Cuatro puntos donde aparecen datos personales
Es frecuente pensar en la protección de datos como un asunto que afecta a la base de clientes. En una operación de vídeo corto aparecen tratamientos en al menos cuatro lugares distintos, y solo uno de ellos es evidente.
| Punto | Qué se trata | Cuestión crítica |
|---|---|---|
| Seguimiento con fines publicitarios | Comportamiento de usuarios | Base jurídica e información |
| Audiencias con datos propios | Datos de clientes | Finalidad original de la recogida |
| Cartera de creadores | Datos de prestadores | Plazo de conservación |
| Imagen en las piezas | Personas identificables | Autorización documentada y revocable |
Fuente: Elaboración de la redacción, con base en el Reglamento (UE) 2016/679 y en la normativa española aplicable.
Nota: mapa divulgativo de tratamientos. No sustituye al análisis jurídico de la operativa concreta de cada empresa.
El cuarto punto se olvida con más frecuencia que los demas. La imagen de una persona identificable es un dato personal y su tratamiento con fines publicitarios exige base jurídica, además de la autorización específica que exige el derecho a la propia imagen.
El marco aplicable
El Reglamento (UE) 2016/679 establece el régimen general, desarrollado en España por la normativa nacional en la materia. A ello se añade el régimen específico sobre almacenamiento y acceso a información en el equipo del usuario, contemplado en la Ley 34/2002.
La Agencia Española de Protección de Datos publica orientaciones y guías sobre la aplicación de ese marco, que constituyen la referencia habitual para las empresas españolas.
Esta publicación no ofrece asesoramiento jurídico. Lo que puede aportar es un mapa de dónde aparecen las obligaciones, para que la conversación con quien asesora sea más eficiente.
El reparto de responsabilidad con la plataforma
Una idea extendida y equivocada sostiene que usar las herramientas de una plataforma traslada a esa plataforma la responsabilidad sobre los datos.
La responsabilidad se determina por quién decide los fines y los medios del tratamiento. Cuando una empresa decide instalar un sistema de seguimiento, definir qué eventos registra y con qué finalidad, esas decisiones son suyas.
De ahí se derivan dos consecuencias prácticas: la empresa necesita informar de ese tratamiento a las personas afectadas y necesita analizar y documentar la relación contractual con el proveedor de la herramienta.
Audiencias construidas con datos propios
Subir una lista de clientes a una plataforma para construir audiencias es un tratamiento con implicaciones específicas. Exige base jurídica adecuada, información a las personas afectadas y atención a la finalidad para la que se recogieron esos datos originalmente.
El error frecuente consiste en asumir que un dato recogido para gestionar un pedido puede utilizarse sin más para publicidad en una plataforma de terceros. Es una cuestión que conviene resolver con asesoramiento antes de la primera carga.
La cartera de creadores
Gestionar una cartera de creadores implica tratar sus datos personales: contacto, condiciones económicas, historial de colaboraciones y, con frecuencia, valoraciones internas.
Las obligaciones son las ordinarias: informar, disponer de base jurídica, limitar la conservación y garantizar el ejercicio de derechos. La cuestión que más se descuida es la conservación: es habitual mantener indefinidamente hojas de cálculo con datos de personas con las que se dejó de trabajar hace años.
Imagen de personas en las piezas
Cuando en una pieza aparece una persona identificable, concurren dos planos: el derecho a la propia imagen, que exige autorización y cuyo consentimiento es revocable, y la protección de datos personales.
La consecuencia práctica es que la autorización de imagen debe documentarse siempre, también cuando la persona es un empleado y muy especialmente cuando aparecen terceros ajenos a la relación contractual. El detalle contractual se trata en contrato con creadores.
Mínimos que conviene tener resueltos
| Punto | Qué hay que poder mostrar |
|---|---|
| Información a las personas afectadas | Textos informativos accesibles y actualizados |
| Base jurídica de cada tratamiento | Análisis documentado por finalidad |
| Consentimiento cuando proceda | Sistema que lo recoge y lo respeta |
| Relación con proveedores | Documentación contractual revisada |
| Plazos de conservación | Criterio escrito y aplicado |
| Ejercicio de derechos | Procedimiento y responsable designado |
| Autorizaciones de imagen | Documento firmado por cada persona que aparece |
Fuente: Elaboración de la redacción.
Nota: lista de comprobación editorial. Su contenido concreto debe validarse con asesoramiento propio.
Ninguno de estos puntos es exclusivo del vídeo corto. Lo que sí es propio de este canal es la velocidad: la producción rápida y la publicación frecuente hacen que los descuidos se acumulen antes de que nadie los revise.
Preguntas que conviene hacer a un proveedor
Cuando una agencia o una herramienta interviene en el tratamiento, hay cinco preguntas que conviene plantear por escrito antes de contratar y guardar con la respuesta.
- ¿Qué datos personales trata y con qué finalidad? La respuesta debe ser concreta, no una remisión a las condiciones generales.
- ¿Actúa como encargado o decide por su cuenta? La distinción determina quién responde de qué.
- ¿Dónde se alojan los datos y quién puede acceder a ellos? Incluye subcontratistas.
- ¿Qué ocurre al terminar el contrato? Devolución o supresión, con plazo comprometido.
- ¿Cómo se comunica una brecha de seguridad? Con canal y plazo definidos.
Ninguna de las cinco es agresiva. Un proveedor solvente las tiene respondidas por escrito y su documentación disponible, y quien no las responde suele no haberlas trabajado.
Un orden interno que evita sorpresas
La causa más frecuente de problemas no es el desconocimiento sino la dispersión: nadie tiene una vista completa de qué datos se están tratando en la operación de marketing.
Un registro sencillo con cuatro columnas, tratamiento, finalidad, base jurídica y responsable interno, resuelve la mayor parte de esa dispersión y facilita mucho la conversación con quien asesora. Actualizarlo una vez al año basta si no cambian las herramientas.
Lo que conviene llevarse
Los datos personales aparecen en cuatro puntos de una operación de vídeo corto, y solo uno de ellos resulta evidente. La imagen de las personas que aparecen en las piezas es el que más se descuida.
Y usar herramientas de terceros no traslada la responsabilidad de la empresa sobre las decisiones que ella toma respecto a los fines y los medios del tratamiento.