La política de privacidad y las prácticas de uso de datos determinan cómo una organización recopila, utiliza, comparte y protege la información personal. Formular las preguntas correctas permite evaluar riesgos legales, reputacionales y operativos, y garantiza el cumplimiento de normativas como el Reglamento General de Protección de Datos (RGPD) y otras leyes locales. A continuación se presenta un conjunto completo de preguntas clave organizadas por áreas, con ejemplos, criterios de respuesta y casos ilustrativos.
Cuestiones relativas a la recolección de datos
- ¿Qué clases de datos personales se obtienen? (por ejemplo, identificación, información de contacto, detalles financieros, datos de salud, elementos biométricos o ubicación)
- ¿Se manejan datos sensibles o pertenecientes a categorías especiales? En caso afirmativo, ¿qué fundamento legal los respalda y qué medidas adicionales se implementan?
- ¿Se reúnen datos de menores de edad? ¿De qué manera se comprueba la edad y cómo se gestiona la obtención del consentimiento de sus representantes cuando corresponde?
- ¿La información se obtiene mediante procedimientos automáticos (cookies, sensores, aplicaciones móviles) o mediante ingreso manual? ¿Existen variaciones en su tratamiento?
Ejemplo: una aplicación de salud que solicita datos médicos y ubicación debe justificar la recopilación con una base legal sólida y medidas de seguridad reforzadas.
Preguntas sobre finalidad y uso
- ¿Para qué finalidades concretas se usan los datos? (prestación de servicio, facturación, mejora de producto, marketing, análisis, cumplimiento legal)
- ¿Se usan los datos para toma de decisiones automatizada o perfilado? ¿Qué impacto tiene esto en la persona afectada?
- ¿Se reutilizarán los datos para finalidades nuevas no previstas inicialmente? ¿Cómo se informará y obtendrá nuevo consentimiento si procede?
Criterio de respuesta razonable: objetivos concretos, acotados y debidamente registrados; perfilado claramente detallado con aclaraciones y alternativas de exclusión cuando pueda incidir en los derechos.
Preguntas sobre base jurídica y consentimiento
- ¿Cuál es la base jurídica para cada tratamiento? (consentimiento, ejecución de contrato, obligación legal, interés legítimo, interés público, protección vital)
- Si se basa en consentimiento, ¿es libre, específico, informado e inequívoco? ¿Cómo se documenta y cómo puede revocarse?
- Si se invoca interés legítimo, ¿se ha realizado un test de ponderación documentado entre intereses de la organización y derechos del individuo?
Caso práctico: muchas empresas usan el interés legítimo para analítica; la organización debe conservar el análisis de impacto y ofrecer mecanismos de oposición.
Cuestiones sobre la conservación y la eliminación
- ¿Cuánto tiempo se conservan los distintos tipos de datos? ¿Existen plazos diferenciados por finalidad?
- ¿Qué criterios determinan la retención (obligaciones legales, práctica comercial, consentimiento)?
- ¿Cómo se gestionan la supresión y el bloqueo de datos cuando se solicita por derecho de olvido o cuando expira la necesidad?
Orientación práctica: datos de facturación y contables suelen guardarse según obligaciones fiscales —frecuentemente varios años— mientras que datos de marketing deberían eliminarse cuando el consentimiento se retira.
Consultas sobre el acceso, la rectificación y los derechos de las personas interesadas
- ¿Cómo pueden las personas ejercer sus derechos: acceso, rectificación, supresión, oposición, limitación, portabilidad y no ser objeto de decisiones automatizadas?
- ¿Qué plazos y procedimientos sigue la organización para responder a solicitudes? ¿Hay formularios y canales accesibles?
- ¿Se exige verificación de identidad para evitar divulgaciones indebidas? ¿Cómo se equilibra seguridad y facilidad de ejercicio de derechos?
Buen indicador: procedimientos publicados, plazos conformes a normativa (p. ej., respuesta en un máximo de un mes) y canales múltiples (correo, formularios, teléfono).
Cuestiones sobre terceros y el traspaso de datos
- ¿Se facilita información personal a terceros y a qué entidades específicamente se entrega (proveedores, socios, anunciantes, autoridades)?
- ¿Qué acuerdos, contratos o cláusulas se han establecido con esos terceros para asegurar un nivel de protección equivalente (cláusulas contractuales tipo, acuerdos de encargado de tratamiento)?
- ¿Se efectúan transferencias internacionales de datos y bajo qué mecanismos de seguridad se realizan (decisiones de adecuación, garantías apropiadas, reglas corporativas vinculantes)?
Ejemplo: una plataforma que recurre a servicios en la nube ha de contar con cláusulas de encargado del tratamiento y con garantías adecuadas para realizar transferencias más allá del área económica aplicable.
Preguntas sobre seguridad y medidas técnicas y organizativas
- ¿Qué medidas técnicas (cifrado, control de accesos, copias de seguridad) y organizativas (políticas internas, formación, control de subprocesadores) existen?
- ¿Se realizan pruebas de seguridad, auditorías y evaluaciones de vulnerabilidad con regularidad? ¿Con qué frecuencia?
- ¿Qué certificaciones o estándares se cumplen (por ejemplo, ISO 27001) y están las auditorías disponibles para clientes o reguladores?
Dato útil: una organización responsable debe poder describir el cifrado en tránsito y en reposo, gestión de claves y procedimiento de respuesta a incidentes.
Consultas acerca de incidentes de seguridad
- ¿Existe un plan de respuesta a incidencias y protocolo para notificar brechas a autoridades y a afectados? ¿Cuánto tiempo tarda la notificación?
- ¿Qué criterios se usan para evaluar la gravedad y el riesgo para los derechos y libertades de las personas?
- ¿Se documentan las lecciones aprendidas y las medidas correctoras tras una brecha?
Ejemplo real genérico: cuando se produce una filtración que revela información personal, esta debe comunicarse a la autoridad competente dentro del periodo fijado por la normativa vigente y también notificarse a los afectados si entraña un riesgo elevado.
Preguntas sobre anonimización y seudonimización
- ¿Los datos se anonimizan o seudonimizan para análisis estadístico? ¿Cuál es la técnica empleada y el nivel de reversibilidad?
- ¿Se mantienen separadas las claves de reidentificación y quién tiene acceso a ellas?
Recomendación: los datos realmente anónimos no permiten volver a identificar a una persona, mientras que la seudonimización disminuye los riesgos, aunque en muchas legislaciones sigue considerándose información personal.
Preguntas sobre niños y materiales dirigidos a menores
- ¿Cómo se gestiona el consentimiento de menores y la verificación de edad? ¿Qué límites de edad aplica la organización?
- ¿Se limita la recopilación de datos infantiles al mínimo necesario y se evita publicidad dirigida cuando es inapropiada?
Nota normativa: el RGPD establece límites de edad para consentimiento digital (generalmente 16, con posibilidad de bajar a 13 por estados miembros).
Cuestiones sobre marketing y fines comerciales
- ¿Cómo se obtienen y gestionan los consentimientos para comunicaciones comerciales? ¿Existen listas de exclusión y opciones claras de desuscripción?
- ¿Se venden datos a terceros o se usan para perfiles comerciales? ¿Cómo se informa al usuario y qué controles ofrece?
Buenas prácticas: brindar opciones detalladas para gestionar cada tipo de comunicación y evitar encubrir las prácticas comerciales tras un lenguaje excesivamente técnico.
Preguntas sobre transparencia y lenguaje de la política
- ¿La política está redactada en lenguaje claro, accesible y con ejemplos concretos de uso de datos?
- ¿Se resumen los puntos clave en un formato breve y hay accesos directos a información esencial (tipo de datos, finalidades, derechos)?
- ¿Se actualiza la política periódicamente y se notifica a los usuarios sobre cambios materiales?
Indicador de confianza: ofrece una visión clara mediante transparencia continua, presenta resúmenes visuales comprensibles y plantea preguntas frecuentes que aclaran situaciones habituales.
Cuestiones sobre responsabilidad, gobernanza y procesos de auditoría
- ¿Quién en la organización es responsable de la protección de datos (delegado de protección de datos o responsable equivalente) y cómo contactar con él o ella?
- ¿Se realizan auditorías internas y externas y se mantiene un registro de actividades de tratamiento?
- ¿Existen políticas de formación continua para empleados y evaluación de proveedores?
Señal positiva: designación clara de un responsable de privacidad y disponibilidad de registros para las autoridades cuando así lo soliciten.
Cómo evaluar las respuestas recibidas
- Coherencia: las respuestas deben alinearse con las prácticas técnicas verificables; si se afirma que no se comparten datos pero se observan integraciones con terceros, surge una inconsistencia.
- Especificidad: conviene dejar de lado afirmaciones imprecisas como «se aplican medidas razonables» y optar por describir acciones concretas junto con plazos claros.
- Riesgo residual: es necesario determinar si los controles implementados disminuyen el riesgo hasta un umbral aceptable para la actividad y para las personas involucradas.
Ejemplo de señal de alarma: ausencia de un proceso claro para gestionar solicitudes de derechos o falta de cláusulas contractuales con subcontratistas.
Acciones prácticas tras hacer las preguntas
- Requerir la documentación pertinente: políticas internas, acuerdos de tratamiento, evaluaciones de impacto (EIPD), informes de auditoría y registros sobre transferencias.
- Ejecutar comprobaciones: solicitar derechos de acceso y eliminación, examinar cookies y tráfico de red, así como verificar los permisos de aplicaciones móviles.
- Proceder a la escalada: cuando las respuestas resulten insuficientes, presentar una reclamación ante la autoridad competente o recurrir a asesoría legal especializada.
Hacer las preguntas adecuadas sobre política de privacidad y uso de datos permite transformar incertidumbres en decisiones informadas: identificar responsabilidades, mitigar riesgos técnicos y legales, proteger derechos individuales y mantener la confianza. Una evaluación rigurosa combina comprobación documental, pruebas prácticas y criterios claros sobre transparencia, proporcionalidad y seguridad; la calidad de las respuestas revela tanto la madurez de la organización como su compromiso real con la privacidad y el respeto a las personas.
