RGPD en un club deportivo: ¿qué datos de socios guardas?
Casi todas las juntas creen que el asunto de la privacidad va de un formulario que firman los socios. Esa es la parte que menos importa. Donde de verdad se tuerce en un club deportivo es en que nadie sabe enumerar en cuántos sitios están los datos de los socios, quién puede acceder a ellos y qué pasa la noche en que un voluntario envía el archivo adjunto equivocado.
No tienes una lista de socios: tienes siete
Pregunta a una junta dónde están los datos de los socios y recibirás una única respuesta: en el programa de socios. Date después una vuelta de una hora por el club y acabarás en siete u ocho sitios:
- La administración de la federación, donde el club da de alta y de baja a los socios para la licencia.
- El programa de socios propio: nombre, dirección, fecha de nacimiento, tipo de socio.
- La contabilidad, con números de cuenta, domiciliaciones e impagos.
- La app del equipo o herramienta del entrenador, con asistencia, estadísticas y notas por jugador.
- Los grupos de mensajería: uno por equipo más los de las comisiones, todos con números de teléfono.
- Las hojas de cálculo de la comisión técnica, la comisión de torneos y el coordinador de voluntarios.
- La unidad compartida, donde siguen tal cual las cuentas anuales, las listas de socios antiguas y los certificados de los voluntarios.
- La herramienta de correo, con direcciones que hace años que no pertenecen a ningún socio.
Por eso "ya hemos borrado a los exsocios" casi nunca es verdad: se ha pulsado un botón en el programa de socios mientras esos mismos nombres siguen en todos los demás sistemas, y precisamente los cuatro últimos de esta lista no tienen dueño. No empieces, por tanto, por un formulario, sino por este inventario.
La base legal: no el consentimiento, sino el contrato de socio
El error más habitual es que los clubes hagan firmar a los socios un formulario de consentimiento para la administración ordinaria de socios. Además de innecesario, es la elección más frágil que existe: el consentimiento se puede retirar en cualquier momento. Si un socio lo retira cuando necesitas su dirección para ejecutar el contrato de socio, te quedas con las manos vacías.
El RGPD (en inglés GDPR: el mismo reglamento, los mismos artículos) enumera seis bases legales. Un club deportivo usa cuatro:
- Ejecución del contrato (artículo 6.1.b): la propia administración de socios — nombre, dirección, fecha de nacimiento, datos de contacto, cuota, asignación de equipo, alta en la federación. Quien se hace socio firma un contrato; no hace falta firmar nada más.
- Obligación legal (6.1.c): la administración financiera.
- Interés legítimo (6.1.f): el boletín para los propios socios, la videovigilancia del pabellón y los datos deportivos que registra un entrenador: asistencia, estadísticas, observaciones.
- Consentimiento (6.1.a): lo que queda. Imágenes, el boletín para no socios y todo aquello que un socio puede rechazar sin que cambie nada más.
Eso último es la prueba para los casos dudosos: ¿puede este socio decir que no sin consecuencias para su condición de socio? Si no, tienes que señalar una de las otras tres bases. Si sí, ese no tiene que poder darse sin complicaciones, y tienes que poder ver en tus sistemas quién lo ha dicho. Las imágenes son el caso más conocido en el que el consentimiento se registra por persona; cómo hacerlo jugador a jugador está en qué datos de jugador necesitas como entrenador. En el caso de menores, el contrato lo firma un progenitor; la edad a partir de la cual un menor puede consentir por sí mismo servicios en línea está, según el reglamento, entre los trece y los dieciséis años, y varía de un país a otro.
El registro de actividades: una línea por sistema, no un informe
El artículo 30 exige un registro de actividades de tratamiento. Muchas juntas se lo saltan porque creen que las organizaciones pequeñas están exentas. Esa excepción existe, pero decae en cuanto el tratamiento es habitual y no ocasional, y una administración de socios es habitual por definición. Da por hecho, entonces, que lo necesitas.
No es un informe, es una hoja de cálculo con una línea por sistema del inventario de arriba —en la mayoría de clubes, unas diez líneas— y siete columnas. Sistema y responsable. Qué datos, por categorías: de contacto, financieros, deportivos y de salud; estos últimos están sujetos a un régimen más estricto (artículo 9), así que registra solo lo que de verdad haga falta en la pista. Para qué los usas. Sobre qué base legal. Quién puede acceder, por rol y no por nombre. Cuánto tiempo los conservas. Con quién los compartes, y dónde acaban esos datos.
Es una noche de trabajo, y rinde más que todo el documento de política que lo rodea: al rellenar las columnas de acceso y de plazo de conservación, los huecos salen solos. Mete el registro en el manual del club y actualízalo la misma noche en que haces el presupuesto.
¿Cuánto tiempo guardas cada cosa tras una baja?
No existe un plazo general de conservación para los datos de socios, y eso es justo lo que buscan las juntas. La regla es un principio: no más tiempo del necesario para la finalidad. Fijas, por tanto, por tipo de dato, cuándo se acaba esa finalidad. En un club deportivo son cuatro montones:
- Administración de socios (nombre, dirección, fecha de nacimiento, datos de contacto, número de licencia): la finalidad termina al terminar la condición de socio. Cuenta un breve periodo de cierre para la última cuota y la baja en la federación, y limpia después.
- Administración financiera (facturas, pagos de cuotas, datos de domiciliación): eso se guarda más tiempo, porque existe una obligación legal de conservación. Cuánto varía según el país, así que comprueba ese plazo con tu propia administración tributaria o con tu asesor y pon la cifra en el registro. Vale solo para la administración financiera, no para el resto.
- Datos deportivos (asistencia, estadísticas, notas, objetivos): la finalidad es entrenar, y eso termina en cuanto alguien deja de jugar en el equipo. El final de la temporada posterior a la marcha es un momento defendible; más tiempo solo si puedes explicar para qué.
- Datos de voluntarios y de seguridad (certificados de los voluntarios, contactos de comisiones, avisos a la persona de confianza): pertenecen a un rol distinto del de socio y, por tanto, a un plazo propio y a un acceso propio y restringido. Qué certificado exigen tu federación o las autoridades y cómo se llama varía de un país a otro.
El archivo del club puede quedarse, pero no es una patente de corso para conservar completos los ficheros de socios antiguos: guarda nombres, equipos y resultados, y quita direcciones, fechas de nacimiento y datos bancarios. Pon después un momento de limpieza en el calendario anual, por ejemplo seis semanas después de la última jornada. Sin una fecha fija, limpiar no es nunca tarea de nadie y el montón crece cada temporada. Qué ocurre además cuando alguien se va está en un jugador que deja el equipo.
Los cuatro casos de los que ningún modelo de RGPD dice nada
Los documentos modelo para asociaciones están escritos para una organización con una lista de socios y un boletín. Estas cuatro situaciones se dan en todos los clubes deportivos y no aparecen nunca:
- Las notas del entrenador sobre un menor. Son datos personales, a veces sensibles. Pueden existir mientras sirvan para entrenar, pero el club regula dos cosas: que traten de conducta y de destreza y no de carácter o de situación familiar, y que un progenitor pueda consultarlas si lo pide. La regla de escritura que fuerza eso está en llevar notas de jugadores: no escribas nada que no dejarías leer al jugador.
- El historial de asistencia de alguien que lo dejó el año pasado. Pregúntate en voz alta para qué lo sigues guardando. Para el exsocio ya no hay finalidad; para el club sí, pero entonces hablamos de totales: cuántos jugadores por equipo, cómo evolucionó la asistencia a lo largo de las temporadas. Conserva el total del equipo y tira las líneas con nombre.
- ¿Puede el entrenador nuevo ver las notas de su antecesor? Para los jugadores que siguen en el equipo, sí, porque la finalidad —entrenar a este equipo— no ha cambiado, y los datos son del club, no del entrenador que se va. Para los jugadores que ya no están, no: esos entran en la ronda de limpieza. Haz de eso un momento explícito en un traspaso de entrenador.
- ¿Quién ve los teléfonos de los menores? Este es el hueco que más se les escapa a las juntas. En cuanto hay un grupo de mensajería por equipo, cada socio —y cada padre añadido, suplente o exjugador al que nunca se sacó— tiene el número de todos los niños de ese equipo. Nadie lo ha decidido y nadie lo limpia. Fija, por tanto, quién administra cada grupo y que los socios que se van salen en el plazo de una semana. Por qué el grupo de mensajería se queda estructuralmente corto aquí está en por qué el grupo de WhatsApp se atasca.
¿Quién puede acceder dentro del club a qué datos?
El RGPD no pide un candado en la puerta, pero sí que el acceso encaje con el rol. Aquí es donde flojean los clubes: casi todos tienen una carpeta compartida a la que acceden demasiadas personas, y ya nadie sabe por qué entró la última. Un reparto que funciona:
- Administración de socios: nombre, dirección, fecha de nacimiento, número de licencia, situación de alta. Ni notas ni estadísticas.
- Tesorero: nombre, datos bancarios, estado de la cuota. Ni cuestiones de salud ni datos deportivos.
- Entrenador: solo su propio equipo — datos de contacto, teléfono de emergencia, lo que hace falta en la pista y sus propias anotaciones. Ni datos bancarios ni impagos: que un entrenador sepa quién no ha pagado todavía es una fuga clásica.
- Comisión técnica: nombre, edad, posición, equipo asignado y el informe que escribe un entrenador; no el archivo completo de notas. Cómo organiza esa comisión sus momentos de decisión está en la dirección técnica y los cuatro momentos del año.
- Persona de confianza y junta: si tu club tiene esa figura —si existe y cómo se llama varía según el país y la federación—, esa persona lleva un expediente separado; la junta no tiene derecho automático a consultarlo. Responsabilidad directiva no es lo mismo que acceso a todos los campos.
La prueba más rápida para saber si esto está bien: ¿quién puede, esta noche y sin preguntar a nadie, descargar la lista completa de socios con fechas de nacimiento y teléfonos? Si no puedes recitar esos nombres de memoria, tu acceso no está organizado, por bien redactado que esté el documento de política.
Un software con roles de verdad hace aquí la mayor parte del trabajo: en Koach un entrenador ve únicamente los equipos a los que está vinculado, mientras que la gestión del club vive a nivel de club. El principio es independiente del programa: cualquier sistema sin roles es un sistema en el que todo el mundo lo ve todo.
Contratos de encargo: con tu software, y la federación aparte
En cuanto un tercero trata datos de socios por encargo tuyo, hace falta un contrato de encargado del tratamiento (artículo 28). En un club son enseguida unas ocho partes: el programa de socios, la contabilidad, la app del equipo, la herramienta de correo, la de formularios, la nube, el alojamiento web y a veces un servicio de vídeo. Casi todos los proveedores serios lo tienen preparado; se busca y se acepta, no se negocia.
Con la federación la cosa es distinta. Muchas federaciones determinan ellas mismas la finalidad de su administración de licencias y entonces no son tu encargado, sino responsables por derecho propio; eso varía según el país y la federación, así que pregunta cómo lo tiene establecido la tuya.
El hueco, mientras tanto, está en las herramientas que nadie ha declarado: la nube personal del tesorero, la herramienta gratuita de formularios de la comisión de torneos, la cuenta de impresión de los carnés. Haz a cada comisión una sola pregunta: ¿qué herramientas usáis en las que haya nombres o números? Eso saca casi siempre uno o dos sistemas que no estaban en el registro.
Un socio que pide sus datos o su supresión
Los socios tienen derechos que el club debe poder ejecutar: acceso (artículo 15), rectificación (16), supresión (17), oposición (21) y portabilidad (20). En la práctica son tres acuerdos. Una dirección en la web, por ejemplo privacidad@tuclub, que llegue a dos miembros de la junta; las solicitudes que aterrizan en un entrenador cualquiera desaparecen. Un mes para responder, prorrogable hasta un máximo de tres meses en una solicitud compleja, siempre que comuniques esa prórroga dentro de ese primer mes; confirma, por tanto, la recepción siempre de inmediato. Y una ronda por todos los sistemas: una solicitud de supresión ejecutada solo en el programa de socios no está ejecutada.
Hay dos situaciones que rozan. Una solicitud de supresión choca con la obligación fiscal de conservación: entonces borras todo salvo los datos financieros que estás obligado a guardar, y lo explicas en dos frases; ejecutarlo a medias y en silencio produce siempre un segundo mensaje, más enfadado. Y una solicitud sobre un socio menor va a través del progenitor, pero si se trata de anotaciones sobre el propio menor, háblalas con el menor y el progenitor juntos. El lado del entrenador de estas mismas preguntas está en privacidad y datos para entrenadores.
Brecha de datos: las 72 horas empiezan en el voluntario
Una brecha de datos suena a hackeo, pero en un club deportivo es casi siempre algo cotidiano: la lista de socios adjunta al grupo equivocado, un portátil robado de un coche, un exmiembro de la junta que aún entra en la nube, o una contraseña compartida que lleva cuatro años circulando.
El artículo 33 exige notificar a la autoridad de control sin dilación indebida y, de ser posible, en un plazo de 72 horas, salvo que sea improbable que la brecha suponga un riesgo para los afectados; si el riesgo es alto, informas también a esos afectados (artículo 34). El veneno está en el momento de inicio: esas 72 horas empiezan en cuanto la organización tiene conocimiento del hecho, o sea, cuando lo nota el voluntario, no cuando la junta lo trata en una reunión dos semanas después. Cuál es tu autoridad de control depende del país; pon el nombre y el canal de aviso en el manual antes de necesitarlos.
Organiza por eso tres cosas, y ninguna más:
- Una dirección de aviso y una persona que decide, con suplente. Todo el mundo —entrenador, delegado, voluntario del bar— sabe que avisa ahí en un plazo de 24 horas, también en caso de duda y también si el fallo es suyo.
- Un registro interno de todas las brechas, incluidas las que no notificas. Es obligatorio (artículo 33.5) y es el único documento del que se desprende después que hiciste una valoración en lugar de nada.
- Una actitud que haga seguro avisar. Quien teme el lío no avisa, y entonces a los tres días ya es tarde de todos modos. Deja explícito que avisar no lleva nunca a un reproche.
Idea clave: un club no está en regla porque haya una política de privacidad en la web, sino porque tres preguntas tienen respuesta. ¿En qué sitios están nuestros datos de socios?, ¿quién accede a ellos según su rol?, y ¿quién llama a quién en 24 horas si algo se filtra? Esas tres en un folio son la mayor parte del RGPD.
Preguntas frecuentes
¿Los socios tienen que dar su consentimiento para la administración de socios?
No. La administración ordinaria de socios se apoya en la ejecución del contrato de socio (artículo 6.1.b), no en el consentimiento. El consentimiento se reserva para cosas que un socio también puede rechazar sin consecuencias, como las imágenes. La prueba: ¿puede el socio decir que no sin que cambie nada en su condición de socio?
¿Cuánto tiempo puede un club deportivo guardar los datos de un socio tras la baja?
La regla es: no más tiempo del necesario para la finalidad, así que varía según el tipo de dato. Los datos de contacto desaparecen poco después de cerrar la baja, los datos deportivos al final de la temporada posterior a la marcha, y la administración financiera se guarda más tiempo porque pesa sobre ella una obligación legal. Ese plazo fiscal varía según el país: compruébalo con tu propia administración tributaria.
¿Un club pequeño necesita de verdad un registro de actividades?
En la práctica, sí. La excepción para organizaciones de menos de 250 empleados decae en cuanto el tratamiento es habitual, y una administración de socios lo es por definición. No tiene que ser un informe: una línea por sistema en una hoja de cálculo, con la base legal, el acceso y el plazo de conservación.
¿Puede un entrenador ver los datos de jugadores de otros equipos?
No sin motivo. El acceso va con el rol: un entrenador necesita su propio equipo, teléfonos de emergencia incluidos, y nada más. Si cualquiera con una contraseña puede descargar la lista completa de socios, eso es un problema de configuración: resuélvelo con roles en tu sistema, no con un acuerdo verbal.
¿Qué cuenta como brecha de datos en un club deportivo?
Cualquier situación en la que datos personales llegan a alguien que no debería tenerlos, o en la que los pierdes. Una lista de socios enviada al grupo equivocado, un portátil robado, un exmiembro de la junta que aún accede a la nube. La notificación a la autoridad de control se hace, de ser posible, en un plazo de 72 horas desde que el club lo sabe, salvo que sea improbable un riesgo para los afectados.
¿Quién es responsable del RGPD dentro del club?
La junta, también cuando el trabajo lo hace la administración de socios o una comisión. Designa a un miembro de la junta como punto de contacto, con suplente, pon esa dirección en la web y actualiza el registro cada año la misma noche que el presupuesto. Un delegado de protección de datos no suele ser obligatorio para un club deportivo normal.
