Artículo 32 del RGPD: medidas de seguridad para pymes

Si has llegado hasta aquí es porque alguien te ha pedido que expliques qué medidas de seguridad aplicas: un cliente grande con su cuestionario de proveedores, tu asesoría mientras monta el registro de tratamientos o, lo más incómodo, porque ya ha pasado algo. Abres el artículo 32 del RGPD esperando una lista para marcar casillas y te encuentras con la palabra apropiadas y ninguna tabla. Aquí lo traducimos a decisiones concretas para una empresa de cinco, quince o cuarenta personas: qué se considera razonable hoy, qué se mira de verdad cuando hay un incidente y cómo dejar por escrito por qué elegiste esas medidas y no otras. Eso último es la clave: lo que se defiende no es la medida, es el criterio.

Un aviso: esto es orientación práctica desde el lado técnico, no asesoramiento jurídico. Si tratas datos de salud o de menores, tu caso pide un abogado especializado.

Por qué el RGPD no da una lista cerrada de medidas

La normativa española anterior clasificaba los ficheros en nivel básico, medio y alto y te decía casi con detalle qué hacer en cada uno. Era cómodo: cumplías la lista y dormías. También quedaba desfasado enseguida, porque la lista envejecía más rápido que la tecnología.

El RGPD cambió el enfoque: en lugar de una lista, te obliga a aplicar medidas técnicas y organizativas apropiadas al riesgo. El artículo 32 sí menciona ejemplos, y conviene conocerlos porque son el vocabulario con el que te preguntarán:

La seudonimización y el cifrado de los datos personales.
La capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas.
La capacidad de restaurar la disponibilidad y el acceso a los datos de forma rápida en caso de incidente físico o técnico.
Un proceso de verificación y evaluación regulares de la eficacia de esas medidas.

Ninguno de los cuatro dice qué producto comprar: dicen qué tienes que ser capaz de hacer. Y el cuarto, el que todo el mundo se salta, obliga a volver a mirar cada cierto tiempo. Una medida que pusiste hace cinco años y nunca has revisado no es una medida apropiada: es un recuerdo.

Cómo se decide qué es apropiado: riesgo, estado de la técnica y coste

El propio artículo te da los criterios con los que se juzga si lo tuyo es suficiente:

El riesgo para los derechos y libertades de las personas, valorado por probabilidad y gravedad. No es el riesgo para tu empresa: es el riesgo para la persona cuyos datos tienes.
La naturaleza, el ámbito, el contexto y los fines del tratamiento. No es lo mismo un formulario de contacto que una base de datos de pacientes.
El estado de la técnica. Lo que hoy es estándar y accesible se te presupone. La verificación en dos pasos era un lujo hace diez años; hoy es gratuita.
El coste de aplicación. Es el único criterio que juega a tu favor, y por eso se abusa de él. Justifica que una empresa de seis personas no tenga un equipo de vigilancia propio. No justifica que no tengas copias probadas, porque eso cuesta muy poco.

Traducido a tres negocios reales:

Web corporativa con formulario de contacto. Riesgo bajo. Con HTTPS bien puesto, actualizaciones al día, doble factor en el panel, copias probadas y el formulario enviando a un buzón controlado, tienes un nivel defendible.
Tienda online con pasarela de pago. Riesgo medio-alto: direcciones, historial de compra, a veces NIF. Añade separación de roles, registro de accesos y control de qué extensiones tocan el proceso de compra.
Clínica, gestoría o academia. Riesgo alto por categorías de datos o por volumen. Aquí ya hablamos de cifrado de los portátiles, política de accesos escrita y, muy probablemente, una evaluación de impacto.

Medidas técnicas mínimas defendibles en una pyme

Esta es la lista que sostiene una conversación incómoda sin que se te caiga la cara. Ninguna es cara y todas se explican en una frase:

HTTPS en todo el sitio, con redirección forzada desde http:// y sin contenido mixto. Si el candado no sale en todas las páginas, el certificado está a medias.
Actualizaciones al día del gestor de contenidos, los plugins y el tema, con una ventana definida: revisar el primer lunes de cada mes y aplicar lo crítico en 72 horas.
Verificación en dos pasos en todo lo que da acceso a datos: panel de la web, correo, hosting, registrador del dominio y nube.
Contraseñas únicas y largas, guardadas en un gestor, nunca en una hoja de cálculo compartida ni en el navegador de un ordenador de uso común.
Roles mínimos. En WordPress, entra en Usuarios > Todos los usuarios: solo debe tener perfil Administrador quien lo necesite. Quien escribe artículos es Editor o Autor.
Copias de seguridad completas y probadas, que tienen su propio apartado más abajo.
Registros de acceso conservados. Que tu hosting guarde los ficheros access_log y error_log unas semanas y que sepas dónde están. Sin registros no hay forma de saber qué pasó ni a cuántas personas afectó.
Cifrado de disco en portátiles y móviles de quien trabaja con datos: BitLocker en Windows, FileVault en Mac, cifrado activado en el móvil. Va incluido y evita que un robo en el AVE se convierta en una brecha notificable.
Correo autenticado con SPF, DKIM y DMARC, para que nadie escriba en tu nombre.
Separación de entornos. La copia de pruebas no puede vivir en /pruebas/ del mismo dominio, indexable y con la base de datos real dentro.

Y una que no es técnica pero pesa igual: saber a quién llamar. Tener escrito el teléfono del hosting, el del informático y el procedimiento de las primeras horas vale más que muchos productos, y el artículo sobre qué obligaciones legales tienes cuando te atacan la web y en qué orden atenderlas te sirve de borrador.

Copias de seguridad: la medida que más se invoca cuando hay sanción

De los cuatro ejemplos del artículo 32, el de restaurar la disponibilidad de forma rápida es el que más veces acaba en el centro del problema. Si puedes restaurar en unas horas, tienes un incidente de disponibilidad acotado. Si no puedes, tienes una pérdida de datos personales y un problema mucho mayor.

Lo que convierte una copia en una medida de seguridad de verdad:

Incluye ficheros y base de datos, no solo uno de los dos.
Se guarda fuera del servidor. Una copia dentro del hosting que acaban de comprometer no es una copia, es una carpeta más.
Tiene retención suficiente para cubrir el tiempo que un atacante puede llevar dentro sin que lo notes. Siete días se quedan cortos.
Se ha restaurado alguna vez en un entorno de pruebas. Una copia sin probar es una hipótesis, no una medida.

Lo tenemos desglosado en qué debe incluir una copia de seguridad de una web y cada cuánto hacerla.

Medidas organizativas: accesos, roles, formación y proveedores

La mitad organizativa se olvida siempre y es la que más barata sale. Son cuatro cosas.

Altas y bajas de personas

Cuando alguien entra, se le dan los accesos que necesita y solo esos. Cuando alguien sale, se le retiran el mismo día: correo, panel de la web, carpetas compartidas y cualquier acceso remoto. La cuenta viva de un ex empleado es una de las causas más frecuentes de acceso indebido.

Quién puede ver qué

Escribe en media página quién tiene acceso a los datos de clientes y con qué perfil. No hace falta una política de veinte folios: hace falta que exista y que coincida con lo que se ve en el panel.

Formación mínima y realista

Media hora al año sobre cómo se reconoce un correo de suplantación, por qué no se reutilizan contraseñas y a quién se avisa ante una sospecha. Deja constancia de la fecha y de quién asistió: esa hoja es tu prueba.

Proveedores

Tu hosting, tu agencia y tu herramienta de facturación tratan datos por cuenta tuya, así que el RGPD te obliga a elegir proveedores con garantías suficientes y a firmar un contrato de encargo del tratamiento. En el mantenimiento web esto suele estar en blanco, y ahí se decide quién limpia y quién paga el día malo: lo detallamos en las cláusulas de seguridad que casi nunca aparecen en un contrato de mantenimiento web.

Cómo documentar que decidiste esto y no otra cosa

Esta es la parte que convierte una lista de buenas intenciones en una defensa. No necesitas una herramienta ni un consultor: necesitas un documento de una o dos páginas, fechado, con qué riesgos identificaste, qué medidas pusiste y qué descartaste. Una tabla de cinco columnas basta:

Tratamiento: clientes, candidatos, newsletter, videovigilancia.
Qué podría salir mal: acceso no autorizado al panel, pérdida por fallo del servidor, envío a destinatario equivocado.
Impacto para la persona: bajo, medio o alto, con una frase de por qué.
Medida aplicada, con la fecha en que se puso.
Qué se descartó y por qué: por ejemplo, que no se implanta detección en tiempo real por coste desproporcionado al volumen tratado, y se compensa con vigilancia externa y copias diarias.

Ese quinto punto es el que casi nadie escribe y el que más te protege: demuestra que hubo una decisión razonada, no un olvido. Ponle fecha de revisión (anual basta para la mayoría) y guarda las versiones anteriores. Ese documento, junto al registro de actividades de tratamiento, es lo primero que enseñas si te reclaman. Para ubicarlo entre el resto de obligaciones, la guía de normativa de protección de datos y ciberseguridad para pymes ordena qué papeles debes poder enseñar y cuáles no te aplican.

Qué mira la AEPD justo después de una brecha

Cuando llega el expediente, la conversación no empieza por lo que compraste, sino por preguntas concretas que se responden con papeles que o tienes o no tienes:

¿Cuándo tuviste conocimiento del incidente y cómo te enteraste?
¿Qué categorías de datos y cuántas personas se han visto afectadas?
¿Qué medidas había implantadas antes del incidente, y desde cuándo?
¿Existía copia de seguridad? ¿Se pudo restaurar? ¿En cuánto tiempo?
¿Había registros que permitan reconstruir lo ocurrido?
¿Se notificó en plazo? ¿Se informó a los afectados cuando procedía?

Ninguna se contesta bien improvisando. Y el plazo corre desde que se tiene conocimiento de la brecha, no desde que terminas de arreglarla, un matiz que explicamos en cómo notificar una brecha de datos a la AEPD dentro de las 72 horas. El patrón de las resoluciones publicadas es coherente: se valora peor a quien no tenía medidas básicas y no supo explicar por qué, y mejor a quien tenía un criterio escrito, actuó rápido y colaboró.

Por dónde empezar si hoy no tienes nada

No hace falta parar el negocio una semana. En una tarde cubres lo esencial: activa la verificación en dos pasos en el correo y en el panel, borra los administradores que sobren, comprueba que la copia incluye la base de datos y se guarda fuera del servidor, y escribe la tabla de cinco columnas con lo que ya tienes. Lo demás se construye encima. Sé honesto con el límite, eso sí: si tratas datos de salud o de miles de personas, la tarde no basta y conviene que alguien externo revise lo hecho.

Antes de rellenar la columna de medidas aplicadas conviene saber en qué punto estás de verdad, no en cuál crees que estás. Comprueba gratis qué medidas técnicas le faltan a tu web con PathScan: mira tu dominio desde fuera, sin registro y sin tocar nada, y te dice cómo está el certificado, el correo y qué se ve del panel desde el exterior. Con ese resultado delante, documentar deja de ser un ejercicio de imaginación.

Seguir leyendo en esta sección

Ver todo en RGPD y protección de datos → · Mapa completo del sitio