El reglamento europeo de protección de datos de arriba abajo: bases jurídicas, derechos de los interesados, DPO, transferencias internacionales y las sanciones reales.
Cuándo usarlo: Entender el RGPD en profundidad: bases jurídicas, derechos, DPO, transferencias internacionales y régimen sancionador.
Herramienta recomendada: Claude
Actúa como un abogado especializado en protección de datos y privacidad con amplia experiencia en asesoramiento a empresas sobre el cumplimiento del RGPD. Quiero entender el RGPD en profundidad para poder asesorar a mis clientes o cumplir con él en mi propia empresa. Mi contexto: [Describe si eres abogado que asesora a clientes, DPO de empresa, responsable de compliance, o directivo que quiere entender la norma en profundidad. El sector en el que trabajas y los tipos de datos que más frecuentemente aparecen en tu actividad] Mis conocimientos actuales: [¿Conoces el RGPD en términos generales o tienes ya experiencia práctica implementándolo? ¿Cuáles son los aspectos que más te cuestan o que más dudas te generan?] Mi objetivo: [¿Quieres prepararte para una auditoría, asesorar mejor a clientes, mejorar el compliance de tu empresa, o prepararte para el examen de certificación CIPP/E u otra certificación de privacidad?] Con ese contexto, guíame por el GDPR en profundidad: **1. La arquitectura del RGPD** Explica la estructura del Reglamento: los principios del artículo 5 como columna vertebral de todo el sistema (licitud, lealtad y transparencia; limitación de la finalidad; minimización de datos; exactitud; limitación del plazo de conservación; integridad y confidencialidad; responsabilidad proactiva), y cómo estos principios se materializan en obligaciones concretas a lo largo del resto del articulado. **2. Las bases jurídicas en detalle** Analiza en profundidad cada una de las seis bases jurídicas del artículo 6: la jerarquía entre bases (cuándo elegir una y cuándo otra), el consentimiento y sus requisitos de validez (libre, específico, informado, inequívoco: qué significa cada uno en la práctica), el interés legítimo y el test de balance que hay que documentar antes de invocarlo, y los errores más frecuentes al elegir la base jurídica incorrecta y sus consecuencias. **3. Los derechos de los interesados** Explica cada derecho del RGPD con su alcance real y sus límites: el derecho de acceso (qué información hay que facilitar, en qué formato y plazo), el derecho de rectificación, el derecho de supresión y sus excepciones (los datos que no se pueden borrar aunque el interesado lo pida), el derecho a la limitación del tratamiento, la portabilidad de datos (cuándo aplica realmente y cuándo no), el derecho de oposición, y los derechos relacionados con las decisiones automatizadas y la elaboración de perfiles. **4. El responsable y el encargado del tratamiento** Explica la distinción entre responsable y encargado: los criterios para determinar quién es qué en una relación de prestación de servicios (el que determina los fines y los medios es el responsable, aunque en la práctica la línea no siempre es clara), el contrato de encargo de tratamiento obligatorio y las cláusulas que debe incluir según el artículo 28, y la corresponsabilidad (cuándo dos organizaciones son responsables conjuntas y qué obligaciones adicionales implica). **5. El Delegado de Protección de Datos (DPO)** Explica la figura del DPO: cuándo es obligatorio nombrarlo (las tres situaciones del artículo 37), las características de independencia y garantías que debe tener, sus funciones concretas (no es el responsable de compliance, es el asesor y el punto de contacto con la autoridad de control), los conflictos de interés que hay que evitar, y la diferencia entre DPO interno y DPO externo con sus ventajas y desventajas. **6. Las transferencias internacionales de datos** Diseña el análisis de transferencias internacionales: los mecanismos de transferencia disponibles (decisiones de adecuación, Cláusulas Contractuales Tipo, Normas Corporativas Vinculantes, excepciones del artículo 49), el impacto de la sentencia Schrems II y el nuevo Marco UE-EEUU, y la Evaluación de Impacto de Transferencia (TIA) que hay que hacer cuando el destinatario está en un país sin adecuación. Con el caso concreto de las transferencias a EEUU que afectan a la mayoría de empresas europeas. **7. La Evaluación de Impacto (EIPD/DPIA)** Explica cuándo y cómo hacer una Evaluación de Impacto en la Protección de Datos: los criterios del artículo 35 que obligan a hacerla (tratamientos de alto riesgo), la lista de la AEPD de tratamientos que requieren DPIA, la estructura de la evaluación (descripción del tratamiento, evaluación de necesidad y proporcionalidad, identificación y gestión de riesgos), y cuándo hay que consultar a la autoridad de control antes de iniciar el tratamiento. **8. El régimen sancionador** Explica el régimen de sanciones del RGPD en la práctica: los dos niveles de sanción (hasta 10 millones / 2% del volumen de negocio para infracciones menos graves, hasta 20 millones / 4% para las más graves), qué infracciones han generado las mayores sanciones en Europa y en España, los criterios que las autoridades usan para cuantificar la sanción, y el procedimiento sancionador de la AEPD desde la denuncia o la investigación hasta la resolución. **9. La accountability o responsabilidad proactiva** Diseña el programa de accountability que exige el RGPD: el Registro de Actividades de Tratamiento y sus campos obligatorios, las políticas y procedimientos internos de protección de datos, los programas de formación y concienciación del personal, las auditorías internas de protección de datos, y cómo documentar todas estas actividades para poder demostrar el cumplimiento ante la AEPD si hay una inspección. **10. El RGPD y la inteligencia artificial** Explica la interacción entre el RGPD y el uso de inteligencia artificial: el artículo 22 y las decisiones automatizadas y la elaboración de perfiles (cuándo aplica, qué derechos tienen los interesados, cómo implementar la revisión humana), la explicabilidad de los modelos de IA como requisito del RGPD, y cómo el AI Act europeo complementa y en parte duplica las obligaciones del RGPD para los sistemas de IA de alto riesgo. Los aspectos que cualquier DPO o abogado de privacidad debe conocer sobre IA.