Datos de donantes y privacidad: las reglas que aplican a la recaudación

Esta guía es para quien lleva su lista de donantes, envía sus correos de recaudación o elige su base de datos de donantes. Los registros de donantes guardan nombres, direcciones, historial de donativos y a veces notas sobre la familia, la salud o el patrimonio. Los donantes se los confían, y cada vez más leyes dicen cómo deben manejarse. Al terminar, sabrá qué leyes estatales de privacidad cubren a las organizaciones sin fines de lucro y cuáles no, qué significan las reglas federales de CAN-SPAM para los correos de recaudación y qué hábitos le mantienen del lado correcto de ambas.

Nuestra guía sobre privacidad de datos básica cubre los hábitos generales para toda la información que guarda su organización. Esta guía se centra en los donantes y la recaudación.

Leyes estatales de privacidad: algunas cubren a las organizaciones sin fines de lucro y otras no

No hay una sola ley federal de privacidad para las organizaciones benéficas. En cambio, cada vez más estados tienen leyes integrales de privacidad del consumidor que dan a sus residentes derechos sobre sus datos personales, como ver, corregir y borrar sus datos y negarse a su venta. Que apliquen a su organización depende del estado, de si la ley exenta a las organizaciones sin fines de lucro y de cuántas personas tiene en sus registros.

Lo que importa es dónde viven las personas de sus registros, no solo dónde tiene su sede su organización. Estos son cinco ejemplos, cada uno tomado de la ley del estado o de su fiscal general:

En Colorado, Oregón y Delaware, la ley además solo se aplica si usted hace negocios en el estado u ofrece productos o servicios a sus residentes (o dirigidos a ellos). La mayoría de las organizaciones pequeñas están muy por debajo de estos umbrales. Pero las cifras más bajas de Delaware, sobre todo desde 2027, podrían alcanzar a una organización con una lista de correo grande allí, y otros estados han aprobado o están aprobando leyes parecidas con sus propias reglas. Revise la ley de cada estado donde tenga muchos registros de donantes, y consulte a un abogado si está cerca de un umbral.

Correos de recaudación y CAN-SPAM

La ley federal CAN-SPAM cubre los correos cuyo "primary purpose" (propósito principal) es la publicidad o promoción comercial de un producto, servicio o sitio web. La Comisión Federal de Comercio (FTC) la hace cumplir, y su guía dice que "la ley no hace ninguna excepción para el correo entre empresas". La guía de la FTC no dice cómo trata la ley a las organizaciones sin fines de lucro ni a una simple petición de donativos, así que no suponga que su correo queda fuera. Los correos que promueven la venta de entradas, mercancía o el producto de un patrocinador son los que más probablemente cuentan como comerciales. Lo más sencillo es seguir las reglas en todos los correos de recaudación.

Según la guía de cumplimiento de la FTC:

• Los encabezados deben ser exactos. "De", "Para" y "Responder a" deben identificar quién envía.
• El asunto no debe engañar.
• Identifique un anuncio como anuncio, si el mensaje lo es.
• Incluya una dirección postal válida.
• Ofrezca una forma clara de darse de baja, y manténgala funcionando al menos 30 días después de enviar.
• Respete las bajas en un plazo de 10 días hábiles.
• Usted responde por sus proveedores. Contratar un servicio de correo no traslada la obligación legal.

La FTC dice que cada correo que infrinja la ley puede traer multas de hasta $53,088. Los mensajes transaccionales o de relación, como un recibo que confirma un donativo, están en gran parte exentos, pero la FTC interpreta esa categoría de forma estricta. Un recibo que empieza con una promoción de ventas se trata como comercial.

Nuestra guía sobre boletines por correo electrónico explica cómo crear una lista con consentimiento y usar un servicio de correo adecuado.

Compartir, alquilar o intercambiar su lista

Algunas organizaciones alquilan o intercambian listas de donantes para encontrar nuevos donantes. Antes de hacerlo:

• Revise lo que prometió. Su aviso de privacidad y sus páginas de donación deciden lo que puede hacer.
• Revise la ley estatal. En los estados cuyas leyes de privacidad cubren a las organizaciones sin fines de lucro, alquilar o intercambiar una lista puede contar como una "venta" de datos personales, y la ley de Oregón, por ejemplo, da a las personas el derecho de negarse a la venta de sus datos. Consulte a un abogado antes de empezar.
• Ofrezca una opción. Si comparte algo, permita que los donantes se den de baja fácilmente, y respételo.

Muchas organizaciones pequeñas simplemente prometen no vender, alquilar ni intercambiar nunca su lista. Es la promesa más fácil de cumplir.

Investigación de posibles donantes y notas

Buscar información pública sobre posibles donantes importantes es común. Hágalo con respeto:

• Use solo información pública y pertinente, como registros públicos de donativos o cargos en juntas. No anote rumores ni detalles privados.
• Escriba las notas como si el donante pudiera leerlas, porque en algunos estados puede tener derecho a pedirlas.
• Limite el acceso. No todos los voluntarios necesitan ver el historial de donativos ni las notas de investigación.
• Borre lo que ya no necesite. Las notas viejas son un riesgo, no un activo.

Un aviso de privacidad para donantes

Ponga un aviso de privacidad breve y sencillo en su sitio web y enlácelo desde cada formulario de donación. Diga:

• qué información de los donantes recoge y por qué
• cómo la usa (cartas de agradecimiento, recibos, noticias, peticiones)
• con quién la comparte (por ejemplo, su procesador de pagos y su servicio de correo) y si alguna vez la vende, alquila o intercambia
• cómo pueden los donantes darse de baja de los envíos, actualizar sus datos o preguntar qué información tiene
• cómo la protege y cuánto tiempo la guarda
• a quién contactar con preguntas

Revíselo cada año, y siempre que cambie de sistemas o empiece un nuevo tipo de recaudación.

Solicitudes de los donantes

Aunque ninguna ley lo exija, responda pronto cuando un donante pida:

• dejar de recibir correo, correos electrónicos o llamadas: anótelo en su base de datos el mismo día
• ver lo que tiene sobre él
• corregir sus datos
• ser eliminado: borre lo que pueda, y conserve solo lo que deba para registros fiscales y contables, como cantidades y fechas de los donativos

Lleve un registro sencillo de las solicitudes y de lo que hizo.

Si se exponen datos de donantes

Los estados tienen sus propias leyes sobre avisar a las personas cuando su información personal queda expuesta en una brecha de seguridad. Si se pierden o roban datos de donantes, siga los pasos de nuestra guía sobre privacidad de datos básica y la ley de notificación de su estado, y vea ciberseguridad básica para evitar que vuelva a pasar.

Lista de verificación de privacidad de donantes

• Sabemos en qué estados viven la mayoría de nuestros donantes y revisamos las leyes de privacidad de esos estados
• Nuestros formularios de donación enlazan a un aviso de privacidad para donantes breve y sencillo
• Hacemos lo que promete nuestro aviso, incluso sobre compartir listas
• Los correos de recaudación tienen un remitente exacto, un asunto honesto, dirección postal y una forma de darse de baja que funciona
• Respetamos las bajas en un plazo de 10 días hábiles
• La investigación de posibles donantes usa solo información pública y pertinente, y las notas son respetuosas
• El acceso a los registros completos de donantes se limita a quienes lo necesitan
• Registramos y respondemos las solicitudes de los donantes para dejar de contactarlos, ver, corregir o eliminar sus datos