Dos áreas cotidianas requieren especial cuidado: los mensajes de marketing y compartir datos con otros.
Marketing directo y PECR
El marketing directo es la publicidad o el material promocional dirigido a personas concretas. Las Privacy and Electronic Communications Regulations 2003 (PECR) añaden normas al UK GDPR para el marketing electrónico.
- El marketing por correo electrónico y SMS a particulares exige consentimiento, con una excepción: el soft opt-in. Permite que una empresa envíe correos o SMS a sus propios clientes actuales sobre productos o servicios similares, si obtuvo sus datos durante una venta, y si les dio una oportunidad clara de negarse al recoger los datos y en cada mensaje posterior.
- Los mensajes a una empresa (abonado corporativo) tienen normas distintas, pero los autónomos y algunas sociedades de personas se tratan como particulares.
- Las llamadas de marketing en directo no deben dirigirse a números inscritos en el Telephone Preference Service (TPS) o en el Corporate TPS (listas de números que no quieren recibir llamadas comerciales), salvo que la persona haya dicho claramente que no le molestan.
- Las llamadas de marketing automatizadas y grabadas exigen consentimiento previo.
- Todo mensaje de marketing debe indicar quién lo envía y ofrecer una forma sencilla de darse de baja.
- El derecho de una persona a oponerse al marketing directo es absoluto. Cuando dice basta, pare y trasládelo para que se actualice el registro.
- Las cookies y tecnologías similares de los sitios web exigen información clara y, en la mayoría de los casos, consentimiento. La ley de 2025 añadió excepciones para unos pocos usos de bajo riesgo, como algunas estadísticas y la seguridad. De esto se ocupa el equipo web de su empleador.
La Data (Use and Access) Act 2025 elevó la multa máxima de la PECR hasta igualarla a la del UK GDPR: 17,5 millones de £ o el 4 % del volumen de negocio anual mundial, lo que sea mayor. Consulte ico.org.uk para ver la orientación vigente sobre los demás cambios de la PECR.
Si trabaja en marketing, no compre nunca una lista ni se lleve una de un empleo anterior. Pregunte si las personas incluidas aceptaron recibir mensajes de su organización.
Compartir datos con otras organizaciones
La ley de protección de datos no prohíbe compartir. Le pide que comparta correctamente.
- Comparta solo lo necesario y con quien tenga derecho a ello.
- Compruebe la identidad y el motivo de la petición.
- Use un método seguro.
- Siga las normas de su empleador sobre intercambio de datos. Los intercambios grandes y habituales suelen tener un acuerdo por escrito.
- Si una empresa externa trata datos para su empleador (un encargado), se exige un contrato por escrito.
- La policía y otras autoridades pueden pedir datos. Pase esas peticiones a la persona indicada en su procedimiento. Ella comprobará la base jurídica. No responda en el acto.
- En una emergencia, cuando hay riesgo para la vida o un daño grave, la ley de protección de datos no le impide compartir lo necesario para proteger a alguien. Avise de inmediato a su responsable de safeguarding o a su jefe. Muchas revisiones han comprobado que el miedo a la protección de datos se usó erróneamente para evitar compartir información.
Fotos, redes sociales y grabaciones
- No publique en redes sociales fotos o datos de clientes, pacientes, alumnos o compañeros sin un permiso claro y un motivo laboral.
- Las cámaras de vigilancia y las cámaras corporales exigen carteles y normas del empleador. No copie ni comparta usted las grabaciones.
- No grabe llamadas ni reuniones con su teléfono salvo que lo permita la política del empleador.
Envío de datos al extranjero
Trasladar datos personales fuera del Reino Unido se llama transferencia restringida. Exige garantías. De ello se ocupa el responsable. Si piensa usar una herramienta o un proveedor nuevos con sede en el extranjero, pregunte antes.
Herramientas nuevas e IA
No pegue datos de clientes o empleados en herramientas gratuitas en línea ni en chatbots públicos de IA. Eso es compartir datos con un tercero. Use solo las herramientas que su empleador haya autorizado. Las decisiones automatizadas sobre personas tienen normas adicionales.
Cuándo preguntar
Si le piden empezar un nuevo uso de datos, una aplicación nueva o una lista nueva, pregunte a su jefe o a su responsable de protección de datos si hace falta una evaluación de impacto relativa a la protección de datos (EIPD; en inglés, data protection impact assessment). Una EIPD es un análisis de riesgos exigido antes de los usos de alto riesgo.