“Protección de Datos: Aclarando conceptos” Entrada 9 — Privacy by design & privacy by default: cómo integrarlos en el diseño real de productos, procesos y sistemas

 

“Protección de Datos: Aclarando conceptos”

Entrada 9 — Privacy by design & privacy by default: cómo integrarlos en el diseño real de productos, procesos y sistemas

1. Por qué este concepto necesita aclararse

En protección de datos, pocas expresiones se repiten tanto y se aplican tan poco como:

• privacy by design,
• privacy by default.

Muchas organizaciones los incluyen en políticas, auditorías y presentaciones, pero:

• no saben cómo aplicarlos en el diseño de un producto,
• no los integran en procesos internos,
• no los traducen en decisiones técnicas,
• y no los documentan como exige el RGPD.

El resultado es que estos principios se convierten en eslóganes vacíos. Esta entrada explica qué significan realmente y cómo aplicarlos de forma práctica.

2. Qué es privacy by design (y qué no es)

Privacy by design significa que la protección de datos debe integrarse desde el diseño del producto, proceso o sistema, no después.

Implica:

• definir finalidades claras antes de recoger datos,
• elegir la base jurídica adecuada desde el inicio,
• aplicar minimización en la arquitectura,
• incorporar medidas técnicas desde la fase de diseño,
• prever riesgos antes de que aparezcan,
• y documentar decisiones desde el primer boceto.

Errores comunes:

• añadir medidas de seguridad al final del proyecto,
• diseñar sistemas que recogen más datos de los necesarios,
• no involucrar al DPO en la fase de diseño,
• no realizar análisis de riesgos antes de desarrollar.

Privacy by design = decisiones estructurales.

3. Qué es privacy by default (y qué no es)

Privacy by default significa que, por defecto, el sistema debe:

• recoger solo los datos necesarios,
• usar solo las configuraciones más protectoras,
• limitar accesos al mínimo,
• no activar funcionalidades intrusivas sin acción del usuario,
• y no permitir usos secundarios sin base jurídica.

Ejemplos de privacy by default:

• configuraciones iniciales que desactivan geolocalización,
• perfiles privados por defecto,
• formularios con campos mínimos,
• retención limitada por defecto,
• accesos restringidos desde el primer día.

Errores comunes:

• sistemas que activan todo por defecto,
• configuraciones que maximizan la recopilación de datos,
• accesos amplios para todos los empleados,
• retenciones indefinidas sin justificación.

Privacy by default = decisiones de configuración.

4. Cómo se relacionan ambos principios (modelo operativo)

Privacy by design actúa en la fase de diseño

→ arquitectura, finalidades, flujos de datos, medidas técnicas.

Privacy by default actúa en la fase de configuración y uso

→ parámetros, accesos, retención, opciones del usuario.

Regla práctica:

• Design define el marco.
• Default define el comportamiento inicial.

5. Cómo aplicar estos principios en la práctica (modelo realista)

Paso 1 — Involucrar al DPO desde el inicio

No al final. No para “validar”. Para diseñar.

Paso 2 — Mapear los datos antes de construir

Qué datos entran, por qué, para qué y durante cuánto tiempo.

Paso 3 — Aplicar minimización estructural

Eliminar campos innecesarios antes de que existan.

Paso 4 — Diseñar medidas técnicas desde el principio

Cifrado, seudonimización, segmentación, control de accesos.

Paso 5 — Configurar el sistema con opciones protectoras

No dejar la privacidad en manos del usuario.

Paso 6 — Documentar decisiones

Cada decisión debe tener una justificación y un registro.

Paso 7 — Revisar periódicamente

Los sistemas cambian, los riesgos también.

6. Señales de que una empresa no aplica estos principios

• El DPO revisa proyectos cuando ya están terminados.
• Los sistemas recogen más datos de los necesarios.
• Las configuraciones por defecto son intrusivas.
• No existen revisiones periódicas.
• No hay documentación de decisiones de diseño.
• Los accesos son amplios y no están segmentados.
• Las retenciones son indefinidas.

7. Cierre: hacia la Entrada 10

Comprender y aplicar privacy by design y privacy by default permite construir sistemas más seguros, más eficientes y más respetuosos con los derechos de las personas. Son principios que, bien aplicados, reducen riesgos, simplifican auditorías y fortalecen la confianza.

La Entrada 10 abordará un concepto crítico en la era de la IA:

Datos inferidos: qué son, por qué también son datos personales y qué obligaciones generan.