¿Qué indagar sobre la política de privacidad y el uso de datos?

La política de privacidad y las prácticas de uso de datos determinan cómo una organización recopila, utiliza, comparte y protege la información personal. Formular las preguntas correctas permite evaluar riesgos legales, reputacionales y operativos, y garantiza el cumplimiento de normativas como el Reglamento General de Protección de Datos (RGPD) y otras leyes locales. A continuación se presenta un conjunto completo de preguntas clave organizadas por áreas, con ejemplos, criterios de respuesta y casos ilustrativos.

Cuestiones relativas a la recolección de datos

¿Qué clases de datos personales se obtienen? (por ejemplo, identificación, información de contacto, detalles financieros, datos de salud, elementos biométricos o ubicación)
¿Se manejan datos sensibles o pertenecientes a categorías especiales? En caso afirmativo, ¿qué fundamento legal los respalda y qué medidas adicionales se implementan?
¿Se reúnen datos de menores de edad? ¿De qué manera se comprueba la edad y cómo se gestiona la obtención del consentimiento de sus representantes cuando corresponde?
¿La información se obtiene mediante procedimientos automáticos (cookies, sensores, aplicaciones móviles) o mediante ingreso manual? ¿Existen variaciones en su tratamiento?

Ejemplo: una app de salud que pide información médica y datos de ubicación necesita fundamentar esa recolección con una base jurídica clara y aplicar medidas de seguridad estrictas.

Cuestiones relativas a su propósito y utilización

¿Para qué finalidades concretas se usan los datos? (prestación de servicio, facturación, mejora de producto, marketing, análisis, cumplimiento legal)
¿Se usan los datos para toma de decisiones automatizada o perfilado? ¿Qué impacto tiene esto en la persona afectada?
¿Se reutilizarán los datos para finalidades nuevas no previstas inicialmente? ¿Cómo se informará y obtendrá nuevo consentimiento si procede?

Criterio de respuesta razonable: finalidades específicas, limitadas y documentadas; perfilado explícito con explicaciones y opciones de exclusión cuando afecte derechos.

Cuestiones relativas a la base legal y al consentimiento

¿Cuál es la base jurídica para cada tratamiento? (consentimiento, ejecución de contrato, obligación legal, interés legítimo, interés público, protección vital)
Si se basa en consentimiento, ¿es libre, específico, informado e inequívoco? ¿Cómo se documenta y cómo puede revocarse?
Si se invoca interés legítimo, ¿se ha realizado un test de ponderación documentado entre intereses de la organización y derechos del individuo?

Caso práctico: numerosas empresas recurren al interés legítimo para actividades de analítica; la organización ha de mantener el análisis de impacto y poner a disposición mecanismos para oponerse.

Cuestiones sobre la conservación y la eliminación

¿Durante qué periodo se almacenan las diversas categorías de datos y si hay tiempos específicos según la finalidad prevista?
¿Qué factores influyen en la duración del resguardo, como exigencias legales, usos habituales del sector o autorización otorgada?
¿De qué manera se llevan a cabo la eliminación y el bloqueo de la información cuando se ejerce el derecho al olvido o cuando deja de ser necesaria?

Orientación práctica: datos de facturación y contables suelen guardarse según obligaciones fiscales —frecuentemente varios años— mientras que datos de marketing deberían eliminarse cuando el consentimiento se retira.

Preguntas sobre acceso, rectificación y derechos del interesado

¿Cómo pueden las personas ejercer sus derechos: acceso, rectificación, supresión, oposición, limitación, portabilidad y no ser objeto de decisiones automatizadas?
¿Qué plazos y procedimientos sigue la organización para responder a solicitudes? ¿Hay formularios y canales accesibles?
¿Se exige verificación de identidad para evitar divulgaciones indebidas? ¿Cómo se equilibra seguridad y facilidad de ejercicio de derechos?

Buen indicador: procedimientos publicados, plazos conformes a normativa (p. ej., respuesta en un máximo de un mes) y canales múltiples (correo, formularios, teléfono).

Preguntas sobre terceros y transferencia de datos

¿Se comparten datos con terceros? ¿Quiénes son (proveedores, socios, anunciantes, autoridades)?
¿Qué contratos o cláusulas existen con terceros para garantizar protección equivalente (cláusulas contractuales tipo, acuerdos de encargado de tratamiento)?
¿Se realizan transferencias internacionales de datos? ¿Qué garantías se aplican (decisiones de adecuación, garantías apropiadas, reglas corporativas vinculantes)?

Ejemplo: una plataforma que contrata servicios en la nube debe disponer de cláusulas de encargado de tratamiento y garantías para transferencias fuera del área económica correspondiente.

Consultas acerca de la protección, así como de las medidas técnicas y organizativas aplicadas

¿Qué tipo de medidas técnicas, como cifrado, gestión de permisos o respaldos, y qué disposiciones organizativas, como normas internas, capacitación o supervisión de subprocesadores, se han implementado?
¿Se llevan a cabo de forma periódica pruebas de seguridad, revisiones técnicas y análisis de vulnerabilidades? ¿Cada cuánto tiempo se efectúan?
¿Qué certificaciones o normas se aplican, por ejemplo ISO 27001, y están los informes de auditoría disponibles para clientes o autoridades reguladoras?

Dato útil: una entidad responsable ha de ser capaz de detallar cómo protege los datos mediante cifrado en tránsito y en reposo, cómo gestiona sus claves y qué procedimiento aplica para responder a incidentes.

Consultas acerca de incidentes de seguridad

¿Existe un plan de respuesta a incidencias y protocolo para notificar brechas a autoridades y a afectados? ¿Cuánto tiempo tarda la notificación?
¿Qué criterios se usan para evaluar la gravedad y el riesgo para los derechos y libertades de las personas?
¿Se documentan las lecciones aprendidas y las medidas correctoras tras una brecha?

Ejemplo real genérico: cuando se produce una filtración que revela información personal, esta debe comunicarse a la autoridad competente dentro del periodo fijado por la normativa vigente y también notificarse a los afectados si entraña un riesgo elevado.

Preguntas sobre anonimización y seudonimización

¿Los datos se anonimizan o seudonimizan para análisis estadístico? ¿Cuál es la técnica empleada y el nivel de reversibilidad?
¿Se mantienen separadas las claves de reidentificación y quién tiene acceso a ellas?

Recomendación: la verdaderamente anónima no es reutilizable para identificar personas; la seudonimización reduce riesgos pero sigue considerándose dato personal bajo muchas leyes.

Consultas relacionadas con menores y contenidos destinados a niños

¿De qué forma se gestiona el consentimiento de menores y se comprueba la edad? ¿Qué rangos de edad establece la organización?
¿Se restringe la recopilación de datos de menores a lo estrictamente necesario y se evita la publicidad personalizada cuando resulte inapropiada?

Nota normativa: el RGPD determina las edades mínimas para dar consentimiento digital, que por lo general se sitúan en 16 años, aunque los estados miembros pueden rebajarlas hasta los 13.

Cuestiones sobre marketing y fines comerciales

¿Cómo se obtienen y gestionan los consentimientos para comunicaciones comerciales? ¿Existen listas de exclusión y opciones claras de desuscripción?
¿Se venden datos a terceros o se usan para perfiles comerciales? ¿Cómo se informa al usuario y qué controles ofrece?

Buenas prácticas: ofrecer controles granulares para tipos de comunicaciones y no ocultar las prácticas comerciales en lenguaje técnico.

Cuestiones relativas a la claridad y la redacción de la política

¿La política está escrita con un lenguaje sencillo y comprensible, e incluye ejemplos específicos sobre cómo se manejan los datos?
¿Se presentan los aspectos esenciales en un formato conciso y se ofrecen accesos rápidos a información clave (clases de datos, propósitos, derechos)?
¿Se revisa la política de forma periódica y se informa a los usuarios cuando ocurren modificaciones relevantes?

Indicador de confianza: transparencia activa, resúmenes visuales y preguntas frecuentes que respondan escenarios comunes.

Preguntas sobre responsabilidad, gobernanza y auditoría

¿Quién en la organización es responsable de la protección de datos (delegado de protección de datos o responsable equivalente) y cómo contactar con él o ella?
¿Se realizan auditorías internas y externas y se mantiene un registro de actividades de tratamiento?
¿Existen políticas de formación continua para empleados y evaluación de proveedores?

Señal positiva: nombramiento visible de responsable de privacidad y registros accesibles para autoridades si se requieren.

Cómo analizar las respuestas obtenidas

Coherencia: las respuestas deben alinearse con las prácticas técnicas verificables; si se afirma que no se comparten datos pero se observan integraciones con terceros, surge una inconsistencia.
Especificidad: conviene dejar de lado afirmaciones imprecisas como «se aplican medidas razonables» y optar por describir acciones concretas junto con plazos claros.
Riesgo residual: es necesario determinar si los controles implementados disminuyen el riesgo hasta un umbral aceptable para la actividad y para las personas involucradas.

Un ejemplo de alerta sería no disponer de un procedimiento bien definido para atender las solicitudes de derechos o la ausencia de estipulaciones contractuales con los subcontratistas.

Acciones prácticas tras hacer las preguntas

Requerir la documentación pertinente: políticas internas, acuerdos de tratamiento, evaluaciones de impacto (EIPD), informes de auditoría y registros sobre transferencias.
Ejecutar comprobaciones: solicitar derechos de acceso y eliminación, examinar cookies y tráfico de red, así como verificar los permisos de aplicaciones móviles.
Proceder a la escalada: cuando las respuestas resulten insuficientes, presentar una reclamación ante la autoridad competente o recurrir a asesoría legal especializada.

Plantear las preguntas adecuadas sobre política de privacidad y gestión de datos ayuda a convertir dudas en decisiones bien fundamentadas, al clarificar responsabilidades, reducir riesgos técnicos y legales, resguardar los derechos de cada persona y sostener la confianza. Un análisis exhaustivo integra revisión documental, pruebas operativas y criterios firmes de transparencia, proporcionalidad y seguridad; la solidez de las respuestas expone tanto el nivel de madurez de la organización como su compromiso auténtico con la privacidad y el respeto a las personas.