GDPR y Protección de Datos

El Reglamento General de Protección de Datos (GDPR, por sus siglas en inglés General Data Protection Regulation) es una ley de la Unión Europea que regula la protección de datos personales de los ciudadanos de la UE. Es considerado el estándar más estricto de protección de datos en el mundo.

El GDPR entró en vigor el 25 de mayo de 2018 y se aplica a cualquier organización que procese datos personales de ciudadanos de la UE, independientemente de dónde esté ubicada la organización.

¿Qué son los Datos Personales?

Según el GDPR, los datos personales (o PII - Personally Identifiable Information) son cualquier información que pueda identificar directa o indirectamente a una persona física.

Ejemplos de datos personales

Nombre, apellidos, dirección, teléfono.
Número de identificación (DNI, NIE, pasaporte).
Correo electrónico, dirección IP, identificadores de redes sociales.
Datos de geolocalización.
Datos de salud, genéticos, biométricos (huellas, reconocimiento facial).
Datos bancarios y financieros.
Datos de navegación (cookies, historial).
Opiniones políticas, religiosas, orientación sexual, afiliación sindical (son datos sensibles).

Principios clave del GDPR

El GDPR establece siete principios fundamentales para el tratamiento de datos personales:

1. Legalidad, lealtad y transparencia

Los datos deben tratarse de forma lícita, justa y transparente para el interesado.

Ejemplo: Informar claramente al usuario qué datos se recogen y para qué se usan.

2. Limitación de la finalidad

Los datos solo pueden recogerse para fines específicos, explícitos y legítimos.

Ejemplo: No usar los datos recogidos para marketing si el usuario solo se registró para recibir un servicio.

3. Minimización de datos

Los datos deben ser adecuados, pertinentes y limitados a lo necesario para la finalidad.

Ejemplo: Si solo necesitas el nombre y correo, no pidas el DNI o la dirección.

4. Exactitud

Los datos deben ser precisos y mantenerse actualizados.

Ejemplo: Permitir que los usuarios actualicen su información personal.

5. Limitación del plazo de conservación

Los datos deben conservarse solo durante el tiempo necesario.

Ejemplo: No conservar datos de clientes 10 años si solo se necesitan 3 para la garantía.

6. Integridad y confidencialidad

Los datos deben tratarse de forma que se garantice su seguridad, protegiéndolos contra accesos no autorizados, pérdida o destrucción.

Ejemplo: Cifrar datos personales y controlar quién puede acceder a ellos.

7. Responsabilidad proactiva

La organización debe demostrar que cumple con todos los principios anteriores.

Ejemplo: Documentar políticas, realizar auditorías, mantener registros de actividad.

Derechos de los ciudadanos (titulares de datos)

El GDPR otorga a los ciudadanos varios derechos sobre sus datos personales:

| Derecho | Descripción | |---------|-------------| | Derecho de acceso | El ciudadano puede solicitar saber qué datos tiene la organización sobre él. | | Derecho de rectificación | Solicitar la corrección de datos inexactos. | | Derecho de supresión ("derecho al olvido") | Solicitar la eliminación de sus datos cuando ya no sean necesarios. | | Derecho a la limitación del tratamiento | Solicitar que se limite el uso de sus datos en ciertas circunstancias. | | Derecho a la portabilidad | Recibir sus datos en un formato estructurado y transmitirlos a otro responsable. | | Derecho de oposición | Oponerse al tratamiento de sus datos para fines de marketing o intereses legítimos. | | Derecho a no ser objeto de decisiones automatizadas | No ser evaluado basándose únicamente en tratamiento automatizado (ej: algoritmos). |

Obligaciones de las organizaciones

1. Consentimiento

El tratamiento de datos requiere el consentimiento explícito, libre, específico e informado del interesado.

El consentimiento debe ser una acción afirmativa (no se asume por defecto).
El usuario puede retirar el consentimiento en cualquier momento.

2. Notificación de brechas

Si hay una violación de datos, la organización debe notificarlo a la autoridad de control en un plazo máximo de 72 horas y, en algunos casos, también a los afectados.

3. Delegado de Protección de Datos (DPD/DPO)

Algunas organizaciones deben designar un Data Protection Officer (DPO) que supervise el cumplimiento del GDPR.

4. Evaluación de Impacto

Cuando el tratamiento de datos implica un alto riesgo, se debe realizar una Evaluación de Impacto de la Protección de Datos (EIPD).

5. Registro de actividades

Las organizaciones deben mantener un registro de todas las actividades de tratamiento de datos.

Sanciones por incumplimiento

El GDPR es conocido por sus sanciones muy elevadas:

| Infracción | Multa máxima | |------------|--------------| | Infracciones graves (incumplimiento de principios básicos) | 20.000.000 € o el 4% del volumen de negocio anual global (lo que sea mayor) | | Infracciones menos graves | 10.000.000 € o el 2% del volumen de negocio anual global | | Infracciones leves | Advertencias, amonestaciones, órdenes de cumplimiento |

Ejemplos de sanciones reales

Amazon: 746 millones € (2021) por violación de GDPR.
Meta (Facebook): 1.200 millones € (2023) por transferencia ilegal de datos.
TikTok: 345 millones € (2023) por violación de la privacidad infantil.

GDPR en el contexto de otros conceptos

Tríada CIA: El GDPR exige confidencialidad (proteger datos), integridad (datos precisos) y disponibilidad (acceso controlado).
Cifrado: Es una medida técnica para proteger la confidencialidad e integridad de los datos personales.
Control de Seguridad: Los controles de seguridad (acceso, cifrado, logs) ayudan a cumplir con el GDPR.
Gestión de Riesgos: El GDPR requiere evaluar riesgos para los derechos de los ciudadanos.
Principio de Mínimo Privilegio: Ayuda a limitar el acceso a datos personales (minimización de acceso).
ISO 27001: Ayuda a cumplir con los requisitos de seguridad del GDPR.

GDPR vs. otras normativas

| Normativa | Ámbito | Enfoque | |-----------|--------|---------| | **GDPR (UE)** | Datos personales de ciudadanos de la UE | Protección de datos y privacidad | | **CCPA (California)** | Datos personales de residentes de California | Privacidad del consumidor | | **HIPAA (EE.UU.)** | Datos de salud en EE.UU. | Privacidad médica | | **PCI-DSS** | Datos de tarjetas de crédito | Seguridad financiera | | **Ley de Protección de Datos (Argentina)** | Datos personales en Argentina | Similar al GDPR | | **LGPD (Brasil)** | Datos personales en Brasil | Similar al GDPR |

Buenas prácticas para cumplir con GDPR

1. **Realizar un inventario de datos personales** que maneja la organización. 2. **Documentar las bases legales** para el tratamiento de datos. 3. **Implementar medidas de seguridad técnicas y organizativas** (cifrado, acceso controlado, formación). 4. **Establecer procedimientos de respuesta a brechas**. 5. **Asegurar el consentimiento válido** y permitir su retirada fácilmente. 6. **Realizar evaluaciones de impacto** cuando sea necesario. 7. **Designar un DPO** si es obligatorio. 8. Formar a los empleados sobre protección de datos. 9. Revisar y actualizar políticas periódicamente.

Ejemplo práctico

Escenario: Una tienda online recoge datos de clientes para enviarles facturas y ofertas.

Obligaciones GDPR: 1. Pedir consentimiento separado para enviar ofertas (no asumirlo). 2. Informar claramente qué datos se recogen y para qué. 3. Cifrar los datos de pago y acceso a la base de datos. 4. Permitir que los clientes accedan, rectifiquen o eliminen sus datos. 5. Notificar a la autoridad en 72 horas si hay una brecha.

Consecuencias si no cumple: Multa de hasta 20 millones € o 4% de su facturación anual.

Relación con otros conceptos

Tríada CIA: El GDPR exige proteger la confidencialidad e integridad de los datos personales.
Cifrado: Es una medida técnica para proteger la confidencialidad de datos personales.
Control de Seguridad: Los controles (MFA, acceso, logs) ayudan al cumplimiento.
Gestión de Riesgos: El GDPR requiere evaluar riesgos para los derechos de los ciudadanos.
ISO 27001: Ayuda a cumplir con los requisitos de seguridad del GDPR.
Principio de Mínimo Privilegio: Limita el acceso a datos personales (minimización de acceso).

Véase también

Esta página forma parte de la Categoría:Conceptos de seguridad.