¿Qué es el RGPD? Guía sobre protección de datos en la UE

Si tu empresa recopila, usa o realiza un seguimiento de los datos personales de los ciudadanos de la UE, se le aplica el Reglamento General de Protección de Datos (GDPR, por sus siglas en inglés). No importa en qué lugar esté registrada tu empresa, ya que esta ley europea de privacidad tiene un alcance internacional y se encuentra en proceso de transformar la manera en que las empresas gestionan la información personal.

Se adoptó en 2016 y entró en vigor en mayo de 2018. El GDPR establece normas claras sobre lo que se consideran datos personales, cómo se pueden usar y qué derechos tienen las personas sobre sus datos.

Esta guía explica qué es el GDPR, a quién se le aplica y qué deben saber las empresas para cumplir la normativa.

¿Qué es el GDPR en términos sencillos?

El GDPR es una ley de privacidad de la Unión Europea que protege los datos personales de las personas en la UE. Aquí se incluye cualquier información que pueda identificar a alguien directa o indirectamente, como nombre, dirección de correo electrónico, dirección IP o cookies.

El GDPR les otorga a los ciudadanos un mayor control sobre sus datos y les exige a las empresas que traten estos datos de forma justa, que expliquen por qué los recopilan y que los mantengan seguros. Entró en vigor el 25 de mayo de 2018 para sustituir a las antiguas normas de la UE en materia de datos.

Por qué se introdujo el GDPR

Antes del GDPR, la protección de datos en la UE se basaba en la Directiva de Protección de Datos de 1995. En aquel entonces, Internet era algo nuevo y las empresas gestionaban muchos menos datos personales. A medida que la tecnología avanzaba y los servicios en Internet se convertían en lo cotidiano, quedó claro que esas reglas se habían quedado obsoletas

En 2012, la Comisión Europea propuso una nueva legislación para reforzar los derechos de privacidad y adaptarse a la economía digital. Tras varios años de debate, el GDPR se adoptó en 2016 y entró en vigor en 2018.

A diferencia de la directiva anterior, se aplica directamente en todos los países de la UE, establece normas coherentes y otorga a las personas derechos más sólidos sobre su información personal.

La privacidad es más importante que nunca en un mundo conectado y las leyes como el GDPR están diseñadas para devolverles a los usuarios el control sobre sus datos.

A quién se le aplica el GDPR

El GDPR se aplica a cualquier empresa que recopile, use o almacene datos personales de personas en la UE, independientemente de si la empresa está registrada dentro o fuera del Espacio Económico Europeo (EEE). La ley se rige por los datos, no por la ubicación de la empresa.

El reglamento define dos funciones clave:

• Responsable del tratamiento: decide por qué y cómo se procesan los datos personales.
• Procesador de datos: gestiona datos en nombre del responsable del tratamiento, como proveedores de servicios en la nube o procesadores de pagos.

Empresas en el Espacio Económico Europeo (EEE)

El Espacio Económico Europeo abarca los 27 Estados miembros de la UE, además de Islandia, Liechtenstein y Noruega. Cualquier empresa que se haya establecido dentro del EEE debe cumplir con el GDPR al tratar datos personales, incluso si dicho tratamiento se realiza fuera de Europa. Por ejemplo, una empresa registrada en España que usa servidores en México tiene que seguir cumpliendo las reglas del GDPR.

Empresas fuera del Espacio Económico Europeo

El hecho de estar fuera del Espacio Económico Europeo no exime a una empresa del GDPR. Si tu empresa interactúa con los datos personales de residentes de la UE de las siguientes formas, se le aplica esta ley:

• Ofrece bienes o servicios a personas en la UE, ya sea de forma gratuita o a cambio de un precio establecido.
• Supervisa el comportamiento de las personas en la UE, por ejemplo, mediante el seguimiento de la actividad en Internet a través de cookies o la elaboración de perfiles.

Por ejemplo, una plataforma educativa registrada en Colombia pero dirigida a estudiantes universitarios de España debe cumplir con el GDPR. Cualquier empresa fuera del EEE que actúe como procesador de datos para una empresa que sí esté dentro de esta zona también debe cumplir el reglamento.

Si un servicio solo es accesible de forma incidental desde dentro de la UE, sin dirigirse específicamente a los usuarios de esa región en concreto, ni tratar sus datos personales, podría quedar fuera del ámbito de aplicación del GDPR. No obstante, si una empresa no hace un esfuerzo claro por excluir a los residentes de la UE, los reguladores podrían decidir que el GDPR se le aplica.

Además, hay algunos tipos de datos que están excluidos de la normativa, como los datos recopilados con fines de seguridad nacional, de aplicación de la ley o por motivos puramente personales y domésticos.

¿A qué se le consideran datos personales según el GDPR?

Según el GDPR, los datos personales son cualquier información relacionada con una persona que pueda identificarla directa o indirectamente, como la siguiente:

• Nombre completo
• Dirección física
• Dirección de correo electrónico con el nombre de una persona
• Número de identificación nacional o pasaporte
• Dirección IP
• Identificadores de cookies
• Identificadores publicitarios en dispositivos
• Historial médico

El GDPR también distingue entre datos anonimizados, que pueden vincularse a una persona y datos anonimizados, que no pueden vincularse a nadie. Los últimos quedan fuera del ámbito de aplicación del reglamento.

Además, el GDPR identifica categorías especiales de datos personales, como el origen racial o étnico, las creencias religiosas, las opiniones políticas y los datos biométricos. El procesamiento de este tipo de información está prohibido, salvo en circunstancias muy específicas, debido a que conlleva mayores riesgos.

¿Cuáles son las bases legales para el tratamiento de datos personales?

El GDPR no permite que las empresas u organizaciones puedan procesar datos personales simplemente porque así lo deseen. Debe existir una razón legal clara y la normativa define seis opciones:

• Consentimiento: cuando alguien ha dado su permiso expreso para que se usen sus datos. El consentimiento debe darse libremente, ser específico y poder retirarse fácilmente. El silencio o las casillas marcadas previamente no son válidos.
• Contrato: el tratamiento es necesario para cumplir un contrato con la persona (por ejemplo, tratar los datos de pago para completar una compra).
• Obligación legal: en ocasiones, la ley le exige a una organización que procese datos personales, como cuando obliga a los hospitales a conservar los historiales médicos.
• Interés vital: el tratamiento de datos es necesario para proteger la vida de una persona, como en caso de una emergencia médica.
• Tarea pública: el tratamiento de datos es necesario para llevar a cabo una función o tarea oficial de interés público (a menudo relevante para los organismos gubernamentales).
• Interés legítimo: permite que las organizaciones procesen datos si tienen una razón válida que no prevalezca sobre los derechos del individuo, como el uso de datos para mantener los sistemas de ciberseguridad.

Los 7 principios fundamentales del GDPR

El GDPR se basa en siete principios fundamentales que definen cómo deben tratarse los datos personales. Estos principios establecen las normas de equidad, seguridad y responsabilidad en el tratamiento de datos.

1. Legalidad, equidad y transparencia

Este principio establece que los datos solo deben recopilarse y usarse por motivos válidos permitidos por el GDPR, como contar con el consentimiento de la persona o cuando los datos son necesarios para prestar un servicio. También implica usar los datos de forma justa, sin engañar a las personas ni usar su información de maneras que no esperarían. Por último, la transparencia es un principio fundamental: las organizaciones deben explicar en términos sencillos qué datos recopilan, por qué y cómo piensan usarlos.

2. Limitación de la finalidad

Según el GDPR, los datos personales solo pueden recopilarse con un fin específico y claro. Las organizaciones deben informar a las personas por qué se recopilan sus datos en el momento en que se recopilan. Una vez recopilados, no pueden usarse para ningún fin que no sea compatible con el propósito original.

3. Minimización de datos

El GDPR exige a las organizaciones que recopilen únicamente los datos personales necesarios para un fin específico. Este principio ayuda a limitar la cantidad de datos que se conservan sobre una persona, algo que reduce los riesgos en caso de que esos datos se pierdan o se usen de forma indebida y garantiza que la recopilación de datos sea pertinente y se limite a lo necesario.

4. Precisión

Los datos personales deben ser exactos. Si una organización guarda información sobre una persona, debe asegurarse de que los datos sean precisos y se actualicen según sea necesario. Si se producen cambios en los datos o se detectan errores, la organización es responsable de corregirlos. Mantener la exactitud de los datos ayuda a evitar errores que podrían afectar a las personas, especialmente cuando la información se emplea para tomar decisiones sobre ellas.

5. Límites de almacenamiento

Las organizaciones no deben conservar los datos personales más tiempo del necesario. Una vez que los datos hayan cumplido su propósito, deben eliminarse o anonimizarse, este principio garantiza que los datos no se conserven "por si acaso" y sin una razón clara. También ayuda a reducir los riesgos relacionados con el almacenamiento innecesario de información, como las filtraciones de datos o los problemas de privacidad.

6. Integridad y confidencialidad

La seguridad de los datos personales es fundamental, así que las organizaciones deben protegerlos para que nadie que no deba tener acceso a ellos pueda verlos, robarlos o modificarlos. Esto significa que se debe contar con una buena seguridad en lo que respecta a tecnología y gestión de datos.

7. Responsabilidad

La responsabilidad significa que no solo se espera que las organizaciones cumplan las normas del GDPR, sino también que se demuestre. Esto implica probar que han tomado las medidas pertinentes para proteger los datos personales, como llevar un registro de cómo los procesan, formar al personal y aplicar políticas de privacidad.

Derechos sobre los datos de los usuarios en virtud del GDPR

Derecho a ser informado

Tienes derecho a saber en qué momento una organización recopila tus datos personales y las razones. Por lo tanto, las empresas deben dejar claro desde el principio qué datos recopilan, cómo piensan usarlos y con quién podrían compartirlos.

La información debe ser fácil de entender para que puedas tomar una decisión informada sobre si te sientes cómodo compartiendo tus datos.

Derecho de acceso

Esto significa que puedes preguntar a cualquier organización qué datos personales tiene sobre ti. Puedes solicitar una copia de los datos, junto con detalles sobre cómo se usan y con quién se comparten. Las organizaciones están obligadas a proporcionar esta información en un plazo determinado.

No obstante, este derecho no es absoluto; no debe afectar negativamente a los derechos y libertades de los demás, incluidos los secretos comerciales o la propiedad intelectual.

Derecho de rectificación

Si una organización tiene datos personales tuyos incorrectos o incompletos, tienes derecho a pedir que los corrijan. Ya sea que el nombre esté mal escrito, la dirección desactualizada o falte información, la organización debe corregirlo.

Derecho de supresión (derecho al olvido)

Puedes solicitarle a una organización que elimine tus datos personales cuando ya no exista una razón válida para que los conserve. A menudo se denomina "derecho al olvido", se aplica cuando los datos ya no son necesarios para los fines para los que fueron recopilados o cuando la organización ha procesado tus datos de forma ilegal.

No obstante, este derecho tampoco es absoluto, ya que las empresas pueden conservar los datos si tienen la obligación legal de hacerlo o por otros motivos válidos.

Derecho a limitar el tratamiento

Este derecho te permite solicitarle a una organización que limite el uso que hace de tus datos personales. Puedes solicitarlo si crees que los datos son inexactos, si se han tratado de forma ilícita o si la organización ya no los necesita, pero tú quieres que los conserven para una reclamación legal. Mientras la restricción esté vigente, la organización puede almacenar los datos, pero no puede usarlos para otros fines, a menos que tú des tu permiso o existan motivos legales para hacerlo.

Derecho a la portabilidad de los datos

Este derecho te permite obtener una copia de tus datos personales en un formato accesible. También puedes solicitar que los datos se envíen directamente a otra organización, cuando sea posible técnicamente. La idea es darte más control sobre tu información, para que puedas cambiar de servicio o trasladar tus datos a otro lugar más fácilmente sin tener que empezar desde cero.

Derecho de oposición

Tienes derecho a oponerte al uso de tus datos personales, especialmente cuando la finalidad es el marketing directo. Si presentas una objeción, la organización debe dejar de usar tus datos, a menos que puedan demostrar que tienen una razón legítima para seguir procesándolos.

Derechos relacionados con la toma de decisiones automatizada

También tienes derecho a impugnar decisiones que se tomen sobre ti exclusivamente mediante procesos automatizados, especialmente si tienen un efecto importante, como la aprobación de un préstamo o de un empleo. El GDPR te da derecho a solicitar intervención humana en estos casos, por lo que puedes pedir que una persona revise la decisión en lugar de dejarla únicamente en manos de algoritmos o sistemas automatizados.

¿Qué es el consentimiento según el GDPR y cómo se obtiene?

Según el GDPR, el consentimiento debe cumplir normas estrictas para ser válido. En concreto, para que sea válido, tu consentimiento debe cumplir los siguientes criterios:

• Otorgarse libremente: debes poder decidir sin presiones ni consecuencias negativas por decir que no.
• Específico e informado: la organización debe informarte quiénes son, qué datos recopilan, por qué los necesitan y cómo los usarán.
• Sin ambigüedades: el consentimiento debe provenir de una acción clara y afirmativa, como marcar una casilla o firmar un formulario. El silencio o las casillas marcadas previamente no cuentan.

Las personas también tienen derecho a retirar su consentimiento en cualquier momento y el proceso debería ser igual de fácil. Una vez retirado, la empresa deberá dejar de usar tus datos para ese fin.

En el caso de servicios dirigidos a usuarios menores de 16 años, normalmente se requiere el consentimiento de los padres, aunque algunos países de la UE han reducido esta edad mínima a 13 años.

Cómo cumplen las empresas los requisitos del GDPR

Existen medidas específicas que toda organización debe adoptar para cumplir el GDPR y proteger la privacidad.

Registros de actividades de tratamiento (RAT)

El artículo 30 del GDPR exige a las empresas que documenten cómo tratan los datos personales. Estos registros deben incluir los motivos del tratamiento, los tipos de datos recopilados, con quién se comparten, los períodos de almacenamiento y las medidas de seguridad aplicadas.

Si bien las pequeñas empresas pueden estar exentas si su procesamiento es poco frecuente y de bajo riesgo, mantener estos registros es fundamental para demostrar el cumplimiento del GDPR cuando lo soliciten las autoridades.

Evaluaciones de impacto sobre la protección de datos (EIPD)

Cuando una empresa tiene previsto tratar datos personales de una forma que pueda suponer un riesgo elevado para los derechos y libertades de las personas, debe llevar a cabo una EIPD. Esto es obligatorio en casos como el uso de nuevas tecnologías, la vigilancia de espacios públicos a gran escala o el tratamiento extensivo de categorías especiales de datos.

El objetivo de una EIPD es identificar y reducir los riesgos potenciales antes de que comience cualquier tratamiento de datos. Si siguen existiendo riesgos elevados, a pesar de las medidas adoptadas, la empresa deberá consultar a la Autoridad de Protección de Datos (APD), el organismo nacional de cada país de la UE responsable de velar por el cumplimiento del GDPR antes de continuar.

Nombramiento de un Delegado de Protección de Datos (DPD)

Algunas organizaciones están obligadas a nombrar un Delegado de Protección de Datos en virtud del GDPR. Esta persona es responsable de supervisar cómo se gestionan los datos personales dentro de la empresa y de garantizar que se cumplan los requisitos del GDPR.
Debes nombrar a un DPD en los siguientes casos:

• Supervisas de forma regular o sistemática a los usuarios a gran escala. Por ejemplo, mediante el seguimiento de su comportamiento en Internet.
• Procesas categorías especiales de datos, como datos sanitarios, genéticos o biométricos a gran escala.
• Eres una autoridad u organismo público (con excepciones para los tribunales o las autoridades judiciales independientes).

El DPD puede ser un empleado o un experto externo contratado mediante un contrato de servicios. En cualquier caso, deben operar de forma independiente asesorando al personal, supervisando las medidas de protección de datos y actuando como principal punto de contacto con las autoridades de protección de datos.

Garantías para la transferencia de datos

Al transferir datos personales fuera de la Unión Europea, el GDPR exige a las empresas que garanticen que los datos gozan del mismo nivel de protección. Las empresas deben aplicar medidas de seguridad para mantener protegidos los datos y cumplir las normas del GDPR.

Existen varias formas de proteger las transferencias de datos:

• Decisiones sobre la idoneidad: los datos pueden enviarse a países que la UE ha determinado que ofrecen un nivel adecuado de protección de datos.
• Garantías contractuales: las empresas pueden incluir cláusulas específicas en los contratos con destinatarios no pertenecientes a la UE para garantizar la protección de datos.
• Excepciones: en algunos casos, las transferencias están permitidas si la persona ha dado su consentimiento explícito o si es necesario por motivos contractuales.

Controles de seguridad y cifrado en virtud del GDPR

Las organizaciones también deben aplicar medidas de seguridad sólidas para proteger los datos personales frente a accesos no autorizados, alteraciones o pérdidas. Entre ellas, se incluyen medidas técnicas, como el cifrado, así como medidas organizativas, como limitar el acceso únicamente al personal autorizado.

El cifrado desempeña un papel fundamental en la protección de la privacidad y la libertad en las sociedades abiertas y sigue siendo una de las herramientas más eficaces contra las filtraciones de datos.

Notificación de filtraciones de datos

Si una filtración de datos pone en riesgo los derechos o libertades de las personas, las empresas deben notificarlo a la autoridad de protección de datos competente en un plazo de 72 horas. Si el riesgo es alto, también se debe informar a las personas afectadas.

No informar de una filtración dentro del plazo establecido puede acarrear sanciones, por lo que es importante que las empresas cuenten con procesos claros para detectar, evaluar y responder de manera eficiente a las filtraciones de datos.

Concienciación y formación de los empleados

El cumplimiento del GDPR no solo depende de las políticas, sino también de la capacidad de los empleados para comprenderlas y aplicarlas. El personal necesita orientación clara y formación continua para tratar los datos personales de forma responsable y respetar los derechos de las personas. Esta concienciación en toda la organización ayuda a prevenir infracciones y respalda los esfuerzos continuos por cumplir la normativa.

Aplicación del GDPR y sanciones por infracciones

Cada país del Espacio Económico Europeo cuenta con una Autoridad de Protección de Datos (APD) que supervisa el cumplimiento de las normas de protección de datos por parte de las organizaciones. Estas autoridades pueden llevar a cabo investigaciones, solicitar documentación e incluso realizar inspecciones para garantizar que las empresas cumplen con sus obligaciones.

Si se descubre que una empresa incumple el GDPR, las sanciones pueden ser altas. Las infracciones más graves pueden acarrear multas de hasta 20 millones de euros o el 4 % del volumen de negocios global anual de la empresa. Aparte de las sanciones económicas, las autoridades también pueden imponer medidas correctivas, como ordenar a la empresa que deje de tratar determinados datos o que mejore sus medidas de protección de datos.

Estas facultades coercitivas garantizan que el cumplimiento del GDPR no sea opcional. Las empresas que manejan datos personales deben asumir sus responsabilidades con seriedad o enfrentarse a consecuencias graves.

¿En Estados Unidos se aplica el GDPR?

El GDPR es un reglamento de la Unión Europea, pero no se limita únicamente a Europa. Las empresas estadounidenses pueden entrar en su ámbito de aplicación cuando tratan datos personales de ciudadanos de la UE. Esto significa que, incluso sin tener presencia física en Europa, las empresas estadounidenses podrían tener que cumplir el GDPR si sus actividades cumplen determinados criterios.

Aplicación del GDPR a empresas estadounidenses

En virtud del artículo 3 del GDPR, las empresas estadounidenses deben cumplir el reglamento si tienen un establecimiento en la Unión Europea o si ofrecen bienes o servicios a personas físicas en la UE, incluso cuando el servicio es gratuito. El seguimiento del comportamiento de los ciudadanos de la UE en Internet mediante cookies, rastreo o publicidad dirigida también hace que las empresas estadounidenses entren en el ámbito de aplicación del GDPR.

Para cumplir la normativa, las empresas estadounidenses deben hacer lo siguiente:

• Auditar los tipos de datos personales que recopilan.
• Establecer una base jurídica clara para el tratamiento de cada tipo de datos, como el consentimiento o la necesidad contractual.
• Evaluar cualquier transferencia de datos desde la Unión Europea a Estados Unidos y asegurarse de que existan garantías adecuadas, como las Cláusulas contractuales tipo (CCT).
• Nombrar a un representante del GDPR dentro de la UE si no tienen presencia física allí.
• Obtener el consentimiento previo para la recopilación de datos y el uso de cookies en la página web.
• Actualizar las políticas de privacidad para reflejar las obligaciones del GDPR y los derechos de los interesados.

GDPR vs. CCPA y CPRA

Mientras que el GDPR exige un consentimiento claro antes de tratar datos personales, la Ley de Privacidad del Consumidor de California (CCPA) y su enmienda, la Ley de Derechos de Privacidad de California (CPRA) adoptan un enfoque diferente al seguir un modelo de exclusión voluntaria.

En California, las empresas no suelen necesitar consentimiento previo para recopilar o procesar información personal, excepto en casos específicos, como la venta o el intercambio de datos, el manejo de datos de menores o el procesamiento de información confidencial.

En cambio, estas leyes se centran en la transparencia al exigirle a las empresas que informen a los usuarios sobre las prácticas de tratamiento de datos y que proporcionen formas sencillas de excluirse de la venta o el intercambio de sus datos personales. En general, en California se hace hincapié en el control y la visibilidad del usuario, más que en el consentimiento previo.

Para las empresas estadounidenses, esto pone de relieve una distinción importante: Los estrictos requisitos de consentimiento del GDPR no se reflejan en Estados Unidos, por lo que las empresas que operan en ambas regiones deben adaptar sus prácticas.

¿Cuál es la función de las cookies en el GDPR?

Según el GDPR, las cookies que pueden identificar a una persona o rastrear su comportamiento en Internet se consideran datos personales. Esto incluye técnicas que van más allá de las cookies tradicionales, como la huella digital del navegador, que puede identificar de forma única a los usuarios en función de la configuración del dispositivo y del navegador.

Las páginas web deben permitir que los usuarios puedan elegir qué tipos de cookies aceptan, un concepto conocido como consentimiento granular. No obstante, las cookies estrictamente necesarias no requieren consentimiento.

Si bien el GDPR define cómo se debe obtener el consentimiento, el uso de cookies en la UE también se rige por la Directiva ePrivacy, que complementa al GDPR al regular específicamente las tecnologías de seguimiento en Internet, como las cookies. Esa es la razón por la que muchas páginas web muestran banners de cookies a los visitantes de la UE y les piden gestionar sus preferencias antes de que se activen las cookies no esenciales.

Si quieres minimizar el rastreo al navegar por Internet, usar una red privada virtual (VPN) también puede ayudarte a navegar con mayor privacidad, ya que oculta tu dirección IP y cifra tu tráfico.

Conceptos erróneos sobre el GDPR

A pesar de llevar años en vigor, todavía existen conceptos erróneos muy extendidos sobre lo que realmente implica el Reglamento General de Protección de Datos para las empresas, así que vamos a aclararlo.

El GDPR solo se aplica a las empresas de la Unión Europea.

A menudo se da por sentado que el GDPR solo afecta a las empresas de la Unión Europea, pero el alcance de este reglamento es mucho más amplio. Cualquier empresa registrada fuera de la UE, incluso en Estados Unidos y México, debe cumplir la normativa si ofrece bienes o servicios a personas en la UE o supervisa su comportamiento en Internet mediante tecnologías de seguimiento, por ejemplo.

Siempre se necesita consentimiento

Algo que también suele generar confusión es la creencia de que el GDPR siempre exige consentimiento al tratar datos personales. En realidad, el consentimiento es solo una de las varias bases legales. Las empresas también pueden basarse en un contrato, una obligación legal, un interés vital, una tarea pública o un interés legítimo, siempre que se respeten los derechos de las personas. El consentimiento se convierte en algo esencial cuando no se aplica ninguna otra base jurídica.

El GDPR solo sirve para imponer sanciones

Muchos ven el GDPR como un sistema para imponer multas elevadas, pero su objetivo principal es reforzar los derechos de privacidad y promover un tratamiento responsable de los datos. Si bien las sanciones pueden ser elevadas, el objetivo principal es garantizar que las organizaciones traten los datos personales de forma transparente, segura y respetuosa con los derechos de las personas.

El GDPR limita todo el marketing

También existe la idea errónea de que el GDPR impide hacer marketing. La normativa no bloquea por completo el marketing, sino que establece límites para garantizar que los datos personales se usan de forma justa. Con una base jurídica adecuada, ya sea el consentimiento o el interés legítimo, las empresas pueden seguir realizando actividades de marketing dirigidas a personas físicas en la UE, siempre que se respeten los derechos de privacidad.