Arquitectura de l'Ecosistema per a esglésies: CRM de membres

/ 04

Com protegim les dades dels membres al CRM

Les creences són una categoria especial de dades (art. 9 RGPD): al CRM de l'església, cada persona té usuari propi, veu només el que li toca i hi ha còpies.

Les mesures tècniques que configurem són aquestes: usuaris nominals, sense contrasenyes compartides; permisos per rol, perquè qui porta un grup vegi el seu grup i no tota la llista; eines amb connexions xifrades; còpies de seguretat; i avisos i consentiments a cada formulari, també el dels pares o tutors quan hi ha menors. El manual deixa escrit quines dades hi ha, on es guarden i qui hi té accés, una informació que us servirà per al registre d'activitats.

El que diu la norma, en resum:

• Creences, protecció reforçada

  Les dades que revelen conviccions religioses són una categoria especial (art. 9.1 del RGPD, aplicable des del maig del 2018).

• La llista de membres, sí; compartir-la, no

  Una entitat religiosa sense ànim de lucre pot tractar les dades dels seus membres, actuals o antics, i de qui hi manté un contacte regular, però no les pot comunicar fora sense el seu consentiment (art. 9.2.d).

• El consentiment sol no basta

  A Espanya, el consentiment per si sol no permet tractar dades quan la finalitat principal és identificar la religió de les persones; cal una altra base de l'art. 9.2 del RGPD (art. 9.1 de la LOPDGDD, text consolidat del desembre del 2025).

• Registre d'activitats, encara que sigueu pocs

  Si es tracten categories especials, l'exempció per a organitzacions de menys de 250 persones no s'aplica (art. 30.5 del RGPD).

• Menors

  Per sota dels 14 anys, el consentiment l'han de donar els pares o tutors (art. 7 de la LOPDGDD). Si a més hi ha dades de creences, es compleixen dos criteris de la llista de l'AEPD (consultada l'octubre del 2026) i, en la majoria de casos, caldrà una avaluació d'impacte.

• Bretxes

  S'han de notificar a l'autoritat de control sense dilació i, si és possible, en un màxim de 72 hores (art. 33 del RGPD).

• Multes

  Tractar dades de creences sense cap de les excepcions de l'art. 9 és una infracció molt greu (art. 72.1.e de la LOPDGDD), i el RGPD preveu multes de fins a 20 milions d'euros per a les infraccions més greus (art. 83.5).

Si la vostra confessió o federació té normes pròpies de protecció de dades (art. 91 del RGPD), consulteu també el seu servei de protecció de dades.

Això no és assessorament jurídic: és el context perquè entengueu per què configurem el CRM així. Per a la part legal, consulteu l'Agència Espanyola de Protecció de Dades o una persona experta, i llegiu què diu la llei sobre la llista de membres. Si porteu una altra entitat, teniu també la guia de protecció de dades per a entitats.