Ámbito de aplicación del RGPD: protección de datos personales, no ciberseguridad

El RGPD trata, ante todo, de proteger los datos personales y los derechos que tienen las personas —los interesados— sobre esos datos. Regula cómo las organizaciones recogen, almacenan, tratan y comparten datos personales y reconoce a las personas derechos como los de acceso, rectificación y supresión. Un contraste concreto: el RGPD no es una norma general de ciberseguridad —no obliga a utilizar cortafuegos ni programas antivirus—, aunque sí exige medidas de seguridad adecuadas para proteger los datos personales. Tampoco es una norma sobre contenidos de las plataformas como el Reglamento de Servicios Digitales (DSA), que se centra en los contenidos ilícitos y la rendición de cuentas de las plataformas. Por tanto, si un supuesto de examen menciona la piratería informática o la moderación de contenidos, compruebe si la cuestión esencial se refiere al uso indebido de datos personales o a otra cosa.

Para evitar las trampas, recuerde tres técnicas de eliminación. En primer lugar, si la pregunta trata sobre la protección de los secretos comerciales o la propiedad intelectual de una empresa, el RGPD no es aplicable: se trata de un ámbito diferente. En segundo lugar, si el supuesto implica una violación de la seguridad de los datos, el RGPD solo entra en juego cuando se han visto comprometidos datos personales —por ejemplo, nombres, correos electrónicos o información sanitaria—; una violación que afecte a datos anonimizados o no personales queda fuera de su ámbito de aplicación. En tercer lugar, el RGPD se aplica a toda organización que trate datos personales de residentes de la UE, con independencia del lugar en el que esté establecida; por tanto, una empresa estadounidense que se dirija a usuarios de la UE está sujeta a él. Cuando vea una pregunta que incluya «datos personales» y «derechos de las personas», esa será la pista para pensar en el RGPD; si ve «ciberseguridad» o «contenidos de plataformas», busque otra norma.

Una forma rápida de comprobar sus conocimientos consiste en preguntarse: «¿La principal preocupación en este caso se refiere a la información personal de alguien y al control que ejerce sobre ella?». En caso afirmativo, piense en el RGPD. Si la preocupación se refiere a la seguridad de los sistemas o a contenidos perjudiciales, piense en otras normas. Una ayuda para recordarlo: RGPD = «Reconoce y Garantiza la Protección de los Datos»; céntrese en los aspectos «personales» y en los «derechos», no en los detalles técnicos de seguridad.