¿Qué medidas de seguridad exige el artículo 32 del RGPD?
Medidas técnicas y organizativas apropiadas para un nivel de seguridad adecuado al riesgo. El artículo 32.1 cita cuatro, sin lista cerrada: seudonimización y cifrado; confidencialidad, integridad, disponibilidad y resiliencia de los sistemas; capacidad de restaurar rápido los datos tras un incidente, y verificación regular de que las medidas funcionan.
El artículo 32 del RGPD obliga por igual al responsable del tratamiento, que decide para qué se usan los datos, y al encargado, que los trata por cuenta de otro. Para elegir las medidas manda tener en cuenta el estado de la técnica, el coste, la naturaleza, el alcance, el contexto y los fines del tratamiento, y los riesgos para las personas.
- Seudonimización y cifrado (letra a). Que los datos no se puedan leer ni atribuir a una persona sin una clave que guardas aparte.
- Confidencialidad, integridad, disponibilidad y resiliencia (letra b). Que solo acceda quien debe, que nadie los altere y que el sistema siga dando servicio ante un imprevisto, aunque sea con menos capacidad, como define la resiliencia la AEPD.
- Restauración rápida (letra c). Poder recuperar los datos y el acceso a ellos a tiempo tras un incidente físico o técnico.
- Verificación periódica (letra d). Un proceso para comprobar, evaluar y valorar con regularidad que las medidas funcionan.
El artículo 32.2 dice qué riesgos mirar: destrucción, pérdida o alteración de los datos, accidental o ilícita, y comunicación o acceso no autorizados. Y el 32.4 añade una medida organizativa que se olvida: que quien trabaja contigo y accede a datos personales solo los trate siguiendo tus instrucciones.
¿Cómo se decide qué medida de seguridad es apropiada para tu empresa?
Por el riesgo para las personas cuyos datos tratas, no por el tipo de fichero. Lo valoras tú, tratamiento a tratamiento, teniendo en cuenta los supuestos de mayor riesgo que enumera el artículo 28.2 de la LOPDGDD. La AEPD propone cruzar probabilidad e impacto en cuatro niveles: bajo, medio, alto y muy alto.
| Situación | Qué dice el artículo 28.2 | Escenario típico en una pyme |
|---|---|---|
| Letra a | Riesgo de fraude, pérdidas financieras o pérdida de datos bajo secreto profesional | Asesoría o despacho con cuentas bancarias y expedientes de clientes |
| Letra c | Categorías especiales de datos, como la salud, tratadas de forma no incidental | Clínica, centro de fisioterapia o mutua |
| Letra d | Perfiles sobre rendimiento, solvencia, salud o comportamiento | Evaluación del desempeño de la plantilla o estudio de solvencia |
| Letra e | Datos de menores de edad o de personas con discapacidad | Academia o escuela con alumnos menores |
| Letra f | Tratamiento masivo o de gran cantidad de datos | Tienda online con miles de clientes |
| Letra g | Transferencias habituales a países sin nivel adecuado de protección | Herramienta en la nube alojada en un país sin nivel adecuado declarado |
La Ley Orgánica 3/2018 (LOPDGDD) añade dos supuestos más (privar de derechos o de control sobre los datos, letra b, y cualquier otro relevante, letra h) y califica de infracción grave tratar datos sin haber valorado antes esos elementos (artículo 73.p). Para ordenar la valoración, la AEPD propone este mapa:
| Probabilidad | Impacto muy limitado | Impacto limitado | Impacto significativo | Impacto muy significativo |
|---|---|---|---|---|
| Muy alta | Medio | Alto | Muy alto | Muy alto |
| Alta | Bajo | Alto | Muy alto | Muy alto |
| Baja | Bajo | Medio | Alto | Muy alto |
| Improbable | Bajo | Bajo | Medio | Muy alto |
Para elegir las medidas, la guía de gestión del riesgo de la AEPD recomienda, como orientación, no quedarse por debajo de lo que fija el anexo II del Esquema Nacional de Seguridad, aunque no estés obligado a él, y cita la ISO 27002 y la ISO 27701 como catálogos de medidas. Cómo se hace el análisis paso a paso está en la guía del análisis de riesgos.
¿Siguen existiendo los niveles básico, medio y alto de seguridad?
No en el RGPD. Los tres niveles venían del Real Decreto 1720/2007 (artículo 80), que desarrollaba la Ley Orgánica 15/1999, derogada en 2018 por la LOPDGDD. La AEPD llama a aquel modelo «ya desplazado»: asignaba medidas por tipo de fichero, y el RGPD pide valorar el riesgo de cada tratamiento.
| Situación | Real Decreto 1720/2007 | RGPD y LOPDGDD |
|---|---|---|
| Qué se valora | El fichero | Cada tratamiento |
| Quién fija el nivel | El legislador, de antemano | Tú, como responsable o encargado |
| Criterio | Las categorías de datos del fichero | El riesgo para los derechos y libertades de las personas |
| Medidas | Una lista de mínimos que muchos tomaron como cerrada | Las apropiadas al riesgo, no solo de seguridad |
| Niveles | Básico, medio y alto | Alto riesgo o no; la AEPD propone cuatro para gestionarlo |
La comparación es la que hace la propia AEPD en su guía de 2021. La disposición derogatoria única de la LOPDGDD deroga la Ley Orgánica 15/1999 y todo lo que contradiga al RGPD. El Real Decreto 1720/2007 no figura como derogado expresamente en el BOE, pero su modelo de niveles ya no es el criterio para decidir medidas.
¿Qué medidas concretas encajan con cada letra del artículo 32?
Con la letra a, cifrar portátiles, móviles y copias. Con la b, doble factor, permisos por persona y protección de los equipos. Con la c, copias con restauraciones probadas y un plan de recuperación. Con la d, revisiones periódicas con fecha. Son ejemplos habituales en una pyme: el artículo no da una lista cerrada.
| Artículo 32.1 | Medidas habituales | La prueba que lo demuestra |
|---|---|---|
| a · Cifrado y seudonimización | Cifrado de portátiles, móviles y copias; datos seudonimizados en pruebas y estadísticas | Estado del cifrado de cada equipo |
| b · Confidencialidad | Doble factor, una cuenta por persona, permisos según el puesto | Lista de usuarios con su doble factor y sus permisos |
| b · Integridad | Protección de los equipos que detecta y frena ataques (antivirus gestionado) y actualizaciones al día | Informe de protección y de actualizaciones de cada equipo |
| b · Disponibilidad y resiliencia | Copias fuera del equipo y servicios que aguantan un fallo | Registro de copias realizadas |
| c · Restauración rápida | Restauraciones de prueba y un plan con tiempos de recuperación | Acta de la última restauración, con fecha y tiempo |
| d · Verificación periódica | Revisión programada de las medidas y de los riesgos | Informe de revisión con fecha y responsable |
Cada fila tiene su guía: doble factor, contraseñas, antivirus gestionado, copias de seguridad y tiempos de recuperación.
El cifrado tiene un efecto que se ve después de una brecha: si los datos afectados estaban cifrados y eran ininteligibles para quien no tenía acceso, el artículo 34.3.a te exime de comunicarla a cada afectado. La notificación a la AEPD, si hay riesgo, sigue haciendo falta.
¿Cómo se demuestra que cumples el artículo 32 del RGPD?
Con documentos y registros comprobables. El RGPD te hace responsable de cumplir y de poder demostrarlo (artículos 5.2 y 24.1). Sirven el análisis de riesgos, el registro de actividades con la descripción de las medidas, las pruebas con fecha de que funcionan y, como elemento más, un código de conducta o una certificación aprobados.
Documentos
- Análisis de riesgos de cada tratamiento, con su fecha
- Registro de actividades de tratamiento con una descripción general de las medidas de seguridad (artículo 30.1.g)
- Política de seguridad aprobada por la dirección
- Contratos con tus encargados que incluyan las medidas del artículo 32 (artículo 28.3.c)
- Compromisos de confidencialidad de quien accede a datos
Pruebas con fecha
- Estado del cifrado de portátiles y móviles
- Lista de usuarios con doble factor
- Informe de protección de los equipos
- Acta de la última restauración de copias
- Informe de la última revisión de las medidas (artículo 32.1.d)
Brechas
- Registro interno de brechas, notificadas o no (artículo 33.5)
- Procedimiento con quién decide y quién notifica
La AEPD aclara en su guía que la política tiene que estar documentada, pero no hace falta un documento con ese título: es mejor integrarla en los procedimientos que ya tienes. Y el registro de actividades no es obligatorio por debajo de 250 personas, salvo que el tratamiento entrañe riesgo, no sea ocasional o incluya datos especiales (artículo 30.5). La gestión de clientes o de nóminas suele ser continua, no ocasional.
Reunir esas pruebas con fecha y responsable es lo que hace un dossier de evidencias. En Talvit aplicamos el antivirus gestionado, la copia con restauración probada y el filtro de correos trampa en la cuota de 29 € por puesto y mes (IVA no incluido), y el dossier se presupuesta aparte. No sustituye a tu asesoría de protección de datos.
¿Qué te exige el RGPD si tratas datos personales por cuenta de un cliente?
Que apliques tú también las medidas del artículo 32. Como encargado del tratamiento, el contrato con tu cliente tiene que decirlo (artículo 28.3.c) y obligarte a darle la información necesaria para demostrarlo y a permitir auditorías, incluidas inspecciones (28.3.h). Además, tienes que avisarle sin dilación indebida de cualquier brecha (artículo 33.2).
Tu cliente solo puede elegir encargados que ofrezcan «garantías suficientes» de aplicar medidas apropiadas (artículo 28.1), y por eso te manda un cuestionario o un anexo de seguridad. Un código de conducta o una certificación aprobados sirven como elemento para demostrar esas garantías (artículo 28.5). Si subcontratas, necesitas su autorización y trasladas al subencargado las mismas obligaciones (artículos 28.2 y 28.4).
- Contratar a un encargado sin garantías suficientes es infracción grave para tu cliente (LOPDGDD, artículo 73.j).
- Encargarte el tratamiento sin un contrato escrito con el contenido del artículo 28.3 también lo es para tu cliente (73.k).
- Y lo es para ti subcontratar sin su autorización (73.l) o no avisarle de una brecha (73.q).
Qué cláusulas trae ese contrato y cuáles se negocian está en la guía de cláusulas de ciberseguridad, y cómo contestar el cuestionario que suele acompañarlo, en la guía del cuestionario de seguridad.
¿Qué pasa si no aplicas medidas de seguridad adecuadas al riesgo?
Incumples el artículo 32, sancionable con hasta 10 millones de euros o el 2 % de la facturación anual global, la cifra mayor (artículo 83.4 del RGPD). La LOPDGDD lo califica de infracción grave, con prescripción a los dos años (artículo 73.f), igual que romper por falta de diligencia las medidas que ya tenías (73.g).
10 M€ o 2 %
multa máxima por incumplir las obligaciones de seguridad del responsable o del encargado: 10 millones de euros o el 2 % del volumen de negocio total anual global del ejercicio anterior, la cuantía mayor.
Es un máximo, no una tarifa. En la misma lista de infracciones graves de la LOPDGDD están no notificar una brecha a la AEPD cuando toca (73.r), no tener registro de actividades cuando es obligatorio (73.n) y no valorar los riesgos antes de tratar los datos (73.p).
¿Qué tienes que hacer si hay una brecha de datos personales?
Notificarla a la AEPD sin dilación indebida y, si es posible, en 72 horas desde que tienes constancia, salvo que sea improbable que suponga un riesgo para las personas (artículo 33). Si el riesgo es alto, comunicarla también a los afectados (artículo 34). Y documentarla siempre, se notifique o no.
0 h
Tienes constancia de la brecha
Si eres encargado, avisas a tu cliente sin dilación indebida (artículo 33.2).
72 h
Notificación a la AEPD, si hay riesgo
Si llega más tarde, con los motivos del retraso. La información puede darse por fases (artículo 33.4).
Sin dilación
Comunicación a los afectados, si el riesgo es alto
En lenguaje claro. No hace falta si los datos estaban cifrados e ininteligibles (artículo 34.3.a).
Siempre
Registro interno de la brecha
Hechos, efectos y medidas, para que la AEPD pueda comprobarlo (artículo 33.5).
Fuente: Reglamento (UE) 2016/679 (RGPD), arts. 5.2, 24, 28, 30, 32, 33, 34 y 83.4, consultado el .
El paso a paso, con el registro interno y cuándo hay que notificar, está en la guía de la brecha de datos en 72 horas.
¿Qué medidas de seguridad tienes que aplicar si tratas datos personales para la Administración?
Las del Esquema Nacional de Seguridad. La disposición adicional primera de la LOPDGDD obliga a las Administraciones a aplicar a los datos personales las medidas del ENS, y si un tercero presta el servicio por contrato, concesión o encomienda, sus medidas tienen que corresponderse con las de la Administración de origen y ajustarse al ENS.
| Riesgo para los derechos y libertades | Categoría del ENS |
|---|---|
| Muy alto | Alta |
| Alto | Alta |
| Medio | Media |
| Bajo | Básica |
Qué es el ENS y cómo se acredita está en la guía del Esquema Nacional de Seguridad y en la de la declaración de conformidad.
Lo que esta guía no cubre
- No sustituye a tu asesoría de protección de datos: cubre la parte de seguridad del RGPD.
- No cubre las bases legales, el deber de informar, los derechos de los interesados ni la figura del delegado de protección de datos.
- No cubre la evaluación de impacto de los tratamientos de alto riesgo, que la guía de la AEPD desarrolla aparte.
Preguntas frecuentes
¿Esto cubre todo el RGPD?
No. Solo la parte de seguridad. El resto (bases legales, información, derechos, registros) es cosa de tu asesoría de protección de datos.
¿Qué es una medida adecuada?
La proporcional al riesgo de los datos que tratas: no es lo mismo una lista de proveedores que historiales médicos. El artículo 32.1 manda pesar también el estado de la técnica y el coste.
¿Tengo que documentarlo?
Sí. El RGPD te obliga a cumplir y a poder demostrarlo (artículo 5.2), y una medida que no puedes enseñar no te sirve ante la AEPD ni ante un cliente.
¿Una certificación ISO 27001 demuestra que cumplo el artículo 32?
Ayuda, pero el RGPD solo da ese valor a códigos de conducta y certificaciones aprobados según sus artículos 40 y 42, y como un elemento más (artículo 32.3), no como prueba suficiente.
Fuentes
- Reglamento (UE) 2016/679 (RGPD), arts. 5.2, 24, 28, 30, 32, 33, 34 y 83.4, consultado el
- Ley Orgánica 3/2018 (LOPDGDD), arts. 28 y 73, disposición adicional primera y disposición derogatoria única, consultado el
- AEPD, «Gestión del riesgo y evaluación de impacto en tratamientos de datos personales» (junio de 2021), consultado el
- Real Decreto 1720/2007, reglamento de desarrollo de la Ley Orgánica 15/1999, art. 80 (niveles de seguridad), consultado el
Registro de cambios
- : Publicación.
- : Reescrita entera: el artículo 32 letra a letra, los supuestos de riesgo de la LOPDGDD, por qué ya no hay niveles básico, medio y alto, cómo se demuestra, el encargado, las sanciones y la Administración, con sus fuentes.
- : Precio: desde el 30 de octubre hay un solo precio, 29 € por puesto y mes, en lugar de tres planes; lo que va fuera de la cuota se presupuesta aparte.
