Organizações sem fins lucrativos, plataformas de doação e organizações de membros

• Regulation (EU) 2016/679 — GDPR, Article 27
• Directive 2002/58/EC for fundraising communications
• Directive (EU) 2015/849 — AML for certain transfers
• Regulation (EU) 2022/2065 — DSA where the platform hosts campaigns

Quem tem de designar

Organizações sem fins lucrativos e plataformas de doação estabelecidas fora da União que coletam dados sobre doadores, membros ou beneficiários na UE. O status de organização sem fins lucrativos não cria uma isenção: o RGPD se aplica a qualquer controlador que processe dados pessoais, e as comunicações de arrecadação de fundos estão sujeitas às mesmas regras de marketing que as comerciais.

Limiares e isenções

Sem limite, e a isenção do Artigo 27(2) raramente se aplica porque bancos de dados de doadores não são nem ocasionais nem de baixo risco. Dados que revelam afiliação religiosa ou política, comuns neste setor, são dados de categoria especial que requerem uma condição do Artigo 9.

O que deve constar do rótulo

Não físico. A identidade do representante no aviso de privacidade, informações transparentes sobre como as doações são utilizadas e mecânicas de consentimento claras para comunicações de arrecadação de fundos.

Campos nos marketplaces

Provedores de pagamento e esquemas de cartões aplicam sua própria diligência às plataformas de doação, e a arrecadação de fundos transfronteiriça atrai regras nacionais sobre coleções públicas em vários estados membros.

Documentação a conservar

Registros do Artigo 30, a designação do Artigo 27, registros de consentimento para marketing, cronogramas de retenção para doadores inativos, o mecanismo de transferência e, onde a organização processa dados que revelam crenças ou opiniões políticas, a base do Artigo 9, que para organizações de membros é geralmente a derrogação do corpo sem fins lucrativos.

Normas e ensaios

Não aplicável, embora a triagem de riqueza e o perfilamento de doadores tenham sido criticados pelas autoridades e exijam uma avaliação documentada.

Requisitos linguísticos

Informações sobre privacidade e consentimento na língua dos doadores.

A partir de quando

O representante antes do início do processamento. Consentimento antes de qualquer rastreamento não essencial na página de doação, que é onde muitas plataformas falham.

Prazo de conservação

Dados de doadores inativos por um período definido em vez de permanentemente. A retenção indefinida de históricos de doadores foi penalizada.

Em caso de incumprimento

Até €20 milhões ou 4% do faturamento, e as autoridades não mostraram relutância em multar instituições de caridade: vários dos primeiros casos no Reino Unido e na UE nesta área diziam respeito ao perfilamento de doadores e compartilhamento de dados entre organizações.

Quem fiscaliza

Autoridades de proteção de dados, autoridades nacionais que regulam coleções públicas e unidades de inteligência financeira para aspectos de AML.

Onde está a fronteira

A filiação a uma organização pode revelar crenças religiosas ou políticas, tornando a lista de membros dados de categoria especial. A derrogação do corpo sem fins lucrativos no Artigo 9(2)(d) cobre membros e contatos regulares, mas não marketing geral para listas adquiridas.

Perguntas frequentes

As instituições de caridade estão isentas do RGPD?

Não. Não há isenção para organizações sem fins lucrativos. O único alívio é a condição do Artigo 9(2)(d) para o processamento de dados de membros dentro da organização.

Podemos compartilhar listas de doadores com organizações parceiras?

Apenas com uma base legal e transparência, e onde crenças são reveladas, uma condição do Artigo 9. Compartilhar listas de doadores sem consentimento resultou em fiscalização em vários estados membros.