RGPD GDPR

El RGPD es una ley europea sobre información personal. Información personal es todo lo que señala a una persona viva. Un nombre, un correo, un teléfono, una foto, una lista de pedidos anteriores. La ley te pide tres cosas. Guardar esa información por un motivo claro, protegerla y entregarla o borrarla cuando la persona lo pida.

Lo que todos recuerdan son las 72 horas. Si se pierde o se roba información personal y eso puede perjudicar a alguien, tienes tres días para avisar a la autoridad de protección de datos. Tres días desde que lo detectas, no desde que terminas de entender qué pasó. Si el riesgo para las personas es alto, también las avisas a ellas. El plazo es corto a propósito. Por eso decidir hoy quién toma esa decisión en tu empresa importa más que cualquier manual guardado en un cajón.

No hace falta estar en Europa. La ley sigue a la persona, no a la empresa. Una tienda de El Cairo que envía pedidos a Alemania está dentro. También una clínica de Dubái con pacientes británicos, o una escuela que vende cursos a familias en Francia. Si solo atiendes a clientes de tu país y nunca te diriges a Europa, quedas fuera. Que un europeo pueda visitar tu web por casualidad no basta.

Tu propio país ya tendrá su ley, y se parecen mucho. La ley egipcia 151 de 2020 pide consentimiento, cuidado y una persona responsable con nombre. Arabia Saudí y los Emiratos tienen la suya, y Turquía la tiene desde 2016. Las palabras cambian. Las costumbres que piden son las mismas. Recoge menos, guárdalo menos tiempo, ciérralo bien y sé capaz de decir quién puede verlo.

En la práctica esto es más una cuestión de construcción que de derecho. Cuando Linkysoft empieza una aplicación web, preguntamos qué campos necesita de verdad el negocio, porque un campo que nunca recoges no se puede filtrar. Borrar a un cliente por completo, en cada tabla, informe y copia de seguridad, es la parte dolorosa de añadir después. Linkysoft mete eso y la regla de las 72 horas dentro del plan de ciberseguridad, no en los papeles del final.