Cómo funciona
GDPR es la sigla en inglés de General Data Protection Regulation, el Reglamento General de Protección de Datos de la Unión Europea. El reglamento establece normas para el tratamiento de datos personales y derechos de las personas a las que se refieren esos datos. El texto oficial está disponible en EUR-Lex.
La norma no se limita a empresas con sede en la Unión Europea. El artículo 3 también alcanza ciertos tratamientos realizados por organizaciones fuera del bloque cuando están relacionados con la oferta de bienes o servicios a personas que se encuentran en la Unión o con la vigilancia de su comportamiento en ese territorio. La aplicación a un caso concreto depende de los hechos y del rol de cada organización.
El GDPR define conceptos como dato personal, responsable y encargado. En términos simples, dato personal es información relacionada con una persona identificada o identificable. El responsable determina finalidades y medios del tratamiento; el encargado trata datos en nombre del responsable, conforme a las instrucciones aplicables.
El reglamento establece principios y obligaciones, como contar con una base jurídica adecuada, informar a las personas, limitar la recolección a lo necesario y proteger los datos. También prevé derechos, como acceso y rectificación, sujetos a las condiciones y excepciones previstas en la ley. La organización debe evaluar el contexto, documentar decisiones y adoptar medidas técnicas y organizativas apropiadas.
Ejemplo práctico
Una empresa brasileña ofrece una aplicación a clientes ubicados en la Unión Europea y recolecta nombre, dirección de correo electrónico e historial de uso. Antes de lanzar el servicio, debe evaluar si el tratamiento está dentro del alcance territorial del GDPR, qué datos son necesarios y para qué se usarán.
El equipo puede mapear qué sistemas reciben la información, quién puede acceder a ella, por cuánto tiempo se mantiene y qué proveedores actúan como encargados. La información de privacidad debe explicar el tratamiento de forma comprensible, y los procesos internos deben permitir atender solicitudes válidas de titulares dentro de los plazos legales.
Este ejemplo no determina por sí solo que la ley se aplique a toda empresa brasileña con un usuario europeo. El análisis depende, entre otros factores, de cómo se ofrece el servicio, de quién está en el territorio y de las actividades de tratamiento. En situaciones reales, busca orientación jurídica especializada y consulta el texto legal y las autoridades competentes.
Para qué sirve
El GDPR sirve para proteger a las personas en el contexto del tratamiento de datos personales y establecer deberes para las organizaciones que tratan esos datos dentro de su alcance. Para un equipo de producto, el reglamento ayuda a orientar decisiones sobre recolección, acceso, retención, compartición y atención a pedidos de los titulares.
En proyectos de inteligencia artificial, los datos usados para entrenamiento, evaluación, logs o personalización pueden contener información personal. El equipo debe entender qué datos ingresan al sistema, quién decide el propósito y qué salvaguardas son necesarias. El simple hecho de que los datos sean procesados por un modelo no elimina las obligaciones aplicables.
El GDPR no es una certificación automática ni una lista única de configuraciones técnicas. La conformidad exige análisis del contexto y gobernanza continua. Una política de privacidad, por sí sola, no sustituye controles de acceso, registros, medidas de seguridad y procesos para responder a solicitudes.
Diferencia entre GDPR y LGPD
El GDPR es el reglamento de protección de datos de la Unión Europea. La LGPD es la ley brasileña sobre el tema. Ambos instrumentos tienen conceptos y principios relacionados, pero poseen textos, autoridades, bases legales y reglas propias. Cumplir con uno no demuestra automáticamente conformidad con el otro.