¡Descubre GoogleTest, con certificación TÜV y la tecnología Agentic AI para pruebas de C/C++!
Obtenga los detalles »
Saltar a la sección
Blog de Parasoft
Las organizaciones deben cumplir con los requisitos del RGPD para proteger los datos de los usuarios, prevenir el uso indebido, obtener su consentimiento informado y, de lo contrario, se enfrentarán a severas sanciones económicas. Consulta esta publicación para obtener información clave.
Saltar a la sección
Desde que el Reglamento General de Protección de Datos (RGPD) de la UE entró en vigor el 25 de mayo de 2018, se han impuesto sanciones reales y severas. Entonces, ¿qué es el RGPD, a quién se aplica y qué sucede cuando se infringe su normativa?
Puede leer las regulaciones oficiales e intentar comprender lo que significan, pero es difícil. Está lleno de pequeñas gemas como esta:
«Un grupo de empresas debe abarcar una empresa controladora y sus empresas controladas, de modo que la empresa controladora sea aquella que pueda ejercer una influencia dominante sobre las demás.» —Considerando 37 del RGPD
… ¡No puedes inventar estas cosas!
Entonces, pensé que sería útil desglosarlo, al menos desde una perspectiva de software, y ver cuáles son las cuestiones clave que debes comprender. Si ve que le va a afectar, definitivamente querrá profundizar más. El RGPD terminará afectando a muchas partes de su organización y usted querrá hacerlo bien.
El RGPD requiere que las organizaciones se aseguren de que los datos de los usuarios estén bien protegidos, que no se utilicen de forma indebida, que los usuarios reciban su consentimiento informado y que el incumplimiento se imponga mediante grandes sanciones económicas. Para obtener más información, sigue leyendo.
El RGPD se centra en la protección de los datos de las personas en la UE. Esto implica proteger el acceso a los datos, no almacenar datos innecesarios, cifrar los datos personales y anonimizarlos siempre que sea posible.
En otras palabras, se trata de todas las medidas que se pueden tomar para limitar la posibilidad de una filtración de datos y el impacto que esta conlleva. Además, la privacidad incluye el uso no autorizado de datos, como el seguimiento de usuarios sin su consentimiento y cualquier otro uso de datos sin consentimiento explícito.
El RGPD "fue diseñado para armonizar las leyes de privacidad de datos en toda Europa, para proteger y empoderar a las personas en la UE con respecto a la privacidad de sus datos y para reformar la forma en que las organizaciones de toda la región abordan la privacidad de los datos."
El RGPD reconoce el "derecho al olvido" general de la UE, lo que significa que si alguien desea que sus datos se eliminen de su sistema, dispone de un mes para actuar. Este plazo puede prorrogarse dos meses más para solicitudes complejas, siempre que se notifique al solicitante dentro del primer mes.
Además, existen estrictos requisitos de notificación. No se puede tener una brecha de seguridad y ocultarla, como ha sucedido varias veces recientemente en Estados Unidos.
Multas. Las multas son inevitables. El importe de la multa puede basarse en los ingresos de la organización matriz, por lo que podría ser mayor de lo que imagina. Las multas varían según las disposiciones infringidas, con dos niveles que alcanzan un máximo de 10 millones de euros o el 2 % de la facturación anual global, y 20 millones de euros o el 4 %, lo que sea mayor (más información a continuación). Asegúrese de poder demostrar el cumplimiento.
«Para demostrar el cumplimiento del presente Reglamento, el responsable o el encargado del tratamiento deberá mantener registros de las actividades de tratamiento bajo su responsabilidad.» —Considerando 82 del RGPD (el requisito vinculante es el artículo 30)
La Ley de Privacidad del Consumidor de California (CCPA) tiene objetivos similares al RGPD, pero difiere principalmente en su alcance, ya que la CCPA es específica de California y el RGPD de la UE. California ya no es el único estado de EE. UU. con este tipo de ley. A partir de 2026, veinte estados cuentan con leyes integrales de privacidad del consumidor en vigor, y aún no existe una ley federal integral de privacidad. En resumen, las principales diferencias entre la CCPA y el RGPD son:
California también ha añadido obligaciones desde que se escribió este artículo por primera vez. Las regulaciones que entraron en vigor en enero de 2026 exigen que las empresas que utilizan tecnología de toma de decisiones automatizada para decisiones importantes, como préstamos, vivienda, educación, empleo y atención médica, proporcionen a los consumidores un aviso previo al uso, la opción de exclusión voluntaria y acceso, y el cumplimiento debe ser obligatorio para enero de 2027.
Las mismas regulaciones exigen evaluaciones de riesgos para el procesamiento de alto riesgo, con las primeras presentaciones al estado previstas para abril de 2028, y auditorías anuales independientes de ciberseguridad, que se implementarán gradualmente según los ingresos a partir de abril de 2028.
El Departamento de Justicia del Estado de California publica ejemplos de casos de aplicación de la CCPA, y tanto el Fiscal General como la Agencia de Protección de la Privacidad de California anuncian ahora las acciones de cumplimiento por nombre de la empresa. Las sanciones son cada vez mayores, y muchas de las infracciones son responsabilidad de los equipos de ingeniería. Algunos ejemplos recientes incluyen:
Actualmente, la CCPA establece sanciones de hasta 2,663 dólares por cada infracción y de 7,988 dólares por cada infracción intencional o que involucre información personal de un consumidor menor de 16 años. Sin embargo, la amenaza de demandas por parte de los consumidores representa un riesgo mayor.
La aplicación del RGPD suele tener un alcance mucho mayor que la CCPA, y los ejemplos muestran la gran diferencia en la escala y el alcance de ambas normativas:
El incumplimiento del RGPD puede acarrear sanciones graves y severas, y el marco normativo consta de dos niveles.
El artículo 83(4) establece un límite máximo de 10 millones de euros o el 2 % de la facturación anual mundial, lo que sea mayor, y abarca las obligaciones del responsable y del encargado del tratamiento, incluida la protección de datos desde el diseño, los registros de tratamiento y la notificación de violaciones de seguridad.
El artículo 83(5) establece un límite máximo de 20 millones de euros o el 4% y abarca los principios fundamentales, las bases legales para el tratamiento, el consentimiento, los derechos de los interesados y las transferencias internacionales.
Por supuesto, las empresas en la UE deben seguir el RGPD, pero resulta que incluso si estás ubicado en otro lugar, si tienes clientes en la UE, también estás sujeto al RGPD.
Si no está almacenando ninguna información personal, será fácil, pero cualquier persona que tenga datos personales de la UE debe seguir las pautas. Lo mismo es cierto si tiene empleados en la UE.
A veces se vuelve un poco complicado si comparte datos de usuario o obtiene datos de usuario de otra parte. Si alguien ejerce el derecho al olvido, debe buscar todos esos recursos compartidos y borrar los datos en todas partes. Por lo tanto, incluso si obtiene datos de otra persona que está entregando datos personales de la UE, puede estar sujeto a las pautas.
Con el objetivo de mejorar el control y los derechos de las personas sobre sus datos personales, el reglamento se aplica a cualquiera de los siguientes países con sede en la UE y el EEE (Espacio Económico Europeo, que incluye Islandia, Liechtenstein y Noruega):
Un aspecto clave del RGPD es que se aplica a las organizaciones con sede fuera de la UE si recopilan o procesan datos personales de cualquier persona en la UE/EEE, independientemente de si es ciudadana o no.
Como hemos visto, las sanciones son elevadas y suelen aplicarse a empresas tecnológicas fuera de la UE. Lamentablemente, el alcance del RGPD es amplio y los expertos en privacidad lo consideran poco específico. Su cumplimiento resulta especialmente complejo para las pequeñas y medianas empresas.
Las definiciones clave del RGPD se relacionan con el individuo y las organizaciones que recopilan, procesan, almacenan y transfieren sus datos personales.
El RGPD está diseñado para proteger los datos de las personas en la UE y el EEE. Se aplica a cualquier organización que gestione dichos datos, independientemente de si tiene su sede en la UE o no. Esto se conoce como «efecto extraterritorial».
Según el considerando 3 del RGPD:
El RGPD se aplica a organizaciones fuera de la UE que ofrecen bienes o servicios a personas en la UE o monitorean su comportamiento en línea. Los reguladores buscan pistas para determinar si la organización se propuso ofrecer bienes y servicios a personas en la UE.
Por ejemplo, si una organización utiliza herramientas web para rastrear cookies o direcciones IP de personas que visitan su sitio web desde países de la UE, entonces cae dentro del alcance del RGPD.
Existen excepciones limitadas, sobre todo para la "actividad puramente personal o doméstica". Un punto que conviene aclarar, ya que suele malinterpretarse: las organizaciones con menos de 250 empleados gozan de una exención limitada de los requisitos de registro según el artículo 30(5), e incluso esta se pierde si el tratamiento de datos pone en riesgo los derechos de las personas, no es ocasional, implica datos de categorías especiales o datos de condenas penales. Para la mayoría de las empresas de software, se cumple al menos una de estas condiciones. No se trata de una exención general. Las pequeñas empresas están cubiertas.
El RGPD establece que los usuarios deben dar su consentimiento para que se recopilen sus datos y que este consentimiento se basa en un acto afirmativo claro. Claro y afirmativo significa que el usuario debe realizar una acción para aceptar, en lugar del método habitual de "estás dentro si no te retiras".
«Para que el consentimiento sea informado, el interesado debe conocer, como mínimo, la identidad del responsable del tratamiento y las finalidades del tratamiento al que se destinan sus datos personales.» —Considerando 42 del RGPD
En la web, un buen ejemplo es un formulario de registro que tiene un aviso de que se van a recopilar datos, qué datos son, cómo se usarán, cómo optar por no participar (o ser olvidado) más tarde, y luego el usuario debe hacer algo para aceptar, como hacer clic en una casilla de verificación. Los días de casillas previamente marcadas ya no se aplican; el GDPR prohíbe específicamente estos métodos habituales en la actualidad:
«Por lo tanto, el silencio, las casillas premarcadas o la inactividad no deben considerarse consentimiento.» —Considerando 32 del RGPD
El uso de los datos debe tener alguna finalidad relacionada con el motivo de la recopilación de los datos y debe ser explicado al usuario:
«Debe ser transparente para las personas físicas que se recopilen, utilicen, consulten o traten de cualquier otro modo datos personales que les conciernen, y en qué medida se tratan o se tratarán dichos datos personales.» —Considerando 39 del RGPD
En la UE, las personas tienen un control sustancial sobre sus datos personales, incluyendo el acceso, la transferencia, la rectificación y el derecho al olvido, entre otros:
«mecanismos para solicitar y, en su caso, obtener gratuitamente, en particular, el acceso a los datos personales, su rectificación o supresión, y el ejercicio del derecho de oposición.» —Considerando 59 del RGPD
El derecho a acceder a los propios datos se basa en el considerando 63 del RGPD (el derecho vinculante es el artículo 15):
"El interesado debe tener derecho a acceder a los datos personales".
Si bien el derecho a que se realicen correcciones a los datos se encuentra en el considerando 65 del RGPD (el derecho vinculante es el artículo 16):
"El interesado tendrá derecho a que se rectifiquen los datos personales que le conciernen."
Piense en esto la próxima vez que se enfrente a una agencia de informes crediticios y deseará que se aplique a sus propios datos.
El RGPD garantiza además que no haya bloqueos de proveedores en los datos del usuario. También se enumera el derecho a transferir datos:
«El interesado también debe tener derecho a recibir los datos personales que le conciernen y que haya facilitado a un responsable del tratamiento en un formato estructurado, de uso común, legible por máquina e interoperable, y a transmitirlos a otro responsable del tratamiento.» —Considerando 68 del RGPD
Esto significa que puede obtener sus datos de un proveedor en un formato digital razonable para que pueda trasladarlos a otro proveedor.
El derecho al olvido se extiende a las organizaciones con las que se han compartido datos:
«El derecho de supresión también debería extenderse de forma que el responsable del tratamiento que haya hecho públicos los datos personales esté obligado a informar a los responsables del tratamiento que estén procesando dichos datos personales para que eliminen cualquier enlace, copia o reproducción de esos datos personales.» —Considerando 66 del RGPD
En otras palabras, el borrado debe producirse en cascada.
Si obtienes datos personales de otra organización y vas a utilizarlos o almacenarlos, debes notificarlo a esa persona para que pueda dar su consentimiento informado (véanse los considerandos 60 y 61 del RGPD). Esto también se aplica si decides utilizar los datos de una forma que no estaba contemplada en el consentimiento original.
«Cuando el responsable del tratamiento tenga la intención de tratar los datos personales para una finalidad distinta de aquella para la que fueron recogidos, deberá informar al interesado, antes de dicho tratamiento, sobre esa otra finalidad y demás información necesaria.» —Considerando 61 del RGPD
Y tenga cuidado con los algoritmos totalmente automatizados, como las solicitudes de préstamos:
«El interesado tiene derecho a no ser objeto de una decisión, que puede incluir una medida, que evalúe aspectos personales relacionados con él o ella, basada únicamente en el tratamiento automatizado y que produzca efectos jurídicos que le afecten o le afecten de forma similar y significativa, como la denegación automática de una solicitud de crédito en línea o las prácticas de contratación electrónica sin intervención humana.» —Considerando 71 del RGPD
Si está utilizando algoritmos totalmente automatizados para tomar decisiones, este puede hacerle tropezar.
El término clave aquí es datos personales, que es más amplio que el concepto estadounidense de información de identificación personal. Abarca todo aquello que identifica a una persona directa o indirectamente, incluidos los identificadores de cookies y las direcciones IP. Si realiza algún tipo de análisis web, está manejando datos personales y debe asegurarse de que sus acciones cumplan con el RGPD.
Uno de los aspectos clave del tratamiento de datos personales según el RGPD es la protección de datos desde el diseño y por defecto, que es una obligación vinculante en virtud del artículo 25. El reglamento establece:
«El responsable del tratamiento deberá adoptar políticas internas e implementar medidas que cumplan, en particular, los principios de protección de datos desde el diseño y de protección de datos por defecto.» —Considerando 78 del RGPD
La metodología de protección de datos desde el diseño implica que no basta con probar la seguridad y la protección de datos en una aplicación. En lugar de crear código y someterlo a pruebas de penetración, es necesario diseñar la aplicación para que sea segura desde el principio, de modo que funciones como el cifrado se desactiven por defecto y solo se permitan en casos excepcionales autorizados.
La seguridad desde el diseño implica también tomarse en serio el análisis estático del código, haciendo especial hincapié en los estándares de ingeniería de software y en las reglas de análisis estático "preventivas".
Y si recopila datos relacionados con la salud, tenga especial cuidado. Los datos de salud son datos de categoría especial según el artículo 9, lo que significa que su tratamiento está prohibido a menos que tenga una base legal según el artículo 6 y una condición separada según el artículo 9(2), como el consentimiento explícito.
El considerando 53 expone los fines relacionados con la salud que pueden justificarlo, incluida la investigación científica basada en el Derecho de la Unión o de los Estados miembros, y el artículo 89 establece las garantías. El considerando 54 abarca el tratamiento de datos por razones de salud pública sin consentimiento, y finaliza con una frase que merece ser leída con atención: los datos tratados por razones de salud pública no deben ser tratados posteriormente para otros fines por terceros, como empleadores, aseguradoras o bancos.
La retención de datos es otro aspecto importante a la hora de recopilar y almacenar datos personales. El principio fundamental es conservar los datos solo durante el tiempo necesario.
«…el derecho a que sus datos personales sean borrados y dejen de ser tratados cuando dichos datos ya no sean necesarios» —Considerando 65 del RGPD
En otras palabras, los datos que sólo necesita con fines transitorios, como completar una transacción, sólo deben existir durante el tiempo necesario. Después de eso, debe purgar los datos, en lugar de almacenarlos por conveniencia o análisis futuros.
Es importante demostrar que también necesita que se recopilen los datos:
«Un interesado puede esperar razonablemente, en el momento y en el contexto de la recogida de los datos personales, que se produzca un tratamiento para ese fin» —Considerando 47 del RGPD.
Y más adelante, no puede usar los datos para otra cosa, a menos que esa otra cosa esté relacionada con el uso original de los datos y / o el procesamiento (análisis) de los datos.
«El tratamiento de datos personales para fines distintos de aquellos para los que fueron recabados inicialmente solo debe permitirse cuando dicho tratamiento sea compatible con los fines para los que fueron recabados inicialmente.» —Considerando 50 del RGPD
Los principios clave de protección de datos del RGPD se enumeran a continuación.
El procesamiento debe ser legal, justo y transparente para el interesado.
Debe procesar los datos para los fines legítimos especificados explícitamente al interesado cuando los recopiló.
Debe recopilar y procesar solo la cantidad de datos absolutamente necesaria para los fines especificados.
Debe mantener los datos personales exactos y actualizados.
Sólo podrá almacenar datos de identificación personal durante el tiempo que sea necesario para el fin especificado.
El procesamiento debe realizarse de tal manera que se garantice la seguridad, integridad y confidencialidad adecuadas (por ejemplo, mediante el uso de cifrado).
El responsable del tratamiento es responsable de poder demostrar el cumplimiento del RGPD con todos estos principios.
Un aspecto importante del RGPD es describir y hacer cumplir los derechos de las personas en relación con el uso de sitios web, software y productos que puedan recopilar información personal.
Las organizaciones deben informar y documentar claramente cómo y qué datos personales se utilizan.
Las personas tienen derecho a corregir información personal inexacta.
Todos los datos personales son accesibles para las personas físicas y pueden solicitarse sin coste alguno.
Las personas pueden solicitar la eliminación de sus datos cuando se aplique alguno de los motivos previstos en el artículo 17, como que los datos ya no sean necesarios para la finalidad para la que se recopilaron o que se haya revocado el consentimiento sin que exista otro fundamento jurídico. Esta medida no es absoluta. El artículo 17(3) permite conservar la información necesaria para cumplir con una obligación legal, para el ejercicio o la defensa de reclamaciones legales, o para fines de archivo e investigación de interés público. Cuando procede la eliminación, esta se aplica a todas las personas con las que se compartieron los datos.
Los particulares pueden solicitar la limitación del tratamiento de sus datos o la supresión de sus datos.
Las personas pueden obtener los datos que le proporcionaron, cuando usted los procese de forma automatizada con base en su consentimiento o un contrato, en un formato estructurado, de uso común y legible por máquina, y solicitar que se envíen a otro proveedor. Esto no incluye toda la información que usted posee sobre ellas, y en particular, no incluye los perfiles ni las puntuaciones que usted mismo haya elaborado.
Las personas pueden oponerse al tratamiento de sus datos por motivos de interés legítimo o interés público; en tal caso, deberá cesar el tratamiento a menos que pueda demostrar motivos legítimos imperiosos que prevalezcan sobre sus intereses. En el caso del marketing directo, este derecho es absoluto: una vez que se oponga, deberá cesar el tratamiento.
Esto restringe la cantidad de datos de un individuo que pueden ser utilizados por procesos automatizados, incluida la IA.
El RGPD define la violación de datos como una «violación de la seguridad que conlleva la destrucción, pérdida, alteración, divulgación no autorizada o acceso ilícito a datos personales transmitidos, almacenados o tratados de otro modo». Esta definición se aplica tanto a causas accidentales como deliberadas.
En términos más simples, una violación de datos según el RGPD ocurre cuando hay un incidente de seguridad que compromete la integridad o confidencialidad de los datos personales. Esto podría deberse a acciones accidentales o ilegales que conduzcan a la destrucción, pérdida, alteración, divulgación no autorizada o acceso a datos personales.
El RGPD contiene directrices específicas sobre las violaciones de datos. Según los considerandos 33 y 34 del RGPD:
Una organización debe informar una violación de datos a una autoridad de protección de datos (DPA), también conocida como autoridad supervisora (SA), si hay un incidente que conduzca a la destrucción, pérdida, alteración, divulgación no autorizada o acceso accidental o ilegal a , datos personales que supongan un riesgo potencial para los derechos y libertades de las personas.
Si la violación pudiera resultar en pérdida de control sobre sus datos personales, discriminación, suplantación de identidad o fraude, pérdida financiera, reversión no autorizada de seudonimización, daño a la reputación, pérdida de confidencialidad de datos personales protegidos por el secreto profesional, o cualquier otro impacto económico o significativo. desventaja social para la persona física interesada, la empresa está obligada a informar del incidente.
El cumplimiento del RGPD exige que se notifiquen las violaciones de datos personales, y los plazos de notificación son estrictos. Las organizaciones deben notificar a la autoridad de control competente las violaciones de datos personales que pongan en riesgo los derechos de las personas en un plazo de 72 horas desde que tengan conocimiento de la misma.
El artículo 33(4) permite que la información se proporcione por fases cuando la situación aún no está completa. Si la violación de seguridad supone un alto riesgo para las personas afectadas, también se les debe informar.
No notificar una violación de datos a la autoridad competente puede acarrear una multa de hasta 10 millones de euros (11.3 millones de dólares) o el 2 % de la facturación global de la empresa, la cantidad que sea mayor.
El cumplimiento del RGPD significa que una organización cumple con los requisitos para el tratamiento adecuado de los datos personales, tal como se define en la ley.
Dada su naturaleza jurídica y las severas sanciones que conlleva, el cumplimiento de la normativa exige una atención especial por parte de las organizaciones que recopilan, procesan y almacenan información personal, lo que incluye a la mayoría de los sitios web comerciales, pero también abarca aplicaciones y productos físicos.
Los aspectos clave que las organizaciones deben adoptar incluyen los siguientes:
El RGPD tiene un gran alcance. Existen algunos principios clave que los desarrolladores de software pueden seguir hoy para reducir los gastos generales y la carga de trabajo necesarios para el cumplimiento.
A continuación se muestran algunos pasos iniciales que los desarrolladores de software pueden seguir para garantizar el cumplimiento del RGPD.
Me encantaría decirles que existe una solución mágica o un conjunto de herramientas que les permita cumplir fácilmente con el RGPD, pero no es así. Sin embargo, Parasoft puede serles de gran ayuda.
En primer lugar, puede utilizar nuestros motores de análisis de código estático para Java , C/C++ y .NET con buenas configuraciones de seguridad y privacidad para garantizar que su código sea lo más seguro posible. Incluso puede configurarlos para que apliquen políticas de codificación estrictas, como el cifrado por defecto.
En segundo lugar, puedes usar la virtualización de servicios para realizar pruebas completas de extremo a extremo, incluso en una fase temprana en el escritorio del desarrollador. Poder probar completamente qué sucede con los datos sin necesidad de contar con costosos laboratorios de pruebas facilita enormemente el cumplimiento normativo, y al permitir que los desarrolladores realicen pruebas más exhaustivas, podrás detectar problemas antes, cuando sean más fáciles y económicos de solucionar.
Da un poco de miedo, y en cierto modo debería, dadas las posibles sanciones económicas. Pero, en general, no es tan grave a menos que tu modelo de negocio se base en rastrear a los usuarios y vender sus datos.
Si tienes un modelo de negocio típico y manejas datos de clientes y ventas, verás que el cumplimiento normativo no supone un gran problema y, además, tendrás el beneficio adicional de hacer que tu sistema general sea más seguro en un mundo con una frecuencia cada vez mayor de filtraciones de datos.
Establezca las políticas adecuadas, emplee pruebas exhaustivas y minuciosas, y garantice la privacidad de sus datos con un sólido análisis de código estático.
Cómo elegir una herramienta de análisis estático moderna
