¿Qué debemos saber de la política de privacidad y datos?

La política de privacidad y las prácticas de uso de datos determinan cómo una organización recopila, utiliza, comparte y protege la información personal. Formular las preguntas correctas permite evaluar riesgos legales, reputacionales y operativos, y garantiza el cumplimiento de normativas como el Reglamento General de Protección de Datos (RGPD) y otras leyes locales. A continuación se presenta un conjunto completo de preguntas clave organizadas por áreas, con ejemplos, criterios de respuesta y casos ilustrativos.

Preguntas sobre recopilación de datos

• ¿Qué tipos de datos personales se recopilan? (p. ej., identificación, contacto, financieros, salud, biométricos, ubicación)
• ¿Se recogen datos sensibles o de categorías especiales? Si es así, ¿con qué base legal y qué medidas adicionales se aplican?
• ¿Se recogen datos de menores? ¿Cómo se verifica la edad y cómo se solicita el consentimiento parental cuando procede?
• ¿Se recopilan datos por medios automáticos (cookies, sensores, aplicaciones móviles) o por entrada manual? ¿Hay diferencias en el tratamiento?

Ejemplo: una app de salud que pide información médica y datos de ubicación necesita fundamentar esa recolección con una base jurídica clara y aplicar medidas de seguridad estrictas.

Cuestiones relativas a su propósito y utilización

• ¿Con qué propósitos específicos se tratarán los datos, como la prestación del servicio, la facturación, la optimización del producto, acciones de marketing, análisis o el cumplimiento de obligaciones legales?
• ¿Los datos se emplearán en procesos de decisión automatizada o en la elaboración de perfiles, y de qué manera podría esto influir en la persona implicada?
• ¿Se destinarán los datos a usos adicionales no contemplados al inicio, y cómo se comunicará esta novedad para solicitar un nuevo consentimiento cuando sea necesario?

Criterio de respuesta razonable: finalidades específicas, limitadas y documentadas; perfilado explícito con explicaciones y opciones de exclusión cuando afecte derechos.

Cuestiones relativas a la base legal y al consentimiento

• ¿Cuál es la base jurídica para cada tratamiento? (consentimiento, ejecución de contrato, obligación legal, interés legítimo, interés público, protección vital)
• Si se basa en consentimiento, ¿es libre, específico, informado e inequívoco? ¿Cómo se documenta y cómo puede revocarse?
• Si se invoca interés legítimo, ¿se ha realizado un test de ponderación documentado entre intereses de la organización y derechos del individuo?

Caso práctico: numerosas empresas recurren al interés legítimo para actividades de analítica; la organización ha de mantener el análisis de impacto y poner a disposición mecanismos para oponerse.

Preguntas sobre conservación y eliminación

• ¿Durante qué periodo se almacenan las diversas categorías de datos y si hay tiempos específicos según la finalidad prevista?
• ¿Qué factores influyen en la duración del resguardo, como exigencias legales, usos habituales del sector o autorización otorgada?
• ¿De qué manera se llevan a cabo la eliminación y el bloqueo de la información cuando se ejerce el derecho al olvido o cuando deja de ser necesaria?

Orientación práctica: la información destinada a facturación y contabilidad suele conservarse durante los periodos exigidos por la normativa fiscal —a menudo por varios años— mientras que los datos utilizados con fines de marketing deben suprimirse en cuanto se retire el consentimiento.

Preguntas sobre acceso, rectificación y derechos del interesado

• ¿Cómo pueden las personas ejercer sus derechos: acceso, rectificación, supresión, oposición, limitación, portabilidad y no ser objeto de decisiones automatizadas?
• ¿Qué plazos y procedimientos sigue la organización para responder a solicitudes? ¿Hay formularios y canales accesibles?
• ¿Se exige verificación de identidad para evitar divulgaciones indebidas? ¿Cómo se equilibra seguridad y facilidad de ejercicio de derechos?

Una buena señal es contar con procedimientos divulgados, tiempos de respuesta ajustados a la normativa vigente (por ejemplo, contestar en un plazo máximo de un mes) y diversos canales de atención como correo electrónico, formularios o teléfono.

Cuestiones sobre terceros y el traspaso de datos

• ¿Se comparten datos con terceros? ¿Quiénes son (proveedores, socios, anunciantes, autoridades)?
• ¿Qué contratos o cláusulas existen con terceros para garantizar protección equivalente (cláusulas contractuales tipo, acuerdos de encargado de tratamiento)?
• ¿Se realizan transferencias internacionales de datos? ¿Qué garantías se aplican (decisiones de adecuación, garantías apropiadas, reglas corporativas vinculantes)?

Ejemplo: una plataforma que contrata servicios en la nube debe disponer de cláusulas de encargado de tratamiento y garantías para transferencias fuera del área económica correspondiente.

Preguntas sobre seguridad y medidas técnicas y organizativas

• ¿Qué tipo de medidas técnicas, como cifrado, gestión de permisos o respaldos, y qué disposiciones organizativas, como normas internas, capacitación o supervisión de subprocesadores, se han implementado?
• ¿Se llevan a cabo de forma periódica pruebas de seguridad, revisiones técnicas y análisis de vulnerabilidades? ¿Cada cuánto tiempo se efectúan?
• ¿Qué certificaciones o normas se aplican, por ejemplo ISO 27001, y están los informes de auditoría disponibles para clientes o autoridades reguladoras?

Dato útil: una organización responsable debe poder describir el cifrado en tránsito y en reposo, gestión de claves y procedimiento de respuesta a incidentes.

Preguntas sobre brechas de seguridad

• ¿Hay un plan establecido para gestionar incidencias y un protocolo de aviso sobre brechas dirigido a autoridades y personas afectadas, así como un plazo definido para emitir dicha notificación?
• ¿Qué parámetros se emplean para determinar la gravedad y el nivel de riesgo que una situación puede representar para los derechos y libertades de las personas?
• ¿Se registran las conclusiones obtenidas y las acciones de mejora implementadas después de una brecha?

Ejemplo real genérico: cuando se produce una filtración que revela información personal, esta debe comunicarse a la autoridad competente dentro del periodo fijado por la normativa vigente y también notificarse a los afectados si entraña un riesgo elevado.

Preguntas sobre anonimización y seudonimización

• ¿Los datos se procesan mediante anonimización o seudonimización para realizar estudios estadísticos, y qué método se utiliza junto con su grado de posibilidad de revertirlo?
• ¿Se conservan aparte las claves que permiten la reidentificación y quién está autorizado a consultarlas?

Recomendación: la verdaderamente anónima no es reutilizable para identificar personas; la seudonimización reduce riesgos pero sigue considerándose dato personal bajo muchas leyes.

Consultas relacionadas con menores y contenidos destinados a niños

• ¿Cómo se gestiona el consentimiento de menores y la verificación de edad? ¿Qué límites de edad aplica la organización?
• ¿Se limita la recopilación de datos infantiles al mínimo necesario y se evita publicidad dirigida cuando es inapropiada?

Nota normativa: el RGPD determina las edades mínimas para dar consentimiento digital, que por lo general se sitúan en 16 años, aunque los estados miembros pueden rebajarlas hasta los 13.

Preguntas sobre marketing y uso comercial

• ¿Cómo se obtienen y gestionan los consentimientos para comunicaciones comerciales? ¿Existen listas de exclusión y opciones claras de desuscripción?
• ¿Se venden datos a terceros o se usan para perfiles comerciales? ¿Cómo se informa al usuario y qué controles ofrece?

Buenas prácticas: ofrecer controles granulares para tipos de comunicaciones y no ocultar las prácticas comerciales en lenguaje técnico.

Cuestiones relativas a la claridad y la redacción de la política

• ¿La política está redactada en lenguaje claro, accesible y con ejemplos concretos de uso de datos?
• ¿Se resumen los puntos clave en un formato breve y hay accesos directos a información esencial (tipo de datos, finalidades, derechos)?
• ¿Se actualiza la política periódicamente y se notifica a los usuarios sobre cambios materiales?

Indicador de confianza: transparencia activa, resúmenes visuales y preguntas frecuentes que respondan escenarios comunes.

Preguntas sobre responsabilidad, gobernanza y auditoría

• ¿Qué persona dentro de la organización asume la responsabilidad de la protección de datos, ya sea como delegado de protección de datos o figura equivalente, y de qué manera se puede establecer contacto con él o ella?
• ¿Se llevan a cabo auditorías tanto internas como externas y se conserva un registro actualizado de las actividades de tratamiento?
• ¿Hay políticas de capacitación permanente para el personal y procedimientos para valorar el desempeño de los proveedores?

Señal positiva: designación clara de un responsable de privacidad y disponibilidad de registros para las autoridades cuando así lo soliciten.

Cómo analizar las respuestas obtenidas

• Coherencia: las respuestas deben alinearse con las prácticas técnicas verificables; si se afirma que no se comparten datos pero se observan integraciones con terceros, surge una inconsistencia.
• Especificidad: conviene dejar de lado afirmaciones imprecisas como “se aplican medidas razonables” y optar por describir acciones concretas junto con plazos claros.
• Riesgo residual: es necesario determinar si los controles implementados disminuyen el riesgo hasta un umbral aceptable para la actividad y para las personas involucradas.

Un ejemplo de alerta sería no disponer de un procedimiento bien definido para atender las solicitudes de derechos o la ausencia de estipulaciones contractuales con los subcontratistas.

Acciones prácticas tras hacer las preguntas

• Solicitar documentación: políticas, acuerdos de tratamiento, evaluaciones de impacto (EIPD), resultados de auditorías y registros de transferencias.
• Realizar pruebas: ejercer derechos de acceso y supresión, analizar cookies y conexiones de red, revisar permisos de aplicaciones móviles.
• Escalar: si las respuestas son insuficientes, plantear reclamación ante la autoridad competente o buscar asesoría legal especializada.

Plantear las preguntas adecuadas sobre política de privacidad y gestión de datos ayuda a convertir dudas en decisiones bien fundamentadas, al clarificar responsabilidades, reducir riesgos técnicos y legales, resguardar los derechos de cada persona y sostener la confianza. Un análisis exhaustivo integra revisión documental, pruebas operativas y criterios firmes de transparencia, proporcionalidad y seguridad; la solidez de las respuestas expone tanto el nivel de madurez de la organización como su compromiso auténtico con la privacidad y el respeto a las personas.