Organizaciones sin fines de lucro, plataformas de donación y organizaciones de membresía

• Regulation (EU) 2016/679 — GDPR, Article 27
• Directive 2002/58/EC for fundraising communications
• Directive (EU) 2015/849 — AML for certain transfers
• Regulation (EU) 2022/2065 — DSA where the platform hosts campaigns

Quién debe designarlo

Organizaciones sin fines de lucro y plataformas de donación establecidas fuera de la Unión que recopilan datos sobre donantes, miembros o beneficiarios en la UE. El estatus de organización sin fines de lucro no crea una exención: el RGPD se aplica a cualquier responsable que procese datos personales, y las comunicaciones de recaudación de fondos están sujetas a las mismas reglas de marketing que las comerciales.

Umbrales y exenciones

Sin umbral, y la exención del Artículo 27(2) rara vez se aplica porque las bases de datos de donantes no son ni ocasionales ni de bajo riesgo. Los datos que revelan afiliación religiosa o política, comunes en este sector, son datos de categoría especial que requieren una condición del Artículo 9.

Qué debe figurar en la etiqueta

No físico. La identidad del representante en el aviso de privacidad, información transparente sobre cómo se utilizan las donaciones y mecánicas de consentimiento claras para las comunicaciones de recaudación de fondos.

Campos en los marketplaces

Los proveedores de pagos y los esquemas de tarjetas aplican su propia debida diligencia a las plataformas de donación, y la recaudación de fondos transfronteriza atrae reglas nacionales sobre colecciones públicas en varios estados miembros.

Documentación que debes conservar

Registros del Artículo 30, la designación del Artículo 27, registros de consentimiento para marketing, cronogramas de retención para donantes inactivos, el mecanismo de transferencia, y donde la organización procesa datos que revelan creencias u opiniones políticas, la base del Artículo 9, que para las organizaciones de miembros suele ser la derogación del cuerpo sin fines de lucro.

Normas y ensayos

No aplicable, aunque la evaluación de riqueza y el perfilado de donantes han sido criticados por las autoridades y requieren una evaluación documentada.

Requisitos lingüísticos

Información sobre privacidad y consentimiento en el idioma de los donantes.

Desde cuándo se aplica

El representante antes de que comience el procesamiento. Consentimiento antes de cualquier seguimiento no esencial en la página de donación, que es donde muchas plataformas fallan.

Cuánto se conservan los documentos

Datos de donantes inactivos por un período definido en lugar de permanentemente. La retención indefinida de historiales de donantes ha sido penalizada.

Qué ocurre si no cumples

Hasta 20 millones de euros o el 4% de la facturación, y las autoridades no han mostrado reticencia a multar a las organizaciones benéficas: varios de los primeros casos en el Reino Unido y la UE en esta área concernían al perfilado de donantes y al intercambio de datos entre organizaciones.

Quién lo controla

Autoridades de protección de datos, autoridades nacionales que regulan las colecciones públicas y unidades de inteligencia financiera para aspectos de AML.

Dónde está el límite

La membresía de una organización puede revelar creencias religiosas o políticas, haciendo que la lista de miembros sea datos de categoría especial. La derogación del cuerpo sin fines de lucro en el Artículo 9(2)(d) cubre a los miembros y contactos regulares, pero no al marketing general a listas compradas.

Las preguntas que nos hacen

¿Las organizaciones benéficas están exentas del RGPD?

No. No hay exención para organizaciones sin fines de lucro. El único alivio es la condición del Artículo 9(2)(d) para el procesamiento de datos de miembros dentro de la organización.

¿Podemos compartir listas de donantes con organizaciones asociadas?

Solo con una base legal y transparencia, y donde se revelen creencias, una condición del Artículo 9. Compartir listas de donantes sin consentimiento ha producido sanciones en varios estados miembros.