RGPD para iglesias: datos religiosos (art. 9) sin miedo
- RGPD
- Privacidad
Resumen en 30 segundos
- Saber que alguien es miembro de una iglesia revela sus convicciones religiosas. El RGPD lo trata como categoría especial de datos (artículo 9).
- El RGPD contempla tu caso: una organización religiosa sin ánimo de lucro puede tratar datos de sus miembros, antiguos miembros y de quienes tienen contacto regular, siempre que no los comparta fuera sin consentimiento (artículo 9, apartado 2, letra d).
- Para visitantes y para datos más delicados, como peticiones de oración con información de salud, pide consentimiento explícito.
- Si hay una brecha de datos, la notificación a la CNPD (la autoridad portuguesa de protección de datos) se hace en 72 horas (artículo 33).
Para iglesias en Portugal.
Sí, tu iglesia tiene que cumplir el RGPD, y la lista de miembros es un dato sensible. Pero no hay motivo para tener miedo: el RGPD contempla expresamente a las organizaciones religiosas. Si tratas solo datos de miembros, antiguos miembros y personas con contacto regular, no los divulgas a terceros sin consentimiento y sigues unas reglas sencillas, vas por buen camino. En Portugal, la autoridad de control es la Comissão Nacional de Proteção de Dados (CNPD).
Por qué son especiales los datos de una iglesia
El artículo 9, apartado 1, del RGPD prohíbe, por regla general, tratar datos que revelen convicciones religiosas o filosóficas. Una lista de miembros dice, por sí sola, en qué cree cada persona. Una petición de oración puede revelar además información de salud, que es otra categoría especial. Por eso, lo que en una empresa sería una simple base de contactos, en una iglesia exige más cuidado.
Las excepciones que te interesan
El artículo 9, apartado 2, prevé excepciones. Dos son centrales:
- Consentimiento explícito (letra a). La persona dice con claridad que acepta, para una finalidad concreta.
- Organismos sin ánimo de lucro con fines religiosos (letra d). Puedes tratar datos en el marco de tus actividades legítimas y con garantías adecuadas, si el tratamiento se refiere exclusivamente a miembros, antiguos miembros o personas que mantienen contactos regulares contigo, y si los datos no se divulgan a terceros sin el consentimiento de los titulares.
Además de la excepción del artículo 9, necesitas una base del artículo 6, como el consentimiento o el interés legítimo de la iglesia.
¿Qué datos guardas, exactamente?
Haz una lista, aunque sea en una hoja. El RGPD lo llama registro de las actividades de tratamiento (artículo 30). La dispensa para organizaciones con menos de 250 trabajadores no se aplica a quien trata categorías especiales de datos, así que una iglesia debería tener este registro. Piensa en:
- ficha del miembro (contactos, familia, fechas);
- asistencia, turnos y participación en grupos;
- donaciones y NIF (número fiscal portugués) de los donantes;
- peticiones de oración y notas pastorales;
- fotografías y vídeos de los cultos;
- niños y autorizaciones de los padres (alergias, salud).
En qué te basas, caso por caso
| Quién o qué | Base más adecuada |
|---|---|
| Miembros, antiguos miembros, contactos regulares | Artículo 9, apartado 2, letra d), con garantías |
| Visitantes que rellenan una tarjeta una vez | Consentimiento explícito, sencillo y separado |
| Donantes (NIF, importes) | Obligación legal de registro (artículo 66 del EBF, el Estatuto portugués de los Beneficios Fiscales) |
| Peticiones de oración con datos de salud | Consentimiento explícito de quien escribe; visibilidad limitada |
| Niños | Autorización de quien ejerce la responsabilidad parental |
Sobre los niños: la edad a partir de la cual un menor puede consentir por sí solo en servicios en línea varía de un país a otro: el artículo 8 del RGPD fija 16 años y permite que cada Estado miembro la rebaje hasta 13. Consulta en la CNPD o con un jurista la edad vigente en Portugal.
Quién ve qué
Da a cada persona lo mínimo necesario. La tesorería no necesita ver peticiones de oración. El líder de una célula (grupo pequeño) no necesita ver las donaciones. Evita exportar la lista completa a un grupo de mensajes. Revisar los accesos dos veces al año es suficiente.
Qué decir a las personas
Redacta un aviso de privacidad en lenguaje sencillo: quién eres, qué datos guardas, para qué, durante cuánto tiempo, con quién los compartes (por ejemplo, con el proveedor del software) y a quién dirigirse para ejercer derechos, como el de acceso (artículo 15) y el de supresión (artículo 17).
Si algo sale mal
¿Perdiste un móvil con la lista? ¿Enviaste una lista a la persona equivocada? Eso es una brecha de datos. La notificación a la CNPD se hace en un máximo de 72 horas desde que tienes conocimiento, mediante el formulario disponible en la web de la CNPD. Si el riesgo es alto, avisa también a las personas. Y registra todas las brechas internamente, incluso las que no notifiques.
Si tu comunidad ya tiene reglas propias
El artículo 91 permite que las iglesias y comunidades religiosas que ya aplicaban un conjunto completo de normas de protección de datos cuando entró en vigor el RGPD sigan aplicándolas, siempre que cumplan el reglamento y estén sujetas a la supervisión de una autoridad independiente.
Plan en ocho pasos
- Haz la lista de datos que guardas.
- Define quién puede ver qué.
- Elige la base de cada tratamiento.
- Redacta el aviso de privacidad.
- Pide consentimiento explícito para visitantes y datos delicados.
- Firma un contrato de encargado del tratamiento con el proveedor del software (artículo 28).
- Acuerda cómo responder a solicitudes de acceso y supresión.
- Prepara qué hacer ante una brecha de datos y quién avisa a la CNPD.
¿Y Brado?
Brado se diseñó con acceso por rol (la tesorería no tiene por qué ver peticiones de oración), registro de consentimientos y exportación de los datos de cada persona. El RGPD sigue siendo responsabilidad de la iglesia, pero ayuda contar con herramientas que no te lleven en sentido contrario. Los datos están en la UE. Mira los planes en precios y el resto en plataforma. Si estás comparando proveedores, usa la checklist para elegir software.
Esto es información general y no sustituye el asesoramiento jurídico.