Simulacro de la Data Protection & AI Professional

Preguntas de ejemplo

Dos preguntas de este simulacro, con el mismo estilo del examen de certificación. Responde antes de abrir la explicación.

1. Pregunta 1

   Una universidad administra una página en una red social. La red instala cookies en los dispositivos de los visitantes y entrega a la universidad estadísticas sobre el público de la página, como rangos de edad y los horarios en que los visitantes están más activos. Según el RGPD, tal como lo interpreta el Tribunal de Justicia de la UE, ¿cuál es el papel de la universidad en la recolección de los datos de los visitantes para esas estadísticas?

   1. Ninguno, porque la universidad recibe solo estadísticas agregadas y nunca ve datos de visitantes individuales
   2. Encargada del tratamiento de la red, porque usa un servicio cuyos términos y herramientas define por completo la red
   3. Corresponsable con la red, porque, al crear la página y elegir su configuración, contribuye a determinar ese tratamiento
   4. Responsable única, porque eligió abrir la página y por eso responde por todo lo que la red hace con los datos de los visitantes
   Ver respuesta y explicación

   Respuesta correcta: C. Corresponsable con la red, porque, al crear la página y elegir su configuración, contribuye a determinar ese tratamiento

   En el caso Wirtschaftsakademie (C-210/16), el Tribunal de Justicia resolvió que el administrador de una página en una red social es corresponsable con la plataforma en la recolección de datos de los visitantes que se usa para producir las estadísticas de la página: al crear la página y fijar parámetros como el público objetivo, el administrador participa en la determinación de los fines y los medios. Ser responsable no exige acceso a los datos en bruto, así que recibir solo datos agregados no elimina ese papel. La universidad no es encargada, porque no actúa por cuenta de la red ni sigue sus instrucciones. Tampoco es responsable única: la corresponsabilidad abarca las etapas que ayuda a decidir, no todo lo que la red hace con los datos para fines propios.

2. Pregunta 2

   Una cadena de gimnasios brasileña conserva cuestionarios de salud en los que los socios informaron afecciones cardíacas, lesiones y medicamentos, recolectados para adaptar con seguridad el entrenamiento de cada uno. La dirección ahora quiere analizar los cuestionarios para decidir qué nuevas clases ofrecer. Según la LGPD, ¿qué vía puede sustentar este nuevo uso?

   1. Obtener un consentimiento específico y destacado para esta finalidad, o anonimizar los datos antes del análisis
   2. Interés legítimo, apoyado en una prueba de ponderación documentada que muestre que los socios se benefician con mejores clases
   3. Tutela de la salud, ya que los datos se refieren a la salud de los socios y las nuevas clases buscan mejorarla
   4. Interés legítimo, siempre que los cuestionarios se seudonimicen antes de llegar a los analistas
   Ver respuesta y explicación

   Respuesta correcta: A. Obtener un consentimiento específico y destacado para esta finalidad, o anonimizar los datos antes del análisis

   Los datos de salud son datos personales sensibles en la LGPD, y el artículo 11 enumera las únicas bases para tratarlos. El interés legítimo no está entre ellas, así que ni una prueba de ponderación ni la seudonimización lo vuelven disponible; además, los datos seudonimizados siguen siendo datos personales. La tutela de la salud se limita a procedimientos realizados por profesionales de la salud, servicios de salud o autoridades sanitarias, y la planificación de productos de un gimnasio no lo es. Para una finalidad nueva como esta, el gimnasio necesita un consentimiento específico y destacado para esa finalidad, o puede anonimizar los datos para que el análisis quede fuera de la LGPD.