En este artículo
Para la infraestructura de IT, el RGPD se resume en diez medidas técnicas y organizativas que una empresa de más de 10 puestos puede aplicar y demostrar. Mapear los datos, limitar accesos, activar la MFA, cifrar, hacer y probar copias de seguridad, actualizar, registrar accesos, formalizar contratos con los encargados del tratamiento, tener un plan de 72 horas y revisar anualmente. Este texto cubre solo la vertiente técnica; la base jurídica de los tratamientos, los consentimientos y los derechos de los interesados son materia de su abogado o delegado de protección de datos.
Cuatro datos que conviene retener
- Artículo 32 Exige medidas técnicas concretas: cifrado, confidencialidad, capacidad de recuperar los datos y pruebas periódicas.
- 72 horas Plazo general para notificar a la autoridad de control (en Portugal, la CNPD) una violación de datos personales, contado desde que la empresa tiene conocimiento, mediante el formulario correspondiente.
- Documentación obligatoria Todas las violaciones quedan registradas, incluso las que no se notifican.
- Artículo 28 El proveedor de IT con acceso a sus datos es, por regla general, encargado del tratamiento y el contrato debe cumplir este artículo.
Lo que pide el artículo 32, en lenguaje de gestión
El Reglamento (UE) 2016/679 no dice qué equipos comprar; exige una seguridad adecuada al riesgo. El apartado 1 del artículo 32 da ejemplos: seudonimización y cifrado; confidencialidad, integridad, disponibilidad y resiliencia permanentes; capacidad de restaurar a tiempo el acceso a los datos tras un incidente; y un proceso para comprobar periódicamente la eficacia de las medidas.
Traducido: solo ve los datos quien debe, nadie los modifica sin control, la empresa los recupera a tiempo si todo falla, y todo ello se pone a prueba. Datos personales son cualquier dato de una persona identificable: nombres, correos, NIF, direcciones, expedientes de clientes, nóminas.
Las 10 medidas, por orden de ejecución
1. Mapa de datos personales
Servidor, Microsoft 365, facturación, software de RR. HH., discos externos, correos antiguos. El resultado es una tabla sencilla: qué datos, en qué sistema, con qué responsable.
2. Acceso mínimo necesario
Permisos por función —el comercial no abre nóminas, recepción no entra en la carpeta de dirección—, revisados cada vez que alguien cambia de puesto.
3. MFA en todo lo expuesto
La mayoría de los accesos indebidos empieza con una contraseña robada. El segundo factor, normalmente en el móvil, debe estar activo en el correo, en la nube y en el acceso remoto.
4. Cifrado en portátiles, móviles y copias
Es uno de los dos ejemplos que nombra el artículo 32: disco cifrado en todos los portátiles, móviles con bloqueo y gestión, copias de seguridad cifradas.
5. Copias de seguridad con restauración probada
Una copia nunca restaurada no demuestra nada. Recomendamos al menos una prueba de restauración por trimestre; vea cómo probar una copia de seguridad en 30 minutos y nuestras copias de seguridad gestionadas.
6. Actualizaciones con plazo
Los sistemas sin parches son la forma más común de perder integridad y resiliencia. Defina plazos de instalación y sustituya los equipos sin soporte del fabricante.
7. Registros de acceso
Inicios de sesión, accesos a carpetas sensibles y cambios de permisos. Son estos registros los que responden a la pregunta de la autoridad de control ante un incidente: ¿qué datos se han visto afectados?
8. Contratos con encargados del tratamiento
Proveedor de IT, nube, software de nóminas: el artículo 28 exige garantías suficientes y un contrato escrito con instrucciones documentadas, confidencialidad, medidas de seguridad, reglas para subcontratar a terceros, apoyo en caso de violación y devolución o supresión de los datos al final. Qué comprobar: cláusulas de salida y datos en el contrato de IT.
9. Plan para las primeras 72 horas
Quién decide, quién recopila la información técnica, quién rellena la notificación: definido antes de que haga falta.
10. Revisión anual documentada
El punto más olvidado del artículo 32. Una revisión al año, con las correcciones registradas, es también la mejor prueba de diligencia.
Cronología de una violación de datos
Según el artículo 33 y la CNPD, la notificación se realiza en las 72 horas siguientes al conocimiento, salvo que sea improbable que la violación suponga un riesgo para los derechos de las personas. Si el riesgo es alto, el artículo 34 obliga también a informar a los interesados.
| Momento | Acción | Responsable |
|---|---|---|
| Hora 0 | Detección: alerta, queja, petición de rescate, portátil perdido | Cualquier empleado avisa a soporte |
| Primeras horas | Contención: aislar equipos, bloquear cuentas, preservar registros | Equipo de IT |
| Hasta 24 horas | Determinar qué datos y cuántas personas se han visto afectados | IT con la dirección |
| Hasta 72 horas | Decidir y, si procede, notificar a la CNPD mediante el formulario | Responsable del tratamiento (la empresa) |
| Siempre | Documentar la violación, sus efectos y las medidas | Empresa |
Dos puntos que sorprenden: la obligación de documentar existe aunque no haya notificación; y el encargado del tratamiento —incluido el proveedor de IT— debe avisar al cliente sin dilación indebida. Un portátil perdido sin cifrar puede ser una violación; con cifrado, la evaluación del riesgo cambia por completo.
DataRoad IT Unlimited
Hable con DataRoad. Evaluamos su operación y proponemos el plan adecuado.
En la práctica: disponibilidad en una entidad pública
En la União de Freguesias de Massamá e Monte Abraão, DataRoad fue elegida por contrato público para instalar y configurar un nuevo servidor, implantar un SAI (la batería que mantiene los equipos encendidos durante un corte de electricidad), montar copias de seguridad locales y en la nube y migrar datos y configuraciones. Es lo que pide el artículo 32 en cuanto a disponibilidad: datos en más de un lugar y que se puedan restaurar. Leer el caso de Massamá y Monte Abraão.
Dónde entra la ciberseguridad gestionada
DataRoad implanta y documenta las medidas técnicas —accesos, cifrado, copias de seguridad, actualizaciones, registros, firewall— y no presta asesoramiento jurídico. En 11 años, DataRoad nunca ha sufrido incidentes de seguridad. La seguridad está incluida en los planes IT Unlimited; IT Unlimited Premium añade asistencia presencial ilimitada, útil cuando hay que intervenir en un servidor o un puesto. Más en ciberseguridad gestionada para empresas y en las 7 políticas internas de ciberseguridad.
Preguntas frecuentes
¿Obliga el RGPD a cifrar todos los datos?
No obliga a cifrarlo todo, pero menciona el cifrado como medida adecuada. En portátiles, móviles y copias de seguridad es la forma más sencilla de evitar que una pérdida se convierta en una violación grave.
¿Perder un portátil obliga a notificar a la autoridad de control?
Depende del riesgo para los interesados. Un disco cifrado y borrado a distancia supone un riesgo mucho menor. El incidente se documenta siempre; la decisión corresponde al responsable del tratamiento, con apoyo jurídico si es necesario.
¿El proveedor de IT es encargado del tratamiento?
Por regla general sí, cuando accede a sistemas con datos personales. El contrato debe cumplir el artículo 28: instrucciones, confidencialidad, seguridad, apoyo ante incidentes y devolución o supresión de los datos.
¿Cuál es el plazo para notificar una violación?
Por regla general, 72 horas desde el conocimiento, mediante el formulario de la CNPD. Fuera de ese plazo, la notificación debe indicar los motivos del retraso.
Fuentes
Siguiente paso: diagnóstico técnico RGPD en 10 días laborables
Verificamos las 10 medidas en su infraestructura y entregamos un informe con lo que falta, en una propuesta sin compromiso. Más de 10 puestos · contrato de asistencia · soporte remoto, presencial y telefónico.
