CISO y DPD: aclare los traspasos

Los equipos de seguridad y de privacidad examinan con frecuencia el mismo sistema desde direcciones distintas. El CISO se pregunta si el acceso, la resiliencia y el tratamiento del riesgo son adecuados. El delegado de protección de datos (DPD) asesora sobre la licitud del tratamiento, los derechos de las personas, las garantías y el cumplimiento de la normativa de protección de datos. Su trabajo se solapa, pero su autoridad no debe volverse intercambiable.

Para la dirección, la cuestión práctica no es simplemente quién ostenta cada cargo. Es quién aporta los hechos, quién asesora, quién implementa y quién toma la decisión de la que debe rendir cuentas. Esas distinciones importan cuando se lanza un producto, cambia un proveedor o un incidente obliga a actuar antes de que haya terminado la investigación.

Un esquema que funcione da a ambas funciones visibilidad temprana y preserva al mismo tiempo la independencia del DPD. También deja claro que designar especialistas, internos o externos, no transfiere la responsabilidad del responsable del tratamiento sobre las decisiones de tratamiento.

Separe los mandatos antes de asignar personas

Las responsabilidades de un CISO dependen del sistema de gobierno de la organización. El cargo puede designar a un directivo que dirige una función de seguridad, a un especialista que opera un sistema de gestión de la seguridad de la información o a un asesor a tiempo parcial. Un responsable de seguridad de la información puede tener un cometido más limitado. Defina el mandato en lugar de suponer que el cargo lo resuelve.

El DPD tiene funciones y garantías legales específicas según los artículos 37 a 39 del RGPD. Entre ellas figuran informar y asesorar, supervisar el cumplimiento, asesorar sobre las evaluaciones de impacto relativas a la protección de datos, cooperar con la autoridad de control y actuar como su punto de contacto. El DPD debe rendir cuentas directamente al más alto nivel jerárquico y no recibir ninguna instrucción en lo que respecta al desempeño de esas funciones.

La seguridad abarca más que los datos personales. Un ataque de ransomware que afecta a planos de ingeniería o a la planificación de la producción es un problema de seguridad aunque no haya datos personales implicados. La privacidad abarca más que la seguridad: una base de datos bien protegida puede contener información recogida sin una base jurídica adecuada o conservada sin necesidad.

El terreno compartido incluye las medidas técnicas y organizativas basadas en el riesgo que exige el artículo 32 del RGPD. Los controles de acceso, los mecanismos de recuperación y las pruebas pueden servir a ambas funciones. Las evidencias compartidas son útiles; no hacen idénticas las evaluaciones subyacentes.

Determine qué funciones necesita realmente su organización

Evalúe la obligación de designar un DPD al margen de la planificación de plantilla

No toda organización está obligada a designar un DPD. Según el artículo 37 del RGPD, la designación es obligatoria para las autoridades u organismos públicos, salvo la excepción de los tribunales, y para las organizaciones cuyas actividades principales consistan en una observación habitual y sistemática de interesados a gran escala o en el tratamiento a gran escala de categorías especiales de datos o de datos personales relativos a condenas e infracciones penales.

No reduzca esa evaluación al tamaño de la empresa. Una organización relativamente pequeña puede tener actividades de tratamiento que obliguen a la designación, y el número de empleados por sí solo no responde a la prueba del RGPD. La legislación nacional puede imponer requisitos de designación adicionales. En Alemania, evalúe las normas nacionales adicionales en lugar de basarse exclusivamente en el artículo 37 o en un umbral de plantilla recordado de memoria.

Mantenga una evaluación de la designación que identifique las entidades pertinentes, las actividades de tratamiento, las jurisdicciones, los motivos de la conclusión y los hechos que darían lugar a una nueva evaluación. Un nuevo servicio de observación, una adquisición o el paso al tratamiento de datos sensibles pueden cambiar la respuesta.

Cuando no sea obligatorio un DPD, asigne igualmente las responsabilidades de privacidad. Las bases jurídicas, la transparencia, la gestión de los derechos, la seguridad y las obligaciones de responsabilidad proactiva no desaparecen. Utilice el título formal de DPD de forma deliberada: una designación voluntaria debe tratarse como una auténtica función de DPD, no como una mera etiqueta para un contacto administrativo.

Distinga la responsabilidad de la seguridad de un requisito universal de CISO

El RGPD no contiene ningún requisito de designar a alguien con el cargo de CISO. Otras normas sectoriales o nacionales pueden afectar al gobierno de la seguridad, por lo que deben evaluarse por separado.

ISO/IEC 27001 exige asignar responsabilidades y autoridades para el SGSI dentro del alcance; no prescribe un cargo universal. Los contratos con clientes también pueden exigir un contacto de seguridad designado, responsabilidades definidas o determinadas evidencias de aseguramiento.

Para las organizaciones incluidas en su ámbito, los artículos 20 a 23 de NIS2 regulan la supervisión por parte de la dirección, las medidas de gestión de riesgos de ciberseguridad y la notificación de incidentes. NIS2 se aplica mediante legislación nacional, y su aplicabilidad depende del sector, el tamaño, el servicio y las reglas de inclusión, no solo de la plantilla. Para las operaciones en Alemania, utilice las orientaciones del BSI sobre NIS2 junto con la legislación aplicable.

Por tanto, la decisión de la dirección es doble: determinar los requisitos legales y contractuales y, después, dotar de recursos al trabajo de seguridad necesario para operar el negocio. Un cargo sin autoridad, capacidad ni acceso no resuelve ninguno de los dos problemas.

Contraste los conflictos de intereses con los poderes de decisión reales

El artículo 38, apartado 6, del RGPD permite que el DPD desempeñe otras funciones siempre que no den lugar a un conflicto de intereses. Combinar funciones no está prohibido automáticamente, pero requiere una evaluación de fondo. La cuestión central es si la persona determina los fines y medios del tratamiento sobre los que después debe asesorar o que debe supervisar de forma independiente.

Examine la autoridad vinculada a la designación propuesta:

• ¿Puede la persona decidir por qué se recogen los datos de empleados o clientes?
• ¿Puede elegir herramientas de monitorización, definir su alcance o determinar la conservación?
• ¿Aprueba sistemas o tratamientos en lugar de limitarse a asesorar?
• ¿Supervisaría decisiones que tomó en otra función?
• ¿Puede plantear sus preocupaciones directamente a la dirección sin un incentivo contrapuesto?

Un CISO que aprueba los mecanismos de monitorización de empleados presenta un perfil de conflicto distinto del de un asesor de seguridad que formula recomendaciones sin poder de decisión. Los puestos directivos de TI, RR. HH. y dirección merecen un examen especial, pero el cargo por sí solo no constituye una evaluación completa.

Documente las funciones del otro puesto, las facultades delegadas, las líneas jerárquicas y las garantías. Revise la evaluación cuando cambien las responsabilidades. Un suplente o un revisor independiente pueden ayudar con la continuidad y el aseguramiento, pero no subsanan automáticamente una designación incompatible.

Como recomendación práctica, separe las funciones cuando la función de seguridad tenga una autoridad sustancial sobre el tratamiento de datos personales. No justifique una doble designación solo porque la empresa sea pequeña o porque la persona sea de confianza. La confianza no elimina la autorrevisión ni las responsabilidades contrapuestas.

Las designaciones externas requieren el mismo examen. La externalización puede aportar independencia respecto de las líneas jerárquicas internas, pero los conflictos pueden seguir surgiendo por mandatos solapados o incentivos del proveedor.

Defina los traspasos en torno al trabajo recurrente

Una matriz de responsabilidades debe describir decisiones y resultados, no solo la participación. Evite filas que digan «seguridad y privacidad responsables conjuntamente» sin identificar quién debe actuar a continuación.

Lo siguiente es un punto de partida práctico, no un reparto legal de todas las obligaciones:

Cambios de producto: haga el primer traspaso a tiempo para que importe

Para una nueva plataforma de clientes, el responsable de negocio debe indicar la finalidad prevista y las decisiones de tratamiento. Aporte un breve resumen del cambio que cubra las categorías de datos, las personas afectadas, los sistemas, los proveedores, los accesos, la conservación y la fecha de despliegue prevista. Incluya un esquema del flujo de datos cuando facilite la comprensión.

Seguridad evalúa después las amenazas y las protecciones: el acceso privilegiado, la autenticación, la segregación, el registro, las copias de seguridad y la recuperación, y las evidencias necesarias antes del lanzamiento. Los especialistas en privacidad evalúan la base jurídica, la transparencia, la minimización, la conservación, las relaciones de tratamiento y si es necesaria una EIPD. Según el artículo 35 del RGPD, la EIPD es obligatoria cuando sea probable que el tratamiento entrañe un alto riesgo; consulte al DPD cuando se haya designado uno.

El traspaso debe producir conclusiones explícitas en lugar de aprobaciones separadas sin explicación. Registre el asesoramiento del DPD cuando proceda, la decisión de negocio, las condiciones del lanzamiento y el responsable de cada acción pendiente. Si la dirección no sigue el asesoramiento, conserve su razonamiento y escale las dudas jurídicas sin resolver. La aceptación de un riesgo de negocio no puede convertir en lícito un tratamiento ilícito.

Fije desencadenantes de revisión como nuevos datos sensibles, la monitorización de empleados, cambios de finalidad, un acceso sustancialmente más amplio o un nuevo proveedor. Es más útil que exigir la misma documentación para cada cambio menor de interfaz.

Incorporación de proveedores: separe el aseguramiento de la seguridad de la licitud del tratamiento

El responsable de negocio debe identificar el servicio, los datos implicados y lo que el proveedor hará realmente. Seguridad evalúa el aseguramiento pertinente, las condiciones de acceso, el apoyo ante incidentes y la resiliencia. Privacidad evalúa si el proveedor es un encargado del tratamiento, un responsable independiente u otro participante en el tratamiento.

Cuando se aplique el artículo 28, el contrato debe contener las cláusulas obligatorias para el encargado. Las transferencias internacionales requieren una evaluación independiente; un contrato de encargo o una ubicación de alojamiento preferida no resuelven esa cuestión.

Acuerden quién obtiene las evidencias que faltan y quién negocia los cambios contractuales. Un fallo habitual es tratar el cuestionario de seguridad como la revisión completa y dejar sin examinar las funciones en el tratamiento, los subencargados, la supresión y las transferencias. Otro es negociar cláusulas de privacidad sin entender el acceso técnico real del proveedor.

El resultado debe identificar qué servicio y qué configuración se evaluaron, las condiciones aceptadas, las cuestiones abiertas y los desencadenantes de una nueva evaluación. Los cambios relevantes en los accesos, los subencargados o las ubicaciones del tratamiento deben llegar a ambas funciones.

Incidentes: intercambie los hechos antes de tener certezas

Ante una sospecha de violación de seguridad, seguridad investiga mientras privacidad evalúa las implicaciones para las personas afectadas y la notificación. Ningún equipo debe esperar a un informe terminado para compartir la información pertinente.

Un primer traspaso debe indicar qué ocurrió, cuándo se detectó, qué sistemas y datos pueden estar implicados, si se vieron afectadas la confidencialidad, la integridad o la disponibilidad, qué contención se ha aplicado y qué sigue sin saberse. Asigne a alguien para mantener la cronología y actualizar a ambas funciones a medida que cambian los hechos.

Según el artículo 33 del RGPD, el responsable debe notificar a la autoridad de control sin dilación indebida y, de ser posible, en un plazo de 72 horas desde que tenga constancia, salvo que sea improbable que la violación constituya un riesgo para los derechos y libertades de las personas. El encargado debe notificar al responsable sin dilación indebida. Registre la valoración del momento en que se tuvo constancia; no suponga que toda alerta inicial pone en marcha el plazo legal ni que sea necesaria una certeza forense completa antes de actuar.

El artículo 34 puede exigir la comunicación a las personas afectadas cuando exista un alto riesgo, con sus excepciones. Acuerden quién coordina los plazos, prepara las notificaciones, autoriza las comunicaciones y conserva las evidencias. Documente las violaciones de la seguridad de los datos personales, incluido el razonamiento cuando se considere innecesaria la notificación. La falta de datos puede requerir una notificación por fases en lugar de silencio mientras continúa la investigación.

En el caso de un incidente que afecte a una entidad incluida en el ámbito de NIS2, evalúe en paralelo si alcanza el umbral de notificación de incidentes significativos aplicable. La directiva prevé una alerta temprana en 24 horas, una notificación del incidente en 72 horas y, por lo general, un informe final en el plazo de un mes desde la notificación; compruebe las normas nacionales y sectoriales. Son desencadenantes y destinatarios distintos de los del RGPD, no un único proceso de notificación intercambiable.

Solicitudes de ejercicio de derechos: distinga el apoyo operativo de la responsabilidad de la respuesta

Las solicitudes de ejercicio de derechos suelen necesitar el apoyo de seguridad y TI para verificar la identidad de forma proporcionada, localizar la información, proteger los datos de terceros y entregar la respuesta de forma segura. Privacidad coordina la evaluación jurídica, con el asesoramiento del DPD cuando proceda. El responsable del tratamiento sigue siendo responsable de responder.

Según el artículo 12 del RGPD, el plazo de respuesta habitual es de un mes. Puede ser posible una prórroga de otros dos meses cuando sea necesario, informando de ella y de sus motivos dentro del primer mes. Las solicitudes son en general gratuitas, con condiciones limitadas para cobrar un canon o denegarlas.

Registre quién es responsable del plazo, qué sistemas deben consultarse y quién aprueba la comunicación de la información. No exija por defecto documentos de identificación excesivos ni permita que una exportación técnica se convierta en una respuesta sin revisar. Un proceso operativo compartido puede conectar la evaluación de privacidad con las búsquedas y los controles de entrega descritos en la gestión de solicitudes de acceso.

Elija designaciones internas o externas según la capacidad y el acceso

El artículo 37, apartado 6, del RGPD permite expresamente que la función de DPD la desempeñe un miembro de la plantilla o se ejerza en el marco de un contrato de servicios. La dirección de seguridad también puede externalizarse como mecanismo organizativo, con sujeción a los requisitos aplicables y a un mandato claro.

Un DPD interno puede conocer a fondo el negocio y tener acceso inmediato a sus compañeros. Aun así, la organización debe proporcionarle conocimientos especializados, recursos, tiempo protegido, independencia y sustitución. Un DPD externo puede aportar experiencia especializada y capacidad adicional, pero necesita una vía fiable para conocer los cambios de producto, los contratos, las evaluaciones y los incidentes. Ninguno de los dos modelos funciona si el DPD se entera de las decisiones solo después de su implantación.

Compare las necesidades operativas totales y no solo el salario frente a la cuota del servicio. Tenga en cuenta la formación, el asesoramiento especializado, la cobertura de ausencias, el tiempo de coordinación, los picos de los proyectos y los cargos por trabajos fuera del alcance. No existe una regla universal fiable según la cual la prestación externa sea más barata.

En los mandatos externos, acuerde:

• Contactos designados, sustitutos, vías de escalado y acceso al más alto nivel de dirección.
• Qué revisiones, reuniones, formación y apoyo ante incidentes están incluidos.
• Tiempos de respuesta ajustados al trabajo urgente y al rutinario.
• Cómo se documentarán y conservarán la información, el asesoramiento y las decisiones.
• Confidencialidad, límites de acceso, gestión de conflictos y condiciones de salida.

Si un mismo proveedor presta ambas funciones, examine quién desempeña cada mandato y cómo se gestionan los conflictos. No basta con nombres distintos en una propuesta si la misma persona controla y revisa las decisiones de tratamiento.

Designe un coordinador interno con autoridad para obtener información y hacer el seguimiento de la implantación. Los especialistas externos no pueden evaluar sistemas que no se les han dado a conocer ni imponer acciones de las que nadie es responsable dentro de la organización. La dirección conserva las decisiones sobre el presupuesto y las prioridades del negocio, y el responsable del tratamiento conserva la responsabilidad que le atribuye el artículo 24 del RGPD.

Ajuste el esquema a la carga de trabajo

En una organización más pequeña sin obligación de designar un DPD, puede ser adecuado contar con un responsable de privacidad y un responsable de seguridad designados, con asesoramiento especializado disponible para las cuestiones difíciles. Eso es distinto de nombrar formalmente a alguien DPD.

Cuando el DPD sea obligatorio pero los candidatos internos tengan una autoridad operativa en conflicto, merece la pena considerar una designación externa. Combínela con una responsabilidad interna de la implantación en lugar de esperar que el proveedor gestione todas las tareas de privacidad.

Cuando el aseguramiento ante clientes exija construir un SGSI y la experiencia interna en seguridad sea limitada, una dirección de seguridad externa puede apoyar el trabajo inicial. Decida quién mantendrá después las evaluaciones de riesgos, las evidencias y los informes a la dirección; un encargo de proyecto no debe dejar un vacío de responsabilidad cuando termine.

Una organización consolidada puede sostener ambas funciones internamente, siempre que proteja la independencia del DPD y asigne capacidad suficiente. La decisión debe basarse en la carga de trabajo, la competencia y la autoridad reales, no en la suposición de que lo interno siempre es mejor o lo externo siempre más fácil.

Ejemplo práctico: un fabricante que prepara un portal de clientes

Pensemos, a modo ilustrativo, en un fabricante con 200 empleados, un pequeño equipo de TI y un portal previsto para la atención al cliente y el mantenimiento de máquinas. Supongamos que el portal contendrá datos de contacto de clientes, historiales de servicio y registros de actividad de los técnicos. Los clientes también solicitan un gobierno de la seguridad documentado. Son hechos hipotéticos, no una conclusión jurídica sobre todos los fabricantes de ese tamaño.

La dirección encarga primero evaluaciones separadas de la obligación de designar un DPD y de la aplicabilidad de la normativa sectorial de ciberseguridad. No deduce el ámbito de NIS2 solo a partir del número de empleados. También revisa la designación actual del director de TI como DPD, porque ese director selecciona los sistemas y aprueba su funcionamiento.

Tras evaluar los conflictos y la capacidad, la empresa designa un DPD externo y un responsable de seguridad a tiempo parcial. El director de TI es responsable de la entrega técnica, el director de servicio es responsable de los fines del tratamiento y de los requisitos de negocio del portal, y un coordinador interno mantiene el registro de acciones. El director general patrocina las decisiones y resuelve los conflictos de recursos.

Durante el diseño, seguridad recomienda un registro detallado de la actividad para investigar usos indebidos. Privacidad señala que los registros revelan también el comportamiento de los técnicos. El director de servicio explica la necesidad operativa; seguridad propone un acceso restringido y un uso de investigación definido; privacidad evalúa la necesidad, la transparencia y la conservación. El asesoramiento del DPD se registra antes de que el responsable decida la configuración. El DPD no aprueba el diseño del registro en lugar de la dirección.

El registro del lanzamiento contiene la descripción del flujo de datos, la evaluación del proveedor, las conclusiones de seguridad, el resultado del análisis previo de la EIPD, las acciones de privacidad y las condiciones de lanzamiento aceptadas. Toda acción pendiente tiene un responsable y una fecha límite.

A continuación, la dirección realiza un ejercicio de mesa con una cuenta del portal comprometida. Seguridad aporta un primer paquete de hechos; privacidad evalúa el posible daño; el coordinador controla los plazos de evaluación; y el directivo autorizado gestiona las comunicaciones. El ejercicio revela que faltaban los datos de contacto de emergencia del DPD externo en el procedimiento de incidentes. Corregir esa pequeña carencia hace que el traspaso sea utilizable bajo presión.

Haga que la colaboración sea revisable sin compartirlo todo

Dé a los desacuerdos una vía de escalado definida. Los compromisos técnicos pueden elevarse al responsable del servicio y al patrocinador ejecutivo; las dudas de cumplimiento sin resolver deben llegar al más alto nivel de dirección a través de la vía de información independiente del DPD. Conserve las opiniones discrepantes en lugar de reescribir el registro para dar a entender que hubo acuerdo.

Comparta solo la información que necesita cada función, sobre todo en investigaciones sensibles. El DPD debe tener acceso a la información pertinente sobre el tratamiento conforme al artículo 38 del RGPD, pero eso no justifica distribuir registros brutos de empleados o material forense a todos los participantes en un proyecto. Utilice límites de acceso y resúmenes debidamente anonimizados sin ocultar los hechos necesarios para la evaluación.

La dirección debe revisar unas pocas señales operativas: cambios implementados antes de la consulta, acciones vencidas después del asesoramiento, incidentes con escalado transversal tardío e incertidumbre repetida sobre quién tiene autoridad para decidir. Estas señales revelan los fallos de gobierno con más claridad que contar políticas o reuniones.

Una revisión práctica de la dirección debe terminar con decisiones, no solo con informes actualizados. Si las evaluaciones llegan tarde una y otra vez, cambie el desencadenante de entrada de los proyectos. Si las acciones siguen abiertas porque los equipos no tienen capacidad, asigne recursos o revise el plan de entrega. Si nadie sabe identificar a quien decide, corrija la delegación antes de aceptar otro lanzamiento.

Mantenga compacto el registro resultante: la cuestión, el asesoramiento de seguridad y privacidad pertinente, la decisión adoptada por el responsable, su razonamiento, los responsables de las acciones y una fecha de revisión. Distinga una falta de evidencias de un control implementado que ha fallado. Requieren un seguimiento distinto, aunque ambos aparezcan como una tarea abierta.

Preguntas que la dirección debe resolver explícitamente

¿Tiene que aprobar el DPD cada lanzamiento?

El RGPD define una función de asesoramiento y supervisión, no un requisito universal de aprobación del lanzamiento por parte del DPD. Una organización puede establecer puntos de consulta obligatorios, pero debe distinguir la consulta de la autoridad de lanzamiento del responsable de negocio. Una consulta completada tampoco acredita que el tratamiento sea lícito.

¿Pueden las evidencias de seguridad satisfacer las revisiones de privacidad?

Pueden respaldarlas. Los registros de revisión de accesos o las pruebas de recuperación pueden fundamentar una evaluación del artículo 32. No acreditan una base jurídica, una transparencia adecuada ni un plazo de conservación justificado. Identifique qué afirmación demuestra cada elemento en lugar de tratar un único paquete de evidencias como aprobación para todo.

Empiece con dos procesos y un pequeño rastro de evidencias

Empiece por los cambios de producto y la gestión de incidentes. Designe para cada uno al responsable de la entrada, la información necesaria, los desencadenantes de revisión, la autoridad de decisión, la vía de escalado y las suplencias. Pruebe ambos con casos realistas antes de ampliar la matriz.

Secani conecta requisitos, evidencias, responsables, tareas y decisiones de revisión en un contexto compartido. En un servicio con un alcance acotado, los equipos pueden modelar los sistemas y proveedores que lo soportan, vincular las evidencias con los requisitos o decisiones que respaldan y convertir las preguntas de revisión sin respuesta en trabajo asignado. Planifique los límites de acceso para los colaboradores internos y externos; el rol documentado de la API OSCAL solo concede acceso de validación. Mantenga explícita la revisión humana de las sugerencias asistidas por IA y conserve las fuentes, los comentarios, las aprobaciones y las marcas de tiempo.

El siguiente paso práctico es una sesión conjunta con el responsable de negocio, el responsable de seguridad, el equipo de privacidad y el DPD. Recorran un cambio próximo y un incidente verosímil a través de los traspasos propuestos. Allí donde el grupo no sepa identificar quién actúa a continuación, mejore el proceso antes del siguiente caso urgente.