Santo Domingo, RD.-. El Reglamento General de Protección de Datos (RGPD) es considerada la legislación de privacidad y seguridad de la información más rigurosa del mundo. Promulgada por la Unión Europea, entró en vigor el 25 de mayo de 2018 y marca un hito histórico: no se limita a aplicar dentro de las fronteras europeas, sino que obliga a cualquier organización, sin importar su ubicación, que ofrezca servicios o recopile información de personas que residan en el territorio de la Unión Europea.
Origen y propósito
El reglamento nace como respuesta a la transformación digital que ha puesto los datos personales en el centro de la actividad económica y social. Sustituye a una directiva de 1995 que resultó insuficiente ante el auge de internet, las redes sociales, el almacenamiento en la nube y las filtraciones masivas de información. Su objetivo es fortalecer y unificar la protección de los derechos de las personas ante el tratamiento de sus datos, así como facilitar la circulación de información dentro del mercado único europeo.
Alcance y consecuencias
Su ámbito de aplicación es extraterritorial: si una empresa dominicana, latinoamericana o asiática maneja datos de clientes o usuarios que viven en la Unión Europea, debe cumplirlo igual que una empresa establecida en París o Berlín. El incumplimiento conlleva sanciones muy severas: las multas pueden alcanzar hasta 20 millones de euros o el 4 % del volumen de negocios mundial anual, la cifra que resulte más elevada. Además, las personas afectadas pueden reclamar judicialmente indemnizaciones por los daños sufridos.
Principios que rigen todo tratamiento de datos
Cualquier manejo de información personal debe ajustarse a siete pilares:
- Licitud, lealtad y transparencia: el tratamiento debe estar amparado en una base legal válida y ser claro para la persona afectada.
- Limitación de la finalidad: los datos se recaban para fines concretos, explícitos y legítimos; no pueden reutilizarse con propósitos incompatibles.
- Minimización: solo se obtiene la información estrictamente necesaria para el fin declarado.
- Exactitud: los datos deben estar actualizados y corregidos sin demora si resultan erróneos.
- Limitación de conservación: no se mantienen los datos más tiempo del requerido para cumplir el objetivo.
- Integridad y confidencialidad: se aplican medidas de seguridad —cifrado, control de accesos, auditorías— para proteger la información contra accesos indebidos, pérdidas o filtraciones.
- Responsabilidad: la organización debe poder demostrar en todo momento que cumple con lo establecido.
Cuándo se puede tratar información personal
No basta con querer usar los datos; es preciso justificar el uso mediante una de estas bases legales:
- La persona dio su consentimiento libre, específico, informado e inequívoco, pudiendo retirarlo cuando lo desee.
- El tratamiento es necesario para ejecutar un contrato con ella.
- Responde al cumplimiento de una obligación legal de la organización.
- Protege intereses vitales de la persona o de otra persona.
- Se realiza en el ejercicio de funciones públicas.
- Existe un interés legítimo de la organización, siempre que no prevalezcan los derechos y libertades fundamentales de la persona.
Derechos que asisten a las personas
El RGPD otorga ocho derechos que la persona puede ejercer en cualquier momento:
1. Ser informada sobre para qué se usan sus datos, de dónde proceden y con quién se comparten.
2. Acceder a una copia de toda la información que la organización tiene sobre ella.
3. Rectificar datos incorrectos o incompletos.
4. Solicitar la supresión —conocido como “derecho al olvido”— cuando ya no hay motivo para conservarlos.
5. Limitar el tratamiento en supuestos como cuando se verifica la exactitud de los datos o la legitimidad del uso.
6. Recibir sus datos en formato estructurado y reutilizable para trasladarlos a otra entidad (portabilidad).
7. Oponerse al uso de sus datos, en particular con fines de mercadotecnia directa.
8. No quedar sujeta a decisiones automatizadas sin que intervenga una persona humana.
Seguridad y respuesta ante incidentes
La protección de los datos debe integrarse desde la concepción misma de cualquier producto, servicio o sistema, no añadirse después. Ante una brecha de seguridad que ponga en riesgo la información personal, la organización tiene 72 horas para notificarlo a la autoridad de control competente y, si el riesgo es alto, también a las personas afectadas. Existe la figura del Delegado de Protección de Datos (DPD), un responsable interno —obligatorio en determinados casos— que vigila el cumplimiento del reglamento.
Relevancia para países fuera de Europa
Para empresas de América Latina y el resto del mundo, el RGPD representa tanto un reto como una oportunidad: cumplirlo abre las puertas a operar en el mercado europeo y eleva los estándares de protección de datos en el país de origen. Por el contrario, ignorarlo puede generar responsabilidades legales y el bloqueo de relaciones comerciales con socios o clientes europeos.
En conclusión, el RGPD no es solo una norma europea: ha establecido un referente global que obliga a replantear cómo se recopila, guarda y utiliza la información personal en la era digital.
Acerca del autor
