¿Qué indagar sobre la política de privacidad y el uso de datos?

La política de privacidad y las prácticas de gestión de datos describen cómo una organización reúne, emplea, comparte y resguarda la información personal. Plantear las preguntas adecuadas ayuda a identificar riesgos legales, de reputación y de operación, además de asegurar el cumplimiento de normativas como el Reglamento General de Protección de Datos (RGPD) y otras leyes locales pertinentes. A continuación se ofrece un conjunto integral de preguntas esenciales clasificadas por áreas, acompañadas de ejemplos, criterios de respuesta y situaciones ilustrativas.

Preguntas sobre recopilación de datos

¿Qué tipos de datos personales se recopilan? (p. ej., identificación, contacto, financieros, salud, biométricos, ubicación)
¿Se recogen datos sensibles o de categorías especiales? Si es así, ¿con qué base legal y qué medidas adicionales se aplican?
¿Se recogen datos de menores? ¿Cómo se verifica la edad y cómo se solicita el consentimiento parental cuando procede?
¿Se recopilan datos por medios automáticos (cookies, sensores, aplicaciones móviles) o por entrada manual? ¿Hay diferencias en el tratamiento?

Ejemplo: una aplicación de salud que solicita datos médicos y ubicación debe justificar la recopilación con una base legal sólida y medidas de seguridad reforzadas.

Cuestiones relativas a su propósito y utilización

¿Con qué propósitos específicos se tratarán los datos, como la prestación del servicio, la facturación, la optimización del producto, acciones de marketing, análisis o el cumplimiento de obligaciones legales?
¿Los datos se emplearán en procesos de decisión automatizada o en la elaboración de perfiles, y de qué manera podría esto influir en la persona implicada?
¿Se destinarán los datos a usos adicionales no contemplados al inicio, y cómo se comunicará esta novedad para solicitar un nuevo consentimiento cuando sea necesario?

Criterio de respuesta razonable: objetivos concretos, acotados y debidamente registrados; perfilado claramente detallado con aclaraciones y alternativas de exclusión cuando pueda incidir en los derechos.

Cuestiones relativas a la base legal y al consentimiento

¿Cuál es la base jurídica para cada tratamiento? (consentimiento, ejecución de contrato, obligación legal, interés legítimo, interés público, protección vital)
Si se basa en consentimiento, ¿es libre, específico, informado e inequívoco? ¿Cómo se documenta y cómo puede revocarse?
Si se invoca interés legítimo, ¿se ha realizado un test de ponderación documentado entre intereses de la organización y derechos del individuo?

Caso práctico: numerosas empresas recurren al interés legítimo para actividades de analítica; la organización ha de mantener el análisis de impacto y poner a disposición mecanismos para oponerse.

Cuestiones sobre la conservación y la eliminación

¿Durante qué periodo se almacenan las diversas categorías de datos y si hay tiempos específicos según la finalidad prevista?
¿Qué factores influyen en la duración del resguardo, como exigencias legales, usos habituales del sector o autorización otorgada?
¿De qué manera se llevan a cabo la eliminación y el bloqueo de la información cuando se ejerce el derecho al olvido o cuando deja de ser necesaria?

Orientación práctica: la información destinada a facturación y contabilidad suele conservarse durante los periodos exigidos por la normativa fiscal —a menudo por varios años— mientras que los datos utilizados con fines de marketing deben suprimirse en cuanto se retire el consentimiento.

Consultas sobre el acceso, la rectificación y los derechos de las personas interesadas

¿Cómo pueden las personas ejercer sus derechos: acceso, rectificación, supresión, oposición, limitación, portabilidad y no ser objeto de decisiones automatizadas?
¿Qué plazos y procedimientos sigue la organización para responder a solicitudes? ¿Hay formularios y canales accesibles?
¿Se exige verificación de identidad para evitar divulgaciones indebidas? ¿Cómo se equilibra seguridad y facilidad de ejercicio de derechos?

Buen indicador: procedimientos publicados, plazos conformes a normativa (p. ej., respuesta en un máximo de un mes) y canales múltiples (correo, formularios, teléfono).

Preguntas sobre terceros y transferencia de datos

¿Se comparten datos con terceros? ¿Quiénes son (proveedores, socios, anunciantes, autoridades)?
¿Qué contratos o cláusulas existen con terceros para garantizar protección equivalente (cláusulas contractuales tipo, acuerdos de encargado de tratamiento)?
¿Se realizan transferencias internacionales de datos? ¿Qué garantías se aplican (decisiones de adecuación, garantías apropiadas, reglas corporativas vinculantes)?

Ejemplo: una plataforma que recurre a servicios en la nube ha de contar con cláusulas de encargado del tratamiento y con garantías adecuadas para realizar transferencias más allá del área económica aplicable.

Consultas acerca de la protección, así como de las medidas técnicas y organizativas aplicadas

¿Qué medidas técnicas (cifrado, control de accesos, copias de seguridad) y organizativas (políticas internas, formación, control de subprocesadores) existen?
¿Se realizan pruebas de seguridad, auditorías y evaluaciones de vulnerabilidad con regularidad? ¿Con qué frecuencia?
¿Qué certificaciones o estándares se cumplen (por ejemplo, ISO 27001) y están las auditorías disponibles para clientes o reguladores?

Dato útil: una organización responsable debe poder describir el cifrado en tránsito y en reposo, gestión de claves y procedimiento de respuesta a incidentes.

Consultas acerca de incidentes de seguridad

¿Existe un plan de respuesta a incidencias y protocolo para notificar brechas a autoridades y a afectados? ¿Cuánto tiempo tarda la notificación?
¿Qué criterios se usan para evaluar la gravedad y el riesgo para los derechos y libertades de las personas?
¿Se documentan las lecciones aprendidas y las medidas correctoras tras una brecha?

Ejemplo real genérico: cuando se produce una filtración que revela información personal, esta debe comunicarse a la autoridad competente dentro del periodo fijado por la normativa vigente y también notificarse a los afectados si entraña un riesgo elevado.

Cuestiones relacionadas con la anonimización y la seudonimización

¿Los datos se anonimizan o seudonimizan para análisis estadístico? ¿Cuál es la técnica empleada y el nivel de reversibilidad?
¿Se mantienen separadas las claves de reidentificación y quién tiene acceso a ellas?

Recomendación: la verdaderamente anónima no es reutilizable para identificar personas; la seudonimización reduce riesgos pero sigue considerándose dato personal bajo muchas leyes.

Preguntas sobre niños y materiales dirigidos a menores

¿De qué forma se gestiona el consentimiento de menores y se comprueba la edad? ¿Qué rangos de edad establece la organización?
¿Se restringe la recopilación de datos de menores a lo estrictamente necesario y se evita la publicidad personalizada cuando resulte inapropiada?

Nota normativa: el RGPD establece límites de edad para consentimiento digital (generalmente 16, con posibilidad de bajar a 13 por estados miembros).

Preguntas sobre marketing y uso comercial

¿Cómo se obtienen y gestionan los consentimientos para comunicaciones comerciales? ¿Existen listas de exclusión y opciones claras de desuscripción?
¿Se venden datos a terceros o se usan para perfiles comerciales? ¿Cómo se informa al usuario y qué controles ofrece?

Buenas prácticas: ofrecer controles granulares para tipos de comunicaciones y no ocultar las prácticas comerciales en lenguaje técnico.

Cuestiones relativas a la claridad y la redacción de la política

¿La política está escrita con un lenguaje sencillo y comprensible, e incluye ejemplos específicos sobre cómo se manejan los datos?
¿Se presentan los aspectos esenciales en un formato conciso y se ofrecen accesos rápidos a información clave (clases de datos, propósitos, derechos)?
¿Se revisa la política de forma periódica y se informa a los usuarios cuando ocurren modificaciones relevantes?

Indicador de confianza: transparencia activa, resúmenes visuales y preguntas frecuentes que respondan escenarios comunes.

Cuestiones sobre responsabilidad, gobernanza y procesos de auditoría

¿Qué persona dentro de la organización asume la responsabilidad de la protección de datos, ya sea como delegado de protección de datos o figura equivalente, y de qué manera se puede establecer contacto con él o ella?
¿Se llevan a cabo auditorías tanto internas como externas y se conserva un registro actualizado de las actividades de tratamiento?
¿Hay políticas de capacitación permanente para el personal y procedimientos para valorar el desempeño de los proveedores?

Señal positiva: nombramiento visible de responsable de privacidad y registros accesibles para autoridades si se requieren.

Cómo analizar las respuestas obtenidas

Coherencia: las respuestas deben coincidir con las prácticas técnicas observables (por ejemplo, si dicen no compartir datos y se detectan integraciones con terceros, hay un problema).
Especificidad: evitar respuestas vagas como «se toman medidas razonables»; preferir medidas concretas y plazos definidos.
Riesgo residual: evaluar si los controles reducen el riesgo a un nivel aceptable para la actividad y para los afectados.

Un ejemplo de alerta sería no disponer de un procedimiento bien definido para atender las solicitudes de derechos o la ausencia de estipulaciones contractuales con los subcontratistas.

Acciones prácticas tras hacer las preguntas

Solicitar documentación: políticas, acuerdos de tratamiento, evaluaciones de impacto (EIPD), resultados de auditorías y registros de transferencias.
Realizar pruebas: ejercer derechos de acceso y supresión, analizar cookies y conexiones de red, revisar permisos de aplicaciones móviles.
Escalar: si las respuestas son insuficientes, plantear reclamación ante la autoridad competente o buscar asesoría legal especializada.

Plantear las preguntas adecuadas sobre política de privacidad y gestión de datos ayuda a convertir dudas en decisiones bien fundamentadas, al clarificar responsabilidades, reducir riesgos técnicos y legales, resguardar los derechos de cada persona y sostener la confianza. Un análisis exhaustivo integra revisión documental, pruebas operativas y criterios firmes de transparencia, proporcionalidad y seguridad; la solidez de las respuestas expone tanto el nivel de madurez de la organización como su compromiso auténtico con la privacidad y el respeto a las personas.