GDPR - Reglas de protección de datos de la UE explicadas

Lectura de 2 min aprox.

El GDPR (General Data Protection Regulation, Reglamento General de Protección de Datos) es un reglamento integral de la UE sobre la protección de datos personales que entró en vigor en mayo de 2018. Se aplica a toda organización que maneje datos personales de personas dentro de la UE (incluidas las empresas con sede fuera de la UE), y las infracciones pueden conllevar multas de hasta el 4% de la facturación anual mundial o 20 millones de euros. En 2025, se han impuesto en total más de 5.000 millones de euros en multas desde la entrada en vigor del GDPR, y las grandes sanciones contra Meta y Amazon han atraído especial atención.

Lo que los derechos de los interesados exigen al diseño del sistema

El cumplimiento del GDPR no se completa con preparar políticas sobre el papel: acaba plasmándose en cómo se construye el propio servicio. Un sitio que presta servicios a la UE necesita, además de un banner de consentimiento de cookies y una política de privacidad adaptada al GDPR, mecanismos capaces de responder realmente cuando los interesados ejercen sus derechos de acceso y supresión. Estas solicitudes llegan de los usuarios una a una y cada una debe ser atendida, por lo que una operativa en la que el personal las gestiona manualmente deja de ser sostenible a medida que crecen los usuarios. Por eso, en la práctica se da importancia a incorporar de antemano al servicio funciones que permitan a los usuarios consultar, descargar y eliminar sus propios datos, trasladando la atención de estos derechos de un trabajo caso por caso a un mecanismo permanente. Cumplir el texto del reglamento y poder mantener ese cumplimiento en la operativa diaria son problemas distintos, y lo segundo debe considerarse desde la fase de diseño del sistema.

Principios clave del GDPR

El GDPR establece siete principios: licitud, lealtad y transparencia (aclarar la base jurídica y la finalidad del tratamiento de datos); limitación de la finalidad (prohibición de usos ajenos a la finalidad de recogida); minimización de datos (recoger solo los datos mínimos necesarios); exactitud (mantener los datos exactos); limitación del plazo de conservación (eliminar los datos cuando dejan de ser necesarios); integridad y confidencialidad (protección adecuada mediante medidas como el cifrado); y responsabilidad proactiva (la obligación de demostrar el cumplimiento).

Impacto en las empresas japonesas

Las empresas japonesas que prestan servicios a residentes de la UE, las empresas con presencia en la UE y las empresas a las que las empresas de la UE encargan el tratamiento de datos personales están sujetas al GDPR. Cuando un sitio de comercio electrónico acepta pedidos desde la UE, debe implementar un banner de consentimiento de cookies, adaptar su política de privacidad al GDPR y atender los derechos de los interesados (los derechos de acceso, supresión y portabilidad de datos). Dado que Japón ha recibido una «decisión de adecuación» de la UE, las transferencias de datos personales a Japón son en principio posibles sin medidas de protección adicionales. Optimizar tus ajustes de privacidad es el primer paso hacia el cumplimiento del GDPR.

Puntos prácticos de cumplimiento

Las principales tareas son crear registros de las actividades de tratamiento (ROPA), realizar evaluaciones de impacto relativas a la protección de datos (DPIA) y nombrar a un delegado de protección de datos (DPO). Si se produce una filtración de datos, existe la obligación de notificarla a la autoridad de control en un plazo de 72 horas, por lo que debes preparar de antemano tus procedimientos de respuesta a filtraciones de datos. Proteger los sistemas que manejan datos personales con una contraseña fuerte y única para cada servicio y aplicar el cifrado en reposo y el cifrado en tránsito constituyen las «medidas técnicas apropiadas» del GDPR.