Revisado en octubre de 2026. Es una guía orientativa: confirma tu caso concreto con la administración o una asesoría.
La normativa de protección de datos no es solo para empresas. Cualquier asociación que recoja y use datos de personas identificables (socios, voluntarios, participantes, donantes, proveedores) tiene que cumplirla. Así lo entiende también la Agencia Española de Protección de Datos (AEPD).
La política de privacidad
Es el documento en el que la asociación explica cómo trata los datos personales de quienes se relacionan con ella. Su base está en el artículo 13 del Reglamento General de Protección de Datos (RGPD), que obliga a informar a las personas en el momento en que se recogen sus datos.
Una política de privacidad debe incluir, como mínimo:
- Quién es el responsable: nombre de la asociación, NIF, domicilio, correo y teléfono de contacto.
- Para qué se usan los datos: gestionar a los socios, organizar actividades, enviar información solicitada…
- Base legal que permite tratarlos: el consentimiento, la ejecución de un contrato, una obligación legal… (artículo 6 del RGPD). Indica también qué datos son obligatorios y qué pasa si no se facilitan; por ejemplo, sin nombre y DNI no se puede dar de alta a un socio.
- Cuánto tiempo se conservan, o el criterio para decidirlo.
- A quién se comunican, si se ceden a terceros. Si no se ceden a nadie, conviene decirlo.
- Qué derechos tienen las personas y cómo ejercerlos.
- Que pueden retirar su consentimiento en cualquier momento, si es la base del tratamiento.
- Que pueden reclamar ante la AEPD si creen que sus datos no se tratan bien.
- Cómo se protegen los datos: las medidas de seguridad y confidencialidad adoptadas (artículo 5.1.f del RGPD).
El consentimiento
El RGPD define el consentimiento como una manifestación de voluntad libre, específica, informada e inequívoca, dada mediante una declaración o una acción afirmativa clara. La Ley Orgánica 3/2018 (LOPDGDD) recoge la misma definición.
En la práctica, cuando el tratamiento se basa en el consentimiento:
- La asociación debe poder demostrar que lo obtuvo. Guarda los formularios firmados o el registro de la casilla marcada.
- Si se pide para varias finalidades, debe quedar claro que se acepta cada una de ellas.
- No se puede condicionar la participación en una actividad a aceptar usos de datos que no tengan relación con ella.
- Si se recoge en un documento que trata otros asuntos, la parte de protección de datos debe distinguirse claramente.
- Hay que usar un lenguaje claro y sencillo.
- Retirar el consentimiento debe ser tan fácil como darlo.
Atención a las fotos y vídeos de actividades: publicarlos en la web o en redes requiere consentimiento expreso, y en el caso de menores de 14 años, el de sus padres o tutores.
Los derechos de las personas
Toda persona puede dirigirse a la asociación para ejercer estos derechos:
- Acceso: saber si la asociación trata sus datos y obtener información sobre ese tratamiento.
- Rectificación: corregir los datos inexactos o completar los incompletos.
- Supresión (derecho al olvido): que se borren cuando ya no sean necesarios, cuando retire su consentimiento o se oponga al tratamiento, salvo que una ley obligue a conservarlos.
- Limitación: que se «congelen» temporalmente, por ejemplo mientras se decide si se deben borrar.
- Portabilidad: recibir sus datos en un formato estructurado y de uso común para llevarlos a otra entidad.
- Oposición: pedir que se deje de tratar sus datos.
La asociación debe responder en el plazo de un mes, que puede ampliarse en casos complejos.