Fundamentos
Legislación de protección de datos: qué regula y cómo identificar la norma aplicable
8 min de lectura1.591 palabras
Compartir
En este artículo · 8 secciones
La protección de datos no consiste solo en mantener información segura: establece límites, responsabilidades y derechos sobre su recogida y uso.
Dar un correo electrónico para recibir una factura o usar una aplicación de transporte son actos cotidianos. En cada caso, alguien recoge información vinculada con una persona. La legislación de protección de datos establece cuándo puede tratarse, con qué finalidad y bajo qué controles.
No existe, sin embargo, una ley mundial única. Hay normas nacionales y regionales, además de instrumentos internacionales con distinta fuerza jurídica. Por eso, una explicación general sirve para reconocer la arquitectura habitual de estos regímenes, pero no sustituye la consulta de la ley y la autoridad competentes en un caso concreto.
Qué son los datos personales y qué significa tratarlos
Un dato personal es información relativa a una persona física identificada o identificable. Un nombre puede identificarla directamente; una matrícula, una dirección IP o una combinación de elementos quizá permita hacerlo indirectamente. El contexto importa: varios datos reunidos pueden identificar aunque cada uno por separado no lo haga.
El tratamiento comprende mucho más que vender datos o analizarlos mediante algoritmos. Recogerlos, ordenarlos, consultarlos, comunicarlos, conservarlos y suprimirlos son también operaciones de tratamiento. Estas definiciones aparecen, con formulaciones propias, en normas como el Reglamento General de Protección de Datos de la Unión Europea (RGPD) y en legislaciones nacionales.
La persona a la que se refiere la información suele denominarse titular o interesada. Quien decide para qué se utilizará y cómo se realizará el tratamiento en sus aspectos esenciales es el responsable. Quien procesa los datos por cuenta e instrucciones del responsable es el encargado.
Pensemos en un comercio que reúne las direcciones de sus clientes y contrata un servicio de alojamiento en la nube. El comercio no deja de ser responsable por externalizar la infraestructura; el proveedor puede actuar como encargado. La función real de cada parte, y no solo el nombre escrito en el contrato, determina su papel.
Idea clave: La legislación no se ocupa únicamente de filtraciones. Ordena todo el ciclo de los datos, desde su recogida hasta su eliminación.
Privacidad, protección de datos y seguridad no son lo mismo
Los tres conceptos se relacionan, pero cumplen funciones distintas.
La privacidad es un ámbito más amplio de autonomía y vida personal. La protección de datos la traduce en reglas sobre información vinculada con personas: principios, bases jurídicas, derechos y responsabilidades. La seguridad de la información reúne medidas para evitar accesos indebidos, pérdidas o alteraciones.
Una base de datos puede estar cifrada y muy bien protegida frente a intrusos, pero haber sido creada para una finalidad ilegítima o con información excesiva. También puede existir una finalidad permitida y, al mismo tiempo, una seguridad deficiente. En el primer supuesto falla la licitud o la proporcionalidad; en el segundo, las salvaguardas. La seguridad es indispensable, pero no basta para cumplir toda la legislación.
Algo parecido sucede con la seudonimización. Sustituir nombres por códigos reduce riesgos, pero no vuelve necesariamente anónimos los registros. Si es razonablemente posible vincularlos de nuevo con una persona, siguen siendo datos personales.
Los principios que ordenan el tratamiento
Aunque las fórmulas legales varían, numerosos sistemas comparten un conjunto reconocible de principios. Las Directrices de la OCDE sobre privacidad ofrecen un marco comparativo; el RGPD y distintas leyes nacionales convierten varios de esos principios en obligaciones exigibles dentro de sus ámbitos.
En términos generales, el tratamiento debería:
- tener una base jurídica reconocida y realizarse de manera leal y transparente;
- responder a finalidades determinadas, sin reutilizaciones incompatibles;
- recoger datos adecuados y no excesivos para esas finalidades;
- procurar que la información sea exacta y se mantenga actualizada cuando corresponda;
- conservarla solo durante el tiempo justificado;
- aplicar medidas de seguridad apropiadas al riesgo;
- permitir que el responsable demuestre cómo cumple sus deberes.
Estos principios ayudan a evaluar decisiones concretas. Si un organismo público recoge datos para administrar un padrón y luego quiere reutilizarlos para otro propósito, no basta con que ya los posea. Debe preguntarse si la nueva finalidad está jurídicamente autorizada, si es compatible con la original y qué garantías exige.
El consentimiento es una base, no la única
Un error común consiste en reducir la protección de datos a aceptar o rechazar una casilla. El consentimiento puede ser una base jurídica, pero muchas leyes reconocen otras: la ejecución de un contrato, el cumplimiento de una obligación legal, la protección de intereses vitales o el ejercicio de funciones de interés público, entre otras posibilidades.
Tampoco cualquier aceptación constituye un consentimiento válido. La libertad para decidir, la información recibida y la posibilidad real de negarse pueden ser relevantes según el régimen. La fatiga ante avisos interminables muestra por qué más clics no equivalen necesariamente a más autonomía. También importan la minimización, la transparencia comprensible, la responsabilidad de quien decide y unas vías efectivas de reclamación.
Idea clave: Preguntar «¿hubo consentimiento?» no resuelve por sí solo la licitud. Primero hay que identificar qué bases admite la norma aplicable y qué condiciones impone.
Qué derechos puede tener la persona
Las leyes suelen reconocer mecanismos para que la persona sepa y cuestione qué ocurre con su información. El contenido exacto, las excepciones y los plazos cambian entre jurisdicciones, pero los derechos pueden incluir:
- recibir información sobre el tratamiento;
- acceder a los datos y obtener una copia;
- corregir información inexacta;
- solicitar su supresión o cancelación en determinados supuestos;
- oponerse a ciertos usos o pedir que se limite el tratamiento;
- recibir datos en un formato portable bajo condiciones específicas;
- impugnar o pedir revisión de algunas decisiones automatizadas.
Estos derechos no existen de igual modo en todos los países ni son absolutos. Una solicitud de supresión, por ejemplo, puede tener límites si una ley obliga a conservar registros. La explicación sobre titularidad y control de los datos personales profundiza en la diferencia entre control y propiedad.
Qué deben hacer responsables y encargados
La legislación suele concentrar en el responsable el deber de justificar el tratamiento y organizar su cumplimiento. Esto puede exigir información clara, documentación de decisiones, atención de solicitudes, control de proveedores, medidas de seguridad y respuesta ante incidentes. La intensidad de cada obligación depende del riesgo, la escala, el tipo de datos y la ley aplicable.
El encargado no es un simple espacio sin responsabilidad. Debe actuar dentro de las instrucciones lícitas recibidas y cumplir los deberes que el régimen le atribuya. A su vez, el responsable no puede trasladar toda su rendición de cuentas mediante un contrato. Diseñar bien esa relación ayuda a que las responsabilidades sigan las decisiones efectivas.
El sector también puede cambiar el marco. México, por ejemplo, cuenta con una ley federal para particulares y una ley general para sujetos obligados. La separación ilustra una cuestión más amplia: antes de asumir qué obligaciones o remedios existen, hay que saber si los datos están en manos de una empresa, una organización civil o una entidad pública.
Autoridades, reclamaciones y límites legítimos
Según el país, pueden intervenir autoridades especializadas, tribunales u otros órganos administrativos. Sus competencias e independencia deben comprobarse en la legislación vigente y las fuentes oficiales.
La protección de datos tampoco opera en el vacío. Puede entrar en tensión con la libertad de expresión, el acceso a información pública, la investigación, la seguridad, la innovación o la ejecución de contratos. Resolver esas tensiones exige reglas claras, excepciones delimitadas y decisiones proporcionales y revisables; no la afirmación automática de que un interés siempre vence a los demás.
Desde una perspectiva liberal, el propósito valioso de este campo es limitar usos arbitrarios de información tanto por empresas como por poderes públicos, sin impedir usos legítimos. Para lograrlo, las obligaciones deberían ser previsibles y proporcionales al riesgo. Un régimen opaco o excesivamente rígido puede elevar barreras de entrada y favorecer a quienes pueden absorber altos costos de cumplimiento. Un régimen débil, en cambio, deja a las personas expuestas ante organizaciones con mucha más información y capacidad de decisión.
Idea clave: Proteger la autonomía requiere límites al poder informacional, pero también reglas generales y revisables que no conviertan todo uso de datos en una prohibición.
Cómo localizar la legislación aplicable
El país donde está el servidor rara vez resuelve por sí solo la cuestión. Como mapa inicial —no como dictamen jurídico— conviene formular cinco preguntas:
- ¿Quién trata los datos? Identifique a la organización que decide la finalidad, a sus proveedores y si pertenece al sector público o privado.
- ¿Dónde opera? Revise el lugar de establecimiento y las actividades relevantes, no solo la ubicación técnica de la infraestructura.
- ¿A quién afecta? La residencia o ubicación de las personas puede activar ciertas normas; la ciudadanía, por sí sola, no siempre es el criterio.
- ¿Qué actividad realiza? El sector, el tipo de datos, la finalidad y prácticas como ofrecer bienes o vigilar comportamientos pueden modificar el análisis.
- ¿Qué fecha importa? Compruebe la versión vigente de la ley y sus disposiciones transitorias.
La fecha merece especial atención. En Chile, por ejemplo, la Ley 19.628 continúa rigiendo al 22 de octubre de 2026, mientras que la reforma integral de la Ley 21.719 tiene vigencia diferida al 1 de diciembre de 2026. Leer una norma futura sin revisar cuándo entra en vigor puede llevar a presentar como actuales derechos, obligaciones o instituciones que todavía no lo son.
El paso final es consultar el texto consolidado de la ley, la autoridad oficial competente y, si el caso puede producir consecuencias importantes, asesoramiento jurídico en la jurisdicción correspondiente. La arquitectura común permite hacer mejores preguntas; la respuesta exigible siempre depende de la norma vigente y de los hechos.