Un principio con treinta años de historia que el RGPD convirtió en obligación
La privacidad por diseño nació como concepto en los años noventa de la mano de Ann Cavoukian, entonces Comisionada de Información y Privacidad de Ontario. Durante décadas fue una buena práctica, una filosofía, algo que las empresas responsables adoptaban de forma voluntaria. El RGPD cambió eso en 2018: el artículo 25 la convirtió en una obligación legal para cualquier organización que trate datos personales en la Unión Europea.
Ocho años después de su entrada en vigor, sigue siendo uno de los artículos menos comprendidos y peor aplicados del Reglamento. No porque sea complejo en teoría, sino porque su aplicación práctica requiere integrar la protección de datos en procesos de desarrollo, diseño de producto y toma de decisiones organizativas, no solo en la capa jurídica.
Qué dice exactamente el artículo 25 del RGPD
El artículo 25 establece dos obligaciones distintas que con frecuencia se confunden:
Privacidad por diseño (privacy by design). El responsable del tratamiento debe aplicar, desde el momento de determinar los medios de tratamiento y durante el propio tratamiento, medidas técnicas y organizativas apropiadas para integrar las garantías necesarias y cumplir los principios del RGPD. En lenguaje llano: la protección de datos no se añade al final, sino que se construye desde el inicio.
Privacidad por defecto (privacy by default). El responsable debe aplicar medidas técnicas y organizativas para garantizar que, por defecto, solo se traten los datos personales necesarios para cada finalidad específica. Esto afecta a la cantidad de datos recogidos, el alcance del tratamiento, el plazo de conservación y la accesibilidad.
Son dos cosas distintas. La privacidad por diseño habla de cómo se construye un sistema. La privacidad por defecto habla de cómo se configura ese sistema para los usuarios.
Privacy by default: el ejemplo más claro
Imaginemos una red social que lanza una nueva funcionalidad: compartir la ubicación en tiempo real. Privacidad por defecto significa que esa funcionalidad debe estar desactivada cuando el usuario crea su cuenta. Si el usuario quiere activarla, puede hacerlo, pero el punto de partida es el mínimo de datos.
Lo contrario, que la ubicación se comparta por defecto y el usuario tenga que buscar en los ajustes cómo desactivarla, infringe el artículo 25. Esta fue precisamente la lógica detrás de la sanción de 150 millones de euros que la CNIL impuso a Google en 2022 por la configuración de las cookies: rechazar era más difícil que aceptar.
En el contexto empresarial, privacidad por defecto implica cosas concretas: los formularios no deben tener casillas premarcadas, las aplicaciones no deben solicitar permisos que no necesitan, los sistemas deben conservar los datos el tiempo mínimo necesario sin que el usuario tenga que solicitarlo expresamente.
Privacy by design: los siete principios fundacionales
Cavoukian articuló siete principios que el RGPD adoptó de forma implícita y que orientan la aplicación del artículo 25:
Proactivo, no reactivo. La privacidad se anticipa, no se reacciona ante los problemas. Privacidad como configuración predeterminada. Privacidad incrustada en el diseño, no añadida como complemento. Funcionalidad completa, sin compromisos falsos entre privacidad y funcionalidad. Seguridad de extremo a extremo durante todo el ciclo de vida de los datos. Visibilidad y transparencia sobre cómo funcionan los sistemas. Respeto por la privacidad del usuario, manteniéndola centrada en la persona.
En la práctica, estos principios se traducen en decisiones de diseño concretas: qué datos se recogen, dónde se almacenan, quién tiene acceso, cuánto tiempo se conservan, cómo se cifran, qué ocurre cuando el usuario solicita la supresión.
Cómo aplicarlo en la empresa: los pasos concretos
El artículo 25 no especifica exactamente qué medidas hay que tomar. Habla de medidas “apropiadas” teniendo en cuenta el estado de la técnica, el coste de aplicación y la naturaleza, alcance, contexto y fines del tratamiento. Eso da margen, pero también responsabilidad.
En la práctica, aplicar privacidad por diseño en una organización supone al menos cuatro cosas. La primera es integrar la evaluación de privacidad en los procesos de desarrollo de nuevos productos o servicios antes de que se lancen, no después. Muchas organizaciones realizan la EIPD cuando el producto ya está construido, lo que convierte la evaluación en un trámite formal en lugar de en una herramienta de decisión.
La segunda es aplicar el principio de minimización de datos desde el diseño: definir antes de construir qué datos son estrictamente necesarios para la finalidad y no recoger los demás. La pregunta no es “¿podemos recoger este dato?” sino “¿necesitamos este dato para cumplir la finalidad?”
La tercera es documentar las decisiones tomadas. El artículo 25 se vincula directamente con la responsabilidad proactiva del artículo 5.2: hay que poder demostrar que se ha aplicado privacidad por diseño, no solo afirmarlo.
La cuarta es revisar los sistemas existentes. Privacidad por diseño aplica a los nuevos desarrollos, pero el RGPD también exige que los sistemas en producción se ajusten progresivamente a estos principios cuando se realicen cambios significativos.
Qué sancionan la AEPD y las autoridades europeas
Las sanciones por incumplimiento del artículo 25 suelen venir ligadas a otros incumplimientos, pero son sancionables de forma autónoma. Las autoridades han actuado en casos donde los sistemas recogían más datos de los necesarios por diseño, donde las configuraciones de privacidad eran inaccesibles o confusas para el usuario, donde los valores por defecto permitían el tratamiento amplio sin consentimiento activo del interesado, y donde no existía documentación que acreditara que se había considerado la privacidad en el diseño del sistema.
El CEPD publicó en 2020 unas directrices sobre privacidad por diseño y por defecto que desarrollan los criterios de aplicación práctica del artículo 25 y que siguen siendo la referencia principal para evaluar el cumplimiento.
La relación con la EIPD
La Evaluación de Impacto en Protección de Datos del artículo 35 es el instrumento más concreto de aplicación de la privacidad por diseño. Cuando un tratamiento presenta un alto riesgo para los derechos de las personas, la EIPD obliga a analizar ese riesgo antes de iniciar el tratamiento y a aplicar medidas para reducirlo. Es privacidad por diseño formalizada en un proceso documentado.
Las organizaciones que tienen un proceso de EIPD robusto son las que mejor aplican el artículo 25, porque han integrado la evaluación de privacidad en sus flujos de trabajo de desarrollo. Las que no lo tienen, aun cumpliendo formalmente con otros requisitos del RGPD, tienen una brecha significativa en este punto.
Si quieres revisar cómo aplica tu empresa el principio de privacidad por diseño y qué medidas técnicas y organizativas deberías tener documentadas, en Adapta RGPD te ayudamos a hacer ese análisis dentro de nuestra adaptación completa al RGPD, con seguimiento continuo desde 119€/año.
