Una definición más práctica de “dato personal”

Flexibilidad específica para datos sensibles

La propuesta ofrece una aclaración esperada desde hace tiempo sobre cuándo una información debe tratarse como dato personal. Bajo el nuevo enfoque:

• Los datos no se consideran personales para una organización si esta no puede identificar a una persona y no es razonablemente probable que llegue a tener los medios para hacerlo.
• La información no se convierte en dato personal solo porque un receptor futuro pudiera identificar a la persona.

Por qué esto importa para las organizaciones

• Algunas obligaciones del RGPD dejarían de aplicarse cuando la identificación sea realmente imposible.
• Las organizaciones deberán documentar y revisar periódicamente su evaluación de no identificabilidad.

Nuevas excepciones para el tratamiento de datos especialmente sensibles

a) Verificación de identidad

Los datos biométricos podrán tratarse únicamente para verificar la identidad cuando el método permanezca bajo control total de la persona (por ejemplo, autenticación basada en el dispositivo).
Esto facilita un acceso digital seguro sin activar todo el régimen de datos sensibles.

b) Desarrollo y funcionamiento de IA

Podrá permitirse el tratamiento residual y no intencional de datos sensibles durante el desarrollo o uso de sistemas de IA, siempre que las organizaciones:

• Tomen medidas proactivas para evitar recopilar dichos datos.
• Los eliminen inmediatamente en cuanto se detecten.

Requisitos de información del artículo 13: Simplificación

La propuesta permite exenciones limitadas de las obligaciones de información en escenarios simples y de bajo riesgo, cuando sea razonable que las personas comprendan quién recoge sus datos y con qué propósito.

La exención no podrá usarse cuando: 

• Los datos se compartan externamente (especialmente fuera de la UE). 
• Exista toma de decisiones automatizada. 
• El tratamiento pueda implicar alto riesgo. 

También existe una exención separada para la investigación científica cuando contactar con los individuos sea imposible o desproporcionado.

Decisiones automatizadas: aclaración del artículo 22 RGPD

La propuesta confirma que una decisión automatizada puede considerarse “necesaria para un contrato”, aunque una persona pudiera teóricamente tomar la decisión.
Esto beneficia especialmente:

• Procesos de onboarding digital
• Análisis automático de riesgos
• Mayor eficiencia operativa en flujos digitales

Las garantías del RGPD para los individuos se mantienen plenamente.

Violaciones de datos personales: más tiempo y mayor coherencia 

Destacan dos mejoras operativas: 

• El plazo de notificación para las violaciones de alto riesgo se amplía de 72 a 96 horas. 
• Una plantilla de notificación estándar para toda la UE y un futuro punto de entrada único en la UE promoverán la armonización.

Para las organizaciones multinacionales, esto podría aliviar significativamente la carga que supone la presentación de informes.

Armonización a nivel de la UE de las listas de EIPD

La propuesta sustituiría las listas nacionales de evaluación del impacto de la protección de datos por listas únicas armonizadas a nivel de la UE que especifican cuándo es necesaria una EIPD y cuándo no.

Este cambio tiene por objeto:

• Mejorar la previsibilidad,
• Reducir las interpretaciones nacionales divergentes y
• Simplificar el cumplimiento para las organizaciones que operan a través de las fronteras.

Intereses legítimos para el desarrollo de la IA

Con el fin de apoyar la innovación, la propuesta aclara cómo los intereses legítimos (artículo 6, apartado 1, letra f), del RGPD) pueden utilizarse como base para el tratamiento de datos personales en el desarrollo y el funcionamiento de la IA. 

Los responsables del tratamiento deben garantizar que:

• El tratamiento sea necesario para el desarrollo o el funcionamiento de la IA.
• Se realice una rigurosa prueba de equilibrio.
• Se apliquen garantías reforzadas, entre las que se incluyen:
  • Una estricta minimización de los datos.
  • Medidas claras de transparencia.
  • Un derecho incondicional de oposición.

Esto proporciona una vía jurídica más clara para las organizaciones que desean crear o implementar sistemas de IA de forma responsable.