Jurisdicción seleccionada: España — RGPD + Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD)
Concepto clave 1 — Datos personales
Un dato personal es cualquier información sobre una persona natural identificada o identificable. La definición es amplia a propósito, y es la misma idea en casi todas las leyes de protección de datos.
Concepto clave 2 — Datos sensibles
Los datos sensibles (también llamados categorías especiales de datos personales) pueden llevar a discriminación, exclusión u otros daños graves. Las categorías varían de una ley a otra, así que revise siempre la lista local.
Qué significa en la práctica: condiciones más estrictas, como el consentimiento expreso o por escrito, más seguridad, acceso solo para quien lo necesita y, en muchas leyes, una evaluación de riesgos antes de empezar.
Categorías especiales de datos personales (art. 9 RGPD). Su tratamiento está prohibido salvo que se aplique una de las excepciones previstas, p. ej. el consentimiento explícito. Las condenas e infracciones penales se protegen por separado (art. 10 RGPD).
Concepto clave 3 — Tratamiento y roles
El tratamiento abarca todo el ciclo de vida: recopilar, registrar, almacenar, usar, compartir, modificar y suprimir datos, en papel o en sistemas informáticos. Cada tratamiento tiene roles claros.
El RGPD se aplica a las organizaciones establecidas en la UE y a las de fuera de la UE que ofrecen bienes o servicios a personas en la UE o controlan su comportamiento. Protege solo a personas físicas.
Concepto clave 4 — Los principios básicos
Los nombres cambian de una ley a otra, pero las ideas son casi universales. Los talleres siguientes convierten cada principio en medidas concretas.
Principio en foco — Licitud
La licitud significa que cada tratamiento necesita una base legal o una justificación. Es el punto en que más difieren las leyes: algunas se basan en el consentimiento, otras ofrecen varias bases legales equivalentes.
El consentimiento válido es libre, específico, informado e inequívoco, y puede revocarse en cualquier momento. Las casillas premarcadas y el consentimiento escondido en los términos y condiciones no cuentan.
Seis bases jurídicas (art. 6 RGPD): consentimiento, ejecución de un contrato, obligación legal, intereses vitales, misión de interés público e intereses legítimos. El consentimiento es solo una de ellas y a menudo no es la mejor opción, p. ej. en las relaciones laborales.
Concepto clave 5 — Transferencias de datos
Los datos personales rara vez se quedan en un solo sistema: van a proveedores, empresas del grupo, socios y autoridades, y muy a menudo a servidores en el extranjero. Cada uno de estos flujos tiene sus propias reglas.
Fácil de pasar por alto: el acceso remoto desde el extranjero (p. ej. equipos de soporte o la casa matriz) y los servicios en la nube alojados fuera del país también son transferencias.
Dentro de la UE/EEE los datos circulan libremente. Las transferencias a otros países requieren una decisión de adecuación de la Comisión Europea (p. ej. Reino Unido, Suiza, Japón o empresas de EE. UU. certificadas en el EU-US Data Privacy Framework), garantías adecuadas como las cláusulas contractuales tipo o normas corporativas vinculantes (art. 46 RGPD) o, solo para transferencias ocasionales, una excepción como el consentimiento explícito (art. 49 RGPD). Con cláusulas tipo se espera una evaluación del impacto de la transferencia. Los encargados necesitan un contrato según el art. 28 RGPD.
Concepto clave 6 — Consecuencias del incumplimiento
La mayoría de los casos sancionadores empiezan con algo evitable: una brecha de seguridad, una base legal que falta, una solicitud de un cliente sin responder o la queja de un empleado.
Autoridad de control: Agencia Española de Protección de Datos (AEPD)
Su jurisdicción de un vistazo — España
Autoridad: Agencia Española de Protección de Datos (AEPD)
Compruebe lo aprendido y próximos pasos
Resultado esperado de la Tarea 1: todos los miembros del equipo del proyecto entienden los términos y principios clave de la protección de datos en los que se basan los talleres siguientes.