RGPD y seguridad: conecte las salvaguardas con el tratamiento

Un sistema de gestión de la seguridad de la información bien gestionado aporta procesos útiles para el RGPD: gestión de accesos, gestión de incidentes, evaluación de proveedores y resiliencia. El trabajo de privacidad pregunta además por qué el tratamiento es lícito, proporcionado y transparente. Esas preguntas confluyen en la misma actividad de negocio, pero requieren decisiones distintas.

Para la dirección, la tarea consiste en conectarlas sin tratar una como sustituta de la otra. Una base de datos de clientes segura puede seguir conteniendo información que la empresa no debería haber recogido. Un contrato válido con el cliente no demuestra que todas las personas con acceso a la base de datos necesiten ese acceso. Un certificado ISO 27001 no resuelve ninguna de las dos cuestiones.

Por tanto, el punto de partida práctico es el tratamiento, no un catálogo de controles. Identifique qué quiere hacer el negocio con los datos personales, evalúe si esa actividad está permitida y, después, seleccione salvaguardas para las consecuencias de un fallo. Conserve el razonamiento, las evidencias, el responsable y el próximo hecho que debería desencadenar una revisión.

Determine qué tratamientos y responsabilidades entran en el ámbito

El Reglamento General de Protección de Datos regula el tratamiento de datos personales. El tratamiento incluye la recogida, la conservación, la consulta, la comunicación, la modificación y la supresión. Los datos personales son toda información sobre una persona física identificada o identificable; no se limitan a los nombres ni a los registros evidentemente sensibles.

Las direcciones de correo electrónico profesionales, los identificadores de empleados, los identificadores de dispositivos, los historiales de ubicación y las conversaciones de soporte pueden ser datos personales. Que un identificador concreto lo sea depende del contexto y de los medios que razonablemente puedan utilizarse para identificar a alguien. Sustituir los nombres por números de referencia produce normalmente datos seudonimizados, no anónimos, cuando la reidentificación sigue siendo posible. Los datos personales seudonimizados siguen estando sujetos al RGPD.

Compruebe el ámbito territorial antes de elegir un modelo operativo

El artículo 3 abarca el tratamiento en el contexto de las actividades de un establecimiento en la UE, aunque el tratamiento en sí se realice en otro lugar. También puede abarcar a una organización de fuera de la UE cuando su tratamiento esté relacionado con la oferta de bienes o servicios a personas que se encuentren en la Unión o con el control de su comportamiento en ella. La mera accesibilidad de un sitio web no resuelve la cuestión de si se dirige a ese público; evalúe la oferta y la actividad de control reales.

Cuando se aplique el artículo 3, apartado 2, el artículo 27 puede exigir designar un representante en la Unión. Sus excepciones son limitadas y no dependen simplemente del tamaño de la empresa. La excepción para el tratamiento ocasional exige además que se cumplan las condiciones especificadas sobre datos sensibles y riesgo. Un representante no sustituye al responsable del tratamiento, a un DPD ni a una dirección que rinda cuentas.

El RGPD entró en vigor el 24 de mayo de 2016 y es aplicable desde el 25 de mayo de 2018. Para las decisiones actuales, distinga la legislación vigente de las simplificaciones propuestas. Una nota de prensa sobre una posible exención no es base para detener un proceso de cumplimiento existente.

Determine las funciones por actividad, no por la etiqueta de la empresa

El responsable del tratamiento determina los fines y medios del tratamiento. El encargado del tratamiento trata datos personales por cuenta del responsable. Los corresponsables del tratamiento determinan conjuntamente los fines y medios y necesitan un acuerdo conforme al artículo 26 que refleje sus respectivas responsabilidades.

Una misma empresa puede desempeñar varias funciones. Un proveedor de software puede ser encargado respecto de los registros que suben sus clientes y responsable respecto de sus propias nóminas, la administración de cuentas y algunas operaciones de seguridad. La etiqueta del contrato de un proveedor es relevante, pero no puede prevalecer sobre lo que las partes hacen realmente.

El primer resultado debe ser una breve decisión de ámbito: actividades aplicables, entidades de la organización, funciones de responsable o encargado, mercados y cuestiones pendientes. Asigne un responsable para resolver las incertidumbres antes de que empiece o se amplíe el tratamiento correspondiente.

Separe la finalidad de negocio de la base jurídica

Los artículos 5 y 6 establecen la base del tratamiento ordinario de datos personales. La seguridad es una parte de esa base, no una forma de eludirla.

Los principios del artículo 5 suelen presentarse como siete: licitud, lealtad y transparencia; limitación de la finalidad; minimización de datos; exactitud; limitación del plazo de conservación; integridad y confidencialidad; y responsabilidad proactiva. La responsabilidad proactiva exige que el responsable del tratamiento sea responsable del cumplimiento y capaz de demostrarlo. No exige un producto de software concreto, pero sí una explicación defendible respaldada por evidencias adecuadas.

Traduzca cada principio en una pregunta de negocio:

Elija una base para cada finalidad

El artículo 6 prevé seis bases jurídicas. Sus condiciones importan más que sus etiquetas:

• Consentimiento: una manifestación de voluntad libre, específica, informada e inequívoca, que puede retirarse.
• Contrato: tratamiento necesario para la ejecución de un contrato con el interesado o para aplicar medidas precontractuales adoptadas a petición de este.
• Obligación legal: tratamiento necesario para el cumplimiento de una obligación legal aplicable.
• Intereses vitales: tratamiento necesario para proteger intereses vitales de una persona.
• Misión de interés público: tratamiento necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos, con la base jurídica exigida.
• Interés legítimo: tratamiento necesario para la satisfacción de intereses legítimos, sujeto a la ponderación de esos intereses frente a los intereses, derechos y libertades del interesado.

No enumere varias bases como un seguro intercambiable. Determine la base que realmente sustenta cada finalidad y comuníquela con exactitud. Añadir una cláusula a un contrato con el cliente no convierte automáticamente el tratamiento en necesario para ese contrato. Del mismo modo, el interés legítimo exige una evaluación; no es un permiso general para utilizar los datos disponibles.

Como recomendación práctica, documente una evaluación del interés legítimo que abarque el interés perseguido, la necesidad, los efectos sobre las personas, sus expectativas razonables y las garantías. Considere alternativas menos intrusivas. Mantenga el análisis proporcionado a la actividad, pero lo bastante concreto para que alguien ajeno al proyecto pueda entenderlo.

El consentimiento no es universalmente más seguro. Debe ser realmente opcional cuando las circunstancias exigen poder elegir, y la retirada debe funcionar en la práctica. Las relaciones laborales plantean dudas particulares sobre si el acuerdo se presta libremente. La retirada pone fin al tratamiento basado en ese consentimiento en adelante; no suprime automáticamente los registros sujetos a obligaciones de conservación lícitas independientes. No traslade retroactivamente el mismo tratamiento a otra base solo porque se haya retirado el consentimiento. Cualquier tratamiento independiente, como la conservación exigida por ley, necesita su propia base aplicable y una transparencia adecuada.

Las categorías especiales de datos, como la información sobre la salud, necesitan una condición del artículo 9 además de una base del artículo 6. Los datos relativos a condenas e infracciones penales tienen requisitos propios en el artículo 10. Una empresa no debe aprobar ninguna de estas categorías solo porque ya se haya evaluado el tratamiento ordinario de clientes.

Construya un registro de tratamientos que pueda orientar las decisiones

Los registros de las actividades de tratamiento del artículo 30 son útiles porque conectan el análisis jurídico con la realidad operativa. El registro de un responsable incluye los fines, las categorías de interesados y de datos, los destinatarios, las transferencias, los plazos previstos para la supresión cuando sea posible y, cuando sea posible, una descripción general de las medidas de seguridad. Los encargados tienen una obligación de registro distinta que abarca los tratamientos que realizan por cuenta de los responsables.

La excepción para organizaciones con menos de 250 empleados es condicional. No cubre el tratamiento que no sea ocasional, que pueda entrañar el riesgo especificado o que incluya las categorías sensibles especificadas. Una pequeña empresa con un tratamiento continuado de datos de empleados o clientes no debe suponer que su plantilla la exime de las obligaciones de registro.

Utilice las actividades de tratamiento como unidad de organización. «Infraestructura en la nube» suele ser demasiado amplio para explicar por qué se tratan los datos. «Gestión de las solicitudes de atención al cliente» es más útil, porque tiene una finalidad, personas identificables, categorías de datos, destinatarios, reglas de conservación y sistemas de soporte.

Un registro de trabajo práctico puede ir más allá de los campos legales:

• Responsable de negocio y revisor de privacidad.
• Finalidad y base jurídica correspondiente.
• Fuentes de los datos, categorías y colectivos afectados.
• Relaciones de responsable, encargado o corresponsable.
• Aplicaciones, exportaciones, registros de actividad y destinatarios posteriores.
• Reglas de conservación y forma de ejecutar la supresión.
• Referencias a avisos, gestión de derechos, proveedores y transferencias.
• Resultado del análisis previo de la EIPD y salvaguardas vinculadas.
• Fecha de aprobación, acciones pendientes y desencadenantes de revisión.

Los campos adicionales son una recomendación para la coordinación, no una afirmación de que el artículo 30 exija expresamente cada uno de ellos. Su valor reside en que hacen utilizable el registro durante un lanzamiento, una solicitud de acceso, un cambio de proveedor o un incidente.

Concilie el registro con los sistemas que la gente utiliza realmente

Es poco probable que un cuestionario anual revele cada exportación a una hoja de cálculo, cada aplicación en prueba o cada suscripción de IA de un equipo. Compare el registro con la información de compras, las listas de aplicaciones aprobadas, los inventarios de sistemas y entrevistas con los responsables de los procesos. Revise las unidades compartidas y los traspasos manuales cuando afecten de forma relevante a la actividad.

No confunda un inventario de activos con un registro de tratamientos. El inventario de activos explica los sistemas y las dependencias; el registro de tratamientos explica los usos de los datos personales. Conéctelos para que una aplicación pueda dar soporte a varias finalidades sin fundirlas en una descripción indiferenciada.

Para más contexto sobre el flujo de trabajo, consulte descubrimiento de datos y privacidad. El descubrimiento debe producir una lista revisable de discrepancias, no la suposición de que cada campo detectado se ha clasificado correctamente o se ha evaluado jurídicamente.

Traduzca el artículo 32 en salvaguardas para consecuencias reales

El artículo 32 del RGPD exige a responsables y encargados aplicar medidas técnicas y organizativas apropiadas al riesgo. La evaluación tiene en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, el alcance, el contexto y los fines del tratamiento, así como la probabilidad y la gravedad de los riesgos para los derechos y libertades de las personas.

Las consecuencias pertinentes incluyen la destrucción, pérdida o alteración accidental o ilícita, la comunicación no autorizada y el acceso no autorizado. Por eso la disponibilidad y la integridad son importantes junto con la confidencialidad. Perder el acceso a un servicio puede perjudicar a las personas aunque no se haya robado ningún dato.

Una afirmación genérica de que «se aplica la seguridad estándar del sector» no basta para explicar por qué las salvaguardas se ajustan a una actividad concreta. Empiece por escenarios: quién podría verse afectado, qué podría ocurrir, con qué probabilidad y con qué gravedad. Después, conecte cada escenario importante con medidas preventivas, de detección y de recuperación.

Las restricciones de acceso deben seguir a la finalidad

Para una actividad de soporte, pregunte qué agentes necesitan qué registros de clientes, si los archivos adjuntos sensibles requieren restricciones separadas y cuándo debe caducar el acceso temporal. Tenga en cuenta la administración privilegiada, el acceso del soporte de los proveedores, las exportaciones masivas, las cuentas compartidas y el acceso de emergencia.

Las evidencias útiles incluyen definiciones de roles, aprobaciones de accesos, registros de altas, cambios y bajas, mecanismos de acceso privilegiado y revisiones de accesos completadas. Una política de acceso demuestra una regla prevista. Una revisión reciente que muestra la retirada de permisos innecesarios aporta evidencia de que la regla se aplica.

La dirección debe preguntarse si la organización puede distinguir el acceso autorizado del uso apropiado. Un empleado puede tener una cuenta técnicamente válida y, aun así, utilizar los datos para una finalidad no autorizada. La formación, la supervisión, el diseño de los accesos y los procesos de investigación son todos importantes.

El cifrado requiere una decisión de implantación

El artículo 32 menciona el cifrado y la seudonimización entre las medidas que deben considerarse; no impone una obligación universal de cifrado para todas las situaciones. Cuando se elija el cifrado, especifique qué protege y qué no.

El cifrado en tránsito protege los datos que circulan entre extremos cuando los protocolos y la autenticación de los extremos están configurados correctamente. El cifrado en reposo protege los datos almacenados frente a determinados escenarios de amenaza. Ninguno impide automáticamente que una aplicación o un administrador autorizados vean el texto en claro.

Revise quién controla las claves, cómo se separa el acceso a ellas y cómo se generan, rotan, revocan, respaldan y recuperan. El cifrado gestionado por el proveedor puede ser adecuado para algunos riesgos y dejar otros sin resolver. Un cifrado cuyas claves están al alcance del mismo actor comprometido puede no abordar el escenario que se evalúa.

La decisión de la dirección no consiste en elegir personalmente el algoritmo. Consiste en determinar si el diseño aborda el riesgo pertinente y si el responsable técnico puede fundamentar esa conclusión. Consulte cifrado y gestión de claves para las distinciones a nivel de control.

La resiliencia debe demostrarse, no suponerse

El artículo 32 aborda la confidencialidad, la integridad, la disponibilidad y la resiliencia permanentes, junto con la capacidad de restaurar la disponibilidad y el acceso de forma rápida tras un incidente. Una tarea de copia de seguridad completada no demuestra que el negocio pueda restaurar un servicio utilizable.

Fije las expectativas de recuperación en función del tratamiento y de las consecuencias de una interrupción. Pruebe la restauración, las dependencias, las credenciales y el tratamiento de los datos personales en los entornos recuperados. Conserve evidencias de qué se restauró, cuánto tardó, qué falló y qué se corrigió. Las reglas de conservación y supresión deben tener en cuenta también el comportamiento de las copias de seguridad.

Pruebe la eficacia con evidencias pertinentes

El artículo 32 incluye un proceso de verificación, evaluación y valoración regulares de las medidas. El método adecuado depende del control: las revisiones de accesos, los ejercicios de restauración, las comprobaciones de configuración, la evaluación de vulnerabilidades, la revisión de proveedores y los ejercicios de incidentes pueden contribuir.

Una prueba de penetración puede ser útil, pero no sustituye universalmente a estas actividades ni es un requisito general del RGPD. Registre el alcance probado y sus limitaciones. Una prueba de una aplicación no demuestra que estén adecuadamente controlados una exportación de marketing recién introducida, una conexión con un proveedor o un proceso de recuperación.

Para cada salvaguarda relevante, conserve un responsable, una descripción de la implementación, las evidencias pertinentes, la fecha de evaluación y el próximo desencadenante de revisión. Es una estructura práctica de evidencias, no una plantilla prescrita por el artículo 32.

Reutilice el SGSI sin fusionar las conclusiones de seguridad y privacidad

ISO/IEC 27001 se refiere a un sistema de gestión de la seguridad de la información con un alcance definido. Su evaluación de riesgos, el tratamiento de riesgos, los procesos operativos, la auditoría interna y la revisión por la dirección pueden apoyar la gestión de las salvaguardas del RGPD.

El solapamiento es valioso. Las evidencias de gestión de accesos, las evaluaciones de proveedores, los ejercicios de incidentes y las pruebas de recuperación a menudo no necesitan recrearse para la privacidad. Sin embargo, su pertinencia debe comprobarse frente a la actividad de tratamiento y el alcance actual.

La certificación por un organismo de certificación independiente se refiere al alcance declarado del SGSI. No abarca automáticamente todos los productos, entidades, proveedores o actividades de tratamiento. La Declaración de Aplicabilidad recoge las decisiones de aplicabilidad y tratamiento de los controles; no es una declaración de que se hayan cumplido todas las obligaciones del RGPD.

ISO 27001 tampoco es en sí misma un régimen legal general de notificación de violaciones de seguridad. Las obligaciones de notificación del RGPD deben evaluarse por separado. A la inversa, cumplir el RGPD no demuestra que una organización haya implementado todos los requisitos necesarios para la certificación ISO 27001.

El RGPD prevé mecanismos de certificación en sus artículos 42 y 43. Esa certificación no reduce la responsabilidad del responsable ni del encargado y no equivale a un certificado ISO 27001 ni a una declaración universal de cumplimiento legal.

La cuestión para la dirección es, por tanto, reutilizar las evidencias con conclusiones separadas: ¿qué demuestra este elemento, para qué sistemas y qué periodo, y qué preguntas de privacidad siguen sin respuesta?

Dé a la dirección, a seguridad y a privacidad responsabilidades diferenciadas

Un modelo operativo que funcione necesita algo más que un buzón de cumplimiento compartido. Los responsables de negocio deben describir y justificar sus tratamientos; seguridad debe evaluar e implementar las salvaguardas pertinentes; los especialistas en privacidad deben asesorar sobre los requisitos legales, los derechos, los avisos y las evaluaciones. La dirección debe aportar recursos y resolver las decisiones relevantes dentro de la ley.

No toda empresa está obligada a designar un DPD. El artículo 37 incluye a las autoridades y organismos públicos, con su excepción para los tribunales, y a las organizaciones cuyas actividades principales cumplen las condiciones especificadas de observación a gran escala o de tratamiento de datos sensibles. La legislación nacional puede añadir requisitos, por lo que debe comprobar las jurisdicciones pertinentes.

Cuando se designa, el DPD tiene funciones independientes de asesoramiento y supervisión, debe participar de forma adecuada y en tiempo oportuno y rinde cuentas directamente al más alto nivel jerárquico. No debe recibir instrucciones para llegar a una conclusión preferida ni se le deben asignar responsabilidades contrapuestas que determinen los fines y medios del tratamiento.

No convierta al DPD en el responsable de todos los controles, en quien aprueba todas las finalidades de negocio y en quien audita esas mismas decisiones. Eso concentra responsabilidades incompatibles y puede llevar a los equipos operativos a creer que se les ha liberado de su responsabilidad.

Un registro de aprobación útil identifica al responsable que propone, el asesoramiento especializado, las evidencias consideradas, quién decide, las condiciones y las acciones pendientes. Si la dirección elige un enfoque lícito distinto del recomendado, registre el razonamiento. La dirección no puede convertir en cumplimiento la falta de una base jurídica o de una cláusula contractual obligatoria etiquetándola como «riesgo aceptado».

La guía sobre las responsabilidades del CISO y del DPD explica con más detalle el límite de las responsabilidades. Para el CEO, la pregunta clave de supervisión es si los desacuerdos llegan a alguien capaz de cambiar el tratamiento, financiar la salvaguarda o detener la propuesta, y no simplemente de aprobar un documento.

Evalúe a los proveedores a través de su función, el contrato y la implementación

La revisión de seguridad de los proveedores y la revisión de proveedores conforme al RGPD se solapan, pero no son idénticas. Determine primero si el proveedor es un encargado, un responsable independiente, un corresponsable o si desempeña funciones distintas para servicios distintos.

Según el artículo 28, los responsables deben elegir encargados que ofrezcan garantías suficientes para aplicar medidas técnicas y organizativas apropiadas. Los encargos del tratamiento requieren un contrato vinculante u otro acto jurídico válido que recoja el contenido prescrito. Una cláusula de confidencialidad por sí sola no cumple ese requisito.

Los requisitos del artículo 28 incluyen:

• Objeto, duración, naturaleza y finalidad del tratamiento.
• Tipos de datos personales y categorías de interesados.
• Obligaciones y derechos del responsable.
• Tratamiento siguiendo instrucciones documentadas, incluidas las disposiciones pertinentes sobre transferencias.
• Confidencialidad y medidas de seguridad del artículo 32.
• Condiciones para recurrir a otros encargados.
• Asistencia con las solicitudes de ejercicio de derechos y con determinadas obligaciones de cumplimiento.
• Devolución o supresión de los datos al finalizar los servicios, con sujeción a los requisitos legales aplicables.
• Información y auditorías para demostrar el cumplimiento.

Revise las condiciones reales del servicio junto con el contrato. Un proveedor puede prometer la supresión y conservar algunos registros con una finalidad propia como responsable. Una suscripción empresarial puede restringir el uso para entrenamiento mientras que una cuenta de prueba no lo hace. Un encargado puede utilizar varios subencargados con distintas ubicaciones y condiciones de soporte.

La autorización de subencargados puede ser específica o general según el artículo 28. Cuando se utilice una autorización general por escrito, el encargado debe informar al responsable de cualquier incorporación o sustitución prevista, dándole la oportunidad de oponerse. La cuestión operativa es quién recibe esos avisos y los evalúa antes de que desaparezcan en un buzón que nadie atiende.

Mantenga separada la revisión del contrato de la evaluación de las transferencias. Un contrato del artículo 28 no proporciona por sí solo un mecanismo de transferencia del capítulo V. Tampoco la firma de un contrato de encargo establece la base jurídica de la actividad del responsable.

Trate las condiciones no negociables como una decisión de negocio

Los clientes más pequeños pueden tener un poder de negociación limitado. Eso hace que la evaluación temprana sea más importante, no opcional. Documente la deficiencia, pregunte por las alternativas disponibles y considere cambiar la configuración, reducir los datos, elegir otro servicio o no seguir adelante.

Cuando un requisito obligatorio sigue sin cumplirse, la aprobación de la dirección no puede subsanarlo. Cuando la cuestión es elegir entre opciones lícitas con distintos riesgos residuales, la dirección puede decidir con un asesoramiento documentado. Compras debe distinguir esas situaciones en lugar de agrupar todas las preocupaciones en una única categoría de excepción.

Una revisión de proveedores debe terminar con una decisión, condiciones, referencias a las evidencias y desencadenantes de una nueva revisión, no solo con un cuestionario completado.

Diseñe la gestión de derechos antes de la primera solicitud difícil

Los artículos 15 a 22 reconocen derechos como el de acceso, rectificación, supresión, limitación del tratamiento, portabilidad, oposición y protección frente a determinadas decisiones basadas únicamente en el tratamiento automatizado. Estos derechos tienen condiciones y excepciones diferentes; un único flujo de «borrarlo todo» no servirá para todos.

Según el artículo 12, las organizaciones deben responder sin dilación indebida y, normalmente, en el plazo de un mes desde la recepción de la solicitud. Es posible una prórroga de hasta otros dos meses cuando sea necesario, teniendo en cuenta la complejidad y el número de solicitudes, pero debe informarse al interesado dentro del primer mes, indicando los motivos. Las solicitudes son en general gratuitas; el cobro de un canon o la negativa se limitan a las condiciones del reglamento, como las solicitudes manifiestamente infundadas o excesivas, que el responsable debe acreditar.

Construya una vía operativa que funcione en los canales de soporte, RR. HH., ventas y privacidad:

1. Registrar la recepción, los derechos solicitados y el plazo.
2. Confirmar el responsable del tratamiento y el alcance pertinentes.
3. Verificar la identidad de forma proporcionada cuando haya dudas razonables.
4. Localizar los datos e identificar los sistemas, destinatarios y encargados pertinentes.
5. Evaluar las condiciones, exenciones y derechos de otras personas aplicables.
6. Preparar la respuesta o la actuación y revisarla.
7. Entregarla de forma segura y conservar un registro adecuado de su finalización.

No exija de forma rutinaria documentos de identidad cuando una verificación menos intrusiva sea suficiente. Del mismo modo, no entregue registros sensibles porque alguien conozca una dirección de correo electrónico. La propia verificación trata datos personales y requiere un enfoque proporcionado.

Una respuesta a una solicitud de acceso normalmente necesita algo más que una lista de categorías. El artículo 15 incluye una copia de los datos personales objeto de tratamiento e información complementaria. Revise la información de terceros y sus derechos antes de la comunicación; no trate la presencia del nombre de otra persona como justificación para retenerlo todo.

La supresión no es absoluta. Pueden aplicarse obligaciones legales de conservación y otras excepciones del artículo 17. Cuando la supresión sea obligatoria, determine cómo llega a los servicios conectados y a los destinatarios pertinentes, y cómo se evita que la restauración de una copia de seguridad vuelva a introducir sin más los registros suprimidos. Explique con exactitud cualquier limitación lícita.

La automatización puede controlar los plazos y organizar las búsquedas, pero alguien debe decidir si los resultados están completos, si las ocultaciones están justificadas y si se aplica una excepción. Una respuesta estándar generada con rapidez no es útil si omite un sistema que contiene los datos solicitados.

Consulte solicitudes de acceso para un flujo de trabajo más detallado. La dirección debe probar periódicamente una solicitud representativa desde la entrada hasta la entrega segura, en lugar de confiar únicamente en que exista un procedimiento publicado.

Utilice las EIPD para cuestionar el diseño antes de aprobarlo

Una evaluación de impacto relativa a la protección de datos (EIPD) del artículo 35 es obligatoria antes de un tratamiento que probablemente entrañe un alto riesgo para los derechos y libertades de las personas. El reglamento identifica casos concretos, entre ellos determinadas evaluaciones automatizadas significativas, el tratamiento a gran escala de datos sensibles y la observación sistemática a gran escala de zonas de acceso público. También deben tenerse en cuenta las listas pertinentes de las autoridades de control.

Analice pronto las actividades propuestas. Como recomendación práctica, conserve el razonamiento cuando el análisis previo concluya que no es necesaria una EIPD, sobre todo en los casos dudosos. Un breve registro del análisis permite revisar la decisión cuando cambian la escala, la tecnología o la finalidad.

La EIPD completa debe abordar cuatro elementos conectados:

• Una descripción sistemática del tratamiento previsto y de sus fines, incluido, cuando proceda, el interés legítimo.
• La necesidad y la proporcionalidad en relación con esos fines.
• Los riesgos para los derechos y libertades de las personas.
• Las medidas previstas para afrontar los riesgos y demostrar el cumplimiento.

No empiece ni termine con una lista de amenazas de seguridad. Pregunte primero si los datos, la frecuencia, los destinatarios y el proceso de decisión propuestos son necesarios. Un diseño menos intrusivo puede eliminar un riesgo con más eficacia que un control técnico adicional.

Por ejemplo, un proyecto de productividad de los empleados podría proponer la captura continua de pantallas. El cifrado y el acceso restringido podrían reducir el riesgo de revelación, pero dejarían abiertas cuestiones serias sobre la proporcionalidad, la monitorización, las expectativas de los empleados y la idoneidad de medidas menos intrusivas. La finalidad de negocio debe examinarse antes de que el diseño de seguridad tenga sentido.

Evalúe el riesgo para las personas, no solo la exposición de la empresa

Tenga en cuenta las pérdidas económicas, la discriminación, el uso indebido de la identidad, la pérdida de confidencialidad, la exclusión de servicios y otros efectos pertinentes. Un escenario puede tener un impacto económico limitado para la empresa y un impacto considerable para una persona.

Documente las mitigaciones propuestas, los responsables de su implantación y la evaluación residual. Solicite el asesoramiento del DPD cuando se haya designado uno. Revise si los cambios en la operación o en el riesgo exigen actualizar la evaluación.

El artículo 36 exige una consulta previa a la autoridad de control cuando la EIPD muestre que el tratamiento entrañaría un alto riesgo si no se adoptan medidas para mitigarlo. Si la organización no puede abordar suficientemente ese alto riesgo, no puede sustituir la consulta obligatoria por un estado interno de «aceptado». La dirección puede rediseñar, aplazar o abandonar la actividad; no puede disponer de los derechos de otras personas como si fueran únicamente un riesgo comercial.

Conecte la respuesta a incidentes con las decisiones de notificación del RGPD

Una violación de la seguridad de los datos personales incluye toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales, o la comunicación o el acceso no autorizados a ellos. Es más amplia que el robo de una base de datos por un atacante. Un archivo adjunto enviado por error, un dispositivo sin protección perdido o un incidente que afecte a la disponibilidad o a la integridad de los datos personales pueden requerir una evaluación.

Según los artículos 33 y 34, los responsables evalúan dos umbrales de notificación distintos:

El plazo de 72 horas se cuenta desde que se tiene constancia, no simplemente desde la marca de tiempo del incidente original ni desde el siguiente día hábil. Si la notificación es posterior, debe ir acompañada de los motivos del retraso. La información puede facilitarse de forma gradual cuando no sea posible facilitarla toda a la vez sin una nueva dilación indebida.

Prepare con antelación la cadena de escalado: responsable del incidente, asesor de privacidad, responsable de la decisión en nombre del responsable del tratamiento, investigadores técnicos, comunicación y contactos de los proveedores. Localice la vía de notificación de la autoridad competente antes de una emergencia. Un encargado no debe esperar a su propia conclusión final sobre el riesgo para informar al responsable.

El registro del incidente debe recoger qué ocurrió, los datos y las personas afectados, las consecuencias probables, la contención y la corrección, y las decisiones de notificación. El artículo 33, apartado 5, exige documentar las violaciones de la seguridad de los datos personales, incluidos los hechos, sus efectos y las medidas correctivas adoptadas. Conserve el razonamiento de la decisión de no notificar para que pueda entenderse más adelante.

El cifrado puede influir en el análisis del riesgo y del artículo 34, pero solo cuando su protección sea pertinente y eficaz. «El servicio utiliza cifrado» no basta si un atacante accedió al texto en claro a través de una cuenta comprometida. El artículo 34 incluye también otras excepciones, como las medidas ulteriores que garanticen que ya no es probable que se materialice el alto riesgo; evalúe las condiciones reales en lugar de aplicar una exención genérica.

Ensaye un escenario en el que intervenga un proveedor y otro de revelación interna. El ejercicio debe probar la recogida de evidencias y la autoridad de decisión, además de la contención técnica.

Trate las transferencias internacionales como una evaluación independiente

Los requisitos de transferencia del capítulo V se suman al resto del RGPD. Un mecanismo de transferencia no proporciona una base jurídica del artículo 6, y una base jurídica no elimina la necesidad de un mecanismo de transferencia adecuado.

Trace los destinatarios y las vías de acceso reales. El alojamiento en un centro de datos de la UE es relevante, pero no demuestra por sí solo que no haya transferencias a terceros países ni que se cumplan todas las obligaciones de privacidad. Tenga en cuenta el acceso del soporte, los subencargados, el acceso administrativo, las comunicaciones ulteriores y las partes implicadas.

El marco de transferencias del RGPD incluye las decisiones de adecuación del artículo 45, las garantías adecuadas del artículo 46 y las excepciones limitadas del artículo 49. Compruebe el mecanismo pertinente y su alcance en el momento de la decisión.

Cuando se recurra a un acuerdo de adecuación limitado a las organizaciones adheridas, verifique el destinatario exacto y la actividad cubierta. Una empresa del grupo o un nombre comercial similar no es necesariamente el destinatario cubierto. Conserve el resultado y la fecha de la comprobación.

Cuando se utilicen cláusulas contractuales tipo, seleccione las cláusulas que correspondan a las funciones reales de las partes y complete los anexos pertinentes. Evalúe la legislación y las prácticas del país de destino y si son necesarias medidas complementarias para que la protección sea eficaz. Un contrato firmado por sí solo no responde a todas las preguntas sobre el riesgo de la transferencia.

Un expediente de transferencia práctico debe identificar al exportador y al importador, los datos y los fines, las ubicaciones y los accesos, las transferencias ulteriores, el mecanismo elegido, la evaluación pertinente, las medidas técnicas u organizativas y los desencadenantes de revisión. La documentación del proveedor puede apoyar este trabajo, pero preguntar si un proveedor «tiene una evaluación» no es lo mismo que valorar sus conclusiones pertinentes.

La dirección debe saber qué servicios dependen de un mecanismo concreto y qué cambios exigirían una nueva evaluación. Eso permite un plan de contingencia deliberado sin implicar que todos los proveedores necesiten una alternativa contractual idéntica.

Evalúe el uso de la IA como tratamiento, no solo como una herramienta nueva

Una aplicación de IA puede introducir nuevos destinatarios, inferir información personal adicional, conservar prompts o habilitar una nueva finalidad. Esos cambios importan aunque la aplicación reutilice el inicio de sesión único y los controles de acceso existentes de la organización.

Antes de aprobar el uso de datos personales en un servicio de IA, determine:

• La tarea precisa y si los datos personales son necesarios.
• Las categorías de entradas, resultados y personas afectadas.
• La función del proveedor en cada uso, incluidos los fines de entrenamiento o mejora.
• La conservación, el acceso humano, los subencargados y las transferencias.
• Los compromisos contractuales y los ajustes de configuración pertinentes.
• Los riesgos relativos a la exactitud, la revelación, la gestión de derechos y la toma de decisiones.

No dé por supuesto que todo proveedor de modelos es exclusivamente un encargado. Su función depende del tratamiento que realiza y de los fines que determina. Del mismo modo, un contrato del artículo 28 no hace automáticamente lícita la transmisión propuesta. Evalúe la finalidad, la base jurídica, la transparencia, la necesidad y todos los demás requisitos aplicables.

Si la empresa es a su vez encargada, incorporar un proveedor de IA puede crear una relación de subencargo. Compruebe las instrucciones del cliente y el proceso de autorización acordado antes de enviar datos de clientes. No siempre es necesaria una nueva adenda al contrato, pero sí cumplir los acuerdos contractuales y legales existentes.

El artículo 22 se refiere a determinadas decisiones basadas únicamente en el tratamiento automatizado que producen efectos jurídicos o significativamente similares. Una revisión humana nominal no resuelve la cuestión si el revisor no puede valorar ni cambiar de forma significativa el resultado. Las decisiones de selección de personal, de elegibilidad y financieras requieren un examen especial.

El Reglamento de Inteligencia Artificial y el RGPD imponen obligaciones distintas. Una evaluación conforme al Reglamento de IA no sustituye a una EIPD, y el cumplimiento del RGPD no acredita el cumplimiento del Reglamento de IA. Utilice el resumen actual de la Comisión Europea sobre el Reglamento de IA para las fechas de aplicación, en lugar de trasladar un calendario de lanzamiento antiguo a un proyecto actual.

En el trabajo interno de privacidad, la IA puede redactar descripciones a partir de fuentes aprobadas, comparar documentos o sugerir preguntas. Trate sus resultados como un borrador. Una base jurídica verosímil, un destinatario omitido o una declaración de conservación incorrecta pueden hacer que un documento pulido sea sustancialmente erróneo.

Automatice la coordinación preservando una revisión con responsable

Las organizaciones en crecimiento acumulan trabajo recurrente: actualizaciones del registro de tratamientos, plazos de las solicitudes de derechos, documentos de proveedores, acciones de evaluación, caducidad de evidencias y decisiones de revisión. La automatización puede organizar las entradas y los plazos. No debe difuminar la diferencia entre recoger información y llegar a una conclusión defendible.

Empiece por un proceso estable y una responsabilidad clara. Automatizar un traspaso ambiguo puede propagar la ambigüedad más rápido. Defina qué abre una tarea, quién la recibe, qué evidencias se necesitan, quién revisa el resultado y qué da por terminado el trabajo.

Para la redacción asistida por IA, conserve las fuentes aprobadas e identifique la incertidumbre. No permita que un resumen generado sustituya en silencio a un contrato con un proveedor o a una evaluación. Los revisores deben poder distinguir los hechos aportados, las sugerencias inferidas y las cuestiones pendientes.

Aplique el principio de mínimo privilegio al propio flujo de trabajo. Los expedientes de solicitudes de derechos, los registros de incidentes y las evaluaciones de empleados pueden contener información sensible. Un acceso amplio a un espacio de trabajo de cumplimiento puede socavar las restricciones que se están documentando. Minimice los datos personales en las evidencias y restrinja el material que realmente requiera identificación.

Algunos indicadores útiles para la dirección son las acciones vencidas, la falta de responsables, los registros pendientes de revisión tras un cambio relevante y los controles con evidencias obsoletas o insuficientes. El recuento bruto de documentos es menos informativo. Mida si las decisiones y el trabajo correctivo se completan, no simplemente si se ha generado más texto.

Ejemplo práctico: una integración de marketing que reutiliza controles de seguridad

El ejemplo siguiente es ilustrativo. Supongamos que una empresa de software B2B en crecimiento tiene una base de datos de clientes consolidada, un SGSI que cubre su servicio de producción y una plataforma de campañas propuesta. Marketing quiere enviar mensajes de incorporación y, más adelante, promocionar productos adicionales. La plataforma recibiría datos de contacto, eventos de uso del producto y notas de soporte en texto libre. No se da a entender ningún resultado real de clientes ni ninguna capacidad de Secani.

1. Separe las finalidades propuestas

La solicitud inicial dice «mejorar el compromiso de los clientes». El responsable de negocio la reformula en finalidades concretas: la incorporación necesaria al servicio, las comunicaciones promocionales opcionales y el análisis del rendimiento de las campañas.

El revisor de privacidad evalúa la base de cada finalidad en lugar de aplicar el contrato con el cliente a las tres. Las comunicaciones promocionales pueden verse afectadas además por la normativa nacional aplicable a las comunicaciones comerciales electrónicas. La empresa no supone que un análisis del interés legítimo conforme al RGPD resuelva por sí solo esos requisitos independientes.

El primer resultado es una decisión sobre finalidades y bases, con las cuestiones pendientes asignadas. Marketing no puede empezar el uso ampliado solo porque la integración haya superado una comprobación técnica de seguridad.

2. Reduzca el flujo de datos propuesto

Las notas de soporte resultan cómodas para personalizar, pero son innecesarias para el mensaje de incorporación aprobado. También pueden contener información que los clientes no esperaban que se reutilizara para marketing. El diseño las elimina.

El responsable técnico limita los eventos del producto a los necesarios para el flujo aprobado y excluye los historiales detallados de usuario cuando basten datos de eventos agregados o más sencillos. Esto reduce la exposición antes de añadir otro control.

El registro de tratamientos describe ahora los campos reales, los usuarios afectados, el destinatario, las finalidades y el enfoque de conservación. El aviso de privacidad se revisa frente a la actividad aprobada y no frente a la solicitud amplia original.

3. Compruebe las condiciones del proveedor y de las transferencias

Compras determina la función de la plataforma en el envío de campañas y comprueba si existen finalidades propias del proveedor. El equipo revisa el contrato del artículo 28, las condiciones de los subencargados, las cláusulas de supresión, el acceso del soporte y el mecanismo de transferencia aplicable.

Una opción de alojamiento en la UE se registra como un hecho relevante, no como el final del análisis de las transferencias. Si falta información necesaria, la tarea sigue abierta y la condición de lanzamiento identifica lo que debe resolverse.

4. Reutilice las evidencias de seguridad con cuidado

La integración puede reutilizar los controles corporativos de identidad y un proceso existente de gestión de accesos. Las evidencias de esos controles se vinculan en lugar de recrearse. Sin embargo, la nueva plataforma de campañas tiene sus propios permisos, exportaciones y ajustes de conservación.

El responsable de seguridad evalúa el compromiso de cuentas, la exportación masiva no autorizada, el mapeo incorrecto de eventos y la pérdida de las preferencias de exclusión. El equipo limita los accesos, aprueba los permisos de integración necesarios, prueba el mapeo con datos de prueba adecuados y comprueba cómo se suprimen o excluyen los registros.

El ejercicio de recuperación existente del servicio de producción no demuestra que las preferencias de las campañas puedan restaurarse correctamente. El responsable comprueba por separado el comportamiento de recuperación pertinente para este flujo.

5. Complete la evaluación y la aprobación

El revisor de privacidad realiza el análisis previo de la EIPD a partir de la actividad real y registra el razonamiento. El equipo verifica también cómo llegan a la plataforma las solicitudes de acceso, oposición y supresión. En particular, una oposición al marketing no debe quedar anulada por la siguiente sincronización de la base de datos.

La dirección revisa un paquete de decisión conciso: finalidades aprobadas, datos eliminados, conclusiones sobre el proveedor y las transferencias, salvaguardas, condiciones abiertas, gestión de derechos y responsables designados. Cualquier requisito obligatorio sin resolver bloquea el tratamiento afectado en lugar de convertirse en una excepción comercial aceptada.

6. Conserve el siguiente desencadenante

La aprobación está vinculada a la configuración evaluada. Añadir una puntuación de comportamiento, subir notas de soporte, cambiar las condiciones de entrenamiento del proveedor o introducir un nuevo destinatario desencadena una revisión. El equipo puede reutilizar las evidencias de seguridad que no han cambiado mientras vuelve a evaluar las nuevas cuestiones de privacidad.

Esta es la distinción central: las salvaguardas comunes pueden seguir siendo válidas mientras la finalidad, el destinatario o el efecto sobre las personas cambian de forma sustancial.

Ponga en marcha el enfoque con un primer alcance acotado

Elija una actividad de tratamiento con un responsable de negocio visible y dependencias manejables. La atención al cliente, la incorporación de empleados o un flujo de producto representativo pueden revelar carencias sin necesidad de rediseñar antes toda la organización.

Como recomendación práctica, empiece con cuatro entregables:

• Una descripción del tratamiento acordada y una evaluación de las funciones.
• Una lista de decisiones de privacidad, incluidas la base, el aviso, la conservación, los derechos y el análisis previo de la EIPD.
• Una evaluación de salvaguardas basada en escenarios y vinculada a las evidencias de seguridad existentes.
• Un registro de aprobación con responsables, acciones abiertas y desencadenantes de cambio.

En Secani, los equipos pueden empezar con un alcance acotado, modelar las aplicaciones, sistemas, servicios y proveedores que lo soportan y conectar las evidencias con requisitos, controles y decisiones. Las evidencias que faltan y las cuestiones de revisión sin resolver pueden convertirse en tareas asignadas. Las sugerencias asistidas por IA siguen siendo borradores, con trazabilidad de las fuentes y aprobación humana explícita. Esto ofrece a los revisores de seguridad y privacidad un contexto de evidencias compartido sin ocultar sus conclusiones diferenciadas; no sustituye a los registros de tratamientos, a la atención de los derechos ni al análisis jurídico.

Amplíe solo después de haber ejercitado el primer flujo de trabajo. Pruebe con él un cambio de proveedor, una solicitud de ejercicio de derechos y un escenario de incidente pertinente. Allí donde el equipo no pueda identificar al responsable, recuperar las evidencias o explicar la decisión, corrija el proceso operativo antes de añadir más actividades.

Para la revisión por la dirección, plantee tres preguntas: ¿coincide el registro con el tratamiento actual?, ¿abordan las salvaguardas las consecuencias para las personas? y ¿reabrirá de forma fiable la decisión un cambio relevante? Esas preguntas constituyen un siguiente paso práctico para conectar el aseguramiento de la seguridad con la responsabilidad proactiva del RGPD.

Preguntas que la dirección debe resolver explícitamente

¿Puede un CEO aprobar una excepción al RGPD?

La dirección puede elegir entre opciones lícitas y asignar recursos para abordar el riesgo. No puede dispensar de requisitos legales, autorizar un tratamiento sin una base aplicable ni sustituir la consulta previa obligatoria por una aprobación interna.

¿Requiere cada cambio en un tratamiento una nueva EIPD?

No. Evalúe el cambio frente al umbral de alto riesgo y revise las evaluaciones existentes cuando cambien la operación o el riesgo. Una decisión de análisis previo documentada es más útil que elaborar automáticamente una EIPD completa o suponer que el resultado anterior siempre es válido.

¿Qué debe revisarse primero cuando los recursos son limitados?

Priorice los tratamientos con consecuencias potencialmente graves para las personas, las cuestiones de licitud o contractuales sin resolver y los plazos operativos, como las solicitudes de derechos y la respuesta a violaciones de seguridad. Utilice las carencias de evidencias para orientar la investigación, pero no suponga que la actividad con más documentos pendientes es necesariamente la que presenta mayor riesgo.

¿Qué autoridad aplica el RGPD y cuánto pueden costar los incumplimientos?

Identifique la autoridad de control competente para el tratamiento. En el caso del tratamiento transfronterizo que reúna los requisitos, el mecanismo de autoridad principal depende por lo general del establecimiento principal o único en la UE del responsable o del encargado, con la participación de las demás autoridades interesadas. Un representante del artículo 27 no crea un establecimiento en la UE ni da acceso a ese mecanismo.

El artículo 83 prevé dos niveles principales de multas administrativas máximas: hasta 10 millones de euros o el 2 % del volumen de negocio total anual global del ejercicio financiero anterior, y hasta 20 millones de euros o el 4 %, optándose en cada nivel por la de mayor cuantía. El nivel aplicable depende de la infracción; son límites máximos, no sanciones automáticas. Las autoridades tienen en cuenta las circunstancias y también pueden ordenar medidas correctivas o limitar el tratamiento. El artículo 82 prevé por separado una indemnización cuando una infracción cause daños materiales o inmateriales.