Privacidad · El Escrutinio

Responsable del tratamiento

Responsable: Roger Bellver González, persona física
NIF: 47742381Q
Domicilio: Carrer dels Esports 1, 08017 Barcelona
Canal de protección de datos: privacidad@elescrutinio.es

No hay delegado de protección de datos

No se ha designado delegado de protección de datos, y lo decimos expresamente para que nadie deduzca lo contrario de la existencia de un canal específico.

No concurre ninguno de los supuestos del artículo 37.1 del RGPD: el responsable no es una autoridad ni un organismo público, su actividad principal no consiste en operaciones que requieran una observación habitual y sistemática de interesados a gran escala, y el tratamiento de categorías especiales y de datos relativos a infracciones penales, aunque no es ocasional, no alcanza la gran escala que exige el precepto. Un medio de comunicación tampoco figura entre los casos del artículo 34.1 de la Ley Orgánica 3/2018 (LOPDGDD).

Una designación voluntaria no sería inocua: el artículo 34.2 de la LOPDGDD somete al delegado designado voluntariamente al régimen completo del RGPD, el artículo 34.3 obliga a comunicar la designación a la Agencia Española de Protección de Datos en diez días, y el propio editor no podría ejercer el cargo sin incurrir en el conflicto de intereses que prohíbe el artículo 38.6 del RGPD.

Las cuestiones de protección de datos se atienden en privacidad@elescrutinio.es, que es una dirección de contacto, no un delegado.

Dos tratamientos distintos

Casi todas las políticas de privacidad describen solo los datos que la propia persona entrega. Aquí hay dos flujos y se rigen por artículos distintos del RGPD:

Datos que nos facilitas tú, al escribir a cualquiera de nuestras direcciones, o que genera tu navegador al visitar el sitio. Se informan conforme al artículo 13.
Datos que no obtenemos de ti: la materia prima del trabajo periodístico, procedente de fuentes documentales y personales. Se informan conforme al artículo 14, que además exige declarar las categorías de datos y el origen.

Finalidades, base jurídica, datos y conservación

Esta tabla cubre el primer flujo. El sitio público no contiene formularios y no recoge ningún dato por esa vía: lo único que llega son los mensajes que nos escribes, los datos de conexión que tu navegador genera al pedir una página y, solo si la has aceptado, la medición de audiencia. El tratamiento periodístico se describe aparte, en la sección siguiente.

Finalidad	Base jurídica	Categorías de datos	Conservación
Correspondencia general y editorial (info@elescrutinio.es, redaccion@elescrutinio.es)	Interés legítimo del responsable en atender a quien se dirige al medio (art. 6.1.f RGPD).	Nombre o alias, dirección de correo, contenido del mensaje y sus adjuntos, cabeceras técnicas del envío.	Dos años desde el último mensaje del hilo, salvo que abra un asunto editorial o legal en curso.
Pistas y comunicación con fuentes (pistas@elescrutinio.es)	Interés legítimo en la actividad periodística (art. 6.1.f). Cuando el mensaje contiene categorías especiales, art. 9.2.e para las que la persona ha hecho manifiestamente públicas y art. 9.2.g por interés público esencial en relación con la libertad de información.	Los datos que la persona decida aportar: identificación o alias, contacto, documentos, y datos de terceros contenidos en ellos.	Mientras el asunto siga vivo. El material que sustenta una publicación se conserva asociado a la pieza. El resto se elimina al cerrar la valoración.
Solicitudes de acceso a información pública (transparencia@elescrutinio.es)	Interés legítimo (art. 6.1.f) y, cuando el trámite lo exija, cumplimiento de una obligación legal (art. 6.1.c) conforme a la Ley 19/2013.	Identificación del solicitante o del organismo, contacto, referencia del expediente y su documentación.	Cuatro años desde la resolución del expediente, para cubrir los plazos de reclamación y recurso.
Rectificaciones y correcciones (rectificaciones@elescrutinio.es)	Cumplimiento de obligaciones legales (art. 6.1.c): Ley Orgánica 2/1984 y artículos 85 y 86 de la LOPDGDD.	Identificación y contacto de la persona afectada, escrito de rectificación, documentación acreditativa y resolución adoptada.	Cinco años desde la resolución, como prueba del cumplimiento del procedimiento.
Ejercicio de derechos de protección de datos (privacidad@elescrutinio.es)	Cumplimiento de una obligación legal (art. 6.1.c) derivada de los artículos 15 a 22 del RGPD.	Identificación, medio de acreditación de la identidad, contenido de la solicitud y respuesta motivada.	Tres años desde la respuesta, como prueba de haber atendido la solicitud.
Avisos y requerimientos formales (legal@elescrutinio.es)	Interés legítimo en la defensa jurídica del medio (art. 6.1.f) y cumplimiento legal cuando el asunto lo imponga (art. 6.1.c).	Identificación y contacto del remitente o de su representación, escrito y documentación aportada.	Cinco años desde el cierre del asunto, o hasta la firmeza de la resolución si hay procedimiento.
Registros de acceso del servidor web	Interés legítimo en la seguridad, la disponibilidad y el diagnóstico del servicio (art. 6.1.f).	Dirección IP, fecha y hora, recurso solicitado, código de respuesta, tamaño, agente de usuario y referente.	Treinta días. Es el plazo que permite investigar un incidente reciente sin construir un histórico de lectura; solo se conserva más tiempo un registro concreto ya implicado en un incidente.
Medición de audiencia (Google Analytics 4)	Consentimiento (art. 6.1.a RGPD y art. 22.2 de la Ley 34/2002), comunicado por la plataforma de Google como consentimiento para el almacenamiento de analítica antes de cargar Google Analytics. Se puede retirar desde el pie de cada página.	Identificador aleatorio de la cookie de Google, dirección IP (que Google usa para estimar la ubicación aproximada y declara no conservar), páginas leídas, origen de la visita, fecha y hora, navegador, sistema y tamaño de pantalla.	Las cookies caducan a los trece meses. Los datos de eventos se conservan dos meses en Google Analytics; después solo quedan informes agregados sin identificador. Tu respuesta a la pregunta la guarda en tu navegador la plataforma de consentimiento de Google durante trece meses.
Publicidad (Google AdSense)	Consentimiento (art. 6.1.a RGPD y art. 22.2 de la Ley 34/2002) para los anuncios personalizados y para el almacenamiento en tu dispositivo, recogido por la plataforma de consentimiento certificada de Google antes de pedir ningún anuncio y revocable desde el pie de cada página. Sin consentimiento solo pueden mostrarse anuncios limitados, elegidos por el contexto de la página, que no almacenan nada en tu equipo.	Página leída, dirección IP, agente de usuario, ubicación aproximada, cadena de consentimiento y, si has consentido, un identificador publicitario guardado en cookies de Google y los datos que Google y los proveedores aceptados asocian a él desde otros sitios.	Las cookies publicitarias del dominio caducan a los trece meses. Google Ireland Limited es responsable independiente de lo que trata para servir y medir los anuncios y aplica sus propios plazos; el medio solo recibe informes agregados de impresiones e ingresos, sin identificadores.
Registros del servidor de correo	Interés legítimo en la entrega fiable del correo y en la protección frente a abuso (art. 6.1.f).	Direcciones de remitente y destinatario, dirección IP del servidor remitente, marcas de tiempo, resultado de la entrega y de las comprobaciones antispam.	Treinta días.

Sobre los registros del servidor: no citamos la Ley 25/2007 de conservación de datos como base ni como obligación, porque esa norma se dirige a los operadores de comunicaciones electrónicas y a los prestadores de redes públicas, no a un medio que publica un sitio web. Los treinta días son un plazo elegido y justificado por nosotros, no un mínimo legal impuesto.

Cuando la base es el interés legítimo, se ha realizado la ponderación que exige el artículo 6.1.f. Puedes oponerte al tratamiento por motivos relativos a tu situación particular, en los términos de la sección de derechos.

Tratamiento periodístico: datos que no obtenemos del interesado

Esta sección es, deliberadamente, la medida apropiada del artículo 14.5.b del RGPD. Ese precepto exime de informar individualmente cuando la comunicación resulta imposible o supone un esfuerzo desproporcionado, siempre que el responsable adopte medidas apropiadas para proteger los derechos del interesado, «incluida la publicación de la información». En una investigación periodística, avisar de antemano a cada persona mencionada es, además de desproporcionado, incompatible con la propia investigación: la advertencia previa permite alterar u ocultar la documentación. Publicamos aquí, por eso, las categorías de datos, el origen, las finalidades y la base jurídica.

Finalidad

Investigar, verificar, redactar, publicar y conservar en archivo trabajos periodísticos sobre el uso de fondos públicos, la contratación pública, la actividad de las administraciones y la de quienes ejercen funciones o cargos públicos.

Categorías de datos (art. 14.1.d)

Datos identificativos: nombre y apellidos, y en su caso NIF o CIF cuando consta en un documento público.
Datos profesionales y de cargo: puesto, función pública, entidad, órgano, mandato y periodo.
Datos económicos y contractuales: adjudicaciones, importes, licitaciones, subvenciones, retribuciones públicas y declaraciones de bienes cuando son públicas.
Actuaciones, decisiones y declaraciones públicas, incluidas comparecencias, votaciones y resoluciones firmadas.
Cuando la información lo exige, datos relativos a infracciones y condenas penales o a medidas de seguridad conexas (art. 10 RGPD), y categorías especiales del artículo 9 que la propia persona ha hecho manifiestamente públicas o que resultan indisociables del hecho de interés público.

Origen de los datos (art. 14.2.f)

Fuentes de acceso público: boletines y diarios oficiales, la Plataforma de Contratación del Sector Público y las plataformas autonómicas, portales de transparencia, registros públicos, bases de datos de subvenciones y resoluciones judiciales y administrativas publicadas.
Documentación obtenida mediante solicitudes de acceso a la información pública al amparo de la Ley 19/2013 y de la normativa autonómica.
Declaraciones, comparecencias y publicaciones hechas por las propias personas afectadas.
Otros medios de comunicación, siempre citados y siempre contrastados contra la fuente original.
Fuentes personales que se dirigen al medio o a las que el medio consulta. Es la única categoría no accesible al público, y está protegida por el secreto profesional.

Base jurídica

Artículo 6.1.f del RGPD: interés legítimo en informar sobre asuntos de relevancia pública, ponderado frente a los derechos del interesado.
Artículo 9.2.e para las categorías especiales que la persona ha hecho manifiestamente públicas, y artículo 9.2.g cuando el tratamiento es necesario por razones de interés público esencial ligadas al control del poder y del gasto público.
Artículo 17.3.a del RGPD, que excluye el derecho de supresión cuando el tratamiento es necesario para ejercer la libertad de expresión e información.
La ponderación constitucional que la jurisprudencia exige al amparo del artículo 20.1.a y d de la Constitución y de la Ley Orgánica 1/1982: la información debe versar sobre hechos de relevancia pública, ser veraz en el sentido de diligentemente contrastada, y limitarse a lo necesario, sin expresiones innecesariamente vejatorias ni datos personales que no aporten a la comprensión del hecho.

No invocamos ninguna excepción ni derogación del artículo 85 del RGPD. El tratamiento periodístico se sostiene sobre las bases citadas y sobre esa ponderación, y se somete al RGPD en su integridad.

Prácticas concretas

Se publica el nombre de quien ejerce un cargo o función pública en relación con el hecho investigado. No se publican datos de contacto particulares, domicilios ni datos familiares salvo que sean el hecho mismo de la noticia.
Los documentos publicados se difunden con las supresiones necesarias, y la nota de redacción aplicada consta junto al documento.
Cuando la pieza atribuye una irregularidad a una persona identificable, se le ofrece la oportunidad de responder antes de publicar y su respuesta se recoge.
Los materiales originales se conservan en un espacio privado y no se publican íntegros por defecto.

El archivo y las solicitudes de supresión

Toda solicitud de supresión se contesta de forma motivada en el plazo de un mes desde su recepción, prorrogable dos meses más en solicitudes complejas avisando dentro del primer mes (art. 12.3 RGPD). No hay respuestas automáticas y no hay silencio.

Como regla, el archivo no se borra ni se anonimiza. El Tribunal Supremo, en la sentencia 545/2015 de la Sala Primera, y el Tribunal Constitucional, en la sentencia 58/2018, rechazaron expresamente que el llamado derecho al olvido obligue a suprimir o anonimizar el contenido de una hemeroteca digital: alterar el archivo periodístico afecta a la integridad de la información y al derecho a recibirla.

Lo que esas resoluciones sí admiten es un remedio más estrecho: limitar la indexación de una pieza antigua por los motores de búsqueda cuando se refiere a una persona sin proyección pública, ha perdido interés informativo actual y su localización a partir del nombre produce un perjuicio desproporcionado.

Ese remedio lo valoramos caso por caso. Ponderamos la antigüedad de la pieza, la proyección pública de la persona en el momento de la solicitud, el interés informativo que subsiste, la exactitud de lo publicado y el perjuicio alegado, y contestamos por escrito con el resultado de esa ponderación. Si procede, la desindexación se aplica a la pieza concreta; no se aplica al sitio y no se borra el texto. Si no procede, explicamos por qué y señalamos la vía de reclamación.

Cuando lo que ha cambiado no es la exactitud de la información sino la situación de la persona —una causa archivada, un sobreseimiento, una absolución, una resolución posterior favorable— el remedio adecuado no es borrar sino actualizar. Ese es el aviso de actualización del artículo 86 de la LOPDGDD, descrito en Correcciones y rectificaciones.

Protección de las fuentes

El artículo 15.4 del RGPD dispone que el derecho a obtener copia de los datos no afectará negativamente a los derechos y libertades de otros. El artículo 14.5.d exime del deber de información cuando los datos deban seguir teniendo carácter confidencial en virtud de una obligación de secreto profesional regulada por el Derecho. El secreto profesional del periodista está reconocido en el artículo 20.1.d de la Constitución.

Sobre esa base reservamos la posibilidad de no atender, total o parcialmente, una solicitud de acceso cuando responderla revelaría la identidad de una fuente periodística, el material del que esa identidad pudiera deducirse, o datos de terceros protegidos.

Es una reserva, no una negativa automática. Cada solicitud se examina; se atiende en todo lo que pueda separarse de lo protegido; y la parte no atendida se motiva por escrito con indicación de la vía de reclamación ante la Agencia Española de Protección de Datos. El alcance de esta reserva, si llega a discutirse, lo decide la autoridad de control o un tribunal, no nosotros.

Destinatarios y encargados del tratamiento

No vendemos datos ni los cedemos con fines comerciales. El sitio se financia con publicidad servida por Google, que trata datos de quien lee solo en los términos que esa persona acepta. Intervienen los proveedores estrictamente necesarios para que el sitio y el correo funcionen y, solo si los aceptas, los de la publicidad y la medición de audiencia:

Alojamiento. El sitio, la base de datos editorial y el servidor de correo se ejecutan en un servidor privado virtual dedicado, administrado por el responsable. El proveedor de infraestructura actúa como encargado del tratamiento.
Proveedor de correo. Las direcciones publicadas, con la excepción indicada más abajo, se reenvían a un buzón del servicio Gmail, prestado por Google Ireland Limited, que actúa como encargado y accede al contenido de los mensajes reenviados.
Publicidad. Google Ireland Limited sirve los anuncios a través de Google AdSense y actúa como responsable independiente de los datos que trata para elegirlos y medirlos, bajo las condiciones de protección de datos entre responsables de Google Ads. Solo usa identificadores y anuncios personalizados si lo has consentido; los anunciantes y proveedores que compran a través de Google reciben datos únicamente para las finalidades que hayas aceptado en el mensaje de consentimiento. Qué espacios hay, qué cookies instala y cómo retirar el consentimiento está en Cookies.
Medición de audiencia. Google Ireland Limited presta Google Analytics 4 como encargado del tratamiento, bajo las condiciones de tratamiento de datos de Google Analytics, y solo interviene si has aceptado el almacenamiento para Google en el mismo mensaje. Las señales de Google y la personalización de anuncios están desactivadas, y Google no recibe los datos para sus propios fines. Cómo se pregunta, qué se comunica y cómo retirar el consentimiento está en Cookies.
pistas@elescrutinio.es no se reenvía. Los mensajes dirigidos a esa dirección se entregan y se conservan en el servidor propio del medio, precisamente porque son los que con más probabilidad afectan a una fuente. Ningún proveedor externo de correo accede a su contenido.
Herramientas de inteligencia artificial. En la fase de investigación, análisis documental, selección de imágenes, redacción y revisión se emplea el runtime Codex de OpenAI, autenticado mediante una cuenta de ChatGPT, con el modelo GPT-5.6 Luna. Su uso está descrito en Metodología. No se le remiten materiales que permitan identificar a una fuente.
Obligaciones legales. Los datos pueden comunicarse a juzgados, tribunales, fuerzas y cuerpos de seguridad o a la Agencia Española de Protección de Datos cuando exista un requerimiento válido. Un requerimiento que persiga identificar a una fuente se recurre.

Transferencias internacionales

Google Ireland Limited, que presta el correo, la publicidad y la medición de audiencia, está establecida en la Unión Europea. Las transferencias a su matriz en Estados Unidos, incluidas las de Google AdSense y Google Analytics, se amparan en la decisión de adecuación de la Comisión Europea de 10 de julio de 2023 relativa al Marco de Privacidad de Datos UE-EE. UU.
OpenAI Ireland Limited presta el servicio a usuarios del Espacio Económico Europeo. OpenAI declara que puede tratar datos fuera del EEE, incluido Estados Unidos, y que emplea decisiones de adecuación o cláusulas contractuales tipo según corresponda. El flujo se limita a documentación de trabajo: se excluye cualquier material que identifique o permita identificar a una fuente, y cualquier documento no destinado a publicación que contenga categorías especiales. La calificación contractual del servicio y la garantía concreta aplicable a este uso están pendientes de revisión jurídica profesional.

Tus derechos

Puedes ejercer los derechos de acceso, rectificación, supresión, limitación, oposición y portabilidad escribiendo a privacidad@elescrutinio.es. Indica qué derecho ejerces y la información necesaria para localizar el tratamiento —por ejemplo, el enlace de la pieza o la dirección desde la que nos escribiste—. Este buzón todavía no está verificado, así que conserva la fecha y el contenido de tu solicitud.

Podemos pedirte que acredites tu identidad si existen dudas razonables. No pedimos copia del documento de identidad cuando basta otro medio, y no conservamos esa copia si nos la envías por iniciativa propia.
Contestamos en el plazo de un mes desde la recepción, prorrogable dos meses en solicitudes complejas, avisando dentro del primer mes.
El ejercicio de estos derechos es gratuito. Solo una solicitud manifiestamente infundada o excesiva, y de forma motivada, puede rechazarse o llevar un canon (art. 12.5 RGPD).
La portabilidad (art. 20) alcanza únicamente a los datos que tú mismo nos hayas facilitado y cuyo tratamiento se base en consentimiento o contrato. No alcanza al tratamiento periodístico.
Los derechos de supresión y de oposición ceden frente al artículo 17.3.a cuando el tratamiento es necesario para el ejercicio de la libertad de información. La negativa siempre es motivada y recurrible.
Si el asunto es la exactitud de una información publicada, el procedimiento más rápido no es este sino el de rectificación, con sus propios plazos legales.

Si no estás conforme con nuestra respuesta, o no la recibes en plazo, puedes reclamar ante la Agencia Española de Protección de Datos, C/ Jorge Juan 6, 28001 Madrid, o a través de su sede electrónica en www.aepd.es. No es necesario reclamarnos antes a nosotros, aunque suele ser más rápido.

Seguridad, y lo que el correo no puede darte

El correo electrónico ordinario no es anónimo ni está cifrado de extremo a extremo. Tu dirección, tu proveedor, las cabeceras del mensaje y con frecuencia una dirección IP viajan con él y quedan registrados en los servidores que lo transportan. El cifrado en tránsito entre servidores protege el trayecto, no el contenido una vez almacenado, y no impide que tu propio proveedor lea el mensaje.

Si lo que tienes que contarnos es sensible, escribe primero sin adjuntar documentos ni detalles que te identifiquen, y acordamos un canal adecuado antes de que envíes nada más. No uses nunca un equipo, una cuenta o una red de tu empleador para eso.

Por nuestra parte: el sitio se sirve exclusivamente por HTTPS; el acceso administrativo al servidor es por clave criptográfica; los materiales de investigación se conservan en un espacio privado separado de la publicación; y el acceso a los sistemas está limitado al responsable.

Almacenamiento en tu navegador

El sitio no instala cookies a quien viene a leer, salvo que consienta la publicidad o la medición de audiencia: entonces, y solo entonces, Google instala las de AdSense y las de Google Analytics. Tu respuesta a esa pregunta la guarda en tu navegador la plataforma de consentimiento de Google, en dos cookies que contienen la cadena de consentimiento y nada más. La única cookie propia es la de sesión del área editorial privada, que solo se instala cuando alguien de la redacción inicia sesión y es estrictamente necesaria para mantener esa sesión abierta. Los detalles, incluidos la medición y el tratamiento de los vídeos incrustados, están en Cookies. Los registros de acceso del servidor no son almacenamiento en tu equipo y por eso figuran en la tabla de arriba y no allí, pero contienen tu dirección IP, que es un dato personal.

Decisiones automatizadas y elaboración de perfiles

No se adoptan decisiones automatizadas que produzcan efectos jurídicos o significativos sobre las personas, y no se elabora ningún perfil de los lectores. Las herramientas de inteligencia artificial intervienen en el análisis documental, en el apoyo a la redacción y en la revisión editorial previa a la publicación. Una pieza puede publicarse sobre la base de esa revisión automatizada, sin que una persona apruebe individualmente esa publicación. Es una decisión sobre un texto propio del medio y no sobre ninguna persona: no produce efectos jurídicos ni significativos sobre quien lee. La responsabilidad de lo publicado sigue correspondiendo al director del medio, cada pieza incorpora su declaración de uso de inteligencia artificial generativa y el procedimiento de correcciones y rectificaciones se mantiene sin cambios. La medición de audiencia, cuando la aceptas, se configura sin señales de Google ni personalización de anuncios: no elabora un perfil individual de quien lee, y el medio solo consulta informes agregados. La publicidad personalizada, cuando la consientes, sí supone que Google elabore un perfil publicitario asociado a un identificador de tu navegador; ese perfil lo construye y lo controla Google como responsable independiente, el medio no lo ve, y puedes negarte a él en el mismo mensaje sin perder nada del sitio.

Menores

El sitio no se dirige a menores de catorce años y no recoge datos de forma deliberada de ellos. Cuando la actividad periodística afecta a un menor, se aplica la protección reforzada del artículo 4 de la Ley Orgánica 1/1996 y no se publica información que permita identificarlo.

Cambios en esta política

Cualquier modificación se refleja en la fecha de actualización que encabeza esta página. Los cambios sustanciales se anuncian además en el registro de correcciones. Si algo de lo aquí descrito no coincide con lo que el sitio hace en la práctica, avísanos en privacidad@elescrutinio.es: es un error que queremos corregir.