RGPD en la práctica IT: qué debe asegurar técnicamente la empresa
El RGPD no es solo una política en la web. Qué medidas técnicas deben estar implementadas y ser demostrables.
Las medidas IT del RGPD son esa parte del reglamento que el departamento legal suele delegar en IT, mientras que IT espera instrucciones del legal. El resultado es una brecha de seguridad. A continuación, presentamos una lista práctica de lo que debe estar técnicamente resuelto y cómo demostrarlo.
TL;DR — Puntos clave
- El RGPD exige "medidas técnicas y organizativas adecuadas"; la adecuación se demuestra mediante una evaluación de riesgos.
- Cifrado, control de acceso, registros (logs) y copias de seguridad son el mínimo necesario.
- El plazo para notificar una brecha es de 72 horas; requiere un proceso establecido, no improvisación.
- Los contratos con encargados del tratamiento (proveedores de IT, cloud) son obligatorios.
Qué medidas técnicas se esperan
La autoridad de control no prescribe productos específicos, pero espera que las medidas sean proporcionales al riesgo. En la práctica, esto significa: cifrado de discos en portátiles, MFA para acceder a sistemas con datos personales, permisos segregados según el principio de mínimo privilegio, registros de acceso y copias de seguridad verificadas periódicamente.
Además, se requiere un registro de actividades de tratamiento que coincida con el estado real de los sistemas. Si el registro indica que las grabaciones de videovigilancia se conservan 30 días, el sistema debe estar configurado exactamente así.
Por qué la parte IT del RGPD suele ser el eslabón débil
La documentación suele estar en orden, pero la ejecución técnica va a la zaga.
- Las cuentas compartidas (info@, admin) impiden la trazabilidad del acceso a datos personales.
- Los datos en archivos Excel guardados en escritorios locales no figuran en ningún registro.
- La ausencia de una política de borrado implica una conservación sin base legal.
- Los proveedores externos sin contrato de encargado de tratamiento constituyen una infracción por sí mismos.
Cómo empezar — procedimiento recomendado
- Identifique dónde se encuentran realmente los datos personales, incluyendo carpetas compartidas y terminales.
- Implemente cuentas nominativas y MFA, eliminando los inicios de sesión compartidos.
- Establezca plazos de conservación y borrado automático donde sea posible.
- Active registros de acceso a carpetas y sistemas sensibles.
- Formalice contratos de tratamiento con todos los proveedores de IT.
- Redacte el proceso de notificación de brechas con contactos y el plazo de 72 horas.
Riesgos y medidas adecuadas
| Riesgo | Medida técnica | Evidencia |
|---|---|---|
| Pérdida de portátil | Cifrado BitLocker | Informe de cumplimiento de dispositivos |
| Contraseña robada | MFA y acceso condicional | Registro de inicios de sesión |
| Acceso no autorizado | Permisos por departamentos, logs | Auditoría de accesos |
| Pérdida de datos | Backup con prueba de restauración | Acta de la prueba de restauración |
Errores más comunes
El error más frecuente es copiar políticas de internet sin verificar si el sistema las ejecuta. La autoridad de control inspecciona la realidad, no el documento.
Otro error es olvidar el derecho de supresión: si el dato existe en el backup, debe describirse en la política junto con el plazo tras el cual desaparecerá también de allí.
Cómo ayudamos en VitalIT
En VitalIT alineamos las medidas técnicas con su registro de actividades, gestionamos accesos y registros, y preparamos las evidencias. Consulte nuestros servicios de ciberseguridad y consultoría IT.
Lea también sobre la Directiva NIS2: qué debe gestionar una empresa.
Preguntas frecuentes (FAQ)
- ¿Exige el RGPD el cifrado?
- No explícitamente, pero lo cita como ejemplo de medida adecuada. Para dispositivos móviles, se considera un estándar de facto.
- ¿Cuánto tiempo podemos conservar los datos de los empleados?
- Según el plazo que determine la legislación sectorial; sin base legal, deben ser eliminados.
- ¿Es Microsoft 365 compatible con el RGPD?
- La plataforma ofrece las herramientas y cláusulas contractuales adecuadas, pero la configuración y el uso son responsabilidad suya.
- ¿Quién debe tener un DPO?
- Organismos públicos y empresas con tratamiento sistemático a gran escala o de categorías especiales de datos.
- ¿Qué se considera una brecha de seguridad?
- Cualquier pérdida, alteración o revelación accidental o ilícita de datos personales, incluso la pérdida de un pendrive USB.