3.1Entender el RGPD y los datos personales
Lo esencial en 30 segundos
- Dato personal = noción muy amplia: toda info sobre una persona identificada o identificable (nombre, correo, IP, foto…); los datos sensibles están reforzados.
- Todo tratamiento exige una BASE JURÍDICA y una FINALIDAD precisa; principios: minimización, conservación limitada, seguridad, transparencia.
- Responsabilidad proactiva: cumplir Y poder demostrarlo; distinguir responsable del tratamiento (decide) y encargado del tratamiento (ejecuta).
Minicaso hilado — Yacine descubre que «todo es dato»
Yacine, gerente de una pequeña empresa de servicios en Argel, guarda los nombres, teléfonos y correos de sus clientes en una hoja de cálculo compartida, sin reglas. Al preparar su puesta en cumplimiento, cataloga sus ficheros (clientes, prospectos, empleados) y descubre que casi todo es dato personal. Anota para cada uso una finalidad precisa y una base jurídica — y deja de recoger «por si acaso».
Este mismo caso vuelve en el curso, el esquema, el script y el reto 48h — y continúa en 3.2, 3.3, 3.4 y 3.5.
1. El dato personal
El RGPD (Reglamento General de Protección de Datos) es el texto de referencia de la UE, de influencia mundial: se aplica en cuanto se tratan datos de personas situadas en la UE. Muchos países tienen su propia ley, cercana en espíritu.
Un dato personal: toda información relativa a una persona física identificada o identificable (nombre, correo, IP, foto…). Algunos son sensibles (salud, opiniones…) y gozan de una protección reforzada.
2. Los grandes principios
Para comprender, más que para memorizar: licitud (una base jurídica: consentimiento, contrato, obligación, interés legítimo), finalidad (fin preciso), minimización (lo necesario), exactitud, conservación limitada, seguridad, transparencia.
Más la responsabilidad proactiva (poder demostrar que se cumple). Distinguir el responsable del tratamiento (decide) y el encargado del tratamiento (ejecuta).
3. El reflejo inicial
Partir del principio de que la mayoría de los ficheros contienen datos personales: cartografiar, y para cada tratamiento fijar finalidad y base jurídica.
Comprobar la ley de su país (y el RGPD si hay datos de la UE) antes de actuar: es la base de las secciones 3.2 a 3.5.
🔎 Ejemplo concreto — 🔎 Ejemplo concreto — Una noción muy amplia
«Es casi todo.»
Clientes, prospectos, empleados, usuarios, contactos de proveedores…
Nombre, correo, IP, foto, identificador de cliente, grabación de vídeo.
→ en cuanto una información permite identificar a alguien, es un dato personal.Resultado: se comprende el alcance del ámbito y los principios.
Reflejo: comprobar la ley de su país (y el RGPD si hay datos de la UE).
Vocabulario de la sección
- Dato personal
- Toda información relativa a una persona física identificada o identificable (nombre, correo, IP, foto, identificador…).
Ejemplo sencillo: Los nombres, teléfonos y correos de clientes de la hoja de cálculo de Yacine.
Lo que no es: las cifras agregadas y anónimas de una actividad.
Reflejo: preguntar «¿permite identificar a alguien?».
- Dato sensible
- Categoría particular (salud, opiniones, origen, biometría…) que goza de una protección reforzada.
Ejemplo sencillo: Una ficha de salud de un empleado conservada por Yacine.
Lo que no es: un simple correo de contacto profesional.
Reflejo: detectar los datos sensibles y tratarlos aparte.
- Base jurídica
- Fundamento que autoriza un tratamiento (consentimiento, contrato, obligación legal, interés legítimo…); sin ella, no hay tratamiento lícito.
Ejemplo sencillo: Yacine retiene el contrato para gestionar sus clientes, el consentimiento para el boletín.
Lo que no es: tratar datos «porque apetece».
Reflejo: para cada tratamiento: una finalidad + una base.
- Responsable frente a encargado
- El responsable decide las finalidades y medios (la empresa); el encargado trata por su cuenta (proveedor, programa).
Ejemplo sencillo: Yacine decide; su alojador y su programa de nóminas ejecutan.
Lo que no es: creer que el proveedor decide en lugar de la empresa.
Reflejo: ¿quién decide? ¿quién ejecuta? cada uno sus obligaciones.
- Responsabilidad proactiva
- Obligación no solo de respetar las reglas sino de poder DEMOSTRARLO (documentación, registro).
Ejemplo sencillo: Yacine guarda constancia de sus finalidades, bases y plazos.
Lo que no es: decir «estamos en regla» sin ningún documento.
Reflejo: lo que no está documentado no es demostrable.
En la práctica — En la práctica — Sentar las bases del cumplimiento «datos»
- Registre los datos personales que trata (clientes, prospectos, empleados, usuarios) y detecte los datos sensibles.
- Para cada tratamiento, identifique su FINALIDAD precisa y su BASE JURÍDICA (consentimiento, contrato, obligación, interés legítimo).
- Aplique la minimización (recoger solo lo necesario) y fije plazos de conservación; proteja los datos.
- Informe claramente a las personas y compruebe la legislación aplicable en su país (y el RGPD si trata datos de la UE).
Script listo para decir — encuadrar la recogida con el equipo (1 min)
«A partir de hoy, solo recogemos un dato si sabemos por qué y con qué fundamento: finalidad, base jurídica, plazo. Se acabó el “por si acaso”. Hacemos la lista juntos esta semana.»
Para decir al equipo: plantear la regla finalidad + base antes de cualquier nueva recogida.
Modelo para copiar — ficha de tratamiento inicial
TRATAMIENTO : _______________ (p. ej. fichero de clientes)
DATOS : _______________ | PERSONAS : _______________
FINALIDAD PRECISA : _______________
BASE JURÍDICA : _______________ (consentimiento / contrato / obligación / interés legítimo)
PLAZO : _______________ | SEGURIDAD : _______________TPE / presupuesto pequeño
Basta una hoja de cálculo: una línea por tratamiento (datos, finalidad, base, plazo) revisada cada trimestre — no hace falta una herramienta costosa para empezar.
Pyme Argelia
Yacine cataloga sus ficheros en Argel: clientes, prospectos, nóminas — y comprueba con su referente local la ley 18-07 aplicable a cada tratamiento.
Sitio escaparate + prospectos
Formulario de contacto: pedir solo lo estrictamente necesario (nombre, correo, mensaje) y anunciar la finalidad bajo el formulario.
Múltiples proveedores
Enumerar quién trata por usted (alojador, programa, contable): el responsable sigue siendo usted, aunque el encargado ejecute.
✓ Buenas prácticas
- Parta del principio de que la mayoría de sus ficheros contienen datos personales.
- Para cada tratamiento: una finalidad precisa y una base jurídica.
- Minimice, proteja, informe, y compruebe la ley de su país.
✗ Errores frecuentes
- Tratar datos «porque apetece» (sin base jurídica).
- Recoger «por si acaso» (contrario a la minimización).
- Creer que estar lejos de Europa dispensa de toda obligación.
Puntos clave
- Dato personal = toda info sobre una persona identificable (muy amplio: nombre, correo, IP, foto…); los datos sensibles están reforzados.
- Todo tratamiento exige una BASE JURÍDICA y una FINALIDAD precisa; principios: minimización, exactitud, conservación limitada, seguridad, transparencia.
- Responsabilidad proactiva: cumplir Y demostrar (documentación). Distinguir responsable del tratamiento (decide) y encargado (ejecuta).
- El RGPD tiene alcance mundial (datos de la UE); muchos países tienen su propia ley cercana — comprobar el régimen y la autoridad de su país.
Reto 48h — aplíquelo mañana
Enumere 3 tratamientos reales (clientes, prospectos, empleados) con para cada uno finalidad + base jurídica, y elimine 1 dato recogido «por si acaso».
- Puedo definir un dato personal sin dudar.
- Sé citar base jurídica + finalidad para 3 tratamientos.
- He eliminado 1 recogida inútil esta semana.
Preguntas frecuentes
¿El RGPD me afecta si mi empresa no está en Europa?
Quizás: el RGPD tiene alcance extraterritorial — lo que cuenta es tratar datos de personas situadas en la UE (bienes/servicios, seguimiento), no su sede. Pero más allá del RGPD, la mayoría de los países tienen su propia legislación, a menudo inspirada en los mismos principios: muy probablemente usted está sometido a la ley de su país. Razone en dos niveles: (1) la ley de mi país con prioridad; (2) el RGPD si trata datos de la UE. En caso de actividad internacional, pida asesoramiento.
En concreto, ¿qué datos de mi empresa están afectados?
Su impresión es justa: la noción es voluntariamente muy amplia — clientes, prospectos, empleados y candidatos, contactos de proveedores, usuarios (cuentas, IP, cookies). Los datos realmente anónimos quedan fuera del ámbito (pero la verdadera anonimización es difícil) y los datos sobre personas jurídicas no son personales (pero sus contactos, sí). El primer paso es cartografiar: qué datos, por qué, dónde, quién accede, cuánto tiempo, a quién — esto prepara el registro de la sección 3.2.
¿Qué exige todo tratamiento de datos personales?