¿Qué es el RGPD? Guía sencilla para creadores de apps
El RGPD (Reglamento General de Protección de Datos) es la principal ley de protección de datos de la Unión Europea. Establece normas sobre cómo las organizaciones recogen, usan, almacenan y comparten datos personales —cualquier información sobre una persona física identificable— y da a las personas derechos sobre sus propios datos, como el de acceder a ellos o pedir que se borren. Se aplica desde el 25 de mayo de 2018, y puede aplicarse a empresas fuera de la UE si prestan servicio a personas que están en ella.
No es asesoramiento jurídico. Esta guía es una explicación general para ayudarte a entender lo básico y a hacer mejores preguntas. No sustituye un consejo sobre tu situación concreta. Para el detalle oficial, consulta las páginas de protección de datos de la Comisión Europea y la guía del Comité Europeo de Protección de Datos para pequeñas empresas.
Por qué importa cuando creas con IA
Los creadores de apps con IA hacen muy fácil recoger datos. Con un solo prompt obtienes un formulario de registro, un formulario de contacto, analíticas, subida de archivos y un panel de administración que lista a todos los usuarios. Cada una de esas cosas recoge datos personales, y el RGPD se aplica a todas ellas.
La buena noticia es que casi todo lo que exige el RGPD también es buena práctica de producto:
- Recoger solo lo que realmente necesitas.
- Decir a la gente qué haces con sus datos.
- Mantenerlos seguros.
- Borrarlos cuando ya no los necesites.
- Permitir que las personas vean, corrijan o eliminen sus datos.
Es mucho más fácil incluir esto desde el principio que añadirlo después del lanzamiento. Hacer las preguntas adecuadas a tu creador de IA desde el principio te ahorra una reconstrucción dolorosa más adelante.
Una analogía cotidiana
Piensa en los datos personales como las pertenencias que la gente deja contigo, como en un guardarropa, pero de información. El RGPD son las normas de la casa para ese guardarropa:
- Solo aceptas lo que la persona ha acordado dejar, con un motivo que entiende.
- No revuelves los bolsillos para otros usos.
- Mantienes la sala cerrada con llave.
- Devuelves las cosas, o las tiras, cuando te lo piden o cuando ya no las necesitas.
- Si algo se pierde, avisas a las personas adecuadas sin demora.
Eres responsable de los abrigos mientras están a tu cargo, aunque hayas contratado a alguien para dirigir la sala.
Las ideas centrales
Qué son datos personales
La Comisión Europea define los datos personales como cualquier información relativa a una persona física identificada o identificable. Es un concepto amplio. Incluye nombres, direcciones de email, domicilios, direcciones IP, identificadores de cookies y fotos. Los datos «seudonimizados» —por ejemplo, nombres sustituidos por códigos— pueden seguir siendo datos personales si se pueden vincular a alguien.
Algunas categorías tienen una protección adicional, como los datos de salud, los datos biométricos, el origen racial o étnico y las opiniones políticas.
A quién se aplica
Según la Comisión, el RGPD se aplica a las organizaciones establecidas en la UE, y a las organizaciones situadas fuera de la UE que ofrecen bienes o servicios a personas de la UE (pagados o gratuitos) o que controlan su comportamiento. Una startup de EE. UU. o de los Emiratos con clientes europeos puede estar cubierta. El Reino Unido tiene su propia versión, el RGPD del Reino Unido, muy basada en el original.
Los principios
El RGPD se basa en una lista breve de principios. En términos sencillos:
| Principio | Qué significa para tu app |
|---|---|
| Licitud, lealtad y transparencia | Tener un motivo válido para tratar los datos y explicar con claridad qué haces. |
| Limitación de la finalidad | Usar los datos para los motivos por los que se recogieron, no para usos nuevos sorprendentes. |
| Minimización de datos | No recoger campos que no necesitas. |
| Exactitud | Mantener los datos correctos y permitir que las personas los corrijan. |
| Limitación del plazo de conservación | No guardar datos para siempre; borrarlos cuando ya no sean necesarios. |
| Integridad y confidencialidad | Protegerlos frente a filtraciones y accesos no autorizados. |
| Responsabilidad proactiva | Poder demostrar cómo cumples. |
Bases jurídicas
Necesitas un motivo legal —una «base jurídica»— para cada forma en que usas datos personales. El RGPD enumera seis: consentimiento, ejecución de un contrato, obligación legal, intereses vitales, misión de interés público e interés legítimo. El consentimiento es solo una de ellas. Tramitar un pedido para entregarlo, por ejemplo, suele basarse en el contrato, no en el consentimiento. Cuál encaja es una valoración que conviene contrastar con la guía oficial.
Los derechos de las personas
La Comisión enumera estos derechos para las personas:
- Ser informadas sobre cómo se usan sus datos
- Acceder a sus datos
- Corregirlos
- Suprimirlos
- Limitar el tratamiento
- Portabilidad de los datos (obtenerlos en un formato utilizable)
- Oponerse
- Derechos relacionados con las decisiones automatizadas y la elaboración de perfiles
Brechas de datos
Si se filtran datos personales y la brecha puede poner en riesgo los derechos y libertades de las personas, la organización normalmente debe notificarlo a su autoridad de protección de datos sin demora injustificada y, cuando sea posible, en un plazo de 72 horas desde que tiene conocimiento de ello. En algunos casos, las personas afectadas también deben ser informadas.
Un ejemplo práctico: una app de reservas para un estudio de yoga
Imagina que creas una app de reservas para un estudio de yoga con clientes en Alemania. Así es como el RGPD da forma a la app.
Recoge menos. El formulario de registro pide nombre, email y un teléfono opcional. El primer borrador pedía también fecha de nacimiento y domicilio: nada de la app los usa, así que se eliminan.
Los datos de salud requieren cuidado. El estudio quiere preguntar por lesiones. Eso son datos de salud, una categoría especial con normas más estrictas. El estudio decide tratarlo en persona, así que la app no lo recoge.
Sé transparente. Una política de privacidad explica qué se recoge, por qué, cuánto tiempo se conserva, quién más trata los datos (el proveedor de alojamiento, el servicio de email, el proveedor de pagos) y cómo contactar con el estudio.
El marketing va aparte. Reservar una clase no suscribe a nadie al boletín. Hay una casilla separada y desmarcada para eso.
Derechos dentro del producto. Las clientas pueden ver y editar su perfil, descargar su historial de reservas y pedir la supresión desde su página de cuenta.
Conservación. Las cuentas inactivas se marcan tras un periodo determinado y se eliminan si el cliente no responde. El estudio elige ese periodo.
Cookies. La cookie de inicio de sesión es necesaria. Las analíticas solo se cargan tras aceptarlas el visitante. Consulta qué son las cookies.
Seguridad. Las contraseñas se guardan con hash, el área de administración exige autenticación de dos factores, y solo el propietario puede exportar listados de clientes.
Términos comunes explicados
| Término | Qué significa |
|---|---|
| Dato personal | Cualquier información sobre una persona física identificada o identificable. |
| Tratamiento | Cualquier operación con datos personales: recogerlos, almacenarlos, usarlos, compartirlos, borrarlos. |
| Interesado | La persona a la que se refieren los datos. |
| Responsable del tratamiento | La organización que decide para qué y cómo se tratan los datos: normalmente tú, como propietario de la app. |
| Encargado del tratamiento | Una empresa que trata datos en nombre del responsable, como un proveedor de alojamiento o de email. |
| Contrato de encargo de tratamiento (DPA) | Un contrato entre responsable y encargado que fija cómo se gestionan los datos. |
| Base jurídica | El motivo legal para tratar los datos, como el consentimiento o el contrato. |
| Consentimiento | Un «sí» libre, específico, informado e inequívoco; las casillas marcadas de antemano no valen. |
| Datos de categoría especial | Datos sensibles como los de salud o los biométricos, con normas más estrictas. |
| Autoridad de control | El regulador de protección de datos de un país. |
Errores y malentendidos habituales
- «No estamos en la UE, así que no se aplica». Puede aplicarse según dónde estén tus usuarios.
- «El RGPD significa consentimiento para todo». El consentimiento es una de seis bases jurídicas, y muchas veces no es la adecuada.
- «Un aviso de cookies nos hace cumplir». Las cookies son una parte pequeña. La recogida de datos, la seguridad, los derechos y la conservación pesan más.
- «Nuestro host cumple el RGPD, así que nosotros también». Los proveedores ayudan, pero tú decides qué recoge tu app y qué hace con ello.
- Recoger datos «por si acaso». Cada campo extra es algo más que proteger, explicar y borrar.
- Copiar la política de privacidad de otra web. Tiene que describir lo que tu app realmente hace.
- Hacer imposible el borrado. Si nadie puede eliminar a un usuario sin un desarrollador, las solicitudes de derechos se convierten en emergencias.
Qué pedir a tu creador de IA
- «Haz una lista de cada dato personal que recoge esta app, dónde se almacena y por qué es necesario.»
- «Elimina los campos de formulario que no usamos.»
- «Añade una página de cuenta donde los usuarios puedan ver, editar y descargar sus datos, y solicitar su borrado.»
- «Crea una acción de administración que borre por completo a un usuario y sus registros relacionados, o que anonimice los registros que debamos conservar.»
- «Mantén el alta en marketing como una casilla separada y desmarcada.»
- «No cargues analíticas ni scripts de marketing antes del consentimiento.»
- «Haz una lista de todos los servicios de terceros que reciben datos de usuarios, para añadirlos a la política de privacidad.»
- «Limita las exportaciones de administración al rol de propietario y registra quién exportó qué.»
Después, lee cómo redactar términos de servicio y una política de privacidad y cómo añadir el consentimiento de cookies.
RGPD y Mythex
Mythex te da los bloques de construcción, no un certificado de cumplimiento. Los datos de tu app viven en la base de datos propia del proyecto y en su almacenamiento de archivos cuando los activas; tú eres dueño del código y, en Pro, puedes exportar el proyecto si necesitas trasladarlo. Qué recoge tu app, cuánto tiempo conserva los datos y cómo las personas ejercen sus derechos son decisiones que tomas tú —y que pides al agente que construya—. La página de documentación sobre propiedad de los datos explica qué aloja Mythex, y seguridad para las apps que creas advierte contra afirmar un cumplimiento que no tienes. Si necesitas detalles concretos, como dónde se alojan los datos o un contrato de encargo de tratamiento, consulta con el soporte de Mythex antes de lanzar.
Preguntas
¿Qué es el RGPD en términos sencillos?
El Reglamento General de Protección de Datos (RGPD) es la principal ley de protección de datos de la Unión Europea. Establece normas sobre cómo las organizaciones recogen, usan, almacenan y comparten información sobre personas, y da a esas personas derechos sobre sus datos. Se aplica desde el 25 de mayo de 2018.
¿Se aplica el RGPD a empresas fuera de la UE?
Puede hacerlo. Según la Comisión Europea, se aplica a organizaciones situadas fuera de la UE que ofrecen bienes o servicios a personas de la UE, aunque sea gratis, o que controlan su comportamiento. No basta con dónde estés establecido; también importa quiénes son tus usuarios.
¿Es una dirección de email un dato personal?
Sí. Un dato personal es cualquier información relativa a una persona física identificada o identificable. Los nombres, las direcciones de email, las direcciones IP y los identificadores de cookies pueden considerarse datos personales.
¿Usar un host conforme al RGPD hace que mi app cumpla?
No. Un host puede ayudar al cumplimiento, pero tú decides qué datos recoge tu app, para qué, durante cuánto tiempo se conservan y quién puede verlos. Esas decisiones son tuyas y debes tomarlas bien.
¿Es esta guía asesoramiento jurídico?
No. Es una explicación general para ayudarte a hacer mejores preguntas. Para tu situación concreta, consulta la guía oficial de la UE o de tu autoridad nacional de protección de datos, o habla con un asesor cualificado.