Comprende qué son tus datos personales, cómo las leyes te protegen en Europa y América Latina, y qué pasos concretos puedes tomar para recuperar el control de tu información.
La Información de Identificación Personal (PII, por sus siglas en inglés: Personally Identifiable Information) abarca cualquier dato que pueda usarse para identificar, localizar o contactar a una persona específica. Comprender qué constituye PII es el primer paso para protegerte.
Los datos personales se dividen en ordinarios y sensibles. Los datos ordinarios incluyen:
Las categorías especiales de datos merecen protección reforzada porque su exposición puede causar discriminación o daños graves:
El Reglamento General de Protección de Datos (GDPR, General Data Protection Regulation), vigente en la Unión Europea desde mayo de 2018, es la ley de privacidad más influyente del mundo. Sus principios han inspirado legislaciones en todo el planeta.
| Principio | Qué significa | Ejemplo empresarial |
|---|---|---|
| 1. Licitud, lealtad y transparencia | El tratamiento debe tener base legal (consentimiento, contrato, obligación legal, interés vital, interés público, interés legítimo). La empresa debe ser honesta sobre cómo usa los datos. | Netflix informa claramente en su política de privacidad que usa tus datos de visualización para personalizar recomendaciones. |
| 2. Limitación de la finalidad | Los datos solo pueden usarse para el propósito declarado al recogerlos, no para otros fines incompatibles. | Un hospital no puede vender los datos médicos de sus pacientes a una aseguradora, aunque los recopiló para tratamiento clínico. |
| 3. Minimización de datos | Recopilar solo los datos estrictamente necesarios para la finalidad declarada. | Una app de linterna no necesita acceso a tu lista de contactos ni tu ubicación GPS. |
| 4. Exactitud | Los datos deben ser precisos y actualizados. Se deben tomar medidas razonables para corregir o eliminar datos inexactos. | Un banco debe permitirte actualizar tu dirección cuando te mudas, y corregir errores en tu historial crediticio. |
| 5. Limitación del plazo de conservación | Los datos no deben conservarse más tiempo del necesario para la finalidad declarada. | Una tienda online no puede conservar tu historial de compras de 1995 si ya no eres cliente activo. |
| 6. Integridad y confidencialidad | Garantizar seguridad adecuada: protección contra acceso no autorizado, pérdida accidental o destrucción. | LinkedIn debe cifrar las contraseñas de sus usuarios (aprendieron esta lección duramente tras la filtración de 2012). |
| 7. Responsabilidad proactiva (Accountability) | La organización debe ser capaz de demostrar que cumple con todos los principios anteriores. | Google debe mantener registros de sus actividades de tratamiento, nombrar un Delegado de Protección de Datos (DPO) y documentar sus evaluaciones de impacto. |
El GDPR otorga a los ciudadanos derechos concretos y ejercibles. Las empresas que operan en la UE o tratan datos de ciudadanos europeos deben responder a estas solicitudes en un plazo de 30 días.
Puedes solicitar a cualquier empresa una copia de todos los datos personales que tienen sobre ti, además de información sobre cómo los usan y con quién los comparten. Es gratuito (salvo solicitudes excesivas o repetitivas).
Si tus datos son inexactos o incompletos, tienes derecho a que los corrijan. Útil para corregir errores en historiales crediticios o perfiles médicos.
Puedes solicitar que borren tus datos cuando ya no sean necesarios, hayas retirado el consentimiento, o el tratamiento sea ilícito. El caso más famoso es Google Spain SL vs. AEPD y Mario Costeja González (2014): el Tribunal de Justicia de la UE ordenó a Google eliminar de sus resultados de búsqueda un enlace a una noticia de 1998 sobre una subasta de viviendas por deudas del señor Costeja, porque la información era obsoleta e irrelevante en el presente. Desde entonces, Google ha recibido más de 5 millones de solicitudes de "derecho al olvido".
Puedes solicitar que restrinjan el uso de tus datos (que los "congelen") mientras resuelven una disputa sobre su exactitud o licitud.
Puedes solicitar tus datos en formato estructurado, legible por máquina (como CSV o JSON) para trasladarlos a otro proveedor. Por ejemplo, puedes descargar toda tu música de Spotify y migrarla a otro servicio.
Puedes oponerte al tratamiento de tus datos para marketing directo en cualquier momento, con efecto inmediato. También puedes oponerte a tratamientos basados en interés legítimo.
Tienes derecho a no ser sujeto de decisiones que te afecten significativamente si se toman exclusivamente de forma automatizada (por algoritmos), sin intervención humana. Aplica a: aprobación de préstamos, selección de candidatos para empleo, puntuaciones de crédito.
Si el tratamiento se basa en tu consentimiento, puedes retirarlo en cualquier momento. Retirar el consentimiento debe ser tan fácil como otorgarlo. Si para registrarte en un sitio hiciste un clic, para darte de baja también debe bastar un clic.
Equifax (2017): La agencia de crédito estadounidense expuso datos de 147 millones de personas, incluyendo números de seguridad social, fechas de nacimiento, direcciones y en algunos casos números de licencia de conducir y tarjetas de crédito. La brecha ocurrió porque no parchearon una vulnerabilidad conocida en Apache Struts. Resultado: $700 millones de dólares en multas y acuerdos, y el CEO renunció.
Facebook/Cambridge Analytica (2018): No fue técnicamente una "brecha" sino un abuso de permisos de API. Cambridge Analytica recopiló datos de 87 millones de usuarios de Facebook sin su consentimiento real, a través de una app de cuestionarios psicológicos. Los datos se usaron para perfilado político. Multa de la FTC: $5 mil millones de dólares.
Facebook (2021): Datos de 533 millones de usuarios de 106 países fueron publicados gratuitamente en un foro de hackers. Incluían números de teléfono, nombre completo, ubicación, cumpleaños y en algunos casos correo electrónico. Muchos de estos datos aún circulan.
El sitio haveibeenpwned.com, creado por el investigador de seguridad Troy Hunt, te permite ingresar tu dirección de correo electrónico para verificar si aparece en bases de datos filtradas conocidas. El sitio monitorea cientos de brechas y tiene más de 12 mil millones de cuentas comprometidas en su base de datos. Si tu correo aparece, debes cambiar la contraseña de ese servicio inmediatamente y en cualquier otro lugar donde usaras la misma contraseña.
Los data brokers (intermediarios de datos) son empresas cuyo negocio principal es recopilar información personal de fuentes públicas y privadas, compilarla en perfiles detallados y venderla. No suelen tener relación directa contigo; simplemente te observan desde las sombras.
Empresas como Acxiom tienen perfiles de más de 2.5 mil millones de personas en 60+ países. Conocen tu nombre, direcciones actuales y pasadas, familiares, ingresos estimados, nivel educativo, historial de compras, intereses, afiliaciones políticas estimadas, estado de salud estimado, y más de 3,000 atributos distintos por persona.
Spokeo y Whitepages son versiones más accesibles que permiten buscar a cualquier persona por nombre, número de teléfono, dirección o correo electrónico, y obtener un perfil detallado por una pequeña tarifa.
Facebook te permite descargar todo lo que sabe sobre ti: Configuración → Tu información en Facebook → Descargar tu información. El archivo incluye mensajes privados, fotos, videos, historial de búsquedas dentro de Facebook, páginas que te gustan, eventos a los que asististe, anunciantes que tienen tu información de contacto, y los temas por los que los anunciantes te han dirigido. Muchos usuarios se sorprenden al ver la extensión de este archivo.
| Tipo de Cookie | Descripción | Ejemplo |
|---|---|---|
| Sesión | Temporal, se elimina al cerrar el navegador | Mantiene tu carrito de compras mientras navegas una tienda |
| Persistente | Permanece en tu dispositivo por un tiempo definido | Recuerda que ya iniciaste sesión en Gmail |
| Primera parte | Creada por el sitio que visitas | Cookie de amazon.com cuando visitas amazon.com |
| Terceros | Creada por un dominio diferente al que visitas | Cookie de doubleclick.net (Google Ads) cuando visitas cualquier sitio con publicidad de Google |
| Rastreo | Sigue tu comportamiento a través de múltiples sitios web | Facebook Pixel instalado en millones de sitios registra qué páginas visitas aunque no estés en Facebook |
Los datos biométricos —huellas dactilares, reconocimiento facial, iris, voz, geometría facial— tienen una característica única: no puedes cambiarlos si son comprometidos. Si tu contraseña es hackeada, la cambias. Si tu huella dactilar es robada de una base de datos, no puedes obtener una nueva huella.
La empresa Clearview AI scrapeó más de 30 mil millones de fotos de redes sociales e internet para construir una base de datos de reconocimiento facial que vende a fuerzas policiales. Fue multada en Francia (20M€), Italia (20M€), Grecia, Reino Unido y Australia por violaciones de privacidad masivas.
| País | Ley Principal | Autoridad | Característica clave |
|---|---|---|---|
| Perú | Ley 29733 (2011) + DS 003-2013 | ANPD (Autoridad Nacional de Protección de Datos) | Registro obligatorio de bancos de datos personales |
| Colombia | Ley Estatutaria 1581/2012 + Decreto 1377/2013 | Superintendencia de Industria y Comercio (SIC) | Derecho Hábeas Data consagrado constitucionalmente |
| Brasil | LGPD - Lei 13.709/2018 (vigente 2021) | ANPD (Autoridade Nacional de Proteção de Dados) | Muy similar al GDPR, 10 bases legales, sanciones hasta 2% de ingresos en Brasil |
| México | LFPDPPP (2010) + Reglamento 2011 | INAI (Instituto Nacional de Transparencia) | Derechos ARCO: Acceso, Rectificación, Cancelación, Oposición |
| Argentina | Ley 25326 (2000) | AAIP (Agencia de Acceso a la Información Pública) | Primera ley de protección de datos de la región, considerada "adecuada" por la UE |
Revisa regularmente qué permisos tienes concedidos a cada app. Pregúntate: ¿por qué necesita esta app acceso a mi micrófono/cámara/contactos/ubicación? Si no tienes una respuesta clara, revoca el permiso.