El RGPD no establece las mismas medidas de seguridad para todas las empresas. Responsables y encargados deben determinar y aplicar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo. En RGPD Málaga analizamos los tratamientos y sistemas de tu organización para definir medidas proporcionadas, eficaces y adaptadas a su realidad.
Solicitar revisión de medidas RGPD
La protección de datos personales no depende únicamente de cláusulas, contratos o documentos. Una organización que trata datos debe adoptar medidas que permitan protegerlos durante todo su ciclo de vida y reducir los riesgos que el tratamiento puede representar para las personas.
El Reglamento General de Protección de Datos utiliza para ello un modelo basado en el riesgo.
Esto significa que no existe una lista universal de medidas de seguridad que pueda aplicarse automáticamente a todas las empresas. Las medidas deben seleccionarse teniendo en cuenta las características de cada tratamiento, las tecnologías utilizadas, el estado de la técnica, los costes de aplicación y los riesgos existentes para los derechos y libertades de las personas.
Por tanto, determinar correctamente las medidas técnicas y organizativas del RGPD requiere conocer primero qué datos se tratan, para qué se utilizan, quién accede a ellos, dónde se almacenan, qué proveedores intervienen y qué riesgos existen.
En RGPD Málaga aplicamos este enfoque para relacionar la protección jurídica de los datos con las medidas técnicas y organizativas necesarias para protegerlos en la práctica.
Son las medidas utilizadas por responsables y encargados del tratamiento para proteger los datos personales y garantizar un nivel de seguridad adecuado al riesgo.
Pueden afectar tanto a los sistemas tecnológicos como a la organización interna.
Las medidas técnicas pueden incluir, dependiendo del tratamiento:
cifrado;
seudonimización;
autenticación;
control de accesos;
copias de seguridad;
configuración de sistemas;
protección de redes;
actualización de software;
registro de determinados eventos;
mecanismos de recuperación;
protección de dispositivos.
Las medidas organizativas pueden comprender:
políticas internas;
asignación de funciones y responsabilidades;
procedimientos de gestión de usuarios;
normas para utilización de dispositivos;
formación y concienciación;
gestión de proveedores;
procedimientos ante incidentes;
revisión de permisos;
procedimientos de recuperación;
gestión de brechas de datos personales;
revisión de la eficacia de las medidas.
La separación entre medidas técnicas y organizativas resulta útil para estructurar el sistema de seguridad, pero ambas deben funcionar conjuntamente.
Una empresa puede disponer de una tecnología excelente y mantener una seguridad deficiente si sus usuarios comparten contraseñas o no existen procedimientos para retirar accesos cuando un trabajador abandona la organización.
Del mismo modo, disponer de políticas perfectamente redactadas sirve de poco si los sistemas no están configurados para aplicar las medidas previstas.
El artículo 32 establece que el responsable y el encargado del tratamiento deben aplicar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo.
Para determinar esas medidas deben tenerse en cuenta:
el estado de la técnica;
los costes de aplicación;
la naturaleza del tratamiento;
su alcance;
su contexto;
sus finalidades;
y los riesgos de diferente probabilidad y gravedad para los derechos y libertades de las personas.
El RGPD menciona además diferentes medidas que pueden resultar apropiadas según las circunstancias, como la seudonimización y el cifrado, la capacidad de garantizar determinadas propiedades de seguridad, la restauración de la disponibilidad después de un incidente y la verificación periódica de la eficacia de las medidas.
Pero estos ejemplos no constituyen una lista cerrada ni significan que todas las organizaciones deban implantar exactamente las mismas soluciones.
La decisión debe derivarse del riesgo y del contexto del tratamiento.
El artículo 32 presta especial atención a la capacidad de garantizar de forma permanente la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas y servicios de tratamiento.
La información debe estar accesible únicamente para las personas, sistemas o entidades autorizadas.
Entre los problemas relacionados con la confidencialidad pueden encontrarse:
acceso de un trabajador a información que no necesita;
robo de credenciales;
envío de información al destinatario equivocado;
exposición accidental de documentos;
pérdida de un portátil sin protección adecuada;
acceso externo no autorizado;
publicación accidental de información.
Las medidas deben reducir la probabilidad y consecuencias de estas situaciones.
Los datos deben protegerse frente a modificaciones o destrucciones no autorizadas o accidentales.
Un problema de integridad puede producirse, por ejemplo, cuando:
un usuario modifica información que no debería poder alterar;
malware modifica archivos;
una aplicación introduce errores;
se sobrescriben datos accidentalmente;
un tercero manipula información.
La integridad es especialmente importante cuando las decisiones de la organización dependen de que los datos sean correctos.
Los datos y sistemas deben poder utilizarse cuando sean necesarios.
Un ataque de ransomware, una avería, un borrado accidental o un fallo de infraestructura pueden provocar pérdida de disponibilidad.
Por eso las copias de seguridad, la redundancia, la recuperación y la continuidad pueden resultar fundamentales dependiendo del tratamiento.
La resiliencia hace referencia a la capacidad de los sistemas y servicios para resistir incidentes y recuperar su funcionamiento.
No consiste simplemente en evitar que ocurra cualquier problema —algo imposible de garantizar—, sino también en disponer de capacidad para responder y recuperarse adecuadamente.
No debería decidirse primero una lista de medidas y posteriormente intentar justificarla.
El proceso lógico es el contrario.
Primero debemos conocer los tratamientos y realizar un análisis de riesgos RGPD .
A partir de ese análisis podremos determinar qué medidas son apropiadas.
Por ejemplo, no presenta necesariamente el mismo riesgo:
un ordenador utilizado únicamente para facturación básica;
un servidor que contiene historiales médicos;
un portátil con acceso remoto a información confidencial;
una plataforma que almacena miles de perfiles de usuarios;
un sistema de videovigilancia;
una herramienta cloud utilizada por toda la plantilla.
Las medidas deben responder a esas diferencias.
El tamaño de la organización puede influir en su contexto, recursos, sistemas y complejidad, pero no determina por sí solo las medidas que deben aplicarse.
No es correcto establecer automáticamente:
“pequeña empresa = medidas básicas”
“empresa mediana = medidas intermedias”
“gran empresa = medidas avanzadas”.
Una pequeña clínica puede tratar información especialmente sensible.
Una gran empresa puede disponer de un tratamiento concreto con datos de escasa sensibilidad y alcance limitado.
Por eso el elemento determinante es el riesgo del tratamiento, no únicamente el número de trabajadores o el volumen de facturación.
El cifrado es una de las medidas expresamente mencionadas por el RGPD.
Permite transformar la información de manera que no pueda ser interpretada sin disponer de la clave o mecanismo necesario para descifrarla.
Dependiendo del riesgo, puede aplicarse a:
discos duros;
ordenadores portátiles;
dispositivos móviles;
copias de seguridad;
bases de datos;
comunicaciones;
archivos;
soportes extraíbles.
Sin embargo, decir simplemente “los datos están cifrados” no permite valorar por sí solo la eficacia de la medida.
Debe analizarse, entre otros aspectos:
qué se cifra;
qué tecnología se utiliza;
cómo se gestionan las claves;
quién puede acceder;
qué ocurre con las copias;
y frente a qué riesgo pretende protegerse.
El cifrado puede reducir considerablemente las consecuencias de determinados incidentes. Por ejemplo, la pérdida de un dispositivo correctamente cifrado puede presentar un escenario muy diferente al de la pérdida del mismo dispositivo con los datos accesibles sin protección.
La seudonimización consiste en tratar los datos de forma que ya no puedan atribuirse a una persona concreta sin utilizar información adicional, siempre que esa información adicional se mantenga separada y protegida mediante medidas apropiadas.
Puede ser útil, por ejemplo, en determinados:
análisis;
investigaciones;
desarrollos;
entornos de pruebas;
conjuntos de datos;
procesos internos.
No debe confundirse con la anonimización.
Los datos seudonimizados continúan siendo datos personales cuando es posible volver a relacionarlos con una persona utilizando información adicional.
Una de las medidas más importantes consiste en evitar que las personas accedan a información que no necesitan para desempeñar sus funciones.
El control de accesos puede incluir:
usuarios individuales;
permisos según funciones;
separación de privilegios;
autenticación;
revisión de accesos;
retirada de permisos;
bloqueo de cuentas;
registro de determinados accesos cuando resulte apropiado.
El principio práctico debería ser sencillo:
cada persona debe disponer únicamente de los accesos necesarios para realizar las funciones que le corresponden.
Esto requiere una gestión continua.
Cuando una persona cambia de puesto, asume nuevas funciones o abandona la organización, sus permisos deberían revisarse.
Las credenciales continúan siendo un elemento esencial de la seguridad.
Las medidas pueden incluir, según el riesgo:
contraseñas robustas;
prohibición de compartir credenciales;
gestores de contraseñas;
autenticación multifactor;
protección frente a intentos de acceso;
procedimientos de recuperación seguros;
revisión de cuentas activas.
La autenticación multifactor puede reducir significativamente el riesgo derivado del robo de una contraseña, pero tampoco debe presentarse como una solución aislada que resuelve todos los problemas de seguridad.
Debe formar parte de una estrategia más amplia.
Los sistemas desactualizados pueden contener vulnerabilidades conocidas que faciliten accesos no autorizados, ejecución de código malicioso o pérdida de información.
Una adecuada gestión puede incluir:
actualización de sistemas operativos;
actualización de aplicaciones;
firmware cuando corresponda;
retirada de software sin soporte;
inventario de sistemas;
gestión de vulnerabilidades;
evaluación de actualizaciones críticas.
Mantener un equipo funcionando no significa necesariamente mantenerlo seguro.
Los sistemas deben mantenerse dentro de un ciclo de soporte y mantenimiento coherente con el riesgo.
Dependiendo del entorno pueden resultar apropiadas medidas como:
antivirus o soluciones de protección de endpoints;
filtros de correo;
protección contra phishing;
firewalls;
sistemas de detección;
restricciones de ejecución;
segmentación de red;
monitorización;
políticas de actualización.
Pero nuevamente debemos evitar convertir estas tecnologías en una lista obligatoria idéntica para cualquier empresa.
Su necesidad y configuración dependen del contexto.
El teletrabajo, servicios cloud y administración remota hacen especialmente importante controlar cómo se accede a los sistemas.
Puede ser necesario analizar:
redes inalámbricas;
accesos desde Internet;
VPN;
escritorios remotos;
autenticación multifactor;
dispositivos utilizados;
segmentación de redes;
exposición de servicios;
configuración de routers y firewalls;
acceso de proveedores técnicos.
Una mala configuración puede anular otras medidas correctamente implantadas.
Las copias de seguridad son esenciales cuando la disponibilidad o recuperación de la información forma parte de las necesidades de seguridad del tratamiento.
No basta con afirmar que “se hacen copias”.
Debe analizarse:
qué información se copia;
con qué frecuencia;
dónde se almacena;
quién puede acceder;
si está protegida;
cuánto tiempo se conserva;
si existe más de una copia;
si puede verse afectada por el mismo incidente que el sistema principal;
y, especialmente, si se ha comprobado que puede restaurarse.
Una copia que nunca se ha probado puede proporcionar una falsa sensación de seguridad.
El artículo 32 contempla precisamente la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico.
La protección no termina en el ordenador.
Dependiendo del tratamiento también pueden ser necesarias medidas sobre:
despachos;
archivos físicos;
armarios;
salas de servidores;
soportes;
dispositivos;
llaves;
control de visitantes;
destrucción de documentación;
retirada segura de equipos.
Un documento en papel abandonado en una zona accesible puede producir una brecha de datos personales igual que un archivo digital enviado al destinatario incorrecto.
Una de las mejores formas de reducir determinados riesgos consiste en no tratar datos que no sean necesarios.
La protección de datos por defecto implica configurar los tratamientos para utilizar únicamente los datos personales necesarios para cada finalidad.
Esto afecta a:
cantidad de información recopilada;
extensión del tratamiento;
período de conservación;
accesibilidad.
Por tanto, las medidas técnicas y organizativas no deben limitarse a proteger enormes cantidades de información.
También debemos preguntarnos si realmente necesitamos conservar toda esa información.
Muchas medidas dependen directamente de las personas que trabajan en la organización.
Por eso deben existir procedimientos apropiados para:
alta de usuarios;
asignación de permisos;
cambios de puesto;
bajas;
acceso a aplicaciones;
entrega y devolución de dispositivos;
confidencialidad;
utilización de recursos corporativos;
comunicación de incidentes.
Una cuenta perteneciente a un antiguo trabajador que permanece activa durante meses constituye un riesgo que no se resuelve instalando un antivirus.
Las personas deben conocer las medidas que les afectan y saber cómo actuar.
La formación RGPD para empresas puede abordar, dependiendo de las funciones:
tratamiento adecuado de información;
confidencialidad;
gestión de contraseñas;
phishing;
utilización del correo electrónico;
dispositivos externos;
teletrabajo;
comunicación de incidentes;
ejercicio de derechos;
utilización de herramientas corporativas.
La formación debe guardar relación con las funciones y riesgos reales.
No se trata simplemente de entregar un manual y recoger una firma.
Parte de los datos puede encontrarse fuera de los sistemas directamente gestionados por la empresa.
Servicios cloud, software de gestión, correo electrónico, alojamiento web, mantenimiento informático o plataformas externas pueden intervenir en los tratamientos.
Cuando un proveedor actúa como encargado del tratamiento deben cumplirse los requisitos correspondientes del artículo 28 del RGPD.
Desde el punto de vista de seguridad también debe analizarse si el proveedor ofrece garantías suficientes y qué medidas aplica.
Esto puede incluir cuestiones como:
controles de acceso;
ubicación de los datos;
subencargados;
copias de seguridad;
cifrado;
gestión de incidentes;
recuperación;
continuidad;
eliminación o devolución de información;
condiciones de finalización del servicio.
Contratar un servicio externo no elimina la necesidad de analizar cómo se protegen los datos.
Ordenadores portátiles, teléfonos y otros dispositivos pueden contener o permitir acceso a grandes cantidades de información.
Dependiendo del riesgo pueden ser apropiadas medidas como:
cifrado del dispositivo;
bloqueo automático;
autenticación robusta;
separación de cuentas;
actualizaciones;
capacidad de gestión remota;
restricciones de instalación;
copias de seguridad;
procedimientos en caso de pérdida o robo.
También debe valorarse el entorno desde el que se utilizan los dispositivos.
La seguridad no depende únicamente de dónde se encuentre físicamente el trabajador, sino de cómo accede a la información y qué controles existen.
Los datos pueden permanecer almacenados en:
discos duros;
SSD;
memorias USB;
teléfonos;
servidores;
impresoras;
dispositivos NAS;
copias de seguridad;
soportes físicos.
Cuando esos dispositivos se reutilizan, venden, reparan o eliminan, debe considerarse si contienen datos personales y cómo impedir su recuperación no autorizada.
La simple eliminación de archivos puede no ser suficiente en determinados soportes.
Las medidas de borrado o destrucción deben adaptarse al riesgo y a la tecnología utilizada.
Las medidas no deberían incorporarse únicamente después de poner en funcionamiento un tratamiento.
El RGPD exige integrar la protección de datos desde el diseño y por defecto.
Esto implica valorar la privacidad desde el momento en que se decide:
qué datos recopilar;
qué aplicación utilizar;
qué proveedor contratar;
quién tendrá acceso;
cuánto tiempo se conservarán;
qué configuraciones estarán activas;
qué información será visible;
cómo se ejercerán los derechos.
La AEPD destaca que la protección por defecto debe orientarse hacia un tratamiento mínimamente intrusivo: mínima cantidad de datos, mínima extensión del tratamiento, mínimo plazo de conservación y mínima accesibilidad.
Cuando un tratamiento probablemente entrañe un alto riesgo para los derechos y libertades puede resultar necesaria una Evaluación de Impacto en Protección de Datos (EIPD) .
La EIPD debe estudiar, entre otros elementos, los riesgos y las medidas previstas para afrontarlos.
Por tanto, existe una relación directa entre:
tratamiento → riesgo → medidas → riesgo residual.
No obstante, una EIPD no es necesaria para todos los tratamientos ni simplemente porque una organización sea grande.
Su necesidad depende de las características del tratamiento y de la probabilidad de que entrañe un alto riesgo.
Implantar una medida no significa que vaya a seguir funcionando correctamente para siempre.
El artículo 32 contempla un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas.
Esto puede implicar, dependiendo del sistema:
comprobar copias de seguridad;
realizar restauraciones de prueba;
revisar usuarios;
comprobar permisos;
revisar configuraciones;
analizar incidencias;
comprobar actualizaciones;
revisar procedimientos;
evaluar cambios tecnológicos;
realizar pruebas técnicas cuando estén justificadas.
La revisión debe ser proporcional al riesgo.
No existe una única auditoría anual universal que sustituya esta obligación para todas las empresas.
Las medidas deben evolucionar con los tratamientos.
Puede resultar necesario revisarlas cuando:
se implanta una nueva aplicación;
cambia un proveedor;
se utiliza un nuevo servicio cloud;
aumenta el número de trabajadores;
se incorporan nuevos tratamientos;
cambia el tipo de datos;
se produce un incidente;
se detecta una vulnerabilidad;
se incorpora inteligencia artificial;
se habilita teletrabajo;
se modifican las instalaciones;
cambia el análisis de riesgos.
Esta necesidad conecta directamente con la actualización RGPD .
Una medida que era apropiada hace varios años puede dejar de ser suficiente si cambia la tecnología, el tratamiento o el riesgo.
Incluso con medidas adecuadas pueden producirse incidentes.
Por eso la organización debe disponer de capacidad para detectar, gestionar y documentar posibles brechas de datos personales.
Una brecha puede consistir en:
pérdida de información;
destrucción accidental;
modificación no autorizada;
acceso indebido;
envío al destinatario incorrecto;
robo de un dispositivo;
ransomware;
exposición pública accidental.
Cuando se detecta una posible brecha debe analizarse qué ha ocurrido, qué datos están afectados, qué personas pueden verse perjudicadas y cuál es el riesgo para sus derechos y libertades.
No todas las brechas deben notificarse automáticamente a la AEPD.
Cuando sea probable que la brecha constituya un riesgo para los derechos y libertades de las personas, el responsable debe notificarla a la autoridad de control competente sin dilación indebida y, cuando sea posible, dentro de las 72 horas desde que tenga constancia.
Cuando sea probable que entrañe un alto riesgo , también puede resultar necesaria la comunicación a las personas afectadas conforme al artículo 34.
Además, el responsable debe documentar las brechas de datos personales de acuerdo con el RGPD.
Esta gestión permite también revisar las medidas existentes y aprender de los incidentes.
Una pequeña empresa puede utilizar:
varios ordenadores;
correo electrónico;
programa de facturación;
almacenamiento cloud;
página web;
copias de seguridad;
teléfonos móviles.
Las medidas no deben elegirse simplemente porque sea una empresa pequeña.
Primero analizamos qué información maneja y qué riesgos existen.
Dependiendo del resultado pueden ser apropiados controles de acceso, autenticación multifactor, cifrado de portátiles, copias de seguridad verificadas, actualización de equipos, formación, procedimientos de bajas de usuarios o revisión de proveedores.
Otra pequeña empresa con tratamientos diferentes puede necesitar medidas distintas.
Una clínica trata habitualmente información relacionada con la salud.
El impacto potencial de un acceso indebido puede ser considerable.
El análisis puede conducir a medidas reforzadas relacionadas con:
acceso por perfiles;
autenticación;
trazabilidad cuando resulte apropiada;
cifrado;
copias de seguridad;
protección de dispositivos;
confidencialidad;
proveedores tecnológicos;
recuperación;
formación;
seguridad física.
El objetivo no es aplicar una etiqueta genérica de “seguridad alta”, sino determinar controles apropiados a los riesgos concretos.
Migrar información a la nube no elimina las obligaciones de seguridad.
Debe analizarse:
proveedor utilizado;
configuración;
usuarios;
permisos;
autenticación;
enlaces compartidos;
copias;
recuperación;
subencargados;
localización y transferencias cuando correspondan;
eliminación de información;
gestión de incidentes.
En muchas ocasiones el riesgo no procede de una debilidad de la infraestructura del proveedor, sino de una configuración incorrecta realizada por la propia organización.
Un ataque de ransomware puede afectar especialmente a la disponibilidad de los datos y, dependiendo del incidente, también a su confidencialidad e integridad.
Las medidas preventivas y de recuperación pueden incluir, según el contexto:
actualización de sistemas;
protección de endpoints;
segmentación;
limitación de privilegios;
copias aisladas;
pruebas de restauración;
formación frente a phishing;
procedimientos de respuesta.
Después de un incidente debe determinarse además si se ha producido una brecha de datos personales y evaluar sus consecuencias para las personas.
El RGPD exige medidas adecuadas al riesgo. Copiar una lista sin analizar los tratamientos puede producir medidas innecesarias y dejar sin tratar riesgos realmente importantes.
Un antivirus puede ser una medida útil, pero la seguridad incluye accesos, copias, actualizaciones, proveedores, personas, procedimientos, configuración, recuperación y muchos otros elementos.
El tamaño puede influir en el contexto, pero no sustituye al análisis de riesgos.
La finalidad de una copia no es simplemente existir, sino permitir recuperar la información cuando sea necesario.
Las cuentas y permisos deben revisarse cuando cambian las funciones o una persona abandona la organización.
Las credenciales compartidas dificultan el control de accesos, la trazabilidad y la atribución de actuaciones.
El proveedor puede desempeñar un papel importante, pero el responsable continúa teniendo obligaciones respecto del tratamiento.
Los incidentes pueden revelar riesgos, vulnerabilidades o procedimientos insuficientes que deben analizarse.
En RGPD Málaga analizamos las medidas desde una perspectiva jurídica y técnica.
El proceso puede incluir:
identificación de tratamientos;
revisión del Registro de Actividades de Tratamiento ;
análisis de riesgos;
inventario de sistemas relevantes;
revisión de usuarios y accesos;
análisis de copias de seguridad;
revisión de protección de dispositivos;
análisis de proveedores;
revisión de procedimientos internos;
gestión de incidentes;
revisión de medidas existentes;
identificación de mejoras;
documentación de las medidas;
recomendaciones de actualización.
El objetivo no es imponer tecnología innecesaria ni generar una lista genérica de controles.
Buscamos determinar qué medidas necesita realmente la organización y por qué, relacionándolas con sus tratamientos y riesgos.
Las medidas técnicas y organizativas son una de las manifestaciones más claras del principio de responsabilidad proactiva .
No basta con afirmar que los datos están protegidos.
La organización debe poder demostrar que ha analizado sus circunstancias, identificado riesgos, adoptado medidas apropiadas y revisado su eficacia.
Esto convierte la seguridad en un proceso:
conocer → analizar → proteger → verificar → mejorar.
Las tecnologías cambian. Las amenazas evolucionan. Los proveedores cambian. Los tratamientos también.
Por eso la seguridad de los datos personales no debería entenderse como una instalación realizada una única vez, sino como una parte permanente de la gestión del tratamiento.
El objetivo final no es disponer del mayor número posible de medidas.
Es disponer de medidas técnicas y organizativas apropiadas, proporcionadas y eficaces para los riesgos reales de los tratamientos de datos personales de la organización.
Son las medidas aplicadas por responsables y encargados para proteger los datos personales y garantizar un nivel de seguridad adecuado al riesgo. Pueden incluir controles tecnológicos, procedimientos internos, políticas, formación, gestión de accesos, copias de seguridad, cifrado, gestión de proveedores y otras medidas determinadas según las características del tratamiento.
No existe una lista cerrada e idéntica para todas las organizaciones. El artículo 32 menciona medidas como la seudonimización, el cifrado, la capacidad de garantizar confidencialidad, integridad, disponibilidad y resiliencia, la restauración de los datos y la verificación de la eficacia de las medidas, pero su aplicación debe determinarse atendiendo al riesgo y a las circunstancias del tratamiento.
No. Las medidas deben ser proporcionales a los tratamientos y riesgos. El tamaño de la empresa puede influir en su contexto, pero no determina por sí solo las medidas necesarias. Una pequeña organización que trata información especialmente sensible puede necesitar controles diferentes a los de otra empresa de mayor tamaño con tratamientos distintos.
El cifrado es una de las medidas expresamente contempladas por el RGPD, pero su aplicación debe valorarse dentro del conjunto de medidas apropiadas al riesgo. Dependiendo del tratamiento puede resultar especialmente recomendable o necesario para reducir determinados riesgos, pero no debe presentarse como una obligación automática e idéntica para todos los datos y organizaciones.
No. Las copias pueden ser una medida fundamental para garantizar disponibilidad y recuperación, pero la seguridad también puede requerir controles de acceso, actualizaciones, protección de dispositivos, formación, gestión de proveedores, procedimientos ante incidentes y otras medidas. Además, las copias deben gestionarse y comprobarse adecuadamente.
No existe una periodicidad única aplicable a todas las organizaciones. El RGPD exige verificar y evaluar regularmente la eficacia de las medidas y revisarlas cuando resulte necesario. La frecuencia y profundidad dependerán de los riesgos, tratamientos, tecnologías, cambios e incidentes de cada organización.
No. El responsable debe notificar una brecha a la autoridad de control cuando sea probable que constituya un riesgo para los derechos y libertades de las personas. Cuando proceda, la notificación debe realizarse sin dilación indebida y, cuando sea posible, dentro de las 72 horas desde que se tenga constancia. Las brechas deben documentarse conforme a las obligaciones establecidas en el RGPD.
El punto de partida es conocer los tratamientos y analizar sus riesgos. Deben tenerse en cuenta la naturaleza, alcance, contexto y finalidades del tratamiento, las tecnologías utilizadas, el estado de la técnica, los costes de aplicación y los riesgos para las personas. A partir de ese análisis pueden seleccionarse, documentarse y revisar las medidas apropiadas.
En RGPD Málaga analizamos los tratamientos, sistemas, accesos, dispositivos, copias de seguridad, proveedores y procedimientos de tu organización para determinar si las medidas técnicas y organizativas existentes son apropiadas para los riesgos reales. Identificamos posibles mejoras y te ayudamos a establecer un sistema de seguridad proporcionado, documentado y adaptado a tu actividad.
Revisión de medidas RGPD