RGPD y seguridad: qué exige el artículo 32

Cuando se habla del RGPD se piensa en formularios de consentimiento y avisos legales, pero el reglamento también tiene una parte técnica que a menudo se descuida: la seguridad de los datos. Está en el artículo 32, y tiene consecuencias muy concretas si algo sale mal.

Qué dice el artículo 32

El responsable y el encargado del tratamiento deben aplicar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo. El texto no da una lista cerrada y obligatoria, sino ejemplos de lo que puede incluirse:

• La seudonimización y el cifrado de los datos personales.
• La capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas.
• La capacidad de restaurar el acceso a los datos de forma rápida tras un incidente (copias de seguridad que de verdad se pueden recuperar).
• Un proceso de verificación y evaluación regular de la eficacia de las medidas.

Fíjate en la última: el reglamento espera que compruebes que tus medidas funcionan, no solo que las tengas. Ahí encajan las revisiones de vulnerabilidades y los pentests.

"Apropiadas al riesgo": cómo se interpreta

El nivel de seguridad exigible depende del estado de la técnica, el coste de aplicar las medidas, la naturaleza de los datos y los riesgos para las personas. Un comercio local con una lista de clientes no necesita lo mismo que una clínica con historiales médicos. Pero ambos necesitan un mínimo razonable, y deben poder explicar por qué sus medidas son adecuadas.

Medidas habituales que se consideran razonables

• Autenticación multifactor en el acceso a sistemas con datos personales.
• Control de acceso por roles y mínimo privilegio.
• Cifrado en tránsito y, cuando proceda, en reposo.
• Copias de seguridad aisladas y restauración probada.
• Actualizaciones y parches aplicados con regularidad.
• Registro y monitorización de accesos.
• Formación del personal y procedimientos para actuar ante incidentes.

Brechas de seguridad: la regla de las 72 horas

Una brecha de datos personales es cualquier incidente que provoque su destrucción, pérdida, alteración, acceso o comunicación no autorizados. El reglamento establece:

• Artículo 33: si la brecha puede suponer un riesgo para los derechos de las personas, hay que notificarla a la autoridad de control (en España, la AEPD) sin dilación indebida y, de ser posible, en un máximo de 72 horas desde que se tiene constancia.
• Artículo 34: si el riesgo es alto, también hay que comunicarlo a las personas afectadas.
• Registro interno: todas las brechas se documentan, aunque finalmente no se notifiquen.

Cumplir ese plazo exige saber detectar la brecha y tener un plan de respuesta preparado. Si una empresa tarda semanas en darse cuenta de que le han robado datos, el problema de seguridad se convierte, además, en un problema de cumplimiento.

Sanciones

El artículo 83 prevé multas administrativas. Las infracciones de las obligaciones del responsable y del encargado, entre ellas la seguridad del tratamiento (art. 32) y la notificación de brechas (arts. 33 y 34), pueden sancionarse con hasta 10 millones de euros o el 2 % del volumen de negocios mundial anual, la cuantía que sea mayor. En la práctica, la autoridad valora la gravedad, la intencionalidad, las medidas adoptadas y la cooperación.

Lista de comprobación rápida

1. ¿Sabes dónde están los datos personales y quién accede a ellos?
2. ¿Tienes autenticación multifactor en lo importante?
3. ¿Has probado a restaurar una copia de seguridad?
4. ¿Revisas periódicamente las vulnerabilidades de tus sistemas?
5. ¿Sabrías a quién avisar y qué hacer en las primeras horas de una brecha?
6. ¿Queda constancia por escrito de todo lo anterior?

Dónde podemos ayudarte

La parte técnica del artículo 32 (detectar fallos, vigilar los sistemas, responder y dejar pruebas) es justo lo que trabajamos con ZyroShield. No damos asesoramiento jurídico ni sustituimos a tu delegado de protección de datos, pero sí podemos ayudarte con la seguridad técnica. Echa un vistazo a lo que hacemos o escríbenos.