Data Protection Glossary

Un principio fundamental del RGPD destinado a garantizar que los responsables del tratamiento sean los encargados de demostrar el cumplimiento de los principios de protección de datos en la práctica. La rendición de cuentas exige que las organizaciones establezcan mecanismos internos y sistemas de control que garanticen el cumplimiento y aporten pruebas —como informes de auditoría, documentación y registros— para demostrar dicho cumplimiento ante las autoridades reguladoras y los interesados.

Una decisión de adecuación es una resolución de la Comisión Europea por la que se determina que un país no perteneciente a la UE o una organización internacional ofrece un nivel de protección de datos esencialmente equivalente al de la UE. Las decisiones de adecuación permiten que los datos personales se transfieran a ese país sin garantías adicionales, como las cláusulas contractuales tipo, y la Comisión Europea las revisa periódicamente y puede revocarlas si las garantías se debilitan.

La Oficina de IA es el organismo de la Comisión Europea encargado de supervisar y velar por el cumplimiento de la Ley de IA de la UE, en particular en lo que respecta a los modelos de IA de uso general y a la coordinación transfronteriza. La Oficina de IA presta apoyo a las autoridades nacionales, emite orientaciones, investiga los casos de incumplimiento y puede imponer sanciones a los proveedores de modelos de IA de uso general que incumplan sus obligaciones, colaborando con el Representante de la UE en materia de IA, que actúa como punto de contacto para los proveedores no pertenecientes a la UE.

La eliminación o transformación irreversible de los datos personales, de modo que ya no sea posible identificar a las personas, ni directa ni indirectamente. La verdadera anonimización rompe de forma permanente el vínculo entre los datos y la identidad, lo que significa que los datos quedan fuera del ámbito de aplicación de la normativa de protección de datos. Lograr una anonimización auténtica supone un reto técnico y requiere tener en cuenta todos los métodos de reidentificación razonablemente disponibles.

La toma de decisiones automatizada es aquella decisión relativa a un interesado que se adopta exclusivamente por medios automatizados, sin intervención humana significativa, y que produce efectos jurídicos o de importancia similar. En virtud del artículo 22 del RGPD, las personas tienen derecho a no ser objeto de decisiones puramente automatizadas en la mayoría de los casos, y las organizaciones que se acojan a excepciones limitadas, como el consentimiento, deben seguir ofreciendo la posibilidad de solicitar una revisión humana y de impugnar el resultado, especialmente cuando la decisión implique la elaboración de perfiles.

Políticas internas de protección de datos adoptadas por organizaciones internacionales o grupos multinacionales que permiten la transferencia legítima de datos personales entre diferentes entidades pertenecientes al mismo grupo empresarial. Las normas corporativas vinculantes proporcionan un marco jurídicamente vinculante que garantiza la aplicación de normas coherentes de protección de datos en todas las entidades del grupo y requieren la aprobación de las autoridades de protección de datos.

Datos personales resultantes del tratamiento técnico específico de las características físicas, fisiológicas o de comportamiento de una persona, como las huellas dactilares, los escáneres del iris, los datos de reconocimiento facial, los patrones de voz y el ADN. Los datos biométricos suelen considerarse una categoría especial de datos que requiere una protección reforzada y una justificación jurídica específica para su tratamiento.

En 2018 se aprobó en California una ley de protección de datos de Estados Unidos que otorga a los residentes de California derechos sobre su información personal, entre ellos el derecho a saber qué datos se recopilan, el derecho a su eliminación, el derecho a oponerse a la venta de datos y el derecho a no sufrir discriminación. La CCPA se aplica a las empresas con ánimo de lucro que recopilan información personal de residentes de California y que alcanzan determinados umbrales de ingresos o de volumen de datos.

La modificación y ampliación de la CCPA, aprobada en California en 2020, incorporó nuevos derechos de los consumidores, entre ellos el derecho a corregir los datos personales, el derecho a limitar el uso de datos personales sensibles y los derechos relacionados con la toma de decisiones automatizada. La CPRA creó la Agencia de Protección de la Privacidad de California para velar por el cumplimiento de la legislación en materia de privacidad e imponer sanciones en caso de incumplimiento.

Una reclamación formal presentada ante una autoridad de protección de datos o una autoridad de control por parte de una persona que alega que una organización ha vulnerado sus derechos en materia de protección de datos. Las autoridades de protección de datos tienen la facultad de investigar las reclamaciones y velar por el cumplimiento de la normativa mediante investigaciones, resoluciones y sanciones.

Un principio del RGPD que exige que los datos personales estén protegidos contra el acceso no autorizado o accidental, la divulgación o el uso indebido. La confidencialidad garantiza que solo las personas autorizadas puedan acceder a los datos personales, lo que obliga a las organizaciones a aplicar medidas de seguridad técnicas y organizativas a lo largo de todo el ciclo de vida de los datos.

Una evaluación de la conformidad es el proceso que se utiliza para verificar que un sistema de IA de alto riesgo cumple los requisitos de la Ley de la UE sobre IA antes de su comercialización. Las evaluaciones de la conformidad pueden ser realizadas internamente por el proveedor o externamente por un organismo notificado, en función de la categoría del sistema de IA, y dan lugar al marcado CE y a una declaración de conformidad de la UE.

Autorización otorgada libremente, específica, informada e inequívoca para el tratamiento de datos personales con fines definidos. Requiere que las personas comprendan lo que están aceptando, cómo se utilizarán sus datos y que puedan retirar su consentimiento en cualquier momento. El consentimiento debe ser verdaderamente voluntario y no puede constituir una condición para la prestación de servicios no relacionados.

La organización o persona física que determina los fines, los medios y los métodos del tratamiento de datos personales. Los responsables del tratamiento asumen la responsabilidad principal en materia de cumplimiento y deben garantizar que se respeten todos los principios de protección de datos, entre ellos la licitud, la transparencia, la seguridad y los derechos de las personas.

Incidente en el que se accede, utiliza o divulga datos personales sin autorización, o en el que estos se destruyen, pierden o alteran de forma accidental o ilícita. Las organizaciones deben evaluar las violaciones de datos y notificarlas a las partes pertinentes. Si es probable que una violación de datos suponga un riesgo para los derechos de las personas, se deberá notificar a las autoridades y a las personas afectadas.

Este principio exige que solo se recojan y traten los datos personales que sean adecuados, pertinentes y necesarios para fines específicos. La minimización de datos evita la recogida excesiva de datos y reduce los riesgos para la privacidad al limitar la cantidad de información personal que conserva una organización.

Un contrato por escrito entre un responsable del tratamiento y un encargado del tratamiento en el que se especifican la naturaleza, el alcance y la finalidad del tratamiento, las obligaciones en materia de seguridad, los derechos de los interesados y los requisitos de confidencialidad. Los acuerdos de tratamiento de datos son obligatorios por ley cuando un responsable del tratamiento contrata a un encargado para que gestione datos personales en su nombre.

Organismo público independiente (también denominado «autoridad de control») encargado de supervisar el cumplimiento de la legislación en materia de protección de datos, investigar las reclamaciones y proteger los derechos de las personas. Las autoridades de protección de datos tienen competencias de investigación y ejecución, entre las que se incluyen la emisión de directrices, la realización de auditorías y la imposición de sanciones.

La protección de datos desde el diseño y por defecto es una obligación del RGPD que exige a las organizaciones incorporar medidas de protección de datos en los sistemas desde el principio y garantizar que, por defecto, solo se traten los datos personales necesarios para una finalidad específica. El artículo 25 del RGPD aplica este principio tanto al diseño técnico de los sistemas como a la configuración predeterminada de los usuarios, y funciona junto con la «privacidad desde el diseño» y la «minimización de datos» como principios fundamentales de responsabilidad.

Es necesario realizar un análisis estructurado cuando una organización planifica actividades de tratamiento que suponen un alto riesgo para los derechos y libertades de las personas. Las evaluaciones de impacto en materia de protección de datos identifican los riesgos potenciales, evalúan su probabilidad y gravedad, y documentan las medidas adoptadas para mitigarlos. Demuestran la rendición de cuentas y ayudan a las organizaciones a establecer medidas de protección de la privacidad desde el inicio del proyecto.

Un experto independiente designado por las organizaciones para supervisar el cumplimiento de la normativa en materia de protección de datos y actuar como enlace con las autoridades de protección de datos. Los responsables de la protección de datos supervisan el cumplimiento, llevan registros de los tratamientos, gestionan las solicitudes de los interesados y asesoran sobre las obligaciones en materia de protección de datos. En muchas jurisdicciones, las autoridades públicas y las organizaciones que tratan grandes volúmenes de datos deben designar a un responsable de la protección de datos.

El plazo durante el cual las organizaciones pueden conservar los datos personales. Las normativas en materia de protección de datos exigen que los datos personales se conserven únicamente durante el tiempo necesario para los fines para los que fueron recopilados. Las organizaciones deben establecer y documentar los plazos de conservación y eliminar de forma segura o anonimizar los datos una vez que expire dicho plazo.

Un acuerdo de intercambio de datos es un contrato entre dos o más responsables del tratamiento en el que se establecen la finalidad, el alcance y las condiciones en las que se compartirán los datos personales entre ellos. A diferencia de un acuerdo de tratamiento de datos, un acuerdo de intercambio de datos regula el intercambio entre responsables del tratamiento independientes, incluidos los responsables conjuntos, y suele abarcar la seguridad, la conservación y la forma en que cada parte gestionará las solicitudes de los interesados.

Cualquier persona física identificada o identificable a la que se refieran los datos personales. Los interesados gozan de derechos específicos en virtud de la legislación en materia de protección de datos, entre los que se incluyen el derecho a acceder a sus datos, a rectificar la información inexacta, a oponerse al tratamiento y a solicitar su supresión. Las organizaciones deben reconocer y respetar los derechos de los interesados en todas sus prácticas de tratamiento de datos.

Solicitud formal presentada por una persona a una organización en relación con sus datos personales. Las solicitudes de los interesados incluyen las de acceso, rectificación, supresión, oposición y portabilidad. Las organizaciones deben contar con procedimientos para recibir, verificar y responder a las solicitudes de los interesados dentro de los plazos establecidos por la ley.

El traslado transfronterizo de datos personales, especialmente fuera de la jurisdicción en la que se recopilaron. Las transferencias de datos a países que carecen de marcos adecuados de protección de datos requieren mecanismos jurídicos, como las cláusulas contractuales tipo, las normas corporativas vinculantes o las decisiones de adecuación, para garantizar que los datos sigan estando debidamente protegidos.

La Ley de Servicios Digitales (DSA) es un reglamento de la UE (2022/2065) que establece normas para las plataformas en línea, los mercados y los servicios de intermediación en materia de moderación de contenidos, transparencia y seguridad de los usuarios. La DSA se solapa con la legislación en materia de protección de datos en lo que respecta a la publicidad dirigida y la elaboración de perfiles en los sistemas de recomendación, y establece obligaciones más estrictas para las plataformas en línea y los motores de búsqueda de gran tamaño. 

El marketing directo consiste en la comunicación de material publicitario a personas concretas por correo postal, teléfono, correo electrónico u otros medios electrónicos. Está regulado tanto por los requisitos de base jurídica del RGPD como por normas específicas en materia de privacidad electrónica, como el PECR, que, en general, exigen el consentimiento previo para el marketing electrónico y siempre exigen un derecho efectivo de oposición. 

La normativa de la UE (2009/136/CE) complementa la normativa sobre protección de datos al abordar la confidencialidad de las comunicaciones electrónicas y regular el uso de cookies. La Directiva sobre privacidad electrónica exige el consentimiento previo para almacenar información en los dispositivos de los usuarios y restringe el uso de datos personales con fines de marketing electrónico.

El Comité Europeo de Protección de Datos (EDPB) representa a todas las autoridades de protección de datos de los Estados miembros de la UE y se encarga de garantizar la aplicación coherente de la legislación en materia de protección de datos en toda la UE. El EDPB emite directrices y dictámenes que ofrecen una interpretación oficial de los requisitos en materia de protección de datos. El Supervisor Europeo de Protección de Datos (SEPD) supervisa el cumplimiento de la normativa de protección de datos en las instituciones de la UE.

El derecho de las personas a solicitar a las organizaciones que eliminen sus datos personales. También conocido como«derecho al olvido», este derecho se aplica cuando los datos ya no son necesarios para su finalidad original, cuando la persona retira su consentimiento, cuando se opone al tratamiento o cuando los datos se han tratado de forma ilícita. Existen excepciones en caso de obligaciones legales y otros fines legítimos.

Reglamento de la UE (2024/1689) por el que se establece un marco jurídico integral para los sistemas de inteligencia artificial utilizados en la UE. La Ley de IA clasifica los sistemas de IA según su nivel de riesgo e impone requisitos a los sistemas de IA de alto riesgo, entre los que se incluyen la documentación, la transparencia, la supervisión humana y las evaluaciones de impacto. El reglamento aborda los riesgos específicos de la IA para los derechos y libertades fundamentales, incluida la privacidad. Las prácticas prohibidas en materia de IA entraron en vigor el 2 de febrero de 2025, mientras que los requisitos más amplios para los sistemas de alto riesgo se aplicarán a partir de agosto de 2026.

Un representante de IA de la UE es un punto de contacto local en la UE designado por los proveedores de sistemas de IA de alto riesgo que no cuentan con un establecimiento en la UE. Esta figura, exigida en virtud del artículo 54 de la Ley de IA de la UE, se asemeja al requisito del representante de la UE previsto en el artículo 27 del RGPD: se encarga de las comunicaciones con la Oficina de IA y con las autoridades nacionales de vigilancia del mercado, y mantiene a disposición la documentación técnica necesaria para su inspección. 

Un representante en la UE es una persona de contacto local en la Unión Europea designada por un responsable o un encargado del tratamiento que no cuente con un establecimiento en la UE y que trate datos personales de personas residentes en la UE. Tal y como exige el artículo 27 del RGPD, el representante en la UE se encarga de la correspondencia con las autoridades de protección de datos y los interesados, y conserva una copia de los registros de actividades de tratamiento de la organización, aunque su designación no reduce la responsabilidad legal del propio responsable del tratamiento.

Una evaluación de impacto sobre los derechos fundamentales es una evaluación obligatoria que determinados responsables de la implantación de sistemas de IA de alto riesgo deben llevar a cabo en virtud de la Ley de IA de la UE, con el fin de identificar los riesgos que el sistema supone para los derechos fundamentales de las personas. Dicha evaluación abarca cómo se utilizará el sistema, quiénes podrían verse afectados y qué garantías y medidas de supervisión humana se han establecido, desempeñando una función similar a la de una evaluación de impacto sobre la protección de datos, pero centrada en la Ley de IA en lugar de en el RGPD.

El principal reglamento de protección de datos de la Unión Europea, en vigor desde 2018, regula el tratamiento de los datos personales y protege los derechos de los interesados de la UE. El RGPD se aplica a las organizaciones que tratan datos personales de residentes en la UE, independientemente de la ubicación de dichas organizaciones, y establece requisitos en materia de licitud, transparencia, seguridad, derechos de las personas y rendición de cuentas.

Un modelo de IA de uso general es un modelo de IA entrenado con una amplia variedad de datos a gran escala, capaz de realizar una amplia gama de tareas y de integrarse en numerosas aplicaciones derivadas. En virtud de la Ley de IA de la UE, los proveedores de modelos de IA de uso general están sujetos a obligaciones de transparencia, y los modelos clasificados como de «riesgo sistémico» deben cumplir requisitos adicionales de evaluación, pruebas y notificación de incidentes, supervisados por la Oficina de IA. 

La legislación federal de EE. UU. protege la privacidad y la seguridad de la información sanitaria en el sector sanitario. La ley HIPAA se aplica a las entidades sujetas a su ámbito de aplicación (proveedores de asistencia sanitaria, planes de salud y centros de intercambio de información sanitaria) y a sus socios comerciales. Exige medidas de protección para la información sanitaria protegida, garantiza los derechos de las personas a acceder a su información sanitaria y a modificarla, y establece requisitos de notificación en caso de violaciones de la seguridad.

Un sistema de IA de alto riesgo es aquel que la Ley de IA de la UE clasifica como un sistema que supone un riesgo significativo para la salud, la seguridad o los derechos fundamentales, como los sistemas utilizados en la selección de personal, la evaluación de la solvencia crediticia, la aplicación de la ley o las infraestructuras críticas. Los sistemas de IA de alto riesgo deben someterse a una evaluación de conformidad y a una evaluación de impacto sobre los derechos fundamentales antes de su comercialización, además de cumplir con los requisitos en materia de gestión de riesgos, gobernanza de datos, documentación técnica y supervisión humana.

Norma internacional para sistemas de gestión de la seguridad de la información. La norma ISO/IEC 27001 especifica los requisitos para establecer, implantar, mantener y mejorar un sistema de gestión de la seguridad de la información. Las organizaciones pueden obtener la certificación demostrando que cumplen los controles de seguridad y los requisitos de gestión establecidos en la norma, lo que respalda el cumplimiento de la normativa en materia de protección de datos.

Norma internacional que ofrece directrices y recomendaciones sobre los controles de gestión de la seguridad de la información. La norma ISO/IEC 27002 proporciona orientación detallada sobre la implementación de los controles exigidos por la norma ISO/IEC 27001, incluidas medidas específicas para la protección de datos, el control de acceso, el cifrado, la gestión de incidentes y la sensibilización en materia de seguridad.

Norma internacional que amplía las normas ISO/IEC 27001 y 27002 para abordar específicamente la gestión de la privacidad. La norma ISO/IEC 27701 establece requisitos y orientaciones para la gestión de datos personales a través de sistemas de gestión de la información sobre privacidad (PIMS), lo que facilita el cumplimiento de normativas de protección de datos como el RGPD, la CCPA, la LGPD y otros marcos normativos similares. Ayuda a las organizaciones a integrar las consideraciones relativas a la privacidad en sus programas más amplios de seguridad de la información y es la primera norma internacional específica para la gestión de la información sobre privacidad.

Los responsables conjuntos del tratamiento son dos o más responsables que determinan conjuntamente los fines y los medios del tratamiento de los mismos datos personales. De conformidad con el artículo 26 del RGPD, los responsables conjuntos deben establecer sus respectivas responsabilidades en materia de cumplimiento en un acuerdo transparente, que a menudo se formaliza mediante un acuerdo de intercambio de datos, y los interesados pueden ejercer sus derechos frente a cualquiera de las partes, independientemente del acuerdo interno. 

El RGPD se basa en una serie de principios fundamentales, entre los que se incluyen la licitud, la lealtad, la transparencia, la limitación de la finalidad, la minimización de datos, la exactitud, la limitación del almacenamiento, la integridad, la confidencialidad y la rendición de cuentas.

Es necesario contar con una base jurídica antes de tratar cualquier dato personal. Los marcos normativos en materia de protección de datos suelen especificar múltiples bases jurídicas, tales como el consentimiento, la necesidad contractual, la obligación legal, la protección de intereses vitales, el cumplimiento de una función pública y los intereses legítimos. Cada caso de tratamiento de datos personales debe estar amparado por al menos una base jurídica.

Una de las diversas bases legales para el tratamiento de datos personales cuando la organización o un tercero persigue intereses comerciales legítimos que no prevalecen sobre los derechos y libertades de las personas. El tratamiento basado en intereses legítimos requiere sopesar los intereses de la organización frente a las expectativas de privacidad de las personas y debe ser necesario y proporcionado.

Una evaluación de los intereses legítimos es un análisis documentado que realizan las organizaciones antes de basarse en los intereses legítimos como fundamento jurídico para el tratamiento de datos personales. Dicha evaluación incluye un análisis de la finalidad, un análisis de la necesidad y un análisis de ponderación frente a los derechos de la persona; además, el hecho de conservar un registro de la evaluación respalda el principio de rendición de cuentas en caso de que el fundamento sea cuestionado posteriormente.

La Ley General de Protección de Datos de Brasil, en vigor desde 2020, protege los derechos de los interesados brasileños y se aplica a las organizaciones que tratan datos personales de residentes brasileños. La LGPD sigue una estructura similar a la del RGPD, ya que exige fundamentos jurídicos para el tratamiento, derechos de los interesados, medidas de seguridad y responsabilidad. Se aplica al tratamiento de datos personales de personas físicas que se encuentren en Brasil o que se lleve a cabo en Brasil.

Una persona física es un ser humano vivo, a diferencia de una persona jurídica, como una empresa u organización. La legislación en materia de protección de datos protege específicamente los datos personales de las personas físicas; por lo general, las personas fallecidas y la información puramente corporativa quedan fuera de su ámbito de aplicación.

La Directiva NIS2 es una norma de la UE (2022/2555) que refuerza los requisitos de ciberseguridad para las organizaciones de sectores críticos e importantes, sustituyendo a la Directiva NIS original. La NIS2 exige medidas de gestión de riesgos y la notificación de incidentes, y se solapa cada vez más con las obligaciones de confidencialidad y notificación de violaciones de datos del RGPD para las organizaciones sujetas a ambos regímenes; además, a menudo se evalúa junto con la certificación ISO/IEC 27001. 

El derecho de oposición permite a las personas oponerse al tratamiento de sus datos personales realizado con fines de marketing directo, intereses legítimos o en el ejercicio de una función pública. Cuando una persona se oponga al marketing directo, el tratamiento deberá cesar de inmediato y sin excepciones; en el caso de otras bases, el responsable del tratamiento deberá cesar el tratamiento a menos que pueda demostrar motivos legítimos imperiosos que prevalezcan sobre los intereses de la persona. 

El PECR es la normativa del Reino Unido que transpone la Directiva sobre privacidad electrónica y que regula el marketing electrónico, las cookies y otras tecnologías de seguimiento similares. El PECR se aplica conjuntamente con la Ley de Protección de Datos del Reino Unido de 2018 y, por lo general, exige el consentimiento previo antes de almacenar información en el dispositivo de un usuario o de enviar mensajes de marketing electrónico.

Cualquier información relativa a una persona física identificada o identificable. La definición es amplia e incluye nombres, números de identificación, datos de localización, identificadores en línea, direcciones de correo electrónico, direcciones IP y cualquier otra información que, directa o indirectamente, identifique a alguien o que, combinada con otros datos, permita identificarlo.

La ley federal canadiense de protección de datos regula la forma en que las organizaciones del sector privado recogen, utilizan y divulgan los datos personales. La PIPEDA se aplica a las empresas con ánimo de lucro que realizan actividades comerciales y establece derechos individuales, entre los que se incluyen el acceso a los datos, la exactitud de los mismos, el consentimiento y los mecanismos de reclamación. Las provincias canadienses han promulgado leyes de protección de datos similares con garantías sustancialmente equivalentes.

El derecho a la portabilidad de los datos permite a los interesados recibir los datos personales que hayan facilitado a un responsable del tratamiento en un formato estructurado y legible por máquina, y que dichos datos se transmitan directamente a otro responsable del tratamiento cuando sea posible. Se aplica únicamente cuando el tratamiento se basa en el consentimiento o en un contrato y se lleva a cabo por medios automatizados, a diferencia del derecho de acceso, que se aplica independientemente de la base jurídica.

Principio que exige que las organizaciones integren las consideraciones relativas a la protección de datos en la tecnología, los sistemas y los procesos empresariales desde las primeras fases de desarrollo. La «privacidad desde el diseño» incorpora medidas de protección de la privacidad en los cimientos de los proyectos, en lugar de adaptar el cumplimiento normativo a posteriori, una vez realizada la implementación.

Una organización o persona física que trata datos personales por cuenta de un responsable del tratamiento. Los encargados del tratamiento deben seguir las instrucciones del responsable y aplicar las medidas de seguridad adecuadas. Los encargados del tratamiento actúan en virtud de contratos escritos en los que se especifican el alcance del tratamiento y las obligaciones en materia de seguridad.

La elaboración de perfiles es el tratamiento automatizado de datos personales que se utiliza para evaluar aspectos personales de un individuo, como la predicción de su comportamiento, sus preferencias, su salud o su situación económica. La elaboración de perfiles está regulada de forma más estricta cuando forma parte de un proceso de toma de decisiones automatizado que produce efectos jurídicos o de importancia similar.

Una práctica prohibida en materia de IA es aquel uso de la IA que la Ley de IA de la UE prohíbe de forma categórica porque se considera que el riesgo para las personas es inaceptable, como la puntuación social por parte de las autoridades públicas y el uso de la IA para manipular el comportamiento con el fin de causar daño. Las prácticas prohibidas entraron en vigor el 2 de febrero de 2025, mucho antes de los plazos de cumplimiento más amplios establecidos para los sistemas de IA de alto riesgo.

El tratamiento de datos personales de tal forma que se impida su identificación directa sin recurrir a información adicional conservada por separado y protegida. A diferencia de la anonimización, la seudonimización es reversible; si se dispone de información que permita establecer la relación, es posible volver a identificar a las personas. Los datos seudonimizados siguen siendo datos personales, pero presentan menores riesgos para la privacidad.

Se entiende por «destinatario» cualquier persona física o jurídica, autoridad pública u otro organismo al que se comuniquen datos personales, independientemente de que se trate o no de un tercero. La definición de «destinatario» según el RGPD es amplia e incluye a otros responsables y encargados del tratamiento, lo que la distingue del concepto más restringido de «tercero».

Documentación elaborada por los responsables y encargados del tratamiento en la que se detallan todas las actividades de tratamiento de datos personales. El ROPA debe incluir información sobre las finalidades del tratamiento, las categorías de datos personales tratados, los destinatarios de los datos, los plazos de conservación y las medidas de seguridad técnicas y organizativas. El ROPA sirve como prueba de la rendición de cuentas y del cumplimiento de las obligaciones en materia de protección de datos.

El derecho a la limitación del tratamiento permite a los interesados restringir el uso de sus datos personales en situaciones concretas, como cuando se cuestiona su exactitud o mientras se examina una oposición. Cuando se limita el tratamiento, los datos pueden seguir almacenándose, pero no pueden ser tratados de ningún otro modo sin consentimiento, salvo para la defensa de reclamaciones legales.

El derecho de las personas a solicitar y recibir una copia de sus datos personales que obran en poder de una organización, junto con información sobre cómo se tratan dichos datos. Las organizaciones deben responder a las solicitudes de acceso dentro de los plazos establecidos, facilitándose los datos, por lo general, en un formato electrónico de uso común.

El derecho de las personas a solicitar la rectificación de datos personales inexactos. Las organizaciones deben rectificar la información inexacta sin demora injustificada y, cuando sea posible, informar de dicha rectificación a los terceros que hayan recibido los datos inexactos.

La información personal sensible,una categoría más amplia que lade los «datos de categoría especial»,incluye datos que requieren una protección reforzada en virtud de los marcos normativos de protección de datos. Entre los ejemplos se incluyen la información sanitaria, los datos financieros, los datos biométricos, los datos de comportamiento, la información genética y los números de la Seguridad Social. El tratamiento de la información personal sensible suele requerir un consentimiento explícito u otras justificaciones legales específicas.

Los datos de categorías especiales son datos personales que revelan el origen racial o étnico, las opiniones políticas, las creencias religiosas, la afiliación sindical, los datos biométricos utilizados para la identificación, los datos sobre la salud o los datos relativos a la vida sexual o la orientación sexual. El tratamiento de datos de categorías especiales está prohibido por defecto y requiere tanto una base jurídica estándar como una condición específica del artículo 9, como el consentimiento explícito; se trata de una categoría más restringida que la de la «información personal sensible». 

Cláusulas contractuales preaprobadas que autorizan la transferencia de datos personales de una jurisdicción a otra en la que las leyes de protección de datos puedan diferir. Las cláusulas contractuales tipo proporcionan una base jurídica para las transferencias internacionales cuando no existe una decisión de adecuación, aunque las organizaciones deben realizar evaluaciones de impacto para identificar y mitigar los riesgos específicos de cada país.

Un subencargado del tratamiento es un tercero contratado por un encargado del tratamiento para llevar a cabo actividades de tratamiento en nombre del responsable del tratamiento. En virtud del artículo 28 del RGPD, el encargado del tratamiento debe obtener la autorización previa por escrito del responsable del tratamiento antes de contratar a un subencargado del tratamiento, y sigue siendo plenamente responsable ante el responsable del tratamiento del cumplimiento por parte del subencargado de sus obligaciones en materia de protección de datos. 

Solicitud formal presentada por una persona para obtener una copia de sus datos personales e información sobre cómo los trata la organización. Las organizaciones deben responder en los plazos establecidos, facilitando todos los datos personales que obren en su poder sobre dicha persona, junto con los detalles del tratamiento.

Un representante suizo es un punto de contacto local en Suiza designado por un responsable del tratamiento que no cuenta con un establecimiento en Suiza y que trata los datos personales de personas que se encuentran en Suiza. Esta figura, exigida en virtud del artículo 14 de la FADP suiza, es funcionalmente equivalente a los requisitos del representante de la UE y del representante del Reino Unido, aunque se rige por la legislación suiza y no por la de la UE.

Cualquier país que no esté sujeto a la jurisdicción cubierta por un marco de protección de datos (por ejemplo, fuera de la UE/EEE con arreglo al RGPD). Las transferencias a terceros países requieren mecanismos jurídicos, como decisiones de adecuación, cláusulas contractuales tipo o normas corporativas vinculantes, para garantizar una protección de datos adecuada.

Cualquier persona física u organización distinta del interesado, del responsable del tratamiento, del encargado del tratamiento o de los empleados autorizados para tratar datos bajo la autoridad del responsable. Los terceros pueden ser destinatarios externos de los datos o responsables independientes que tomen sus propias decisiones en materia de tratamiento.

Este principio exige que las organizaciones faciliten a las personas información clara y accesible sobre cómo se recogen, utilizan y protegen sus datos personales. La transparencia suele incluir avisos de privacidad y otras comunicaciones, que ayudan a las personas a comprender las prácticas de tratamiento de datos.

Legislación británica que transpone y complementa los requisitos del RGPD en el Reino Unido. La Ley de Protección de Datos de 2018 define las normas específicas del Reino Unido en materia de tratamiento de datos, establece las funciones de la Oficina del Comisionado de Información (ICO) y amplía la protección de datos a ámbitos no contemplados en el RGPD, como el tratamiento de datos por parte de las fuerzas del orden y la seguridad nacional. Se aplica a las organizaciones que tratan datos personales de residentes en el Reino Unido.

Un representante en el Reino Unido es una persona de contacto local en el Reino Unido designada por un responsable o un encargado del tratamiento que no cuente con un establecimiento en el Reino Unido y que trate los datos personales de personas residentes en el Reino Unido. Este requisito, establecido en el equivalente al artículo 27 del RGPD del Reino Unido, entró en vigor el 1 de enero de 2021, cuando el Reino Unido pasó a ser un tercer país desde la perspectiva de la UE, lo que significa que la mayoría de las empresas no pertenecientes a la UE necesitan ahora representantes distintos para la UE y para el Reino Unido, en lugar de un único nombramiento combinado.

Sistemas que capturan y almacenan imágenes o grabaciones de vídeo que contienen datos personales. La videovigilancia debe ser lícita, necesaria y proporcionada, y debe incluir señalización clara que informe a las personas de que están siendo vigiladas. El acceso debe estar restringido al personal autorizado, y la conservación de los datos debe limitarse a lo estrictamente necesario.