El intercambio de datos es fundamental para el comercio moderno. Ya sea que se esté incorporando un nuevo proveedor de nube, colaborando con una agencia de marketing o integrando un sistema de RR. HH. de terceros, los datos personales fluyen constantemente entre organizaciones. Pero esta es la incómoda realidad: la mayoría de las empresas subestiman el complejo campo legal que representa el intercambio de datos según el Reglamento General de Protección de Datos (RGPD).
Hay mucho en juego. Las multas pueden alcanzar los 20 millones de euros o el 4 % de la facturación anual global, lo que sea mayor. Además de las sanciones económicas, se arriesga a daños a la reputación, al escrutinio regulatorio y a demandas de responsabilidad civil por parte de las personas afectadas. La Autoridad de Protección de Datos de los Países Bajos (Autoriteit Persoonsgegevens o AP) lo ha dejado claro: la ignorancia no es una excusa válida.
Este artículo le explica siete riesgos críticos del RGPD que surgen al compartir datos personales. Cada riesgo se basa en disposiciones específicas del RGPD, se ilustra con consecuencias reales y se acompaña de orientación práctica para ayudarle a cumplir con la normativa. Tanto si es propietario de una empresa, responsable de cumplimiento normativo o profesional del derecho que opera en los Países Bajos, es fundamental comprender estos riesgos.
1. Compartir datos sin una base jurídica válida (artículo 6 del RGPD)
El riesgo: No se pueden compartir datos personales simplemente porque sea conveniente o beneficioso. Toda compartición de datos requiere una base legal válida según el artículo 6 del RGPD.
Por qué las empresas se equivocan: Muchas organizaciones dan por sentado que basta con tener un motivo comercial para compartir datos. No es así. El RGPD establece seis bases jurídicas para el tratamiento de datos: consentimiento, necesidad contractual, obligación legal, intereses vitales, interés público e intereses legítimos. Cada una tiene requisitos y limitaciones específicos.
Por ejemplo, a menudo se invocan "intereses legítimos" para justificar el intercambio de datos con socios o proveedores de servicios. Sin embargo, esta base requiere una cuidadosa ponderación: sus intereses no deben prevalecer sobre los derechos y libertades de las personas cuyos datos procesa. Y debe documentar esta evaluación.
Fundamento jurídico: El artículo 6 del RGPD establece la lista exhaustiva de bases jurídicas. El artículo 5(1)(a) del RGPD exige que todo tratamiento de datos sea lícito, justo y transparente.
Consecuencia en el mundo real: La AP ha impuesto multas a organizaciones que compartieron datos de clientes con terceros con fines de marketing sin una base legal adecuada. Incluso si los datos se anonimizaron o agregaron, si es posible la reidentificación, siguen siendo datos personales y requieren una base legal.
Consejo práctico: Antes de compartir cualquier dato personal, identifique y documente la base legal aplicable. Si se basa en intereses legítimos, realice y registre una evaluación de intereses legítimos (EIL). Si utiliza el consentimiento, asegúrese de que sea libre, específico, informado e inequívoco.
2. Confusión sobre las funciones: Responsable vs. Encargado del tratamiento (Artículo 4(7)–(8) del RGPD)
El riesgo: El RGPD distingue entre responsables del tratamiento (quienes determinan los fines y los medios del tratamiento) y encargados del tratamiento (quienes tratan datos por cuenta del responsable). Identificar erróneamente su función —o la de su socio— genera graves deficiencias en el cumplimiento normativo.
Por qué las empresas se equivocan: En la práctica, los roles pueden ser ambiguos. Si compartes datos con un proveedor de SaaS, ¿es un responsable del tratamiento o un encargado del tratamiento? ¿Qué ocurre si utiliza tus datos para mejorar sus algoritmos? Muchas empresas tienden a llamar a todos los proveedores "encargados del tratamiento" sin analizar adecuadamente la relación.
La clasificación errónea es importante porque los responsables y los encargados del tratamiento tienen obligaciones diferentes. Los responsables deben asegurarse de que los encargados ofrezcan garantías suficientes de cumplimiento (artículo 28 del RGPD). Los corresponsables del tratamiento deben acordar sus respectivas responsabilidades (artículo 26 del RGPD). Si se equivoca, podría ser considerado responsable de infracciones que ni siquiera sabía que estaban ocurriendo.
Fundamentación jurídica: Los artículos 4(7) y (8) del RGPD definen «responsable del tratamiento» y «encargado del tratamiento». El artículo 24 del RGPD describe las obligaciones de responsabilidad del responsable del tratamiento.
Consecuencia en la práctica: El Tribunal de Justicia de la Unión Europea dictaminó en el caso Fashion ID (C-40/17) que incluso la determinación parcial de los fines puede convertirte en corresponsable del tratamiento. Esto significa que puedes ser considerado corresponsable de las infracciones del RGPD, aunque otra parte las haya causado.
Consejo práctico: Elabore un mapa de los flujos de datos y determine quién decide por qué y cómo se procesan los datos. Documente esto por escrito y asegúrese de que cada parte comprenda su función y sus obligaciones.
3. Acuerdo de tratamiento de datos inexistente o inadecuado (artículo 28 del RGPD)
El riesgo: Si contrata a un procesador para que gestione sus datos personales en su nombre, está legalmente obligado a contar con un acuerdo de procesamiento de datos (APD) por escrito. Sin excepciones.
Por qué las empresas se equivocan: Es tentador omitir el papeleo, especialmente con socios de confianza o con los que se tiene una relación de larga data. Pero sin un acuerdo de protección de datos (DPA) que cumpla con la normativa, se incumple el artículo 28 del RGPD desde el primer día, incluso si no se produce ningún daño real.
Un DPA adecuado debe incluir cláusulas obligatorias específicas: el objeto y la duración del tratamiento, la naturaleza y la finalidad del tratamiento, el tipo de datos personales, las categorías de interesados y las obligaciones y derechos del responsable del tratamiento. También debe abordar el subtratamiento, la seguridad de los datos y la notificación de infracciones.
Fundamento jurídico: El artículo 28(3) del RGPD enumera el contenido obligatorio de un acuerdo de protección de datos. El artículo 28(4) del RGPD exige autorización explícita para los subencargados del tratamiento.
Consecuencia en la práctica: La AP ha sancionado a organizaciones por contratar procesadores sin acuerdos de protección de datos adecuados. Incluso si el procesador cumple con la normativa, el responsable del tratamiento puede ser multado por no formalizar un acuerdo apropiado.
Consejos prácticos: Utilice una plantilla estandarizada de Acuerdo de Protección de Datos (APD) que cumpla con todos los requisitos del artículo 28(3). Revise los acuerdos existentes para asegurarse de que cumplen con el RGPD. No incorpore a ningún nuevo encargado del tratamiento sin un APD firmado.
4. Transferencia ilegal a terceros países fuera del EEE (artículos 44 a 49 del RGPD y Schrems II)
El riesgo: La transferencia de datos personales fuera del Espacio Económico Europeo (EEE) está muy restringida. Solo se puede realizar si el país de destino ofrece un nivel de protección adecuado o si se implementan las medidas de seguridad apropiadas.
Por qué las empresas cometen errores: Muchas empresas utilizan servicios en la nube, procesadores de pago o herramientas de análisis alojadas en EE. UU. o Asia sin darse cuenta de que están aplicando las normas de transferencia internacional. Incluso si su contrato es con una entidad de la UE, si los datos se almacenan o se accede a ellos fuera del EEE, se aplican las normas de transferencia.
La sentencia Schrems II (asunto C-311/18) invalidó el Escudo de Privacidad UE-EE. UU. y reafirmó que las cláusulas contractuales tipo (CCT) por sí solas no son suficientes. También es necesario realizar una evaluación del impacto de la transferencia (EIT) para determinar si la legislación del país de destino menoscaba la protección garantizada por las CCT.
Fundamentación jurídica: Los artículos 44 a 49 del RGPD regulan las transferencias internacionales. El capítulo V del RGPD exige decisiones de adecuación (artículo 45) o garantías apropiadas (artículo 46), como las cláusulas contractuales tipo.
Consecuencia en el mundo real: La AP puede ordenarle que suspenda o prohíba las transferencias de datos a terceros países si no se implementan las salvaguardias adecuadas. Las empresas han enfrentado acciones coercitivas y daños a su reputación por transferir datos a los EE. UU. sin realizar una TIA después de Schrems II.
Recomendaciones prácticas: Identifique todas las transferencias a terceros países en sus flujos de datos. Verifique si existe una decisión de adecuación. De no existir, implemente las cláusulas contractuales tipo (CCT) y realice una evaluación de impacto en la transferencia (EIT). Documente las medidas complementarias si es necesario (por ejemplo, cifrado, seudonimización).
5. No realización de una evaluación de impacto de la protección de datos (artículo 35 del RGPD)
El riesgo: La evaluación de impacto en la protección de datos (EIPD) es obligatoria cuando el intercambio de datos pueda suponer un alto riesgo para los derechos y libertades de las personas. Esto incluye el tratamiento a gran escala de categorías especiales de datos, la monitorización sistemática o el uso de nuevas tecnologías.
Por qué las empresas se equivocan: Muchas organizaciones consideran que las Evaluaciones de Impacto en la Protección de Datos (EIPD) son opcionales o relevantes solo para proyectos de gran envergadura. En realidad, compartir datos de salud con una plataforma de análisis de terceros, implementar herramientas de elaboración de perfiles basadas en IA o combinar conjuntos de datos de múltiples fuentes pueden activar el requisito de una EIPD.
Una EIPD no es solo un simple proceso de verificación de requisitos. Es un proceso estructurado para identificar riesgos, evaluar su gravedad y determinar medidas para mitigarlos. Si los riesgos residuales persisten, debe consultar con el PA antes de proceder.
Fundamento jurídico: El artículo 35 del RGPD exige la realización de evaluaciones de impacto sobre la protección de datos (EIPD) para el tratamiento de datos de alto riesgo. La AP ha publicado directrices sobre cuándo es necesaria una EIPD.
Consecuencia en el mundo real: No realizar una Evaluación de Impacto en la Protección de Datos (EIPD) cuando es necesaria constituye en sí misma una infracción del RGPD. La AP ha multado a organizaciones por compartir datos de alto riesgo sin completar una EIPD, incluso cuando no se produjo ninguna violación de datos.
Recomendaciones prácticas: Analice todas las actividades de intercambio de datos para detectar posibles activadores de la Evaluación de Impacto en la Protección de Datos (EIPD). Ante la duda, realice una evaluación. Involucre a su Responsable de Protección de Datos (RPD) y documente el proceso de evaluación minuciosamente.
6. Información insuficiente a los interesados (artículos 13 y 14 del RGPD)
El riesgo: La transparencia es un pilar fundamental del RGPD. Siempre que recopile o comparta datos personales, debe informar a los interesados sobre quién recibirá sus datos, con qué finalidad y sobre qué base jurídica.
Por qué las empresas se equivocan: Los avisos de privacidad suelen ser vagos o estar desactualizados. Frases como «podríamos compartir sus datos con socios de confianza» no son suficientes. Debe especificar las categorías de destinatarios (por ejemplo, «proveedores de alojamiento en la nube», «agencias de marketing») y, cuando corresponda, nombrarlos.
Cuando los datos se obtienen indirectamente (por ejemplo, de un corredor de datos u otro responsable del tratamiento), el artículo 14 del RGPD impone obligaciones de información adicionales, incluida la fuente de los datos.
Fundamento jurídico: Los artículos 13 y 14 del RGPD enumeran la información que debe facilitarse a los interesados. El artículo 5(1)(a) del RGPD exige transparencia en todas las actividades de tratamiento de datos.
Consecuencia en el mundo real: Associated Press ha sancionado a empresas por no informar a los usuarios de que sus datos se compartían con terceros. Incluso si el intercambio de datos fuera legal, la falta de transparencia constituye una infracción en sí misma.
Consejo práctico: Revise y actualice sus avisos de privacidad para describir claramente las prácticas de intercambio de datos. Asegúrese de que los avisos sean fácilmente accesibles y estén redactados en un lenguaje sencillo. Al compartir datos con nuevos socios, actualice sus avisos antes de que comience el intercambio.
7. La seudonimización como falsa sensación de seguridad
El riesgo: La seudonimización —sustituir los identificadores directos por códigos o tokens— se fomenta en el RGPD como medida de seguridad. Sin embargo, no anonimiza los datos. Si los datos aún pueden vincularse a una persona, siguen siendo datos personales y están sujetos a la totalidad del alcance del RGPD.
Por qué las empresas se equivocan: Las empresas suelen asumir que los datos anonimizados se pueden compartir sin restricciones y de forma segura. En la práctica, la anonimización solo reduce el riesgo, no lo elimina. Si comparte datos anonimizados con un socio que tiene acceso a la clave u otros conjuntos de datos que permiten la reidentificación, sigue procesando datos personales.
Fundamento jurídico: El artículo 4(5) del RGPD define la seudonimización. El considerando 26 del RGPD aclara que los datos seudonimizados siguen siendo datos personales a menos que se anonimicen verdaderamente (es decir, que la reidentificación ya no sea posible por ningún medio razonable).
Consecuencia en el mundo real: La AP ha aclarado en sus directrices que la seudonimización no es una carta blanca para eludir la ley. Si la reidentificación es factible, se aplican todas las obligaciones del RGPD, incluyendo contar con una base legal, realizar evaluaciones de impacto en la protección de datos (EIPD) y garantizar una seguridad adecuada.
Recomendaciones prácticas: Trate los datos pseudonimizados como datos personales a menos que se haya sometido a un riguroso proceso de anonimización validado por expertos. Documente las medidas técnicas y organizativas implementadas para evitar la reidentificación.
Preguntas frecuentes
¿Cuándo se permite compartir datos según el RGPD?
Compartir datos solo es lícito si cuenta con una base jurídica válida según el artículo 6 del RGPD. Las seis bases jurídicas son: consentimiento, necesidad contractual, obligación legal, intereses vitales, función pública e intereses legítimos. También debe cumplir con los principios de licitud, equidad, transparencia, limitación de la finalidad, minimización de datos, exactitud, limitación del almacenamiento, integridad y confidencialidad (artículo 5 del RGPD). En la práctica, esto significa documentar claramente el motivo de compartir los datos, garantizar que la finalidad se ajuste al motivo de su recopilación original e informar a los interesados sobre el uso compartido.
¿Cuál es la diferencia entre un controlador y un procesador?
Un responsable del tratamiento determina los fines y los medios del tratamiento de datos personales. Un encargado del tratamiento procesa los datos en nombre del responsable del tratamiento siguiendo instrucciones específicas. Esta distinción es importante porque los responsables del tratamiento son los principales responsables del cumplimiento del RGPD, mientras que los encargados del tratamiento tienen obligaciones más limitadas (principalmente garantizar la seguridad y la confidencialidad). Si comparte datos con un proveedor que los procesa siguiendo sus instrucciones —por ejemplo, un proveedor de nóminas o un servicio de almacenamiento en la nube—, normalmente se trata de un encargado del tratamiento. Si además decide cómo utilizar los datos para sus propios fines, puede ser un responsable del tratamiento (conjunto). Una identificación errónea de las funciones puede dar lugar a lagunas en la rendición de cuentas y a la responsabilidad conjunta por las infracciones.
¿Cuándo es obligatorio un acuerdo de procesamiento de datos (APD)?
Un DPA es obligatorio siempre que contrate a un encargado del tratamiento para que gestione datos personales en su nombre (artículo 28 del RGPD). Esto aplica independientemente del tamaño de su organización o del volumen de datos involucrado. El DPA debe constar por escrito e incluir cláusulas obligatorias específicas, como el objeto y la duración del tratamiento, la naturaleza y la finalidad, los tipos de datos y las categorías de interesados, y las obligaciones de ambas partes en materia de seguridad, notificación de infracciones y subtratamiento. Sin un DPA conforme, se incurre en un incumplimiento desde el momento en que el encargado del tratamiento comienza a procesarlos, incluso si no se produce ningún daño.
¿Puedo compartir datos de clientes con un tercero fuera de la UE?
Sí, pero solo si se cumplen condiciones estrictas. Conforme a los artículos 44 a 49 del RGPD, puede transferir datos a un tercer país si: (a) la Comisión Europea ha emitido una decisión de adecuación para ese país, o (b) ha implementado las garantías adecuadas, como las cláusulas contractuales tipo (CCT). Tras la sentencia Schrems II , también debe realizar una evaluación de impacto de la transferencia (EIT) para determinar si la legislación del país de destino (por ejemplo, la vigilancia gubernamental) menoscaba la protección garantizada por las CCT. Si persisten los riesgos, debe implementar medidas complementarias, como el cifrado o la minimización de datos. Las transferencias sin garantías adecuadas pueden dar lugar a medidas coercitivas por parte de la AP, incluida la suspensión de la transferencia.
¿Cuándo se requiere una evaluación de impacto de protección de datos para compartir datos?
Una EIPD es obligatoria según el Artículo 35 del RGPD cuando es probable que el tratamiento suponga un alto riesgo para los derechos y libertades de las personas. Esto incluye: el tratamiento a gran escala de categorías especiales de datos (p. ej., datos sanitarios, biométricos o genéticos), la monitorización sistemática de áreas de acceso público, la toma de decisiones automatizada con efectos jurídicos o de similar importancia, y el uso de nuevas tecnologías. Al compartir datos, a menudo se requiere una EIPD si se combinan conjuntos de datos, se comparte información sensible o se utilizan los datos para la elaboración de perfiles o para análisis basados en IA. La AP ha publicado una lista de operaciones de tratamiento que requieren una EIPD. En caso de duda, realice una; más vale prevenir que lamentar.
¿A qué multas pueden enfrentarse las empresas por incumplir el RGPD?
El RGPD establece dos niveles de multas. El nivel inferior —hasta 10 millones de euros o el 2 % de la facturación anual global— se aplica a infracciones como la falta de implementación de las medidas de seguridad adecuadas o la no realización de una evaluación de impacto de la protección de datos (EIPD) cuando es necesario. El nivel superior —hasta 20 millones de euros o el 4 % de la facturación anual global— se aplica a infracciones más graves, como la falta de una base legal para el tratamiento, las transferencias internacionales ilícitas o la vulneración de los derechos de los titulares de los datos. El PA determina el importe de la multa en función de factores como la naturaleza y la gravedad de la infracción, si fue intencionada o negligente, el número de personas afectadas y las medidas de mitigación adoptadas. La aplicación reciente de la normativa muestra que el PA está dispuesto a imponer multas sustanciales, especialmente por infracciones sistemáticas o deliberadas.
¿Es siempre seguro compartir datos seudonimizados?
No. La seudonimización reduce el riesgo, pero no lo elimina. Según el artículo 4(5) del RGPD, la seudonimización implica sustituir identificadores directos (como nombres) por códigos o seudónimos. Sin embargo, si los datos aún pueden vincularse a una persona —por ejemplo, utilizando información adicional que usted o el destinatario posean—, siguen siendo datos personales y están plenamente sujetos al RGPD. Esto significa que aún necesita una base jurídica, debe informar a los interesados y debe garantizar una seguridad adecuada. Solo la anonimización auténtica —cuando la reidentificación ya no es posible por ningún medio razonable— elimina los datos del ámbito de aplicación del RGPD. En la práctica, lograr una anonimización genuina es difícil y requiere la validación de expertos.
¿Qué debo hacer si mi empresa sufre una violación de datos debido a un intercambio ilegal de datos?
Si descubre una violación de datos personales, incluida una causada por el intercambio ilícito de datos, dispone de 72 horas para notificarlo a la AP según el artículo 33 del RGPD (a menos que sea improbable que la violación suponga un riesgo para los derechos y libertades de las personas). También debe notificar a las personas afectadas sin demora indebida si es probable que la violación suponga un alto riesgo para ellas (artículo 34 del RGPD). Las medidas inmediatas incluyen: contener la violación, evaluar su alcance e impacto, documentar lo sucedido y las medidas que se están tomando al respecto, y notificar a la AP a través de su portal en línea. El incumplimiento de la notificación puede conllevar una multa. La AP evaluará si procede emprender acciones coercitivas en función de la gravedad de la violación y de su respuesta.
Proteja su negocio: obtenga asesoramiento legal experto
Compartir datos es inevitable, pero las infracciones del RGPD no tienen por qué serlo. Los siete riesgos descritos anteriormente no son teóricos, sino que se basan en casos reales de cumplimiento, sentencias judiciales y directrices regulatorias. Cada uno de ellos puede resultar en multas, demandas por responsabilidad civil y daños a la reputación.
¿La buena noticia? Con el marco legal adecuado, documentación clara y medidas de cumplimiento proactivas, puede compartir datos con confianza y legalidad. Pero hacerlo bien requiere más que un asesoramiento genérico: requiere un soporte legal personalizado que comprenda su negocio, sus flujos de datos y los riesgos específicos a los que se enfrenta.
No espere a que la AP llame a su puerta. Si no está seguro de si sus prácticas de intercambio de datos cumplen con el RGPD, o si necesita ayuda para redactar acuerdos de protección de datos (APD), realizar evaluaciones de impacto de protección de datos (EIPD) o gestionar transferencias internacionales, póngase en contacto con un abogado especializado en privacidad. Su empresa, y sus clientes, no merecen menos.
