Protección de datos en un club de cannabis: qué exige el RGPD

En el club hay una carpeta compartida que se llama «SOCIOS 2019 def FINAL», un Excel con 340 filas donde la columna F es el DNI y un cajón bajo el mostrador con fotocopias grapadas a las hojas de alta. En el móvil de quien hacía la puerta aquel verano quedan veinte fotos de carnés. Y en un grupo de WhatsApp llamado «Junta» sigue pegada la lista de socios de 2022.

Eso es un tratamiento de datos personales, y de los delicados. Una asociación de cinco personas acaba manejando el mismo tipo de información que un centro sanitario pequeño: identidad completa, domicilio, imagen, firma y, muy a menudo, la condición de socio terapéutico. Merece la pena mirarlo de frente, igual que se mira el resto de la gestión del club.

Qué datos hay de verdad en un club y cuáles son de categoría especial

Antes de hablar de obligaciones, haz el inventario. No de lo que crees que guardas: de lo que hay.

La fila que lo cambia todo es la del socio terapéutico. Una casilla marcada en un Excel dice que esa persona consume cannabis por un problema de salud, y eso es un dato de salud aunque no haya informe adjunto: revela la información igual de bien.

El artículo 9 del RGPD parte de una prohibición general de tratar esos datos y luego abre excepciones. La que le sirve a un club es el consentimiento explícito. A cambio, el régimen se endurece entero: quién puede ver esa casilla, dónde vive, cuánto dura y qué la protege.

Base jurídica: no todo se sostiene en el consentimiento

El error más repetido es poner una casilla de «acepto la política de privacidad» al final de la hoja de alta y dar por hecho que cubre todo. No cubre. Cada tratamiento necesita su base, y en un club conviven varias.

• Ejecución de la relación asociativa. Dar de alta, cobrar la cuota, apuntar el monedero. Sin nombre no hay socio: aquí no pides permiso, es la relación misma.
• Obligación legal. El libro de socios lo exige la ley de asociaciones, y la contabilidad y lo fiscal van por el mismo camino.
• Interés legítimo. Las cámaras del local, con su cartel y su ponderación escrita.
• Consentimiento explícito. Para el dato de salud del socio terapéutico. Explícito quiere decir casilla propia, separada, con un texto que diga lo que dice.
• Consentimiento. Para el boletín, el WhatsApp de difusión y cualquier comunicación comercial.

Y lo que casi nadie monta: retirar el consentimiento tiene que ser tan fácil como darlo. Si el alta se firma en el mostrador en treinta segundos, la baja no puede exigir un correo a una dirección que nadie lee. Y hay que poder demostrar cuándo se dio cada uno: la carga de la prueba es tuya.

Minimización: qué sobra en el club ahora mismo

Minimizar no es una virtud abstracta. Es una lista de cosas que hay que tirar.

La fotocopia del DNI en el cajón. Comprobar la identidad y la edad en el alta es una cosa; conservar el escaneo para siempre es otra. Si lo guardas, con control de acceso y con plazo; si no, apunta que se verificó y devuélvelo.

La foto del carné en el móvil de alguien. Es el fallo más común y el más fácil de arreglar. Esa imagen se sincroniza sola con la nube personal de esa persona y sobrevive a su salida de la junta.

El grupo de WhatsApp con la lista de socios. Está en el teléfono de gente que ya no pinta nada en el club y no hay forma de retirarlo. Igual que el Excel en el Drive del expresidente.

Los campos que se pidieron «por si acaso». Profesión, estado civil, cómo nos conociste, el diagnóstico concreto. Con el socio terapéutico suele bastar acreditar que existe un informe y marcar la condición: la patología detallada es más dato del que necesitas.

La prueba son tres preguntas: para qué sirve este campo, quién lo mira y qué pasa si no está.

Cuánto tiempo se guarda cada cosa

«Para siempre» no es un plazo: es la ausencia de una decisión, y se nota en cuanto alguien pregunta.

Lo que se pide es escribir un plazo por familia de datos y que alguien lo ejecute. Un plazo que nadie ejecuta agrava el problema en vez de arreglarlo, porque demuestra que sabías lo que había que hacer.

• Contabilidad, facturas y libros. La normativa mercantil habla de seis años y la tributaria de cuatro desde el fin del plazo de declaración. Manda el más largo que te aplique.
• Libro de socios y actas. Mientras viva la asociación.
• DNI escaneado y documentación de alta. El plazo más corto que te permita defender que el alta fue correcta. Pasada la baja, fuera.
• Datos de salud. Hasta la retirada del consentimiento o la baja, salvo obligación que justifique otra cosa.
• Grabaciones de cámaras. Días, no meses.
• Comunicaciones comerciales. Hasta que la persona diga que no.

Ponlo en el calendario: una revisión al año, la semana siguiente a la asamblea, con una persona con nombre y apellidos a cargo.

Derechos del socio y el exsocio que pide que le borres

Acceso, rectificación, supresión, oposición, limitación y portabilidad. Tienes un mes para responder, y responder incluye decir que no cuando toca.

Una solicitud válida no necesita formulario: un WhatsApp al presidente diciendo «quiero que borréis mis datos» cuenta, y el plazo empieza a correr ese día. Conviene que haya una persona designada para recibirlas.

El acceso da derecho a una copia de sus datos, no al acta donde la junta discutió su expulsión ni a los datos de otros socios.

El día que un exsocio te pide por escrito que le borres es cuando descubres de cuántos sitios tienes que borrarlo.

Ese es el caso duro. Quiere desaparecer, y tú tienes tres años de movimientos de monedero suyos metidos en la caja diaria y en la contabilidad. Supresión y trazabilidad parecen incompatibles, pero no lo son si separas dos cosas.

Por un lado la identidad: nombre, DNI, domicilio, teléfono, foto, firma. Eso se anonimiza o se borra. Por otro, los apuntes económicos y de trazabilidad: movimientos, compras, arqueos. Esos se conservan desvinculados, apuntando a un socio anónimo.

La caja sigue cuadrando, el cierre de aquel viernes de marzo es el mismo y el nombre ya no está. No es un borrado masivo de filas: es una anonimización pensada de antemano. Y lo que la ley te obliga a conservar se le explica por escrito, con su base y su plazo.

Medidas de seguridad exigibles a un club pequeño

Nadie espera de una asociación un departamento de seguridad. Sí esto, dicho en cristiano.

Una cuenta por persona. La cuenta compartida con la contraseña pegada al monitor hace imposible saber quién miró qué, y cuando alguien deja la junta no puedes cerrarle la puerta sin cambiársela a todos.

Acceso por rol. Quien está en la barra necesita ver si el socio está al corriente de la cuota. No el domicilio de todos, ni los informes económicos, ni la casilla de terapéutico si su trabajo no la usa.

Cifrado y llave. En tránsito y en reposo para lo digital. Para el papel, un armario que cierre y una lista de quién tiene la llave: también es una medida y también se enseña.

Copias de seguridad restauradas alguna vez. Una copia que nunca se ha probado no es una copia, es una carpeta.

Y el día malo. Desaparece un portátil, sale un correo con doscientas direcciones en copia visible, alguien deja la carpeta de altas en modo «cualquiera con el enlace». Eso es una brecha. Se documenta siempre; se notifica a la AEPD en 72 horas cuando haya riesgo para los derechos de las personas, y se avisa a los afectados cuando el riesgo es alto. Con datos de salud de por medio, ese listón se cruza rápido.

Los dos papeles que casi nadie tiene

Cuando llega una reclamación, lo primero que se pide no es el cifrado. Son dos papeles de una tarde que casi ningún club tiene.

El registro de actividades de tratamiento

Es una tabla, no un tratado. Una fila por actividad, y a un club le salen cinco o seis: socios, cuotas y contabilidad, dispensación, comunicaciones, videovigilancia y, si hay contratados, personal.

Cada fila lleva finalidad, base jurídica, categorías de datos y de personas, a quién se ceden, plazo y medidas. Al rellenarlo aparecen solas las incoherencias: la columna que nadie sabe para qué está, el plazo que no existe, la cesión a la gestoría que nunca se documentó.

La cláusula informativa de la hoja de alta

Quien firma tiene derecho a saber, en ese momento, quién es el responsable, para qué se usan sus datos, con qué base, a quién se ceden, cuánto se conservan, cómo ejerce sus derechos y que puede reclamar ante la AEPD. En dos capas: lo esencial en la hoja, el detalle en la política de privacidad.

Añade los encargados de tratamiento —gestoría, alarma, quien te lleva el software— cada uno con su contrato firmado. Y ten presente que la situación legal de los clubes hace que un expediente de protección de datos rara vez llegue solo.

Lo que deberías poder enseñar mañana mismo

No es un plan a un año. Es lo que un club debería poder poner encima de la mesa si alguien lo pide el martes que viene.

• El inventario de dónde están los datos: sistema, cajón, carpeta compartida y móviles.
• El registro de actividades de tratamiento, con sus cinco o seis filas rellenas.
• La hoja de alta vigente, con cláusula informativa y casillas de consentimiento separadas.
• La prueba de qué consintió cada socio y cuándo, con la retirada apuntada igual que el alta.
• Los plazos de conservación por familia de datos, escritos, y la fecha de la última revisión.
• Quién tiene acceso a qué, sin cuentas compartidas y actualizado tras el último cambio de junta.
• Los contratos de encargo firmados con quien toque los datos.
• El procedimiento de una hoja para responder a un derecho y para actuar ante una brecha, con una persona a cargo.
• La última copia de seguridad restaurada, con la fecha en que se probó.

Si de esa lista tienes tres, estás donde está casi todo el mundo. Si tienes ocho, has hecho más por tus socios que cualquier declaración colgada en el tablón.