Ciberseguridad y RGPD: dónde se encuentran

Muchas pymes abordan la adecuación a la normativa de protección de datos como un trámite documental: una política de privacidad, unas cláusulas informativas, un registro de actividades. Todo eso tiene su lugar, pero el Reglamento General de Protección de Datos (RGPD) exige además algo más concreto: que los datos personales estén protegidos frente a accesos no autorizados, pérdidas y daños. Es en ese punto donde la protección de datos y la ciberseguridad dejan de ser asuntos separados y pasan a depender la una de la otra.

Qué dice el RGPD sobre la seguridad

En España, la protección de datos se rige por el RGPD (Reglamento (UE) 2016/679), aplicable en toda la Unión Europea, y por la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), que lo adapta y complementa. El RGPD trata la seguridad en varios puntos. Uno de sus principios, en el artículo 5.1.f, es el de integridad y confidencialidad: los datos deben tratarse de forma que se garantice una seguridad adecuada, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante medidas técnicas u organizativas apropiadas. El artículo 5.2 añade el principio de responsabilidad proactiva: el responsable del tratamiento debe cumplir y ser capaz de demostrarlo.

El artículo 32 convierte ese principio en una obligación. Responsables y encargados del tratamiento deben aplicar medidas técnicas y organizativas que garanticen un nivel de seguridad adecuado al riesgo, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos para las personas. El propio artículo menciona, según proceda:

• la seudonimización y el cifrado de los datos personales;
• la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios;
• la capacidad de restaurar con rapidez la disponibilidad y el acceso a los datos tras un incidente físico o técnico;
• un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas.

La norma no impone productos ni tecnologías concretos. Eso da flexibilidad, pero también deja en manos de la dirección la tarea de decidir qué es adecuado para el tamaño de la empresa y el tipo de datos que trata.

Dónde se encuentran en la práctica

Casi todos los controles básicos de ciberseguridad influyen directamente en la protección de los datos personales:

• Control de acceso: limitar quién puede consultar la base de clientes o las nóminas reduce la probabilidad de una brecha, intencionada o accidental.
• Actualizaciones de seguridad: los fallos conocidos de los sistemas desactualizados están entre las vías de entrada más habituales de las intrusiones que acaban exponiendo datos.
• Protección contra malware: el ransomware y el software espía pueden copiar o cifrar bases de datos enteras antes de que nadie lo note.
• Firewall (cortafuegos) y configuración segura: reducen los servicios expuestos a internet y las configuraciones de fábrica que facilitan los ataques.
• Copias de seguridad: restaurar los datos con rapidez tras un incidente es precisamente una de las capacidades que menciona el artículo 32.

Estos puntos coinciden en gran medida con los controles de Cyber Essentials, presentados en el artículo sobre los cinco controles básicos de ciberseguridad. Cyber Essentials no es un mecanismo de certificación del RGPD, y disponer del certificado no acredita por sí solo el cumplimiento. Aun así, adoptar una referencia reconocida ayuda a ordenar las medidas técnicas y a demostrar que la empresa tomó decisiones meditadas y no improvisadas.

Brechas de datos personales

El RGPD define la violación de la seguridad de los datos personales, que la Agencia Española de Protección de Datos (AEPD) denomina habitualmente «brecha de datos personales», como toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales, o la comunicación o el acceso no autorizados a ellos. La definición es más amplia que un ciberataque: un correo enviado al destinatario equivocado o un portátil extraviado también pueden serlo, igual que los datos que quedan inaccesibles por un ransomware.

Según el artículo 33, el responsable debe notificar la brecha a la autoridad de control, que en España es la AEPD, sin dilación indebida y, de ser posible, en un plazo máximo de 72 horas desde que tenga constancia de ella, salvo que sea improbable que constituya un riesgo para los derechos y libertades de las personas. Si la notificación se hace más tarde, debe explicar los motivos del retraso, y la información puede facilitarse por fases si no se dispone de toda a la vez. Según el artículo 34, cuando la brecha pueda entrañar un alto riesgo para las personas, la empresa también debe comunicárselo a los afectados sin dilación indebida.

Hay dos reglas que se pasan por alto con facilidad. Todas las brechas deben documentarse, incluidas las que no se notifican a la AEPD, con los hechos, sus efectos y las medidas correctoras adoptadas. Y cuando un proveedor trata datos por cuenta de la empresa, como suele hacer el proveedor de informática externo, ese encargado debe avisar a la empresa sin dilación indebida en cuanto tenga conocimiento de la brecha.

Setenta y dos horas son poco tiempo para una empresa que nunca ha pensado en ello. Durante un incidente, hay que averiguar qué sistemas se vieron afectados, qué tipos de datos contenían, cuántas personas pueden verse afectadas y qué riesgo supone. Sin un inventario de datos, sin registros de acceso y sin una persona responsable designada, esas respuestas tardan. Algunas medidas preparatorias ayudan:

1. mantener un mapa de los datos personales que trata la empresa y de los sistemas que los almacenan;
2. activar y conservar registros de acceso en los sistemas principales;
3. decidir quién evalúa si un incidente afecta a datos personales y quién decide sobre su notificación;
4. tener a mano el contacto de la persona responsable de la protección de datos (el delegado de protección de datos solo es obligatorio en determinados casos), de la asesoría jurídica y del proveedor de informática.

La guía de los primeros 30 minutos de un incidente incluye, por este motivo, comprobar si hay datos personales afectados entre las primeras acciones.

Responsabilidad proactiva y proveedores

El artículo 24 obliga al responsable a aplicar medidas adecuadas para garantizar, y poder demostrar, que el tratamiento es conforme con el RGPD, incluidas políticas de protección de datos cuando sean proporcionadas. El artículo 28 se ocupa de los proveedores: la empresa solo puede recurrir a encargados que ofrezcan garantías suficientes, y el contrato con ellos debe incluir, entre otras cosas, la obligación de adoptar las medidas de seguridad del artículo 32.

Para una pyme, esto no tiene por qué significar una estructura compleja. Significa, por ejemplo:

• tener políticas breves y aplicables sobre contraseñas, uso de dispositivos y acceso a los sistemas;
• formar periódicamente a la plantilla con ejemplos cotidianos;
• revisar los contratos con los proveedores que tratan datos personales por cuenta de la empresa;
• dejar constancia de las medidas adoptadas y de las revisiones realizadas a lo largo del tiempo.

Ese registro tiene valor por sí mismo. Ante un incidente, poder demostrar qué se hizo, cuándo y por qué es muy distinto de no tener nada que presentar.

Más allá de España y de la Unión Europea

Este artículo toma como referencia el RGPD y la realidad española, pero los principios de protección de datos que aborda se aplican en prácticamente cualquier jurisdicción. La seguridad de los datos personales es una exigencia legal en casi todas las leyes de protección de datos, así que una base técnica sólida, un inventario de datos y un plan de respuesta a incidentes son útiles con independencia del país en el que opere la empresa. Lo que varía de una ley a otra son detalles como la autoridad competente, los plazos y la forma de notificar.

Un punto de partida realista

Ningún conjunto de medidas elimina el riesgo de incidentes, y la ley no lo exige. Lo que pide es una seguridad adecuada al riesgo y la capacidad de responder cuando algo ocurre. Para la mayoría de las pymes, empezar por los controles técnicos básicos, mapear los datos personales más sensibles y preparar la respuesta a incidentes ya sitúa a la empresa en una posición mucho mejor.

Este artículo tiene carácter informativo y no constituye asesoramiento jurídico. Cada empresa debe evaluar sus obligaciones con el apoyo de profesionales cualificados.

Lista de puntos en común

• Los datos personales que trata la empresa están mapeados.
• El acceso a esos datos está limitado a quien lo necesita.
• Los sistemas que almacenan datos personales reciben actualizaciones de seguridad.
• Las bases de datos con datos personales tienen copias de seguridad probadas.
• Los registros de acceso están activados en los sistemas principales.
• Está decidido quién evalúa las brechas y quién las notifica a la AEPD.
• Todas las brechas de datos personales quedan registradas, incluidas las no notificadas.
• Los contratos con los proveedores que tratan datos personales incluyen obligaciones de seguridad.
• Las medidas adoptadas están documentadas.