Datos comunitarios: qué verificar antes de su digitalización

Cualquier persona que coordine un proyecto social en Nicaragua —un comedor comunitario, un programa de alfabetización digital, una red de apoyo rural, una cooperativa de servicios— acaba topándose tarde o temprano con la misma duda: ¿qué hago con la información que llevo años guardando en fichas? Ese fichero de Excel con nombres, edades, teléfonos y, a veces, datos de salud lleva meses creciendo casi sin control. Casi siempre llega un momento en que alguien con buenas intenciones —una cooperante internacional, una auditoría externa, una aliada institucional— pregunta si ese fichero está "digitalizado correctamente". ¿Es suficiente haber pedido un "sí" verbal al rellenar la ficha? ¿La Ley 787 —aprobada en 2012 y vigente desde entonces— alcanza también a proyectos pequeños sin fines de lucro? La respuesta a esta última pregunta es sí, sin matices; el resto del artículo recorre los pasos prácticos para hacerlo bien.

Marco normativo: el cumplimiento de la Ley 787 y el Decreto 36-2012

La Ley N°. 787, "Ley de Protección de las Personas frente al Tratamiento de sus Datos Personales", se aprobó el 21 de marzo de 2012, junto con su Reglamento, el Decreto N°. 36-2012, del 17 de octubre del mismo año. La norma regula cualquier tratamiento de datos personales tanto en soporte físico como electrónico y exige el consentimiento expreso del titular cuando se recogen datos sensibles, financieros o patrimoniales. Conviene despejar desde el principio un malentendido frecuente: la ley no distingue entre empresas y asociaciones, ni entre ficheros grandes y pequeños. Si se tratan datos personales de personas identificadas o identificables, la Ley te aplica.

La Dirección de Protección de Datos Personales (DIPRODAP) es el organismo encargado de velar por el cumplimiento de la norma. Los ficheros que se crean deben inscribirse ante esta dirección, que dispone de 30 días para emitir su resolución y hasta 50 días hábiles para resolver las solicitudes de acción de protección que se le planteen. Para las personas titulares de los datos, la ley reconoce los Derechos ARCO —Acceso, Rectificación, Cancelación y Oposición—, que cualquier responsable del fichero está obligado a garantizar de manera efectiva.

Cuando se habla de "fichero", conviene no quedarse solo en la idea de base de datos informatizada. La definición legal es más amplia: también un conjunto organizado de fichas en papel, un cuaderno de seguimiento o una hoja de cálculo con nombres y teléfonos constituye un fichero a efectos de esta normativa. Por eso, antes de plantear una digitalización, conviene asumir con claridad que el fichero ya existe y que, ya desde ahora, obliga a respetar unas reglas mínimas.

Consentimiento informado y gestión de datos sensibles en el ámbito social

Consentir no es firmar un papel porque toca. Consentir, según el marco normativo, es hacerlo de manera libre, específica, informada y, cuando se trata de datos sensibles, de forma expresa. ¿Qué significa esto aplicado al día a día? Que cada persona debe saber para qué se usarán sus datos, durante cuánto tiempo, quién más podrá verlos y cómo puede solicitar que se borren o rectifiquen. Esta obligación se traduce en formularios que ofrezcan información clara, plazos explícitos y una firma —o registro equivalente— que pueda verificarse después.

Los datos sensibles merecen una capa adicional de cuidado. La información sobre salud, orientación sexual, ideología, afiliación, origen étnico o religión entra en esta categoría. Tratándose de proyectos comunitarios que acompañan a personas en situación de vulnerabilidad, es habitual manejar historiales clínicos, diagnósticos o situaciones socioeconómicas delicadas; cada uno de esos campos precisa un consentimiento expreso, separado del general. Lo mismo ocurre con los datos financieros o patrimoniales —ingresos, deudas, cuentas—, que requieren también consentimiento expreso y específico.

La forma del consentimiento importa tanto como su contenido. Un "autorizo" genérico que se firma al inicio de cualquier formulario no es válido para datos sensibles. Lo que se recomienda en la práctica es contar con documentos breves, escritos en lenguaje claro, que respondan a preguntas concretas: ¿qué datos personales concretos se van a tratar?, ¿con qué finalidad?, ¿durante cuánto plazo?, ¿quién más accederá?, ¿cómo se ejerce el derecho a borrar o rectificar? Esta ficha se entrega, se firma o se registra por escrito, y se conserva mientras dure el tratamiento.

Una cuestión muy práctica que rara vez abordan los manuales: ¿cómo se recoge este consentimiento en contextos donde la firma en papel resulta costosa, donde la alfabetización digital es justamente el objetivo del proyecto, o donde las personas beneficiarias tienen prisa por quedarse con su cupo? La flexibilidad es posible —se acepta un registro audiovisual del consentimiento o un cuestionario electrónico con trazabilidad— siempre que quede constancia verificable del "sí" y de qué fue exactamente lo explicado.

Una buena ficha de consentimiento no protege solo a quien firma: también te protege a ti como responsable del fichero, dejando rastro de que cumpliste con tu deber de informar.

Estrategias de minimización: recopilar solo lo estrictamente necesario

Quizá la regla más poderosa de toda la protección de datos, y la más olvidada en los formularios comunitarios, sea esta: si un dato no es necesario para el proyecto, no lo pidas. Por muy tentador que resulte disponer de un historial completo de cada persona participante, lo prudente es limitar la recogida a la información mínima indispensable. Esto se llama principio de minimización y tiene dos consecuencias muy prácticas: reduce el riesgo legal y reduce el trabajo de mantener, proteger y borrar datos.

¿Qué significa "mínimo indispensable" en términos operativos? Significa que, antes de añadir un campo a una hoja de cálculo o una pregunta a un formulario de inscripción, conviene hacerse tres preguntas concretas: ¿para qué me sirve este dato?, ¿qué decisión tomaré gracias a él?, ¿qué pasaría si no lo tengo? Si alguna de las tres respuestas no es útil, el campo sobra. Esta sencilla disciplina transforma los proyectos sociales, que a menudo acumulan información por inercia o por miedo a necesitarla más adelante.

Los errores más frecuentes cuando se recogen datos en proyectos comunitarios son dos y, curiosamente, están conectados: recopilar información personal que no se necesita para el proyecto y decidir unilateralmente qué se digitaliza sin contar con la comunidad. Ambos rozan la ilegalidad, pero, sobre todo, rompen la confianza. Quienes ceden datos personales a un proyecto comunitario esperan ser tratadas como interlocutoras, no como simples fichas en una hoja de cálculo.

Otro aspecto ligado a la minimización es la calidad de las herramientas. Cuando se diseña un formulario para personas con poca experiencia digital o con prisa, las interfaces importan mucho. Una hoja de cálculo plagada de columnas obligatorias termina recogiendo datos mal escritos o inventados; un cuestionario con instrucciones claras y secciones opcionales bien señaladas mejora la calidad de la información y reduce la tentación de completarlo mal. Limitar los indicadores a un mínimo estricto y diseñar herramientas de recopilación ergonómicas y simplificadas es una inversión que evita problemas posteriores.

A continuación, una tabla sencilla con el nivel de protección que corresponde a cada tipo de dato, porque en la práctica la pregunta siempre es la misma: ¿este dato qué categoría tiene y qué consentimiento exige?

Protocolos de seguridad técnica y gobernanza participativa

Cuando una organización decide digitalizar su fichero, debe plantearse en paralelo dos cosas: cómo proteger técnicamente la información y cómo organizar la toma de decisiones sobre ella. Ambos planos están reconocidos en el marco legal nicaragüense. Por un lado, el principio de seguridad obliga a los responsables de los ficheros a implementar medidas técnicas y organizativas proporcionales a sus operaciones, con el fin de asegurar la confidencialidad, la integridad y la disponibilidad de los datos. Por el otro, la buena práctica —y la que mejor previene conflictos futuros— es construir una gobernanza participativa donde las personas titulares de los datos tengan voz sobre qué se recoge, para qué y durante cuánto tiempo.

En el plano técnico, "proporcional" es la palabra clave. Un proyecto pequeño con veinte beneficiarias no necesita el mismo dispositivo que un ministerio. Pero sí necesita, como mínimo, contraseñas robustas por usuaria, dispositivos cifrados cuando se trabaje con portátiles extraíbles, copias de seguridad periódicas y una lista clara de quién accede y desde dónde. Llevar un cuaderno sencillo donde se registren los accesos —quién abrió la base y cuándo— cuesta poco y vale mucho. El objetivo es que, ante cualquier incidente, se pueda responder con nombres y fechas.

En el plano organizativo, la gobernanza participativa se traduce en decisiones compartidas: ¿qué información adicional merece recogerse?, ¿qué metodología de seguimiento —cualitativa, cuantitativa o mixta— refleja mejor la realidad del proyecto?, ¿qué indicadores serán públicos y cuáles permanecen internos?, ¿qué plazo de conservación resulta aceptable para las personas titulares? Cuando la evidencia se construye combinando datos cuantitativos —porcentajes, alcance, número de asistentes— con datos cualitativos —entrevistas, testimonios, observación participante— y las prioridades se definen de forma conjunta con las personas beneficiarias, la calidad del proyecto sube y la dependencia de datos sensibles baja.

Una herramienta concreta: definir un protocolo interno por escrito, con plazos. Por ejemplo, "los datos personales se conservarán durante un año tras la baja de la persona beneficiaria; pasado ese plazo se procede a su anonimización o eliminación". Este protocolo no necesita ser complejo, pero debe existir, ser conocido por el equipo y revisarse periódicamente. La privacidad no es solo una capa técnica: es, sobre todo, una decisión organizativa sostenida en el tiempo.

La privacidad se protege mejor cuando se comparte: incluir a la comunidad en las decisiones sobre qué se digitaliza reduce errores y mejora la pertinencia de la información que finalmente se recoge.

Responsabilidades legales en el manejo de datos de menores y voluntarios

Cuando en un proyecto comunitario hay personas menores de edad —y son muchas las iniciativas nicaragüenses que las atienden—, entran en juego obligaciones específicas. La normativa nacional obliga a que todos los adultos que mantengan contacto habitual con menores presenten el certificado negativo de delitos de naturaleza sexual. Este documento, con vigencia limitada, debe formar parte del expediente de cada persona que ejerza tareas educativas, formativas o de acompañamiento. Contar con él no es un requisito decorativo: es la salvaguarda mínima que la ley espera, y su ausencia puede bloquear una colaboración en cualquier momento.

Paralelamente, cualquier persona que se incorpore como voluntaria a un proyecto social debe firmar un acuerdo de incorporación en el que se regulen derechos y deberes, y se formalice el carácter no remunerado de la actividad. Idealmente, este acuerdo se renueva una vez al año. Este documento cumple dos funciones: por un lado, encuadra la relación dentro del derecho y, por otro, deja constancia de que la persona voluntaria ha sido informada de las normas internas, entre ellas el manejo confidencial de la información que conocerá sobre las personas beneficiarias del proyecto.

Cuando los datos son de menores, además, se aplican criterios reforzados tanto en la minimización como en la protección del fichero. Por ejemplo, resulta prudente no recoger fotografías identificativas si no se cuenta con consentimiento expreso del representante legal y, aun teniéndolo, restringir su uso a los fines expresamente declarados —memoria del proyecto, página web institucional, publicación en redes— y no a otros no previstos. Cada uso ampliado requiere nueva autorización, un detalle fácil de olvidar en el día a día de quienes gestionan contenidos.

También conviene revisar cómo se manejan los canales de comunicación con las familias: los números de teléfono de progenitores o tutores son datos personales, y su uso para envíos masivos, recordatorios o felicitaciones está cubierto por la obligación general de informar y, en muchos casos, requerir consentimiento expreso. Una práctica sencilla pero eficaz es mantener un registro diferenciado para cada canal —mensajería móvil, correo electrónico, llamadas— y dejar constancia de en cuáles se ha pedido consentimiento y para qué fines.

Lista de verificación para una digitalización responsable

Antes de pasar del papel a la base de datos —o de iniciar cualquier tratamiento nuevo de un fichero comunitario—, conviene repasar este listado de comprobaciones. No es exhaustiva, pero cubre lo esencial para empezar con buen pie.

1. Identifica el fichero y anota qué datos contiene, qué finalidad tiene y durante cuánto plazo se conservarán.

2. Comprueba que cada dato responde a una necesidad real del proyecto; elimina los campos que no sirvan para tomar decisiones concretas.

3. Prepara una ficha de consentimiento breve, clara y separada, especialmente para los datos sensibles.

4. Recoge el consentimiento de manera verificable —firmado, registrado o documentado— antes de introducir cualquier dato en el sistema.

5. Define quién accede y desde dónde; aplica contraseñas robustas y, si usas dispositivos móviles, cifrado de disco.

6. Diseña una copia de seguridad periódica con lugar seguro y rotación verificable.

7. Establece un plazo de conservación y un procedimiento claro de borrado o anonimización al finalizarlo.

8. Documenta un protocolo básico de respuesta ante pérdida o robo de dispositivos.

9. Incluye a las personas beneficiarias en las decisiones sobre qué se recoge y por qué.

10. Si hay menores, exige el certificado negativo de delitos sexuales a las personas adultas con contacto habitual y consentimiento expreso de sus representantes.

11. Si hay voluntariado, firma o renueva el acuerdo de incorporación anualmente e incluye cláusulas de confidencialidad.

Digitalizar un fichero comunitario no debería vivirse como una amenaza, sino como una oportunidad para ordenar una práctica que muchas veces ya existía, solo que dispersa en carpetas, cuadernos y memorias colectivas. Cumplir la Ley 787 desde el inicio no requiere grandes inversiones, sino intención: planificar qué se recoge, explicar por qué, protegerlo con medios razonables e involucrar a la comunidad en las decisiones. Lo que se protege al hacerlo así es, en realidad, la confianza que las personas depositan al participar en un proyecto. Esa confianza, una vez perdida por un mal manejo de datos, cuesta mucho más reconstruir que cualquier carpeta en buen estado. La transformación digital en estos contextos no es una opción pendiente: ya está ocurriendo en las conversaciones, en los grupos de mensajería, en las hojas compartidas. La decisión razonable no es si digitalizar, sino cómo hacerlo con cuidado, con método y con la mirada puesta en las personas que confían sus datos a una iniciativa que les parece, con razón, importante.