¿Qué es la protección de datos?

¿Qué es la protección de datos?

La protección de datos es el conjunto de normas legales, controles técnicos y hábitos de trabajo que hacen que los datos personales se recojan, usen, almacenen y eliminen de forma lícita, limitada y segura. Gira en torno a las personas: qué puede hacer una organización con información sobre ellas y cómo debe custodiarla. Esta página es información general, no asesoramiento jurídico.

Cómo funciona la protección de datos

Se apoya en tres capas que dependen entre sí. Las normas fijan lo permitido, como el RGPD de la UE. Los controles técnicos las hacen aplicables: cifrado, control de acceso basado en roles, registros y seguridad de bases de datos. Los hábitos organizativos la mantienen viva: saber qué datos se tienen, formar al equipo, revisar a los proveedores y tener un plan ante brechas.

El CEPD (EDPB) define los datos personales como toda información relativa a una persona física identificada o identificable. Incluye datos evidentes como el nombre o el correo, y cualquier dato que permita identificar a alguien de forma indirecta.

Los principios que la sustentan

La guía del CEPD para pequeñas empresas enumera seis principios que recogen la mayoría de las leyes de privacidad modernas:

• Licitud, lealtad y transparencia: una base jurídica válida y sin sorpresas para la persona.
• Limitación de la finalidad: recoger datos solo para fines determinados, explícitos y legítimos.
• Minimización de datos: tratar solo lo necesario y proporcionado.
• Exactitud: mantener los datos correctos y actualizados.
• Limitación del plazo de conservación: eliminar o anonimizar los datos cuando ya no hagan falta.
• Seguridad: evitar la divulgación, pérdida, destrucción o daño accidental, no autorizado o ilícito.

Derechos de las personas

Según el RGPD, las personas pueden pedir ser informadas, acceder a sus datos, rectificarlos o suprimirlos, limitar el tratamiento u oponerse a él, llevarse sus datos (portabilidad) y no ser objeto de decisiones basadas únicamente en tratamientos automatizados. El CEPD indica que el responsable debe responder en un mes desde la solicitud, con posible prórroga en casos complejos si se avisa a la persona a tiempo.

Un ejemplo práctico

Un equipo de SaaS recibe una solicitud de supresión. Borrar la fila del usuario no basta: el mismo correo puede estar en copias de seguridad, exportaciones de analítica, herramientas de soporte y registros. Los equipos que lo resuelven bien mantienen un inventario de datos, saben dónde está cada copia y cuentan con una rutina de borrado probada, en lugar de buscar bajo presión.

Errores comunes

• Tratarla como una auditoría puntual. Los flujos de datos cambian en cada sprint, así que inventarios y políticas necesitan revisión periódica.
• Recoger "por si acaso". Lo que nunca se recogió no se puede filtrar ni hay que justificarlo después.
• Olvidar las copias. Copias de seguridad, registros, bases de pruebas y herramientas de terceros también contienen datos personales.
• Datos reales en entornos de prueba. Usa datos enmascarados o sintéticos en staging y pruebas de carga.
• Confundirla con ciberseguridad. La seguridad protege frente a atacantes; la protección de datos también limita lo que hace la propia organización con ellos.
• Accesos demasiado amplios. Aplica el mínimo privilegio con la gestión de identidades y accesos.

Protección de datos, APIs y pruebas

La mayoría de los datos personales circulan hoy por APIs, así que la seguridad de APIs es una parte importante. Las pruebas ayudan de forma modesta y práctica. LoadFocus API Monitoring puede comprobar de forma programada que los endpoints devuelven los códigos de estado y campos esperados, incluidos los de las solicitudes de acceso y supresión. Las pruebas de carga muestran si esos endpoints siguen respondiendo con mucho tráfico, mejor con datos sintéticos. Estas comprobaciones verifican comportamiento. LoadFocus no es una herramienta de cumplimiento normativo y no certifica el cumplimiento de ninguna ley. Más sobre buenas prácticas en la guía de seguridad para pruebas en la nube.

Preguntas frecuentes: protección de datos

¿Qué diferencia hay entre protección de datos y privacidad?

Los términos se solapan y a menudo se usan como sinónimos. La privacidad suele referirse a las expectativas y derechos de las personas sobre su información. La protección de datos es el lado práctico: normas, controles y procesos que garantizan esos derechos, incluida la seguridad.

¿Qué se considera dato personal?

Toda información relativa a una persona identificada o identificable, directa o indirectamente. El nombre y el correo son evidentes, pero también pueden serlo las direcciones IP, identificadores de dispositivo y datos de ubicación si se pueden vincular a una persona.

¿Es lo mismo que la seguridad de los datos?

No. La seguridad de los datos los protege frente a pérdidas y accesos no autorizados. La protección de datos incluye la seguridad, pero abarca también el uso lícito, la minimización, el plazo de conservación y los derechos de las personas.

¿Cuánto tiempo se pueden conservar los datos personales?

Solo el necesario para la finalidad con la que se recogieron. La limitación del plazo implica fijar periodos de conservación por tipo de dato y eliminar o anonimizar según lo previsto.

¿Necesito un abogado?

Para dudas jurídicas sobre tu caso, sí: consulta a un profesional cualificado o a tu autoridad de protección de datos. Este glosario solo explica los conceptos.