gdpr-data-handling

Visión general de la skill gdpr-data-handling

Qué hace la skill gdpr-data-handling

La skill gdpr-data-handling ayuda a un agente a convertir requisitos amplios del GDPR en orientación concreta de implementación para tratamiento de datos, consentimiento, derechos de los interesados, retención y decisiones de privacidad desde el diseño. Resulta especialmente útil cuando necesitas algo más que un prompt genérico de “cumplir con GDPR” y buscas una forma estructurada de revisar un producto, flujo de trabajo o política frente a obligaciones habituales del GDPR.

Quién debería usarla

Los perfiles a los que mejor encaja son:

• equipos de producto e ingeniería que lanzan funcionalidades que tratan datos personales de la UE
• responsables de compliance, legal-ops y seguridad que realizan una primera revisión de brechas
• founders u operadores que están diseñando flujos de consentimiento, gestión de DSR o controles de retención
• equipos de AI que necesitan gdpr-data-handling for Compliance Review antes del lanzamiento

Si ya conoces el sistema que vas a revisar pero necesitas una checklist disciplinada y una estructura clara de salida, esta skill encaja muy bien.

La necesidad real que resuelve

La mayoría de los usuarios no necesita un resumen académico del GDPR. Necesita ayuda para responder preguntas prácticas como:

• qué categorías de datos personales intervienen
• qué base jurídica se está invocando
• si realmente hace falta consentimiento
• qué derechos de los interesados deben soportarse
• dónde son débiles la retención, la eliminación y la auditabilidad
• qué trabajo de remediación debería completarse antes del lanzamiento

Ese es el valor principal de la gdpr-data-handling skill.

Qué la diferencia de un prompt genérico

Un prompt normal puede devolver consejos amplios sobre privacidad. Esta skill es más útil cuando necesitas que el modelo razone sobre dimensiones específicas del GDPR, como:

• categorías de datos personales, incluidas categorías especiales y datos de menores
• bases jurídicas del Artículo 6
• gestión de derechos de los interesados
• expectativas de privacidad desde el diseño
• tareas operativas de cumplimiento, no solo texto de políticas

La diferencia clave es la estructura: le da al agente un marco mejor para trabajos de revisión de compliance, sobre todo cuando la información de entrada es desordenada.

Qué conviene saber antes de instalarla

Esta skill parece ser una guía de un solo archivo centrada en SKILL.md, sin scripts adicionales ni carpetas de referencia. Eso facilita mucho la adopción, pero la calidad de la salida depende en gran medida de los datos que aportes. Puede acelerar la revisión y la redacción, pero no sustituye al asesoramiento legal, al análisis específico por jurisdicción ni a la recopilación de evidencia de tus sistemas reales.

Cómo usar la skill gdpr-data-handling

Contexto de instalación de gdpr-data-handling

Instala la skill desde el repositorio que la contiene:

npx skills add https://github.com/wshobson/agents --skill gdpr-data-handling

Después de instalarla, invócala desde tu entorno de agente igual que haces con otras skills de tu flujo de trabajo. Como este repositorio solo expone SKILL.md para esta skill, apenas hay configuración más allá de la instalación y la preparación del prompt.

Lee primero este archivo

Empieza por:

• plugins/hr-legal-compliance/skills/gdpr-data-handling/SKILL.md

Como aquí no aparecen references/, resources/ ni scripts de apoyo, prácticamente toda la guía operativa está en ese archivo. Léelo antes de confiar en la skill para una revisión real, especialmente si necesitas entender bien sus límites de alcance.

Casos de uso de gdpr-data-handling en la práctica

Usa gdpr-data-handling usage para tareas como:

• revisar una nueva funcionalidad que recopila o comparte datos personales
• comprobar si un flujo de consentimiento es realmente necesario y válido
• mapear un flujo de producto a bases jurídicas
• evaluar la preparación de DSR para acceso, eliminación o portabilidad
• redactar un memo de revisión de compliance con riesgos y acciones de remediación
• poner a prueba afirmaciones de privacidad desde el diseño antes del lanzamiento

Funciona mejor cuando el agente dispone de hechos concretos sobre el sistema, no solo de intenciones abstractas.

Qué entradas necesita la skill para funcionar bien

Dale a la skill suficiente detalle operativo para poder razonar sobre obligaciones. Las entradas más útiles son:

• qué hace el producto
• qué usuarios están dentro del alcance, especialmente usuarios de la UE o menores
• qué campos de datos se recopilan
• de dónde vienen los datos y a dónde van
• si intervienen categorías especiales de datos o datos penales
• por qué se realiza cada actividad de tratamiento
• flujos actuales de consentimiento e información
• periodos de retención
• proceso de gestión de DSR
• proveedores, subencargados y contexto de transferencias

Entrada débil: “Review our app for GDPR.”

Entrada sólida: “Review our hiring platform for GDPR. We collect name, email, CV, interview notes, optional disability accommodation details, and recruiter assessments. EU candidates can create accounts, upload documents, and request deletion. Data is stored in AWS EU-West, shared with a US email vendor and analytics provider. We currently rely on consent for marketing emails and contract necessity for application processing.”

Cómo convertir un objetivo difuso en un prompt sólido para gdpr-data-handling

Un buen prompt de gdpr-data-handling guide suele tener cuatro partes:

1. descripción del sistema
2. inventario de datos
3. supuestos legales/de compliance
4. formato de salida deseado

Prompt de ejemplo:
“Use the gdpr-data-handling skill to perform a compliance review of our employee wellness app. Identify personal data categories, likely legal bases, where explicit consent is required, DSR obligations, retention risks, and privacy-by-design gaps. Then produce a prioritized remediation list with high/medium/low severity and note assumptions where facts are missing.”

Ese prompt es mejor porque pide clasificación, análisis y priorización, en lugar de consejos genéricos sobre GDPR.

Un flujo de trabajo práctico que ahorra tiempo

Un flujo fiable es:

1. describir el sistema y los usuarios
2. listar las categorías de datos y las finalidades de tratamiento
3. pedir al agente que asocie cada actividad a una base jurídica
4. pedir implicaciones sobre derechos, consentimiento, retención y transferencias
5. solicitar una lista de brechas con severidad y siguientes acciones
6. revisar con los datos que falten después de la primera pasada

Este enfoque por etapas funciona mejor que pedir de entrada una política final o una conclusión legal cerrada.

Qué salidas conviene solicitar

Para trabajo de implementación, pide salidas sobre las que se pueda actuar:

• tabla de actividades de tratamiento
• mapa de bases jurídicas
• matriz de decisión sobre consentimiento
• checklist de soporte para DSR
• requisitos de retención y eliminación
• recomendaciones de privacidad desde el diseño
• bloqueadores de lanzamiento frente a no bloqueadores
• preguntas abiertas para revisión legal

Estos formatos hacen que la gdpr-data-handling skill sea más útil para equipos de ingeniería y compliance que un texto narrativo largo.

Dónde es más probable que la skill ayude de verdad

Esta skill aporta más valor cuando tu equipo necesita una revisión estructurada inicial pero todavía no cuenta con un playbook de privacidad maduro. Resulta especialmente útil para sacar a la luz supuestos faltantes: muchas veces los equipos saben qué recopilan, pero no qué base jurídica están usando realmente ni cómo atenderían de extremo a extremo una solicitud de acceso o eliminación.

Restricciones y tradeoffs

Como la skill se basa en documentación y no incluye automatización, no va a inspeccionar por sí sola tus bases de datos, logs, contratos con proveedores ni configuraciones de producción. Puede razonar a partir de los hechos que le des y generar buenos entregables de revisión, pero no puede verificar evidencia de implementación. Úsala como una capa guiada de análisis de compliance, no como un sistema de auditoría.

Cuándo basta con un prompt normal

Si solo necesitas una explicación breve de conceptos del GDPR, un prompt general puede ser suficiente. Instala gdpr-data-handling cuando quieras una estructura repetible para revisión de implementación, especialmente en torno a la elección de base jurídica, la gestión de derechos y decisiones de diseño que luego deben traducirse en tareas de ingeniería.

Preguntas frecuentes sobre la skill gdpr-data-handling

¿Es gdpr-data-handling una buena opción para principiantes?

Sí, si ya entiendes tu producto. La skill ayuda a principiantes porque organiza la revisión en torno a conceptos prácticos del GDPR como bases jurídicas y derechos. Resulta menos útil si todavía no has mapeado tus flujos de datos, porque el modelo tendrá que suponer demasiadas cosas.

¿Puedo usar gdpr-data-handling for Compliance Review?

Sí. De hecho, es una de las mejores razones para usarla. La skill encaja muy bien en una primera revisión de compliance de una funcionalidad, producto o flujo de trabajo, sobre todo cuando quieres una lista de brechas y un plan de remediación, no una explicación genérica del reglamento.

¿Sustituye a un abogado o a un DPO?

No. La gdpr-data-handling skill puede ayudar a identificar obligaciones probables, riesgos y controles ausentes, pero no genera asesoramiento legal ni valida que tu interpretación vaya a sostenerse ante un regulador o en una disputa. Úsala para llegar mejor preparado y reducir puntos ciegos antes de la revisión legal.

¿Sirve solo para gestión de consentimiento?

No. El consentimiento es solo una de las bases jurídicas, y muchos equipos lo usan en exceso. La skill también ayuda con necesidad contractual, interés legítimo, obligación legal, privacidad desde el diseño, gestión de DSR y clasificación de datos. Ese enfoque más amplio es una de las razones para preferirla frente a una simple checklist centrada solo en consentimiento.

¿Cuándo no debería usar esta skill?

Sáltatela si:

• tu tarea es exclusivamente de privacidad no UE y no hay un ángulo GDPR
• necesitas recopilación automatizada de evidencia desde sistemas
• buscas asesoramiento legal específico por jurisdicción más allá del alcance de la skill
• todavía no sabes qué datos procesa tu sistema

En esos casos, primero haz discovery de datos o involucra a un especialista.

¿En qué se diferencia de un prompt simple sobre GDPR?

Un prompt simple suele devolver lenguaje genérico de compliance. gdpr-data-handling usage funciona mejor cuando necesitas que el modelo revise de forma consistente categorías de datos, base jurídica, derechos e implicaciones de implementación en una sola pasada. La estructura reduce omisiones, especialmente en revisiones de funcionalidades.

Cómo mejorar la skill gdpr-data-handling

Dale a gdpr-data-handling un inventario de tratamiento, no un eslogan

La mayor mejora de calidad llega cuando sustituyes peticiones vagas por un inventario compacto de tratamiento. Incluye:

• actor: customer, employee, candidate, child, patient
• data: fields collected
• purpose: why processed
• basis: your current assumption
• movement: storage, sharing, transfers
• lifecycle: retention and deletion

Esto permite que gdpr-data-handling produzca análisis en lugar de especulación.

Señala pronto las categorías de alto riesgo

Indica desde el inicio del prompt si hay categorías especiales de datos, datos penales, datos de menores, monitorización a gran escala o transferencias internacionales. Estos hechos cambian materialmente el análisis de compliance y a menudo determinan si hacen falta salvaguardas adicionales o una revisión más profunda.

Pide que los supuestos se separen de las conclusiones

Un fallo frecuente es la falsa certeza. Mejora la salida pidiendo al agente que etiquete:

• hechos confirmados
• supuestos
• obligaciones probables
• cuestiones legales no resueltas

Esa separación hace que el resultado sea más seguro para circular internamente.

Solicita la remediación en lenguaje de implementación

No te quedes en “identify GDPR risks.” Pide:

• controles necesarios
• sugerencias de responsables
• nivel de prioridad
• evidencia que hay que recopilar
• cambios propuestos de producto o de proceso

Esto convierte la gdpr-data-handling guide en una herramienta de ejecución para equipos de ingeniería y compliance.

Compara estado actual frente a estado objetivo

Para obtener mejores resultados, aporta lo que ya existe:

• banner de consentimiento o flujo de cuenta
• resumen del aviso de privacidad
• reglas de retención
• proceso de eliminación
• lista de proveedores
• controles de seguridad

Después pide a la skill que compare el estado actual con las expectativas objetivo del GDPR. Un análisis de brechas es mucho más accionable que una checklist genérica.

Itera después de la primera salida

Usa la primera ejecución para detectar los datos que faltan. Luego continúa con prompts como:

• “Reassess legal bases now that analytics is optional and disabled by default for EU users.”
• “Update the review assuming disability information is processed only when candidates request accommodations.”
• “Prioritize remediation items that block launch in the next 30 days.”

A menudo es en esta segunda pasada donde la gdpr-data-handling skill se vuelve realmente útil para tomar decisiones.

Vigila estos fallos habituales

Los malos resultados suelen venir de:

• categorías de datos poco claras
• no distinguir entre roles de controller y processor
• asumir que siempre hace falta consentimiento
• ignorar operaciones de retención y eliminación
• olvidar el intercambio con proveedores o las transferencias internacionales
• pedir una respuesta legal final sin suficientes hechos

Corrige esas entradas antes de echarle la culpa a la skill.

Combínala con contexto específico del repositorio

Si estás revisando un codebase o producto real, pega en el prompt notas de arquitectura, campos de API, flujos de alta y documentación de proveedores. La skill en sí ofrece orientación general; el contexto de tu sistema es lo que la convierte en una revisión con sentido.

Usa gdpr-data-handling como capa de revisión, no como casilla por marcar

La mejor forma de mejorar los resultados de gdpr-data-handling es usarla como parte de un flujo vivo: revisión de diseño, revisión previa al lanzamiento, comprobaciones de preparación para DSR y reevaluación después de cambios. Los equipos obtienen más valor cuando retoman el análisis tras cambios de producto, en vez de tratar la primera salida como definitiva.