Fundamentos
Protección de datos personales: qué es, principios y derechos básicos
8 min de lectura1.580 palabras
Compartir
En este artículo · 8 secciones
Proteger los datos personales significa poner límites y garantías a las decisiones que organizaciones públicas y privadas toman con información sobre nosotros.
Una aplicación pide acceso a los contactos para ofrecer una función que, en apariencia, no los necesita. Una tienda guarda el correo usado en una compra y después lo combina con otros datos para elaborar un perfil. En ambos casos, la pregunta importante no es solo si la información fue entregada voluntariamente. También importa qué se hace con ella, para qué, durante cuánto tiempo y con qué garantías.
De eso trata la protección de datos personales: del conjunto de principios, derechos y responsabilidades que limita las decisiones de organizaciones públicas y privadas sobre información referida a personas. Su propósito no es convertir todo dato en secreto ni impedir cualquier uso. Es hacer que ese uso tenga una justificación, sea comprensible, guarde proporción con su finalidad y pueda ser cuestionado.
Qué es un dato personal
Un dato personal es información relativa a una persona identificada o que puede ser identificada, incluso de manera indirecta. La definición incluye ejemplos evidentes, como el nombre o el número de un documento, pero también identificadores en línea, datos de ubicación o combinaciones de rasgos que permiten distinguir a alguien.
Esta idea aparece tanto en el Convenio 108+ del Consejo de Europa como en el Reglamento General de Protección de Datos de la Unión Europea. Son referencias influyentes, aunque su alcance jurídico no es universal y cada país puede adoptar definiciones y reglas distintas.
Que un dato no sea íntimo tampoco lo vuelve irrelevante. Un horario habitual, una compra o una dirección disponible en un registro pueden parecer piezas inocuas por separado. Al reunirlas, es posible inferir rutinas, preferencias o relaciones. La posibilidad razonable de vincular la información con una persona es más importante que la presencia de su nombre.
Por eso conviene diferenciar dos técnicas:
- La anonimización busca impedir razonablemente que la información vuelva a atribuirse a una persona.
- La seudonimización separa o sustituye identificadores, pero permite reatribuir los datos mediante información adicional.
En el marco europeo, los datos seudonimizados continúan siendo personales si existe esa posibilidad de reidentificación. Quitar el nombre de una tabla, por sí solo, no garantiza anonimato.
Idea clave: Un dato personal no tiene que ser secreto. Basta con que se refiera a alguien identificable de forma directa o indirecta.
Proteger el dato durante todo su ciclo de vida
La protección no termina en el momento de la recolección. Tratamiento es un concepto amplio: abarca recoger, ordenar, consultar, cruzar, compartir, conservar, modificar y borrar información. Una organización puede haber obtenido un dato de manera legítima y, aun así, generar un problema al reutilizarlo para un propósito incompatible, conservarlo sin necesidad o compartirlo sin garantías suficientes.
Pensemos en un comercio que solicita un correo para enviar el comprobante de una compra. Usarlo después para enriquecer un perfil publicitario plantea una decisión distinta. La entrega original no responde por sí sola si el nuevo uso es legítimo, necesario o esperable.
Esto también explica por qué un dato públicamente accesible no queda automáticamente libre para cualquier reutilización. Consultar un registro con una finalidad concreta y descargarlo masivamente para clasificar personas son actividades diferentes. Las excepciones y reglas aplicables dependerán de la jurisdicción, pero el cambio de contexto sigue siendo una pregunta relevante.
Privacidad, intimidad y protección de datos no son lo mismo
Los tres conceptos se relacionan, pero cumplen funciones distintas. El derecho a la privacidad protege un ámbito de vida frente a injerencias injustificadas. La intimidad suele referirse a su zona más reservada: salud, relaciones personales, convicciones u otros aspectos especialmente sensibles.
La protección de datos se concentra en las operaciones realizadas con información identificable. Puede entrar en juego aunque el contenido no sea íntimo. Por ejemplo, una lista pública puede utilizarse de manera desproporcionada o fuera del propósito que justificó su publicación.
Tampoco equivale a seguridad informática. La seguridad procura evitar accesos indebidos, pérdidas o alteraciones. Es indispensable, pero no responde todas las preguntas. Una base de datos puede estar perfectamente cifrada y, sin embargo, recoger más información de la necesaria o emplearla con una finalidad injustificada. La relación entre seguridad digital y protección de datos es de complementariedad, no de identidad.
Los principios convertidos en preguntas prácticas
Referencias como el Convenio 108+ y el RGPD coinciden en varios principios generales. No constituyen una ley mundial única, pero ofrecen un vocabulario útil para evaluar el tratamiento de datos. En la vida cotidiana pueden traducirse así:
- Licitud, lealtad y transparencia: ¿existe una justificación válida?, ¿la persona recibe información clara?, ¿el uso coincide con expectativas razonables?
- Finalidad: ¿se explicó para qué se recogen los datos?, ¿se pretende emplearlos después para algo incompatible?
- Minimización y proporcionalidad: ¿se solicita solo lo necesario? Una aplicación de linterna, por ejemplo, difícilmente necesita la agenda de contactos.
- Exactitud: ¿hay mecanismos para corregir información equivocada que pueda afectar a una persona?
- Conservación limitada: ¿los datos se eliminan o anonimizan cuando dejan de ser necesarios?
- Seguridad: ¿se reducen los riesgos de pérdida, alteración, filtración o acceso no autorizado?
- Responsabilidad demostrable: ¿la organización puede explicar y acreditar las decisiones que tomó?
La Agencia Española de Protección de Datos presenta estos principios dentro del régimen europeo. Su utilidad más amplia está en obligar a formular preguntas antes de acumular información por si acaso.
Idea clave: Proteger datos no consiste solo en cerrar bien una base de datos, sino en justificar por qué existe, qué contiene y cómo se usa.
El consentimiento es importante, pero no lo resuelve todo
Es común reducir la protección de datos a aceptar o rechazar una casilla. Esa imagen es insuficiente. En algunos sistemas jurídicos, incluido el europeo, el consentimiento es solo una entre varias bases que pueden legitimar un tratamiento. También puede haber obligaciones legales, contratos, intereses públicos u otras bases definidas por la norma aplicable.
Eso no significa que el consentimiento sea decorativo. Cuando corresponde, debe reunir las condiciones fijadas por la legislación pertinente. Pero una aceptación tampoco convierte cualquier práctica en aceptable: los principios de finalidad, proporcionalidad, transparencia y seguridad siguen siendo relevantes.
La cuestión de fondo es la capacidad real de comprender y controlar decisiones que afectan la propia vida. Ese control no equivale necesariamente a propiedad sobre la información. Los datos pueden involucrar derechos de otras personas, deberes legales o intereses públicos. Hablar de garantías, límites y responsabilidades suele ser más preciso que tratarlos como un objeto de dominio absoluto.
Qué derechos puede tener una persona
Los derechos concretos varían según el país. Como referencia delimitada, el RGPD europeo reconoce, entre otros, derechos de información, acceso, rectificación, supresión, limitación del tratamiento, portabilidad, oposición y garantías frente a ciertas decisiones automatizadas. La AEPD resume ese catálogo para quienes están sujetos a dicho marco.
En términos prácticos, estos mecanismos pueden permitir que una persona pregunte:
- qué información existe sobre ella y de dónde proviene;
- con qué finalidad se utiliza y con quién se comparte;
- cómo corregir datos inexactos;
- cuándo puede oponerse a un uso o solicitar su eliminación;
- si una decisión relevante fue tomada únicamente mediante procesos automatizados.
No todos esos derechos existen con idéntico nombre, alcance, plazo o excepción en cada jurisdicción. Ante un caso concreto, corresponde consultar la ley local y la autoridad competente. Esta explicación ofrece un mapa conceptual, no asesoramiento jurídico.
Una garantía para la autonomía, no una prohibición absoluta
La información permite prestar servicios, investigar, prevenir fraudes, comunicar asuntos de interés público e innovar. La protección de datos no debería presumir que toda circulación es dañina. Tampoco debería aceptar que la innovación o el interés público justifican cualquier forma de vigilancia, perfilado o acumulación.
El equilibrio exige reglas conocidas, fines legítimos y medidas proporcionales. La libertad de expresión, el acceso a documentos, la investigación y la seguridad pueden requerir excepciones o tratamientos particulares; su alcance debe tener una base jurídica y salvaguardas adecuadas. El Convenio 108+ reconoce precisamente la necesidad de conciliar la protección de datos con otros derechos e intereses legítimos.
Desde una perspectiva liberal, estas garantías protegen la autonomía individual frente al poder informativo, tanto estatal como privado. Pero también limitan el poder regulatorio: una restricción amplia y vaga puede obstaculizar intercambios voluntarios, expresión o innovación sin mejorar realmente la seguridad de las personas. La respuesta razonable no es ausencia de reglas ni control total, sino responsabilidad, proporcionalidad y posibilidad de revisión.
Idea clave: Ni el interés público elimina todos los límites ni la protección de datos prohíbe todo uso. La pregunta central es si el tratamiento está justificado y es proporcional.
Cómo evaluar un uso de datos personales
Cuando una plataforma, empresa u organismo solicita información, cinco preguntas ofrecen un buen punto de partida: qué recoge, para qué, durante cuánto tiempo, con quién la comparte y qué opciones tiene la persona. Si las respuestas son vagas, cambian sin explicación o no guardan relación con el servicio, hay motivos para examinar la práctica con mayor cuidado.
La protección de datos personales vuelve visibles decisiones que de otro modo quedarían ocultas dentro de formularios, bases de datos y algoritmos. Su aporte esencial es sencillo: quien usa información sobre otros debe poder explicar sus razones, limitarse a lo necesario y responder por las consecuencias. Para saber qué mecanismos pueden exigirse en un caso real, el siguiente paso siempre es revisar la norma de la jurisdicción correspondiente.