RGPD en la oficina: las medidas técnicas que te pueden pedir

Qué dice el artículo 32 y qué te pueden pedir

El RGPD no trae una lista de programas ni de configuraciones. El artículo 32 obliga al responsable y al encargado del tratamiento a aplicar «medidas técnicas y organizativas apropiadas» según el riesgo, y pone ejemplos: seudonimización y cifrado, capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas, capacidad de restablecer el acceso a los datos tras un incidente y un proceso de verificación y evaluación regular de que todo eso funciona. La LOPDGDD (Ley Orgánica 3/2018) lo adapta a España y es la que aplica la AEPD cuando inspecciona.

Para una gestoría con nóminas y declaraciones, o una clínica con historias clínicas, «apropiadas» quiere decir que un inspector, tu aseguradora de ciberriesgo o un cliente grande puede preguntarte cosas muy concretas: si el portátil que se llevó el socio estaba cifrado, quién tiene acceso a la carpeta de pacientes, cuándo se probó por última vez una copia, qué hiciste el día que alguien envió un correo al destinatario equivocado. No te piden que lo tengas perfecto. Te piden que puedas demostrar que lo pensaste y que lo revisas.

Esa demostración es lo que cuenta. Una medida que existe pero no deja rastro (el cifrado está activado, pero nadie lo ha comprobado en seis meses) pesa mucho menos que una medida sencilla con su fecha, su responsable y su evidencia.

Checklist de medidas técnicas con su estado

Esta es la lista que repasamos en oficinas de 10 a 30 puestos. Pulsa sobre el estado de cada fila para cambiarlo (Pendiente, En curso, Hecho) y verás cómo se mueve el avance. No se guarda nada: es para que lo uses como borrador de tu propia revisión.

Si la mitad está en «Pendiente», no pasa nada: ordénalo por riesgo. El cifrado de portátiles, el doble factor y las copias suelen ir primero porque son lo que más daño evita y lo que antes se pregunta.

Cifrado de portátiles y control de accesos

Un portátil robado en un tren es la brecha más barata de evitar. Si el disco está cifrado y la clave de recuperación no viaja con él, el robo es un problema de hardware y no de datos personales. En Windows 11 Pro, BitLocker lo gestiona el propio sistema; en las ediciones Home no está disponible, así que un equipo así no debería tocar datos de clientes. Para comprobar el estado desde un símbolo del sistema como administrador:

manage-bde -status C:

fdesetup status

Busca «Protección activada» o «Cifrado completado» en Windows y «FileVault is On» en Mac. Guarda la clave de recuperación en un sitio que no sea el propio portátil (en cuentas de empresa suele poder depositarse en la cuenta de Microsoft Entra del usuario) y anótalo en la ficha del equipo, por ejemplo PC-LABORAL-03.

En cuanto a accesos, tres hábitos pesan más que cualquier herramienta. Cada persona entra con su usuario, para que el registro diga quién abrió qué. Los permisos se dan por carpeta y por función, no por costumbre. Y las bajas se ejecutan el mismo día: cuenta bloqueada, licencia retirada, portátil recogido. La guía de altas y bajas de empleados y equipos tiene el procedimiento completo, y la de ciberseguridad básica explica el doble factor sin tecnicismos.

Las copias entran en el mismo artículo 32 como capacidad de restablecer los datos. Una copia que nunca se ha restaurado es una suposición; en copias de seguridad para pymes y en copias inmutables tienes cómo plantearlas.

Registro de actividades y proveedores IT

El registro de actividades de tratamiento (artículo 30 del RGPD) suele pensarse como un papeleo de grandes empresas. La excepción para organizaciones de menos de 250 empleados existe, pero no vale si el tratamiento puede suponer un riesgo para las personas, no es ocasional o incluye categorías especiales de datos. Una clínica trata datos de salud y una gestoría trata nóminas todos los meses, así que en la práctica te toca llevarlo.

No hace falta un documento largo. Una hoja con una fila por tratamiento (gestión de clientes, nóminas, historias clínicas, selección de personal), con la finalidad, qué datos, quién accede, cuánto tiempo se conservan y qué medidas de seguridad lo protegen. Esa última columna es la que enlaza con tu checklist.

El segundo asunto son los proveedores. Quien accede a datos personales por encargo tuyo es encargado del tratamiento, y el artículo 28 exige un contrato o acto jurídico por escrito. Tu informático, la empresa de nóminas, el servicio de copia en la nube o quien te mantiene la web lo son si pueden ver o tocar esos datos. Pide a cada uno el contrato de encargo, anota dónde se alojan los datos y que te avisen si subcontratan. En el caso de un servicio de soporte, el acceso remoto a los equipos cuenta como acceso a datos aunque nadie abra un expediente.

Brechas de datos y las 72 horas

Una brecha no es solo un ataque. Un portátil perdido, un correo con nóminas enviado al destinatario equivocado o un disco de copia que desaparece de un armario también lo son. El artículo 33 pide notificar a la AEPD sin dilación indebida y, de ser posible, a más tardar 72 horas después de tener constancia, salvo que sea improbable que suponga un riesgo para los derechos de las personas. Si el riesgo es alto, el artículo 34 añade la obligación de comunicarlo a los afectados. La notificación se hace con el formulario de la sede electrónica de la AEPD, que además ofrece una herramienta de ayuda para decidir si procede notificar.

Los pasos que conviene dejar escritos antes de que ocurra:

1. Quién recibe el aviso dentro de la oficina (una persona y un suplente) y cómo se le localiza un sábado.
2. Qué se hace en la primera hora: aislar el equipo, cambiar contraseñas, avisar al soporte.
3. Quién decide si se notifica y con qué criterio, y a quién se llama para ayudar con la parte técnica.
4. Dónde se apunta todo: aunque no se notifique, el artículo 33 obliga a documentar cada brecha, sus efectos y las medidas tomadas.

Las 72 horas corren desde que tienes constancia, y un fin de semana no las detiene. La guía de gestión de incidencias sirve de base para ese registro. Las sanciones que prevé el RGPD para los incumplimientos de seguridad y de notificación pueden llegar a 10 millones de euros o el 2 % de la facturación anual mundial, la cifra que sea mayor, pero lo que suele pasar en una oficina pequeña es otra cosa: que el cliente se entera por un tercero y deja de fiarse.

Relación con el ENS y la ISO 27001

El RGPD marca el resultado (proteger los datos de forma apropiada) y no dice cómo. El Esquema Nacional de Seguridad (Real Decreto 311/2022) y la ISO/IEC 27001:2022 sí detallan controles, y lo que haces para uno te sirve de evidencia para el otro. El ENS aplica al sector público y a las empresas privadas que le prestan servicios o soluciones; si tu despacho trabaja para un ayuntamiento o una consejería, te lo pueden exigir por contrato. La ISO 27001 es voluntaria, y la certificación la emite una entidad acreditada por ENAC.

Cumplir el RGPD no equivale a estar certificado, ni al revés: cada norma tiene su alcance. Pero si ya tienes inventario, accesos y copias bien documentados, el salto es menor. Para el siguiente paso mira certificación ISO 27001 para pymes y ENS para empresas proveedoras.

Fuentes oficiales

• Reglamento General de Protección de Datos (RGPD)
• Ley Orgánica 3/2018 (LOPDGDD)
• Agencia Española de Protección de Datos

Cómo lo hacemos en Inventariamos

Nosotros no auditamos ni certificamos: ayudamos a preparar y mantener las evidencias técnicas que te van a pedir (inventario de equipos, estado del cifrado y de las actualizaciones, accesos, copias e incidencias), según el alcance acordado. En el panel de Inventariamos cada equipo tiene su ficha con esos datos y su historial, y desde ciberseguridad repasamos contigo la checklist de esta guía y la dejamos con fechas y responsables. Si quieres que miremos tu oficina, escríbenos desde contacto.