Fundaciones, asociaciones y ONG gestionan información de personas usuarias, donantes, voluntariado y equipos de trabajo. Esta guía organiza la revisión en tres ámbitos: la gestión del RGPD, el análisis de la necesidad de DPD y la revisión del ENS en el contexto de cada servicio o proyecto.
¿Por qué la protección de datos es especialmente relevante en el tercer sector?
Las entidades del tercer sector trabajan a diario con datos personales de personas usuarias y beneficiarias, información de personal contratado y voluntariado, datos de donantes y colaboradores, y otra información vinculada a su actividad. A esto se suma la información vinculada a proyectos financiados con fondos públicos.
Un problema en este ámbito no solo puede acabar en una actuación de la Agencia Española de Protección de Datos, en materia de protección de datos, sino también en incidencias con la administración concedente, pérdida de confianza o dificultades para acceder a futuras convocatorias.
Por ello, la correcta gestión de los datos personales y privacidad en este tipo de entidades debe abordarse con un enfoque preventivo y alineado con las obligaciones RGPD.
RGPD: qué revisar en asociaciones, fundaciones y ONG
Tener claro qué datos se tratan y para qué
Utilizar correctamente las bases legales
En fundaciones, asociaciones y ONG es habitual basarse en obligaciones legales, ejecución de proyectos o servicios, interés público, interés legítimo y, en algunos casos, consentimiento para el tratamiento de datos personales.
Uno de los errores más comunes es utilizar el consentimiento para todo, lo que suele generar debilidades cuando hay revisiones administrativas o controles de subvenciones.
Categorías especiales de datos y personas en situación de vulnerabilidad
Estas entidades pueden tratar categorías especiales de datos, como información relativa a la salud, y también datos de personas menores de edad o de personas en situación de vulnerabilidad. Son circunstancias diferentes y deben valorarse separadamente al analizar los riesgos y las garantías necesarias.
La revisión debe contemplar los accesos a la información, las medidas de seguridad, la confidencialidad y, cuando corresponda, la necesidad de una Evaluación de Impacto en Protección de Datos (EIPD).
Muchas organizaciones trabajan correctamente, pero no siempre pueden justificarlo con claridad ante terceros o ante una auditoría RGPD.
Proveedores, herramientas y encargados del tratamiento
Gestorías, asesorías, plataformas de gestión social, herramientas en la nube o software de proyectos pueden acceder a datos personales.
La entidad debe poder demostrar que estos proveedores están identificados, que existe un contrato adecuado conforme al reglamento de datos personales y que se han tenido en cuenta criterios de seguridad. Este punto suele revisarse de forma específica en subvenciones, auditorías LOPD o controles posteriores.
Contar con una adecuada asesoría en protección de datos o apoyo especializado facilita cumplir con estas exigencias sin improvisaciones.
DPD: analizar la necesidad de designación en el tercer sector
¿Cuándo es especialmente importante contar con DPD?
La entidad debe analizar y documentar si concurre alguno de los supuestos que obligan a designar un Delegado de Protección de Datos. Cuando haya sido designado, de forma obligatoria o voluntaria, deberá garantizarse que pueda ejercer adecuadamente sus funciones.
La necesidad de designar un DPD debe analizarse atendiendo a los supuestos previstos en el RGPD y la LOPDGDD, especialmente en función de la naturaleza y escala de los tratamientos realizados. Aunque no exista obligación legal en todos los casos, algunas entidades del tercer sector optan por contar voluntariamente con esta figura por la sensibilidad de los tratamientos que realizan o por las exigencias de determinados proyectos y relaciones con terceros.
¿Qué espera la administración del DPD?
¿DPD interno o externo?
En fundaciones, asociaciones y ONG es habitual optar por un DPD externo, ya que aporta independencia, evita conflictos de interés y facilita responder con solvencia ante requerimientos administrativos o una auditoría legal del reglamento de protección de datos.
ENS: revisar el sistema y el servicio concreto
La revisión del ENS comienza por comprobar su ámbito de aplicación a los sistemas y servicios de la entidad.
¿Por qué el ENS afecta al tercer sector?
Antes de determinar las exigencias concretas del ENS hay que comprobar si los sistemas de la entidad están dentro de su ámbito de aplicación. En el caso de entidades privadas, puede resultar aplicable cuando, en virtud de una relación contractual, presten servicios o provean soluciones a entidades del sector público para el ejercicio de sus competencias. También deben revisarse las exigencias concretas establecidas en el contrato o pliego.
¿Cómo se relacionan RGPD y ENS?
El RGPD regula el uso de los datos personales. El ENS regula cómo se protege la información y los sistemas. En proyectos públicos, la administración espera coherencia entre ambos marcos, tanto a nivel documental como técnico.
Niveles del ENS y exigencias habituales
El ENS establece tres categorías de seguridad: BÁSICA, MEDIA y ALTA.
La categoría de cada sistema se determina en función del impacto que tendría un incidente de seguridad sobre distintas dimensiones, como la disponibilidad, autenticidad, integridad, confidencialidad y trazabilidad.
Por tanto, no puede determinarse únicamente por el tamaño de la entidad, el volumen de datos tratados o el tipo de proyecto, sino que debe analizarse el sistema y el servicio concreto incluidos en el alcance.
La certificación del Esquema Nacional de Seguridad (ENS)
Cuando el sistema esté sujeto al ENS, deberá determinarse su categoría. Con carácter general, los sistemas de categoría BÁSICA acreditan su conformidad mediante una autoevaluación y la correspondiente declaración de conformidad, mientras que los sistemas de categoría MEDIA o ALTA requieren una auditoría para la certificación de su conformidad.
¿Qué es la certificación ENS?
La certificación ENS es un proceso mediante el cual una fundación, asociación u ONG demuestra, a través de una auditoría independiente, que cumple con las medidas de seguridad exigidas por el ENS en un nivel concreto.
El resultado es un certificado emitido por una entidad acreditada que sirve como evidencia objetiva ante la administración.
¿Cuándo puede ser obligatoria?
La exigencia de certificación debe analizarse después de comprobar la sujeción del sistema al ENS, su categoría y los requisitos del contrato o pliego. Recibir subvenciones, gestionar proyectos públicos, tratar datos sensibles o desarrollar proyectos críticos o continuados no determina por sí solo la aplicación ni la certificación del ENS.
Alcance y aplicación práctica
La certificación ENS no siempre afecta a toda la organización. Es posible certificar un servicio concreto o un sistema de información específico, ajustando el alcance a lo realmente exigido.
Desde un punto de vista de gestión, implica definir responsabilidades, contar con políticas básicas de seguridad, gestionar accesos de forma controlada y superar una auditoría inicial y auditorías de seguimiento.
Errores habituales que generan problemas administrativos
Entre los errores más frecuentes se encuentran no analizar si el ENS resulta aplicable, cumplir el RGPD solo a nivel documental, no designar DPD cuando sea obligatorio o impedir que el DPD designado ejerza sus funciones, no revisar los requisitos de las convocatorias o no poder justificar el nivel ENS cuando se exige.
Estos problemas suelen aparecer cuando ya hay plazos y presión administrativa.
Conclusión: cumplimiento sólido y sin improvisaciones
En las organizaciones del tercer sector, la protección de datos y la seguridad de la información no deberían convertirse en un problema añadido cuando llega una subvención o un concurso público.
La administración suele esperar encontrar un cumplimiento del RGPD coherente con la actividad real, un DPD operativo cuando haya sido designado de forma obligatoria o voluntaria, medidas de seguridad proporcionadas y justificables y, cuando procede, una certificación ENS adecuada al servicio o proyecto.
Cuando estos aspectos están bien resueltos, la protección de datos pasa a formar parte de la gestión normal de la entidad, sin bloqueos ni urgencias de última hora.
Para gerencia y administración, esto se traduce en algo muy concreto: más tranquilidad al presentar documentación y menos incidencias durante el proceso.
Preguntas prácticas para preparar la revisión de la entidad
¿Qué documentación reunir para revisar la protección de datos de una asociación o fundación?
Prepara una relación de actividades y proyectos, las herramientas utilizadas, los principales proveedores y la documentación de privacidad disponible. Añade las dudas que hayan surgido con personas usuarias, voluntariado o equipos de trabajo.
¿Qué información facilita la revisión de un pliego o proyecto?
Conviene aportar el pliego y sus anexos, una descripción del servicio, las herramientas que se utilizarán y la información que se intercambiará. Esto permite revisar por separado las cláusulas de privacidad, las referencias al DPD y los requisitos de seguridad.
Acompañamiento para asociaciones, fundaciones y ONG
Si queréis valorar apoyo continuado, podéis consultar nuestro servicio de Delegado de Protección de Datos externo. Para una primera revisión de seguridad, está disponible el diagnóstico ENS.
Si vuestra entidad tiene dudas sobre un pliego, el DPD o sus obligaciones de privacidad, podemos revisar vuestro caso concreto.