Protección de datos
para ONGs e asociacións

Si. As entidades sen ánimo de lucro están plenamente suxeitas ao RGPD. Tratan datos de socios, voluntarios, beneficiarios e doadores, e en moitas ocasións tratan datos de categoría especial como datos de saúde, conviccións relixiosas ou ideolóxicas, e datos de persoas en situación de vulnerabilidade. O RGPD aplícase con plena intensidade independentemente do fin social da entidade.

Si. Os datos que revelan conviccións relixiosas, filosóficas ou ideolóxicas son datos de categoría especial conforme ao art. 9 do RGPD. Moitas asociacións (de carácter relixioso, político, sindical, cultural ou ideolóxico) tratan este tipo de datos de forma inherente á súa actividade. Require base xurídica específica e medidas de seguridade reforzadas para este tratamento.

O art. 9.2.d do RGPD permite o tratamento de datos de categoría especial por parte de entidades sen fins lucrativos de carácter político, filosófico, relixioso ou sindical, no marco das súas actividades lexítimas e con as debidas garantías, sempre que o tratamento se refira exclusivamente aos membros actuais e pasados da entidade e non se comuniquen a terceiros sen consentimento. Esta base require análise coidadosa das condicións que establecen.

Con frecuencia, si. Os programas de atención social, axuda a persoas en exclusión, saúde, discapacidade ou colectivos vulnerables implican tratamento de datos de saúde, situación económica ou orixe étnica que son de categoría especial. Require base xurídica específica, avaliación de riscos, medidas de seguridade reforzadas e, nalgúns casos, EIPD previa ao inicio do programa.

Si. Os datos de doadores (nome, contacto, información bancaria para as doazóns, importes doados) require xestión adecuada: información clara sobre o tratamento, base xurídica na execución da relación de mecenado, e prazos de conservación determinados pola normativa fiscal. O uso de datos de doadores para comunicacións da entidade require consentimento específico para esa finalidade.

Si. Os voluntarios son interesados a todos os efectos do RGPD. Os seus datos (identidade, contacto, actividades realizadas, formación) require tratamento conforme á norma: información previa, base xurídica adecuada, prazos de conservación e resposta aos seus dereitos de acceso, rectificación, supresión e portabilidade.

As entidades que traten datos de categoría especial a grande escala de forma sistemática, ou que realicen tratamentos de alto risco, poden estar suxeitas á obriga do DPD conforme ao art. 37 do RGPD. Aínda que esta é a regra xeral do sector, a esixencia final dependerá da escala, volume e tipoloxía exacta dos tratamentos de cada entidade. Cada caso require análise individualizada.