El RGPD desde el punto de vista de TI: obligaciones que no debe pasar por alto

El Reglamento General de Protección de Datos (RGPD, Reglamento UE 2016/679) es la normativa que determina cómo deben manejar las empresas los datos personales de los ciudadanos de la UE. Para el departamento de TI, esto se traduce en medidas técnicas y organizativas concretas que deben ser documentadas, implementadas y verificadas.

TL;DR — puntos clave

• El cifrado en reposo y en tránsito es una garantía técnica fundamental
• Cada tratamiento de datos personales debe ser documentado (registro de actividades de tratamiento)
• Debe notificar las infracciones a la autoridad de control en un plazo de 72 horas
• Debe dar soporte técnico a los derechos de acceso de los interesados (acceso, rectificación, supresión)

Base legal

El RGPD se aplica junto con las normativas locales de protección de datos. La autoridad competente supervisa el cumplimiento y puede imponer sanciones de hasta el 4 % de la facturación global anual o 20 millones de EUR — la cuantía que sea mayor.

Medidas técnico-organizativas (TOM)

El artículo 32 del RGPD exige medidas adecuadas al riesgo. En la práctica, para TI esto significa:

1. Cifrado de discos en todos los dispositivos (BitLocker, FileVault, LUKS)
2. TLS 1.2+ para todas las comunicaciones en tránsito
3. Control de acceso — RBAC y principio de mínimo privilegio
4. MFA para el acceso a sistemas que procesan datos personales
5. Entorno separado para desarrollo / pruebas — sin datos personales reales (anonimización o datos sintéticos)
6. Copias de seguridad periódicas y pruebas periódicas de restauración
7. Registros de acceso (audit log) con retención de al menos 12 meses

Registro de actividades de tratamiento

Toda organización (excepto microempresas en casos muy limitados) debe mantener un registro de actividades de tratamiento — un documento que describa qué datos personales se procesan, con qué fin, sobre qué base legal, quiénes son los destinatarios, dónde se almacenan, por cuánto tiempo y quiénes son los posibles encargados del tratamiento. No es un documento de TI en sentido estricto, pero TI suele aportar los datos clave sobre sistemas y almacenamiento.

Subcontratistas y encargados del tratamiento

Cualquier proveedor externo que procese datos personales en su nombre (por ejemplo, Microsoft para M365, proveedores de nube, plataformas publicitarias) es un encargado del tratamiento. Debe tener firmado con cada uno un contrato de encargo de tratamiento (DPA) y una evaluación de riesgos sobre la transferencia de datos fuera de la UE. Para Microsoft 365 y Azure, los DPA están incluidos en los términos del servicio.

Derechos de acceso de los interesados

El RGPD otorga a las personas el derecho de acceso, rectificación, supresión, portabilidad y oposición. TI debe proporcionar los mecanismos técnicos:

• Búsqueda de datos del interesado en todos los sistemas (CRM, ERP, correo electrónico, ticketing, backup)
• Exportación en formato legible por máquina (JSON, CSV)
• Supresión permanente de las bases de datos de producción y — tras los plazos legales de conservación — también de las copias de seguridad
• Rectificación de datos con traza de auditoría de quién, cuándo y por qué modificó el registro

Notificación de infracción (72 horas)

Ante una infracción (por ejemplo, ransomware, phishing exitoso, pérdida de portátil sin cifrar), debe informar a la autoridad de control en un plazo de 72 horas y — si el riesgo para las personas es alto — también a los afectados. Recomendamos tener un plan de incidentes preparado, personas de contacto y plantillas de mensajes.

Intersección con ISO 27001

Si cuenta con la certificación ISO/IEC 27001, ya ha cubierto gran parte de las obligaciones del RGPD — el sistema de gestión de seguridad de la información (SGSI) exige explícitamente análisis de riesgos, medidas y revisiones periódicas. El RGPD se convierte así en un proceso gestionado de forma demostrable, no solo en una cuestión legal. Lea también nuestro artículo sobre ciberseguridad.

Lista de verificación práctica para PYMES

1. Inventario de dónde están todos los datos personales (M365, ERP, CRM, marketing, RRHH)
2. Activar el cifrado de discos en todos los dispositivos
3. MFA para todas las cuentas
4. Establecer el registro de actividades de tratamiento
5. Firma de DPA con todos los encargados del tratamiento
6. Establecer un procedimiento para infracciones (playbook + persona de contacto)
7. Formación de los empleados (anual)
8. Auditoría interna una vez al año

¿Necesitamos un DPO (Delegado de Protección de Datos)?

Solo es obligatorio si es una institución pública, o si las actividades principales consisten en el seguimiento sistemático a gran escala o el tratamiento de categorías especiales de datos (salud, biométricos…). De lo contrario, recomendamos una persona de contacto interna para la protección de datos.

¿Podemos guardar el backup en Azure fuera de la UE?

Recomendamos regiones de la UE (West Europe, North Europe). Para regiones fuera de la UE, se aplica el régimen de medidas de protección adecuadas (cláusulas contractuales tipo + protecciones técnicas).

¿Qué hacer con los archivos antiguos que contienen datos personales que ya no necesitamos?

Defina los plazos de conservación y ejecute la eliminación progresiva o anonimización. Conservar datos "por si acaso" es contrario al principio de limitación del plazo de conservación.

¿Deben los subcontratistas tener la certificación ISO 27001?

No es obligatorio, pero es una prueba sólida de madurez. Alternativamente, verifique las declaraciones escritas sobre las TOM y, si es necesario, realice una auditoría.