El big data y la protección de datos son compatibles si la empresa define antes para qué necesita la información, qué base jurídica permite usarla y qué riesgos genera para las personas. El volumen no rebaja las exigencias del RGPD: obliga a reforzar la gobernanza, la minimización, la seguridad y la capacidad de demostrar cada decisión.
Big data y protección de datos: empezar por finalidad y base jurídica
Un proyecto de analítica no debe comenzar reuniendo todos los datos disponibles «por si resultan útiles». El punto de partida es describir una finalidad concreta, legítima y comprensible: detectar fraude, prever demanda, reducir bajas, segmentar comunicaciones o mejorar un proceso. Después se determina qué datos son realmente necesarios y qué base del artículo 6.1 del RGPD legitima cada tratamiento.
Las bases más habituales son:
- Ejecución de un contrato —art. 6.1.b RGPD— cuando el análisis sea objetivamente necesario para prestar el servicio pactado. No cubre cualquier explotación que pueda resultar comercialmente interesante.
- Obligación legal —art. 6.1.c— si una norma exige conservar, analizar o comunicar información.
- Interés legítimo —art. 6.1.f— cuando exista un interés real, el tratamiento sea necesario y la ponderación no haga prevalecer los derechos de las personas. Conviene documentar el test de ponderación.
- Consentimiento —arts. 6.1.a y 7— si es libre, específico, informado e inequívoco. Debe poder retirarse sin consecuencias indebidas y no sirve un consentimiento genérico para finalidades futuras indeterminadas.
Si intervienen categorías especiales —salud, biometría dirigida a identificar, opiniones políticas u otras del art. 9.1— hace falta, además de una base del art. 6, una excepción válida del art. 9.2. El uso de datos sobre condenas e infracciones penales queda sometido al art. 10.
La información a las personas debe cubrir los arts. 13 o 14 del RGPD, según los datos se obtengan directa o indirectamente. En entornos complejos puede aplicarse información por capas, pero la primera capa debe explicar con claridad las finalidades principales, la lógica relevante de los perfiles y cómo ejercer derechos.
Antes de integrar fuentes, nuestro servicio de gobierno del dato ayuda a construir un inventario de conjuntos, finalidades, propietarios, calidad, procedencia, plazos y permisos. Esa trazabilidad evita que un lago de datos termine convertido en un repositorio sin control.
Minimización, limitación de la finalidad y calidad del dato
El artículo 5.1.b del RGPD exige que los datos se recojan con fines determinados, explícitos y legítimos y no se traten después de forma incompatible. El art. 5.1.c impone minimización: los datos deben ser adecuados, pertinentes y limitados a lo necesario. El art. 5.1.d añade exactitud, y el 5.1.e limita la conservación.
En la práctica, una pyme puede traducir estos principios en controles concretos:
- Definir la pregunta de negocio y descartar variables que no aporten una mejora demostrable.
- Separar identificadores directos del conjunto analítico y restringir el acceso a la tabla de correspondencia.
- Establecer reglas de calidad, procedencia y actualización; un dato masivo pero sesgado produce decisiones masivas y sesgadas.
- Fijar plazos por finalidad y automatizar revisión, bloqueo o supresión.
- Evitar reutilizaciones incompatibles. Si aparece una finalidad nueva, debe analizarse su compatibilidad conforme al art. 6.4 RGPD o encontrarse otra base válida.
- Trabajar con muestras, agregados o datos sintéticos cuando permitan alcanzar el objetivo con menor impacto.
La privacidad desde el diseño y por defecto del art. 25 obliga a introducir estas decisiones antes de contratar la plataforma o entrenar el modelo. Por defecto, no debería acceder toda la organización ni conservarse todo indefinidamente. El art. 32 exige medidas de seguridad apropiadas al riesgo: control de acceso, cifrado, registro de actividad, copias, pruebas y respuesta ante incidentes, entre otras.
Cuándo exige el big data una EIPD
La Evaluación de Impacto relativa a la Protección de Datos no es un documento decorativo. Según el art. 35.1 RGPD, debe realizarse antes del tratamiento cuando sea probable que este entrañe un alto riesgo para los derechos y libertades, atendiendo a su naturaleza, alcance, contexto y fines.
El art. 35.3 menciona expresamente, entre otros supuestos, la evaluación sistemática y exhaustiva de aspectos personales basada en tratamiento automatizado —incluidos perfiles— que sirva para decisiones con efectos jurídicos o similarmente significativos, y el tratamiento a gran escala de categorías especiales o datos penales.
«Gran escala» no equivale a un número universal. Deben valorarse conjuntamente el número o proporción de personas, el volumen y variedad de datos, la duración y la extensión geográfica. La AEPD y el Comité Europeo de Protección de Datos también orientan a considerar criterios como observación sistemática, combinación de conjuntos, personas vulnerables, tecnología innovadora, datos muy personales o impedimentos para ejercer un derecho o acceder a un servicio.
Como regla prudente, si concurren varios criterios de alto riesgo debe documentarse la decisión y, normalmente, realizar la EIPD. Su contenido mínimo, conforme al art. 35.7, incluye:
- descripción sistemática de operaciones y finalidades;
- evaluación de necesidad y proporcionalidad;
- análisis de riesgos para las personas;
- medidas previstas para afrontar esos riesgos y demostrar el cumplimiento.
La EIPD es un proceso vivo. Debe revisarse cuando cambien datos, finalidad, algoritmo, destinatarios, infraestructura o nivel de riesgo. Si tras las medidas queda un alto riesgo residual, procede consultar previamente a la autoridad de control conforme al art. 36. El DPD debe asesorar cuando exista, según los arts. 35.2 y 39.1.c.
Anonimización frente a seudonimización
No son equivalentes. La seudonimización, definida en el art. 4.5 RGPD, impide atribuir los datos a una persona sin información adicional, siempre que esa información se conserve separada y protegida. Reduce riesgos, pero los datos siguen siendo personales y el RGPD continúa aplicándose.
La anonimización pretende que la persona ya no sea identificable por medios razonablemente utilizables, considerando costes, tiempo, tecnología y fuentes auxiliares. Si es verdaderamente irreversible, la información deja de ser dato personal. Cambiar nombres por códigos, eliminar DNI o aplicar un hash sin más suele ser seudonimización, no anonimización.
En big data aumenta la posibilidad de reidentificar combinando variables aparentemente inocuas. Por eso conviene evaluar singularidad, vinculabilidad e inferencia; aplicar generalización, supresión, agregación o perturbación; y comprobar periódicamente el riesgo. La guía de anonimización de la AEPD insiste en reducir al mínimo la reidentificación sin destruir la utilidad, pero ningún método debe presentarse como garantía absoluta al margen del contexto.
También importa quién conserva la clave y qué fuentes externas existen. El responsable debe documentar la técnica, los supuestos, las pruebas realizadas y las restricciones de reutilización. Publicar un conjunto «anonimizado» exige una evaluación más exigente que usarlo en un entorno interno controlado.
Perfiles y decisiones automatizadas
La elaboración de perfiles es tratamiento automatizado para evaluar aspectos personales, según el art. 4.4 RGPD. Puede analizar rendimiento, situación económica, preferencias, fiabilidad, comportamiento, ubicación o movimientos. No todo perfil está prohibido, pero necesita finalidad, base jurídica, transparencia, minimización y control de sesgos.
El art. 22.1 reconoce el derecho a no ser objeto de una decisión basada únicamente en tratamiento automatizado que produzca efectos jurídicos o afecte significativamente de modo similar. Son ejemplos potenciales denegar automáticamente un servicio esencial, excluir a una persona de una oportunidad o adoptar una decisión laboral relevante sin intervención humana real.
Las excepciones del art. 22.2 son limitadas: necesidad para celebrar o ejecutar un contrato, autorización legal con garantías, o consentimiento explícito. En los supuestos contractual y de consentimiento deben existir, al menos, derecho a intervención humana, a expresar el punto de vista y a impugnar la decisión —art. 22.3—. Las decisiones no deben basarse en categorías especiales salvo las condiciones estrictas del art. 22.4.
Una revisión humana no puede ser una firma automática. La persona revisora debe tener competencia, información, tiempo y autoridad para modificar el resultado. Además, los arts. 13.2.f, 14.2.g y 15.1.h exigen información significativa sobre la lógica aplicada, importancia y consecuencias previstas cuando proceda.
Transferencias internacionales y proveedores
Usar una nube, una API analítica o soporte remoto puede implicar acceso desde fuera del Espacio Económico Europeo. Los arts. 44 a 49 RGPD exigen que la transferencia no reduzca el nivel de protección.
El orden práctico es comprobar si existe una decisión de adecuación del art. 45. Si no, pueden emplearse garantías apropiadas del art. 46, como cláusulas contractuales tipo, acompañadas de una evaluación de la transferencia y medidas suplementarias cuando sean necesarias. Las excepciones del art. 49 son para situaciones específicas, no una solución estructural para flujos habituales.
El contrato con el encargado debe cumplir el art. 28: objeto, duración, instrucciones, confidencialidad, seguridad, subencargados, ayuda en derechos, devolución o supresión y auditoría. Hay que conocer regiones de alojamiento, copias, telemetría, soporte, subencargados y uso de los datos para mejorar servicios propios. Un contrato no sustituye la comprobación técnica.
Responsabilidad proactiva: demostrar, revisar y mejorar
El art. 5.2 RGPD obliga a cumplir los principios y poder demostrarlo. El art. 24 exige medidas apropiadas revisables. En big data, la responsabilidad proactiva se apoya en evidencias:
- registro de actividades del art. 30 y mapa de flujos;
- análisis de riesgos y EIPD cuando proceda;
- políticas de acceso, conservación y calidad;
- contratos y evaluación de proveedores;
- pruebas de seguridad y gestión de brechas conforme a los arts. 33 y 34;
- métricas de sesgo, falsos positivos, reclamaciones y anulaciones humanas;
- registro de versiones de datos, reglas y modelos;
- formación y revisión periódica por responsables, seguridad y DPD.
La infracción de principios o derechos puede alcanzar los límites del art. 83.5 RGPD: hasta 20 millones de euros o, tratándose de una empresa, hasta el 4 % del volumen de negocio anual global del ejercicio anterior, optándose por la cuantía mayor. El objetivo de una buena gobernanza no es trabajar por miedo a la sanción, sino reducir daños, mejorar decisiones y conservar la confianza.
Summum Consultoría puede acompañar a la pyme en el inventario, la base jurídica, la EIPD, los contratos y la supervisión. Cuando el tratamiento requiera asesoramiento continuado, el servicio de DPO externo aporta una función independiente y orientada al riesgo, sin sustituir la responsabilidad de la empresa.
Preguntas frecuentes
¿El RGPD se aplica si usamos datos disponibles públicamente?
Sí, si permiten identificar a personas. Que un dato sea accesible no autoriza cualquier reutilización; siguen siendo necesarias finalidad, base jurídica, transparencia y respeto de derechos.
¿Se necesita consentimiento para todo proyecto de big data?
No. Puede existir otra base del art. 6.1 RGPD, pero debe ser adecuada a la finalidad. El interés legítimo exige necesidad y ponderación; el contrato solo cubre tratamientos objetivamente necesarios.
¿Todo tratamiento a gran escala exige una EIPD?
El art. 35 la exige cuando es probable un alto riesgo y, expresamente, para categorías especiales o datos penales a gran escala. Deben valorarse también perfiles, vigilancia, combinación de fuentes, vulnerabilidad y tecnología innovadora.
¿Los datos seudonimizados quedan fuera del RGPD?
No. Siguen siendo datos personales porque pueden atribuirse con información adicional. La seudonimización es una garantía de seguridad y diseño, no una exención.
¿Podemos usar un proveedor de analítica ubicado fuera de la UE?
Puede ser posible si se aplica el capítulo V del RGPD: adecuación o garantías apropiadas, evaluación del contexto y medidas suplementarias cuando procedan. También debe formalizarse el encargo del art. 28.