Medidas técnicas y organizativas de seguridad para cumplir el RGPD

El RGPD también es técnico: qué pide el artículo 32 y quién lo hace

Muchas empresas tienen el RGPD resuelto en papel: cláusulas, registro de actividades, contratos de encargo y textos legales en la web. Pero cuando llega una brecha o una inspección, la pregunta es otra: ¿qué medidas de seguridad teníais aplicadas y cómo lo demostráis? Ese hueco entre lo que dice la documentación y lo que pasa en los servidores, los portátiles y el correo es justo el que cubrimos.

Qué dice el artículo 32

El reglamento no da una lista cerrada. Pide medidas apropiadas al riesgo, teniendo en cuenta el estado de la técnica, el coste y la naturaleza del tratamiento, y menciona expresamente:

• La seudonimización y el cifrado de los datos personales.
• La capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas.
• La capacidad de restaurar la disponibilidad y el acceso a los datos de forma rápida tras un incidente físico o técnico.
• Un proceso para verificar, evaluar y valorar regularmente la eficacia de las medidas.

Traducido a la práctica, eso son decisiones técnicas concretas que alguien tiene que tomar, implantar y mantener.

Medidas que implantamos

• Cifrado. Discos de portátiles y equipos, conexiones TLS en webs y correo, VPN para el acceso remoto y cifrado de las copias.
• Control de accesos. Usuarios nominales, mínimo privilegio, doble factor, revisión de permisos en carpetas y aplicaciones y baja inmediata cuando alguien deja la empresa.
• Copias de seguridad. Copias automáticas con una versión fuera del alcance de un ransomware y pruebas de restauración documentadas, que es lo que de verdad responde a la letra c del artículo.
• Registros de actividad. Logs de acceso y de administración en servidores, correo y aplicaciones, conservados y protegidos para poder reconstruir qué pasó.
• Protección del puesto y del correo. EDR gestionado, parches, filtrado antispam y antiphishing y autenticación del dominio.
• Verificación periódica. Revisiones y análisis de vulnerabilidades para cumplir la letra d: comprobar que las medidas siguen funcionando.

Brechas de seguridad: las 72 horas

Si se produce una violación de seguridad de datos personales, el artículo 33 obliga al responsable a notificarla a la autoridad de control, en España la AEPD, en un plazo de 72 horas desde que tenga constancia, salvo que sea improbable que suponga un riesgo; y el artículo 34 exige comunicarla a los afectados cuando el riesgo sea alto. Además, todas las brechas deben documentarse. Os preparamos el procedimiento técnico: cómo detectar, contener, analizar el alcance y recoger evidencias, para que vuestro DPO decida y notifique con información fiable y a tiempo.

Dónde termina nuestro trabajo

No hacemos asesoría jurídica. No redactamos cláusulas, no decidimos bases de legitimación ni actuamos como delegado de protección de datos. Sí entregamos a vuestro DPO o abogado lo que necesita de la parte técnica: inventario de sistemas donde hay datos personales, descripción de las medidas aplicadas y evidencias. Cuando os alojamos sistemas o correo, actuamos como encargado del tratamiento y podéis consultar nuestras garantías en el centro de confianza.