Inicio › Jurídico › Protección de Datos Personales
La protección de datos personales es el conjunto de derechos y garantías reconocidos a cualquier persona física respecto al tratamiento de sus datos por parte de terceros: empresas, administraciones públicas o cualquier organización que recoja, almacene o utilice información que la identifique (nombre, DNI, email, dirección IP, historial médico, datos bancarios, geolocalización). En España y en toda la Unión Europea se rige principalmente por el Reglamento (UE) 2016/679, conocido como RGPD, y por la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), que lo desarrolla a nivel nacional.
El principio central es que el tratamiento de datos personales debe basarse en una base legítima (consentimiento del interesado, ejecución de un contrato, obligación legal o interés legítimo), debe limitarse a la finalidad informada y debe conservarse solo el tiempo necesario. Toda organización que trate datos de forma habitual debe cumplir principios de minimización, seguridad y transparencia, y en muchos casos designar un Delegado de Protección de Datos (DPO).
Significa que tus datos son tuyos, aunque los tenga guardados otra empresa. Si compras algo online, esa tienda solo puede usar tu email para lo que te dijo que iba a usarlo, no puede vendérselo a un tercero sin tu permiso, y tú puedes pedir en cualquier momento que te digan qué datos tienen, que los corrijan si están mal o que los borren. Es la ley que evita que tus datos circulen sin control una vez se los das a alguien.
Una tienda online de ropa en Sevilla recopila el nombre, dirección y email de sus clientes para gestionar los pedidos, y les pide consentimiento aparte para enviarles newsletters comerciales. Un cliente, tras darse de baja del newsletter, sigue recibiendo emails promocionales seis meses después. El cliente presenta una reclamación ante la Agencia Española de Protección de Datos (AEPD) alegando que se ha vulnerado su derecho de oposición al tratamiento con fines comerciales. La AEPD abre expediente, solicita a la empresa que acredite que dejó de tratar los datos para esa finalidad y, al comprobar que no lo hizo, impone un apercibimiento y ordena el cese inmediato del envío de comunicaciones comerciales a ese cliente.
Cualquier persona puede ejercer sus derechos ARCO-POL (acceso, rectificación, cancelación, oposición, portabilidad, limitación) escribiendo directamente al responsable del tratamiento, que debe responder en el plazo de un mes. Si la empresa no responde o la respuesta no es satisfactoria, el interesado puede presentar una reclamación gratuita ante la AEPD a través de su sede electrónica. Las empresas, por su parte, deben mantener un registro de actividades de tratamiento, realizar evaluaciones de impacto cuando el tratamiento sea de alto riesgo, y notificar a la AEPD cualquier brecha de seguridad en un plazo máximo de 72 horas desde que tengan constancia de ella.
Error 1: pensar que aceptar la política de privacidad de una web equivale a dar consentimiento para todo —el consentimiento debe ser específico para cada finalidad (por ejemplo, gestionar el pedido sí, enviar publicidad no, salvo que se acepte por separado). Error 2: creer que solo las grandes empresas deben cumplir el RGPD —afecta también a autónomos, pymes y asociaciones que traten datos de clientes o socios. Error 3: confundir protección de datos con ciberseguridad —la protección de datos regula el uso legítimo de la información, mientras que la ciberseguridad protege los sistemas frente a accesos no autorizados; ambas se complementan pero no son lo mismo.
Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (RGPD). Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). La Agencia Española de Protección de Datos (AEPD) es la autoridad de control encargada de vigilar su cumplimiento en España.
Es el conjunto de derechos que tiene cualquier persona para controlar cómo se recogen, usan y conservan sus datos personales por parte de empresas, administraciones o particulares.
Sirve para que las personas mantengan el control sobre su información (nombre, email, historial médico, datos bancarios) y puedan exigir a quien los trata que los use de forma lícita, informada y proporcionada.
El RGPD (Reglamento UE 2016/679) es la norma europea directamente aplicable en todos los países de la UE. La LOPDGDD (Ley Orgánica 3/2018) es la ley española que lo desarrolla y adapta a las particularidades del ordenamiento nacional.
Son los derechos que puede ejercer cualquier persona sobre sus datos: Acceso, Rectificación, Cancelación/supresión, Oposición, Portabilidad y Limitación del tratamiento. Se ejercen de forma gratuita ante el responsable del tratamiento.
La Agencia Española de Protección de Datos (AEPD) puede imponer sanciones de hasta 20 millones de euros o el 4% de la facturación anual global, según la gravedad de la infracción.