El Reglamento General de Protección de Datos (GDPR) es la ley de privacidad fundamental de la UE, en vigor desde 2018, que regula cómo se recopilan, usan, almacenan y comparten los datos personales de los residentes de la UE/EEE. Para los equipos legales, el GDPR tiene dos vertientes: (a) el procesamiento de datos propios del equipo (datos de empleados, contactos de proveedores, registros de clientes), y (b) el trabajo de asesoramiento a clientes sobre cumplimiento del GDPR. El GDPR del RU es sustancialmente idéntico post-Brexit; los regímenes equivalentes (LGPD brasileña, CCPA/CPRA de California, PIPEDA de Canadá) siguen el mismo patrón estructural.
Datos personales y las seis bases legales
El GDPR define los datos personales de forma amplia —cualquier cosa que identifique o pudiera identificar a una persona viva—. Nombres, correos electrónicos, direcciones IP, identificadores de empleados, fotos, grabaciones de voz.
El procesamiento requiere una de las seis bases legales:
| Base | Uso típico |
|---|---|
| Consentimiento | Marketing, características opcionales |
| Ejecución de contrato | Datos del cliente necesarios para prestar el servicio |
| Obligación legal | Registros fiscales, informes regulatorios |
| Intereses vitales | Emergencia de vida o muerte (infrecuente) |
| Tarea pública | Procesamiento gubernamental |
| Intereses legítimos | Ventas B2B, seguridad, prevención del fraude — ponderados contra los derechos del interesado |
La mayoría del procesamiento de datos de equipos legales B2B se basa en intereses legítimos (gestión de proveedores, registros de empleados) o en la ejecución de contratos (servicios a clientes). El consentimiento se utiliza en exceso y con frecuencia es inválido porque debe ser específico, informado, libremente otorgado y revocable.
Los ocho derechos de los interesados
El GDPR crea derechos que las personas pueden ejercer:
- Acceso — derecho a obtener una copia de los datos personales que se están procesando
- Rectificación — derecho a corregir datos inexactos
- Supresión (“derecho al olvido”) — derecho a la eliminación en determinadas circunstancias
- Limitación — derecho a limitar el procesamiento durante la resolución de una disputa
- Portabilidad — derecho a recibir los datos en formato legible por máquina
- Oposición — derecho a oponerse al procesamiento basado en intereses legítimos
- Decisiones automatizadas — derecho a no ser objeto de decisiones basadas únicamente en procesamiento automatizado
- Retirar el consentimiento — cuando el consentimiento fue la base
Los equipos legales necesitan un workflow documentado para cada tipo de solicitud, con un plazo de respuesta predeterminado de 30 días (ampliable en circunstancias estrechas).
Transferencias internacionales de datos
Los datos personales pueden salir del EEE únicamente con las salvaguardas adecuadas. Los mecanismos disponibles en 2026:
- Decisiones de adecuación — determinaciones de la UE país por país de que el país cuenta con protección adecuada. Actualmente incluye RU, Suiza, Israel, Japón, Canadá (comercial), Corea del Sur, EE. UU. (bajo el Marco de Privacidad de Datos con limitaciones).
- Cláusulas Contractuales Tipo (CCTs) — condiciones contractuales aprobadas por la UE que imponen obligaciones equivalentes al GDPR al importador de datos. Actualizadas en 2021; las versiones de 2010 son inválidas.
- Normas Corporativas Vinculantes (BCRs) — para transferencias intragrupo dentro de organizaciones multinacionales; requieren aprobación del regulador.
- Excepciones específicas — excepciones limitadas (consentimiento explícito para la transferencia específica, ejecución de contrato, interés público importante).
Tras Schrems II (2020), el uso de cualquier mecanismo requiere una Evaluación del Impacto de la Transferencia (TIA) que considere las leyes de vigilancia del país de destino y el régimen de acceso a datos.
Qué gestionan directamente los equipos legales
Tres workflows que recaen en Legal Ops:
- Gestión de proveedores y procesadores. DPA con cada proveedor que procesa datos personales; flujo hacia abajo de subprocesadores; documentación del mecanismo de transferencia internacional.
- Respuesta a solicitudes de los interesados. Recibir DSARs, validar la identidad, recopilar datos en todos los sistemas, revisar las excepciones (privilegio legal, datos de terceros), responder dentro del plazo.
- Notificación de brechas. Cuando el equipo o sus proveedores sufren una brecha, notificación regulatoria en un plazo de 72 horas (donde sea requerido) y notificación individual cuando el riesgo es alto para las personas.
Errores frecuentes
- Tratar el GDPR como un proyecto puntual. El trabajo inicial de cumplimiento es finito; las operaciones continuas (DSARs, incorporación de proveedores, gestión de brechas) son continuas.
- Selección incorrecta de la base legal. Muchas empresas citan el “consentimiento” cuando la base real es los “intereses legítimos”. Una base incorrecta hace que todo el procesamiento sea ilícito.
- Ignorar las actualizaciones de los mecanismos de transferencia. Las CCTs se actualizaron en 2021; muchos DPAs existentes todavía hacen referencia a las versiones de 2010. Se requiere re-documentación.
- Sin proceso de respuesta a DSARs. Cuando llega la primera DSAR, los equipos sin proceso entran en pánico. Construye el playbook antes de la solicitud.
- Análisis de excepción de privilegio legal omitido. Las comunicaciones privilegiadas entre abogado y cliente pueden estar exentas de la divulgación en DSARs; sin análisis, los equipos divulgan de más o de menos.
- Confundir GDPR con el Reglamento de IA de la UE. Son regímenes distintos con obligaciones distintas, ambos aplicables cuando la AI procesa datos personales.
Relacionado
- Checklist de DPA — condiciones contractuales de proveedores requeridas por el GDPR
- Reglamento de IA de la UE para equipos legales — régimen regulatorio adyacente que se intersecta
- Workflow de diligencia debida de proveedores — proceso donde se verifica el cumplimiento del GDPR de los proveedores
- ¿Qué es Legal Ops? — la función que gestiona las operaciones del GDPR junto con privacidad/DPO