GDPR para empresas latinoamericanas: cuándo el reglamento europeo alcanza tu negocio y qué hacer más allá de la ley de datos local

Cuándo el GDPR se aplica a una empresa establecida en América Latina

El alcance territorial del GDPR está en el art. 3 del Reglamento UE 2016/679. El art. 3(1) cubre el tratamiento realizado por organizaciones con establecimiento en la Unión Europea. El punto que interesa a la empresa latinoamericana es el art. 3(2): el reglamento se aplica a responsables o encargados sin establecimiento en la UE cuando el tratamiento se relaciona con la oferta de bienes o servicios a titulares que están en la Unión —aunque sean gratuitos— o con el monitoreo de su comportamiento en la medida en que ocurra dentro del bloque.

Observa que el factor decisivo no es la nacionalidad ni la residencia formal del titular, sino la ubicación de la persona en el momento del tratamiento, combinada con la intención de la empresa de dirigir su actividad a ese mercado. Un SaaS latinoamericano que acepta clientes en Alemania, un e-commerce que vende y entrega en España, o una fintech que hace onboarding de usuarios en Portugal entran, por regla general, en el alcance del GDPR.

La oferta de bienes o servicios exige una intención demostrable de dirigirse a la UE. El Considerando 23 del GDPR y las Directrices 3/2018 del EDPB señalan indicios concretos: sitio web o checkout en un idioma europeo no habitual en el país de origen, precios en euros, dominio de un país miembro (.de, .fr, .pt), mención a clientes europeos, posibilidad de entrega o pago en moneda de la UE. El simple hecho de que el sitio sea accesible desde Europa no basta.

El monitoreo de comportamiento (art. 3(2)(b)) abarca el rastreo de personas en internet con perfilado, analytics que siguen la navegación, cookies de publicidad comportamental, retargeting y fingerprinting aplicados a quienes están físicamente en la UE. Para muchas empresas digitales latinoamericanas, es por esta puerta —y no por la venta directa— por donde el GDPR pasa a incidir.

Qué cambia respecto a la ley de datos local: superposición y lagunas

Muchas leyes de protección de datos latinoamericanas se inspiraron en el GDPR, y eso crea una superposición útil: ambas adoptan la lógica de bases legales para el tratamiento, aseguran derechos al titular (acceso, corrección, eliminación, portabilidad), exigen informes de impacto en situaciones de riesgo, imponen un deber de seguridad y prevén la notificación de incidentes. Una empresa madura en su ley local parte de una base sólida —pero incompleta— para el GDPR.

Las diferencias, sin embargo, son sustanciales y no pueden ignorarse. El GDPR tiene una figura inexistente en muchas leyes locales: el representante en la UE (art. 27). Trata las bases legales con matices propios —el consentimiento europeo exige una granularidad y una facilidad de retirada equivalentes al acto de consentir, y el interés legítimo demanda una prueba de ponderación documentada (LIA)—. Los plazos y el contenido de la notificación de la violación al supervisor (art. 33, 72 horas) y a los titulares (art. 34) siguen reglas específicas del bloque.

Existe además el régimen de transferencias internacionales del Capítulo V, mucho más formalizado que en las leyes locales, y el cálculo de multas, que en el GDPR puede alcanzar un porcentaje de la facturación global —algo distinto de los topes por infracción de las normas latinoamericanas—. La consecuencia práctica es directa: el programa de privacidad debe construirse para atender al más exigente de los dos regímenes en cada punto, y no tratarse como una capa única.

En síntesis, la pregunta correcta para el área jurídica y el DPO no es «¿ya cumplimos con la ley local?», sino «¿qué obligaciones añade el GDPR sobre lo que ya hacemos, y dónde divergen ambos regímenes en el detalle?». Es en ese delta donde reside el riesgo regulatorio de quien trata datos de personas en Europa desde América Latina.

Bases legales bajo el GDPR para la empresa latinoamericana

El art. 6 del GDPR enumera seis bases legales para los datos comunes: consentimiento, ejecución de contrato, obligación legal, intereses vitales, misión de interés público e interés legítimo. La elección de la base debe hacerse y documentarse antes del tratamiento, y no puede cambiarse de forma oportunista después —un punto frecuentemente fiscalizado por las autoridades europeas—.

El consentimiento del GDPR (art. 7) es más estricto que la percepción habitual: debe ser libre, específico, informado, inequívoco y tan fácil de retirar como de otorgar. Las casillas premarcadas y los consentimientos agrupados no son válidos. Para muchas operaciones de SaaS y e-commerce, la base más adecuada es la ejecución de contrato (art. 6(1)(b)) o el interés legítimo (art. 6(1)(f)), reservando el consentimiento para marketing y cookies no esenciales.

Cuando la empresa usa el interés legítimo, el GDPR exige una prueba de ponderación (Legitimate Interests Assessment) que confronte el interés del negocio con los derechos y las expectativas razonables del titular, con registro escrito. Los datos sensibles —salud, biometría, origen racial, opinión política, datos de menores— tienen un régimen reforzado en los arts. 9 y 8, con exigencias adicionales de licitud.

Para la empresa latinoamericana, el cuidado adicional es mapear por separado las bases bajo la ley local y bajo el GDPR para el mismo flujo de datos, ya que las listas y los requisitos no coinciden punto por punto. El registro de las actividades de tratamiento (art. 30 del GDPR) hace ese mapeo auditable y es, en la práctica, el documento que la autoridad pide primero.

Transferencia internacional de datos de la UE hacia América Latina

Llevar datos personales de la Unión Europea hacia América Latina es una transferencia internacional regida por el Capítulo V del GDPR (arts. 44 a 50). La regla general es que la transferencia solo es lícita si existe un mecanismo adecuado que asegure a los datos, fuera de la UE, un nivel de protección esencialmente equivalente al europeo.

El mecanismo más simple sería una decisión de adecuación de la Comisión Europea (art. 45), que dispensa salvaguardas adicionales. Buena parte de los países latinoamericanos no cuenta con esa decisión de adecuación. Por lo tanto, las empresas de la región dependen de las salvaguardas del art. 46 —siendo las más comunes las Cláusulas Contractuales Tipo (SCC) adoptadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión, y, dentro de grupos económicos, las Normas Corporativas Vinculantes (BCR)—.

Tras la sentencia Schrems II (CJEU, asunto C-311/18, 2020), las SCC por sí solas no bastan. El exportador europeo debe realizar una Evaluación de Impacto de la Transferencia (Transfer Impact Assessment), examinando si la legislación y la práctica del país de destino —incluido el acceso gubernamental a los datos— comprometen las garantías contractuales y, en caso afirmativo, adoptar medidas suplementarias (criptografía, seudonimización, controles de acceso) conforme a las Recomendaciones 01/2020 del EDPB.

Para la empresa latinoamericana, esto se traduce en firmar las SCC correctas en el módulo adecuado (responsable-responsable, responsable-encargado, etc.), apoyar la documentación de la evaluación de impacto del socio europeo y demostrar medidas técnicas concretas de protección. Es un trabajo conjunto del área jurídica y de seguridad de la información, y no solo una cláusula contractual genérica.

Representante en la UE (art. 27) y DPO (art. 37)

El art. 27 del GDPR exige que los responsables y encargados sin establecimiento en la UE, pero sujetos al reglamento por el art. 3(2), nombren por escrito un representante establecido en uno de los Estados miembros donde se encuentran los titulares cuyos datos se tratan. Ese representante es el punto de contacto para las autoridades de control y para los titulares, y puede ser responsabilizado en procedimientos de fiscalización —no es una formalidad decorativa—.

La obligación tiene excepciones (art. 27(2)): se dispensa el representante cuando el tratamiento es ocasional, no incluye a gran escala datos sensibles o de naturaleza penal, y es improbable que resulte en un riesgo para los derechos de los titulares. En la práctica, los e-commerce, los SaaS y las fintech con clientes europeos recurrentes rara vez encajan en la excepción y necesitan nombrar al representante.

El DPO (delegado de protección de datos, arts. 37 a 39) es obligatorio cuando el tratamiento lo realiza una autoridad pública, cuando la actividad principal exige un monitoreo regular y sistemático de titulares a gran escala, o cuando la actividad principal consiste en el tratamiento a gran escala de datos sensibles. Los detonantes del GDPR son más objetivos que los de las leyes locales, y el DPO europeo debe tener autonomía, conocimiento especializado y canal directo con la alta dirección.

Atención a una confusión común: el representante en la UE y el DPO son roles distintos y, por regla general, no deben ser ejercidos por la misma persona, porque hay un potencial conflicto de funciones. Una empresa latinoamericana puede necesitar ambos al mismo tiempo —un representante en el territorio europeo y un delegado responsable del programa de cumplimiento—.

Multas y fiscalización: los números reales del GDPR

El GDPR establece dos niveles de multa administrativa en el art. 83. El primero (art. 83(4)) alcanza hasta 10 millones de euros o el 2 % de la facturación global anual total del ejercicio anterior, lo que sea mayor, para infracciones como fallas en el registro de tratamiento, en el nombramiento del representante o en las obligaciones del encargado.

El segundo nivel (art. 83(5)) llega hasta 20 millones de euros o el 4 % de la facturación mundial anual total del ejercicio financiero anterior, lo que sea mayor. Ese tope se aplica a las infracciones más graves: violación de principios básicos, de las condiciones de consentimiento, de los derechos de los titulares y de las reglas de transferencia internacional del Capítulo V. Para los grandes grupos, el criterio del porcentaje de la facturación puede superar con creces el valor fijo en euros.

Comparado con las leyes de datos latinoamericanas, cuyos topes suelen calcularse sobre la facturación en el país y con límites nominales por infracción, el GDPR opera en otra escala y usa la facturación global como base, no la facturación en el país. Las autoridades europeas han aplicado multas expresivas, y el art. 83(2) detalla criterios de dosimetría —gravedad, intención, medidas mitigadoras, cooperación— que recompensan a quien documenta su cumplimiento.

Además de la multa, las autoridades de control pueden determinar la suspensión del tratamiento, la prohibición de transferencias y otras medidas correctivas (art. 58). Para la empresa latinoamericana, el impacto reputacional y contractual suele ser tan relevante como el valor de la multa, sobre todo cuando el cliente europeo exige garantías de cumplimiento como condición comercial.

Cómo cumplir

1. 1

   Determina si el GDPR se aplica

   Mapea si la empresa ofrece bienes/servicios a personas en la UE o monitorea el comportamiento de quienes están en el bloque (art. 3(2)). Evalúa indicios de direccionamiento: idioma, moneda, dominio, entrega y analytics. Documenta la conclusión.

2. 2

   Inventaría los flujos de datos europeos

   Construye el registro de las actividades de tratamiento (art. 30), identificando qué datos de titulares en la UE se recogen, con qué finalidad, durante cuánto tiempo y hacia dónde se transfieren, separando los flujos sujetos al GDPR.

3. 3

   Define y documenta las bases legales del GDPR

   Para cada finalidad, elige la base del art. 6 (y del art. 9 si hay datos sensibles). Para el interés legítimo, registra la prueba de ponderación (LIA). Ajusta los textos de consentimiento al estándar del art. 7.

4. 4

   Estructura las transferencias internacionales

   Como buena parte de los países latinoamericanos no tiene decisión de adecuación, adopta las Cláusulas Contractuales Tipo (SCC) en el módulo correcto y apoya la Evaluación de Impacto de la Transferencia exigida tras Schrems II, implementando medidas suplementarias de seguridad.

5. 5

   Nombra al representante en la UE

   Salvo que encajes en la excepción del art. 27(2), nombra por escrito a un representante establecido en un Estado miembro donde haya titulares, con un mandato claro para actuar ante autoridades y titulares y con divulgación del contacto en la política de privacidad.

6. 6

   Evalúa la obligatoriedad del DPO

   Verifica los detonantes del art. 37 (monitoreo sistemático a gran escala o tratamiento a gran escala de datos sensibles). Si es obligatorio, designa un DPO con autonomía, expertise y acceso a la alta dirección, distinto del representante en la UE.

7. 7

   Implementa la respuesta a incidentes al estándar europeo

   Establece un proceso para notificar a la autoridad de control en hasta 72 horas (art. 33) y a los titulares cuando haya alto riesgo (art. 34), con plantillas, cadena de decisión y registro de todos los incidentes, incluso los no notificables.

Preguntas frecuentes