Muchas asociaciones y ONGs en España operan bajo la creencia de que, al no tener ánimo de lucro, están exentas del Reglamento General de Protección de Datos. Es un error que ha costado multas reales a organizaciones religiosas, partidos políticos y asociaciones de vecinos. El RGPD no distingue entre entidades lucrativas y no lucrativas: si tratas datos personales, tienes obligaciones. Y en el caso de las entidades del tercer sector, esas obligaciones son especialmente exigentes porque suelen manejar datos de categoría especial.
Por qué las ONGs y asociaciones tienen un perfil de riesgo elevado
Las entidades del tercer sector acumulan una variedad de datos personales que va mucho más allá del nombre y el correo electrónico. En sus bases de datos conviven:
- Datos de socios: nombre, dirección, cuota, historial de participación
- Datos de donantes: incluyendo en ocasiones información bancaria
- Datos de voluntarios: formación, disponibilidad, antecedentes penales en algunos casos
- Datos de beneficiarios: que frecuentemente incluyen situación económica, salud o situación familiar
- Datos de categoría especial: ideología política, creencias religiosas, afiliación sindical
Estos últimos están protegidos de forma reforzada por el artículo 9 del RGPD y su tratamiento sin base legal adecuada es una infracción grave.
Los errores más comunes en asociaciones y ONGs
1. Listas de socios compartidas sin consentimiento
Compartir el listado de socios de una asociación —ya sea con otras entidades colaboradoras, con la junta directiva saliente o incluso entre los propios miembros sin control— puede constituir una cesión de datos no autorizada. El hecho de que los socios conozcan que pertenecen a la asociación no implica que consientan que sus datos sean accesibles a terceros.
Caso real: partido político multado con 900€ por lista de miembros sin consentimiento
La AEPD sancionó a una formación política local con 900 euros tras comprobar que había compartido el listado completo de sus afiliados, incluyendo nombres, direcciones y números de teléfono, con candidatos de una lista electoral rival dentro de un proceso de coalición. Los afiliados no habían sido informados de esa posible cesión ni habían prestado consentimiento para ella. Aunque la cuantía puede parecer reducida, el expediente evidenció que la mera pertenencia a un partido político es un dato de categoría especial cuya cesión requiere una base legal específica.
2. Retención de datos de ex-socios o ex-voluntarios sin límite temporal
Muchas asociaciones conservan indefinidamente los datos de personas que en algún momento participaron en la entidad: socios que causaron baja años atrás, voluntarios de proyectos pasados, donantes ocasionales. Sin una política de retención documentada y sin eliminar los datos cuando dejan de ser necesarios, la organización incumple el principio de limitación del plazo de conservación del RGPD.
Caso real: asociación religiosa sancionada con 500€ por retención indebida de datos
Una asociación de carácter religioso fue sancionada por la AEPD con 500 euros por mantener en sus registros los datos personales de personas que habían solicitado expresamente su baja y la supresión de sus datos. La asociación argumentó que los datos se necesitaban para fines históricos, pero la AEPD determinó que esa justificación no era suficiente para mantener datos identificativos detallados de personas que habían ejercido su derecho de supresión.
3. Envíos masivos de correo electrónico sin segmentación ni consentimiento
El envío de boletines informativos, convocatorias de eventos o campañas de captación de fondos a listas de correo no depuradas es uno de los incumplimientos más frecuentes en el sector asociativo. Los problemas más habituales son:
- Uso de listas heredadas de juntas directivas anteriores sin verificar que el consentimiento sigue vigente
- Envío en copia visible (CC) en lugar de copia oculta (CCO), exponiendo las direcciones de todos los destinatarios
- Ausencia de enlace de baja o mecanismo de oposición en los correos
4. Datos de beneficiarios tratados sin las garantías adecuadas
Las organizaciones que trabajan con colectivos vulnerables —personas en situación de exclusión social, menores, víctimas de violencia de género— gestionan datos especialmente sensibles que requieren medidas de seguridad reforzadas, acceso limitado y protocolos de confidencialidad para el personal y los voluntarios.
Checklist de protección de datos para ONGs y asociaciones
- Tengo un registro de actividades de tratamiento que incluye socios, donantes, voluntarios y beneficiarios
- Los datos de categoría especial (ideología, religión, afiliación sindical) tienen base legal explícita
- Cuento con cláusulas de confidencialidad firmadas por voluntarios y empleados
- Tengo una política de retención de datos con plazos definidos por categoría
- Los envíos masivos de correo se realizan en CCO o con herramienta de email marketing con gestión de bajas
- He depurado las listas de contactos para eliminar datos de personas que solicitaron la baja
- Los formularios de alta de socios incluyen la cláusula de información sobre protección de datos
- Los datos de beneficiarios vulnerables están protegidos con acceso restringido
- Tengo contrato de encargo del tratamiento con mis proveedores de software o servicios en la nube
- He informado a socios y donantes de sus derechos en materia de protección de datos
En Protección de Datos Valencia trabajamos con asociaciones, fundaciones y ONGs de la Comunitat Valenciana para ayudarles a cumplir con el RGPD sin que la burocracia bloquee su misión. Si diriges o gestionas una entidad sin ánimo de lucro y quieres saber en qué situación estás, solicita una consulta gratuita a través de nuestro formulario de contacto. Te ayudaremos a identificar los riesgos prioritarios y las medidas más urgentes.
Fuentes: Reglamento General de Protección de Datos (UE) 2016/679, Arts. 6, 9 y 17 | AEPD – Resolución PS/00056/2022 (partido político y lista de afiliados) | AEPD – Resolución E/11325/2020 (retención indebida por asociación religiosa) | AEPD – Guía para asociaciones y organizaciones sin ánimo de lucro | Ley Orgánica 3/2018 (LOPDGDD)
¿Necesitas cumplir con el RGPD?
Habla con nuestros expertos en protección de datos en Valencia. Consulta gratuita y sin compromiso.