Privacidad de datos básica para organizaciones benéficas pequeñas

Esta guía es para cualquier persona de una organización benéfica pequeña que maneje nombres, direcciones, números de teléfono, registros de donaciones o notas sobre las personas que atienden. Eso es casi todo el mundo. No necesita ser abogado ni experto en informática para proteger bien la información de las personas. Después de leerla, conocerá los pocos hábitos que evitan la mayoría de los problemas de privacidad, cómo tratar los datos de donantes y clientes, y cuándo pedir asesoría legal.

Por qué importa la privacidad en las organizaciones benéficas

Las personas le confían información que quizás no compartirían en ningún otro lugar: su salud, su situación de vivienda, su situación migratoria, sus donaciones. Si esa información se filtra o se usa mal, puede causar un daño real. También puede acabar con la confianza de la que depende toda su organización.

La información personal (también llamada datos personales) es cualquier información que puede identificar a una persona, sola o junto con otros datos. Los nombres, correos electrónicos, números de teléfono, direcciones, fechas de nacimiento, fotos y notas de casos cuentan.

Las cinco ideas clave de la FTC

La Comisión Federal de Comercio (FTC) publica una guía gratuita llamada Protecting Personal Information: A Guide for Business (Cómo proteger la información personal: una guía para empresas). Sus cinco principios sirven igual de bien para las organizaciones benéficas:

1. Haga inventario. Sepa qué información personal tiene y dónde está: archivos en papel, hojas de cálculo, correo, teléfonos, aplicaciones.
2. Reduzca. Guarde solo lo que necesita.
3. Asegúrela. Proteja lo que guarda.
4. Deséchela. Deshágase bien de lo que ya no necesita.
5. Planee con tiempo. Tenga un plan para responder a los incidentes de seguridad.

Reúna menos datos

Los datos más seguros son los que nunca reunió. En cada formulario, pregúntese: "¿Qué vamos a hacer de verdad con esta respuesta?". Si no hay un uso claro, quite la pregunta.

• Para inscribirse en un boletín, por lo general basta con un correo electrónico y quizás el nombre.
• Para confirmar asistencia a un evento casi nunca hace falta la dirección de la casa ni la fecha de nacimiento.
• Un programa de alimentos puede necesitar saber cuántas personas viven en el hogar, pero ¿necesita el nombre completo de cada niño?

Pida consentimiento, y en serio

El consentimiento significa que una persona entiende qué va a hacer usted con su información y está de acuerdo libremente.

• Dígale a la gente, con palabras sencillas, qué reúne y para qué, en el momento en que lo reúne.
• Pida permiso por separado para cada uso. Aceptar recibir servicios no es aceptar aparecer en una historia del boletín.
• Haga que decir "no" sea fácil y seguro. Nadie debe sentir que tiene que dar sus datos para recibir la ayuda que necesita, a menos que de verdad sea obligatorio.
• Deje que las personas cambien de opinión, y respete su decisión.
• Escriba un aviso de privacidad corto para su sitio web y sus formularios que coincida con lo que de verdad hace.

Datos de los donantes

Los registros de donantes suelen incluir nombres, datos de contacto, historial de donaciones y, a veces, notas sobre sus intereses o su familia. Trátelos con cuidado:

• Nunca venda, alquile ni intercambie su lista de donantes. Dígalo en su aviso de privacidad y cumpla la promesa aunque alguien le ofrezca dinero.
• Escriba notas basadas en hechos y respetuosas. Escriba como si el donante pudiera leerlas algún día.
• Respete a quien pide ser anónimo. Algunos donantes no quieren que su nombre aparezca en su informe anual ni en una pared.
• Limite quién puede ver los registros completos de los donantes. Un voluntario que hace llamadas de agradecimiento quizás solo necesite un nombre y un número de teléfono.
• Use un proveedor de pagos de confianza. Nunca guarde usted mismo los números completos de las tarjetas.

Datos delicados de las personas que atiende

Cierta información es especialmente delicada: la salud física y mental, la discapacidad, la situación migratoria, los antecedentes penales, la orientación sexual o la identidad de género, las creencias religiosas, los antecedentes de abuso y cualquier dato sobre niños.

Medidas prácticas de protección:

• Solo quien lo necesita. Solo las personas que deben usar la información pueden verla.
• Almacenamiento aparte. Guarde las notas de los casos separadas de sus archivos compartidos generales.
• Bajo llave y cifrado. El papel, en un archivero con llave. Los archivos digitales, en cuentas con contraseñas fuertes y verificación en dos pasos. Los teléfonos y computadoras portátiles, con bloqueo de pantalla.
• Nada de cuentas personales. Los voluntarios no deben guardar datos de clientes en su correo personal ni en las notas de su teléfono.
• Desecho seguro. Triture el papel. Borre bien los archivos digitales y limpie los aparatos viejos antes de regalarlos.

Si ofrece atención médica, servicios legales o un trabajo financiado con contratos del gobierno, puede que le apliquen otras reglas de privacidad. Su financiador o un abogado le pueden decir cuáles.

Las leyes de privacidad cambian de un estado a otro

En Estados Unidos no hay una sola ley nacional de privacidad que cubra a todas las organizaciones benéficas. En cambio, cada estado tiene sus propias leyes, y son distintas.

• Aviso de filtraciones: la FTC dice que todos los estados, el Distrito de Columbia, Puerto Rico y las Islas Vírgenes tienen leyes que obligan a avisar cuando hay filtraciones de seguridad con información personal. Los detalles y los plazos cambian.
• Leyes de privacidad del consumidor: cada vez más estados tienen leyes de privacidad más amplias que dan a las personas derechos sobre sus datos. Muchas solo cubren a las empresas, pero algunas también cubren a las organizaciones sin fines de lucro. Por ejemplo, el Departamento de Justicia de Oregón dice que la ley de privacidad del consumidor de Oregón se aplica a organizaciones con y sin fines de lucro que alcancen sus umbrales.

Las reglas dependen de dónde viven las personas que están en sus registros, no solo de dónde tiene su sede la organización. Si guarda datos de muchas personas, o de personas en varios estados, consulte con la oficina del Attorney General (fiscal general del estado) o con un abogado.

Si algo sale mal

Una filtración de datos ocurre cuando información personal se pierde, se la roban o la ve alguien que no debería verla. Una computadora portátil olvidada en un autobús cuenta. También un correo enviado a la lista equivocada.

• Actúe rápido para evitar que se exponga más información.
• Anote qué pasó y cuándo.
• Avísele al presidente de su junta directiva, a su aseguradora y a un abogado.
• Siga la guía de la FTC sobre filtraciones de datos y la ley de avisos de su estado.
• Dígales con honestidad a las personas afectadas qué pasó y qué pueden hacer.

Vea nuestra guía de comunicación en crisis para saber cómo hablar del tema.

Su lista de tareas de privacidad

• Haga una lista de la información personal que guarda y de dónde está
• Quite de los formularios las preguntas que no necesita de verdad
• Escriba un aviso de privacidad en lenguaje sencillo que coincida con lo que hace
• Prometa no vender ni compartir nunca su lista de donantes, y cumpla la promesa
• Limite el acceso a los registros delicados a las personas que los necesitan
• Active la verificación en dos pasos y el bloqueo de pantalla en todo
• Fije un calendario para triturar o borrar los registros viejos
• Anote a quién llamar si se pierden o se roban datos

La buena privacidad es, sobre todo, buenos hábitos. Reúna menos, guárdelo bajo llave, comparta solo con cuidado y trate cada registro como si fuera de su propia familia.

Si quiere que alguien revise sus formularios o su aviso de privacidad, pídale ayuda a una organización miembro a través del Intercambio.

Información general, no asesoría legal, fiscal ni financiera. Las reglas cambian y cada situación es distinta, así que revise las fuentes oficiales y hable con un profesional calificado antes de actuar.