Este framework transforma la privacidad de datos en ejecución real. Cada principio integra fundamento conceptual + implementación operativa + KPIs medibles, para reducir riesgo, elevar confianza y sostener cumplimiento continuo.
This framework turns data privacy into real execution. Each principle integrates conceptual foundation + operational implementation + measurable KPIs to reduce risk, increase trust, and sustain ongoing compliance.
El tratamiento de datos personales debe apoyarse en una base legal válida y demostrable (consentimiento, obligación legal, contrato o interés legítimo evaluado). La base legal define qué se puede hacer con el dato, bajo qué límites y por cuánto tiempo.
Documentar la base legal por tipo de dato y finalidad en un repositorio central y versionado. Capturar y gestionar consentimientos de forma trazable (quién, cuándo, para qué, evidencia), vinculándolos a sistemas/pipelines/reportes donde se usan los datos. Forzar reevaluación si cambia el propósito, si se incorpora un tercero, o si el dato pasa a otra jurisdicción.
Personal data processing must rely on a valid and demonstrable legal basis (consent, legal obligation, contract, or assessed legitimate interest). Legal basis defines what can be done, under which limits, and for how long.
Document legal basis by data type and purpose in a centralized, versioned repository. Capture and manage consents with traceability (who/when/purpose/evidence), linking them to systems/pipelines/reports where data is used. Trigger reassessment when purpose changes, a third party is added, or data crosses jurisdictions.
Minimización significa recolectar y procesar solo lo estrictamente necesario. “Por si acaso” aumenta riesgo sin valor. La privacidad madura reduce la exposición desde el origen.
Hacer inventario de campos personales por sistema y justificar cada atributo (propósito, base legal, retención). Eliminar datos redundantes y bloquear nuevas capturas sin justificación (gates en formularios/APIs y revisiones en ETL). Revisar periódicamente la necesidad del dato y aplicar pseudonimización/anonimización cuando sea posible.
Minimization means collecting and processing only what is strictly necessary. “Just in case” increases risk without value. Mature privacy reduces exposure at the source.
Inventory personal fields per system and justify each attribute (purpose, legal basis, retention). Remove redundant data and block new collection without justification (gates on forms/APIs and ETL reviews). Periodically reassess necessity and apply pseudonymization/anonymization when possible.
Los datos personales solo deben usarse para el propósito declarado. Reutilizar datos sin control (para nuevos reportes/modelos/marketing) rompe la privacidad y genera sanciones.
Registrar propósito y usos permitidos por dataset en el catálogo (incluyendo restricciones). Exigir “Privacy Review” antes de habilitar nuevos consumos (nuevas integraciones, dashboards, modelos). Implementar monitoreo de accesos/consultas por dominio y alertas ante patrones fuera del propósito.
Personal data must only be used for the declared purpose. Uncontrolled reuse (new reports/models/marketing) breaks privacy and drives sanctions.
Register purpose and allowed uses per dataset in the catalog (including restrictions). Require a “Privacy Review” before enabling new consumption (integrations, dashboards, models). Monitor access/query patterns by domain and alert on out-of-purpose usage.
Los titulares tienen derechos (acceso, corrección, eliminación, portabilidad, limitación). Responder rápido y con evidencia es señal de madurez operativa.
Crear un flujo DSAR end-to-end: intake, verificación de identidad, búsqueda en sistemas, ejecución (corregir/eliminar/exportar), evidencia y cierre. Definir SLAs por tipo de solicitud, responsables por dominio y plantillas de respuesta. Automatizar la identificación del dato del titular en sistemas distribuidos cuando sea posible.
Data subjects have rights (access, correction, erasure, portability, restriction). Fast, evidence-backed responses indicate operational maturity.
Build an end-to-end DSAR flow: intake, identity verification, system search, execution (correct/delete/export), evidence, and closure. Define SLAs per request type, accountable owners by domain, and response templates. Automate subject data discovery across distributed systems when possible.
No se deben conservar datos más allá de lo necesario. Retener “por comodidad” aumenta exposición legal y riesgo de brecha.
Definir políticas de retención por tipo de dato y propósito (incluye backups/archivos). Automatizar borrado/anonimización, y documentar excepciones (litigation hold). Ejecutar auditorías periódicas para detectar retención excesiva y datos huérfanos.
Data must not be retained longer than necessary. Keeping data “for convenience” increases legal exposure and breach risk.
Define retention policies by data type and purpose (including backups/archives). Automate deletion/anonymization, and document exceptions (litigation holds). Run periodic audits to detect over-retention and orphaned data.
La privacidad requiere controles proporcionales al riesgo: acceso mínimo, cifrado, monitoreo y respuesta a incidentes. Una brecha de seguridad es un fallo directo de privacidad.
Clasificar datos por sensibilidad, aplicar RBAC/ABAC, cifrado en tránsito y en reposo, segregación de ambientes, y monitoreo (logs + alertas). Probar controles con ejercicios (tabletop) y pruebas de restauración/backup seguras.
Privacy requires risk-based controls: least privilege access, encryption, monitoring, and incident response. A security breach is a direct privacy failure.
Classify data by sensitivity, enforce RBAC/ABAC, encrypt in transit and at rest, segregate environments, and monitor (logs + alerts). Test controls via tabletop exercises and secure restore/backup testing.
La privacidad se integra desde el diseño. “By default” significa que el sistema nace con la configuración más protectora posible.
Incluir revisión de privacidad en el ciclo de desarrollo (requisitos, arquitectura, pruebas, despliegue). Ejecutar DPIA cuando hay alto riesgo (datos sensibles, profiling, gran escala). Definir checklists y gates antes de producción.
Privacy must be embedded from the start. “By default” means systems ship with the most protective settings possible.
Add privacy review into the SDLC (requirements, architecture, testing, release). Run DPIAs for high-risk processing (sensitive data, profiling, large-scale). Use checklists and gates before production.
Los proveedores procesan datos y heredan tu riesgo. Un tercero débil puede romper todo tu programa de privacidad.
Evaluar terceros antes de contratar (due diligence), firmar DPA, revisar subprocesadores, exigir controles mínimos (cifrado, acceso, auditoría), y monitorear cumplimiento con revisiones periódicas.
Vendors process data and inherit your risk. A weak third party can break your entire privacy program.
Perform pre-contract due diligence, sign DPAs, review subprocessors, enforce minimum controls (encryption, access, audit), and monitor compliance through periodic reviews.
Transparencia significa que las personas entienden qué datos se usan, por qué, con quién se comparten y cuánto se retienen. La confianza depende de claridad, no de texto legal incomprensible.
Mantener avisos de privacidad claros y actualizados, alineados con tratamientos reales. Registrar cambios, comunicar actualizaciones, y validar consistencia entre políticas internas, contratos y experiencias de usuario.
Transparency means people understand what data is used, why, with whom it’s shared, and how long it’s retained. Trust depends on clarity, not unreadable legal text.
Keep privacy notices clear and up to date, aligned with real processing activities. Track changes, communicate updates, and validate consistency across internal policies, contracts, and user experiences.
La mayoría de fallos de privacidad son humanos: compartir datos, usar exportaciones sin control, enviar información por canales inseguros. La cultura es el control final.
Programas de formación por rol (negocio, analistas, ingeniería), campañas internas, guías rápidas de “do/don’t”, y revisiones periódicas. Integrar privacidad en onboarding y en evaluación de proveedores/proyectos.
Most privacy failures are human: uncontrolled sharing, unmanaged exports, sending data through insecure channels. Culture is the final control.
Role-based training (business, analysts, engineering), internal campaigns, quick “do/don’t” guides, and periodic refreshers. Embed privacy in onboarding and vendor/project reviews.