Casi todos los empleos implican datos personales. Una recepcionista anota el nombre de un visitante. Un dependiente toma una dirección de entrega. Un trabajador de cuidados lee un plan de atención. Un profesor guarda una lista de clase. La ley de protección de datos fija las reglas para tratar esa información, y se aplica a usted igual que a su empleador.
La ley en el Reino Unido
- El UK GDPR (el Reglamento General de Protección de Datos del Reino Unido) es el conjunto principal de normas. Procede del RGPD de la UE y ahora forma parte del derecho británico.
- La Data Protection Act 2018 (DPA 2018, la ley británica de protección de datos) lo acompaña. Añade detalles propios del Reino Unido, como excepciones y delitos.
- La Data (Use and Access) Act 2025 (DUAA) pasó a ser ley el 19 de junio de 2025. Modifica el UK GDPR, la DPA 2018 y las normas de marketing (PECR). No los sustituye. Sus cambios entraron en vigor por fases y, desde el 19 de junio de 2026, se aplican todos. Consulte ico.org.uk para ver la orientación más reciente.
- Las Privacy and Electronic Communications Regulations 2003 (PECR, el reglamento británico sobre privacidad y comunicaciones electrónicas) regulan los mensajes, las llamadas y las cookies de marketing. Las verá en la lección 7.
El regulador es la Information Commissioner's Office (ICO), la autoridad británica de protección de datos. Publica orientaciones, tramita reclamaciones y puede multar a las organizaciones.
Datos personales
Los datos personales son cualquier información sobre una persona viva identificada o identificable. No tienen por qué ser secretos. Ejemplos:
- un nombre, una dirección, un correo electrónico o un número de teléfono;
- una foto, una imagen de cámara de vigilancia o una grabación de voz;
- un número de empleado, un número de cuenta de cliente o un identificador en línea;
- una nota en un expediente sobre lo que una persona dijo o hizo.
Si puede deducir de quién trata la información, quizá combinándola con otros datos, son datos personales. La información sobre una empresa no son datos personales. La información sobre un autónomo o sobre la persona de contacto de una empresa sí puede serlo.
Datos de categoría especial y datos de condenas penales
Algunos datos son más sensibles, porque su mal uso puede causar un daño real. Los datos de categoría especial son la información sobre:
- el origen racial o étnico;
- las opiniones políticas;
- las creencias religiosas o filosóficas;
- la afiliación sindical;
- los datos genéticos y los datos biométricos usados para identificar a una persona;
- la salud;
- la vida sexual o la orientación sexual.
Los datos sobre condenas y delitos penales también tienen una protección adicional propia. Una organización necesita una condición legal adicional para usar este tipo de datos. Tenga más cuidado con ellos en todo momento.
Responsables y encargados
- Un responsable del tratamiento (controller) decide para qué y cómo se usan los datos personales. Su empleador suele ser un responsable.
- Un encargado del tratamiento (processor) usa datos personales por cuenta de un responsable y según sus instrucciones, por ejemplo una empresa de nóminas o un servicio en la nube.
- El interesado (data subject) es la persona a la que se refieren los datos. Los clientes, pacientes, alumnos, empleados y candidatos a un puesto son todos interesados.
El responsable asume las principales obligaciones legales. Como empleado, usted normalmente actúa por cuenta de su empleador. Sigue sus instrucciones y sus políticas.
Qué cuenta como usar datos
La ley lo llama tratamiento. Significa casi cualquier cosa: recoger, registrar, guardar, consultar, compartir, modificar, borrar. Incluso ver un registro en pantalla es tratamiento.
Qué cubre la ley
El UK GDPR cubre los datos personales guardados en ordenadores, teléfonos y otros sistemas digitales. También cubre los registros en papel que se conservan en un sistema de archivo. Las notas manuscritas y los mensajes cuentan cuando se guardan como parte de un conjunto de registros.
Su punto de partida
No necesita ser abogado. Sí necesita saber qué son los datos personales, tratarlos solo para su trabajo y preguntar cuando tenga dudas. La lección 8 muestra qué hacer y qué no hacer.