Fundamentos

Privacidad por diseño: qué es, principios y cómo se aplica

Por Daniel Sardá · Publicado el 22 de octubre de 2026 a las 22:09 UTC

6 min de lectura1.305 palabras

La privacidad por diseño incorpora límites y salvaguardas desde la primera decisión sobre los datos, en lugar de añadir controles cuando el sistema ya está construido.

Antes de crear un formulario, una aplicación o un procedimiento administrativo hay una decisión que condiciona todas las demás: qué datos se pedirán, para qué se usarán y durante cuánto tiempo se conservarán. La privacidad por diseño consiste en responder esas preguntas desde el comienzo e incorporar las salvaguardas necesarias durante todo el ciclo de vida de la información. No es una capa que se añade cuando el sistema ya está terminado.

El enfoque busca prevenir problemas, no limitarse a repararlos. Si una organización descubre al final que recopila información innecesaria, quizá ya haya construido procesos, permisos y modelos de negocio alrededor de ella. Corregirlos será más difícil que haber establecido límites desde la primera decisión.

Idea clave: La primera medida de privacidad no es ocultar mejor todos los datos, sino decidir cuáles no hace falta recoger.

Qué significa privacidad por diseño

La expresión fue desarrollada por Ann Cavoukian desde la década de 1990. Su formulación reúne siete principios fundacionales: actuar de forma proactiva, proteger la privacidad de manera predeterminada, integrarla en el diseño, buscar soluciones de suma positiva, proteger los datos durante todo su ciclo de vida, ofrecer visibilidad y transparencia, y respetar los intereses de la persona usuaria.

No conviene tratar esos principios como siete casillas independientes. Juntos proponen una forma de tomar decisiones: anticipar riesgos; limitar la información a una finalidad definida; integrar las protecciones en la arquitectura y en la organización; y permitir que las personas comprendan y controlen lo que ocurre con sus datos.

La Agencia Española de Protección de Datos vincula este enfoque con las primeras fases de cualquier tratamiento y con su ciclo completo. Eso incluye no solo la recogida, sino también el uso, los accesos, la conservación, la comunicación y la eliminación.

Diseño, configuración por defecto y seguridad no son lo mismo

Estos conceptos se apoyan entre sí, pero responden a preguntas diferentes.

Privacidad por diseño se refiere a la arquitectura y al proceso. Obliga a pensar de antemano qué finalidad justifica el tratamiento, qué información es necesaria, quién podrá usarla y cómo dejará de estar disponible.

Privacidad por defecto describe lo que sucede cuando la persona no cambia ninguna opción. La configuración inicial debe ser protectora: no compartir públicamente un perfil, activar un seguimiento opcional ni conservar datos de manera indefinida sin una decisión consciente. Diseñar es organizar el sistema; configurar por defecto es asegurar que su punto de partida use y exponga solo lo necesario.

Seguridad de la información protege los datos frente a accesos, alteraciones o pérdidas indebidas. Es indispensable, pero no responde por sí sola a la pregunta previa: ¿debían recopilarse esos datos? Un sistema puede cifrar y custodiar con gran eficacia información que nunca necesitó pedir. Por eso, privacidad y seguridad no son lo mismo.

Tampoco son equivalentes el cifrado, la seudonimización, la anonimización o el consentimiento. Pueden ser medidas útiles en ciertos contextos, pero ninguna resuelve por sí sola las decisiones sobre finalidad, necesidad, accesos y conservación.

Distinción útil: La seguridad pregunta cómo proteger los datos. La privacidad también pregunta si deben existir, quién decide sobre ellos y cuándo deben eliminarse.

Los criterios que orientan una decisión

Aplicar privacidad desde el diseño exige convertir ideas generales en criterios observables:

• Finalidad definida: explicar para qué se necesita cada dato antes de recogerlo y evitar reutilizaciones incompatibles o inesperadas.
• Minimización: limitar la cantidad de datos, sus usos, el tiempo de conservación y las personas con acceso. No significa recopilar “lo mínimo” en abstracto, sino lo necesario para una finalidad concreta.
• Protección predeterminada: hacer que la opción inicial sea la menos invasiva entre las que permiten prestar el servicio.
• Accesos limitados: permitir que cada persona o sistema consulte solo la información necesaria para su función.
• Transparencia y control: comunicar las decisiones de forma comprensible y ofrecer mecanismos efectivos para ejercer las opciones disponibles.
• Revisión continua: comprobar si la finalidad, los riesgos o la tecnología han cambiado y retirar los datos cuando dejan de ser necesarios.

Hay decisiones difíciles. Reducir la recogida puede limitar una función o un análisis futuro, e integrar salvaguardas puede requerir más trabajo inicial. El enfoque no niega esos costes: obliga a hacerlos visibles y a justificar por qué una intromisión es necesaria. También invita a buscar alternativas que conserven la utilidad sin acumular información por simple inercia.

Un ejemplo: el formulario que pide de más

Imaginemos una organización que prepara un formulario para enviar un boletín. La primera versión solicita nombre completo, fecha de nacimiento, dirección postal, teléfono y correo electrónico. La razón no es que todos esos datos sean indispensables, sino que “quizá sirvan más adelante”.

Una revisión basada en privacidad por diseño comienza por la finalidad actual: entregar el boletín. Si basta con una dirección de correo, los demás campos se eliminan. A continuación, la organización limita el acceso a la lista, informa con claridad qué enviará, evita activar usos adicionales sin una elección separada y establece cuándo borrará los registros inactivos. También decide cómo atender una solicitud de baja y cómo comprobar que la eliminación funciona.

La protección no depende de un solo control. Recorre el ciclo de vida:

1. definir la finalidad antes de recoger;
2. pedir únicamente los datos necesarios;
3. restringir su utilización y sus accesos;
4. fijar un plazo de conservación justificable;
5. eliminar o transformar la información de manera efectiva al terminar ese plazo.

Este caso es sencillo, pero revela el cambio principal: los datos dejan de considerarse un recurso que conviene acumular “por si acaso”. Cada recogida crea capacidad de observar, clasificar o influir sobre otras personas y, por tanto, necesita una razón.

Un principio orientador y, en Europa, una obligación concreta

La privacidad por diseño es un marco más amplio y anterior al Reglamento General de Protección de Datos. Dentro del ámbito de aplicación del RGPD, sin embargo, la protección de datos desde el diseño y por defecto constituye una obligación jurídica concreta.

El artículo 25 del RGPD exige al responsable aplicar medidas técnicas y organizativas apropiadas, teniendo en cuenta factores como la naturaleza, el contexto, los fines, los riesgos, el estado de la técnica y el coste. También establece que, por defecto, solo se traten los datos necesarios para cada finalidad específica. Las directrices del Comité Europeo de Protección de Datos subrayan que las medidas deben considerarse antes y durante el tratamiento y revisarse según el caso.

Esto no convierte el RGPD en una norma universal ni permite concluir que adoptar una medida aislada garantiza el cumplimiento. La ley aplicable, la base jurídica, el contexto y los riesgos siguen importando. Para entender ese plano normativo conviene distinguir el método de diseño del derecho a la privacidad y del concepto más amplio de privacidad.

Advertencia: Adoptar los siete principios no certifica cumplimiento, anonimato ni seguridad total. El resultado depende de decisiones verificables y de una revisión sostenida.

Limitar el poder informacional desde el inicio

La privacidad por diseño no promete riesgo cero. Tampoco sustituye la seguridad, la responsabilidad de quien trata los datos ni el examen de la legislación aplicable. Su aporte es más concreto: obliga a discutir los límites mientras el sistema todavía puede diseñarse de otra manera.

Desde una perspectiva de libertad individual, esa anticipación importa porque la acumulación de información amplía el poder de empresas, gobiernos y otras organizaciones sobre las personas. La respuesta no consiste en prohibir todo uso útil de datos, sino en exigir una finalidad, reducir lo innecesario y conservar espacios reales de elección.

La pregunta decisiva, por tanto, no es qué aviso añadir al final. Es qué datos y qué poderes habilita el diseño desde el principio, quién puede ejercerlos y qué límites impedirán que se vuelvan permanentes.