Nueva ley de protección de datos: cómo te afecta

Cada compra en una tienda online, cada alta en una red social, cada gestión con el banco por la aplicación deja un rastro de información sobre ti: nombre, dirección, hábitos de consumo, ubicación, historial de pagos. La reforma europea en materia de protección de datos nació precisamente de esa constatación. No se trata de una norma pensada para las empresas, sino de un marco que atribuye derechos a la persona y obligaciones a quien trata su información. Entender qué cambió y qué puedes exigir es el objetivo de esta guía.

Qué es un dato personal y por qué importa tanto

Un dato personal es toda información relativa a una persona física identificada o identificable. No hace falta el nombre: un correo, un identificador de publicidad, una dirección IP o una matrícula pueden permitir identificar a alguien, y por tanto son datos personales. Cuando varios de esos elementos se combinan, la identificación es casi inmediata.

De ahí viene el interés jurídico. Si la información permite identificarte, permite también tomar decisiones sobre ti: ofrecerte un precio distinto, denegarte un servicio, perfilarte políticamente o suplantarte. La protección de datos no protege el dato en sí, sino a la persona que hay detrás. Esa es la razón por la que se considera un derecho fundamental en la Unión Europea y no una simple regla de consumo.

Qué cambió con el nuevo marco europeo

El Reglamento General de Protección de Datos sustituyó la lógica anterior por un modelo de responsabilidad activa. Antes bastaba con inscribir ficheros y cumplir formalidades; ahora quien trata datos debe poder demostrar que cumple, con registros, evaluaciones y medidas técnicas y organizativas. La carga de la prueba se invierte: ya no se presume que la entidad actúa bien.

Además, el Reglamento es directamente aplicable en todos los Estados miembros, sin necesidad de transposición. Eso significa que una empresa española que opera en Francia o Alemania se enfrenta al mismo marco sustantivo, con una autoridad de control en cada país y un mecanismo de coherencia entre ellas. Y refuerza la posición del interesado: los derechos se ejercen con menos formalismos y las respuestas deben ser comprensibles.

Las bases que legitiman el uso de tus datos

Nadie puede tratar tus datos porque sí. Hace falta una base jurídica: tu consentimiento, la ejecución de un contrato, el cumplimiento de una obligación legal, la protección de intereses vitales, el interés público o el interés legítimo de quien trata. Cada base tiene consecuencias distintas, y saber cuál se aplica te dice mucho sobre lo que puedes exigir.

Si la base es el consentimiento, puedes retirarlo en cualquier momento y con la misma facilidad con la que lo diste. Si es la ejecución de un contrato, los datos necesarios para cumplirlo no pueden suprimirse mientras el contrato esté vivo. Y si es el interés legítimo, cabe oponerse, y la entidad debe valorar tu situación concreta frente al suyo. Muchos conflictos con empresas se resuelven simplemente preguntando qué base están usando.

Qué derechos tienes como usuario

Los derechos clásicos de acceso, rectificación, cancelación y oposición se mantienen, pero se amplían y se concretan. El resultado es un catálogo que cubre casi cualquier situación práctica:

• Acceso. Saber si tratan tus datos, con qué finalidad y durante cuánto tiempo.
• Rectificación. Corregir información inexacta o incompleta sobre ti.
• Supresión y limitación. Pedir que se eliminen los datos cuando ya no son necesarios y, mientras se discute su exactitud o licitud, congelar su uso.
• Oposición. Impedir tratamientos basados en interés legítimo o en mercadotecnia directa.
• Portabilidad. Recibir tus datos en un formato reutilizable y llevarlos a otro prestador.
• No ser objeto de decisiones automatizadas. Cuestionar una decisión tomada solo por algoritmos.

A estos se añade el derecho a retirar el consentimiento, a ser informado de forma clara y a reclamar ante la autoridad de control. Ninguno exige abogado ni formulario oficial: basta un escrito identificándote, indicando qué derecho ejerces y a quién te diriges.

Qué debe hacer la empresa que tiene tus datos

Quien trata datos debe informarte de forma inteligible: quién es el responsable, para qué usa la información, con quién la comparte y cuánto tiempo la conserva. Esa información no puede esconderse en un anexo ilegible ni en un consentimiento que se presume por el simple uso de la web. Y debe poder atender tus solicitudes sin poner obstáculos: pedirte documentación adicional razonable es legítimo, exigirte trámites desproporcionados no lo es.

La tabla sirve como lista de comprobación rápida. Si dos o tres casillas fallan en un mismo servicio, probablemente haya algo más que un descuido de redacción.

Qué hacer cuando algo va mal

Si recibes publicidad que no autorizaste, si detectas que una web usa tus datos para fines que no anunció o si tu solicitud de supresión queda sin respuesta, reclama primero a la entidad y después a la autoridad de control. El escrito no necesita tecnicismos: identifícate, describe el problema, indica qué derecho ejerces y adjunta las pruebas.

Y adopta algunas costumbres que reducen el riesgo desde el principio: revisa qué permisos concedes a las aplicaciones, usa contraseñas distintas y activa la verificación en dos pasos, desconfía de formularios que piden más datos de los necesarios y no reutilices la misma dirección para todo. La norma te da derechos, pero la primera barrera sigue siendo tu forma de compartir información.