad de los datos personales, incluso una vez que la relación laboral haya terminado.
- Firmar Contratos con Encargados de Tratamientos: Las empresas externas que accedan a los datos con el fin de prestar un servicio deben asegurar la seguridad de dichos datos mediante la firma de un contrato que regule la relación y establezca las medidas de seguridad necesarias entre ambas partes. Este contrato es esencial para garantizar la protección adecuada de la información y establecer claramente las responsabilidades y obligaciones de ambas partes en cuanto a la seguridad de los datos.
- Análisis de Riesgos: Previo a la ejecución de cualquier procedimiento que implique el manejo de datos personales, es esencial llevar a cabo una evaluación exhaustiva de los riesgos asociados. Especialmente, en el tratamiento de datos sensibles. Dicho análisis tiene como finalidad la identificación de las posibles amenazas que pudieran surgir a raíz de dicho manejo de datos, además de evaluar el grado de riesgo que estas amenazas representarían para los derechos y libertades de las personas involucradas.
- Publicación de una Política de Privacidad: La Política de Privacidad es un documento legal que establece cómo una organización retiene, procesa y gestiona los datos del usuario o cliente, generalmente utilizado en un sitio web. En esencia, la Política de Privacidad representa un contrato en el que la organización se compromete a mantener la información personal del usuario de forma segura y a cumplir con las normativas de protección de datos aplicables. Este documento proporciona transparencia sobre cómo se tratan los datos personales y cuáles son los derechos y expectativas del usuario en relación con su privacidad.
- Registro de Actividades del Tratamiento: Es un documento interno cuyo objetivo es servir de guía dentro de la organización que lo administra para cumplir con la normativa. En otras palabras, debe ser un mapa detallado que represente con exhaustividad los procesos de tratamiento de datos de su titular.
- Auditoría Anual de Protección de Datos: Llevar a cabo una Auditoría de Protección de Datos de manera anual se convierte en un paso esencial para asegurar el cumplimiento de las regulaciones. El principio de responsabilidad proactiva, conforme al artículo 5 del RGPD, estipula que el responsable del tratamiento está obligado a tomar medidas adecuadas para cumplir con las normativas y garantizar que se ejecuten y mantengan eficazmente. Esto pone en valor la importancia de la auditoría como una herramienta fundamental para verificar la idoneidad y la correcta implementación de dichas medidas.
¿Es necesario nombrar un Delegado de Protección de Datos en para una Asociación?
Para saber si una asociación debe contratar un Delegado de Protección de Datos (DPD), vamos revisar los artículos que determinan esta obligación. En concreto, según el artículo 34 de la LOPD-GDD, se establece la obligación de designar un DPD para ciertas entidades, y esto incluye a aquellas afectadas por la legislación de prevención del blanqueo de capitales y de la financiación del terrorismo.
Las asociaciones están sujetas al cumplimiento de la Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo, como se indica en el artículo 1.x. Por lo tanto, en su mayoría, las asociaciones y organizaciones no gubernamentales (ONG) tendrán la obligación de nombrar un Delegado de Protección de Datos para garantizar el cumplimiento de las normativas pertinentes.
¿Necesitas un presupuesto?
Podemos ayudarte
También puedes llamarnos al 954 53 64 34