La política de privacidad y las prácticas de uso de datos determinan cómo una organización recopila, utiliza, comparte y protege la información personal. Formular las preguntas correctas permite evaluar riesgos legales, reputacionales y operativos, y garantiza el cumplimiento de normativas como el Reglamento General de Protección de Datos (RGPD) y otras leyes locales. A continuación se presenta un conjunto completo de preguntas clave organizadas por áreas, con ejemplos, criterios de respuesta y casos ilustrativos.
Preguntas sobre recopilación de datos
- ¿Qué clases de datos personales se obtienen? (por ejemplo, identificación, información de contacto, detalles financieros, datos de salud, elementos biométricos o ubicación)
- ¿Se manejan datos sensibles o pertenecientes a categorías especiales? En caso afirmativo, ¿qué fundamento legal los respalda y qué medidas adicionales se implementan?
- ¿Se reúnen datos de menores de edad? ¿De qué manera se comprueba la edad y cómo se gestiona la obtención del consentimiento de sus representantes cuando corresponde?
- ¿La información se obtiene mediante procedimientos automáticos (cookies, sensores, aplicaciones móviles) o mediante ingreso manual? ¿Existen variaciones en su tratamiento?
Ejemplo: una aplicación de salud que solicita datos médicos y ubicación debe justificar la recopilación con una base legal sólida y medidas de seguridad reforzadas.
Cuestiones relativas a su propósito y utilización
- ¿Con qué propósitos específicos se tratarán los datos, como la prestación del servicio, la facturación, la optimización del producto, acciones de marketing, análisis o el cumplimiento de obligaciones legales?
- ¿Los datos se emplearán en procesos de decisión automatizada o en la elaboración de perfiles, y de qué manera podría esto influir en la persona implicada?
- ¿Se destinarán los datos a usos adicionales no contemplados al inicio, y cómo se comunicará esta novedad para solicitar un nuevo consentimiento cuando sea necesario?
Criterio de respuesta razonable: finalidades específicas, limitadas y documentadas; perfilado explícito con explicaciones y opciones de exclusión cuando afecte derechos.
Preguntas sobre base jurídica y consentimiento
- ¿Cuál es la base jurídica para cada tratamiento? (consentimiento, ejecución de contrato, obligación legal, interés legítimo, interés público, protección vital)
- Si se basa en consentimiento, ¿es libre, específico, informado e inequívoco? ¿Cómo se documenta y cómo puede revocarse?
- Si se invoca interés legítimo, ¿se ha realizado un test de ponderación documentado entre intereses de la organización y derechos del individuo?
Caso práctico: muchas empresas usan el interés legítimo para analítica; la organización debe conservar el análisis de impacto y ofrecer mecanismos de oposición.
Cuestiones sobre la conservación y la eliminación
- ¿Cuánto tiempo se conservan los distintos tipos de datos? ¿Existen plazos diferenciados por finalidad?
- ¿Qué criterios determinan la retención (obligaciones legales, práctica comercial, consentimiento)?
- ¿Cómo se gestionan la supresión y el bloqueo de datos cuando se solicita por derecho de olvido o cuando expira la necesidad?
Orientación práctica: datos de facturación y contables suelen guardarse según obligaciones fiscales —frecuentemente varios años— mientras que datos de marketing deberían eliminarse cuando el consentimiento se retira.
Consultas sobre el acceso, la rectificación y los derechos de las personas interesadas
- ¿Cómo pueden las personas ejercer sus derechos: acceso, rectificación, supresión, oposición, limitación, portabilidad y no ser objeto de decisiones automatizadas?
- ¿Qué plazos y procedimientos sigue la organización para responder a solicitudes? ¿Hay formularios y canales accesibles?
- ¿Se exige verificación de identidad para evitar divulgaciones indebidas? ¿Cómo se equilibra seguridad y facilidad de ejercicio de derechos?
Una buena señal es contar con procedimientos divulgados, tiempos de respuesta ajustados a la normativa vigente (por ejemplo, contestar en un plazo máximo de un mes) y diversos canales de atención como correo electrónico, formularios o teléfono.
Cuestiones sobre terceros y el traspaso de datos
- ¿Se comparten datos con terceros? ¿Quiénes son (proveedores, socios, anunciantes, autoridades)?
- ¿Qué contratos o cláusulas existen con terceros para garantizar protección equivalente (cláusulas contractuales tipo, acuerdos de encargado de tratamiento)?
- ¿Se realizan transferencias internacionales de datos? ¿Qué garantías se aplican (decisiones de adecuación, garantías apropiadas, reglas corporativas vinculantes)?
Ejemplo: una plataforma que recurre a servicios en la nube ha de contar con cláusulas de encargado del tratamiento y con garantías adecuadas para realizar transferencias más allá del área económica aplicable.
Consultas acerca de la protección, así como de las medidas técnicas y organizativas aplicadas
- ¿Qué medidas técnicas (cifrado, control de accesos, copias de seguridad) y organizativas (políticas internas, formación, control de subprocesadores) existen?
- ¿Se realizan pruebas de seguridad, auditorías y evaluaciones de vulnerabilidad con regularidad? ¿Con qué frecuencia?
- ¿Qué certificaciones o estándares se cumplen (por ejemplo, ISO 27001) y están las auditorías disponibles para clientes o reguladores?
Dato útil: una organización responsable debe poder describir el cifrado en tránsito y en reposo, gestión de claves y procedimiento de respuesta a incidentes.
Consultas acerca de incidentes de seguridad
- ¿Hay un plan establecido para gestionar incidencias y un protocolo de aviso sobre brechas dirigido a autoridades y personas afectadas, así como un plazo definido para emitir dicha notificación?
- ¿Qué parámetros se emplean para determinar la gravedad y el nivel de riesgo que una situación puede representar para los derechos y libertades de las personas?
- ¿Se registran las conclusiones obtenidas y las acciones de mejora implementadas después de una brecha?
Ejemplo real genérico: cuando se produce una filtración que revela información personal, esta debe comunicarse a la autoridad competente dentro del periodo fijado por la normativa vigente y también notificarse a los afectados si entraña un riesgo elevado.
Preguntas sobre anonimización y seudonimización
- ¿Los datos se procesan mediante anonimización o seudonimización para realizar estudios estadísticos, y qué método se utiliza junto con su grado de posibilidad de revertirlo?
- ¿Se conservan aparte las claves que permiten la reidentificación y quién está autorizado a consultarlas?
Recomendación: los datos realmente anónimos no permiten volver a identificar a una persona, mientras que la seudonimización disminuye los riesgos, aunque en muchas legislaciones sigue considerándose información personal.
Preguntas sobre niños y materiales dirigidos a menores
- ¿Cómo se gestiona el consentimiento de menores y la verificación de edad? ¿Qué límites de edad aplica la organización?
- ¿Se limita la recopilación de datos infantiles al mínimo necesario y se evita publicidad dirigida cuando es inapropiada?
Nota normativa: el RGPD determina las edades mínimas para dar consentimiento digital, que por lo general se sitúan en 16 años, aunque los estados miembros pueden rebajarlas hasta los 13.
Preguntas sobre marketing y uso comercial
- ¿Cómo se obtienen y gestionan los consentimientos para comunicaciones comerciales? ¿Existen listas de exclusión y opciones claras de desuscripción?
- ¿Se venden datos a terceros o se usan para perfiles comerciales? ¿Cómo se informa al usuario y qué controles ofrece?
Buenas prácticas: ofrecer controles granulares para tipos de comunicaciones y no ocultar las prácticas comerciales en lenguaje técnico.
Cuestiones relativas a la claridad y la redacción de la política
- ¿La política está redactada en lenguaje claro, accesible y con ejemplos concretos de uso de datos?
- ¿Se resumen los puntos clave en un formato breve y hay accesos directos a información esencial (tipo de datos, finalidades, derechos)?
- ¿Se actualiza la política periódicamente y se notifica a los usuarios sobre cambios materiales?
Indicador de confianza: ofrece una visión clara mediante transparencia continua, presenta resúmenes visuales comprensibles y plantea preguntas frecuentes que aclaran situaciones habituales.
Cuestiones sobre responsabilidad, gobernanza y procesos de auditoría
- ¿Qué persona dentro de la organización asume la responsabilidad de la protección de datos, ya sea como delegado de protección de datos o figura equivalente, y de qué manera se puede establecer contacto con él o ella?
- ¿Se llevan a cabo auditorías tanto internas como externas y se conserva un registro actualizado de las actividades de tratamiento?
- ¿Hay políticas de capacitación permanente para el personal y procedimientos para valorar el desempeño de los proveedores?
Señal positiva: designación clara de un responsable de privacidad y disponibilidad de registros para las autoridades cuando así lo soliciten.
Cómo evaluar las respuestas recibidas
- Coherencia: las respuestas deben coincidir con las prácticas técnicas observables (por ejemplo, si dicen no compartir datos y se detectan integraciones con terceros, hay un problema).
- Especificidad: evitar respuestas vagas como «se toman medidas razonables»; preferir medidas concretas y plazos definidos.
- Riesgo residual: evaluar si los controles reducen el riesgo a un nivel aceptable para la actividad y para los afectados.
Ejemplo de señal de alarma: ausencia de un proceso claro para gestionar solicitudes de derechos o falta de cláusulas contractuales con subcontratistas.
Medidas concretas a seguir después de plantear las preguntas
- Requerir la documentación pertinente: políticas internas, acuerdos de tratamiento, evaluaciones de impacto (EIPD), informes de auditoría y registros sobre transferencias.
- Ejecutar comprobaciones: solicitar derechos de acceso y eliminación, examinar cookies y tráfico de red, así como verificar los permisos de aplicaciones móviles.
- Proceder a la escalada: cuando las respuestas resulten insuficientes, presentar una reclamación ante la autoridad competente o recurrir a asesoría legal especializada.
Plantear las preguntas adecuadas sobre política de privacidad y gestión de datos ayuda a convertir dudas en decisiones bien fundamentadas, al clarificar responsabilidades, reducir riesgos técnicos y legales, resguardar los derechos de cada persona y sostener la confianza. Un análisis exhaustivo integra revisión documental, pruebas operativas y criterios firmes de transparencia, proporcionalidad y seguridad; la solidez de las respuestas expone tanto el nivel de madurez de la organización como su compromiso auténtico con la privacidad y el respeto a las personas.
