Dato personal
Toda información sobre una persona física identificada o identificable. Se considera identificable a toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador (nombre, número de identificación, datos de localización, identificador en línea como cookie o IP) o uno o varios elementos propios de su identidad física, fisiológica, genética, psíquica, económica, cultural o social. Los datos anonimizados de forma irreversible quedan fuera del ámbito del RGPD.
Tratamiento de datos
Cualquier operación o conjunto de operaciones realizadas sobre datos personales, ya sea por medios automatizados o no. Incluye la recogida, registro, organización, estructuración, conservación, adaptación, modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción. Un sistema de IA que procesa datos personales realiza tratamiento sujeto al RGPD.
Responsable del tratamiento
Persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines (para qué) y los medios (cómo) del tratamiento de datos personales. Es el principal obligado frente al RGPD: debe cumplir todos los principios, garantizar los derechos de los interesados, y responder ante la autoridad de control (AEPD). En relaciones B2B donde dos empresas comparten fines, puede existir corresponsabilidad.
Encargado del tratamiento
Persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable y siguiendo sus instrucciones. La relación debe formalizarse mediante un contrato de encargo de tratamiento (Data Processing Agreement, DPA) que incluya las cláusulas obligatorias del art. 28 RGPD. Los proveedores cloud, herramientas SaaS y agencias de marketing que acceden a datos personales del cliente actúan habitualmente como encargados.
Interesado
Persona física cuyos datos personales son objeto de tratamiento. El RGPD reconoce al interesado un conjunto completo de derechos: acceso, rectificación, supresión (derecho al olvido), limitación del tratamiento, portabilidad, oposición, y a no ser objeto de decisiones automatizadas. El responsable del tratamiento debe establecer procedimientos para atender el ejercicio de estos derechos en el plazo de 1 mes (prorrogable a 3 meses en casos complejos).
Bases jurídicas del tratamiento
Las seis condiciones de licitud que deben concurrir para que el tratamiento de datos personales sea legítimo (art. 6 RGPD): (1) consentimiento del interesado; (2) ejecución de un contrato; (3) cumplimiento de una obligación legal; (4) protección de intereses vitales; (5) misión de interés público o ejercicio de poderes públicos; (6) interés legítimo del responsable o de terceros. Cada tratamiento debe apoyarse en al menos una base jurídica, que debe identificarse antes de iniciar el tratamiento.
Consentimiento
Manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta el tratamiento de sus datos mediante una declaración o clara acción afirmativa. El consentimiento no puede ser genérico, tácito ni condicionado a la prestación de un servicio. Debe poder retirarse en cualquier momento de forma tan sencilla como se otorgó. En el caso de menores de 14 años en España (16 en otros países UE) se requiere el consentimiento de los padres o tutores.
Interés legítimo
Base jurídica que permite el tratamiento cuando es necesario para los intereses legítimos del responsable o de terceros, siempre que no prevalezcan sobre los intereses o derechos y libertades fundamentales del interesado (test de ponderación o balancing test). Factores del test: naturaleza del interés, necesidad del tratamiento, impacto sobre el interesado y sus expectativas razonables. No es aplicable cuando el responsable es una autoridad pública. Requiere documentación previa del análisis realizado.
Categorías especiales de datos (datos sensibles)
Categorías de datos personales cuyo tratamiento está en principio prohibido salvo que concurra una excepción del art. 9(2) RGPD. Son datos especialmente sensibles porque su divulgación puede causar discriminación o daño grave: origen étnico o racial, opiniones políticas, creencias religiosas o filosóficas, afiliación sindical, datos genéticos, datos biométricos tratados para identificar de forma unívoca a personas, datos relativos a la salud, vida sexual u orientación sexual. Requieren medidas de seguridad reforzadas.
Derecho de acceso
Derecho del interesado a obtener del responsable confirmación de si se están tratando sus datos personales y, en caso afirmativo, acceso a los datos y la siguiente información: fines del tratamiento, categorías de datos, destinatarios, plazos de conservación, origen de los datos, y existencia de decisiones automatizadas. El responsable debe facilitar una copia gratuita de los datos en formato accesible. Plazo de respuesta: 1 mes, prorrogable a 3 meses con justificación.
Derecho de rectificación
Derecho del interesado a obtener sin dilación indebida la corrección de sus datos personales inexactos y la completación de los datos incompletos, aportando una declaración adicional. El responsable debe comunicar la rectificación a cada destinatario al que se hayan comunicado los datos, salvo que sea imposible o exija un esfuerzo desproporcionado, e informar al interesado sobre dichos destinatarios si así lo solicita.
Derecho de supresión (derecho al olvido)
Derecho del interesado a obtener la supresión de sus datos personales sin dilación indebida. Procede cuando: (i) los datos ya no son necesarios para los fines para los que fueron recogidos; (ii) se retira el consentimiento y no existe otra base jurídica; (iii) el interesado se opone al tratamiento y no prevalecen motivos legítimos; (iv) los datos se trataron ilícitamente; (v) deben suprimirse por obligación legal. Si el responsable los publicó, debe informar a otros responsables que los traten para que los supriman.
Derecho a la limitación del tratamiento
Derecho del interesado a obtener del responsable la limitación del tratamiento de sus datos en determinadas circunstancias: cuando impugna la exactitud de los datos (durante la verificación), cuando el tratamiento es ilícito pero el interesado se opone a su supresión, cuando el responsable ya no necesita los datos pero el interesado los necesita para reclamaciones jurídicas, o cuando el interesado se opone al tratamiento en tanto se verifica si los motivos legítimos del responsable prevalecen. Durante la limitación solo se pueden conservar los datos, no tratar.
Derecho a la portabilidad de los datos
Derecho del interesado a recibir los datos personales que le conciernan y que haya proporcionado al responsable, en un formato estructurado, de uso común y lectura mecánica (como JSON o CSV), y a transmitirlos a otro responsable sin obstáculos. Solo aplicable cuando el tratamiento se basa en el consentimiento o en la ejecución de un contrato, y cuando se realiza por medios automatizados. El responsable debe facilitar la transmisión directa entre responsables si es técnicamente posible.
Derecho de oposición
Derecho del interesado a oponerse en cualquier momento, por motivos relacionados con su situación particular, al tratamiento de sus datos cuando la base jurídica sea el interés legítimo o el interés público. El responsable deberá dejar de tratar los datos salvo que acredite motivos legítimos imperiosos que prevalezcan. En el caso del tratamiento con fines de mercadotecnia directa (incluyendo la elaboración de perfiles), el interesado puede oponerse en todo momento y de forma absoluta, sin necesidad de justificar motivos.
Evaluación de Impacto en la Protección de Datos (EIPD / DPIA)
Análisis prospectivo obligatorio que debe realizarse antes del inicio de un tratamiento que pueda suponer un alto riesgo para los derechos y libertades de las personas físicas. Es preceptivo cuando: se utilicen nuevas tecnologías con datos a gran escala, se realice vigilancia sistemática de zonas públicas, se traten categorías especiales a gran escala, o en otros supuestos identificados por las autoridades de control. Si la DPIA identifica riesgo residual alto y no puede mitigarse, debe consultarse a la autoridad de control antes del inicio del tratamiento.
Delegado de Protección de Datos (DPO)
Figura obligatoria para: (a) autoridades u organismos públicos; (b) responsables o encargados que realizan tratamientos a gran escala de categorías especiales de datos; (c) responsables que realizan monitorización sistemática a gran escala de personas. Funciones: informar y asesorar sobre obligaciones RGPD, supervisar el cumplimiento, gestionar la DPIA y actuar como punto de contacto con la autoridad de control. Puede ser empleado interno o un externo (DPO as a service). Debe comunicarse a la AEPD.
Violación de seguridad de los datos (data breach)
Violación de la seguridad que cause, de forma accidental o ilícita, la destrucción, pérdida, alteración, comunicación o acceso no autorizado a datos personales. Debe notificarse a la AEPD en un plazo máximo de 72 horas desde que el responsable tenga conocimiento de ella, salvo que sea improbable que suponga un riesgo para los derechos y libertades de los interesados. Si el riesgo es alto, también debe comunicarse directamente a los interesados afectados sin dilación indebida.
Pseudonimización
Tratamiento de datos personales de forma que ya no puedan atribuirse a un interesado concreto sin utilizar información adicional, siempre que dicha información adicional se conserve por separado y esté sujeta a medidas técnicas y organizativas que garanticen su no atribución a persona identificada. Los datos pseudonimizados siguen siendo datos personales y están sujetos al RGPD (a diferencia de los datos anonimizados). Es una medida de seguridad recomendada y reduce el riesgo del tratamiento.
Anonimización
Proceso por el que los datos personales se transforman de manera irreversible de modo que el interesado no pueda ser identificado directa o indirectamente, ni siquiera por el responsable del tratamiento o por terceros con acceso a información adicional. Los datos verdaderamente anonimizados quedan fuera del ámbito del RGPD. La evaluación de la anonimización debe tener en cuenta todos los medios que razonablemente pudieran utilizarse para re-identificar. Difiere de la pseudonimización, que es reversible.
Registro de actividades de tratamiento (RAT)
Documento obligatorio que deben mantener por escrito los responsables y encargados con más de 250 empleados, o que realicen tratamientos que entrañen riesgo para los interesados, que no sean ocasionales, o que incluyan categorías especiales. El RAT del responsable debe contener: identidad del responsable, fines del tratamiento, descripción de categorías de interesados y datos, destinatarios, transferencias internacionales, plazos de supresión, y descripción de medidas de seguridad. Es la base para acreditar el cumplimiento (principio de responsabilidad proactiva).
Privacy by Design (privacidad desde el diseño)
Principio que exige integrar la protección de datos desde la concepción y el diseño de cualquier sistema, proceso, producto o servicio que vaya a tratar datos personales, y no añadirla a posteriori. Implica adoptar medidas técnicas y organizativas apropiadas (minimización de datos, cifrado, control de acceso, etc.) desde la fase de diseño. Aplicable a todas las etapas: diseño de bases de datos, desarrollo de APIs, arquitectura de sistemas de IA, configuración de plataformas SaaS.
Privacy by Default (privacidad por defecto)
Principio complementario al Privacy by Design que exige que, por defecto y sin intervención del usuario, solo sean objeto de tratamiento los datos personales necesarios para cada fin específico del tratamiento. Implica que la configuración predeterminada de sistemas y aplicaciones debe ofrecer el nivel más alto de privacidad posible: cantidad mínima de datos recogidos, duración mínima de conservación, accesibilidad mínima. Los usuarios no deben tener que actuar para proteger su privacidad.
Elaboración de perfiles (profiling)
Toda forma de tratamiento automatizado de datos personales que evalúe aspectos personales de una persona física, en particular para analizar o predecir su rendimiento laboral, situación económica, salud, preferencias personales, intereses, fiabilidad, comportamiento, localización o movimientos. El RGPD establece garantías específicas cuando la elaboración de perfiles produce efectos jurídicos significativos o afecta de modo similar al interesado (art. 22). Muy relevante para IA de scoring crediticio, selección de personal o sistemas de recomendación.
Decisión individual automatizada
Derecho del interesado a no ser objeto de una decisión basada únicamente en el tratamiento automatizado (sin intervención humana significativa), incluida la elaboración de perfiles, que produzca efectos jurídicos o le afecte significativamente de modo similar (denegación de crédito, selección de personal, puntuación de seguros). Se permiten excepciones cuando es necesario para contratos, autorizado por ley o basado en consentimiento explícito, con garantías adecuadas como revisión humana.
Transferencia internacional de datos
Cualquier comunicación, copia o traslado de datos personales hacia un país fuera del Espacio Económico Europeo (EEE) o hacia una organización internacional. Solo es lícita si: (a) el país destino tiene una decisión de adecuación de la Comisión Europea (p.ej. Japón, Suiza, Israel, el marco UE-EE.UU. Data Privacy Framework); (b) se ofrecen garantías apropiadas (cláusulas contractuales tipo, normas corporativas vinculantes, código de conducta aprobado); o (c) aplica una excepción del art. 49 RGPD.
Cláusulas contractuales tipo (CCT)
Conjunto estandarizado de cláusulas contractuales aprobadas por la Comisión Europea que ofrecen garantías suficientes para la transferencia de datos personales a países sin decisión de adecuación. Las CCT vigentes (Decisión de Ejecución (UE) 2021/914) incluyen cuatro módulos para las combinaciones de responsable-responsable y responsable-encargado. Deben adaptarse con la Transfer Impact Assessment (TIA) cuando el país destino tenga legislación de vigilancia con acceso de autoridades a datos.
Autoridad de control (AEPD)
Autoridad pública independiente responsable de supervisar la aplicación del RGPD para proteger los derechos y libertades de las personas en materia de datos personales. En España, la Agencia Española de Protección de Datos (AEPD) es la autoridad de control nacional, con competencia para investigar, imponer multas y emitir directrices. Para tratamientos transfronterizos (con interesados en varios Estados miembros) se aplica el mecanismo de ventanilla única: la AEPD del establecimiento principal lidera el procedimiento.
Multas y sanciones RGPD
El RGPD establece dos niveles de sanciones administrativas: (1) hasta 10 millones de euros o el 2% del volumen de negocio anual mundial del ejercicio anterior (el importe mayor), para infracciones de obligaciones generales del responsable/encargado, certificación y organismos de control; (2) hasta 20 millones de euros o el 4% del volumen de negocio anual mundial (el importe mayor), para infracciones de los principios básicos del tratamiento, derechos de los interesados y transferencias internacionales. La AEPD también puede imponer medidas cautelares y amonestaciones.
Principios del tratamiento
El art. 5 RGPD establece los principios que deben presidir todo tratamiento de datos personales: (1) licitud, lealtad y transparencia; (2) limitación de la finalidad (los datos no pueden tratarse para fines incompatibles con los que motivaron su recogida); (3) minimización de datos (solo los necesarios para el fin); (4) exactitud; (5) limitación del plazo de conservación; (6) integridad y confidencialidad (seguridad adecuada). El responsable es competente para demostrar el cumplimiento de todos estos principios (principio de responsabilidad proactiva o accountability).
Normas corporativas vinculantes (BCR)
Conjunto de normas de protección de datos adoptadas por un grupo empresarial multinacional o un grupo de empresas dedicadas a una actividad económica conjunta, que permiten las transferencias de datos personales intragrupo hacia países sin nivel de protección adecuado, previa aprobación de la autoridad de control líder (competente) tras consulta con las demás autoridades. Las BCR deben incluir derechos exigibles por los interesados frente a cualquier miembro del grupo.
Responsabilidad proactiva (accountability)
Principio por el cual el responsable del tratamiento es quien debe demostrar el cumplimiento del RGPD. No basta con cumplir: hay que poder acreditarlo mediante documentación (registro de actividades, DPIAs, análisis de bases jurídicas, contratos con encargados, registros de consentimientos). La responsabilidad proactiva es la base de la supervisión reactiva de las autoridades: la AEPD no audita permanentemente, sino que exige al responsable que pruebe su cumplimiento ante una inspección o reclamación.
Subencargado del tratamiento
Persona física o jurídica que trata datos personales por cuenta del encargado del tratamiento, con la autorización del responsable. El encargado solo puede recurrir a un subencargado con autorización previa específica o general del responsable. En caso de autorización general, el encargado debe informar al responsable de cualquier cambio. El subencargado está sujeto a las mismas obligaciones que el encargado mediante contrato o acto jurídico vinculante (Art. 28(4)). La cadena de subencargados es crítica en entornos cloud y SaaS.
Evaluación de impacto de la transferencia (TIA)
Análisis que debe realizar el responsable o encargado antes de efectuar una transferencia internacional de datos basada en cláusulas contractuales tipo (CCT) o normas corporativas vinculantes (BCR), para evaluar si el país destino ofrece un nivel de protección esencialmente equivalente al de la UE. La TIA debe considerar la legislación del país tercero (especialmente leyes de vigilancia/acceso gubernamental), las prácticas de las autoridades, y las garantías complementarias que pueden adoptarse (cifrado, seudonimización, contratos reforzados). El CEPD emitió recomendaciones específicas en 2020.
Decisión de adecuación
Acto de la Comisión Europea por el que se determina que un país tercero, un territorio, uno o varios sectores específicos dentro de un país tercero, o una organización internacional, ofrece un nivel de protección de datos personales esencialmente equivalente al de la UE. Con la decisión de adecuación, las transferencias internacionales pueden realizarse sin autorización específica adicional. Países con decisión de adecuación vigente incluyen Japón, Suiza, Israel, Reino Unido, Corea del Sur, y el marco UE-EE.UU. de Privacidad de Datos (2023). La Comisión puede suspender o revocar la decisión si el nivel de protección deja de ser equivalente.
Marco de Privacidad de Datos UE-EE.UU.
Acuerdo bilateral entrado en vigor el 10 de julio de 2023 que permite a empresas estadounidenses certificarse ante el Departamento de Comercio de EE.UU. para recibir datos personales desde la UE con garantías adecuadas. Sustituye al Privacy Shield (anulado por el TJUE en 2020, caso Schrems II) y al Safe Harbor (anulado en 2015, caso Schrems I). Las empresas certificadas deben cumplir principios de protección de datos, someterse a supervisión del Defensor de Datos de la UE (DPO de la UE) y permitir reclamaciones de los interesados europeos. La validez del marco está pendiente de confirmación judicial ante el TJUE.
Código de conducta
Conjunto de normas de comportamiento o de buenas prácticas elaborado por una asociación u organismo representativo de categorías de responsables o encargados, que contribuye a la correcta aplicación del RGPD. Debe ser aprobado por la autoridad de control competente y, para transferencias internacionales, por el CEPD. Los códigos de conducta pueden servir como mecanismo de transferencia internacional (Art. 46(2)(e)) y como elemento de transparencia hacia los interesados. Su adhesión es voluntaria pero, una vez asumida, vinculante.
Mecanismo de certificación
Procedimiento voluntario mediante el cual un organismo de certificación acreditado evalúa y certifica que un tratamiento de datos personales cumple con el RGPD. La certificación puede ser emitida por la autoridad de control o por un organismo de certificación acreditado, con validez máxima de 3 años renovable. Las certificaciones pueden servir como mecanismo de transferencia internacional (Art. 46(2)(f)) y como elemento de transparencia. En España, la AEPD ha acreditado esquemas como el sello de privacidad ENS.
Datos genéticos
Datos personales relativos a las características genéticas heredadas o adquiridas de una persona física que proporcionan información única sobre la fisiología o la salud de esa persona y que se obtienen, en particular, mediante el análisis de una muestra biológica. Son categorías especiales de datos (Art. 9) y requieren base jurídica específica (consentimiento explícito, diagnóstico médico, investigación científica con garantías). El análisis de ADN para paternidad, predisposición a enfermedades o genealogía constituye tratamiento de datos genéticos.
Datos biométricos
Datos personales obtenidos mediante un tratamiento técnico específico relativos a las características físicas, fisiológicas o de comportamiento de una persona física que permitan o confirmen su identificación única, como imágenes faciales o datos dactilares. Son categorías especiales cuando se usan con fines de identificación única (Art. 9(1)). La utilización de reconocimiento facial, huellas dactilares, escaneos de iris o voz para autenticación o identificación constituye tratamiento de datos biométricos. El AI Act regula adicionalmente los sistemas biométricos (Anexo III, punto 1).
Datos relativos a la salud
Datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud. Son categorías especiales (Art. 9(1)). Incluyen datos de historias clínicas, resultados de pruebas, diagnósticos, tratamientos, datos de dispositivos médicos y datos de apps de salud. Su tratamiento requiere consentimiento explícito o una de las excepciones del Art. 9(2)(h) (asistencia sanitaria) o (i) (salud pública). La LOPDGDD los regula adicionalmente en sus arts. 7-11.
Autoridad de control principal (mecanismo de ventanilla única)
Mecanismo del RGPD por el cual, cuando un responsable o encargado tiene establecimientos en varios Estados miembros, una sola autoridad de control actúa como interlocutor principal. La autoridad principal es la del lugar del establecimiento principal del responsable (donde se toman las decisiones sobre fines y medios del tratamiento). Las demás autoridades interesadas deben cooperar y pueden formular objeciones motivadas. Si no hay acuerdo, el CEPD resuelve mediante decisión vinculante. No aplica si el responsable no tiene establecimiento en la UE (entonces la autoridad competente es la del lugar de los interesados afectados).
Cooperación entre autoridades de control
Obligación de las autoridades de control de cooperar entre sí y de la Comisión Europea en la aplicación del RGPD. Incluye intercambio de información, asistencia mutua en investigaciones, y ejecución de medidas. Las autoridades deben facilitarse información mutua y, a petición, asistencia en investigaciones transfronterizas. La cooperación se canaliza a través del CEPD (Comité Europeo de Protección de Datos) y del sistema de información de la plataforma IMI. La AEPD coopera habitualmente con autoridades de otros Estados miembros en casos transfronterizos.
Reclamación ante la autoridad de control
Derecho del interesado a presentar una reclamación ante una autoridad de control, en particular en el Estado miembro de su residencia habitual, lugar de trabajo o lugar de la presunta infracción, si considera que el tratamiento de sus datos personales infringe el RGPD. La autoridad debe informar al reclamante del progreso y del resultado de la reclamación, con indicación de las vías de recurso judiciales. La presentación de la reclamación es gratuita. La AEPD permite presentar reclamaciones online a través de su sede electrónica.
Derecho a la tutela judicial efectiva
Derecho del interesado a una tutela judicial efectiva contra las decisiones de una autoridad de control que le afecten, y contra el responsable o encargado que haya realizado un tratamiento ilícito. El interesado puede acudir a los tribunales del Estado miembro donde tenga su residencia o donde tenga su establecimiento el responsable. En España, la jurisdicción contencioso-administrativa conoce de las decisiones de la AEPD, y la jurisdicción civil conoce de las acciones contra responsables o encargados. El plazo de reclamación es de 6 meses (vía administrativa) o 1 año (vía civil).
