El artículo 9.2.d del RGPD, explicado para secretarios y mayordomos: por qué el censo no puede depender de un consentimiento revocable

El pendrive que pasa de junta en junta

Durante décadas, la gestión cotidiana de nuestras hermandades y cofradías ha descansado sobre la buena voluntad de secretarios y mayordomos: carpetas de anillas, ficheros Excel que viajan por correo electrónico personal, copias de seguridad en pendrives que pasan de mano en mano cada cuatro años tras las elecciones y grupos de WhatsApp donde conviven hermanos, simpatizantes y juntas de gobierno.

Nada de eso responde a negligencia, sino a que nadie explicó nunca que el censo de una cofradía no es un listado más: figurar en él revela, de forma directa e inequívoca, las convicciones religiosas de una persona, y eso lo convierte en un dato de categoría especial (art. 9 RGPD). El RGPD no exime a las hermandades —y menos aún a las que gestionan cuotas, patrimonio y datos de menores—, pero modula las obligaciones según el riesgo y prevé una base jurídica específica para las entidades sin ánimo de lucro con finalidad religiosa que casi nadie utiliza.

1. Por qué el censo es un tratamiento de categoría especial

En una asociación corriente los datos que se tratan son ordinarios: nombre, DNI, teléfono o correo electrónico. En una hermandad se superponen tres capas de riesgo:

1. Convicciones religiosas (art. 9.1 RGPD). La pertenencia al censo revela la adscripción religiosa del hermano. El art. 9.1 prohíbe con carácter general el tratamiento de estas categorías, salvo que concurra una de las excepciones tasadas del art. 9.2.
2. Datos económicos y bancarios. El IBAN y la domiciliación de cuotas permiten ordenar adeudos contra la cuenta del hermano; su filtración tiene consecuencias económicas inmediatas.
3. Datos de menores. Una parte relevante del censo son niños y adolescentes: monaguillos, nazarenos de corta edad y jóvenes costaleros.

A esto se añade una asimetría que conviene tener presente: la condición de hermano puede ser pública, pero no lo es la información asociada a ella (cuota, situación económica, dirección, teléfono o participación en cultos).

2. El error más extendido: apoyar el censo en el consentimiento

Muchas juntas creen que basta con hacer firmar al hermano una casilla de «consiento el tratamiento de mis datos». Jurídicamente es una trampa, por dos motivos.

El primero es que el consentimiento es libremente revocable en cualquier momento (art. 7.3 RGPD). Si el censo se sostuviera sobre él, un hermano podría retirarlo y la hermandad se vería en la tesitura absurda de tener que borrarlo del censo e impedirle ejercer derechos estatutarios: asistir al cabildo, votar, retirar su papeleta de sitio o portar las andas.

El segundo es que el consentimiento debe ser libre, y la relación entre un hermano y su cofradía no nace de una casilla, sino de la condición estatutaria de pertenencia. Cuando el consentimiento es la única base y su retirada arrastra consecuencias sobre derechos asociativos, deja de ser libre y la base se vuelve frágil. A mayor abundamiento, el art. 9.1 de la LOPDGDD impide que el solo consentimiento legitime un tratamiento cuya finalidad principal sea identificar la religión o las creencias del afectado.

Esto no significa que el consentimiento no sirva para nada: es la base correcta para todo lo que excede la gestión ordinaria del censo (comunicaciones informativas no estatutarias, avisos de actualidad, publicación voluntaria del nombre en el muro de donantes, difusión de imágenes de actos públicos o cesión a entidades colaboradoras). Esos consentimientos deben ser separados, informados y revocables uno a uno, sin que su retirada afecte a la condición de hermano ni al acceso a los servicios básicos de la corporación.

3. La base jurídica real: el artículo 9.2.d del RGPD

La verdadera base legal que ampara la existencia del censo es el artículo 9.2.d del RGPD. En síntesis, permite tratar estas categorías especiales cuando el tratamiento lo efectúa, en el ámbito de sus actividades legítimas y con las debidas garantías, una fundación, asociación u organismo sin ánimo de lucro con finalidad religiosa (u otra de las que el precepto enumera), siempre que se refiera exclusivamente a sus miembros —actuales o antiguos— o a personas que mantengan contactos regulares con la entidad en relación con sus fines, y siempre que los datos no se comuniquen fuera de la entidad sin el consentimiento de los interesados.

De ahí se derivan cuatro reglas prácticas.

3.1 La pertenencia no se sostiene sobre un consentimiento revocable

La base es la relación estatutaria y legítima de pertenencia, junto con el cumplimiento de obligaciones legales cuando corresponde: fiscales, contables y bancarias (art. 6.1.b y 6.1.c RGPD). El art. 9.2.d levanta la prohibición de tratar la categoría especial, pero no sustituye a la base del art. 6: hacen falta las dos. Al hermano se le informa al alta conforme al art. 13, pero esa información no se articula como un opt-out que pueda vaciar el censo.

3.2 «Con las debidas garantías» no es un brindis al sol

El precepto condiciona la excepción a que el tratamiento se realice con las debidas garantías. Eso obliga a implantar medidas técnicas y organizativas proporcionadas al riesgo: control de accesos por perfiles, registro de quién consulta el censo, política de contraseñas, copias de seguridad y un protocolo claro ante una brecha de seguridad. Y obliga también a limitar los datos a lo necesario: la fecha de bautismo no se pide «por si acaso».

3.3 El perímetro son los miembros y los contactos regulares

La excepción alcanza exclusivamente a los miembros actuales o antiguos y a las personas que mantienen contacto regular con la corporación en relación con sus fines. Un simpatizante, un colaborador puntual o un proveedor no forman parte de ese perímetro por el mero hecho de figurar en una lista de distribución.

3.4 Los datos no se comunican fuera de la entidad sin consentimiento

El precepto es explícito: los datos amparados por esta excepción no se comunican fuera de la entidad sin el consentimiento —explícito— de los interesados, salvo cuando lo exija una norma con las debidas garantías. Conviene precisar dos cosas. La primera es que los proveedores que tratan datos por cuenta de la hermandad no son un tercero receptor, sino encargados del tratamiento (art. 28 RGPD), y deben tener contrato firmado. La segunda es que esta regla se refiere a los datos de categoría especial; los demás datos del censo podrán comunicarse cuando concurra otra base jurídica del art. 6 (por ejemplo, el cumplimiento de una obligación legal: el IBAN a la entidad bancaria para ejecutar un adeudo autorizado, o los certificados de donativos a la Agencia Tributaria para el Modelo 182).

4. Cuatro puntos ciegos habituales en las casas de hermandad

4.1 Los grupos de WhatsApp y las listas de difusión masivas

Un grupo en el que figuran los números de todos los hermanos revela a cada integrante la identidad y la afiliación de los demás, y con frecuencia también a simpatizantes o personas ajenas a la corporación. No es un riesgo teórico. En el expediente PS/00390/2020, relativo al grupo de WhatsApp de una asociación sin ánimo de lucro en el que quedaban a la vista los teléfonos de los socios, la Agencia Española de Protección de Datos concluyó que la pertenencia a la asociación se legitima por la relación asociativa, pero que incluir a alguien en el grupo es un tratamiento distinto que necesita su propia base jurídica y su propia información. Y en el expediente PS/00158/2023 la sanción ascendió a 30.000 euros por un grupo de mensajería con los teléfonos de los clientes visibles para todos.

La alternativa no es renunciar a la comunicación, sino cambiar el canal: avisos en el tablón de la casa de hermandad, correo con copia oculta cuando sea imprescindible y, en la medida de lo posible, canales corporativos propios donde el hermano recibe el aviso sin ver los datos de los demás.

4.2 Los menores de edad

El art. 7 de la LOPDGDD fija en 14 años la edad a partir de la cual el menor puede consentir por sí mismo el tratamiento de sus datos. La regla opera cuando la base es el consentimiento; por debajo de esa edad no basta con que lo pida la familia de palabra, sino que hace falta la autorización acreditada de quien ostenta la patria potestad o la tutela. Conviene dejar constancia documental de quién la presta, porque es frecuente que el alta la tramite un abuelo, un tío o el propio hermano mayor.

4.3 El «borrado total» no existe: borrado por capas

Cuando un hermano causa baja o solicita el derecho de supresión (art. 17 RGPD), la hermandad no puede limitarse a pulsar «borrar» ni tampoco conservarlo todo. Hay obligaciones de conservación que se superponen:

• Mandatos y cobros SEPA. Mientras el mandato esté vigente y, al menos, durante los plazos en que el hermano puede pedir el reintegro de un adeudo: ocho semanas si lo autorizó y hasta trece meses si el adeudo no estaba autorizado o fue incorrecto.
• Donaciones y cuotas desgravadas (Modelo 182). Los datos fiscales se conservan cuatro años, plazo de prescripción tributaria (art. 66 LGT), porque la hermandad debe poder acreditar los certificados que emitió.
• Libros y asientos contables. Seis años desde el último asiento, conforme al art. 30 del Código de Comercio.

La solución no es destruirlo todo ni conservarlo todo: es eliminar o anonimizar la capa de contacto (teléfono, correo, tokens de notificación y accesos a la aplicación) y bloquear la capa económica, con acceso restringido a quien la necesita para cumplir y destrucción cuando expire el plazo. El detalle de esta mecánica y de los plazos bancarios está en nuestra guía sobre el cobro de cuotas.

4.4 La custodia del IBAN

Guardar cuentas bancarias en hojas de cálculo compartidas o en servidores sin cifrar expone a la corporación a una fuga con consecuencias económicas inmediatas. El IBAN permite ordenar adeudos: debe circular solo por los canales estrictamente necesarios y, cuando se conserva, hacerlo cifrado y con accesos auditados. Es un error frecuente arrastrar en el mismo Excel el censo completo y los datos de domiciliación de todos los hermanos.

5. Cómo se traduce esto en Cereo

En lugar de adaptar un CRM genérico, Cereo se diseñó desde el principio con la lógica del art. 9.2.d en mente. Estas son las medidas que están ya operativas:

5.1 Aislamiento estricto por hermandad (Row-Level Security)

El aislamiento no se confía a que cada consulta del programa recuerde filtrar por hermandad, sino que se aplica con políticas de seguridad a nivel de base de datos (Row-Level Security de PostgreSQL): es el propio motor quien decide qué filas puede ver cada conexión. El censo de una hermandad no puede mezclarse con el de otra, y un usuario sin privilegios no puede consultar el censo global saltándose el filtro.

5.2 Cifrado de los datos bancarios y trazabilidad de los mandatos

Los IBAN no se almacenan como texto plano: se cifran a nivel de aplicación, de modo que ni un volcado de la base de datos ni una consulta directa los devuelven legibles. Además, cada mandato SEPA se registra con su fecha de firma, su referencia única de mandato (RUM), la dirección IP y el agente de usuario desde el que se formalizó, de modo que la hermandad conserva traza documental de la autorización y de su revocación.

5.3 Menores, tutela y comunicaciones

El sistema registra la relación de tutoría entre hermanos (tutor y tutorados) y determina quién es menor de edad según la edad de corte configurada por cada hermandad, de modo que la secretaría sabe cuándo falta la autorización de quien ostenta la patria potestad o la tutela. Y los avisos se canalizan por la aplicación móvil con notificaciones push individualizadas: el hermano recibe el aviso sin que su teléfono quede a la vista de los demás, y la secretaría no necesita mantener listas de difusión con el censo completo en el teléfono de nadie.

5.4 Baja del hermano y borrado por capas

La hermandad no tiene que improvisar el procedimiento: la política de privacidad publicada describe el principio de borrado por capas y los plazos aplicables, y las solicitudes de ejercicio de derechos se canalizan por un buzón específico. La baja retira la capa de contacto y los accesos a la aplicación; lo que queda sujeto a conservación legal permanece bloqueado, sin uso para otras finalidades.

5.5 Roles claros y contrato de encargo del tratamiento

La hermandad sigue siendo la responsable del tratamiento: es la titular del censo y quien decide. Cereo actúa como encargado del tratamiento (art. 28 RGPD) y aporta la infraestructura, las copias de seguridad y los protocolos de respuesta ante incidentes, con los proveedores tecnológicos sujetos a su vez a contratos de encargo. El reparto de responsabilidades está descrito en la política de privacidad, que la hermandad puede consultar y enlazar desde su propio portal.

Conclusión: proteger la privacidad es cuidar de la hermandad

La devoción, la caridad y el patrimonio artístico son los pilares visibles de nuestras cofradías, pero la custodia de la confianza de sus hermanos es el cimiento silencioso sobre el que descansa todo lo demás.

Cumplir el RGPD no tiene por qué ser una pesadilla burocrática. Empieza por entender que el censo no se sostiene sobre una casilla de consentimiento, sino sobre la condición de hermano, y que las obligaciones que arrastra —garantías, perímetro cerrado, plazos de conservación— son las mismas que ya exige la buena administración de una casa de hermandad. En nuestra guía sobre la relación con el Obispado abordamos la otra cara de la misma moneda: las obligaciones canónicas y civiles que acompañan a esa condición.

Información divulgativa a fecha de 8 de octubre de 2026. No constituye asesoramiento jurídico, fiscal ni canónico vinculante. Cada corporación debe evaluar su caso particular con su respectiva curia diocesana y sus asesores legales.