Protección de Datos de Carácter Personal en España: un recorrido ético, jurídico y práctico

 

Protección de Datos de Carácter Personal en España: un recorrido ético, jurídico y práctico

Un curso completo en diez capítulos para comprender la privacidad como derecho, como cultura y como responsabilidad.

Este recopilatorio reúne los diez capítulos del curso Protección de Datos de Carácter Personal en España. A lo largo de estas páginas, el lector encontrará una visión clara, accesible y rigurosa de la privacidad: desde su raíz ética hasta la aplicación práctica del RGPD, pasando por los derechos de las personas, la gobernanza del dato, la seguridad, el diseño responsable y el papel de la AEPD.

El objetivo no es solo explicar la norma, sino mostrar cómo la privacidad se convierte en una forma de respeto y en un pilar de la confianza en una sociedad digital.

 

🔹 Bloque I — Fundamentos éticos y normativos

Capítulos 1, 2 y 3

Introducción del bloque:

La privacidad no nace en los artículos del RGPD: nace en la dignidad humana. Este bloque explica por qué la privacidad importa hoy, cuál es el marco normativo que la sostiene y cuáles son los principios que guían todo tratamiento de datos personales. Es el cimiento ético y jurídico del curso.

Incluye:

• Capítulo 1 — Por qué la privacidad importa hoy
• Capítulo 2 — El marco normativo que lo sostiene todo
• Capítulo 3 — Los principios del tratamiento: el corazón del RGPD

Capítulo 1 — Por qué la privacidad importa hoy

La privacidad siempre ha estado ahí, silenciosa, discreta, casi invisible. Durante siglos fue un espacio íntimo que cada persona defendía de forma natural: la correspondencia cerrada, la conversación reservada, la vida doméstica. Sin embargo, en el mundo digital ese espacio se ha vuelto frágil. Lo que antes era privado por naturaleza hoy debe ser protegido por diseño.

Este primer capítulo del curso quiere responder a una pregunta esencial: ¿por qué la privacidad importa tanto en nuestro tiempo?

No es una cuestión técnica, ni un simple cumplimiento normativo. Es, sobre todo, una cuestión de dignidad.

 

1. Un derecho que evolucionó con la sociedad

La historia de la privacidad en Europa es la historia de una conquista progresiva.

Primero fue el derecho a la intimidad; después, el derecho a la autodeterminación informativa; finalmente, el reconocimiento de que los datos personales forman parte de la identidad misma de la persona.

En España, la LORTAD de 1992 abrió el camino. Pero fue el Reglamento General de Protección de Datos (RGPD) el que transformó por completo la forma de entender este derecho: ya no basta con cumplir, ahora hay que demostrar que se cumple. La privacidad dejó de ser un apéndice jurídico para convertirse en un principio de gobernanza.

 

2. La privacidad como brújula ética

La protección de datos no es solo un conjunto de obligaciones. Es una forma de mirar a las personas.

Significa reconocer que cada individuo tiene derecho a controlar su información, a decidir qué comparte, con quién y para qué.

En un mundo donde los datos se han convertido en materia prima —para empresas, administraciones, plataformas y algoritmos— la privacidad actúa como un contrapeso ético.

Es la frontera que evita que la tecnología avance sin considerar el impacto humano.

 

3. Privacidad, seguridad y cumplimiento: tres conceptos distintos

A menudo se confunden, pero no son lo mismo:

·       Privacidad: protege a la persona.

·       Seguridad de la información: protege los sistemas y los datos.

·       Cumplimiento: protege a la organización frente a riesgos legales y reputacionales.

El profesional de cumplimiento debe entender cómo se entrelazan, pero también cómo se diferencian. La privacidad no se reduce a medidas técnicas ni a políticas internas: es un derecho fundamental que exige una mirada más amplia.

 

4. Un nuevo paradigma: responsabilidad proactiva

El RGPD introdujo un cambio profundo: la accountability.

Ya no basta con tener documentos; hay que demostrar que las decisiones se toman con criterio, que los riesgos se evalúan, que las personas están informadas, que los tratamientos tienen sentido.

Este enfoque obliga a las organizaciones a integrar la privacidad en su cultura, no como un trámite, sino como una forma de trabajar.

Y obliga a los profesionales a desarrollar una mirada crítica, preventiva y estratégica.

 

5. Un mundo hiperconectado que exige nuevas respuestas

Cada día generamos más datos: biométricos, de geolocalización, de comportamiento, de preferencias.

Los dispositivos nos acompañan, los algoritmos nos analizan, las plataformas nos perfilan.

En este contexto, la privacidad importa porque:

·       protege la autonomía personal,

·       limita el poder de quienes procesan datos,

·       reduce asimetrías entre usuarios y organizaciones,

·       y preserva la confianza, un recurso escaso y valioso.

Sin privacidad, la persona se convierte en un objeto de análisis. Con privacidad, vuelve a ser sujeto de derechos.

 

6. Cierre: la privacidad como forma de respeto

La privacidad no es un obstáculo para la innovación ni un freno para las organizaciones.

Es una forma de hacer las cosas bien.

Es un recordatorio de que detrás de cada dato hay una historia, un rostro, una vida.

Por eso importa hoy más que nunca.

En el próximo capítulo exploraremos el marco normativo que sostiene esta visión: el RGPD, la LOPDGDD y el papel de la AEPD en España.

 

Capítulo 2 — El marco normativo que lo sostiene todo

La protección de datos no se improvisa. Se construye sobre un marco normativo sólido, exigente y en constante evolución.

Comprender ese marco es esencial para cualquier profesional de cumplimiento, pero también para cualquier ciudadano que quiera ejercer sus derechos con conocimiento.

Esta segunda entrada del curso presenta las normas que sostienen la privacidad en España: el Reglamento General de Protección de Datos (RGPD), la Ley Orgánica 3/2018 (LOPDGDD) y el papel de las autoridades de control.

 

1. El RGPD: una norma europea con vocación universal

El Reglamento (UE) 2016/679 cambió las reglas del juego.

Entró en vigor en 2016 y fue aplicable desde mayo de 2018. Su objetivo: armonizar la protección de datos en toda la Unión Europea y devolver el control a las personas.

Sus pilares son:

·       Principios del tratamiento (art. 5): licitud, lealtad, transparencia, minimización, exactitud, etc.

·       Derechos de los interesados: acceso, rectificación, supresión, oposición, portabilidad, limitación.

·       Obligaciones de los responsables: informar, documentar, evaluar riesgos, aplicar medidas de seguridad.

·       Responsabilidad proactiva: demostrar que se cumple, no solo cumplir.

·       Sanciones: hasta 20 millones de euros o el 4% del volumen de negocio global.

El RGPD no solo regula. Educa. Obliga a pensar antes de tratar datos.

 

2. La LOPDGDD: adaptación española al RGPD

La Ley Orgánica 3/2018 complementa y desarrolla el RGPD en España.

Incluye aspectos específicos como:

·       Tratamiento de datos de menores (edad mínima: 14 años)

·       Derechos digitales: neutralidad de la red, educación digital, testamento digital

·       Régimen sancionador español

·       Designación del Delegado de Protección de Datos (DPD)

·       Tratamientos en el ámbito laboral: videovigilancia, geolocalización, control horario

La LOPDGDD no contradice al RGPD, lo interpreta y lo aterriza en nuestra realidad jurídica y social.

 

3. Autoridades de control: garantes del derecho

En España, la Agencia Española de Protección de Datos (AEPD) es la autoridad nacional.

Sus funciones incluyen:

·       Supervisar el cumplimiento de la normativa

·       Resolver reclamaciones

·       Imponer sanciones

·       Publicar guías, herramientas y criterios interpretativos

·       Fomentar la cultura de privacidad

También existen autoridades autonómicas en Cataluña, País Vasco y Andalucía, con competencias limitadas a administraciones públicas de su territorio.

La AEPD se ha convertido en un referente europeo por su enfoque pedagógico y por sus resoluciones claras y ejemplarizantes.

 

4. Normas sectoriales y complementarias

Además del RGPD y la LOPDGDD, existen otras normas que afectan al tratamiento de datos:

·       Ley de Servicios de la Sociedad de la Información (LSSI)

·       Ley General de Sanidad, Ley de Autonomía del Paciente

·       Normativa laboral y de prevención de riesgos

·       Esquema Nacional de Seguridad (ENS)

·       Normas ISO (27001, 27701, 29134)

El profesional de cumplimiento debe conocer este ecosistema normativo para aplicar la protección de datos con criterio y coherencia.

 

5. Cierre: conocer la norma es comprender el espíritu del cumplimiento

La protección de datos no se limita a aplicar artículos.

Implica entender el propósito de cada norma, el equilibrio entre derechos y obligaciones, y el papel que juega la privacidad en una sociedad democrática.

En el próximo capítulo exploraremos los principios del tratamiento, el corazón ético y operativo del RGPD.

 

Capítulo 3 — Los principios del tratamiento: el corazón del RGPD

Toda arquitectura jurídica tiene un núcleo ético. En el caso del RGPD, ese núcleo son los principios del tratamiento de datos personales.

No son simples normas: son convicciones que orientan la acción, límites que protegen a las personas y criterios que permiten evaluar si un tratamiento es legítimo, proporcional y respetuoso.

Este capítulo se adentra en esos principios, no como una lista, sino como una brújula para el profesional de cumplimiento.

 

1. Licitud, lealtad y transparencia

Todo tratamiento debe tener una base jurídica válida (licitud), respetar la confianza del interesado (lealtad) y ser comprensible (transparencia). No basta con informar: hay que hacerlo de forma clara, accesible y útil.

Ejemplo: una cláusula informativa que oculta el propósito real del tratamiento vulnera estos tres principios a la vez.

 

2. Minimización y limitación

Solo deben tratarse los datos necesarios para la finalidad declarada. Además, deben conservarse solo durante el tiempo imprescindible.

Ejemplo: conservar datos de clientes inactivos durante años sin justificación vulnera la limitación temporal.

 

3. Exactitud

Los datos deben ser correctos y actualizados. Si no lo son, deben rectificarse o suprimirse sin demora.

Ejemplo: mantener una dirección errónea en una base de datos puede generar perjuicios y responsabilidades.

 

4. Integridad y confidencialidad

Los datos deben estar protegidos contra accesos no autorizados, pérdidas o destrucción. Esto implica aplicar medidas técnicas y organizativas adecuadas.

Ejemplo: enviar datos personales por correo electrónico sin cifrado puede vulnerar este principio.

 

5. Responsabilidad proactiva (accountability)

El responsable debe demostrar que cumple con todos los principios anteriores. No basta con tener políticas: hay que aplicarlas, documentarlas y revisarlas.

Ejemplo: no disponer de un Registro de Actividades de Tratamiento actualizado puede evidenciar falta de accountability.

 

6. Cómo aplicar los principios en la práctica

Los principios no se aplican por separado. Forman un conjunto coherente que debe guiar:

·       la redacción de cláusulas informativas

·       la elección de bases jurídicas

·       la duración del tratamiento

·       la seguridad de los sistemas

·       la gestión de derechos

·       la evaluación de riesgos

Un tratamiento que respeta los principios es más fácil de defender, más seguro para el interesado y más sólido ante una auditoría.

 

7. Cierre: los principios como brújula ética

Los principios del RGPD no son una carga. Son una guía. Ayudan a tomar decisiones con criterio, a evitar errores y a construir una cultura de privacidad que va más allá del cumplimiento formal.

En el próximo capítulo abordaremos los derechos de las personas: el poder que el RGPD devuelve al ciudadano.

 

🔹 Bloque II — Derechos, roles y gobernanza

Capítulos 4, 5 y 6

Introducción del bloque:

La protección de datos es también una arquitectura de responsabilidades. Este bloque aborda los derechos de las personas, los roles de quienes tratan datos y la seguridad como garantía de confianza. Aquí el lector descubre cómo se articula la protección de datos en la práctica diaria.

Incluye:

• Capítulo 4 — Derechos de las personas: el poder vuelve al ciudadano
• Capítulo 5 — Responsables, encargados y gobernanza del dato
• Capítulo 6 — Seguridad de la información aplicada a datos personales

 

Capítulo 4 — Derechos de las personas: el poder vuelve al ciudadano

Uno de los grandes logros del RGPD es devolver el control al ciudadano. Los datos personales ya no son propiedad de las organizaciones que los recogen: son expresión de la identidad, la voluntad y la dignidad de cada persona.

Este capítulo aborda los derechos de los interesados, no como trámites administrativos, sino como herramientas vivas que permiten ejercer la autodeterminación informativa.

 

1. Los derechos reconocidos por el RGPD

El RGPD consagra un conjunto de derechos que toda persona puede ejercer frente a cualquier responsable del tratamiento:

·       Acceso: saber qué datos se tratan, con qué finalidad, durante cuánto tiempo y a quién se comunican.

·       Rectificación: corregir datos inexactos o incompletos.

·       Supresión (“derecho al olvido”): eliminar datos cuando ya no son necesarios o se ha retirado el consentimiento.

·       Oposición: impedir el tratamiento por motivos personales, salvo que existan razones legítimas prevalentes.

·       Limitación: restringir temporalmente el tratamiento en ciertos casos.

·       Portabilidad: recibir los datos en formato estructurado y transmitirlos a otro responsable.

·       No ser objeto de decisiones automatizadas: especialmente si afectan significativamente al interesado.

Estos derechos no son absolutos, pero sí exigibles. Y deben gestionarse con diligencia.

 

2. Cómo deben gestionarse los derechos

El responsable del tratamiento debe:

·       facilitar el ejercicio de los derechos de forma sencilla

·       responder en un plazo máximo de un mes

·       documentar la solicitud y la respuesta

·       aplicar medidas técnicas y organizativas para garantizar la trazabilidad

·       informar claramente si no se atiende la solicitud y por qué

Ejemplo: si una persona solicita la supresión de sus datos y la organización no responde, puede presentar una reclamación ante la AEPD.

 

3. Errores comunes en la gestión de derechos

·       Formularios inaccesibles o confusos

·       Plazos incumplidos

·       Respuestas incompletas o evasivas

·       Falta de registro de evidencias

·       Delegación en terceros sin garantías

Estos errores no solo vulneran el RGPD, sino que deterioran la confianza del ciudadano y exponen a la organización a sanciones.

 

4. Derechos y decisiones automatizadas

El RGPD protege especialmente frente a decisiones basadas exclusivamente en tratamientos automatizados, como:

·       perfilado comercial

·       scoring financiero

·       selección algorítmica

En estos casos, el interesado tiene derecho a:

·       obtener intervención humana

·       expresar su punto de vista

·       impugnar la decisión

Este derecho es clave en un mundo donde los algoritmos toman decisiones cada vez más relevantes.

 

5. Cierre: ejercer los derechos es ejercer la libertad

Los derechos de protección de datos no son burocracia. Son libertad. Permiten que cada persona decida sobre su información, cuestione tratamientos injustos y exija transparencia.

En el próximo capítulo abordaremos los roles y responsabilidades en el tratamiento: quién decide, quién ejecuta, quién supervisa.

 

Capítulo 5 — Responsables, encargados y gobernanza del dato

La protección de datos no es solo una cuestión jurídica o tecnológica. Es también una cuestión de gobernanza: quién decide, quién ejecuta, quién supervisa.

Comprender los roles en el tratamiento de datos es esencial para aplicar correctamente el RGPD y para evitar errores que pueden tener consecuencias legales y reputacionales.

Este capítulo explica los conceptos clave: responsable, encargado, corresponsables, subencargados, y el papel del Delegado de Protección de Datos (DPD).

 

1. El responsable del tratamiento

Es quien decide los fines y medios del tratamiento.

Puede ser una persona física, jurídica, administración pública, fundación, etc.

Sus obligaciones incluyen:

·       Informar al interesado

·       Garantizar los principios del tratamiento

·       Aplicar medidas de seguridad

·       Documentar decisiones

·       Atender derechos

·       Designar DPD si procede

Ejemplo: una clínica médica que decide qué datos recoger, cómo almacenarlos y con qué finalidad, es responsable del tratamiento.

 

2. El encargado del tratamiento

Es quien trata los datos por cuenta del responsable, siguiendo sus instrucciones. No decide por sí mismo los fines ni los medios.

Debe existir un contrato de encargo que incluya:

·       Objeto, duración, naturaleza y finalidad del tratamiento

·       Tipo de datos y categorías de interesados

·       Obligaciones y derechos del responsable

·       Medidas de seguridad

·       Subencargados autorizados

·       Devolución o destrucción de datos al finalizar el servicio

Ejemplo: una empresa de hosting que almacena datos de clientes por encargo de una tienda online.

 

3. Corresponsables y subencargados

·       Corresponsables: dos o más entidades que deciden conjuntamente los fines y medios del tratamiento. Deben definir sus responsabilidades respectivas y comunicarlo al interesado.

·       Subencargados: terceros contratados por el encargado para realizar parte del tratamiento. Solo pueden intervenir si el responsable lo autoriza expresamente.

Ejemplo: una universidad y una empresa que gestionan conjuntamente una plataforma de prácticas académicas.

 

4. Registro de Actividades de Tratamiento (RAT)

Es un documento obligatorio para responsables y encargados que no sean microempresas.

Debe incluir:

·       Finalidades del tratamiento

·       Categorías de interesados y de datos

·       Destinatarios

·       Transferencias internacionales

·       Plazos de conservación

·       Medidas de seguridad

El RAT no es un formulario. Es una herramienta de control y trazabilidad.

 

5. El Delegado de Protección de Datos (DPD/DPO)

Es una figura clave en la gobernanza del dato. Debe tener conocimientos especializados, actuar con independencia y ser accesible para interesados y autoridades.

Sus funciones incluyen:

·       Informar y asesorar al responsable o encargado

·       Supervisar el cumplimiento

·       Cooperar con la AEPD

·       Ser punto de contacto

No responde personalmente por incumplimientos, pero sí debe actuar con diligencia.

Ejemplo: una administración pública debe designar un DPD por obligación legal.

 

6. Cierre: gobernar el dato es gobernar la confianza

La protección de datos exige claridad en los roles, trazabilidad en las decisiones y responsabilidad compartida. Una buena gobernanza no solo evita sanciones: construye confianza, mejora procesos y fortalece la cultura organizativa.

En el próximo capítulo abordaremos la seguridad de la información aplicada a datos personales.

 

Capítulo 6 — Seguridad de la información aplicada a datos personales

La privacidad no se protege solo con buenas intenciones. Se protege con medidas concretas.

La seguridad de la información es el conjunto de herramientas, políticas y controles que permiten que los datos personales estén a salvo de accesos no autorizados, pérdidas, alteraciones o destrucciones.

Este capítulo explica cómo aplicar la seguridad de forma proporcional, eficaz y alineada con el RGPD.

 

1. Seguridad y privacidad: conceptos distintos pero complementarios

·       Privacidad protege a la persona.

·       Seguridad protege los datos.

·       Ambas se necesitan mutuamente.

Ejemplo: una organización puede tener políticas de privacidad impecables, pero si sus sistemas son vulnerables, los datos estarán en riesgo.

 

2. Principios de la seguridad de la información

La seguridad debe ser:

·       Confidencial: solo acceden quienes están autorizados.

·       Íntegra: los datos no se alteran sin control.

·       Disponible: los datos están accesibles cuando se necesitan.

·       Trazable: se puede saber quién accedió, cuándo y cómo.

·       Resiliente: capaz de recuperarse ante incidentes.

Estos principios se aplican tanto a sistemas como a procesos humanos.

 

3. Medidas técnicas y organizativas

El RGPD exige aplicar medidas “adecuadas” según el riesgo.

No hay recetas universales, pero sí buenas prácticas:

·       Cifrado de datos

·       Control de accesos

·       Copias de seguridad

·       Registro de actividades

·       Evaluación de impacto

·       Formación del personal

·       Políticas de uso de dispositivos

·       Gestión de brechas de seguridad

Ejemplo: una empresa que permite el acceso a datos sensibles sin autenticación fuerte está incumpliendo el principio de confidencialidad.

 

4. Brechas de seguridad: cómo actuar

Una brecha de seguridad es cualquier incidente que afecte a la confidencialidad, integridad o disponibilidad de los datos personales.

El responsable debe:

·       Notificar a la AEPD en máximo 72 horas

·       Informar al interesado si hay alto riesgo

·       Documentar el incidente

·       Analizar causas y consecuencias

·       Aplicar medidas correctoras

Ejemplo: el robo de un portátil sin cifrado que contiene datos personales debe ser notificado.

 

5. Normas y estándares aplicables

Además del RGPD, existen marcos técnicos que ayudan a aplicar la seguridad:

·       Esquema Nacional de Seguridad (ENS)

·       Normas ISO 27001, 27701, 22301

·       Guías de la AEPD sobre seguridad

·       Buenas prácticas sectoriales

El profesional de cumplimiento debe conocer estos marcos para traducir la norma en medidas concretas.

 

6. Cierre: proteger los datos es proteger a las personas

La seguridad no es solo una cuestión técnica. Es una forma de respeto.

Cada medida que protege un dato protege también la confianza, la reputación y la dignidad de quien lo ha compartido.

En el próximo capítulo abordaremos el principio de privacidad desde el diseño y por defecto.

 

🔹 Bloque III — Estrategia, riesgo y responsabilidad

Capítulos 7, 8, 9 y 10

Introducción del bloque:

La privacidad no es estática: se diseña, se evalúa, se protege y se supervisa. Este bloque final muestra cómo integrar la privacidad en el diseño, cómo anticipar riesgos, cómo gestionar brechas y cuál es el papel de la AEPD como garante del derecho.

Incluye:

• Capítulo 7 — Privacidad desde el diseño y por defecto
• Capítulo 8 — Evaluaciones de impacto y gestión de riesgos
• Capítulo 9 — Gestión de brechas de seguridad y notificaciones
• Capítulo 10 — La AEPD y el sistema sancionador

 

Capítulo 7 — Privacidad desde el diseño y por defecto

La privacidad no debe añadirse al final. Debe estar presente desde el principio, como parte del diseño de sistemas, procesos y decisiones.

El RGPD lo establece con claridad: toda organización debe aplicar la privacidad desde el diseño y por defecto.

Este capítulo explica qué significan estos principios, cómo se aplican y por qué son esenciales en un entorno digital complejo.

 

1. ¿Qué es la privacidad desde el diseño?

Es el principio por el cual la protección de datos se incorpora desde el inicio de cualquier proyecto que implique tratamiento de datos personales.

Implica:

·       Identificar riesgos desde la fase de concepción

·       Elegir tecnologías que favorezcan la privacidad

·       Documentar decisiones técnicas y organizativas

·       Incluir cláusulas informativas desde el primer prototipo

·       Consultar al delegado de Protección de Datos en fases tempranas

Ejemplo: una app que recoge datos de geolocalización debe prever desde el diseño cómo informar, limitar y proteger esos datos.

 

2. ¿Qué es la privacidad por defecto?

Es el principio por el cual, por defecto, solo se tratan los datos necesarios, durante el tiempo necesario, y solo por quienes deben acceder.

Implica:

·       Configuraciones iniciales restrictivas

·       Consentimientos desmarcados por defecto

·       Visibilidad limitada de perfiles

·       Conservación mínima

·       Accesos segmentados

Ejemplo: una red social que muestra públicamente todos los datos del perfil sin intervención del usuario vulnera este principio.

 

3. Medidas concretas para aplicar estos principios

·       Evaluaciones de impacto desde la fase de diseño

·       Políticas de desarrollo seguro

·       Interfaces que favorezcan decisiones informadas

·       Configuraciones iniciales respetuosas

·       Revisión periódica de parámetros por defecto

·       Formación de equipos técnicos y de producto

La privacidad desde el diseño no es solo una exigencia legal: es una forma de construir confianza.

 

4. Normas y guías que apoyan estos principios

·       Guía de la AEPD sobre privacidad desde el diseño

·       Norma ISO 29134 sobre evaluaciones de impacto

·       Norma ISO 27550 sobre privacidad por diseño

·       Principios de diseño ético en inteligencia artificial

·       Recomendaciones del Comité Europeo de Protección de Datos

Estas referencias ayudan a traducir el principio en prácticas concretas.

 

5. Cierre: diseñar con privacidad es diseñar con respeto

La privacidad desde el diseño y por defecto no es una moda ni una carga. Es una forma de respeto hacia las personas, una garantía de calidad y una estrategia de sostenibilidad.

Quien diseña con privacidad, diseña con futuro.

En el próximo capítulo abordaremos las evaluaciones de impacto y gestión de riesgos.

 

Capítulo 8 — Evaluaciones de impacto y gestión de riesgos

La protección de datos no se improvisa. Se planifica. Y para planificar bien, hay que anticipar los riesgos.

El RGPD exige realizar Evaluaciones de Impacto relativas a la Protección de Datos (EIPD) cuando un tratamiento pueda implicar un alto riesgo para los derechos y libertades de las personas.

Este capítulo explica cuándo hacer una EIPD, cómo estructurarla y cómo integrar la gestión de riesgos en la cultura organizativa.

 

1. ¿Qué es una EIPD y cuándo es obligatoria?

Una EIPD es un análisis sistemático que permite:

·       Identificar riesgos

·       Evaluar su probabilidad y gravedad

·       Proponer medidas para mitigarlos

·       Documentar decisiones

Es obligatoria cuando el tratamiento:

·       implica evaluación sistemática de aspectos personales

·       trata datos sensibles a gran escala

·       incluye vigilancia sistemática

·       afecta a colectivos vulnerables

·       implica uso de tecnologías emergentes

Ejemplo: una empresa que implanta reconocimiento facial en accesos laborales debe realizar una EIPD.

 

2. Estructura básica de una EIPD

Una EIPD debe incluir:

·       Descripción del tratamiento

·       Finalidades

·       Bases jurídicas

·       Evaluación de necesidad y proporcionalidad

·       Identificación de riesgos

·       Medidas previstas

·       Consulta al DPD

·       Conclusión sobre la viabilidad del tratamiento

No es un formulario. Es un ejercicio de reflexión y responsabilidad.

 

3. Tipos de riesgos a considerar

·       Acceso no autorizado

·       Pérdida o destrucción de datos

·       Tratamiento excesivo o injustificado

·       Falta de transparencia

·       Discriminación algorítmica

·       Imposibilidad de ejercer derechos

Cada riesgo debe analizarse en términos de probabilidad y gravedad.

 

4. Medidas para mitigar riesgos

·       Cifrado y seudonimización

·       Limitación de acceso

·       Revisión de cláusulas informativas

·       Configuraciones respetuosas

·       Evaluación humana en decisiones automatizadas

·       Auditorías internas

·       Formación continua

Ejemplo: si se detecta riesgo de discriminación en un sistema de selección automatizado, debe incluirse revisión humana obligatoria.

 

5. Guías y herramientas disponibles

·       Guía de la AEPD sobre EIPD

·       Norma ISO 29134

·       Listas de tratamientos que requieren EIPD (AEPD)

·       Metodologías sectoriales

·       Plantillas y software de apoyo

Estas herramientas ayudan a estructurar el análisis y a documentar decisiones con rigor.

 

6. Cierre: anticipar el riesgo es proteger la confianza

Una EIPD bien hecha no solo cumple la norma. Demuestra que la organización piensa antes de actuar, que respeta a las personas y que construye procesos seguros y sostenibles.

En el próximo capítulo abordaremos la gestión de brechas de seguridad y notificaciones.

 

Capítulo 9 — Gestión de brechas de seguridad y notificaciones

La seguridad absoluta no existe. Por eso, el RGPD no solo exige prevenir, sino también saber actuar cuando algo falla.

Una brecha de seguridad puede poner en riesgo los datos personales y, con ellos, la confianza de los interesados.

Este capítulo explica cómo identificar una brecha, cómo gestionarla y cuándo debe notificarse a la autoridad y al afectado.

 

1. ¿Qué es una brecha de seguridad?

El RGPD define la brecha como “toda violación de la seguridad que ocasione la destrucción, pérdida o alteración de datos personales, o la comunicación o acceso no autorizado a dichos datos”.

Ejemplos:

·       Robo de dispositivos sin cifrado

·       Acceso indebido a bases de datos

·       Pérdida de documentos físicos

·       Envío de correos masivos con destinatarios visibles

·       Ataques de ransomware

No todas las brechas deben notificarse, pero todas deben documentarse y analizarse.

 

2. ¿Qué hacer ante una brecha?

El responsable debe:

1.    Detectar la brecha lo antes posible

2.    Evaluar si implica riesgo para los derechos de las personas

3.    Notificar a la AEPD en un máximo de 72 horas si hay riesgo

4.    Informar al interesado si el riesgo es alto

5.    Documentar el incidente, causas, consecuencias y medidas

6.    Aplicar medidas correctoras y preventivas

Ejemplo: si se filtran datos de salud de pacientes, debe notificarse a la AEPD y a los afectados.

 

3. ¿Qué debe incluir la notificación a la AEPD?

·       Naturaleza de la brecha

·       Categorías y número de afectados

·       Consecuencias probables

·       Medidas adoptadas

·       Datos de contacto del DPD

·       Justificación si se notifica fuera de plazo

La AEPD puede requerir información adicional o iniciar actuaciones.

 

4. ¿Cómo informar al interesado?

Debe hacerse de forma:

·       Clara y comprensible

·       Sin tecnicismos innecesarios

·       Indicando riesgos y medidas adoptadas

·       Ofreciendo canales de contacto

Ejemplo: un correo directo explicando el incidente, sus efectos y cómo protegerse.

 

5. Herramientas y buenas prácticas

·       Protocolos internos de gestión de brechas

·       Registro de incidentes

·       Simulacros y formación

·       Guías de la AEPD

·       Normas ISO 27035 (gestión de incidentes)

·       Coordinación con el DPD y el equipo técnico

Una brecha bien gestionada puede convertirse en una oportunidad para mejorar.

 

6. Cierre: comunicar bien es proteger mejor

Ante una brecha, el silencio no protege. La transparencia, la rapidez y la empatía son claves para preservar la confianza.

Gestionar bien una brecha no solo cumple la norma: honra a quienes confiaron sus datos.

En el próximo capítulo abordaremos el papel de la AEPD y el sistema sancionador.

 

Capítulo 10 — La AEPD y el sistema sancionador

Toda norma necesita una autoridad que la vigile y un sistema que la haga cumplir. En España, esa autoridad es la Agencia Española de Protección de Datos (AEPD).

Su papel no es solo sancionar: es orientar, supervisar y proteger los derechos fundamentales relacionados con el tratamiento de datos personales.

Este capítulo explica las funciones de la AEPD, el régimen sancionador del RGPD y cómo debe actuar una organización ante una investigación.

 

1. ¿Qué es la AEPD y qué funciones tiene?

La AEPD es la autoridad independiente encargada de:

·       Velar por el cumplimiento del RGPD y la LOPDGDD

·       Atender reclamaciones de ciudadanos

·       Supervisar tratamientos públicos y privados

·       Emitir resoluciones y recomendaciones

·       Publicar guías y herramientas

·       Imponer sanciones cuando procede

Ejemplo: si una persona denuncia que sus datos han sido tratados sin consentimiento, la AEPD puede investigar y sancionar.

 

2. ¿Cómo actúa la AEPD ante una reclamación?

El procedimiento puede incluir:

·       Admisión a trámite

·       Requerimiento de información

·       Investigación

·       Propuesta de resolución

·       Alegaciones

·       Resolución final

La organización debe colaborar, responder con diligencia y aportar evidencias de cumplimiento.

 

3. El régimen sancionador del RGPD

Las infracciones se clasifican en:

·       Leves: por ejemplo, falta de actualización del RAT

·       Graves: por ejemplo, incumplimiento de derechos

·       Muy graves: por ejemplo, tratamiento sin base jurídica

Las sanciones pueden llegar hasta:

·       10 millones de euros o el 2 % del volumen de negocio (infracciones leves o graves)

·       20 millones de euros o el 4 % del volumen de negocio (infracciones muy graves)

La AEPD puede aplicar también medidas correctoras, apercibimientos o requerimientos.

 

4. Cómo prevenir sanciones: cultura de cumplimiento

·       Mantener documentación actualizada

·       Atender derechos en plazo

·       Aplicar medidas de seguridad

·       Realizar EIPD cuando proceda

·       Consultar al DPD

·       Formar al personal

·       Revisar cláusulas y contratos

Ejemplo: una empresa que demuestra diligencia y buena fe puede recibir un apercibimiento en lugar de una multa.

 

5. Recursos y guías de la AEPD

·       Canal del ciudadano

·       Canal del responsable

·       Guías temáticas (menores, brechas, consentimiento, etc.)

·       Herramientas como Facilita RGPD

·       Informes jurídicos y resoluciones

Consultar estos recursos permite anticiparse a errores y mejorar prácticas.

 

6. Cierre: cumplir no es temer, es respetar

La AEPD no es un enemigo. Es una garantía. Su existencia permite que los derechos se ejerzan, que las organizaciones se orienten y que la privacidad sea una realidad.

Cumplir no es temer la sanción: es respetar a las personas.

Este curso termina aquí, pero la privacidad no. La protección de datos es un compromiso continuo: una forma de trabajar, de diseñar y de relacionarse con las personas. Ojalá este recorrido sirva para reforzar una idea esencial: detrás de cada dato hay una vida, y protegerla es una forma de respeto.