Día de la Protección de Datos: convierta la concienciación en una mejora duradera

Una jornada de concienciación sobre privacidad resulta más útil cuando deja tras de sí un proceso cambiado. El próximo Día de la Protección de Datos es el 28 de enero de 2027. Aproveche el periodo de preparación para elegir una mejora que el equipo pueda completar, demostrar y mantener.

Para la dirección, la pregunta no es simplemente cuántos empleados asisten. Es qué incertidumbre sobre los datos personales va a eliminar la organización, quién tiene autoridad para cambiar el proceso y cómo sabrá la dirección que el cambio sigue funcionando un mes después.

Una jornada útil puede combinar una breve sesión informativa con un ejercicio práctico. Los empleados aprenden algo pertinente, los clientes encuentran menos fricción y la empresa obtiene evidencias de que un proceso funciona, no solo de que se impartió una formación.

Tome una decisión con responsable antes de planificar la jornada

Empiece por un problema conocido en lugar de por un calendario de actividades. Quizá el personal de soporte no encuentra la vía de escalado en materia de privacidad. Quizá se copian datos de clientes en una carpeta compartida sin un responsable claro de su eliminación. Quizá se ha introducido una nueva función de IA sin actualizar la explicación que reciben los clientes.

Elija el problema con tres preguntas:

• ¿Afecta a las personas? Priorice los usos poco claros de los datos, la exposición innecesaria o los obstáculos al ejercicio de derechos.
• ¿Puede el equipo completar un cambio significativo? Una corrección acotada es más útil que una iniciativa ambiciosa que se detiene tras el taller.
• ¿Puede alguien mantenerlo? Designe un responsable del proceso, un revisor y una fecha de revisión antes de empezar el trabajo.

La dirección debe autorizar el tiempo y las decisiones necesarios. Si la mejora requiere trabajo de ingeniería, dele un lugar acordado en la planificación de entregas. Si cambia la conservación, implique al responsable de los registros y al asesor jurídico en lugar de pedir a los empleados que eliminen material por su cuenta.

Si se ha designado un delegado de protección de datos (DPD), implíquelo para obtener asesoramiento y supervisión independientes. La responsabilidad de las decisiones de negocio sigue recayendo en la dirección y en los responsables de los procesos correspondientes; no debe hacerse al DPD responsable de determinar los fines y medios del tratamiento.

Elija una actividad vinculada al trabajo real

Las opciones siguientes son recomendaciones prácticas, no un programa prescrito para el Día de la Protección de Datos. Seleccione un resultado principal; utilice las demás solo cuando lo apoyen.

Mantenga las actividades lo bastante pequeñas como para terminarlas. Utilice registros sintéticos o anonimizados, elimine los identificadores de las capturas de pantalla y limite la participación a las personas que necesitan la información. Un ejercicio de concienciación no debe generar una exposición innecesaria de datos personales.

Haga de la transparencia una tarea, no un concurso de redacción de políticas

La transparencia es un buen foco porque conecta las obligaciones legales con la experiencia cotidiana del cliente. Según los artículos 12 a 14 del RGPD, la información pertinente debe facilitarse de forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. La información exigida y el momento de facilitarla dependen del tratamiento y de cómo se obtienen los datos.

Elija un recorrido: abrir una cuenta, contactar con soporte, presentar una candidatura o suscribirse a comunicaciones comerciales. Pida a una persona que no conozca el proceso que encuentre la información sobre privacidad y responda:

• ¿Qué información recoge la organización y por qué?
• ¿Quién la recibe, incluidos los proveedores pertinentes?
• ¿Cuánto tiempo se conserva o cómo se determina el plazo de conservación?
• ¿Qué opciones y derechos tiene a su disposición y dónde puede pedir ayuda?

Compare sus respuestas con el proceso real. Un aviso legible sigue siendo engañoso si omite a un proveedor o describe un plazo de conservación que los sistemas no respetan.

Una explicación por capas puede ayudar: un aviso breve y contextual en el momento de la recogida, una explicación más completa y un detalle accesible para quien lo necesite. La capa breve no debe ocultar información relevante. Evite afirmaciones vagas como «valoramos su privacidad» cuando hace falta una explicación concreta.

Acuerde cómo los cambios futuros desencadenan una revisión. Un nuevo destinatario, fin, función de IA o regla de conservación debe dar lugar a una evaluación de los avisos, la base jurídica y otras garantías pertinentes. Cuando el RGPD exige informar antes de un tratamiento ulterior con otro fin, no basta con actualizar la política a posteriori. Las comunicaciones deben explicar el cambio real en lugar de limitarse a anunciar que una política ha cambiado.

Ensaye las solicitudes de derechos desde la perspectiva del cliente

Un ejercicio de solicitud de acceso pone a prueba a varios equipos a la vez: soporte, verificación de identidad, responsables de sistemas, revisores de privacidad y entrega segura. Empiece con una solicitud controlada que llegue por un canal de atención al cliente habitual. No dé por supuesto que las personas utilizarán su formulario preferido o la terminología jurídica.

Compruebe si el personal reconoce la solicitud, registra su recepción, la encamina correctamente y localiza la información pertinente en los distintos sistemas y proveedores. Incluya una decisión sobre información de terceros y una prueba del método de entrega.

El artículo 12 del RGPD exige normalmente una respuesta en el plazo de un mes. Puede ser posible una prórroga de otros dos meses cuando sea necesario, teniendo en cuenta la complejidad y el número de solicitudes, pero debe informarse al interesado dentro del primer mes, indicando los motivos. Las solicitudes son en general gratuitas, con condiciones limitadas para cobrar un canon o denegarlas. La información adicional sobre la identidad debe ser proporcionada a las dudas razonables, no una exigencia rutinaria de copias del pasaporte.

Un panel de privacidad puede facilitar ciertas acciones, pero no es un requisito legal universal ni sustituye la gestión de las excepciones. Compruebe si las personas encuentran los controles, distinguen las preferencias de marketing de otros tratamientos y obtienen ayuda cuando el autoservicio falla. Las solicitudes de supresión también requieren evaluación: no todos los registros pueden suprimirse lícitamente de inmediato.

Para un esquema de ejercicio más completo, utilice nuestro flujo de trabajo para solicitudes de acceso.

Incluya la IA cuando cambie el uso de los datos personales

La concienciación sobre IA debe partir de un caso de uso concreto, no de una presentación general sobre tecnología. Pregunte a los equipos si los mensajes de clientes, los datos de candidatos, la información de empleados u otros datos personales entran en herramientas de IA, incluidas las funciones integradas en el software existente.

Para el caso de uso seleccionado, documente las entradas, el proveedor, el fin, los resultados, las condiciones de conservación y las personas afectadas. Determine si los resultados solo ayudan al personal o influyen en decisiones de consecuencias relevantes. Verifique las condiciones y la configuración del proveedor en lugar de suponer que un proveedor de software conocido utiliza los datos solo como se espera.

El resumen de la Comisión Europea sobre el Reglamento de Inteligencia Artificial señala su aplicación general, incluidas las disposiciones de transparencia, a partir del 2 de agosto de 2026. Las obligaciones concretas dependen del sistema, del caso de uso y del papel de la organización. El artículo 50 contiene obligaciones de transparencia específicas; no significa que toda tarea interna asistida por IA requiera la misma información al cliente.

En el caso de un asistente orientado al cliente, evalúe el requisito de información aplicable y explique con exactitud cuándo el usuario está interactuando con una IA. Ofrecer una vía clara hacia la atención humana es una recomendación práctica de servicio, no una regla universal para todo sistema de IA.

Por separado, evalúe las obligaciones del RGPD. El artículo 22 se refiere a determinadas decisiones basadas únicamente en el tratamiento automatizado que producen efectos jurídicos o significativamente similares, con excepciones y garantías. No es una regla general que abarque toda recomendación de una IA. La dirección debe exigir una revisión antes del despliegue o de cambios relevantes, en lugar de dejar que el personal deduzca el límite durante una sesión de concienciación.

Enseñe a los empleados la siguiente acción que realmente pueden tomar

La formación es más útil cuando ensaya una decisión. Plantee al personal de soporte una pregunta de privacidad realista, a los mandos una propuesta de cambio de producto y al personal de operaciones un escenario de correo electrónico enviado por error. Pregunte a cada grupo qué haría a continuación y dónde lo registraría.

En el ejercicio del correo electrónico, los empleados deben saber cómo informar con prontitud, preservar los hechos pertinentes y seguir las instrucciones de contención aprobadas. No deben decidir solos si un incidente es notificable ni ocultarlo después de recuperar un mensaje.

Según los artículos 33 y 34 del RGPD, los responsables deben notificar a la autoridad de control competente sin dilación indebida y, de ser posible, en un plazo de 72 horas desde que tengan constancia de una violación de la seguridad de los datos personales, salvo que sea improbable que constituya un riesgo para los derechos y libertades de las personas. Los encargados notifican a los responsables sin dilación indebida. Un riesgo alto puede exigir también la comunicación a los interesados afectados, con excepciones. Documente el razonamiento cuando no sea necesaria la notificación.

Por tanto, el resultado de la formación es una vía de notificación utilizable y un proceso de evaluación informado, no solo la puntuación de un test.

Ejemplo práctico: eliminar una copia no gestionada de datos de clientes

Supuestos ilustrativos: una pequeña empresa de software exporta los registros de atención al cliente a una carpeta compartida para un análisis semanal. La exportación incluye datos de contacto y mensajes de texto libre. La carpeta tiene accesos heredados y nadie es responsable de la eliminación. La dirección elige este flujo para el Día de la Protección de Datos; se trata de un ejemplo hipotético, no del resultado de un cliente de Secani.

Antes de la jornada, el responsable de soporte y el responsable del sistema crean una muestra anonimizada y registran la ruta de exportación actual. El asesor de privacidad identifica cuestiones sobre el fin, la minimización, la conservación y el acceso de los proveedores. El taller plantea: ¿dónde se crea cada copia, quién la utiliza y cómo se elimina?

Los participantes descubren que un antiguo proceso de análisis ya no necesita los mensajes de texto libre. Proponen una exportación más restringida, un grupo de acceso basado en funciones y una regla de conservación definida. La dirección autoriza el cambio de proceso, a reserva de confirmar cualquier obligación legal de conservación.

El equipo prueba la exportación revisada, comprueba que los campos excluidos no aparecen, retira los accesos innecesarios a la carpeta y prueba la eliminación en registros de muestra que cumplen los criterios. Si la eliminación automatizada no puede completarse de inmediato, el responsable documenta un proceso provisional controlado y una fecha de entrega en lugar de dar el asunto por cerrado.

El paquete de cierre contiene el mapa de flujos actualizado, la lista de campos aprobada, el registro del cambio de accesos, la decisión de conservación, el resultado de la prueba y el responsable designado. Un mes después, el revisor comprueba una exportación nueva y confirma que ya no se acumulan archivos antiguos que cumplen los criterios de eliminación. La mejora duradera es un proceso de tratamiento de datos modificado, no el taller en sí.

Mida lo que permanece después de la jornada

Defina qué significa «completado» antes de que empiece la actividad. «Aviso de privacidad actualizado» es más débil que «el aviso coincide con el flujo de datos seleccionado, ha sido aprobado y los participantes pueden encontrarlo y explicarlo». «Accesos revisados» es más débil que la evidencia de que se han ejecutado las retiradas aprobadas.

Conserve un registro de mejora compacto:

• El problema, el alcance y las personas potencialmente afectadas.
• El responsable y el revisor que aprueba.
• El cambio acordado y las excepciones sin resolver.
• Evidencias de la implantación y de las pruebas.
• La próxima fecha de revisión y qué desencadenará una revisión anticipada.

La asistencia sirve para conocer el alcance, pero no demuestra que un proceso haya mejorado. Elija indicadores ligados al resultado: cuestiones de responsabilidad sin resolver, traspasos fallidos de solicitudes, pertenencias innecesarias a grupos de acceso o registros que superan un plazo de conservación aprobado. Restrinja el acceso a las evidencias que contengan datos personales y evite conservar copias innecesarias solo para demostrar diligencia.

Prepárese ahora y vuelva después sobre el cambio

Aproveche el periodo de preparación para seleccionar el proceso, confirmar la responsabilidad y reunir material anonimizado. Antes del 28 de enero, acuerde los criterios de finalización y reserve tiempo para la implantación. Ese día, realice el ejercicio y registre las decisiones. Asigne las respuestas inciertas como trabajo de seguimiento en lugar de dejar que desaparezcan en las actas de la reunión.

Secani puede apoyar ese seguimiento dentro del programa de cumplimiento más amplio: modelar los sistemas y proveedores pertinentes, conectar las evidencias con requisitos o controles, asignar responsables y convertir las carencias en tareas. Mantenga explícita la revisión humana de las sugerencias asistidas por IA y de las conclusiones sobre las evidencias, preservando las fuentes, las aprobaciones y el contexto de las decisiones.

Fije una revisión un mes después de la jornada. Pregunte si el cambio funciona con registros nuevos y si alguien sigue siendo su responsable. Empiece con una actividad que elimine una incertidumbre conocida y utilice después el resultado para decidir qué merece atención a continuación.