RGPD para iglesias: guía práctica para la secretaría
El RGPD es el reglamento europeo de protección de datos, y también se aplica a las iglesias. El simple hecho de que una persona figure en el registro de una iglesia ya revela una convicción religiosa, un tipo de dato que la ley protege de forma especial. En España, además, rige la Ley Orgánica 3/2018 de Protección de Datos (LOPDGDD). Esta guía resume lo esencial y no sustituye el consejo de un jurista.
Por qué el registro de la iglesia es un dato sensible
El artículo 9 del RGPD prohíbe, como regla general, tratar datos que revelen convicciones religiosas, y enumera las excepciones. Dos interesan a la iglesia: el consentimiento explícito de la persona y el tratamiento que hace una organización sin ánimo de lucro con fines religiosos, sobre sus miembros, sin pasar los datos a terceros sin consentimiento. Los visitantes y los contactos ocasionales piden una atención especial.
Qué debe hacer la iglesia
- Decidir quién es el responsable de los datos en la iglesia.
- Pedir solo los datos que de verdad va a usar.
- Registrar cuándo y cómo dio cada persona su consentimiento.
- Limitar quién accede a qué: quien lleva la tesorería no necesita ver todo el registro.
- Guardar los datos en un lugar seguro, no en hojas de cálculo sueltas ni en grupos de mensajería.
- Decidir cuánto tiempo guarda cada tipo de dato.
- Tener un contrato con quien trata los datos en nombre de la iglesia, como el proveedor del programa.
Los derechos de cada persona
Cualquier persona puede pedir a la iglesia:
- Una copia de los datos que la iglesia guarda sobre ella.
- La corrección de lo que esté mal.
- La supresión de sus datos, respetando lo que la ley obliga a conservar.
- Retirar su consentimiento, con la misma facilidad con que lo dio.
Niños y adolescentes
Cuando el tratamiento se basa en el consentimiento, los datos de los menores dependen de la autorización de sus padres o tutores. En España, según la LOPDGDD, un menor puede dar su consentimiento a partir de los 14 años. En otros países de la Unión Europea, la edad para consentir en servicios en línea va de 13 a 16 años. Si tienes dudas, registra la autorización de los padres.
Correos y mensajes de la iglesia
Pide una autorización aparte, separada del registro, para enviar mensajes, y ofrece en cada envío una forma sencilla de darse de baja.
Si se filtran los datos
Una brecha de seguridad que ponga en riesgo a las personas debe comunicarse a la autoridad de protección de datos en un plazo de 72 horas desde que la iglesia tiene conocimiento de ella. En España, esa autoridad es la Agencia Española de Protección de Datos (AEPD). Cuando el riesgo es alto, también hay que avisar a las propias personas.
Cómo te ayuda Atrium
En Atrium, los datos se guardan en la Unión Europea. El registro anota el consentimiento con fecha y forma, cada rol ve solo lo que le corresponde, y la copia y la eliminación de los datos de una persona se hacen en pocos clics.
Preguntas frecuentes
¿El RGPD se aplica a una iglesia pequeña?
Sí. El reglamento no exime a nadie por su tamaño cuando guarda datos de personas de forma organizada.
¿La iglesia puede publicar la lista de cumpleaños?
Solo con la autorización de las personas. El nombre y la fecha de nacimiento son datos personales, y aparecer en una lista de la iglesia revela el vínculo con ella.
¿Puedo guardar los datos de los miembros en una hoja de cálculo?
La ley no prohíbe la herramienta, pero exige seguridad y control de acceso, algo difícil de garantizar en un archivo suelto.