La política de privacidad y las prácticas de gestión de datos describen cómo una organización reúne, emplea, comparte y resguarda la información personal. Plantear las preguntas adecuadas ayuda a identificar riesgos legales, de reputación y de operación, además de asegurar el cumplimiento de normativas como el Reglamento General de Protección de Datos (RGPD) y otras leyes locales pertinentes. A continuación se ofrece un conjunto integral de preguntas esenciales clasificadas por áreas, acompañadas de ejemplos, criterios de respuesta y situaciones ilustrativas.
Cuestiones relativas a la recolección de datos
- ¿Qué tipos de datos personales se recopilan? (p. ej., identificación, contacto, financieros, salud, biométricos, ubicación)
- ¿Se recogen datos sensibles o de categorías especiales? Si es así, ¿con qué base legal y qué medidas adicionales se aplican?
- ¿Se recogen datos de menores? ¿Cómo se verifica la edad y cómo se solicita el consentimiento parental cuando procede?
- ¿Se recopilan datos por medios automáticos (cookies, sensores, aplicaciones móviles) o por entrada manual? ¿Hay diferencias en el tratamiento?
Ejemplo: una aplicación de salud que solicita datos médicos y ubicación debe justificar la recopilación con una base legal sólida y medidas de seguridad reforzadas.
Preguntas sobre finalidad y uso
- ¿Con qué propósitos específicos se tratarán los datos, como la prestación del servicio, la facturación, la optimización del producto, acciones de marketing, análisis o el cumplimiento de obligaciones legales?
- ¿Los datos se emplearán en procesos de decisión automatizada o en la elaboración de perfiles, y de qué manera podría esto influir en la persona implicada?
- ¿Se destinarán los datos a usos adicionales no contemplados al inicio, y cómo se comunicará esta novedad para solicitar un nuevo consentimiento cuando sea necesario?
Criterio de respuesta razonable: finalidades específicas, limitadas y documentadas; perfilado explícito con explicaciones y opciones de exclusión cuando afecte derechos.
Cuestiones relativas a la base legal y al consentimiento
- ¿Cuál es la base jurídica para cada tratamiento? (consentimiento, ejecución de contrato, obligación legal, interés legítimo, interés público, protección vital)
- Si se basa en consentimiento, ¿es libre, específico, informado e inequívoco? ¿Cómo se documenta y cómo puede revocarse?
- Si se invoca interés legítimo, ¿se ha realizado un test de ponderación documentado entre intereses de la organización y derechos del individuo?
Caso práctico: numerosas empresas recurren al interés legítimo para actividades de analítica; la organización ha de mantener el análisis de impacto y poner a disposición mecanismos para oponerse.
Cuestiones sobre la conservación y la eliminación
- ¿Cuánto tiempo se conservan los distintos tipos de datos? ¿Existen plazos diferenciados por finalidad?
- ¿Qué criterios determinan la retención (obligaciones legales, práctica comercial, consentimiento)?
- ¿Cómo se gestionan la supresión y el bloqueo de datos cuando se solicita por derecho de olvido o cuando expira la necesidad?
Orientación práctica: datos de facturación y contables suelen guardarse según obligaciones fiscales —frecuentemente varios años— mientras que datos de marketing deberían eliminarse cuando el consentimiento se retira.
Preguntas sobre acceso, rectificación y derechos del interesado
- ¿De qué manera pueden las personas ejercer sus derechos de acceso, rectificación, supresión, oposición, limitación, portabilidad y a no quedar sometidas a decisiones automatizadas?
- ¿Qué tiempos y pasos aplica la organización para atender estas solicitudes, y existen formularios o vías de contacto que resulten fáciles de usar?
- ¿Se requiere verificar la identidad para impedir revelaciones no autorizadas, y cómo se armoniza esa seguridad con la simplicidad al ejercer dichos derechos?
Buen indicador: procedimientos publicados, plazos conformes a normativa (p. ej., respuesta en un máximo de un mes) y canales múltiples (correo, formularios, teléfono).
Preguntas sobre terceros y transferencia de datos
- ¿Se facilita información personal a terceros y a qué entidades específicamente se entrega (proveedores, socios, anunciantes, autoridades)?
- ¿Qué acuerdos, contratos o cláusulas se han establecido con esos terceros para asegurar un nivel de protección equivalente (cláusulas contractuales tipo, acuerdos de encargado de tratamiento)?
- ¿Se efectúan transferencias internacionales de datos y bajo qué mecanismos de seguridad se realizan (decisiones de adecuación, garantías apropiadas, reglas corporativas vinculantes)?
Ejemplo: una plataforma que recurre a servicios en la nube ha de contar con cláusulas de encargado del tratamiento y con garantías adecuadas para realizar transferencias más allá del área económica aplicable.
Preguntas sobre seguridad y medidas técnicas y organizativas
- ¿Qué medidas técnicas (cifrado, control de accesos, copias de seguridad) y organizativas (políticas internas, formación, control de subprocesadores) existen?
- ¿Se realizan pruebas de seguridad, auditorías y evaluaciones de vulnerabilidad con regularidad? ¿Con qué frecuencia?
- ¿Qué certificaciones o estándares se cumplen (por ejemplo, ISO 27001) y están las auditorías disponibles para clientes o reguladores?
Dato útil: una entidad responsable ha de ser capaz de detallar cómo protege los datos mediante cifrado en tránsito y en reposo, cómo gestiona sus claves y qué procedimiento aplica para responder a incidentes.
Consultas acerca de incidentes de seguridad
- ¿Hay un plan establecido para gestionar incidencias y un protocolo de aviso sobre brechas dirigido a autoridades y personas afectadas, así como un plazo definido para emitir dicha notificación?
- ¿Qué parámetros se emplean para determinar la gravedad y el nivel de riesgo que una situación puede representar para los derechos y libertades de las personas?
- ¿Se registran las conclusiones obtenidas y las acciones de mejora implementadas después de una brecha?
Ejemplo real genérico: una filtración que expone datos personales debe ser notificada a la autoridad competente dentro del plazo establecido por normativa, y a los afectados si supone alto riesgo.
Cuestiones relacionadas con la anonimización y la seudonimización
- ¿Los datos se procesan mediante anonimización o seudonimización para realizar estudios estadísticos, y qué método se utiliza junto con su grado de posibilidad de revertirlo?
- ¿Se conservan aparte las claves que permiten la reidentificación y quién está autorizado a consultarlas?
Recomendación: los datos realmente anónimos no permiten volver a identificar a una persona, mientras que la seudonimización disminuye los riesgos, aunque en muchas legislaciones sigue considerándose información personal.
Consultas relacionadas con menores y contenidos destinados a niños
- ¿Cómo se gestiona el consentimiento de menores y la verificación de edad? ¿Qué límites de edad aplica la organización?
- ¿Se limita la recopilación de datos infantiles al mínimo necesario y se evita publicidad dirigida cuando es inapropiada?
Nota normativa: el RGPD establece límites de edad para consentimiento digital (generalmente 16, con posibilidad de bajar a 13 por estados miembros).
Cuestiones sobre marketing y fines comerciales
- ¿De qué manera se recaban y administran los consentimientos para enviar comunicaciones comerciales, y qué tan accesibles son las listas de exclusión y las opciones de desuscripción?
- ¿Se comparten datos con terceros o se emplean para elaborar perfiles comerciales, y cómo se notifica esto al usuario junto con los controles disponibles?
Buenas prácticas: ofrecer controles granulares para tipos de comunicaciones y no ocultar las prácticas comerciales en lenguaje técnico.
Cuestiones relativas a la claridad y la redacción de la política
- ¿La política está redactada en lenguaje claro, accesible y con ejemplos concretos de uso de datos?
- ¿Se resumen los puntos clave en un formato breve y hay accesos directos a información esencial (tipo de datos, finalidades, derechos)?
- ¿Se actualiza la política periódicamente y se notifica a los usuarios sobre cambios materiales?
Indicador de confianza: ofrece una visión clara mediante transparencia continua, presenta resúmenes visuales comprensibles y plantea preguntas frecuentes que aclaran situaciones habituales.
Cuestiones sobre responsabilidad, gobernanza y procesos de auditoría
- ¿Qué persona dentro de la organización asume la responsabilidad de la protección de datos, ya sea como delegado de protección de datos o figura equivalente, y de qué manera se puede establecer contacto con él o ella?
- ¿Se llevan a cabo auditorías tanto internas como externas y se conserva un registro actualizado de las actividades de tratamiento?
- ¿Hay políticas de capacitación permanente para el personal y procedimientos para valorar el desempeño de los proveedores?
Señal positiva: nombramiento visible de responsable de privacidad y registros accesibles para autoridades si se requieren.
Cómo analizar las respuestas obtenidas
- Coherencia: las respuestas deben coincidir con las prácticas técnicas observables (por ejemplo, si dicen no compartir datos y se detectan integraciones con terceros, hay un problema).
- Especificidad: evitar respuestas vagas como «se toman medidas razonables»; preferir medidas concretas y plazos definidos.
- Riesgo residual: evaluar si los controles reducen el riesgo a un nivel aceptable para la actividad y para los afectados.
Un ejemplo de alerta sería no disponer de un procedimiento bien definido para atender las solicitudes de derechos o la ausencia de estipulaciones contractuales con los subcontratistas.
Acciones prácticas tras hacer las preguntas
- Requerir la documentación pertinente: políticas internas, acuerdos de tratamiento, evaluaciones de impacto (EIPD), informes de auditoría y registros sobre transferencias.
- Ejecutar comprobaciones: solicitar derechos de acceso y eliminación, examinar cookies y tráfico de red, así como verificar los permisos de aplicaciones móviles.
- Proceder a la escalada: cuando las respuestas resulten insuficientes, presentar una reclamación ante la autoridad competente o recurrir a asesoría legal especializada.
Hacer las preguntas adecuadas sobre política de privacidad y uso de datos permite transformar incertidumbres en decisiones informadas: identificar responsabilidades, mitigar riesgos técnicos y legales, proteger derechos individuales y mantener la confianza. Una evaluación rigurosa combina comprobación documental, pruebas prácticas y criterios claros sobre transparencia, proporcionalidad y seguridad; la calidad de las respuestas revela tanto la madurez de la organización como su compromiso real con la privacidad y el respeto a las personas.