4.1Comprender el RGPD y los datos personales
Lo esencial en 30 segundos
- Todo lo que identifica es un dato : nombre, correo, teléfono, dirección IP, foto — directa o por cruce.
- Cada fichero es un tratamiento : hasta el pequeño Excel local de clientes está sometido a las reglas.
- 5 principios + 1 reflejo : finalidad, minimización, duración limitada, seguridad, información — y localizar a tu DPD antes de necesitarlo.
Mini-caso hilado — Karim hace inventario de sus ficheros
Karim, empleado de oficina en Argel, pensaba que la protección de datos era cosa del servicio informático. Al listar sus 5 herramientas diarias, descubre tres ficheros llenos de datos personales : su Excel de clientes, una carpeta de candidaturas y una tabla de seguimiento de RR. HH. Para cada uno anota la finalidad, la antigüedad y quién accede, y luego pide el contacto del referente de datos de su empresa. Acaba de inventariar sus primeros « tratamientos » sin saberlo.
Este mismo caso vuelve en el curso, el esquema, el script y el reto 48h — y continúa en 4.2, 4.3 y 4.4.
1. Un reglamento que se aplica a todos
El RGPD (vigente desde 2018) regula toda recogida y todo tratamiento de datos personales. Se aplica a cualquier organización, incluso pequeña, desde que gestiona datos de clientes, empleados o prospectos — el fichero de Karim igual que la base de una multinacional.
En caso de incumplimiento, las sanciones pueden alcanzar importes muy elevados (hasta un 4 % de la facturación mundial en el marco europeo) : el cumplimiento no es una opción decorativa.
2. Dato, tratamiento, datos sensibles
Un dato personal = todo lo que identifica a alguien (nombre, correo, dirección IP, foto, voz…). Un tratamiento = cualquier operación sobre ellos : recoger, almacenar, consultar, transmitir, suprimir. El fichero Excel de clientes de Karim ES un tratamiento.
Los datos sensibles (salud, opiniones, religión, sindicación, biometría…) obedecen a reglas reforzadas : su tratamiento está por principio prohibido salvo excepciones estrictas. Una tabla de RR. HH. con bajas por enfermedad merece pues una vigilancia particular.
3. Los principios cardinales y el DPD
Finalidad definida (¿para qué estos datos?), minimización (¿hacen falta tantos?), duración de conservación limitada (¿desde cuándo?), seguridad (¿quién accede?), información a las personas : cinco preguntas que Karim plantea desde ahora a cada uno de sus ficheros.
El DPD (delegado de protección de datos) o referente asesora y controla : es tu interlocutor para cualquier pregunta. Hay que localizarlo antes de necesitarlo, no el día de un incidente.
🔎 Ejemplo concreto — 🔎 Ejemplo concreto — Detectar los datos a tu alrededor
El inventario de Karim, hecho en veinte minutos sobre sus herramientas reales :
Excel clientes (nombres, teléfonos) → tratamiento comercial, ¿quién accede?
Carpeta candidaturas (CV, correos) → ¿desde cuándo? ¿cuándo depurar?
Tabla seguimiento RR. HH. (ausencias, ¿motivos de salud?) → dato sensible : vigilancia reforzada
Preguntas planteadas : ¿por qué? ¿cuántos? ¿desde cuándo? ¿quién?
→ contacto del referente de datos guardado en sus favoritosLectura : tres ficheros ordinarios, tres tratamientos que encuadrar.
Lección : cada fichero de datos personales es un « tratamiento ».
Vocabulario de la sección
- RGPD
- El reglamento europeo (2018) que regula todo tratamiento de datos personales, con sanciones que pueden alcanzar un porcentaje elevado de la facturación mundial.
Ejemplo sencillo: El Excel de clientes de Karim, como toda base, debe respetar finalidad, minimización y duración limitada.
Lo que no es: una regla reservada a las grandes empresas o solo al servicio jurídico.
Reflejo: preguntar a cada fichero : ¿qué finalidad, y tengo identificado a mi referente?
- Dato personal
- Toda información relativa a una persona identificable : nombre, correo, teléfono, dirección IP, foto, matrícula, voz…
Ejemplo sencillo: En el fichero de Karim, « nombre.apellido@empresa.es » identifica a alguien ; una dirección genérica de servicio, no.
Lo que no es: únicamente la contraseña o los datos bancarios.
Reflejo: probar la identificabilidad : ¿puedo vincular esto a alguien?
- Dato sensible
- Categorías reforzadas (salud, opiniones, religión, sindicación, biometría…) cuyo tratamiento está por principio prohibido salvo excepciones estrictas.
Ejemplo sencillo: Karim detecta motivos de salud en su tabla de RR. HH. : acceso a restringir con prioridad.
Lo que no es: un dato ordinario como un nombre o un correo profesional.
Reflejo: aislar y señalar todo dato sensible encontrado por casualidad.
- Tratamiento
- Toda operación sobre datos : recoger, almacenar, consultar, transmitir, suprimir.
Ejemplo sencillo: El fichero Excel de clientes de Karim ES un tratamiento, igual que una gran base.
Lo que no es: un documento interno libre de toda regla porque es pequeño o local.
Reflejo: contar tus tratamientos : un fichero de datos personales = un tratamiento.
- Responsable del tratamiento / DPD
- La organización decide los tratamientos (responsable) ; el delegado de protección de datos asesora y controla — tu interlocutor para cualquier pregunta.
Ejemplo sencillo: Karim anota el nombre y el contacto de su referente antes de necesitarlo.
Lo que no es: un compañero a quien se improvisan respuestas jurídicas en su lugar.
Reflejo: tener el contacto del DPD en favoritos, como el de informática.
En la práctica — En la práctica — Detectar los datos personales a tu alrededor
- Lista 5 ficheros/herramientas que usas : ¿cuáles contienen datos personales (clientes, compañeros, candidatos)? Acabas de inventariar « tratamientos ».
- Para uno de ellos, plantea las preguntas básicas : ¿por qué estos datos (finalidad)? ¿hacen falta tantos (minimización)? ¿desde cuándo (duración)? ¿quién accede?
- Detecta un posible dato sensible (¿salud en un fichero de RR. HH.?) : su tratamiento obedece a reglas reforzadas.
- Identifica a tu DPD o referente : nombre y contacto — es quien decide las cuestiones.
Script listo para decir — presentarse al referente de datos (30 s)
« Hola, soy Karim : manejo a diario un fichero de clientes y una tabla de RR. HH. Quería conocer las reglas que hay que respetar (finalidad, duración, cesiones) y saber a quién acudir en caso de duda. ¿Pueden confirmarme el procedimiento? »
Para decir antes de cualquier problema ; anotar la respuesta y guardar el contacto a mano.
Modelo copiar-pegar — ficha inventario de un tratamiento
FICHERO / HERRAMIENTA : _______________
DATOS CONTENIDOS (¿personales? ¿sensibles?) : _______________
FINALIDAD (¿para qué?) : _______________
MINIMIZACIÓN (¿todo es útil?) : _______________
ANTIGÜEDAD / DURACIÓN : _______________
QUIÉN ACCEDE : _______________
REFERENTE CONTACTADO EL : _______________Equipo pequeño sin DPD
Identificar igualmente un referente (dirección, responsable) : la ausencia de DPD no suspende los principios.
Fichero de RR. HH. sensible
Restringir el acceso con prioridad y avisar al referente : la salud y los motivos de ausencia son datos reforzados.
Teletrabajo
Verificar dónde están las copias locales (descargas, escritorio) : un tratamiento no termina en las paredes de la oficina.
Recién llegado
Rehacer el inventario de las 5 herramientas desde la primera semana : a menudo se heredan ficheros de contenido desconocido.
✓ Buenas prácticas
- Cada fichero de datos personales = un tratamiento.
- Finalidad, minimización, duración, seguridad.
- DPD localizado antes de necesitarlo.
✗ Errores frecuentes
- Reservado a las grandes estructuras.
- El fichero de RR. HH. olvidado de las reglas.
- Recoger « por si acaso » sin finalidad.
Puntos clave
- Un dato personal = todo lo que permite identificar a alguien, directa o por cruce.
- Cada fichero con tales datos es un tratamiento sometido a las reglas — incluido el pequeño Excel local.
- Principios cardinales : finalidad definida, minimización, duración limitada, seguridad, información a las personas.
- El DPD/referente es tu interlocutor : localizarlo antes de necesitarlo.
Reto 48h — aplica mañana
Rellena la ficha inventario para 1 fichero real (clientes, RR. HH. o candidaturas) y guarda el contacto de tu referente en tus favoritos.
- Puedo definir dato personal, tratamiento y dato sensible.
- Sé citar los 5 principios cardinales.
- He inventariado 1 fichero real y anotado mi referente.
Preguntas frecuentes
¿El reglamento afecta a los datos de mis compañeros o solo a los de clientes?
A ambos : empleados, candidatos, proveedores, clientes, prospectos — toda persona física. El fichero de RR. HH. es incluso uno de los tratamientos más sensibles de la empresa.
¿Una dirección de correo profesional genérica es un dato personal?
Una dirección de servicio no nominativa, no ; una dirección nombre.apellido, sí (persona identificable). El criterio es siempre la identificabilidad de la persona.
El fichero Excel de clientes de Karim, según las reglas, es…