Cómo adaptar mi asociación a la protección de datos

¿Tienes razón?

Si la asociación recolecta nombres, direcciones, números de teléfono, correos, datos de salud o información sensible, tenés responsabilidad como responsable del tratamiento. Tres preguntas clave determinan qué hacer: qué datos se recaban, para qué se usan y quién tiene acceso. Si solo guardás una lista básica de socios con nombre y mail para enviar convocatorias, las medidas son distintas a las que necesitás si manejás historiales médicos de beneficiarios o información sensible. La protección de datos en el contexto asociativo no busca impedir la actividad, sino poner límites sobre cómo se tratan los datos y garantizar transparencia y seguridad.

Los elementos fundamentales que tenés que tener son: un inventario de los tratamientos de datos, un aviso de privacidad que informe a las personas sobre la finalidad del tratamiento, un registro de consentimientos o de la base legal que justifique el tratamiento, y medidas de seguridad razonables para evitar accesos no autorizados.

Cómo se soluciona

1. Inventariá las bases de datos: listá cada lugar donde hay datos (planilla de socios, bases de voluntarios, listas de beneficiarios, fotos de actividades, comunicaciones por WhatsApp). Para cada base, anotá qué datos contiene, quién accede, y con qué finalidad.

1. Redactá un aviso de privacidad claro: explicá en lenguaje sencillo qué datos recabás, para qué se usan, con quién se comparten y cómo la persona puede ejercer derechos sobre sus datos. Colocalo en la web y tené una versión en papel para inscripciones presenciales.

1. Registrá o documentá el consentimiento: cuando corresponda, obtén consentimiento explícito para tratamientos particulares (por ejemplo, uso de imagen). Si la base legal es distinta (cumplimiento de contrato o legítimo interés), documentalo también.

1. Limitá el acceso y formá al personal: definí quién necesita acceder a cada base y aplicá contraseñas o permisos. Enseñá a los responsables a no compartir listados por canales no autorizados.

1. Implementá medidas de seguridad razonables: backups cifrados, control de versiones, antivirus actualizado y almacenamiento en servicios con controles de seguridad conocidos. Para archivos en papel, guardá en lugar cerrado y controlá accesos.

1. Gestioná imágenes y redes sociales con autorización: para publicar fotos de actividades deberías tener autorización de quienes aparecen, y cuando hay menores la autorización debe estar firmada por responsables.

1. Contratos con proveedores: si contratás servicios que procesan datos (plataforma de mailing, gestor de donaciones), firmá un acuerdo que deje claro el rol del proveedor y las obligaciones de confidencialidad.

1. Procedimiento para reclamos y derechos: definí un canal para consultas y solicitudes de acceso, rectificación o supresión, y documentá cada trámite.

1. Auditá periódicamente: revisá el cumplimiento y actualización de avisos y consentimientos. Si hacés cambios en finalidades, notificá a las personas afectadas.

Qué podés hacer sin abogado: inventariar bases, redactar un aviso de privacidad básico y organizar consentimientos. Cuándo contratar: si manejás datos sensibles, si recibís una denuncia por tratamiento indebido o si contratás proveedores que almacenan información en el extranjero.

Qué puede pasar

1) Se arregla con una rectificación y políticas internas. Muchas situaciones se corrigen con la adopción de políticas claras, la emisión de un aviso de privacidad y la firma de consentimientos retroactivos cuando ello sea posible. Esto suele satisfacer a quien reclama si no hubo daño grave.

2) Acuerdo o mediación. Si hay una queja, puede resolverse mediante un acuerdo que incluya medidas correctoras: eliminación de datos, capacitación, y mejora de seguridad. Estos acuerdos evitan procesos y permiten normalizar la actuación.

3) Denuncia y sanción administrativa o civil. Si el tratamiento vulnera derechos y hay daño comprobado, puede iniciarse una acción administrativa o incluso una demanda civil por daños. Las sanciones y la reparación dependerán de la gravedad y de la jurisdicción competente.

Y si ganás, ¿cobrás? En el ámbito de datos, suele tratarse de restablecimiento de derechos o rectificación más que de sumas significativas. Si hay daño probado, existe posibilidad de reparación, pero la ejecutabilidad depende de la situación económica del demandado.

Errores que arruinan el caso

• Publicar fotos de personas sin consentimiento, especialmente de menores.
• Compartir listados de socios por grupos de mensajería sin control de acceso.
• No documentar el consentimiento o la base legal para el tratamiento.
• Contratar servicios extranjeros sin revisar dónde se alojan los datos y sin cláusulas contractuales.
• No hacer copias de seguridad ni cifrar información sensible.