Principio de seguridad · techo del Reglamento

Conducta

Vulneración de los principios básicos del tratamiento, entre ellos el principio de integridad y confidencialidad del artículo 5.1.f)

Importe

20 000 000 EUR como máximo o, tratándose de una empresa, el 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía

Art. 83.5.a)

Medidas de seguridad y brechas · techo del Reglamento

Conducta

Incumplimiento de las obligaciones del responsable y del encargado de los artículos 25 a 39: protección desde el diseño, encargado del tratamiento, seguridad, notificación de brechas y evaluación de impacto

Importe

10 000 000 EUR como máximo o, tratándose de una empresa, el 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía

Art. 83.4.a)

El umbral está escrito al revés de como se suele leer: se notifica siempre, salvo que sea improbable que la brecha suponga un riesgo. Justificar el silencio es carga del responsable, y esa justificación es justo lo que la autoridad audita después. Las 72 horas no son un derecho a esperar tres días: el deber es notificar «sin dilación indebida» y las 72 horas son el tope de esa dilación. El reloj arranca cuando se tiene constancia de la brecha, no cuando ocurre ni cuando termina la investigación: conviene dejar registrado ese momento y su razonamiento, porque es el hecho del que depende si se cumplió el plazo.

Notificación a la autoridad de control

Plazo

Sin dilación indebida y, de ser posible, a más tardar 72 horas

Desde cuándo corre

Desde que el responsable ha tenido constancia de la violación de seguridad, no desde que ocurrió

Art. 33.1

Notificación a la autoridad fuera del plazo de 72 horas

Plazo

Sigue siendo obligatoria, acompañada de indicación de los motivos de la dilación

Desde cuándo corre

Pasadas las 72 horas. Llegar tarde no exime de notificar: obliga a explicar el retraso

Art. 33.1, párr. 2

Comunicación al interesado, si hay alto riesgo para sus derechos y libertades

Plazo

Sin dilación indebida

Desde cuándo corre

Desde que se aprecia que es probable un alto riesgo. No hay plazo en horas, y eso lo hace más exigente, no menos

Art. 34.1

Notificación del encargado al responsable del tratamiento

Plazo

Sin dilación indebida

Desde cuándo corre

Desde que el encargado tiene conocimiento de la brecha. El encargado no notifica a la autoridad: notifica a su cliente

Art. 33.2

Información por fases cuando no se puede facilitar todo a la vez

Plazo

De manera gradual, sin dilación indebida

Desde cuándo corre

Desde la notificación inicial. No hay que esperar a tenerlo todo para empezar a notificar

Art. 33.4

Documentación interna de la brecha, se notifique o no

Plazo

Sin plazo, pero sin excepción: se documentan todas

Desde cuándo corre

Desde que se conoce la brecha. Es la prueba con la que la autoridad verifica que la decisión de no notificar estaba fundada

Art. 33.5

La autoridad de control competente

Cuándo

Toda brecha, salvo que sea improbable que constituya un riesgo para los derechos y libertades de las personas físicas

En España

La Agencia Española de Protección de Datos, autoridad administrativa independiente de ámbito estatal que se relaciona con el Gobierno a través del Ministerio de Justicia. Es también la representante común de las autoridades españolas en el Comité Europeo de Protección de Datos. Existen además autoridades autonómicas de protección de datos; cuándo la competente es una de ellas no se ha analizado en esta ficha.

Agencia Española de Protección de Datos ↗

Art. 33.1

Los interesados afectados por la brecha

Cuándo

Cuando sea probable que la violación entrañe un alto riesgo para sus derechos y libertades

Art. 34.1

El responsable del tratamiento, cuando quien detecta la brecha es su encargado

Cuándo

Siempre que el encargado tenga conocimiento de una violación de seguridad

Art. 33.2

El público, mediante comunicación pública o medida semejante

Cuándo

Solo como sustituto de la comunicación individual, cuando esta suponga un esfuerzo desproporcionado

Art. 34.3.c)

Cualquier tratamiento de datos personales

La regla general: cualquier responsable o encargado que trate datos personales de forma total o parcialmente automatizada, o de forma no automatizada si están en un fichero, en el contexto de las actividades de un establecimiento en la Unión, sin importar dónde ocurra el tratamiento (art. 2.1 y art. 3.1)

Proveedores y subcontratistas

El encargado del tratamiento y sus subencargados: el artículo 32 obliga por igual al responsable y al encargado, y el artículo 28.4 traslada las mismas obligaciones a toda la cadena de subcontratación (art. 28 y art. 32.1)

Empresas de fuera que venden en la UE

Responsables y encargados no establecidos en la Unión, cuando tratan datos de interesados que se encuentran en ella y la actividad se relaciona con la oferta de bienes o servicios, se les cobre o no (art. 3.2.a)

Vigilancia del comportamiento en la UE

Responsables y encargados no establecidos en la Unión, cuando controlan el comportamiento de interesados en la medida en que ese comportamiento tenga lugar en la Unión (art. 3.2.b)

Sector público español

Los sujetos del artículo 77.1 de la LOPDGDD (Administraciones, organismos públicos, universidades públicas, consorcios, órganos constitucionales), que además deben aplicar a sus tratamientos las medidas del Esquema Nacional de Seguridad, extensivas a sus concesionarios y contratistas (LOPDGDD, disposición adicional primera)

Exclusiones

Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos)

Identificador

CELEX 32016R0679

Fuente

EUR-Lex · Diario Oficial de la Unión Europea · Oficina de Publicaciones de la Unión Europea

Ciberseguridad

Es el caso raro: la norma no va de ciberseguridad y aun así impone la obligación de seguridad más aplicable de todas. Tiene lo que hace falta para operar (una lista de medidas en el art. 32, un régimen de notificación de brechas con reloj, evaluación previa de riesgo y sanciones propias), y por eso pesa más que otras normas incluidas por consecuencia. Pero la seguridad es una sección de un capítulo: el grueso del Reglamento son licitud, derechos y transferencias, y todo eso queda fuera de este corte.

Valoración del curador · nivel 3 de 5

Principio de integridad y confidencialidad Ciber

Tratar los datos garantizando su seguridad, incluida la protección contra el tratamiento no autorizado y contra la pérdida o destrucción accidental. La seguridad no es un requisito técnico añadido al final: es uno de los seis principios que gobiernan cualquier tratamiento, y por eso está en el escalón caro de las multas.

Literal de la norma tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)

Art. 5.1.f)

Responsabilidad proactiva

No basta con cumplir: hay que poder demostrarlo. Es la responsabilidad proactiva, y es lo que convierte cada medida de seguridad en algo que tiene que estar documentado.

Literal de la norma El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»)

Art. 5.2

Medidas apropiadas, demostrables y revisadas Ciber

Aplicar medidas técnicas y organizativas apropiadas al riesgo, poder demostrar que el tratamiento es conforme, y revisarlas y actualizarlas cuando haga falta. Es la obligación paraguas: el resto son concreciones de esta.

Literal de la norma el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario

Art. 24.1

Protección de datos desde el diseño Ciber

Decidir la privacidad cuando se elige la arquitectura, no cuando se redacta la política: las medidas se aplican ya al determinar los medios del tratamiento, y han de estar concebidas para aplicar de forma efectiva los principios de protección de datos e integrar las garantías en el propio tratamiento. A diferencia del artículo 24, aquí pesan también el estado de la técnica y el coste de aplicación.

Art. 25.1

Protección de datos por defecto Ciber

Que las opciones por defecto sean las más restrictivas, en cantidad de datos, extensión del tratamiento, plazo de conservación y accesibilidad. Y que por defecto los datos no queden accesibles a un número indeterminado de personas. Un perfil que nace público incumple este apartado aunque se pueda cerrar después.

Art. 25.2

Medidas de seguridad adecuadas al riesgo Ciber

Implantar medidas de seguridad adecuadas al riesgo, no las máximas posibles. Obliga por igual al responsable y al encargado, y es la obligación de seguridad más universalmente aplicable que existe en España. Son cuatro temas a cubrir, no un checklist que se cierra: seudonimización y cifrado; confidencialidad, integridad, disponibilidad y resiliencia permanentes; capacidad de restaurar el acceso a los datos con rapidez tras un incidente; y un proceso regular de verificación de que las medidas funcionan. El listón lo pone el riesgo del tratamiento concreto, no un mínimo fijo.

Literal de la norma el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo

Art. 32.1

Acceso solo bajo instrucciones del responsable Ciber

Garantizar que nadie bajo la autoridad del responsable o del encargado trate datos personales por su cuenta: solo siguiendo instrucciones del responsable, salvo obligación legal.

Art. 32.4

Elegir un encargado con garantías suficientes Ciber

Elegir solo proveedores que ofrezcan garantías suficientes. Contratar no traslada la responsabilidad: la reparte, y añade el deber de haber elegido bien.

Literal de la norma este elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiadas, de manera que el tratamiento sea conforme con los requisitos del presente Reglamento y garantice la protección de los derechos del interesado

Art. 28.1

Contrato con el encargado del tratamiento Ciber

Firmar con cada proveedor un contrato por escrito con contenido tasado, incluida la obligación de aplicar las medidas del artículo 32, de ayudar con las brechas y las evaluaciones de impacto, y de someterse a auditorías. El contenido tasado es objeto, duración, naturaleza, finalidad, tipo de datos y categorías de interesados, más ocho cláusulas: instrucciones documentadas, confidencialidad del personal, medidas del artículo 32, condiciones para subcontratar, asistencia con los derechos, ayuda con los artículos 32 a 36, supresión o devolución al terminar, y derecho de auditoría e inspección.

Art. 28.3

Control de la cadena de subcontratación Ciber

No subcontratar sin autorización previa por escrito del cliente, y trasladar las mismas obligaciones al subcontratista. Quien subcontrata sigue respondiendo plenamente de lo que haga su proveedor.

Art. 28.2 y 28.4

Notificación de la brecha a la autoridad Ciber

Notificar la brecha a la autoridad sin dilación indebida y, como tope, en 72 horas desde que se tuvo constancia. Se notifica siempre, salvo que sea improbable que haya riesgo, y justificar ese silencio es carga del responsable.

Literal de la norma En caso de violación de la seguridad de los datos personales, el responsable del tratamiento la notificará a la autoridad de control competente de conformidad con el artículo 55 sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella, a menos que sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas

Art. 33.1

Aviso del encargado a su responsable Ciber

El proveedor avisa a su cliente sin dilación indebida en cuanto conoce una brecha. No notifica a la autoridad: eso le toca al responsable.

Literal de la norma El encargado del tratamiento notificará sin dilación indebida al responsable del tratamiento las violaciones de la seguridad de los datos personales de las que tenga conocimiento

Art. 33.2

Contenido mínimo de la notificación de brecha Ciber

Naturaleza de la violación con las categorías y el número aproximado de interesados y de registros afectados; punto de contacto; posibles consecuencias; y medidas adoptadas o propuestas, incluidas las de mitigación.

Art. 33.3

Registro interno de todas las brechas Ciber

Documentar todas las brechas, también las que no se notifican, con los hechos, sus efectos y las medidas correctivas. Es lo que la autoridad usa para comprobar si la decisión de no notificar estaba fundada.

Art. 33.5

Comunicación de la brecha al interesado Ciber

Avisar a las personas afectadas cuando la brecha probablemente entrañe un alto riesgo para sus derechos. Es un umbral más alto que el de la notificación a la autoridad: hay brechas que se notifican y no se comunican a nadie más.

Art. 34.1

El cifrado que evita comunicar la brecha Ciber

El cifrado no es obligatorio, pero decide si hay que avisar. Si los datos afectados eran ininteligibles para quien no está autorizado, la comunicación a los afectados no es necesaria. Es la decisión de arquitectura con más consecuencias regulatorias de esta norma.

Art. 34.3.a)

Evaluación de impacto previa al tratamiento Ciber parcial

Hacer una evaluación de impacto ANTES de empezar a tratar, cuando el tratamiento probablemente entrañe un alto riesgo, en particular si usa nuevas tecnologías. Hecha después de lanzar, no cumple el artículo.

Art. 35.1

Perfilado automatizado con efectos significativos Ciber parcial

Desplegar un sistema que perfile a personas de forma automatizada y tome decisiones con efectos jurídicos o significativos obliga a evaluación de impacto previa. Es la obligación de gobierno de IA más antigua que aplica en España, y es del RGPD, no del AI Act.

Literal de la norma evaluación sistemática y exhaustiva de aspectos personales de personas físicas que se base en un tratamiento automatizado, como la elaboración de perfiles, y sobre cuya base se tomen decisiones que produzcan efectos jurídicos para las personas físicas o que les afecten significativamente de modo similar

Art. 35.3.a)

Contenido mínimo de la evaluación de impacto Ciber parcial

Descripción sistemática de las operaciones y sus fines; evaluación de la necesidad y proporcionalidad respecto de la finalidad; evaluación de los riesgos para los derechos de los interesados; y las medidas previstas para afrontarlos, incluidas garantías y medidas de seguridad.

Art. 35.7

Revisión de la evaluación de impacto Ciber parcial

Examinar si el tratamiento sigue siendo conforme con la evaluación, al menos cuando cambie el riesgo. Una evaluación de impacto no es un entregable que se archiva: es un documento vivo.

Art. 35.11

Consulta previa a la autoridad de control Ciber parcial

Cuando la evaluación de impacto concluye que el tratamiento entrañaría un alto riesgo si no se toman medidas para mitigarlo, hay que consultar a la autoridad de control ANTES de empezar a tratar. No es un trámite informativo: el expediente tiene contenido tasado (reparto de responsabilidades entre responsable, corresponsables y encargados; fines y medios; medidas y garantías; datos del delegado de protección de datos; la evaluación de impacto entera; y lo que la autoridad pida además) y la autoridad tiene ocho semanas para responder, prorrogables seis más por la complejidad del tratamiento, con el reloj en suspenso mientras espera información. En ese asesoramiento puede usar cualquiera de los poderes del art. 58, incluida la limitación o la prohibición del tratamiento. Es el paso siguiente del art. 35 y cambia lo exigible: obliga a un procedimiento distinto y retrasa el lanzamiento.

Literal de la norma El responsable consultará a la autoridad de control antes de proceder al tratamiento cuando una evaluación de impacto relativa a la protección de los datos en virtud del artículo 35 muestre que el tratamiento entrañaría un alto riesgo si el responsable no toma medidas para para mitigarlo.

Art. 36.1 y 36.3

Deber de confidencialidad del personal Ciber

El deber de confidencialidad alcanza a todas las personas que intervengan en cualquier fase del tratamiento, y sigue vigente después de que termine su relación con la empresa. Sobrevive al despido y al fin del contrato.

LOPDGDD, art. 5

Valoración previa de riesgos agravados Ciber

Valorar por escrito ocho supuestos de riesgo agravado antes de decidir las medidas, y valorar también si procede la evaluación de impacto. Los ocho: discriminación o fraude, privación de derechos, categorías especiales de datos, perfilado, colectivos vulnerables (en particular menores y personas con discapacidad), tratamiento masivo, transferencias habituales a países sin nivel adecuado, y cualquier otro relevante. Saltarse esa valoración previa es infracción grave por sí sola.

LOPDGDD, art. 28

Medidas del ENS en el sector público Ciber

En el sector público español el artículo 32 no se cumple en abstracto: se cumple con el catálogo del Esquema Nacional de Seguridad, y esa exigencia se traslada a concesionarios y contratistas.

LOPDGDD, disposición adicional primera

Gobierno de la ciberseguridad Compartida

Llevar la ciberseguridad al órgano de gobierno: que la seguridad tenga dueño con autoridad, atención regular de la dirección y rastro documental de lo que se decide.

Art. 24.1 · categorización del curador, no de la norma

Gestión de riesgos de seguridad Compartida

Conocer a qué está expuesto el negocio y decidir qué se acepta y qué se trata: el proceso de gestión de riesgos determina las prioridades del resto de iniciativas.

Arts. 5.1.f), 24.1, 35 y 36 · LOPDGDD, art. 28 · categorización del curador, no de la norma

Adquisición y desarrollo seguros Compartida

La seguridad como requisito de compra y de construcción: exigencias al adquirir, prácticas de desarrollo seguro al construir y mantenimiento con la seguridad dentro durante todo el ciclo de vida.

Arts. 25.1 y 25.2 · categorización del curador, no de la norma

Gestión de riesgos de terceros (TPRM) Compartida

Gobernar el riesgo que entra por los proveedores: el riesgo del proveedor es riesgo propio, la cadena no termina en quien firma el contrato, y la relación completa, desde la selección hasta la terminación, se gestiona con la seguridad integrada.

Arts. 28.1, 28.2, 28.3 y 28.4 · categorización del curador, no de la norma

Criptografía y protección del dato Compartida

Protección del dato en reposo y en tránsito mediante cifrado, gobernada por decisiones documentadas sobre qué se cifra, con qué algoritmos y cómo se custodian las claves.

Arts. 32.1.a) y 34.3.a) · categorización del curador, no de la norma

Copias de seguridad y recuperación Compartida

Un esquema de copias de seguridad orientado a la recuperación: qué se copia, con qué frecuencia y en cuánto tiempo se restaura, verificado mediante pruebas de restauración periódicas.

Art. 32.1.c) · categorización del curador, no de la norma

Continuidad de negocio y gestión de crisis Compartida

La capacidad de seguir prestando el servicio cuando algo grande falla y de volver a la normalidad con orden, decidida y preparada antes de necesitarla.

Art. 32.1.b) · categorización del curador, no de la norma

Evaluación de la eficacia y mejora Compartida

Evaluar si las medidas implantadas son eficaces, no solo si existen, y convertir los resultados de esa evaluación en mejoras aplicadas.

Arts. 32.1.d) y 24.1 · categorización del curador, no de la norma

Gestión de identidades y accesos (IAM) Compartida

Un sistema de gestión de identidades y accesos: cada identidad, humana o de máquina, es conocida, se autentica por un punto controlado y pierde el acceso cuando corresponde.

Arts. 32.4 y 25.2 · categorización del curador, no de la norma

Seguridad ligada al personal Compartida

La seguridad dentro del ciclo de vida del empleado: comprobaciones al contratar donde proceda, deberes claros durante la relación y salida ordenada.

LOPDGDD, art. 5 · Art. 32.4 · categorización del curador, no de la norma

Monitorización y detección Compartida

Capacidad de observar de forma continua lo que ocurre en sistemas, redes y servicios, sostenida como un servicio con responsable y no como una herramienta desatendida.

Art. 33.1 · categorización del curador, no de la norma

Capacidad de respuesta a incidentes Compartida

La capacidad de gestionar un incidente de seguridad de principio a fin, desde la detección del primer indicio hasta la recuperación de la operación normal.

Arts. 33.1, 33.2, 33.5 y 34.1 · categorización del curador, no de la norma

Proceso de notificación regulatoria Compartida

Saber a quién, qué y en cuánto tiempo hay que notificar un incidente, y poder hacerlo bajo presión y con los relojes en contra.

Arts. 33.1, 33.3, 34.1 y 34.3.a) · categorización del curador, no de la norma

Seguridad del sector público por el catálogo del ENS

En el sector público español la seguridad del tratamiento no se diseña desde cero: se implanta aplicando a cada tratamiento de datos personales las medidas del Esquema Nacional de Seguridad que correspondan a su categoría, y la misma exigencia se traslada por contrato a quien preste el servicio, con el nivel de la Administración de origen.

LOPDGDD, disposición adicional primera · categorización del curador, no de la norma

Responsable del tratamiento

Quien determina los fines y los medios del tratamiento, solo o junto con otros: el que decide para qué se tratan los datos y con qué. No hace falta tocar los datos ni tener los sistemas en casa, basta con decidir. Es el rol sobre el que recae casi todo este corte, y el que tiene que poder demostrar que cumple. Un encargado que fije por su cuenta los fines y los medios pasa a ser responsable respecto de ese tratamiento (art. 28.10).

Literal de la norma la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento

Art. 4.7

Encargado del tratamiento

Quien trata datos personales por cuenta del responsable: el proveedor que ejecuta lo que decidió su cliente y solo dentro de sus instrucciones. Que la decisión no sea suya no lo deja fuera de la seguridad: el artículo 32 le obliga igual que al responsable, tiene que avisar a su cliente de las brechas que conozca y responde plenamente de lo que hagan sus propios subcontratistas.

Literal de la norma la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento

Art. 4.8