Un fichero de miembros de una iglesia no es una agenda de direcciones: desde el punto de vista del RGPD, es uno de los tratamientos más sensibles que puede llevar una asociación. Aquí tienes lo que está permitido, lo que no, y los pocos reflejos que bastan para estar en regla.
Esta guía trata sobre el derecho francés: el RGPD se aplica en toda la Unión Europea, pero las recomendaciones citadas son las de la CNIL (la autoridad francesa de protección de datos) y los ejemplos se refieren a las asociaciones francesas.
Las tres cosas que hay que recordar: 1. el responsable del fichero es la iglesia, no el proveedor del software. 2. Un fichero de miembros de una iglesia contiene por naturaleza datos sensibles: el simple hecho de figurar en él revela una convicción religiosa (artículo 9 del RGPD). 3. Existe una excepción para las organizaciones religiosas (artículo 9.2.d), pero es estrecha: deja de aplicarse en cuanto los datos salen de la iglesia, en cuanto se trata de salud y en cuanto hay perfilado automatizado.
Es la primera pregunta, y muchas asociaciones se equivocan al pensar que la responsabilidad recae en el proveedor del software.
Consecuencia concreta: en caso de reclamación o de inspección, quien responde es la asociación. Un buen software no te exime de tus obligaciones, pero sí debe darte los medios para cumplirlas: exportación, supresión, trazabilidad, plazos de conservación.
El artículo 9.1 del RGPD establece una prohibición de principio: no se tratan los datos que revelan las convicciones religiosas de una persona. Y eso es exactamente lo que hace, por definición, un fichero de miembros de una iglesia, aunque solo contenga un nombre y un número de teléfono. La pertenencia en sí es la información sensible.
Y el fichero suele ir más allá: etapa de crecimiento espiritual, participación en un grupo, peticiones de oración, notas de entrevistas. Dicho de otro modo, un fichero de miembros de una iglesia es uno de los tratamientos más sensibles que puede manejar una pequeña asociación, a menudo sin ser consciente de ello.
El RGPD prevé una salida, precisamente para que las asociaciones religiosas, filosóficas, políticas o sindicales puedan funcionar. El artículo 9.2.d autoriza el tratamiento de datos sensibles por parte de una organización sin ánimo de lucro con finalidad religiosa, siempre que se cumplan dos condiciones a la vez:
El texto exige además «garantías adecuadas»: seguridad, acceso restringido, plazos de conservación controlados.
Tres puntos ciegos, y son precisamente los más frecuentes en la vida real de una iglesia:
1. La salida de los datos hacia un tercero. Exportar la lista de miembros a una herramienta de emailing o a una plataforma externa es comunicar datos fuera de la organización: la excepción deja de aplicarse y el consentimiento pasa a ser necesario.
2. Los datos de salud. Una petición de oración que menciona una enfermedad, un duelo o una depresión es un dato de salud (considerando 35). Requiere el consentimiento explícito, no la excepción religiosa.
3. El perfilado automatizado. Una puntuación de compromiso, una detección automática de «miembros en riesgo de desvincularse»: son decisiones automatizadas en el sentido del artículo 22, que exigen transparencia, consentimiento y derecho de oposición.
| Tratamiento | Base jurídica posible | ¿Hace falta consentimiento? |
|---|---|---|
| Fichero de miembros, gestión habitual | Interés legítimo (art. 6.1.f) + excepción art. 9.2.d | No, si se cumplen las condiciones de la excepción |
| Comunicación interna (convocatorias, noticias) | Interés legítimo | No, con derecho de oposición |
| Envío a una herramienta de emailing externa | Consentimiento (art. 6.1.a) | Sí |
| Peticiones de oración de carácter médico | Consentimiento explícito (art. 9.2.a) | Sí |
| Notas pastorales confidenciales | Excepción art. 9.2.d + garantías reforzadas | No, pero con acceso estrictamente restringido |
| Puntuación de compromiso, sugerencias automatizadas | Consentimiento + información (art. 21 y 22) | Sí, con posibilidad de negarse |
| Recibos fiscales (reçus fiscaux) y contabilidad de los donativos | Obligación legal (art. 6.1.c) | No |
Tabla orientativa: la base jurídica depende siempre del contexto real del tratamiento en tu asociación.
El principio (artículo 5.1.e) es sencillo: no más tiempo del necesario. Para las asociaciones, la CNIL recomienda tres años a partir del final de la afiliación. Aquí tienes una tabla de trabajo que puedes reutilizar:
| Dato | Base activa | Después |
|---|---|---|
| Ficha de un miembro activo | Duración de la afiliación | 3 años después de su salida y, luego, supresión |
| Miembro que ha pasado a inactivo | 6 meses | Archivo durante 3 años |
| Notas pastorales ordinarias | Duración de la afiliación | 1 año después de su salida |
| Notas pastorales confidenciales | Duración de la afiliación | Supresión inmediata al salir |
| Peticiones de oración | 2 años, u oración respondida + 6 meses | Supresión |
| Citas pastorales | Duración de la afiliación | 1 año, anonimizadas |
| Registro de accesos y modificaciones | 3 años | Archivo durante 2 años |
| Pruebas del consentimiento | 5 años después del último tratamiento | Archivo durante 5 años |
Cada miembro puede ejercer sus derechos, y la asociación debe responder en el plazo de un mes. En la práctica, prepárate para cuatro tipos de solicitudes:
Muchas asociaciones creen estar exentas porque tienen menos de 250 personas. Esa exención no se aplica cuando el tratamiento incluye datos sensibles, así que nunca se aplica a un fichero de miembros de una iglesia.
Tranquilo: es un documento interno, no un trámite administrativo. Para cada tratamiento, anota la finalidad, las categorías de datos, la base jurídica, las personas que acceden a él, el plazo de conservación y las medidas de seguridad. Bastan unas pocas páginas. No hay que confundirlo con la lista de miembros: consulta nuestra página dedicada al registro de miembros de una asociación de culto.
¿Tiene derecho una iglesia a llevar un fichero de sus miembros?
Sí. El RGPD prohíbe por principio el tratamiento de datos que revelen las convicciones religiosas (artículo 9.1), pero el artículo 9.2.d prevé una excepción para las organizaciones sin ánimo de lucro con finalidad religiosa. Se aplica si se cumplen dos condiciones a la vez: el tratamiento solo afecta a los miembros, antiguos miembros o personas en contacto regular con la iglesia, y los datos no salen de la organización sin el consentimiento de las personas.
¿Quién es responsable del fichero: la iglesia o el proveedor del software?
La iglesia. Es ella la responsable del tratamiento en el sentido del artículo 4.7 del RGPD: es ella quien decide por qué y cómo se tratan los datos. El proveedor del software es un encargado del tratamiento (artículo 4.8) que actúa siguiendo sus instrucciones. En caso de inspección de la CNIL, quien responde es la asociación; de ahí la importancia de elegir una herramienta que te ayude a cumplir tus obligaciones.
¿Hace falta el consentimiento de los miembros para figurar en el fichero?
No siempre. La gestión administrativa habitual de los miembros puede basarse en el interés legítimo de la asociación o en la excepción del artículo 9.2.d. En cambio, el consentimiento explícito vuelve a ser necesario en tres casos: transmitir los datos a un tercero (herramienta de emailing, plataforma externa), tratar datos de salud y aplicar perfilado automatizado.
¿Cuánto tiempo se conservan los datos de un antiguo miembro?
La CNIL recomienda para las asociaciones un plazo de tres años a partir del final de la afiliación. Pasado ese plazo, los datos deben suprimirse o anonimizarse. Las notas pastorales, más sensibles, merecen un plazo más corto, y las notas confidenciales, su supresión cuando la persona se marcha.
¿Puede una petición de oración ser un dato de salud?
Sí, muy a menudo. El considerando 35 del RGPD incluye en los datos de salud cualquier información de la que pueda deducirse el estado de salud física o mental de una persona. Una petición de oración que menciona una enfermedad, un duelo, una hospitalización o una depresión es un dato de salud y entra en la protección reforzada del artículo 9.
¿Una iglesia pequeña debe llevar un registro de tratamientos?
Sí. La exención prevista para las organizaciones de menos de 250 personas no se aplica cuando el tratamiento incluye datos sensibles, que es por naturaleza el caso de un fichero de miembros de una iglesia. Este registro es un documento interno sencillo: qué datos, con qué finalidad, sobre qué base jurídica, durante cuánto tiempo y quién accede a ellos.
¿Qué hacer si un miembro pide la supresión de sus datos?
Hay que responder en el plazo de un mes. La supresión debe ser completa y abarcar también los elementos vinculados: notas, peticiones de oración, historial. Algunos datos pueden conservarse si lo impone una obligación legal, típicamente los justificantes contables de un donativo. Comprueba que tu software permite una supresión real y no un simple ocultamiento.
Este artículo es una síntesis divulgativa redactada por el equipo de Ministeo a partir de textos públicos (RGPD, recomendaciones de la CNIL, derecho francés de asociaciones). No constituye asesoramiento jurídico: para una situación concreta, consulta a tu federación de iglesias, a un jurista o al delegado de protección de datos de tu asociación. ¿Has visto alguna imprecisión? Escríbenos: contact@ministeo.com.
Notas confidenciales cifradas una a una, permisos de acceso diferenciados, exportación y supresión completa con un clic, alojamiento en Francia. Gratis hasta 50 miembros.
Empezar gratis