Una asociación o una ONG que decide para qué y cómo utiliza datos personales debe cumplir el RGPD. La ausencia de ánimo de lucro no crea una exención general. Sin embargo, tampoco permite tratar todas las entidades del tercer sector como si realizaran las mismas actividades: una asociación vecinal, una organización religiosa y una entidad de atención sanitaria manejan datos, finalidades y riesgos distintos.
El punto de partida consiste en separar socios, donantes, voluntarios, trabajadores y personas beneficiarias. Una misma persona puede pertenecer a varios grupos, pero eso no autoriza a mezclar sus expedientes. Quien solicita una ayuda no acepta por ese solo hecho aparecer en una campaña; quien dona tampoco solicita necesariamente recibir ofertas de patrocinadores.
Quién decide el tratamiento en una entidad sin lucro
El RGPD define al responsable por sus decisiones sobre fines y medios, no por su forma jurídica. Normalmente la entidad que organiza su registro de socios o decide una campaña asume esa responsabilidad. La junta y el personal deben conocer quién puede autorizar nuevos usos, contratar proveedores y responder a las personas afectadas.
Una federación y sus asociaciones integrantes no forman automáticamente un único responsable. Si comparten un directorio, organizan actividades conjuntas o elaboran perfiles comunes, hay que examinar quién decide cada operación. Puede haber responsables independientes, corresponsabilidad o un servicio prestado por cuenta ajena. La denominación interna de «entidad colaboradora» no resuelve esos papeles.
La guía de cumplimiento básico para pequeñas organizaciones aporta una estructura inicial, pero debe adaptarse a las funciones reales de la asociación. Un proyecto asistencial que trata salud o violencia requiere decisiones adicionales respecto de una organización que solo gestiona contactos profesionales. El volumen reducido no elimina el posible impacto sobre una persona vulnerable.
Socios, cuotas y donantes: delimitar la finalidad
La gestión de una relación asociativa puede apoyarse en la necesidad contractual cuando el tratamiento sea necesario para esa relación y el interesado sea parte de ella. No basta con incluir cualquier uso en los estatutos para volverlo necesario. El envío de convocatorias o la gestión de cuotas deben diferenciarse de la publicación de perfiles de socios o de su cesión a patrocinadores.
Las obligaciones contables y fiscales pueden justificar determinadas operaciones sobre pagos y donaciones. Conviene identificar la norma concreta, los documentos exigidos y los plazos correspondientes. Emitir una certificación fiscal no exige necesariamente conservar todo el historial de conversaciones con el donante ni permite utilizarlo para segmentar futuras campañas sin otro análisis.
Una donación anónima frente al público no es necesariamente anónima para la entidad o para los sujetos que intervienen en el pago. Debe explicarse quién conoce la identidad y en qué condiciones. Si se propone publicar nombres de colaboradores, esa finalidad necesita su fundamento propio; no puede darse por supuesta por haber realizado la aportación.
Cuando se utilice consentimiento, debe ser libre, específico, informado e inequívoco y poder acreditarse. Los requisitos del consentimiento no se satisfacen con una cláusula que condicione toda ayuda a aceptar imágenes, difusión pública y comunicaciones futuras. El desequilibrio de una persona que necesita asistencia merece especial atención al valorar si puede rechazar realmente un uso opcional.
Cuándo la pertenencia revela categorías especiales
El artículo 9 protege determinadas categorías, entre ellas salud, opiniones políticas, convicciones religiosas, afiliación sindical y orientación sexual. La pertenencia a una entidad puede revelar información de esa naturaleza, pero requiere examinar el contexto. Una asociación que admite familiares, profesionales y simpatizantes no permite atribuir automáticamente una enfermedad u orientación sexual a todos sus miembros.
La vulnerabilidad económica o social no es, por sí sola, una categoría especial enumerada en el artículo 9. Puede seguir exigiendo garantías intensas por sus efectos sobre las personas. Además, un expediente asistencial puede contener salud, origen racial o étnico u otras categorías especiales junto con datos ordinarios. La clasificación debe hacerse sobre la información y las inferencias reales, no mediante una etiqueta aplicada a toda ONG.
Para tratar categorías especiales de datos se requiere tanto una base del artículo 6 como una condición del artículo 9.2. En España, el artículo 9 LOPDGDD establece que el solo consentimiento no basta cuando la finalidad principal sea identificar determinadas características, como ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico, sin impedir los demás supuestos del artículo 9.2 cuando resulten aplicables.
Esta distinción resulta práctica en una campaña de apoyo. Una entidad puede necesitar ciertos datos para prestar una atención concreta, mientras que elaborar un listado público que identifique a las personas por una característica protegida plantea otra finalidad. El interés social de la campaña no elimina la necesidad de justificarla ni permite prescindir de alternativas menos invasivas.
El alcance limitado del artículo 9.2.d
La excepción del artículo 9.2.d se refiere a fundaciones, asociaciones u otros organismos sin ánimo de lucro cuya finalidad sea política, filosófica, religiosa o sindical. No cubre automáticamente a cualquier organización benéfica, deportiva o de pacientes por el mero hecho de estar constituida sin lucro. Si no encaja en ese ámbito, debe examinarse otra condición aplicable, con todos sus requisitos.
Dentro de su ámbito, el tratamiento debe realizarse en el curso de actividades legítimas y con las debidas garantías. Solo puede referirse a miembros, antiguos miembros o personas que mantengan contactos regulares relacionados con los fines de la entidad. Un contacto ocasional o una dirección adquirida a un tercero no se convierten por ello en relación regular.
La disposición exige además que los datos no se comuniquen fuera del organismo sin consentimiento de los interesados. No constituye una autorización para compartir bases entre organizaciones afines o con patrocinadores. Si una comunicación viene exigida por una norma, debe analizarse su fundamento propio en los artículos 6 y 9 y el alcance de esa obligación, en lugar de atribuirla ficticiamente a la excepción interna.
Tampoco permite conservar indefinidamente todos los datos de antiguos socios. Que estos aparezcan en el ámbito personal del precepto no elimina la necesidad, la limitación de conservación ni la información sobre finalidades. Debe justificarse qué permanece, por cuánto tiempo y quién puede consultarlo después de la baja.
Captación de fondos y comunicaciones electrónicas
Conviene distinguir las convocatorias necesarias para la vida asociativa, la información solicitada por una persona, las campañas de donación y las ofertas comerciales. Todas pueden implicar datos personales, pero no tienen automáticamente el mismo fundamento ni quedan siempre sometidas a idénticas reglas de comunicación comercial.
La LSSI define la comunicación comercial atendiendo a la promoción de la imagen, bienes o servicios de quien realiza una actividad comercial, industrial, artesanal o profesional. No debe afirmarse que cualquier mensaje de una ONG solicitando apoyo sea comercial sin examinar su contenido y actividad. Tampoco que su forma asociativa excluya siempre la LSSI: una oferta de productos o servicios puede quedar comprendida.
Cuando se aplica el artículo 21 a comunicaciones comerciales por correo electrónico o medios equivalentes, se exige solicitud previa o autorización expresa, salvo la excepción legal de relación contractual previa, contacto obtenido lícitamente y productos o servicios propios similares. En esta excepción debe ofrecerse oposición sencilla y gratuita al recoger los datos y en cada mensaje. Haber donado una vez no acredita automáticamente todas esas condiciones.
Aunque una comunicación no entre en ese régimen específico, siguen aplicándose el RGPD, su base de licitud, la transparencia y los derechos. Si se utiliza interés legítimo, deben justificarse interés, necesidad y ponderación. En mercadotecnia directa, la oposición exige cesar ese tratamiento, incluido el perfilado relacionado. Para otros tratamientos amparados en interés legítimo o misión pública, la oposición por circunstancias particulares tiene su régimen propio.
Comprar o intercambiar listas exige comprobar origen, legitimación, información y restricciones de uso. La promesa comercial del vendedor no demuestra que las personas esperen recibir esa campaña. Las actuaciones sobre marketing y publicidad ayudan a reconocer riesgos, pero cada decisión debe leerse atendiendo al canal, los hechos y su situación jurídica.
Voluntariado y actividades con menores
Para organizar voluntariado pueden necesitarse identidad, disponibilidad, formación y medios de contacto. Debe determinarse qué deriva del acuerdo de incorporación, de obligaciones legales o de otros fundamentos. No procede solicitar un historial personal completo porque alguien vaya a colaborar en una actividad puntual.
El artículo 57 de la Ley Orgánica 8/2021 exige acreditar mediante certificación negativa la ausencia de determinados antecedentes para actividades con contacto habitual con menores. Su ámbito incluye actividades retribuidas o no, con trato repetido, directo y regular, no meramente ocasional, y aquellas cuyos destinatarios principales sean menores. No autoriza a exigir un certificado general de antecedentes a cualquier voluntario para cualquier función.
Esa comprobación afecta a datos del artículo 10 RGPD y debe mantenerse dentro de la habilitación legal. La entidad debe decidir quién comprueba el requisito, qué evidencia necesita conservar y cómo restringe su acceso. Recabar por rutina documentación penal más amplia de la exigida aumenta la exposición sin demostrar mejor cumplimiento.
Cuando se trabaje con menores, el consentimiento no es necesariamente la base de todas las operaciones. Si resulta aplicable, el artículo 7 de la LOPDGDD fija catorce años, con la excepción de actos o negocios que legalmente requieran asistencia de quienes ejercen patria potestad o tutela. Por debajo, corresponde el consentimiento pertinente a quien ejerza esa representación.
El artículo 8 RGPD se refiere al consentimiento en servicios de la sociedad de la información ofrecidos directamente a niños. El considerando 38 y las Directrices 05/2020 del CEPD, apartado 150, exceptúan la autorización parental para servicios preventivos o de asesoramiento ofrecidos directamente al niño, también en línea. Una entidad de apoyo debe preservar esa distinción sin extenderla a cualquier publicación o herramienta digital.
Publicar resultados sin exponer a beneficiarios
Una memoria de actividad puede demostrar impacto mediante información agregada que no permita identificar a personas. Antes de publicar testimonios, fotografías o relatos, deben examinarse fundamento, alcance y consecuencias. Un seudónimo no protege suficientemente si el barrio, la edad, la historia familiar o una imagen permiten reconocer al beneficiario.
La negativa a aparecer en una campaña no debe perjudicar el acceso a asistencia cuando la difusión sea opcional. También conviene anticipar qué ocurre si se retira el consentimiento: podrán cesar publicaciones futuras y retirarse contenidos bajo control de la entidad, pero no debe prometerse recuperar toda copia que terceros hayan distribuido. Esa limitación exige especial cuidado antes de difundir, no indiferencia ante la retirada.
Los informes dirigidos a financiadores deben ajustarse a lo exigido y necesario. Un ayuntamiento puede necesitar evidencia de ejecución de una subvención sin que siempre resulte necesario remitir expedientes personales completos. La guía sobre protección de datos municipal ayuda a situar la responsabilidad de la administración receptora, que no sustituye la comprobación de la comunicación por parte de la asociación.
Proveedores y colaboraciones
Un servicio que gestiona datos siguiendo instrucciones puede ser encargado; otro puede decidir finalidades propias y actuar como responsable. No todas las pasarelas de pago, entidades financieras o plataformas tienen el mismo papel en todas sus operaciones. Deben examinarse sus funciones reales, incluidas las que realizan para cumplir obligaciones propias.
Cuando exista encargo, se requiere el instrumento del artículo 28 RGPD: contrato escrito, incluso electrónico, u otro acto jurídico vinculante conforme al Derecho de la Unión o de un Estado miembro. Debe cubrir instrucciones, confidencialidad, medidas de seguridad, asistencia, subencargados y destino de la información al concluir. Las obligaciones equivalentes se trasladan al subencargado y el encargado inicial mantiene su responsabilidad ante la entidad.
La contratación de una agencia de marketing exige aclarar quién selecciona destinatarios y decide usos posteriores de las listas. Para una aplicación de socios o donaciones, los criterios de protección de datos en servicios SaaS permiten revisar permisos, subproveedores, transferencias y salida. La certificación o publicidad de una herramienta no demuestra por sí sola que la configuración elegida cumpla la finalidad de la asociación.
Registro, delegado y evaluación de impacto
El registro de actividades permite distinguir socios, personal, voluntariado, donaciones y asistencia. La excepción del artículo 30.5 para entidades que emplean a menos de doscientas cincuenta personas no alcanza a los tratamientos no ocasionales, los que puedan entrañar el riesgo previsto legalmente ni los que incluyan categorías especiales o datos penales del artículo 10. Una gestión habitual de socios no se vuelve ocasional porque la junta trabaje pocas horas.
El delegado de protección de datos no es obligatorio para toda asociación ni se decide únicamente contando miembros. El artículo 37 incluye actividades principales que requieren observación habitual y sistemática a gran escala, y actividades principales con tratamiento a gran escala de categorías especiales o datos del artículo 10. Deben examinarse además los supuestos nacionales del artículo 34 LOPDGDD que puedan afectar a servicios concretos prestados por la entidad.
La evaluación de impacto corresponde cuando el tratamiento probablemente entrañe alto riesgo, atendiendo a naturaleza, alcance, contexto y fines y a los supuestos y listas aplicables. Trabajar con personas vulnerables o cruzar expedientes asistenciales son elementos relevantes; no existe una regla que la imponga automáticamente por contener cualquier dato sensible aislado.
Seguridad, bajas y solicitudes
La seguridad debe adaptarse a los daños posibles. Separar el expediente asistencial del registro de campañas evita que un equipo de captación acceda a información que no necesita. Es recomendable retirar permisos cuando un voluntario deja su función, utilizar cuentas individuales y comprobar destinatarios antes de enviar documentación. El secreto debe seguir protegiendo la información aunque cambie la junta.
La limitación de conservación exige plazos y criterios por finalidad. La baja de un socio no obliga necesariamente a destruir justificantes sujetos a conservación legal, pero sí a revisar accesos, comunicaciones y otros usos. En España también debe examinarse el bloqueo del artículo 32 LOPDGDD cuando proceda, sin confundirlo con disponibilidad ordinaria para campañas.
Los derechos de las personas necesitan un canal operativo incluso en entidades pequeñas. El plazo general de respuesta es un mes desde la recepción, con la posible ampliación legal por complejidad o número de solicitudes y su comunicación motivada dentro del primer mes. Si no se actúa, deben comunicarse los motivos sin dilación y, como máximo, dentro de un mes, junto con las vías de reclamación y recurso judicial.
Una brecha de datos personales debe documentarse. La notificación a la autoridad procede sin dilación indebida y, cuando sea posible, dentro de setenta y dos horas desde tener constancia, salvo que sea improbable que exista riesgo para las personas; si es posterior deben explicarse los motivos. La comunicación a afectados depende del alto riesgo y de las condiciones y excepciones del artículo 34.
La lista de cumplimiento para España puede ayudar a organizar responsables y prioridades. Las sanciones RGPD dependen del régimen aplicable y de las circunstancias; no hay una tarifa reducida universal para ONG. El seguimiento de resoluciones de 2025 debe consultarse como referencia histórica delimitada, sin convertir casos seleccionados en una estadística completa ni en una garantía sobre la respuesta de la autoridad.