Dato personal y dato sensible: la línea que no puedes cruzar
Dato personal (LGTPPDPPP art. 3 fr. III): cualquier información concerniente a una persona física identificada o identificable. Un nombre, una foto, un número de teléfono, una placa de vehículo, un correo, una dirección IP, un expediente clínico. Si con esa información puedes «llegar» a una persona, es dato personal.\n\nDato sensible (art. 3 fr. VI): aquellos datos que, de ser divulgados, afecten la esfera más íntima: origen étnico o racial, opiniones políticas, convicciones religiosas, preferencia sexual, estado de salud, afiliación sindical, datos biométricos o genéticos. El tratamiento de datos sensibles exige consentimiento expreso y escrito, y medidas de seguridad reforzadas.\n\nLa regla de oro: el dato NO es tuyo ni de tu área. La institución lo recaba para una finalidad específica y lo trata como custodia. Tú eres el eslabón que lo resguarda, no el dueño que lo comparte.
Derechos ARCO y el aviso de privacidad:\n\nEl titular de los datos tiene derechos ARCO: Acceso (saber qué datos tienes de él), Rectificación (corregirlos), Cancelación (suprimirlos cuando proceda) y Oposición (negarse a un uso). Tu obligación como servidor es canalizar esas solicitudes al área responsable en plazo, no ignorarlas ni «resolverlas» de palabra sin registro.\n\nEl aviso de privacidad es el documento que informa al ciudadano qué datos se recaban, con qué finalidad, quién es el responsable y cómo ejercer los ARCO. En el sector público puede ser global (publicado) o individual (al recabar). Si en tu área recabas datos sin aviso o los usas para una finalidad distinta a la publicada, estás tratando datos ilegítimamente.\n\nMedidas de seguridad mínimas en tu escritorio: no dejes listas de beneficiarios impresas sobre la mesa, no compartas archivos con datos por correo personal ni WhatsApp, protege los expedientes con llave o contraseña, y no subas padrones a nubes sin autorización institucional. La fuga más común no es un hacker: es un Excel enviado a un correo personal.
Un colega de otra área te pide «la lista con nombres, teléfonos y domicilios de los beneficiarios del programa» para «un proyecto de difusión». ¿Cuál es tu respuesta correcta?
Une el tipo de dato con su categoría legal:
Como los datos de un padrón de beneficiarios son «información pública» por la ley de transparencia, puedes publicarlos completos en el portal sin tachar nada.
Haz inventario de tu escritorio: ¿qué datos personales de ciudadanos manejas en un día normal (listas, expedientes, correos, fotos)? Para cada uno, identifica: ¿con qué finalidad se recabaron? ¿Están seguros (llave, contraseña, sin impresos sueltos)? ¿Los has enviado alguna vez por un canal no institucional? Corrige UN riesgo esta semana.
Pista
La fuga no empieza con un ataque: empieza con un archivo suelto o un correo personal.- Dato personal = cualquier información que identifica a una persona; dato sensible = esfera íntima (salud, religión, preferencia, afiliación) con protección reforzada.
- El dato es custodia, no propiedad: la institución lo trata por encargo del titular y con límites.
- Los principios de finalidad y lealtad atan el uso al aviso de privacidad; usarlo «para otra cosa» es ilegal.
- El titular tiene derechos ARCO (acceso, rectificación, cancelación, oposición) que debes canalizar en plazo.
- Transparencia y protección de datos se armonizan: el padrón es público, los datos personales se tachan.
Checkpoint: dato personal y sus límites
Se requiere 60% de aciertos para avanzar.
Con los principios claros, la siguiente lección aborda la consecuencia: qué ocurre cuando se incumple, la vía de reclamación del titular y las sanciones por filtración de una lista.