Durante años, la normativa española de protección de datos clasificó las medidas de seguridad en tres niveles: básico, medio y alto. Este sistema pertenecía a la antigua LOPD 15/1999 y al Real Decreto 1720/2007, que establecían obligaciones específicas según el tipo de datos tratados.
Sin embargo, con la entrada en vigor del Reglamento General de Protección de Datos (RGPD) en 2018 y la LOPDGDD, este modelo quedó completamente derogado. Los niveles de seguridad ya no existen y han sido sustituidos por un enfoque moderno basado en riesgo , evaluación continua y medidas técnicas y organizativas adaptadas a cada tratamiento.
Esta página se ha actualizado para reflejar la normativa vigente y evitar confusiones. A continuación se explica por qué desaparecieron los niveles de seguridad y cómo deben gestionarse ahora las obligaciones de protección de datos.
La LOPD 15/1999 clasificaba los tratamientos en tres niveles:
Nivel básico
Nivel medio
Nivel alto
Cada nivel imponía medidas concretas, como auditorías obligatorias, controles de acceso, registro de incidencias o cifrado en determinados casos.
Este sistema dejó de aplicarse desde el 25 de mayo de 2018, fecha en la que el RGPD pasó a ser plenamente exigible en toda la Unión Europea. El RGPD no contempla niveles de seguridad, sino un modelo flexible basado en la gestión del riesgo.
El RGPD introdujo un principio fundamental: las medidas de seguridad deben adaptarse al riesgo real del tratamiento, no a una clasificación fija.
Esto significa que cada empresa debe analizar:
Naturaleza de los datos tratados
Volumen y escala del tratamiento
Categorías de interesados
Riesgos para los derechos y libertades
Probabilidad y gravedad del impacto
Tecnologías utilizadas
Contexto del tratamiento
Este análisis se documenta en el Registro de Actividades de Tratamiento (RAT) y en la evaluación de riesgos, que sustituye por completo a los antiguos niveles de seguridad.
El RGPD no impone una lista cerrada de medidas, sino que exige implementar aquellas que sean adecuadas para el riesgo identificado. Entre las más habituales se encuentran:
Cifrado de datos en tránsito y en reposo
Seudonimización
Control de accesos y autenticación robusta
Copias de seguridad y recuperación ante desastres
Registro de incidencias
Políticas internas de seguridad
Formación del personal
Contratos de encargado del tratamiento
Auditorías periódicas
Análisis de vulnerabilidades
Gestión de brechas de seguridad
Estas medidas deben revisarse periódicamente y adaptarse a la evolución tecnológica y a los cambios en el tratamiento.
La evaluación de riesgos es ahora el elemento central de la seguridad en protección de datos. Permite identificar amenazas, valorar su impacto y definir las medidas necesarias para mitigarlas.
Puedes consultar la página específica aquí: Evaluación de Riesgos
En esta evaluación se analizan aspectos como:
Riesgos de acceso no autorizado
Pérdida o destrucción de información
Alteración de datos
Fallos de disponibilidad
Vulnerabilidades técnicas
Riesgos derivados de proveedores externos
Riesgos asociados a nuevas tecnologías
El resultado es un plan de medidas adaptado a cada empresa, mucho más preciso que los antiguos niveles de seguridad.
La Evaluación de Impacto en Protección de Datos (EIPD) es un análisis avanzado que se exige cuando el tratamiento puede suponer un alto riesgo para los derechos y libertades de las personas.
Puedes ver la página dedicada aquí: Evaluación de Impacto EIPD
La EIPD es obligatoria en casos como:
Tratamientos a gran escala
Datos de menores
Datos de salud
Videovigilancia masiva
Geolocalización continua
Sistemas de IA que evalúan perfiles
Observación sistemática de zonas públicas
Tratamientos que combinan múltiples fuentes de datos
La EIPD incluye:
Descripción detallada del tratamiento
Análisis de necesidad y proporcionalidad
Evaluación de riesgos
Medidas para mitigarlos
Revisión y actualización periódica
Esta página se ha mantenido con su URL original para conservar su posicionamiento y para informar a los usuarios que todavía buscan información sobre los antiguos niveles de seguridad. Sin embargo, el contenido se ha actualizado completamente para reflejar la normativa vigente.
Los niveles de seguridad ya no existen en el RGPD. Hoy, la seguridad se basa en:
Evaluación de riesgos
Medidas técnicas y organizativas
EIPD cuando el tratamiento es de alto riesgo
Revisión continua
Responsabilidad proactiva
Este enfoque es más flexible, más eficaz y más adaptado a la realidad tecnológica actual.