Datos personales del RGPD: ¿qué información cubre? (2023)

Casi todas nuestras interacciones con organizaciones implican un intercambio de datos personales. Los ejemplos incluyen nombre, número de teléfono y dirección.

Uno de estos datos puede no ser suficiente para identificar a una persona. Sin embargo, cuando se recopilan en conjunto, pueden identificar a una persona en particular y, por lo tanto, constituir datos personales. Esta es la razón por la que a menudo se la denomina información de identificación personal oinformación personal.

Los datos dejan de ser personales cuando se realizananónimo,y un individuo ya no es identificable. Pero para que los datos sean verdaderamente anónimos, la anonimización debe ser irreversible.

Los datos que han sido encriptados anonimizados oseudónimopero se puede utilizar para volver a identificar a una persona sigue siendo información personal.

ElRGPDexiste para proteger nuestros datos personales en todos los niveles. Está protegido en todas las plataformas, independientemente de la tecnología utilizada, y se aplica tanto al tratamiento manual como al automatizado. Las leyes de datos personales también se aplican independientemente de cómo se almacenen los datos, ya sea un sistema de TI, papel o vigilancia por video.

El RGPD y los datos personales

El RGPD se lanzó en 2016 con la intención de proporcionar un conjunto de leyes de privacidad para la Unión Europea.

El RGPD proporciona pautas para organizaciones y empresas con respecto a cómo manejan la información relacionada con las personas con las que interactúan. Ha facilitado que los ciudadanos de la Unión Europea entiendan sus derechos cuando se trata de su información personal, y debe usarse.

Esto es importante porquetecnologíaestá cambiando más rápido que nunca, y los datos personales están evolucionando con él. El teléfono inteligente se ha vuelto fundamental para el mundo moderno, y casi la mitad de la población mundial tiene cuentas en las redes sociales.

Esto ha cambiado drásticamente la naturaleza de la información personal que compartimos. Ahora incluye datos biométricos, como identificación de huellas dactilares y escaneos de retina, y datos de ubicación de direcciones IP y Google Maps. Por esta razón, nuestra información personal es más vulnerable que nunca.

La definición de datos personales

Los datos personales son fundamentales para el espíritu del Reglamento General de Protección de Datos (GDPR). Sin embargo, algunas personas todavía no están seguras de a qué se refiere específicamente "datos personales".

La definición básica de datos personales es cualquier información relativa a una persona física identificada o identificable (sujeto de datos).

En otras palabras, cualquier información que obviamente se relacione con una persona en particular y pueda usarse para identificarla.

El RGPD establece que los datos se clasifican como "datos personales", un individuo puede identificarse directa o indirectamente, utilizando identificadores en línea como su nombre, un número de identificación, direcciones IP o sus datos de ubicación.

Y si estos identificadores en línea brindan información específica sobre la identidad física, fisiológica, genética, mental, económica, cultural o social de esa persona física.

En algunas circunstancias, incluso la información relacionada con el trabajo de una persona, el color del cabello o las opiniones políticas podría clasificarse como información personal. Por lo general, esto se reduce al contexto en el que se recopilaron los datos y si un sujeto de datos podría ser identificable directa o indirectamente.

Ejemplos de información personal

La definición de datos personales es cualquier información relativa a un“persona física identificada o identificable”.Cuando la mayoría de la gente piensa en datos personales, piensa en números de teléfono y direcciones; sin embargo, los datos personales cubren una gama de identificadores.

• Nombre y apellido.
• Dirección de correo electrónico.
• Número de teléfono.
• Direccion de casa.
• Fecha de nacimiento.
• Carrera.
• Género.
• Opiniones políticas.
• Números de tarjetas de crédito.
• Datos en poder de un hospital o médico.
• Fotografía donde se identifica a un individuo.
• Número de Tarjeta de Identificación.
• Una identificación de cookie.
• Dirección de Protocolo de Internet (IP)
• Datos de ubicación (por ejemplo, los datos de ubicación de un teléfono móvil).
• El identificador de publicidad de su teléfono.

Los datos personales relacionados con el RGPD no cubren:

• Información sobre alguien que ha fallecido.
• Datos debidamente anonimizados.
• Información sobre administraciones públicas y empresas.

Identificadores RGPD

Una persona puede ser identificada si es distinguible de otro individuo. El RGPD pide a las empresas que consideren:

• Si pueden identificar a una persona individual con solo mirar los datos que están procesando.
• Que no necesita un nombre para identificar a una persona, podría ser una combinación de otros datos que actúan como identificador.
• Cómo evalúan los datos que están procesando y si otro podría usarlos para identificar a una persona.
• Si existe una probabilidad futura de que los datos puedan usarse para identificar a alguien.
• El contenido de los datos y si se trata de la persona o de lo que hace.
• La razón por la que están procesando los datos.
• Los posibles efectos en la persona derivados del tratamiento de datos.

Cómo deben manejar las organizaciones los datos personales

Todas las organizaciones deben pecar de precavidas cuando se trata de procesar datos personales.

El RGPD sugiere que deben asegurarse de que el procesamiento de cualquier información personal se limite a lo que sea necesario.

Las organizaciones solo deben conservar estos datos mientras cumplan con su propósito. También deberían tratar de seudonimizar y/o cifrar esta información, especialmente si está clasificada como información confidencial.

seudonimización

La seudonimización es cuando los datos se enmascaran reemplazando cualquier información identificada o identificable con identificadores artificiales.

Aunque puede ser una excelente manera de proteger la seguridad y la privacidad de los datos personales, la seudonimización es limitada. Aunque los datos seudónimos no identificarán a una persona directamente, pueden identificarse indirectamente con relativa facilidad.

Algunos ejemplos de este tipo de datos personales incluyen

• Un nombre de usuario de Internet, como un nombre utilizado para publicar en un foro de discusión en línea.
• Cualquier dato de redes sociales, como la lista de amigos de una persona y la información de inicio de sesión.
• Datos generados por usuarios de Internet: datos generados a sabiendas por un individuo, como publicaciones en foros de discusión, búsquedas en Internet y datos personales que ingresan en sus perfiles de redes sociales.
• Códigos RFID (identificación por radiofrecuencia): los chips RFID generalmente incluirán un número único identificable, que individualiza cualquier propiedad a la que está adjunto y, por lo tanto, puede usarse para identificar a alguien.
• Números de identificación únicos en dispositivos personales. Por ejemplo, direcciones Mac, dirección IP, número de Bluetooth, número de Identidad de equipo móvil internacional (IMEI) o número de comunicación de campo cercano.

Cifrado

El cifrado funciona de manera similar a la seudonimización. Oculta la información personal al reemplazar los identificadores únicos con otros datos.

Pero a diferencia de la seudonimización, que permite que cualquier persona que tenga acceso legal a los datos vea parte del conjunto de datos, el cifrado solo permite que los usuarios aprobados vean el conjunto de datos completo.

El RGPD establece que el cifrado y la seudonimización se pueden usar juntos o por separado, y muchas organizaciones optan por usar ambos métodos para proteger a sus interesados.

La importancia del contexto

Es normal que las organizaciones recopilen varios tipos diferentes de datos personales. Es importante que consideren que incluso si una parte de la información no identifica a un individuo, podría volverse relevante cuando se combina con otra información.

Por ejemplo, el responsable del tratamiento de datos de una organización puede preguntar a sus clientes cuál es su ocupación y, con esta información únicamente, no sería posible identificarlos. Por lo tanto, esta información por sí sola no entra en el ámbito de los datos personales según el RGPD porque el puesto de trabajo no suele ser específico de una persona individual.

Sin embargo, si el controlador de datos también les pregunta para qué empresa trabajan, estos datos combinados podrían reducir el número de personas físicas que viven en una empresa con una ocupación particular y posiblemente identificar a una persona. En otras palabras, si se refiere a una persona que tiene un puesto de trabajo específico en una determinada empresa, puede haber una persona que se ajuste a esa descripción.

Por supuesto, este no siempre es el caso, por ejemplo, si sabe que una persona es barista en Starbucks, es poco probable que pueda identificarla y, por lo tanto, estos dos datos juntos no se considerarían datos personales según el RGPD.

Informacion delicada

Aunque los términos "datos personales" y "datos confidenciales" a menudo se usan para describir lo mismo, el RGPD hace una distinción clara entre estos dos términos.

Según la normativa, los datos confidenciales son un conjunto de categorías especiales que deben manejarse con seguridad adicional. Estas categorías especiales son:

• Origen étnico o racial.
• Opiniones políticas.
• Identidad cultural o social.
• creencias filosóficas o religiosas;
• Afiliaciones sindicales.
• Datos genéticos.
• Datos biométricos (que se pueden utilizar para identificar de forma única a alguien).

Procesamiento de datos personales confidenciales

Existen algunas reglas adicionales cuando se trata de procesar datos personales confidenciales. Debe documentar una razón legal para procesar esta información según el artículo 6 del RGPD.

De acuerdo con el artículo 6, las organizaciones deben tener:

• Un contrato válido con el individuo –Por ejemplo, un contrato de trabajo o un contrato de suministro de bienes o servicios.
• Una obligación legal -La organización podría estar legalmente obligada a procesar los datos.
• Una tarea pública -Esto incluye funciones oficiales o tareas de interés público. Por ejemplo, escuelas y otras instituciones educativas, autoridades públicas como departamentos gubernamentales, hospitales y organismos encargados de hacer cumplir la ley.
• Intereses legítimos –Una organización puede tener una razón legítima y genuina (como un beneficio comercial) para procesar información personal sin consentimiento.
• Consentir -Si el interesado está de acuerdo con el tratamiento de sus datos, previa explicación clara y honesta del motivo de su recogida y para qué serán utilizados.

El RGPD y el consentimiento

Existe la suposición común de que, de acuerdo con el RGPD, todas las organizaciones deben obtener el consentimiento para procesar datos personales, pero este no es el caso.

El consentimiento es solo una de las opciones que tienen las empresas, como ha demostrado este artículo, y de hecho, no siempre es la mejor opción. Las personas pueden retirar contenido en cualquier momento y, como resultado, pueden surgir complicaciones.

Cuando las organizaciones no se toman el tiempo para estudiar elRequisitos de cumplimiento del RGPD, se pueden hacer tropezar, y esto tiene el potencial de causar daños duraderos, desde multas regulatorias y acciones de ejecución hasta pérdida de clientes y prensa negativa.

Violaciones de datos personales

El RGPD establece pautas muy estrictas con respecto a los datos personales y cómo se utilizan.

Si cualquier información relacionada con otra persona se pierde, altera, revela, destruye o accede a información relacionada con otra persona de manera accidental o ilegal, esto se clasifica como una violación de datos.

Los datos personales son un aspecto clave de la identidad en línea, pero lamentablemente pueden explotarse. Algunas personas pueden alterar los datos personales para secuestrar buzones de correo, crear documentos falsos y usar la información de contacto de las personas para acosarlos.

Incluso podrían cometer robo de identidad financiera, que generalmente implica el robo de detalles de tarjetas de crédito y cuentas bancarias para su uso o venta. En otros casos, los datos personales que han sido violados se utilizan para crear identidades en línea falsas, como perfiles de redes sociales falsos.

Esto se conoce comúnmente como fraude de identidad o clonación de identidad.

Una vez que una persona tiene acceso a ciertos datos personales, como su nombre, fecha de nacimiento, documentos de identidad o número de seguro social y contraseñas, puede usarlos para iniciar sesión en diferentes sitios web para acceder a más información que puede utilizar en su beneficio.

Las violaciones de datos personales no siempre son el resultado de que los ciberdelincuentes pirateen el sistema de una empresa.

De hecho, muchos de estos incidentes ocurren cuando un empleado accidentalmente hace pública información personal.

Esto podría ser a través de un correo electrónico que se envió a la persona equivocada, un error técnico en la página web de la empresa o la pérdida de una computadora portátil u otro dispositivo personal que contenga datos personales.