¿Qué es el RGPD? Guía sencilla para creadores de apps
El RGPD (Reglamento General de Protección de Datos) es la principal ley de protección de datos de la Unión Europea. Establece reglas sobre cómo las organizaciones recogen, usan, almacenan y comparten datos personales —cualquier información sobre una persona física identificable— y da a las personas derechos sobre sus propios datos, como verlos o pedir que se borren. Se aplica desde el 25 de mayo de 2018, y puede aplicarse a empresas fuera de la UE si prestan servicios a personas que están en ella.
No es asesoramiento jurídico. Esta guía es una explicación general para ayudarte a entender lo básico y a hacer mejores preguntas. No sustituye un asesoramiento sobre tu situación. Para un detalle oficial, consulta las páginas de protección de datos de la Comisión Europea y la guía del Comité Europeo de Protección de Datos para pequeñas empresas.
Por qué importa cuando construyes con IA
Los constructores de apps con IA facilitan mucho recoger datos. Un solo prompt te da un formulario de registro, un formulario de contacto, analítica, subida de archivos y un panel de administración que lista a cada usuario. Cada uno de ellos recoge datos personales, y el RGPD se ocupa de todos.
La buena noticia es que casi todo lo que exige el RGPD también es buena práctica de producto:
- Recoger solo lo que realmente necesitas.
- Decir a las personas qué haces con sus datos.
- Mantenerlos seguros.
- Borrarlos cuando ya no los necesites.
- Permitir que las personas vean, corrijan o eliminen sus datos.
Estas cosas son mucho más fáciles de diseñar desde el principio que de añadir después del lanzamiento. Hacerle a tu constructor de IA las preguntas adecuadas desde el principio te ahorra una reconstrucción dolorosa más adelante.
Una analogía cotidiana
Piensa en los datos personales como las pertenencias que la gente deja contigo, como en un guardarropa, pero de información. El RGPD son las normas de la casa para ese guardarropa:
- Solo aceptas lo que la persona acordó dejar, por un motivo que entiende.
- No rebuscas en los bolsillos para otros usos.
- Mantienes la sala cerrada con llave.
- Devuelves las cosas, o las tiras, cuando te lo piden o cuando ya no las necesitas.
- Si algo se pierde, avisas a las personas adecuadas sin demora.
Eres responsable de los abrigos mientras están a tu cargo, aunque hayas contratado a alguien para gestionar la sala.
Las ideas fundamentales
Qué se considera dato personal
La Comisión Europea define el dato personal como cualquier información relativa a una persona física identificada o identificable. Es un concepto amplio. Incluye nombres, direcciones de email, domicilios, direcciones IP, identificadores de cookies y fotografías. Los datos «seudonimizados» —por ejemplo, nombres sustituidos por códigos— siguen siendo datos personales si pueden vincularse de nuevo a alguien.
Algunas categorías reciben una protección adicional, como los datos de salud, los datos biométricos, el origen racial o étnico y las opiniones políticas.
A quién se aplica
Según la Comisión, el RGPD se aplica a organizaciones establecidas en la UE, y a organizaciones fuera de la UE que ofrecen bienes o servicios a personas de la UE (de pago o gratuitos) o controlan su comportamiento. Una startup de EE. UU. o de los Emiratos con clientes europeos puede estar perfectamente cubierta. Reino Unido tiene su propia versión, el RGPD del Reino Unido, muy basada en el original.
Los principios
El RGPD se construye sobre una breve lista de principios. En términos sencillos:
| Principio | Qué significa para tu app |
|---|---|
| Licitud, lealtad y transparencia | Tener una base válida para tratar los datos e informar claramente de lo que haces. |
| Limitación de la finalidad | Usar los datos para los motivos por los que se recogieron, no para usos nuevos sorprendentes. |
| Minimización de datos | No recoger campos que no necesitas. |
| Exactitud | Mantener los datos correctos y permitir que las personas los corrijan. |
| Limitación del plazo de conservación | No guardar datos para siempre; borrarlos cuando ya no sean necesarios. |
| Integridad y confidencialidad | Protegerlos frente a filtraciones y accesos no autorizados. |
| Responsabilidad proactiva | Poder demostrar cómo cumples. |
Bases jurídicas
Necesitas una razón legal —una «base jurídica»— para cada forma en que usas datos personales. El RGPD enumera seis: consentimiento, ejecución de un contrato, obligación legal, intereses vitales, misión de interés público e interés legítimo. El consentimiento es solo una de ellas. Tramitar un pedido para entregarlo, por ejemplo, suele basarse en el contrato, no en el consentimiento. Cuál encaja es un juicio que conviene contrastar con la guía oficial.
Derechos de las personas
La Comisión enumera estos derechos para las personas físicas:
- A ser informadas sobre cómo se usan sus datos
- A acceder a sus datos
- A que se corrijan
- A que se supriman
- A limitar el tratamiento
- A la portabilidad de los datos (obtenerlos en un formato utilizable)
- A oponerse
- Derechos relacionados con las decisiones automatizadas y la elaboración de perfiles
Brechas de datos
Si se filtran datos personales y la brecha puede poner en riesgo los derechos y libertades de las personas, la organización generalmente debe notificarlo a su autoridad de protección de datos sin demora indebida y, cuando sea posible, en un plazo de 72 horas desde que tuvo conocimiento. En algunos casos, también hay que informar a las personas afectadas.
Ejemplo práctico: una app de reservas para un estudio de yoga
Supongamos que construyes una app de reservas para un estudio de yoga con clientes en Alemania. Así es como el RGPD da forma a la app.
Recoger menos. El formulario de registro pide nombre, email y un teléfono opcional. El primer borrador también pedía fecha de nacimiento y dirección particular; nada de la app las usa, así que se eliminan.
Los datos de salud requieren cuidado. El estudio quiere preguntar por lesiones. Eso son datos de salud, una categoría especial con normas más estrictas. El estudio decide tratarlo en persona, así que la app no lo recoge.
Ser transparentes. Una política de privacidad explica qué se recoge, por qué, cuánto tiempo se conserva, quién más lo trata (el proveedor de hosting, el servicio de email, el proveedor de pagos) y cómo contactar con el estudio.
El marketing es aparte. Reservar una clase no suscribe a nadie al boletín. Hay una casilla separada, sin marcar, para eso.
Derechos dentro del producto. Los clientes pueden ver y editar su perfil, descargar su historial de reservas y solicitar la eliminación desde su página de cuenta.
Conservación. Las cuentas inactivas se marcan tras un periodo determinado y se eliminan si el cliente no responde. El estudio elige el periodo.
Cookies. La cookie de inicio de sesión es necesaria. La analítica solo se carga después de que el visitante la acepte. Consulta qué son las cookies.
Seguridad. Las contraseñas están cifradas con hash, el área de administración exige autenticación de dos factores, y solo el propietario puede exportar las listas de clientes.
Términos comunes explicados
| Término | Significado |
|---|---|
| Dato personal | Cualquier información sobre una persona física identificada o identificable. |
| Tratamiento | Cualquier operación con datos personales: recoger, almacenar, usar, compartir, borrar. |
| Interesado | La persona a la que se refieren los datos. |
| Responsable del tratamiento | La organización que decide por qué y cómo se tratan los datos: normalmente tú, como propietario de la app. |
| Encargado del tratamiento | Una empresa que trata datos en nombre del responsable, como un proveedor de hosting o de email. |
| Contrato de encargo de tratamiento (DPA) | Un contrato entre responsable y encargado que fija cómo se gestionan los datos. |
| Base jurídica | La razón legal para el tratamiento, como el consentimiento o el contrato. |
| Consentimiento | Un «sí» libre, específico, informado e inequívoco; las casillas premarcadas no cuentan. |
| Datos de categoría especial | Datos sensibles como los de salud o los biométricos, con normas más estrictas. |
| Autoridad de control | El regulador de protección de datos de un país. |
Errores y conceptos erróneos habituales
- «No estamos en la UE, así que no se aplica». Puede aplicarse según dónde estén tus usuarios.
- «El RGPD significa consentimiento para todo». El consentimiento es una de seis bases jurídicas, y a menudo no es la adecuada.
- «Un banner de cookies nos hace cumplir». Las cookies son solo una pequeña parte. La recogida de datos, la seguridad, los derechos y la conservación importan más.
- «Nuestro host cumple el RGPD, así que nosotros también». Los proveedores ayudan, pero tú decides qué recoge tu app y qué hace con ello.
- Recoger datos «por si acaso». Cada campo extra es algo más que proteger, explicar y borrar.
- Copiar la política de privacidad de otra web. Tiene que describir lo que tu app hace realmente.
- Hacer imposible el borrado. Si nadie puede eliminar a un usuario sin un desarrollador, las solicitudes de derechos se convierten en emergencias.
Qué pedir a tu constructor de apps con IA
- «Enumera cada dato personal que recoge esta app, dónde se almacena y por qué es necesario.»
- «Elimina los campos del formulario que no usamos.»
- «Añade una página de cuenta donde los usuarios puedan ver, editar y descargar sus datos, y solicitar su eliminación.»
- «Crea una acción de administración que elimine por completo a un usuario y sus registros relacionados, o anonimice los registros que debemos conservar.»
- «Mantén el alta de marketing como una casilla separada, sin marcar.»
- «No cargues scripts de analítica o marketing antes del consentimiento.»
- «Enumera cada servicio externo que recibe datos de usuarios, para añadirlo a la política de privacidad.»
- «Restringe las exportaciones de administración al rol de propietario y registra quién exportó qué.»
Después, lee cómo redactar términos de servicio y una política de privacidad y cómo añadir el consentimiento de cookies.
RGPD y Mythex
Mythex te ofrece los bloques de construcción, no un certificado de cumplimiento. Los datos de tu app viven en la base de datos propia del proyecto y en el almacenamiento de archivos cuando los activas; tú eres dueño del código y, en Pro, puedes exportar el proyecto si necesitas trasladarlo. Qué recoge tu app, cuánto tiempo conserva los datos y cómo las personas ejercen sus derechos son decisiones que tomas tú —y que pides al agente que construya—. La página de la documentación sobre propiedad de los datos explica qué aloja Mythex, y seguridad para las apps que construyes advierte contra afirmar un cumplimiento que no tienes. Si necesitas detalles concretos, como dónde se alojan los datos o un contrato de encargo de tratamiento, pregunta al soporte de Mythex antes de lanzar.
Preguntas
¿Qué es el RGPD en pocas palabras?
El Reglamento General de Protección de Datos (RGPD, GDPR en inglés) es la principal ley de protección de datos de la Unión Europea. Establece reglas sobre cómo las organizaciones recogen, usan, almacenan y comparten información sobre las personas, y da a esas personas derechos sobre sus datos. Se aplica desde el 25 de mayo de 2018.
¿El RGPD se aplica a empresas fuera de la UE?
Puede hacerlo. Según la Comisión Europea, se aplica a organizaciones situadas fuera de la UE que ofrecen bienes o servicios a personas de la UE, aunque sean gratuitos, o que controlan su comportamiento. No basta con dónde estés establecido; también importa quiénes son tus usuarios.
¿Una dirección de email es un dato personal?
Sí. Un dato personal es cualquier información relativa a una persona física identificada o identificable. Los nombres, las direcciones de email, las direcciones IP y los identificadores de cookies pueden entrar en esta categoría.
¿Usar un host conforme al RGPD hace que mi app cumpla?
No. Un host puede ayudar al cumplimiento, pero tú decides qué datos recoge tu app, para qué, cuánto tiempo se conservan y quién los ve. Esas decisiones te corresponden a ti acertarlas.
¿Esta guía es asesoramiento jurídico?
No. Es una explicación general para ayudarte a hacer mejores preguntas. Para tu situación concreta, consulta la guía oficial de la UE o de tu autoridad nacional de protección de datos, o habla con un asesor cualificado.