¿Por qué hay ahora más organizaciones que se clasifican como corredores de datos?

La definición de corredor de datos se expande más allá de los modelos tradicionales

Durante años, el concepto de «corredor de datos» hacía referencia al grupo limitado de empresas que recopilan y venden datos personales sin tener una relación directa con los consumidores. Sin embargo, esta definición se está ampliando y ya está creando nuevos riesgos operativos que muchas empresas no anticiparon.

Según los avances del marco de privacidad de California, tras la entrada en vigor de la Ley de eliminación, la definición se está alejando del modelo de negocio para orientarse más en el «modelo de relación de los datos». Ahora, la atención se centra más en cómo se recopilan, comparten y utilizan los datos personales cuando el consumidor no interactúa de forma intencional con la organización.

Asimismo, otros Estados, como Oregón y Hawái, están considerando introducir una definición de corredor de datos parecida en su legislación.

Dicho esto, para que se considere a una organización como corredor de datos, esta debe:

• Recopilar o recibir datos personales de forma indirecta
• Compartir o divulgar datos personales más allá del uso propio
• Respaldar el tratamiento, enriquecimiento o activación de datos de forma ulterior sin que haya una interacción directa con el consumidor

Por ejemplo, una plataforma de martech que ingiere datos de audiencias de terceros para la activación de campañas o un proveedor de análisis que enriquece conjuntos de datos sin ninguna interacción directa con el usuario, ahora tienen que evaluar si cumplen con el umbral que establece la legislación.

En definitiva, la pregunta pasa de ser «¿Vendemos datos?» a «¿Operamos con datos sin una relación directa con el consumidor?».

De la definición a las expectativas de aplicación

La definición más amplia es solo una parte del cambio, ya que el impacto real viene de la aplicación por parte de los reguladores y de las demandas operativas que ahora deben cumplir las organizaciones.

Por su parte, los reguladores están evaluando activamente si las organizaciones pueden operacionalizar los derechos del consumidor, y no solo documentarlos, tomando decisiones de aplicación cuando los corredores de datos no logren aplicar los requisitos de la Ley de eliminación (Delete Act), lo que se refleja claramente en dos áreas:

• Si las solicitudes de derechos del consumidor se respetan en su totalidad y de forma consistente
• Si los sistemas son capaces de tratar las solicitudes a gran escala

Aquí es donde las obligaciones de los corredores de datos se vuelven más concretas, puesto que las organizaciones que no dispongan de una relación directa con los consumidores no pueden depender de los canales típicos para las solicitudes o de los detalles contextuales a la hora de identificar a la persona que realiza la solicitud. En su lugar, deben localizar, encontrar coincidencias y actuar sobre los datos de los consumidores en diferentes sistemas, a menudo con información limitada y a una escala mucho mayor.

Esto eleva el nivel de exigencia desde la alineación de la política hasta el nivel de preparación operativa, porque se espera que los sistemas, flujos de trabajo y modelos de responsables resistan el escrutinio regulatorio.

Para los corredores de datos que operan sin una relación directa con el consumidor, una capa unificada de gestión del consentimiento y las preferencias puede apoyar el tratamiento consistente de las preferencias de privacidad, incluso cuando las solicitudes llegan con un contexto limitado a través de mecanismos como la plataforma «DROP».

La plataforma «DROP» convierte las definiciones en una realidad para las operaciones

Como ya explicamos en nuestra publicación anterior sobre la plataforma para solicitudes de eliminación y exclusión de California («DROP»), en esta plataforma se centralizan las solicitudes de eliminación para todos los corredores de datos registrados, lo que permite que los consumidores puedan enviar una sola solicitud que llegue a todas las organizaciones del ámbito relevante.

Los derechos de eliminación ahora funcionan a gran escala, con organizaciones que reciben solicitudes en bloque, un contexto identificativo limitado y obligaciones recurrentes que están vinculadas a ciclos de tratamiento fijos.

A partir del 1 de agosto de 2026, los corredores de datos deberán acceder a la plataforma «DROP» al menos una vez cada 45 días, recuperar todas las solicitudes, eliminar todos los datos asociados (incluida cualquier inferencia) e informar sobre el estado.

Esto transforma el cumplimiento normativo que pasa de un proceso reactivo a un flujo de trabajo operativo recurrente. En otras palabras, un proceso que antes era ocasional y reactivo ahora se vuelve estructurado, reiterativo y tiene que ajustarse a plazos concretos.

Por tanto, una empresa que antes trataba un pequeño número de solicitudes de ejercicio de derechos del interesado a través de email o sistemas de tiques ahora se enfrenta a lotes periódicos de solicitudes que requieren:

• Coincidencias de identidad a través de conjuntos de datos fragmentados
• Eliminación en sistemas internos y entornos de terceros
• Pruebas de finalización vinculadas a la plataforma

Dicho esto, el problema en sí no es si la organización se clasifica como corredor de datos, sino si realmente puede cumplir con las obligaciones requeridas.

Por su parte, OneTrust Data Subject Request (DSR) Automation ayuda a que las organizaciones puedan operacionalizar las obligaciones de eliminación centralizando la recepción de solicitudes, la gestión de flujos de trabajo y llevando un seguimiento del cumplimiento normativo en entornos de datos complejos.

El ámbito oculto: el intercambio de datos genera exposición

Una suposición bastante común es que las obligaciones de los corredores de datos solo se aplican a las organizaciones que venden datos. Sin embrago, en la práctica, compartir datos personales fuera de una relación directa con el consumidor puede generar una exposición similar; especialmente, cuando los datos se reutilizan, enriquecen o activan entre varias partes.

Por tanto, dentro de este ámbito también se incluyen los siguientes casos:

• Compartir datos con proveedores de análisis externos
• Activar audiencias en todos los ecosistemas publicitarios
• Enriquecer conjuntos de datos a través de partners externos
• Agregar datos de múltiples fuentes para su uso ulterior

Pensemos en una organización minorista que comparte datos de clientes seudonimizados con un partner externo para modelar audiencias. Si este partner operase sin una relación directa con el consumidor y, además, tratara o compartiera esos datos, la entidad ulterior podría considerarse como «corredor de datos».

Esto introduce una segunda capa de complejidad cuando se recibe una solicitud de eliminación, puesto que la obligación puede extenderse más allá de los sistemas internos y también englobar a los flujos de datos posteriores. Por ello, las organizaciones necesitan entender no solo dónde residen los datos a nivel interno, sino adónde fluyen y quién es el responsable de actuar sobre ellos.

Las solicitudes de ejercicio de derechos del interesado son el punto de ruptura para muchos programas

Para los corredores de datos, las solicitudes de ejercicio de derechos del interesado presentan un nivel diferente de complejidad en comparación con los casos propios.

A menudo, las solicitudes llegan sin contexto, requieren efectuar coincidencias entre múltiples identificadores y deben cumplirse en sistemas que originalmente no fueron diseñados para operar de manera conjunta.

Ahora, con la nueva capa que agrega la plataforma «DROP», las solicitudes llegan en lotes estructurados, deben procesarse con una cadencia definida y requieren informes que también hay que cargar en la plataforma. Además, la eliminación debe incluir no solo los datos «en bruto», sino también los datos derivados y las inferencias.

Por ejemplo, un equipo de privacidad que gestiona solicitudes a través de hojas de cálculo y bandejas de entrada rápidamente se encontrará con una serie de límites, mientras que otro equipo de operaciones de marketing que dependa de múltiples plataformas de activación podría no ver claro el camino a la hora de asegurar que la eliminación se propaga en todos los entornos. Asimismo, otra organización con muchas relaciones con terceros podría carecer de la visibilidad necesaria si los partners ulteriores ya hubieran cumplido con la solicitud.

En definitiva, las expectativas regulatorias ahora dependen de si los sistemas pueden soportar estos flujos de trabajo de principio a fin. Ya no basta con responder a las solicitudes porque las organizaciones deben demostrar que las respuestas están completas, son consistentes y se pueden reiterar en cada sistema donde haya datos.

En lugar de responder a cada solicitud individualmente, OneTrust Data Subject Request Automation respalda flujos de trabajo que se pueden repetir y auditar, y que se ajustan a las nuevas obligaciones que introduce el marco legislativo para corredores de datos de California.

Tres preguntas que cualquier organización debería hacerse

Para comprender tu nivel de exposición con respecto al marco actualizado de California, hazte las siguientes preguntas:

1. ¿Se nos puede considerar como corredor de datos según la nueva definición de California?
Si tu organización trata o comparte datos personales sin una relación directa con el consumidor, la respuesta podría ser afirmativa.

2. ¿Podemos operacionalizar los requisitos principales a gran escala?
El registro, las divulgaciones y el cumplimiento de solicitudes de ejercicio de derechos del interesado requieren procesos consistentes y reiterativos. En cambio, las hojas de cálculo y las bandejas de entrada no se pueden escalar.

3. ¿Nuestras relaciones con terceros generan obligaciones a nivel ulterior?
Si los datos personales salen de tus sistemas, puede que los derechos de eliminación y acceso tengan que seguir su recorrido.

En resumen, estas preguntas ayudan a cambiar la conversación para pasar de la clasificación a la ejecución, donde surgen la mayoría de las lagunas de cumplimiento normativo.

De la definición al diseño del programa

Entender si tu organización entra en la definición de corredor de datos es solo el punto de partida. La pregunta más importante es si la organización puede poner en práctica los requisitos que vienen después, lo que depende de tres puntos clave:

• Visibilidad de los datos: las organizaciones tienen que entender dónde residen los datos personales en los sistemas, incluidos los datos derivados y las inferencias.
• Registro del flujo de datos: debe estar claro cómo fluyen los datos entre los sistemas y los terceros, y en qué situaciones las obligaciones deben aplicarse más allá del ámbito de la organización.
• Responsabilidad de ejecución: la responsabilidad a la hora de cumplir con las solicitudes deben definirse entre equipos, sistemas y partners.

Sin esta base, los esfuerzos de cumplimiento normativo siguen siendo reactivos porque: las solicitudes se tratan de forma individual, las decisiones tienen que tomarse de nuevo cada vez y mantener la consistencia se vuelve difícil. En cambio, con esta base, las organizaciones pueden avanzar hacia flujos de trabajo que respalden las obligaciones recurrentes y de volumen elevado como las que introduce la plataforma «DROP».

El avance de los programas de privacidad

Ampliar la definición de «corredor de datos» hace que haya más organizaciones dentro del ámbito, especialmente aquellas que operan en ecosistemas de datos complejos sin relaciones directas con los consumidores.

Al mismo tiempo, mecanismos como la plataforma «DROP» están estandarizando cómo se ejercen los derechos del consumidor, lo que también va de la mano de flujos de trabajo recurrentes que prueban cómo se gestionan los datos a lo largo de su ciclo de vida.

Por su parte, las organizaciones que dependen de la recopilación indirecta de datos, el intercambio con terceros o la activación en cascada deberían reevaluar cómo funcionan sus programas de privacidad en la práctica, en lugar de solamente comprobar cómo se definen sobre el papel.

Para un análisis más profundo de los avances relacionados con los corredores de datos y las tendencias regulatorias a nivel global, consulta OneTrust DataGuidance.

Preguntas clave sobre los corredores de datos y la plataforma «DROP»