Privacidad por defecto

Configuración por defecto de un sistema para tratar únicamente los datos personales necesarios para cada finalidad, sin exigir al usuario que reduzca manualmente una configuración más intrusiva. «Privacidad por defecto» es un control o principio de seguridad y privacidad que debe concretarse en decisiones de arquitectura, configuración y operación. No basta con declararlo en una política: debe poder identificarse dónde se aplica, quién lo administra, cómo se revisa y qué evidencia acredita su funcionamiento. La intensidad del control debe ser proporcional al riesgo y a los datos tratados.

En un sistema real, privacidad por defecto debe traducirse a una configuración, política o control técnico verificable. La organización necesita saber quién lo administra, qué recursos cubre, qué excepciones existen y cómo se detecta un fallo del control.

Importa siempre que el sistema trate información, usuarios o permisos cuyo uso indebido pueda causar un impacto. La relevancia aumenta con datos personales, acciones privilegiadas, conexiones externas o automatizaciones capaces de modificar información.

No debe utilizarse como sinónimo de «Privacidad desde el diseño». Este último se refiere a integración de medidas de protección de datos en el diseño de procesos, sistemas y productos desde el inicio y durante todo su ciclo de vida. «Privacidad por defecto» tiene un alcance distinto y debe conservarse como concepto propio para evitar decisiones o búsquedas ambiguas.

Un nuevo usuario recibe por defecto solo los permisos mínimos de su rol y debe existir una acción expresa para ampliar acceso.

Art. 25 del RGPD.