RGPD GDPR

El RGPD es una ley europea sobre información personal, y la información personal es todo lo que señala a una persona viva. Ahí entran un nombre, un correo, un teléfono, una foto e incluso la lista de pedidos anteriores. Como la red es tan ancha, la ley solo te pide tres cosas claras. Guardas esa información por un motivo claro, la proteges, y la entregas o la borras cuando la persona lo pide.

Lo que todos recuerdan son las 72 horas. Si se pierde o se roba información personal y eso puede perjudicar a alguien, tienes tres días para avisar a la autoridad de protección de datos. El plazo empieza cuando lo detectas, no cuando terminas de entender qué pasó. También avisas a las personas afectadas si el riesgo para ellas es alto, y el plazo es corto a propósito. Por eso decidir hoy quién toma esa decisión en tu empresa importa más que cualquier manual guardado en un cajón.

No hace falta estar en Europa, porque la ley sigue a la persona y no a la empresa. Una tienda de El Cairo que envía pedidos a Alemania está dentro, y también una clínica de Dubái con pacientes británicos. Lo mismo vale para una escuela que vende cursos a familias en Francia. En cambio, si solo atiendes a clientes de tu país y nunca te diriges a Europa, quedas fuera. Y que un europeo pueda visitar tu web por casualidad no cambia eso.

Tu propio país ya tendrá su ley, y todas se parecen mucho. La ley egipcia 151 de 2020 pide consentimiento, cuidado y una persona responsable con nombre. Arabia Saudí y los Emiratos tienen la suya, y Turquía la tiene desde 2016. Las palabras cambian, pero las costumbres que piden son las mismas. Recoge menos, guárdalo menos tiempo, ciérralo bien y sé capaz de decir quién puede verlo.

En la práctica esto es más una cuestión de construcción que de derecho. Cuando Linkysoft empieza una aplicación web, preguntamos qué campos necesita de verdad el negocio, porque un campo que nunca recoges no se puede filtrar. La parte dolorosa de añadir después es borrar a un cliente por completo, en cada tabla, cada informe y cada copia de seguridad. Por eso Linkysoft mete eso y la regla de las 72 horas dentro del plan de ciberseguridad, y no en los papeles del final.