Fundaciones, Asociaciones y entidades sin Anímo de Lucro frente a la LOPD

Asociaciones, fundaciones, federaciones, centros culturales, entidades que en el desarrollo lógico de sus actividades, tienen la necesidad de tratar datos personales, deben adecuarse a la LOPD al igual que cualquier sociedad mercantil, cumpliendo con las mismas obligaciones, ya que la normativa no distingue en cuanto a actividades, tamaño, o beneficio de las entidades que deben suscribirse a las reglas que nos impone esta ley.

Dada la naturaleza y sus objetivos fundacionales estas organizaciones tienen de desarrollar proyectos que publiciten su actividad y posibiliten su financiación, haciendo necesario realizar muy diversas actuaciones en su trabajo habitual tales como la organización de congresos, eventos, cursos, entregas de premios, edición de publicaciones, envíos de comunicaciones comerciales, etc...

Esta diversidad de ficheros les hace tener una mayor necesidad de tomar las medidas organizativas para el tratamiento de la información de la que disponen, además de llevar implícito un alto grado de dificultad para la implantación de la LOPD y mayor riesgo de sanciones.

Por todo esto e independientemente del grado y sistema de organización que tenga la entidad, es recomendable que además de llevar a cabo los procesos habituales de adaptación contando con el equipo técnico adecuado, sigan las siguientes recomendaciones:

1.     Realizar un profundo análisis de la organización y la información de la que dispone, para detectar las necesidades organizativas y de seguridad.

2.     Disponer de un organigrama actualizado de la organización, que incluya los accesos autorizados a la información y la situación de los ficheros.

3.     Seleccionar un responsable de seguridad que sea conocedor de los procesos de trabajo, incluso tratando únicamente datos de nivel básico.

4.     Formar en la materia a quienes intervengan en las diversas fases del tratamiento de la información.

5.     Unificar en la medida de lo posible las diferentes recogidas de datos, su archivo e inclusión en aplicaciones informáticas.

6.     Confeccionar un documento de normas y protocolos a seguir para el envío de comunicaciones externas. (comunicaciones comerciales, invitaciones, newsletters, etc...)

7.     Mantener una actitud vigilante sobre las medidas de seguridad y organizativas, especialmente en los nuevos procesos a llevar a cabo o proyectos a desarrollar.


FICHEROS HABITUALES:
·        LABORAL (Datos de los empleados de la organización)
·        SELECCIÓN DE PERSONAL (Currículos de los solicitantes de empleo)
·        CONTABILIDAD Y ADMINISTRACIÓN (Datos económicos de colaboradores, proveedores, clientes,...)
·        PROSPECCIÓN COMERCIAL (Bases de datos utilizadas para el envío de publicidad)
·        CONGRESOS Y OTROS EVENTOS (Datos de asistentes, ponentes, premiados, etc...)
·        FORMACION (Datos de los beneficiarios de la formación y de los profesores)
·        USUARIOS O ASOCIADOS (Beneficiarios de la ayuda o prestación, etc...
·        VOLUNTARIOS Y COLABORADORES (Datos del voluntariado y de quienes realizan donaciones)
·        PATRONOS, FUNDADORES, (Datos de fundadores, presidente, vicepresidente, secretarios ...)
·        SUSCRIPTORES (Datos de quienes reciben newsletters o publicaciones impresas)
·        USUARIOS WEB (Datos con quienes se mantienen contactos vía web)

DATOS PUBLICADOS POR LA AEPD:

Según el informe publicado por la A.E.P.D., en el año 2010, las asociaciones, federaciones, etc.., fueron de las 5 actividades que acumularon mas sanciones.


ALGUNAS SANCIONES IMPUESTAS A FEDERACIONES, ASOCIACIONES, FUNDACIONES, …:


Procedimiento Nº PS/00540/2010
a/Sanción de 600€, por el envío de correos electrónicos de carácter comercial, sin consentimiento
b/Sanción de 1500€, por el envío de correos electrónicos sin copia oculta
Procedimiento Nº PS/00319/2010
Sanción de 1.500€, por la inclusión de datos en la web sin consentimiento
Procedimiento Nº PS/00390/2008
a/ Sanción de 1.500€, por tratar datos personales sin consentimiento.
b/ Sanción de 601€ por no cumplir con el deber de información en la recogida de datos.
c/ Sanción de 601€ por no tener los ficheros inscritos en el RGPD
Procedimiento Nº PS/00460/2008
a/ Sanción de 9.000€,por publicar datos personales en la web sin consentimiento.
b/ Sanción de 601€ por no tener los ficheros inscritos en el RGPD


Fuente: IB-Datos

Leer más

Revisa los comprobantes antes de dar copia

El procedimiento sancionador PS/00094/2010, instruido por la Agencia Española de Protección de Datos (AEPD) a una asociación de madres y padres de alumnos (AMPA) se inicia tras la denuncia de un padre que al solicitar el comprobante de un impago que el AMPA le reclamaba, recibió copia del justificante bancario en el que constaba no solo el impago a nombre de su hija, sino además otros a nombre de dos alumnos del mismo colegio, incluyendo en ambos casos el numero de cuenta corriente y el motivo de la devolución.

Tras recibir la notificación del acuerdo de inicio de procedimiento sancionador, la entidad AMPA alegó no haber vulnerado la LOPD, por cuanto había obtenido el consentimiento de los padres de los afectados para la cesión de sus datos en el marco de su actividad. Asimismo, reiteró las manifestaciones efectuadas a los servicios de inspección de la AEPD, señalando que la información se facilitó al denunciante para atender la petición que el mismo había formulado a la Asociación y que dicha información no se cedió para que el denunciante hiciera un uso indebido de la misma. Finalmente, resaltaron que los propios afectados, valorando la ausencia de mala fe en la actuación de la AMPA, no presentaron denuncia alguna.

La Agencia admite en los Fundamentos de Derecho que en el denunciante había solicitado ante la AMPA que acreditasen la devolución de recibos de la misma emitidos a su cargo, pero aclara que esta solicitud no justifica la entrega de datos de terceros que figuran en el documento entregado al denunciante por la entidad imputada, que estaba obligada a respetar la confidencialidad de esa información y debió articular otro medio para atender la solicitud del denunciante sin que ello implicara la revelación de datos personales de terceros.

En referencia a un posible consentimiento de los padres de los alumnos afectados, se afirma que el documento aportado no acredita fehacientemente la identidad de las personas que lo suscriben y, en cualquier caso, no se refieren a los datos de los alumnos afectados, sino de los propios firmantes. Además, dicho documento, que autoriza la cesión en el marco de la actividad de la Asociación, no justifica la revelación de datos denunciada, por cuanto la misma no resulta necesaria para el desarrollo de la actividad de la AMPA.

Por tanto ha quedado acreditado que AMPA, como responsable de la entrega al denunciante del comprobante de devolución de recibos objeto de la denuncia, informó al mismo sobre recibos impagados por otros alumnos distintos a su hija, resultando que la entidad AMPA no actuó con la diligencia debida al haber posibilitado que una tercera persona tuviese acceso a la información señalada, por lo que se vulnera el deber de secreto a tenor del artículo 10 de la LOPD.

El incumplimiento del deber de guardar secreto establecido en el artículo 10 de la LOPD constituye, por regla general, una infracción leve y sólo constituye una infracción grave en los casos específicamente enunciados en el artículo 44.3.g), es decir, cuando la vulneración del deber de guardar secreto afecte a “... los datos de carácter personal incorporados a ficheros que contengan datos relativos a la comisión de infracciones administrativas o penales, Hacienda Pública, servicios financieros, prestación de servicios de solvencia patrimonial y crédito, así como aquellos otros ficheros que contengan un conjunto de datos de carácter personal suficientes para obtener una evaluación de la personalidad del individuo”.

En este caso, la AEPD sostiene que los datos personales contenidos en el comprobante de devolución de recibos, en concreto respecto del nombre, primer apellido y número de cuenta bancaria de dos alumnos, no permiten realizar una evaluación de la personalidad de los mismos, por lo que la vulneración del artículo 10 debe ser tipificada como infracción leve.

Y así, el Director de la Agencia Española de Protección de Datos RESUELVE:

PRIMERO: IMPONER a la entidad AMPA CEIP ANTON BUSQUETS I PUNSET, por una infracción del artículo 10 de la LOPD, tipificada como leve en el artículo 44.2.e) de dicha norma, una multa de 601,01 (seiscientos un euros con un céntimo), de conformidad con lo establecido en el artículo 45.1 y 4 de la citada Ley Orgánica.

Leer más

Las asociaciones también están sujetas a la LOPD

La Ley Orgánica de Protección de Datos afecta a toda entidad que contenga datos de carácter personal, y evidentemente las asociaciones tienen datos personales de todos sus asociados.

Datos como, nombre completo, DNI, nº de cuenta donde pasan la domiciliación de la cuota de asociado, entre otros datos, han de protegerse, y por tanto todas las asociaciones han de seguir todos los pasos que exige la LOPD, inscribir los ficheros que contengan datos personales, elaborar un documento de seguridad, confeccionar las cláusulas y contratos de confidencialidad, informar de los derechos ARCO, etc.

Cuando cedemos un datos a una empresa, colectivo o asociación debemos estar convencidos del buen uso que de esos datos va a realizar la entidad a la que se lo cede y es por ello que la ley exige tomar una serie de medidas, te recomendamos que cuando te inscribas en una asociación o colectivo, te asegures de que toman las medidas oportunas para proteger tus datos.

Leer más