Fundamentos

Control de datos personales: qué significa y cómo se ejerce

Por Daniel Sardá · Publicado el 21 de octubre de 2026 a las 22:04 UTC

7 min de lectura1.324 palabras

Controlar los datos personales no equivale a poseerlos ni a impedir cualquier uso: significa poder conocer, decidir, cuestionar y obtener remedios frente a su tratamiento.

Una aplicación de transporte solicita la ubicación para encontrar un vehículo. Eso parece razonable. Pero ¿puede conservar el recorrido durante años, combinarlo con hábitos de consumo o compartirlo para una finalidad distinta? La cuestión ya no es solo si la empresa protege bien sus servidores. También importa qué sabe la persona, qué usos puede aceptar o rechazar y qué puede hacer si el tratamiento resulta indebido.

En ese sentido, el control de datos personales es la capacidad efectiva de saber qué información se trata, quién la utiliza y para qué; decidir cuando corresponde; cuestionar ciertos usos; y acudir a un remedio. Es una síntesis útil para el lector, no una definición jurídica universal. Tampoco implica que cada individuo tenga dominio absoluto sobre toda información relacionada con él.

Idea clave: Controlar los datos no significa poder vetar cualquier tratamiento. Significa contar con información, opciones y vías de impugnación dentro de reglas que también obligan a quienes los usan.

Qué convierte una información en dato personal

Un dato personal es información relativa a una persona identificada o identificable. El nombre, el número de documento o una fotografía son ejemplos evidentes, pero la identificación también puede ser indirecta. Una dirección IP, un identificador publicitario o la combinación de ubicación, horario y hábitos pueden señalar a alguien según el contexto y los medios disponibles.

Por eso, quitar el nombre de una base no resuelve necesariamente el problema. La seudonimización sustituye identificadores directos y reduce algunos riesgos, pero permite volver a asociar los registros con una persona mediante información adicional. La anonimización, en cambio, exige que esa persona ya no pueda ser identificada. La Comisión Europea explica esta diferencia dentro del marco europeo.

Algunos ordenamientos conceden protección reforzada a ciertas categorías. En el Reglamento General de Protección de Datos (RGPD), por ejemplo, reciben un trato especial los datos que revelan origen racial o étnico, opiniones políticas, creencias, afiliación sindical, información genética o biométrica identificativa, salud, vida sexual u orientación sexual. La lista y sus efectos no son idénticos en todos los países.

El control se juega durante todo el tratamiento

“Tratamiento” no designa únicamente la recolección. Según la Agencia Española de Protección de Datos, abarca operaciones como registrar, organizar, conservar, consultar, usar, comunicar, limitar, suprimir o destruir datos. El control, por tanto, debe evaluarse a lo largo de todo ese recorrido.

Puede observarse en cinco momentos:

• Recogida: qué información se pide y si resulta pertinente para la finalidad declarada.
• Uso: si se emplea para aquello que la persona podía razonablemente comprender.
• Conservación: durante cuánto tiempo se mantiene y qué razón justifica hacerlo.
• Comunicación: quién más recibe los datos y con qué propósito.
• Supresión o anonimización: qué ocurre cuando la información deja de ser necesaria o se ejerce un derecho aplicable.

Pensemos en un comercio que solicita una dirección para entregar una compra. Puede necesitar conservar parte de la operación para cumplir obligaciones contractuales o legales. Eso no convierte la dirección en un recurso disponible para cualquier campaña, perfil o cesión futura. La finalidad importa, al igual que la base que legitima cada uso.

Privacidad, seguridad y consentimiento no son lo mismo

Estos conceptos se relacionan, pero confundirlos debilita la discusión.

La privacidad protege de forma amplia la vida y la esfera personal. La protección de datos se ocupa de las reglas aplicables a información identificable, aunque esta no revele algo íntimo. Un listado público de nombres puede contener datos personales aun cuando sus elementos no sean secretos.

La seguridad busca evitar accesos, pérdidas o alteraciones no autorizados. Es indispensable, pero no suficiente. Una organización podría custodiar una base con excelentes medidas técnicas y, aun así, utilizarla para una finalidad incompatible con lo anunciado.

El consentimiento es una posible justificación para tratar datos, no una autorización sin límites. Bajo el RGPD debe ser libre, específico, informado e inequívoco. Además, ese régimen reconoce otras bases, como la ejecución de un contrato, una obligación legal o determinadas razones de interés público. Por eso, “no consentí” no demuestra por sí solo que todo tratamiento sea ilícito; y “acepté” tampoco legitima cualquier uso posterior.

Distinción útil: Una casilla marcada puede registrar una decisión, pero no corrige una finalidad vaga, una elección forzada ni una relación con un fuerte desequilibrio de poder.

Qué facultades permiten ejercer el control

Los derechos concretos dependen del país y de la norma aplicable. Como referencia, el RGPD reconoce facultades de información, acceso, rectificación, supresión, limitación, portabilidad y oposición, además de garantías frente a ciertas decisiones automatizadas. La AEPD resume estos derechos, cada uno sujeto a condiciones y excepciones.

En términos prácticos, esas facultades responden a preguntas diferentes:

• Información y acceso: ¿qué saben de mí, de dónde proviene y qué hacen con ello?
• Rectificación: ¿puedo corregir información inexacta?
• Oposición o limitación: ¿puedo cuestionar o restringir determinados usos?
• Supresión: ¿existe una razón para borrar datos que ya no deberían conservarse?
• Reclamación y reparación: ¿quién revisa la conducta si la organización no responde adecuadamente?

No todos estos derechos proceden siempre. Puede haber deberes de conservación, intereses de terceros, obligaciones públicas u otras excepciones. El punto central es que el tratamiento no quede fuera de toda explicación, revisión o responsabilidad.

Esta arquitectura también ayuda a entender por qué hablar de propiedad sobre los datos personales puede dejar fuera aspectos esenciales. El control se construye con derechos, deberes y remedios, no solo con una analogía de posesión.

Por qué el individuo no puede cargar con toda la responsabilidad

La idea de que cada persona controla sus datos leyendo avisos interminables y configurando decenas de opciones ignora una asimetría básica. Las organizaciones diseñan los sistemas, deciden qué información solicitar y suelen conocer mucho mejor las consecuencias de combinarla. Frente a una plataforma dominante o una autoridad pública, la posibilidad real de negociar puede ser mínima.

Por eso el control individual necesita control institucional. Los principios de la OCDE sobre privacidad y flujos transfronterizos de datos incluyen límites a la recogida y al uso, especificación de la finalidad, calidad, seguridad, apertura, participación individual y rendición de cuentas. Son principios internacionales, no un procedimiento legal idéntico en todas partes.

Las organizaciones deben asumir responsabilidades propias: explicar sus prácticas con claridad, limitar los datos y usos a lo justificado, proteger la información y responder por sus decisiones. A su vez, autoridades y tribunales pueden supervisar, ordenar correcciones y ofrecer remedios conforme a la legislación correspondiente. Este entramado evita que la libertad de la persona dependa exclusivamente de su tiempo, conocimientos técnicos o poder de negociación.

Idea clave: La autonomía no consiste en trasladar todo el riesgo al usuario. Requiere límites generales y responsables identificables tanto para actores privados como públicos.

Un criterio práctico antes de entregar datos

Ante una solicitud de información o una política de privacidad, no hace falta descifrar cada cláusula para formular preguntas útiles:

1. ¿Qué dato se solicita y qué permite inferir al combinarlo con otros?
2. ¿La finalidad es concreta y guarda relación con el servicio o función?
3. ¿Quién lo usará, durante cuánto tiempo y con quién podrá compartirlo?
4. ¿Qué opciones y vías de reclamación existen si el uso cambia o causa un perjuicio?

Estas preguntas no garantizan control total. Sí permiten distinguir una relación transparente y limitada de otra basada en permisos vagos y responsabilidades difusas. En ámbitos complejos, como el uso de IA y datos personales, esa distinción resulta todavía más importante.

El control de datos personales es, en último término, una forma de limitar decisiones arbitrarias sobre información vinculada a una persona. Protege la autonomía sin convertirla en una ficción de autosuficiencia: saber y elegir importan, pero solo funcionan cuando existen deberes para quien trata los datos y remedios para quien soporta sus consecuencias.