RGPD en la iglesia: lo que de verdad necesitas hacer

Para iglesias en Portugal.

Tu iglesia tiene que cumplir el RGPD, aunque sea pequeña, porque una lista de miembros revela convicciones religiosas, y el artículo 9 del reglamento lo trata como una categoría especial de datos. La buena noticia es que lo esencial se resume en siete acciones concretas, que explicamos a continuación. Este texto es información general y no sustituye el asesoramiento jurídico.

Lo que el RGPD pide a una iglesia, en dos ideas

Primera idea: tratar datos que revelan convicciones religiosas está, por regla general, prohibido (artículo 9, apartado 1), salvo que se aplique una excepción. Segunda idea: el reglamento prevé una excepción pensada para ti. Un organismo sin ánimo de lucro con fines religiosos puede tratar datos de sus miembros, antiguos miembros y personas que mantienen contactos regulares con él, con garantías adecuadas, siempre que no los comunique a terceros sin el consentimiento de las personas (artículo 9, apartado 2, letra d).

El artículo 91 añade que las iglesias que ya tenían un conjunto completo de normas de protección de datos cuando entró en vigor el RGPD pueden mantenerlas, si las adaptan al reglamento.

Todo lo demás es método. Va un orden de trabajo.

Las siete acciones esenciales

1. Haz el inventario de los datos

Escribe qué guardas, para qué, quién lo ve, dónde está y hasta cuándo. Basta una tabla sencilla. El RGPD lo llama registro de las actividades de tratamiento (artículo 30), y la exención para organizaciones con menos de 250 trabajadores no se aplica a quien trata categorías especiales de datos.

Dato	Para qué	Quién lo ve	Dónde está	Hasta cuándo
Ficha del miembro	Contactar y acompañar	Secretaría, pastores	Sistema de la iglesia	Mientras sea miembro
Donaciones y NIF	Recibos y declaración tributaria	Tesorería	Sistema de la iglesia	Plazo legal
Peticiones de oración	Orar y acompañar	Equipo de cuidado	Sistema de la iglesia	Hasta que se atienda
Fotografías del culto	Difusión	Comunicación	Carpeta compartida	Por definir

Si la lista de “dónde está” tiene cinco sitios distintos, ya has descubierto el primer problema.

2. Limita quién ve qué

Tesorería no necesita ver las peticiones de oración. El líder de una célula no necesita ver las donaciones. Da a cada persona lo mínimo para hacer su trabajo y evita enviar la lista completa a un grupo de mensajes. Revisa los accesos dos veces al año, o cada vez que alguien entre o salga de un equipo.

3. Elige la base adecuada para cada grupo de personas

No hay una base única para todos. A grandes rasgos:

• Miembros, antiguos miembros y contactos regulares: la excepción del artículo 9, apartado 2, letra d), con garantías.
• Visitantes: consentimiento explícito, sencillo y por separado, para una finalidad clara (por ejemplo, contactarlos después de la visita).
• Donantes: la obligación legal de conservar el registro de quien dona, para el recibo y para la declaración tributaria. Consulta la guía del Modelo 25, la declaración anual portuguesa de donativos.
• Datos de salud en peticiones de oración: consentimiento explícito de quien escribe, con visibilidad limitada.

La guía sobre el RGPD en una iglesia detalla cada caso y las condiciones de cada excepción.

4. Informa a las personas

Escribe un aviso de privacidad en lenguaje sencillo. Di quién eres, qué datos guardas, para qué, durante cuánto tiempo, con quién los compartes (por ejemplo, con el proveedor del programa de gestión) y a quién pueden dirigirse para ejercer sus derechos. Con una página basta. Ponla en la tarjeta de visitante, en la web y en la app.

5. Elige bien a tus proveedores

El programa de gestión, el servicio de correo y el almacenamiento de archivos tratan datos en tu nombre. El artículo 28 exige un contrato que defina lo que pueden hacer con ellos. Antes de firmar, pregunta dónde se guardan los datos, quién más tiene acceso y si puedes exportarlo todo cuando quieras irte. La guía para elegir software de gestión de iglesia tiene estas preguntas y otras.

6. Trata a los niños con más cuidado

Las fichas de niños, las autorizaciones, las alergias y las fotografías requieren la autorización de quien tiene la patria potestad. Recoge solo lo que el ministerio infantil necesita, y da acceso únicamente a quienes trabajan con los niños.

7. Prepara la respuesta a una brecha de datos

Un móvil perdido con la lista, una hoja enviada a la persona equivocada, una cuenta compartida a la que accedió quien no debía: todo esto puede ser una brecha de datos. Si hay riesgo para las personas, la notificación a la CNPD se hace sin dilación indebida y, si es posible, en las 72 horas siguientes a que tengas conocimiento (artículo 33). Si el riesgo es alto, avisa también a las personas afectadas. Registra todas las brechas por escrito, incluso las que no notifiques.

Decide hoy quién hace qué. En una emergencia no es buen momento para descubrir la regla.

¿Necesito un delegado de protección de datos?

El delegado de protección de datos (DPD, en inglés DPO) es obligatorio cuando las actividades principales consisten en tratar categorías especiales de datos a gran escala (artículo 37, apartado 1, letra c). El reglamento no dice cuántas personas son “gran escala”. En una iglesia local pequeña, por regla general, no será el caso. En una denominación con muchos miles de personas, la conversación es otra.

Aunque no sea obligatorio, conviene nombrar a una persona responsable dentro de la iglesia. Alguien que sepa dónde está el inventario, reciba las solicitudes de las personas y sepa a quién llamar ante una brecha. Si dudas de si necesitas un delegado, la CNPD tiene una página de orientación sobre el tema.

Lo que no necesitas hacer

Hay temores que llevan a las iglesias a hacer demasiado, o a no hacer nada.

• Pedir consentimiento a todos los miembros para la lista interna. Para miembros, antiguos miembros y contactos regulares, el reglamento admite la excepción del artículo 9, apartado 2, letra d), con garantías.
• Borrarlo todo por precaución. Hay datos que la ley obliga a conservar, como el registro de donantes. Borrar lo que deberías guardar también es un problema.
• Comprar una solución cara. Lo que protege a tus miembros son reglas claras, accesos limitados y cumplimiento. Una herramienta ayuda, pero no lo sustituye.

Cuándo pedir ayuda

Llama a un jurista, al delegado de protección de datos de tu denominación, si existe, o a la CNPD cuando:

• tengas dudas sobre la base legal de un tratamiento nuevo;
• vayas a compartir datos con la denominación, con otra iglesia o con una entidad externa;
• trates datos de salud, de niños o imágenes de vídeo a gran escala;
• haya habido una brecha con riesgo para las personas.

El RGPD prevé multas que pueden llegar a los 20 millones de euros en las infracciones más graves (artículo 83, apartado 5). El artículo 83, apartado 2, manda ponderar, entre otros factores, la gravedad de la infracción y las medidas adoptadas para paliar el daño. Mostrar cuidado vale más que esperar a que nadie se fije.

Cómo ayuda Brado

El RGPD sigue siendo responsabilidad de la iglesia, pero una buena herramienta ayuda a cumplir. Brado da acceso según el rol, guarda los consentimientos, permite exportar los datos de una persona cuando los pide y tiene un muro de oración con peticiones anónimas. Los datos están en la UE. En la página de seguridad explicamos lo que hacemos y lo que aún falta.

Si estás organizando la lista de miembros, el artículo cómo organizar los miembros sin hojas de cálculo te muestra el camino. Mira el resto en la página de la plataforma.

Esto es información general y no sustituye el asesoramiento jurídico.