¿Qué debemos saber de la política de privacidad y datos?

La política de privacidad y las prácticas de uso de datos determinan cómo una organización recopila, utiliza, comparte y protege la información personal. Formular las preguntas correctas permite evaluar riesgos legales, reputacionales y operativos, y garantiza el cumplimiento de normativas como el Reglamento General de Protección de Datos (RGPD) y otras leyes locales. A continuación se presenta un conjunto completo de preguntas clave organizadas por áreas, con ejemplos, criterios de respuesta y casos ilustrativos.

Preguntas sobre recopilación de datos

¿Qué clases de datos personales se obtienen? (por ejemplo, identificación, información de contacto, detalles financieros, datos de salud, elementos biométricos o ubicación)
¿Se manejan datos sensibles o pertenecientes a categorías especiales? En caso afirmativo, ¿qué fundamento legal los respalda y qué medidas adicionales se implementan?
¿Se reúnen datos de menores de edad? ¿De qué manera se comprueba la edad y cómo se gestiona la obtención del consentimiento de sus representantes cuando corresponde?
¿La información se obtiene mediante procedimientos automáticos (cookies, sensores, aplicaciones móviles) o mediante ingreso manual? ¿Existen variaciones en su tratamiento?

Ejemplo: una app de salud que pide información médica y datos de ubicación necesita fundamentar esa recolección con una base jurídica clara y aplicar medidas de seguridad estrictas.

Preguntas sobre finalidad y uso

¿Para qué finalidades concretas se usan los datos? (prestación de servicio, facturación, mejora de producto, marketing, análisis, cumplimiento legal)
¿Se usan los datos para toma de decisiones automatizada o perfilado? ¿Qué impacto tiene esto en la persona afectada?
¿Se reutilizarán los datos para finalidades nuevas no previstas inicialmente? ¿Cómo se informará y obtendrá nuevo consentimiento si procede?

Criterio de respuesta razonable: finalidades específicas, limitadas y documentadas; perfilado explícito con explicaciones y opciones de exclusión cuando afecte derechos.

Cuestiones relativas a la base legal y al consentimiento

¿Qué fundamento jurídico respalda cada operación de tratamiento? (consentimiento, ejecución de un contrato, deber legal, interés legítimo, interés público o protección vital)
Cuando la base es el consentimiento, ¿se otorga de forma voluntaria, concreta, transparente y sin ambigüedades? ¿De qué manera se registra y cómo puede retirarse?
Si se recurre al interés legítimo, ¿existe un análisis de equilibrio documentado entre los intereses de la organización y los derechos de la persona afectada?

Caso práctico: numerosas empresas recurren al interés legítimo para actividades de analítica; la organización ha de mantener el análisis de impacto y poner a disposición mecanismos para oponerse.

Preguntas sobre conservación y eliminación

¿Cuánto tiempo se conservan los distintos tipos de datos? ¿Existen plazos diferenciados por finalidad?
¿Qué criterios determinan la retención (obligaciones legales, práctica comercial, consentimiento)?
¿Cómo se gestionan la supresión y el bloqueo de datos cuando se solicita por derecho de olvido o cuando expira la necesidad?

Orientación práctica: la información destinada a facturación y contabilidad suele conservarse durante los periodos exigidos por la normativa fiscal —a menudo por varios años— mientras que los datos utilizados con fines de marketing deben suprimirse en cuanto se retire el consentimiento.

Consultas sobre el acceso, la rectificación y los derechos de las personas interesadas

¿De qué manera pueden las personas ejercer sus derechos de acceso, rectificación, supresión, oposición, limitación, portabilidad y a no quedar sometidas a decisiones automatizadas?
¿Qué tiempos y pasos aplica la organización para atender estas solicitudes, y existen formularios o vías de contacto que resulten fáciles de usar?
¿Se requiere verificar la identidad para impedir revelaciones no autorizadas, y cómo se armoniza esa seguridad con la simplicidad al ejercer dichos derechos?

Una buena señal es contar con procedimientos divulgados, tiempos de respuesta ajustados a la normativa vigente (por ejemplo, contestar en un plazo máximo de un mes) y diversos canales de atención como correo electrónico, formularios o teléfono.

Preguntas sobre terceros y transferencia de datos

¿Se facilita información personal a terceros y a qué entidades específicamente se entrega (proveedores, socios, anunciantes, autoridades)?
¿Qué acuerdos, contratos o cláusulas se han establecido con esos terceros para asegurar un nivel de protección equivalente (cláusulas contractuales tipo, acuerdos de encargado de tratamiento)?
¿Se efectúan transferencias internacionales de datos y bajo qué mecanismos de seguridad se realizan (decisiones de adecuación, garantías apropiadas, reglas corporativas vinculantes)?

Ejemplo: una plataforma que contrata servicios en la nube debe disponer de cláusulas de encargado de tratamiento y garantías para transferencias fuera del área económica correspondiente.

Preguntas sobre seguridad y medidas técnicas y organizativas

¿Qué medidas técnicas (cifrado, control de accesos, copias de seguridad) y organizativas (políticas internas, formación, control de subprocesadores) existen?
¿Se realizan pruebas de seguridad, auditorías y evaluaciones de vulnerabilidad con regularidad? ¿Con qué frecuencia?
¿Qué certificaciones o estándares se cumplen (por ejemplo, ISO 27001) y están las auditorías disponibles para clientes o reguladores?

Dato útil: una organización responsable debe poder describir el cifrado en tránsito y en reposo, gestión de claves y procedimiento de respuesta a incidentes.

Consultas acerca de incidentes de seguridad

¿Hay un plan establecido para gestionar incidencias y un protocolo de aviso sobre brechas dirigido a autoridades y personas afectadas, así como un plazo definido para emitir dicha notificación?
¿Qué parámetros se emplean para determinar la gravedad y el nivel de riesgo que una situación puede representar para los derechos y libertades de las personas?
¿Se registran las conclusiones obtenidas y las acciones de mejora implementadas después de una brecha?

Ejemplo real genérico: una filtración que expone datos personales debe ser notificada a la autoridad competente dentro del plazo establecido por normativa, y a los afectados si supone alto riesgo.

Cuestiones relacionadas con la anonimización y la seudonimización

¿Los datos se procesan mediante anonimización o seudonimización para realizar estudios estadísticos, y qué método se utiliza junto con su grado de posibilidad de revertirlo?
¿Se conservan aparte las claves que permiten la reidentificación y quién está autorizado a consultarlas?

Recomendación: los datos realmente anónimos no permiten volver a identificar a una persona, mientras que la seudonimización disminuye los riesgos, aunque en muchas legislaciones sigue considerándose información personal.

Consultas relacionadas con menores y contenidos destinados a niños

¿Cómo se gestiona el consentimiento de menores y la verificación de edad? ¿Qué límites de edad aplica la organización?
¿Se limita la recopilación de datos infantiles al mínimo necesario y se evita publicidad dirigida cuando es inapropiada?

Nota normativa: el RGPD establece límites de edad para consentimiento digital (generalmente 16, con posibilidad de bajar a 13 por estados miembros).

Cuestiones sobre marketing y fines comerciales

¿Cómo se obtienen y gestionan los consentimientos para comunicaciones comerciales? ¿Existen listas de exclusión y opciones claras de desuscripción?
¿Se venden datos a terceros o se usan para perfiles comerciales? ¿Cómo se informa al usuario y qué controles ofrece?

Buenas prácticas: brindar opciones detalladas para gestionar cada tipo de comunicación y evitar encubrir las prácticas comerciales tras un lenguaje excesivamente técnico.

Cuestiones relativas a la claridad y la redacción de la política

¿La política está redactada en lenguaje claro, accesible y con ejemplos concretos de uso de datos?
¿Se resumen los puntos clave en un formato breve y hay accesos directos a información esencial (tipo de datos, finalidades, derechos)?
¿Se actualiza la política periódicamente y se notifica a los usuarios sobre cambios materiales?

Indicador de confianza: transparencia activa, resúmenes visuales y preguntas frecuentes que respondan escenarios comunes.

Cuestiones sobre responsabilidad, gobernanza y procesos de auditoría

¿Quién en la organización es responsable de la protección de datos (delegado de protección de datos o responsable equivalente) y cómo contactar con él o ella?
¿Se realizan auditorías internas y externas y se mantiene un registro de actividades de tratamiento?
¿Existen políticas de formación continua para empleados y evaluación de proveedores?

Señal positiva: nombramiento visible de responsable de privacidad y registros accesibles para autoridades si se requieren.

Cómo analizar las respuestas obtenidas

Coherencia: las respuestas deben coincidir con las prácticas técnicas observables (por ejemplo, si dicen no compartir datos y se detectan integraciones con terceros, hay un problema).
Especificidad: evitar respuestas vagas como «se toman medidas razonables»; preferir medidas concretas y plazos definidos.
Riesgo residual: evaluar si los controles reducen el riesgo a un nivel aceptable para la actividad y para los afectados.

Ejemplo de señal de alarma: ausencia de un proceso claro para gestionar solicitudes de derechos o falta de cláusulas contractuales con subcontratistas.

Medidas concretas a seguir después de plantear las preguntas

Requerir la documentación pertinente: políticas internas, acuerdos de tratamiento, evaluaciones de impacto (EIPD), informes de auditoría y registros sobre transferencias.
Ejecutar comprobaciones: solicitar derechos de acceso y eliminación, examinar cookies y tráfico de red, así como verificar los permisos de aplicaciones móviles.
Proceder a la escalada: cuando las respuestas resulten insuficientes, presentar una reclamación ante la autoridad competente o recurrir a asesoría legal especializada.

Plantear las preguntas adecuadas sobre política de privacidad y gestión de datos ayuda a convertir dudas en decisiones bien fundamentadas, al clarificar responsabilidades, reducir riesgos técnicos y legales, resguardar los derechos de cada persona y sostener la confianza. Un análisis exhaustivo integra revisión documental, pruebas operativas y criterios firmes de transparencia, proporcionalidad y seguridad; la solidez de las respuestas expone tanto el nivel de madurez de la organización como su compromiso auténtico con la privacidad y el respeto a las personas.