Skip to content
StackPractices
EN
intermediate Por Mathias Paulenko

Cumplimiento GDPR — Guía Práctica para Desarrolladores

Guía orientada a desarrolladores sobre cumplimiento GDPR: derechos de los titulares, base legal, minimización de datos y medidas técnicas para privacidad desde el diseño.

gdpr compliance privacy data guide
Temas: security data

Nota para desarrolladores hispanohablantes: Esta guía incluye ejemplos y convenciones de nomenclatura adaptadas a equipos que trabajan en español. Cuando existen diferencias significativas en terminología técnica entre el inglés y el español, se indican explícitamente para facilitar la comunicación en equipos multiculturales.

Visión General

El Reglamento General de Protección de Datos (GDPR) es la ley de privacidad de la UE, pero su alcance se extiende a cualquier organización que procese datos de residentes de la UE. Para desarrolladores, el cumplimiento no es una casilla legal: es un conjunto de requisitos técnicos y arquitectónicos: pseudonimización, minimización de datos, cifrado, seguimiento de consentimientos y capacidades de eliminación. Esta guía traduce los artículos del GDPR en prácticas de ingeniería útiles.

Cuándo Usar

  • For alternatives, see Data Privacy and GDPR Compliance.

  • Procesas datos personales de residentes de la UE

  • Necesitas implementar derechos de los titulares de datos (acceso, eliminación, portabilidad)

  • Estás diseñando sistemas que manejan PII (Información de Identificación Personal)

  • Necesitas demostrar privacidad desde el diseño ante auditores

Conceptos Clave del GDPR para Desarrolladores

Datos Personales

Cualquier información relativa a una persona física identificada o identificable. Ejemplos: nombre, correo electrónico, dirección IP, ID de cookie, huella digital del dispositivo.

Tipo de DatoCobertura GDPR
Nombre, correo, teléfonoPII directa
Dirección IP, ID de cookiePII indirecta (puede identificar)
Analíticas agregadasNo es PII si está debidamente anonimizada
Datos pseudonimizadosSigue siendo PII bajo el GDPR

Debes tener un motivo legal para procesar datos:

BaseImplicación para Desarrolladores
ConsentimientoEl usuario optó explícitamente; debe ser revocable
ContratoDatos necesarios para cumplir un contrato de servicio
Obligación legalRequerido por ley (ej. registros fiscales)
Interés legítimoEquilibrado contra derechos del usuario; no anula el consentimiento

Privacidad desde el Diseño

Minimización de Datos

Recopila solo lo que necesitas, almacena solo lo necesario.

# Mal: recolectar todo
user = {
    "name": request.name,
    "email": request.email,
    "phone": request.phone,  # Realmente lo necesitas?
    "birthdate": request.birthdate,
    "ssn": request.ssn,  # Nunca recolectes sin necesidad explícita
}

# Bien: campos mínimos requeridos
user = {
    "name": request.name,
    "email": request.email,  # Necesario para autenticación
}

Pseudonimización

Reemplaza campos identificativos con pseudónimos para reducir el riesgo.

import uuid
import hashlib

# Genera un pseudónimo para analíticas
pseudonym = hashlib.sha256(
    f"{user_id}:{secret_salt}".encode()
).hexdigest()[:16]

# Almacena el pseudónimo en la DB de analíticas, el ID real en DB separada
analytics.record(user_pseudonym=pseudonym, event="page_view")

Cifrado en Reposo y en Tránsito

# Cifra PII antes de almacenar
from cryptography.fernet import Fernet

key = Fernet.generate_key()
cipher = Fernet(key)

encrypted_email = cipher.encrypt(user.email.encode())
db.store(encrypted_email=encrypted_email)

Derechos de los Titulares de Datos

Derecho de Acceso

Los usuarios pueden solicitar una copia de todos sus datos.

@app.get("/api/users/me/data-export")
def export_user_data(user: CurrentUser):
    data = {
        "profile": db.get_profile(user.id),
        "orders": db.get_orders(user.id),
        "logs": audit_log.get_entries(user.id),
    }
    return JSONResponse(content=data, headers={
        "Content-Disposition": f"attachment; filename=user-{user.id}-export.json"
    })

Derecho de Eliminación (Derecho al Olvido)

Elimina todos los datos del usuario, incluidas copias de seguridad (en un plazo razonable).

@app.delete("/api/users/me")
def delete_user(user: CurrentUser):
    # Eliminación lógica primero (período de gracia)
    db.users.update(user.id, deleted_at=now(), deletion_scheduled=now() + days(30))
    
    # Cascada a tablas relacionadas
    db.orders.anonymize(user_id=user.id)
    db.sessions.revoke_all(user.id)
    audit_log.purge(user.id)  # O anonimiza
    
    # Encolar eliminación definitiva de copias de seguridad
    queue.enqueue("delete_from_backups", user_id=user.id, execute_after=days(30))

Derecho de Portabilidad de Datos

Exportar datos en formato legible por máquina.

@app.get("/api/users/me/export/portable")
def portable_export(user: CurrentUser):
    data = db.export_user_data(user.id)
    return {
        "format": "JSON",
        "schema_version": "1.0",
        "data": data,
        "exported_at": datetime.utcnow().isoformat()
    }

Gestión de Consentimientos

Consentimiento Granular

El consentimiento debe ser específico, informado y libremente otorgado.

// Frontend: casillas de consentimiento granular
<form>
  <label>
    <input type="checkbox" name="marketing_email" />
    Enviarme correos de marketing
  </label>
  <label>
    <input type="checkbox" name="analytics_cookies" />
    Permitir cookies de analíticas
  </label>
  <label>
    <input type="checkbox" name="third_party_sharing" />
    Compartir datos con socios
  </label>
</form>

Versionado de Consentimientos y Auditoría

class ConsentRecord(BaseModel):
    user_id: str
    purpose: str  # "marketing_email"
    granted: bool
    version: str  # "v2.1"
    timestamp: datetime
    ip_address: str
    user_agent: str

def record_consent(user_id: str, purpose: str, granted: bool):
    db.consent_log.insert(ConsentRecord(
        user_id=user_id,
        purpose=purpose,
        granted=granted,
        version=CURRENT_CONSENT_VERSION,
        timestamp=datetime.utcnow(),
        ip_address=request.client_ip,
        user_agent=request.user_agent
    ))

Notificación de Brechas

El GDPR exige notificación de brechas dentro de 72 horas.

# Detección automatizada de brechas y alertas
def detect_anomaly(access_log):
    if access_log.unauthorized_attempts > 100:
        alert_security_team(
            severity="high",
            description="Posible brecha: intentos masivos de acceso no autorizado",
            affected_users=access_log.unique_user_ids,
            timestamp=datetime.utcnow()
        )

Errores Comunes

  • Asumir que el GDPR solo aplica en la UE — aplica a cualquier dato de residentes de la UE, independientemente de la ubicación de la empresa
  • Almacenar el consentimiento como booleano sin contexto — necesitas versión, timestamp y qué se consentido
  • Eliminar sin rastro de auditoría — los auditores necesitan prueba de eliminación
  • Ignorar a procesadores de terceros — eres responsable del cumplimiento de tus proveedores
  • Usar interés legítimo como comodín — debe equilibrarse contra los derechos del usuario

FAQ

Necesito un Delegado de Protección de Datos (DPO)? Es obligatorio si procesas datos sensibles a gran escala o realizas monitoreo sistemático. Designa uno proactivamente si no estás seguro.

Cuál es la diferencia entre anonimización y pseudonimización? La anonimización es irreversible: los datos nunca pueden re-vincularse a una persona. La pseudonimización usa un mapeo reversible (mantenido por separado), por lo que sigue siendo datos personales bajo el GDPR.

Cómo manejo copias de seguridad para el derecho de eliminación? Elimina los datos de los sistemas activos inmediatamente. Remuévelos de las copias de seguridad dentro de un período de retención documentado (típicamente 30-90 días), con notas técnicas que expliquen por qué el retraso es necesario.

¿Cómo empiezo con esto en un proyecto existente?

Empieza con una parte pequeña y aislada de tu codebase. Aplica los conceptos de esta guía a un módulo o servicio. Mide el impacto, luego expande a otras áreas.

¿Qué herramientas necesito?

Las herramientas mencionadas throughout esta guía se listan en cada sección. La mayoría son open-source y ampliamente adoptadas. Consulta los recursos relacionados para instrucciones de setup.

¿Cómo mido el éxito después de implementar esto?

Define métricas claras antes de empezar: benchmarks de rendimiento, tasas de error o indicadores de mantenibilidad. Compara antes y después. Itera basándote en datos, no en suposiciones.

Temas Avanzados

Escenario: Implementacion GDPR para SaaS B2C

Sistema: SaaS B2C, usuarios en EU, maneja PII
Objetivo: Cumplimiento GDPR completo

Principios GDPR:
  1. Lawfulness, fairness, transparency
  2. Purpose limitation
  3. Data minimization
  4. Accuracy
  5. Storage limitation
  6. Integrity and confidentiality
  7. Accountability

Derechos del usuario (DSAR - Data Subject Access Request):
  | Derecho | Implementacion | SLA |
  |---------|----------------|-----|
  | Acceso | Exportar todos los datos del usuario | 30 dias |
  | Rectificacion | Editar datos personales | 30 dias |
  | Supresion (olvido) | Eliminar cuenta y todos los datos | 30 dias |
  | Portabilidad | Export en formato JSON/CSV | 30 dias |
  | Oposicion | Opt-out de marketing | Inmediato |
  | Limitacion | Congelar procesamiento temporal | 30 dias |
  | No automatizada | No decisiones solo por algoritmo | N/A |

Implementacion tecnica:
  | Requisito | Implementacion |
  |-----------|----------------|
  | Consentimiento | Banner de cookies + opt-in explicito |
  | Cifrado | AES-256 en reposo, TLS 1.3 en transito |
  | Minimizacion | Solo recolectar datos necesarios |
  | Retencion | Auto-delete despues de 2 anos inactivo |
  | DPA (Data Processing Agreement) | Contrato con cada sub-procesador |
  | DPO (Data Protection Officer) | Designar si > 250 empleados |
  | DPIA (Data Protection Impact Assessment) | Para procesamiento de alto riesgo |
  | Notificacion de breach | Notificar autoridad en 72h |
  | Registro de actividades | Log de procesamiento de datos |

```sql
-- Tabla de consentimiento
CREATE TABLE user_consents (
  id UUID PRIMARY KEY DEFAULT gen_random_uuid(),
  user_id UUID NOT NULL REFERENCES users(id),
  purpose VARCHAR(100) NOT NULL,  -- marketing, analytics, etc
  consent_given BOOLEAN NOT NULL,
  consent_date TIMESTAMP NOT NULL DEFAULT NOW(),
  withdrawal_date TIMESTAMP,
  ip_address VARCHAR(45),
  UNIQUE(user_id, purpose)
);

-- Tabla de DSAR (Data Subject Access Requests)
CREATE TABLE dsar_requests (
  id UUID PRIMARY KEY DEFAULT gen_random_uuid(),
  user_id UUID NOT NULL REFERENCES users(id),
  request_type VARCHAR(50) NOT NULL,  -- access, deletion, portability
  status VARCHAR(20) DEFAULT "pending",  -- pending, processing, completed
  requested_at TIMESTAMP DEFAULT NOW(),
  completed_at TIMESTAMP,
  notes TEXT
);

-- Auto-deletion: usuarios inactivos por 2 anos
-- Cron job: DELETE FROM users WHERE last_login < NOW() - INTERVAL "2 years";

Lecciones:

  • GDPR aplica si tienes usuarios en EU, sin importar donde esta tu server
  • Consentimiento debe ser explicito, no pre-tildado
  • Derecho al olvido: eliminar todos los datos, incluyendo backups
  • Notificacion de breach en 72h es obligatoria
  • DPA con cada sub-procesador (AWS, Stripe, etc)
  • Audit log de DSAR: quien pidio que y cuando se completo

### Como manejo el derecho al olvido con backups?

Elimina los datos de la base de datos activa inmediatamente. Para backups, marca el usuario para eliminacion en el siguiente ciclo de backup. Cuando el backup expire (segun politica de retencion, tipicamente 30-90 dias), los datos se eliminan permanentemente. Documenta el proceso: el regulador acepta que los backups tardan mas, siempre que haya un proceso definido.