¿Qué preguntas clave deben hacerse sobre la política de privacidad y uso de datos?

La política de privacidad y las prácticas de uso de datos determinan cómo una organización recopila, utiliza, comparte y protege la información personal. Formular las preguntas correctas permite evaluar riesgos legales, reputacionales y operativos, y garantiza el cumplimiento de normativas como el Reglamento General de Protección de Datos (RGPD) y otras leyes locales. A continuación se presenta un conjunto completo de preguntas clave organizadas por áreas, con ejemplos, criterios de respuesta y casos ilustrativos.

Preguntas sobre recopilación de datos

¿Qué tipos de datos personales se recopilan? (p. ej., identificación, contacto, financieros, salud, biométricos, ubicación)
¿Se recogen datos sensibles o de categorías especiales? Si es así, ¿con qué base legal y qué medidas adicionales se aplican?
¿Se recogen datos de menores? ¿Cómo se verifica la edad y cómo se solicita el consentimiento parental cuando procede?
¿Se recopilan datos por medios automáticos (cookies, sensores, aplicaciones móviles) o por entrada manual? ¿Hay diferencias en el tratamiento?

Ejemplo: una aplicación de salud que solicita datos médicos y ubicación debe justificar la recopilación con una base legal sólida y medidas de seguridad reforzadas.

Cuestiones relativas a su propósito y utilización

¿Para qué finalidades concretas se usan los datos? (prestación de servicio, facturación, mejora de producto, marketing, análisis, cumplimiento legal)
¿Se usan los datos para toma de decisiones automatizada o perfilado? ¿Qué impacto tiene esto en la persona afectada?
¿Se reutilizarán los datos para finalidades nuevas no previstas inicialmente? ¿Cómo se informará y obtendrá nuevo consentimiento si procede?

Criterio de respuesta razonable: finalidades específicas, limitadas y documentadas; perfilado explícito con explicaciones y opciones de exclusión cuando afecte derechos.

Preguntas sobre base jurídica y consentimiento

¿Qué fundamento jurídico respalda cada operación de tratamiento? (consentimiento, ejecución de un contrato, deber legal, interés legítimo, interés público o protección vital)
Cuando la base es el consentimiento, ¿se otorga de forma voluntaria, concreta, transparente y sin ambigüedades? ¿De qué manera se registra y cómo puede retirarse?
Si se recurre al interés legítimo, ¿existe un análisis de equilibrio documentado entre los intereses de la organización y los derechos de la persona afectada?

Caso práctico: muchas empresas usan el interés legítimo para analítica; la organización debe conservar el análisis de impacto y ofrecer mecanismos de oposición.

Cuestiones sobre la conservación y la eliminación

¿Cuánto tiempo se conservan los distintos tipos de datos? ¿Existen plazos diferenciados por finalidad?
¿Qué criterios determinan la retención (obligaciones legales, práctica comercial, consentimiento)?
¿Cómo se gestionan la supresión y el bloqueo de datos cuando se solicita por derecho de olvido o cuando expira la necesidad?

Orientación práctica: la información destinada a facturación y contabilidad suele conservarse durante los periodos exigidos por la normativa fiscal —a menudo por varios años— mientras que los datos utilizados con fines de marketing deben suprimirse en cuanto se retire el consentimiento.

Consultas sobre el acceso, la rectificación y los derechos de las personas interesadas

¿Cómo pueden las personas ejercer sus derechos: acceso, rectificación, supresión, oposición, limitación, portabilidad y no ser objeto de decisiones automatizadas?
¿Qué plazos y procedimientos sigue la organización para responder a solicitudes? ¿Hay formularios y canales accesibles?
¿Se exige verificación de identidad para evitar divulgaciones indebidas? ¿Cómo se equilibra seguridad y facilidad de ejercicio de derechos?

Una buena señal es contar con procedimientos divulgados, tiempos de respuesta ajustados a la normativa vigente (por ejemplo, contestar en un plazo máximo de un mes) y diversos canales de atención como correo electrónico, formularios o teléfono.

Cuestiones sobre terceros y el traspaso de datos

¿Se facilita información personal a terceros y a qué entidades específicamente se entrega (proveedores, socios, anunciantes, autoridades)?
¿Qué acuerdos, contratos o cláusulas se han establecido con esos terceros para asegurar un nivel de protección equivalente (cláusulas contractuales tipo, acuerdos de encargado de tratamiento)?
¿Se efectúan transferencias internacionales de datos y bajo qué mecanismos de seguridad se realizan (decisiones de adecuación, garantías apropiadas, reglas corporativas vinculantes)?

Ejemplo: una plataforma que recurre a servicios en la nube ha de contar con cláusulas de encargado del tratamiento y con garantías adecuadas para realizar transferencias más allá del área económica aplicable.

Consultas acerca de la protección, así como de las medidas técnicas y organizativas aplicadas

¿Qué tipo de medidas técnicas, como cifrado, gestión de permisos o respaldos, y qué disposiciones organizativas, como normas internas, capacitación o supervisión de subprocesadores, se han implementado?
¿Se llevan a cabo de forma periódica pruebas de seguridad, revisiones técnicas y análisis de vulnerabilidades? ¿Cada cuánto tiempo se efectúan?
¿Qué certificaciones o normas se aplican, por ejemplo ISO 27001, y están los informes de auditoría disponibles para clientes o autoridades reguladoras?

Dato útil: una entidad responsable ha de ser capaz de detallar cómo protege los datos mediante cifrado en tránsito y en reposo, cómo gestiona sus claves y qué procedimiento aplica para responder a incidentes.

Preguntas sobre brechas de seguridad

¿Hay un plan establecido para gestionar incidencias y un protocolo de aviso sobre brechas dirigido a autoridades y personas afectadas, así como un plazo definido para emitir dicha notificación?
¿Qué parámetros se emplean para determinar la gravedad y el nivel de riesgo que una situación puede representar para los derechos y libertades de las personas?
¿Se registran las conclusiones obtenidas y las acciones de mejora implementadas después de una brecha?

Ejemplo real genérico: una filtración que expone datos personales debe ser notificada a la autoridad competente dentro del plazo establecido por normativa, y a los afectados si supone alto riesgo.

Preguntas sobre anonimización y seudonimización

¿Los datos se procesan mediante anonimización o seudonimización para realizar estudios estadísticos, y qué método se utiliza junto con su grado de posibilidad de revertirlo?
¿Se conservan aparte las claves que permiten la reidentificación y quién está autorizado a consultarlas?

Recomendación: la verdaderamente anónima no es reutilizable para identificar personas; la seudonimización reduce riesgos pero sigue considerándose dato personal bajo muchas leyes.

Preguntas sobre niños y materiales dirigidos a menores

¿De qué forma se gestiona el consentimiento de menores y se comprueba la edad? ¿Qué rangos de edad establece la organización?
¿Se restringe la recopilación de datos de menores a lo estrictamente necesario y se evita la publicidad personalizada cuando resulte inapropiada?

Nota normativa: el RGPD establece límites de edad para consentimiento digital (generalmente 16, con posibilidad de bajar a 13 por estados miembros).

Cuestiones sobre marketing y fines comerciales

¿Cómo se obtienen y gestionan los consentimientos para comunicaciones comerciales? ¿Existen listas de exclusión y opciones claras de desuscripción?
¿Se venden datos a terceros o se usan para perfiles comerciales? ¿Cómo se informa al usuario y qué controles ofrece?

Buenas prácticas: brindar opciones detalladas para gestionar cada tipo de comunicación y evitar encubrir las prácticas comerciales tras un lenguaje excesivamente técnico.

Preguntas sobre transparencia y lenguaje de la política

¿La política está redactada en lenguaje claro, accesible y con ejemplos concretos de uso de datos?
¿Se resumen los puntos clave en un formato breve y hay accesos directos a información esencial (tipo de datos, finalidades, derechos)?
¿Se actualiza la política periódicamente y se notifica a los usuarios sobre cambios materiales?

Indicador de confianza: transparencia activa, resúmenes visuales y preguntas frecuentes que respondan escenarios comunes.

Preguntas sobre responsabilidad, gobernanza y auditoría

¿Quién en la organización es responsable de la protección de datos (delegado de protección de datos o responsable equivalente) y cómo contactar con él o ella?
¿Se realizan auditorías internas y externas y se mantiene un registro de actividades de tratamiento?
¿Existen políticas de formación continua para empleados y evaluación de proveedores?

Señal positiva: nombramiento visible de responsable de privacidad y registros accesibles para autoridades si se requieren.

Cómo evaluar las respuestas recibidas

Coherencia: las respuestas deben alinearse con las prácticas técnicas verificables; si se afirma que no se comparten datos pero se observan integraciones con terceros, surge una inconsistencia.
Especificidad: conviene dejar de lado afirmaciones imprecisas como «se aplican medidas razonables» y optar por describir acciones concretas junto con plazos claros.
Riesgo residual: es necesario determinar si los controles implementados disminuyen el riesgo hasta un umbral aceptable para la actividad y para las personas involucradas.

Un ejemplo de alerta sería no disponer de un procedimiento bien definido para atender las solicitudes de derechos o la ausencia de estipulaciones contractuales con los subcontratistas.

Medidas concretas a seguir después de plantear las preguntas

Solicitar documentación: políticas, acuerdos de tratamiento, evaluaciones de impacto (EIPD), resultados de auditorías y registros de transferencias.
Realizar pruebas: ejercer derechos de acceso y supresión, analizar cookies y conexiones de red, revisar permisos de aplicaciones móviles.
Escalar: si las respuestas son insuficientes, plantear reclamación ante la autoridad competente o buscar asesoría legal especializada.

Hacer las preguntas adecuadas sobre política de privacidad y uso de datos permite transformar incertidumbres en decisiones informadas: identificar responsabilidades, mitigar riesgos técnicos y legales, proteger derechos individuales y mantener la confianza. Una evaluación rigurosa combina comprobación documental, pruebas prácticas y criterios claros sobre transparencia, proporcionalidad y seguridad; la calidad de las respuestas revela tanto la madurez de la organización como su compromiso real con la privacidad y el respeto a las personas.