Privacidad y protección de datos personales

La privacidad es tu derecho a decidir quién sabe qué sobre ti, y la protección de datos personales es el conjunto de reglas que obliga a empresas y gobiernos a respetarlo. Se relaciona con la ciberseguridad, pero no es lo mismo: una empresa puede tener sus sistemas muy protegidos y aun así violar la privacidad si recoge datos que no necesita o los usa para algo que no avisó. En esta lección verás tus derechos, las leyes de la región con sus plazos verificados y cómo aplicar todo esto en tu vida y en un negocio.

1. Qué es un dato personal
2. Principios y derechos
3. Leyes de la región
4. Plazos ante incidentes
5. Privacidad en la práctica

Qué es un dato personal (y cuál es sensible)

Un dato personal es cualquier información que identifica a una persona o que permite identificarla: nombre, número de documento, correo, teléfono, dirección, foto, matrícula del auto, dirección IP o la combinación de varios datos que por separado parecían inofensivos. Los datos sensibles son una categoría especial porque su mal uso puede causar discriminación o daños graves; por eso las leyes exigen más cuidado al tratarlos.

Principios y derechos que comparten las leyes

Aunque cada país tiene su norma, casi todas comparten los mismos principios: consentimiento o base legal para tratar los datos, finalidad (usarlos solo para lo que se informó), proporcionalidad o minimización (pedir solo lo necesario), calidad (que estén actualizados), seguridad y confidencialidad, y transparencia mediante un aviso o política de privacidad.

Como titular de tus datos tienes derechos. En México y Perú se conocen como derechos ARCO: Acceso (saber qué datos tienen de ti), Rectificación (corregirlos), Cancelación (pedir que se eliminen cuando corresponda) y Oposición (negarte a ciertos usos, como la publicidad). En Colombia se habla de conocer, actualizar, rectificar y suprimir; en Argentina, de acceso, rectificación, actualización y supresión; y en Brasil la LGPD incluye además la portabilidad. La idea de fondo es la misma.

Las leyes de la región

Cómo calcular los plazos ante un incidente

Imagina que una empresa con clientes en Perú, Colombia y Brasil detecta un incidente con datos personales el lunes 14 de septiembre de 2026 a las 16:00. Así se cuentan los plazos (en este periodo no hay feriados nacionales en esos países; si los hubiera, los días hábiles se corren):

1. Lunes 14 de septiembre · 16:00DetecciónEmpieza a correr el reloj. Registra la hora exacta en el registro de incidentes.
2. Miércoles 16 de septiembre · 16:00Perú: 48 horasLas horas corren seguidas, también de noche y en fin de semana.
3. Jueves 17 de septiembreBrasil: 3 días hábilesMartes 15, miércoles 16 y jueves 17, si el incidente implica riesgo o daño relevante.
4. Lunes 5 de octubreColombia: 15 días hábilesSe cuentan de lunes a viernes desde el día siguiente a la detección.

La lección práctica: el plazo más corto manda. Una empresa regional debe tener lista la información básica del incidente en menos de dos días, y eso solo es posible si existe un procedimiento preparado. Lo verás en la lección 14, sobre respuesta a incidentes.

Privacidad en tu vida diaria

Tu huella digital es todo el rastro que dejas en internet: lo que publicas, lo que publican de ti, tus cuentas, tus compras y los permisos que das a las apps. Con datos públicos sueltos (tu cumpleaños, el nombre de tu mascota, tu colegio) un estafador puede adivinar respuestas de seguridad o armar un engaño convincente. Revisa esta lista una vez al año:

• Puse mis redes sociales personales en privado y revisé quién puede ver mi lista de amigos, mi teléfono y mi correo.
• Revisé los permisos de las apps del celular: ubicación, micrófono, cámara y contactos solo para las que los necesitan.
• No publico fotos de mi documento de identidad, pasajes de avión con código de barras, ni la fachada de mi casa con el número visible.
• Busqué mi nombre en internet y pedí eliminar lo que no quiero que sea público.
• Cerré cuentas que ya no uso, después de borrar sus datos.
• Uso un correo distinto para registros y promociones, y no el de mi banco.

Privacidad en un negocio: la minimización

El dato más seguro es el que nunca recogiste. Cada campo de un formulario es algo que tienes que proteger, actualizar, explicar en tu aviso de privacidad y, si se filtra, comunicar. Una academia de idiomas de Cusco pedía 12 datos en su formulario de inscripción: nombre, documento, fecha de nacimiento, correo, teléfono, dirección, estado civil, profesión, ingresos mensuales, religión, cómo nos conociste y nivel de inglés. Al revisar para qué usaba cada uno, se quedó con 5.

Reducción = (12 − 5) ÷ 12 = 7 ÷ 12 ≈ 58% menos datos que proteger

Eliminó, entre otros, la religión (un dato sensible que no necesitaba) y los ingresos. Además de la minimización, un negocio debería: tener un aviso de privacidad claro, llevar un inventario de sus bases de datos (qué datos, para qué, dónde están y quién accede), definir cuánto tiempo los conserva, atender los pedidos de los titulares, firmar contratos con los proveedores que tratan datos por su cuenta y aplicar la privacidad desde el diseño en cada proyecto nuevo.

Errores comunes

Resumen

• Un dato personal identifica a alguien; los datos sensibles (salud, biometría, religión…) exigen protección reforzada.
• Las leyes de la región comparten principios (consentimiento, finalidad, minimización, seguridad) y derechos como los ARCO.
• Perú, México, Colombia, Argentina, Brasil y Chile tienen leyes y autoridades propias; Chile está en plena transición a la Ley 21.719.
• Los plazos ante incidentes son cortos: 48 horas en Perú, 3 días hábiles en Brasil, 15 días hábiles en Colombia y aviso inmediato a los titulares en México.
• El dato más seguro es el que no recoges: minimiza y reduce tu huella digital.

En la próxima lección: Ciberseguridad para pymes: plan básico. Armarás un plan de 90 días con los controles que más protegen a una pequeña empresa y medirás su avance con un porcentaje de cumplimiento.