Los servicios de una ONG manejan distintos tipos de datos necesarios para prestar apoyo, acompañar a las personas y garantizar un seguimiento adecuado. Estos datos se agrupan en cuatro categorías principales:

• Datos identificativos: nombre, apellidos, DNI, contacto.
• Datos sociales: situación familiar, económica y habitacional.
• Datos de intervención: valoraciones, planes de trabajo, seguimientos.
• Datos especialmente sensibles: salud, discapacidad, violencia, menores, origen étnico, situación administrativa.

Los datos de este último grupo requieren un nivel de protección reforzada por su impacto potencial en la vida de las personas atendidas.

En intervención social, el tratamiento de datos personales debe apoyarse en una base jurídica clara. No siempre se utiliza el consentimiento; con frecuencia trabajamos sobre otras bases previstas en la normativa.

Las más habituales en una ONG de acción social son:

• Obligación legal: leyes y normas que obligan a registrar cierta información para poder prestar el servicio o justificar la intervención.
• Interés público esencial: programas financiados, proyectos vinculados a políticas sociales y actuaciones profesionales previstas en la normativa.
• Consentimiento informado: se utiliza cuando no existe otra base jurídica adecuada y la persona debe decidir de forma libre y explícita si acepta el tratamiento de sus datos.

La idea clave es que no siempre es necesario pedir consentimiento, pero sí es obligatorio informar siempre a la persona sobre qué datos se tratan y con qué finalidad.

En una ONG de acción social, la información personal solo puede compartirse cuando existe una base legal clara y cuando la comunicación es necesaria para proteger a la persona o para cumplir con nuestras funciones profesionales.

Podemos compartir datos únicamente en los siguientes casos:

• Habilitación legal: cuando una ley autoriza la comunicación (por ejemplo, Servicios Sociales, Salud o Menores).
• Protección de la persona: si existe riesgo, vulnerabilidad o una situación que requiere coordinación con otros servicios.
• Servicio competente: solo se comparte con quien realmente necesita la información para actuar: salud, menores, emergencias, vivienda…
• Acuerdo de confidencialidad o encargo de tratamiento: obligatorio cuando quien recibe los datos no es un servicio público sino un proveedor o profesional externo.

La cesión debe ser siempre proporcional, justificada y, en caso de duda, documentada o consultada con el equipo técnico.

El personal de atención directa tiene un papel clave en la protección de los datos que maneja. No se trata solo de cumplir una norma, sino de evitar riesgos para las personas atendidas y preservar la confianza en la entidad.

Algunas medidas básicas que debemos aplicar en el día a día son:

• No compartir información por canales no seguros (mensajería personal, redes sociales, correos privados).
• No dejar expedientes ni listados visibles en despachos, pasillos o espacios comunes.
• Usar contraseñas personales y no compartirlas con otras personas del equipo.
• Guardar la documentación sensible en carpetas protegidas, archivadores cerrados o sistemas con control de acceso.
• Destruir correctamente los documentos en papel cuando dejan de ser necesarios (trituradora o contenedor seguro).
• Registrar las incidencias (pérdida, envío por error, acceso indebido) en el Registro Interno o siguiendo el protocolo de la entidad.

El nivel de seguridad debe ser coherente con el riesgo de los datos que manejamos: cuanto más sensibles sean, más cuidado debemos poner en su protección.

A veces se producen situaciones donde la información se ha enviado, almacenado o manejado de manera incorrecta. Para estos casos existe el protocolo interno de gestión de incidencias de protección de datos.

Se considera incidencia cualquier situación como:

• Envío de información a la persona equivocada.
• Pérdida de documentos en papel o dispositivos.
• Acceso no autorizado a expedientes o plataformas.
• Recibir datos que no necesitamos para nuestra intervención.

El procedimiento general es siempre el mismo:

1. Comunicar la incidencia al responsable o a la coordinación.
2. Registrar lo ocurrido siguiendo el formulario o protocolo interno.
3. Aplicar medidas correctivas para evitar que vuelva a ocurrir.

Registrar una incidencia no es un fallo, es una medida de seguridad que demuestra responsabilidad profesional y transparencia.

Tratar datos personales en intervención social implica actuar con cuidado, respeto y profesionalidad. Las siguientes prácticas ayudan a proteger a la persona y fortalecer su confianza en la entidad.

• Informar de forma clara sobre qué datos recogemos y para qué los usamos.
• Pedir solo los datos necesarios para la intervención, sin solicitar información irrelevante o invasiva.
• Hablar en espacios privados cuando se traten temas sensibles o información personal.
• Registrar la información con precisión, evitando juicios personales o descripciones subjetivas.
• Verificar si la información debe compartirse antes de transmitirla a otros servicios o profesionales.
• Guardar y cerrar sesión siempre que se trabaje con expedientes digitales o sistemas de intervención.

Las buenas prácticas refuerzan una cultura de protección, reducen errores y promueven un trato respetuoso y seguro hacia cada persona atendida.

En el trabajo cotidiano aparecen situaciones que ponen en riesgo la confidencialidad de la información. Identificar estos errores permite prevenirlos y mejorar la calidad del servicio.

• Enviar documentos o correos a la persona equivocada sin comprobar los destinatarios.
• Reenviar hilos completos que contienen información sensible no necesaria para el receptor.
• Usar WhatsApp personal o redes sociales para compartir datos de intervención.
• Dejar expedientes, listados o notas visibles en mesas, impresoras u otros espacios comunes.
• Comentar casos en zonas abiertas donde puede haber personas no autorizadas.
• Acceder a expedientes de otras personas usuarias sin necesidad profesional.
• No registrar una incidencia cuando ocurre un error o se ha manejado información de forma inadecuada.

Estos errores son evitables si mantenemos hábitos de protección básicos y comunicamos cualquier incidencia a tiempo para corregirla adecuadamente.