El RGPD (Reglamento General de Protección de Datos) es la norma de la Unión Europea que regula cómo se tratan los datos personales. Se aplica desde el 25 de mayo de 2018 en todos los Estados miembros. Dice quién puede recoger y usar datos sobre personas, con qué base, durante cuánto tiempo y con qué garantías, y otorga derechos a cada persona sobre su información. En España se completa con la LOPDGDD y lo supervisa la AEPD. Protege a las personas identificables, no los datos en sí.
Un ejemplo cotidiano
Una gestoría de Sevilla (un ejemplo inventado) lleva la contabilidad y las nóminas de 40 pequeñas empresas. Guarda nombres, DNI, cuentas bancarias, salarios y alguna baja médica de los trabajadores de sus clientes.
El RGPD le pide, entre otras cosas, que use esos datos solo para lo que le encargaron, que no los guarde más tiempo del necesario, que los proteja, que firme un contrato con cada proveedor que los trate por su cuenta (el programa de nóminas, la nube, una herramienta de IA) y que atienda a cualquier trabajador que pregunte qué datos tiene sobre él. Si sufre una brecha de seguridad con riesgo para las personas, debe notificarla a la AEPD en un plazo de 72 horas.
El RGPD, paso a paso
A quién se aplica. A cualquier empresa, profesional, administración o asociación que trate datos personales en la UE, y también a quien desde fuera de la UE ofrezca bienes o servicios a personas que están en ella. Solo quedan fuera, en esencia, los usos puramente personales o domésticos.
Qué protege. Los datos personales: cualquier información sobre una persona física identificada o identificable (artículo 4.1). Algunos datos son "categorías especiales" (artículo 9): salud, datos genéticos y biométricos, origen étnico, opiniones políticas, religión, afiliación sindical, vida u orientación sexual. Su tratamiento está prohibido salvo que se aplique una excepción, como el consentimiento explícito o la asistencia sanitaria.
Las reglas clave.
- Principios (artículo 5): licitud, lealtad y transparencia, limitación de la finalidad, minimización, exactitud, limitación del plazo de conservación, integridad y confidencialidad, y responsabilidad proactiva.
- Base jurídica (artículo 6): todo tratamiento necesita una, como el consentimiento, un contrato, una obligación legal o un interés legítimo.
- Derechos: acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad.
- Encargados del tratamiento (artículo 28): si otra empresa trata datos por cuenta suya, hace falta un contrato de encargado que la limite a sus instrucciones.
Qué añade España. La Ley Orgánica 3/2018 (LOPDGDD) adapta el RGPD al derecho español. Por ejemplo, fija en 14 años la edad a partir de la cual un menor puede consentir por sí mismo, establece un deber de confidencialidad para todos los que intervienen en un tratamiento (artículo 5) y reconoce derechos digitales, como la desconexión digital en el trabajo.
La autoridad. La Agencia Española de Protección de Datos (AEPD) atiende reclamaciones, investiga y sanciona.
Las sanciones. Las más graves llegan a 20 millones de euros o al 4 % de la facturación anual mundial, la cifra que sea mayor.
Esto es información general, no asesoramiento jurídico.
Lo que el RGPD no protege
El RGPD es amplio, pero tiene una frontera muy clara: protege información sobre personas identificables. El considerando 26 lo dice expresamente: los principios de protección de datos no se aplican a la información anónima, es decir, a datos que ya no permiten identificar a nadie.
Eso tiene una consecuencia práctica que pocos conocen. Si de un informe médico, un contrato o una nómina se eliminan todos los elementos identificativos de forma que nadie pueda volver a identificar a la persona, lo que queda sale del RGPD. El diagnóstico, la dosis, el precio, la cláusula: todo eso puede agruparse y venderse legalmente a fabricantes de medicamentos, aseguradoras, proveedores de análisis o desarrolladores de IA. Hay un mercado público, con catálogos y suscripciones, que vive de ello.
Matices importantes:
- Seudonimizar no es anonimizar. Sustituir el nombre por un código deja los datos dentro del RGPD (artículo 4.5). La diferencia se explica en seudonimización y anonimización.
- La anonimización se puede deshacer. Un estudio publicado en Nature Communications en 2019 calculó que el 99,98 % de los estadounidenses podría reidentificarse a partir de 15 atributos.
- El contrato importa más que la ley. Si unas condiciones de uso conceden al proveedor una licencia para reutilizar lo que usted sube, el RGPD no impide que, una vez anonimizado, ese contenido tenga otra vida.
Cómo se recorre ese camino lo mostramos en el rastro de sus datos. Las fuentes están en legal de vender.
Qué significa esto al usar herramientas de IA
Con cualquier herramienta de IA, el RGPD le da una lista de preguntas útiles:
- ¿Hay contrato de encargado (artículo 28)? Sin él, el uso profesional con datos personales es difícil de defender.
- ¿Se reserva el proveedor una licencia para reutilizar su contenido, incluso de forma anonimizada?
- ¿Entrena con sus datos? ¿Y cuánto tiempo conservan los datos los proveedores de modelos?
- ¿Dónde se alojan los datos? El tratamiento en la UE evita transferencias internacionales.
- ¿Tiene base jurídica para introducir esos datos, y en el caso de datos de salud, una excepción del artículo 9?
Wysor responde a esas preguntas en el contrato. Actuamos solo como encargado del tratamiento según sus instrucciones (artículo 28 del RGPD), y un encargado no puede vender ni reutilizar lo que trata. No tomamos licencia para reutilizar su contenido, no entrenamos con él y no lo vendemos, ni anonimizado ni de otra forma. Esos compromisos vinculan también a cualquiera que pudiera llegar a ser propietario de Wysor. Los datos van cifrados en tránsito y en reposo y se alojan en la UE, y todos los proveedores de modelos conectados aplican retención cero. En un mismo espacio de trabajo tiene GPT, Claude, Gemini y más. Así Wysor se puede usar conforme al RGPD sin que su contenido entre nunca en el mercado de datos anonimizados. Más detalle en nuestra guía de IA conforme al RGPD.
Preguntas frecuentes
¿Qué significa RGPD? Reglamento General de Protección de Datos, el Reglamento (UE) 2016/679. En inglés se conoce como GDPR. Es directamente aplicable en todos los países de la UE desde el 25 de mayo de 2018.
¿Qué diferencia hay entre el RGPD y la LOPDGDD? El RGPD es el reglamento europeo y se aplica igual en toda la UE. La LOPDGDD es la ley orgánica española de 2018 que lo adapta y completa en los aspectos que el RGPD deja a cada país, y añade los derechos digitales.
¿A quién se aplica el RGPD? A cualquier organización o profesional que trate datos personales en la UE, sea grande o pequeño, y a quienes desde fuera ofrecen servicios a personas en la UE. No se aplica a usos puramente personales o domésticos.
¿Qué multas puede poner la AEPD? Las infracciones más graves del RGPD pueden sancionarse con hasta 20 millones de euros o el 4 % de la facturación anual mundial, la cifra mayor. La AEPD gradúa la multa según la gravedad, la duración y el tamaño del responsable.
¿Protege el RGPD los datos anonimizados? No. El considerando 26 excluye la información anónima. Por eso los datos realmente anonimizados pueden reutilizarse y venderse legalmente, y por eso conviene elegir herramientas que no se reserven ningún derecho a reutilizar su contenido.
Más información
- IA conforme al RGPD: la guía
- Datos personales: definición y ejemplos
- Secreto profesional explicado de forma sencilla
- El rastro de sus datos
- Legal de vender: las fuentes
- ¿Qué es la IA? Inteligencia artificial explicada de forma sencilla
¿Preguntas sobre el RGPD y la IA? Escríbanos a [email protected] o use el formulario de contacto en la app.
