Introduzione: Perché donatore sicurezza dei dati e la privacy Matter Più che mai

Le organizzazioni caritatevoli operano su una base di fiducia. I sostenitori danno non solo i loro soldi, ma anche i loro dati personali – nomi, indirizzi, contatti e-mail, numeri di telefono e dettagli finanziari come numeri di carta di credito o dati di conto bancario. Una singola violazione dei dati o violazione della privacy in grado di frantumare quella fiducia in pochi secondi, portando a attrito donatore, copertura media negativa e anche ammende regolamentari che minacciano la stabilità finanziaria dell'organizzazione.

Negli ultimi anni, l'ambiente normativo che circonda la protezione dei dati è cresciuto significativamente più severo.Le leggi come il Regolamento generale sulla protezione dei dati dell'Unione Europea (GDPR), la legge sulla privacy dei consumatori della California (CCPA), e gli statuti simili in altre giurisdizioni impongono obblighi chiari su come non profit raccolgono, memorizzano, trattano e condividono i dati personali.

Questo articolo fornisce una guida completa alle best practice per la sicurezza dei dati e la privacy dei donatori nelle organizzazioni caritative, che copre l'importanza critica di salvaguardare le informazioni sensibili, le misure di azione dettagliate per la gestione della sicurezza e della privacy, il paesaggio legale ed etico e raccomandazioni attuabili che qualsiasi no profit, indipendentemente dalle dimensioni o dal budget, può implementare.

Comprendere l'importanza della sicurezza dei dati per i non profit

I tipi di dati del donatore a rischio

I dati del donatore vanno ben oltre un semplice nome e indirizzo email. Le organizzazioni caritative tipicamente tengono più categorie di informazioni personali identificabili (PII):

  • Informazioni relative al contatto:[ Nome completo, indirizzo di casa, numero di telefono, indirizzo email.
  • Dati finanziari:[[] Numeri di carta di credito, informazioni sul conto bancario, storie sulle transazioni, dettagli del regalo ricorrenti.
  • Dati demografici e comportamentali:[ Età, fascia di reddito, storia delle donazioni, presenze degli eventi, preferenze di comunicazione, partiture di impegno, e anche affiliazioni politiche o religiose che potrebbero essere deferite dal dare modelli.
  • Informazioni sensibili o di salute:[ In caso di raccolta fondi o soccorso di emergenza, le organizzazioni possono contenere dati sanitari o altre categorie particolari di dati che richiedono una maggiore protezione.

Questa raccolta di dati è un tesoro per i cybercriminali. I record di donatori rubati possono essere utilizzati per furto di identità, frode di carta di credito, attacchi di phishing, o venduti sui mercati web scuri. Secondo Verizon Data Breach Investigations Report (DBIR), il settore non profit non è immune; mentre non come spesso mirato come finanza o sanità, l'impatto di una violazione su una piccola o media carità può essere devastante a risorse per il recupero.

Conseguenze dei dati Breaches e violazioni della privacy

La caduta da una protezione dei dati inadeguata può assumere diverse forme:

  • Danni di reputazione:[] Notizie di una violazione dei dati erodono fiducia donatore istantaneamente. Uno studio del 2022 della Better Business Bureau's Wise Giving Alliance ha scoperto che il 60% dei donatori ha detto che avrebbero smesso di dare a un'organizzazione che ha subito una violazione dei dati che riguardava le loro informazioni personali.
  • Penalità legali e regolamentari:[ In base al GDPR, le ammende possono raggiungere fino al 4% del fatturato globale annuale o 20 milioni di euro (qualunque sia la maggiore). Le violazioni CCPA portano sanzioni fino a $7,500 per violazione intenzionale. Anche se non sono imposte le ammende, il costo di indagine, notifica e contenzioso può essere sostanziale.
  • Disruzione operativa:[[] Gli attacchi ransomware o i compromessi di sistema possono bloccare le organizzazioni dai propri database, fermare le campagne di raccolta fondi e richiedere settimane di downtime per ripristinare i sistemi.
  • Donor Churn e Ridotto Dando:[[] Una violazione porta spesso alla cancellazione immediata di donazioni ricorrenti, perdita di regali importanti, e difficoltà ad acquisire nuovi sostenitori.

Data queste partecipazioni, l'investimento proattivo nella sicurezza dei dati donatori non è un lusso, è un requisito operativo fondamentale per qualsiasi organizzazione caritativa che spera di sostenere relazioni a lungo termine con la sua comunità.

Migliori Pratiche per la sicurezza dei dati donatori

La sicurezza si concentra sulla protezione dei dati da accessi non autorizzati, alterazioni, distruzione o divulgazione.Le seguenti pratiche formano una linea di base che ogni carità dovrebbe adottare, indipendentemente dalle competenze tecniche.

1. Implement Strong Password Politiche e autenticazione multi-factor

Richiedere dipendenti e volontari per utilizzare password complesse e uniche per ogni sistema che accede ai dati donatori. Le password dovrebbero essere lunghe almeno 12–16 caratteri, includono un mix di lettere maiuscole e minuscole, numeri e simboli, e non essere mai riutilizzato attraverso piattaforme.

L'autenticazione a fattori multifunzionali (MFA) aggiunge un ulteriore livello di sicurezza richiedendo una seconda forma di verifica, come un codice di una volta inviato a un telefono, una scansione biometrica, o un token hardware facile.

Risorsa esterna:[ Per una guida dettagliata sulle politiche delle password, vedere il [NIST Cybersecurity Framework e le raccomandazioni della password di accompagnamento nella Pubblicazione speciale NIST 800-63B.

2. Crittografare i dati a riposo e in transito

La crittografia assicura che anche se un partito non autorizzato acquisisce l'accesso alla memorizzazione dei dati o intercetta i dati in movimento, le informazioni rimangono illeggibili senza la chiave di decrittazione corretta.

  • La crittografia a riposo:[] Tutti i database donatori, i file di backup, i fogli di calcolo e i record di archiviazione devono essere crittografati utilizzando algoritmi forti come AES-256. La maggior parte dei moderni sistemi di database (ad esempio, MySQL, PostgreSQL) e servizi cloud (AWS, Azure, Google Cloud) offrono funzionalità di crittografia integrate che possono essere attivate con una configurazione minima.
  • Crittografia in transito:[] Utilizzare SSL/TLS (Transport Layer Security) per tutti i dati relativi al traffico web che comportano moduli di donazione, portali dei donatori o interfacce amministrative. Assicurarsi che il certificato del tuo sito sia valido e aggiornato.

Anche se la tua organizzazione utilizza un processore di pagamento di terze parti, qualsiasi informazione donatrice che passa attraverso i tuoi sistemi dovrebbe essere trasmessa su canali crittografati.

3. Tenere aggiornato il software e i sistemi

I cybercriminali sfruttano frequentemente le vulnerabilità note nel software obsoleto. Stabilire un programma di gestione regolare di patch per il sistema di gestione donatore, il sistema di gestione dei contenuti, i sistemi operativi, i firewall e tutti i plugin o le integrazioni di terze parti.

I sistemi legacy, specialmente quelli basati su database personalizzati o versioni vecchie di CRM popolari, sono particolarmente rischiosi. Se la vostra organizzazione si basa ancora su software che non riceve più aggiornamenti di sicurezza, priorità di migrazione a una piattaforma supportata.

4. Limitare l'accesso ai dati del donatore utilizzando il principio di minimo privilegio

Non tutti i dipendenti o volontari hanno bisogno di accedere a tutti i dati del donatore. Implementare il controllo di accesso basato sul ruolo (RBAC) per limitare l'accesso dei dati a solo coloro che lo richiedono per svolgere le loro specifiche funzioni di lavoro.

  • Il personale di raccolta fondi potrebbe essere necessario per visualizzare informazioni di contatto del donatore e dare la storia, ma non i numeri di carta di credito completo.
  • Il personale finanziario può avere bisogno di accedere ai record di transazioni, ma non di indirizzi personali o di note di fidanzamento.
  • Gli intern o il personale temporaneo dovrebbero avere accesso solo in lettura o autorizzazioni a tempo limitato.

I registri di accesso per rilevare attività insolite, come ad esempio il download di un dipendente di grandi volumi di dati al di fuori delle normali ore di lavoro. I processi di provisioning e de-provisioning degli utenti devono essere automatizzati: quando un membro del personale lascia l'organizzazione o cambia i ruoli, i loro diritti di accesso devono essere revocati o regolati immediatamente.

5. Utilizzare gateway di pagamento sicuri e Comply con PCI DSS

Se l'organizzazione accetta donazioni di carta di credito, online, per telefono o di persona, è necessario rispettare lo standard di sicurezza dei dati dell'industria della carta di pagamento (PCI DSS). Questo insieme di 12 requisiti disciplina come i dati del titolare della carta vengono gestiti, memorizzati e trasmessi.

  • Non memorizzare i numeri di carta di credito completo, i codici CVV o i dati di striscia magnetica dopo che una transazione è autorizzata.
  • Utilizzando tokenizzazione o crittografia per sostituire i dati sensibili delle carte con equivalenti non sensibili.
  • Contraente con un processore di pagamento conforme al PCI (ad esempio, Stripe, PayPal, Braintree, o processori non profit specializzati come Donorbox o GiveWP).
  • Condurre autovalutazioni annuali o scansioni di vulnerabilità come richiesto dalla banca di acquisizione.

Molti non profit possono ridurre il loro carico di conformità PCI utilizzando un gateway di pagamento di terze parti che gestisce i dati della carta direttamente, in modo che la carità non tocca mai o memorizza i numeri di carta piena. Tuttavia, anche con questo modello, l'organizzazione deve ancora garantire il suo sito web e la rete.

Risorsa esterna:[] Scopri di più sui requisiti PCI DSS per le piccole imprese e non profit al Sito ufficiale del Consiglio di Sicurezza di PCI[].

Migliori Pratiche per la gestione della privacy

Mentre la sicurezza si concentra sui controlli tecnici, la privacy affronta come i dati dei donatori vengono raccolti, utilizzati, condivisi e conservati, e come i donatori vengono informati e controllati sulle loro informazioni.

1. Sviluppare una chiara e accessibile Informativa sulla privacy

Ogni organizzazione caritativa dovrebbe avere una politica scritta sulla privacy che spiega:

  • Quali tipi di dati del donatore vengono raccolti (ad esempio, nome, recapiti, informazioni di pagamento, comportamento di navigazione se vengono utilizzati i cookie).
  • Come vengono raccolti i dati (formazioni online, eventi offline, fonti di terze parti).
  • Le finalità per le quali vengono utilizzati i dati (trattamento delle donazioni, invio di ricevute, comunicazioni di marketing, analisi).
  • Se i dati sono condivisi con terze parti (ad esempio, processori di pagamento, piattaforme di email marketing, servizi di analisi dei dati) e in quali condizioni.
  • Quanto tempo vengono conservati i dati e come i donatori possono richiedere la cancellazione.
  • Diritti dei donatori ai sensi delle leggi applicabili (ad esempio, diritto di accesso, rettifica, cancellazione o di immissione dei loro dati; diritto di optare per la vendita/condivisione).
  • Contattare le informazioni per le richieste di privacy.

La politica dovrebbe essere posta in primo piano sul tuo sito web (tipicamente in piè di pagina), scritto in lingua normale, e tenuto aggiornato come le pratiche di dati si evolvono.

2. Ottenere il consenso esplicito per la raccolta e il trattamento dei dati

In base a molte normative sulla privacy, il consenso deve essere liberamente dato, specifico, informato e non ambiguo, il che significa che le caselle pre-controllate o il consenso implicito di una transazione di donazione non sono più sufficienti per scopi di marketing.

  • Utilizzando checkbox opt-in (non opt-out) per newsletter e-mail, aggiornamenti SMS, o la condivisione dei dati con le organizzazioni partner.
  • Fornire scelte granulari, ad esempio, lasciando ai donatori selezionare quali tipi di comunicazioni desiderano ricevere.
  • Chiaramente affermando lo scopo della raccolta dei dati al punto di cattura (ad esempio, “Usiamo la tua email per inviare la ricevuta fiscale e gli aggiornamenti occasionali sul nostro lavoro – puoi annullare l'iscrizione in qualsiasi momento”).
  • Registrazione e memorizzazione di prove di consenso (ad esempio, timestamp, indirizzi IP e testo di consenso mostrato) in modo da poter dimostrare la conformità se verificata.

Per i donatori esistenti che sono stati a bordo prima che la vostra organizzazione abbia adottato pratiche di consenso robuste, consideri una campagna di ri-consenso per portare il vostro database in conformità.

3. Pratica di Minimizzazione dei dati

Raccogliere solo le informazioni che sono effettivamente necessarie per gli scopi che hai identificato. Se non hai bisogno di una data di nascita del donatore, numero di telefono, o occupazione per elaborare un regalo, non lo richiedi. La minimizzazione dei dati riduce il potenziale danno di una violazione e semplifica la conformità con gli obblighi di ritenzione e cancellazione.

Verificare i moduli di donazione, le pagine di registrazione degli eventi e le domande di volontario periodicamente per eliminare i campi non necessari. Utilizzare la logica condizionale per mostrare i campi facoltativi solo quando pertinenti. Ad esempio, chiedere informazioni del datore di lavoro solo se il donatore indica che sono interessati ai regali di corrispondenza del datore di lavoro.

4. Stabilire la conservazione dei dati e le politiche di smaltimento sicure

Sviluppare un programma di conservazione che definisce il tempo di conservazione di ogni categoria di dati in base alle esigenze operative e alle esigenze legali.

  • I registri delle transazioni possono essere conservati per 7 anni (per finalità fiscali).
  • I dati di impegno di marketing (ad esempio, i tassi di apertura e-mail) potrebbero essere conservati per 3 anni.
  • I profili donatori inattivi (non sono attività per 5 anni) possono essere archiviati o cancellati.

Quando i dati raggiungono la fine del suo periodo di conservazione, deve essere smaltito in modo sicuro. La cancellazione semplice non è sufficiente: dischi rigidi e backup possono ancora essere recuperabili. Utilizzare strumenti di file-shredding per i file digitali (ad esempio, software che sovrascrive i dati più volte) e servizi di smisuramento fisico per i record di carta.

5. Allena tutto lo staff e i volontari sulla privacy e sulla sicurezza

I controlli tecnologici sono efficaci solo come quelli che li usano. Errore umano, come fare clic sui collegamenti di phishing, lasciando i record di donatori visibili sugli schermi sbloccati, o la condivisione delle password, rimane la causa principale degli incidenti di dati.

  • Come riconoscere tentativi di phishing, ingegneria sociale e e-mail sospette.
  • Gestione corretta dei dati del donatore: non discutere informazioni del donatore in luoghi pubblici, non inviare fogli di calcolo non crittografati via e-mail, bloccare le workstation quando non sono presi in considerazione.
  • Procedure per la segnalazione di violazioni dei dati sospetta o di incidenti sulla privacy.
  • Comprensione delle leggi sulla privacy relative alla vostra giurisdizione.

La formazione dovrebbe avvenire su noleggio e almeno ogni anno dopo. Fornire esempi e quiz reali per rafforzare l'apprendimento. Incoraggiare una cultura in cui il personale si sente a proprio agio a segnalare errori senza paura di ritribuzione - la segnalazione precoce può limitare i danni da una violazione.

Considerazioni giuridiche ed etiche

Le principali leggi sulla protezione dei dati che riguardano le organizzazioni caritative

A seconda di dove opera la vostra organizzazione o dove risiedono i vostri donatori, possono applicare più leggi.

  • GDPR (Unione Europea):[] Riguarda qualsiasi organizzazione che elabora i dati personali degli individui nell'UE, indipendentemente dalla posizione dell'organizzazione. Richiede fondamento legale per il trattamento, la notifica obbligatoria della violazione entro 72 ore, la valutazione dell'impatto sulla protezione dei dati per attività ad alto rischio e la nomina di un Responsabile della protezione dei dati (DPO) in alcuni casi.
  • CCPA/CPRA (California, USA):] Sovvenziona i diritti dei residenti della California per sapere quali dati personali sono raccolti, cancellarli, optare per la sua vendita, e per non discriminazione per l'esercizio di questi diritti. Mentre i non profit sono attualmente esenti da parti di CCPA, il procuratore generale della California ha segnalato che le organizzazioni caritative che detengono i dati dei donatori dovrebbero adottare come standard simili.
  • PIPEDA (Canada):[] Richiede un consenso significativo, una minimizzazione dei dati e una responsabilità per la protezione dei dati.
  • Altre leggi statali:[] CDPA di Virginia, CPA del Colorado, CTDPA del Connecticut, e altri stanno espandendo il patchwork delle normative sulla privacy degli Stati Uniti.

La comprensione delle leggi applicabili alla vostra organizzazione è complessa, è consigliabile consultare un legale specializzato nella privacy o nella legge non profit per condurre un audit di conformità.

Risorsa esterna:[] Per una panoramica dettagliata delle leggi sulla privacy degli Stati Uniti, visitare il [IAPP US State Privacy Legislation Tracker.

Etica Data Stewardship oltre la conformità

La conformità con la lettera della legge è il minimo. La gestione dei dati etici significa andare oltre a rispettare l'autonomia dei donatori e costruire relazioni a lungo termine.

  • Trasparenza per impostazione predefinita:[] Informare i donatori in modo attivo su come i loro dati saranno utilizzati, anche se non legalmente richiesto. Ad esempio, se si condivide il profilo donatore con altri non profit, divulgare questo chiaramente e offrire un opt-out.
  • Rispettare le preferenze dei donatori:[] Opt-out di comunicazione onori prontamente (entro 10 giorni lavorativi è uno standard comune).
  • Valutazioni di impatto sulla privacy:[] Prima di lanciare una nuova campagna di raccolta fondi, piattaforma tecnologica o partnership per la condivisione dei dati, condurre una valutazione dell'impatto sulla privacy per identificare i potenziali rischi per donare la privacy e mitigarli in anticipo.
  • Portabilità dei dati:[[] Permettere ai donatori di scaricare una copia dei loro dati su richiesta, che favorisce la buona volontà e si allinea allo spirito di proprietà dei dati.

La gestione etica dei dati donatori non è solo l'evitare le ammende, ma è la dimostrazione che la vostra organizzazione valorizza le persone che serve come partner nella missione, non solo le fonti di reddito.

Conclusione: Costruire una cultura della sicurezza e della privacy

La sicurezza e la privacy dei dati donatori non sono progetti a tempo unico; sono impegni in corso che richiedono un'attenzione continua, un investimento e un adattamento a nuove minacce e cambiamenti normativi. Le organizzazioni caritatevoli che incorporano queste pratiche nelle loro operazioni quotidiane - attraverso forti controlli tecnici, politiche trasparenti, formazione regolare e decisionali etici - non solo si proteggeranno dal male ma anche rafforzano la fiducia che è vitale per la loro missione.

Condurre un inventario dei dati per capire quali informazioni di donatore si tengono e dove vive. Eseguire una valutazione del rischio per identificare le vulnerabilità più critiche. Esecuzione delle pratiche descritte in questa guida, priorità delle aree di rischio più elevate (come il pagamento e l'accesso remoto). Documentare le politiche e le procedure per iscritto, e rivederle almeno ogni anno.

Nessuna organizzazione può eliminare tutti i rischi, ma prendendo misure deliberate e informate, è possibile ridurre significativamente la probabilità e l'impatto di un incidente dati. Lo sforzo che investi oggi nel garantire i dati dei donatori pagherà dividendi in fiducia dei donatori sostenuti, conformità normativa e la salute a lungo termine della vostra organizzazione caritativa.

Risorsa esterna:[] Per ulteriori indicazioni sulla creazione di un piano di sicurezza dei dati non profit, fare riferimento alle risorse Cybersecurity and Infrastructure Security Agency (CISA) per le piccole organizzazioni[[]].