Cuando se pregunta a los responsables de una pyme si su empresa cumple el RGPD, la respuesta más frecuente es «sí, ya nos encargamos de eso hace unos años». Lo que esa respuesta suele significar en la práctica es que se firmó un contrato con una gestoría o una consultora de protección de datos, se actualizó el aviso legal de la web y se añadió un banner de cookies. Todo eso es necesario. Pero no es suficiente.

Qué es el RGPD y qué tiene que ver con la seguridad informática

El Reglamento General de Protección de Datos, en vigor desde 2018 y complementado en España por la LOPDGDD, establece las obligaciones de las organizaciones en materia de tratamiento de datos personales. La mayoría de las empresas lo asocia con la privacidad, los formularios de consentimiento y las políticas de cookies. Esa asociación no es incorrecta, pero es incompleta.

El RGPD dedica una parte sustancial de su articulado a la seguridad de los datos: el artículo 32 obliga a las organizaciones a implementar «medidas técnicas y organizativas apropiadas» para garantizar un nivel de seguridad adecuado al riesgo. Esas medidas técnicas son, en gran parte, medidas de seguridad informática. Y su cumplimiento no se acredita con un documento firmado: se acredita con una infraestructura que funciona correctamente.

Lo que el RGPD exige en materia de seguridad IT

El artículo 32 del RGPD enumera, de forma no exhaustiva, las medidas que las organizaciones deben considerar. Traducidas al lenguaje práctico de la gestión informática de una pyme, implican:

Cifrado de datos personales
Los datos personales almacenados en equipos o transmitidos por redes deben estar cifrados. Esto incluye los datos de clientes en el CRM, los expedientes de empleados, las bases de datos con información de contacto y cualquier otro fichero que contenga datos identificativos. Un portátil sin cifrado de disco que se pierde o es robado no es solo un problema de hardware: es una brecha de datos notificable a la AEPD.

Control de accesos
Solo las personas que necesitan acceder a determinados datos para realizar su trabajo deberían poder hacerlo. El RGPD exige que los accesos estén gestionados según el principio de mínimo privilegio: cada usuario tiene acceso únicamente a lo que necesita, ni más ni menos. Las cuentas compartidas, los accesos genéricos sin contraseña individual y los permisos sin revisar desde hace años son incumplimientos directos de este principio.

Capacidad de garantizar la confidencialidad, integridad y disponibilidad
En términos prácticos: que los datos no sean accesibles por personas no autorizadas (confidencialidad), que no puedan modificarse sin autorización (integridad) y que estén disponibles cuando se necesitan (disponibilidad). Las copias de seguridad verificadas, los sistemas de control de acceso y la monitorización de la infraestructura son las herramientas técnicas que garantizan estos tres principios.

Capacidad de restaurar el acceso a los datos tras un incidente
El RGPD exige explícitamente que la organización sea capaz de recuperar el acceso a los datos personales en caso de incidente físico o técnico. Dicho de otra forma: si tu empresa no tiene copias de seguridad verificadas y un plan de recuperación ante desastres, no cumple el RGPD en este punto, independientemente de lo que diga el documento que firmó con la consultora.

Evaluación y revisión periódica de las medidas
El cumplimiento del RGPD no es un estado que se alcanza y se mantiene indefinidamente. Es un proceso continuo que requiere revisar periódicamente que las medidas implementadas siguen siendo adecuadas al riesgo real. Una empresa que implantó medidas en 2019 y no las ha revisado desde entonces no puede garantizar que sigue cumpliendo.

Dónde fallan la mayoría de pymes

La experiencia en el trabajo con empresas de distintos sectores muestra que los incumplimientos más frecuentes no son los más evidentes. Son estos:

Equipos sin cifrado de disco
La mayoría de portátiles corporativos en pymes no tienen el cifrado de disco activado. Windows lo incluye de forma nativa con BitLocker; macOS con FileVault. Activarlo no cuesta dinero ni tiempo significativo. Pero si nadie lo ha configurado activamente, no está activado por defecto en muchos entornos corporativos.

Cuentas de usuario sin política de contraseñas
Contraseñas sin caducidad, sin requisitos mínimos de complejidad, compartidas entre varios empleados o iguales para todos los sistemas. Cada una de estas prácticas es un incumplimiento de las medidas técnicas que exige el RGPD.

Ausencia de registro de actividad
El RGPD exige poder demostrar quién accedió a qué datos y cuándo. Sin logs de actividad configurados y almacenados correctamente, esa demostración es imposible.

Encargados del tratamiento sin contrato actualizado
Cualquier proveedor externo que tenga acceso a datos personales de la empresa, el proveedor de email, el gestor del CRM, el proveedor de mantenimiento IT, debe tener firmado un contrato de encargo del tratamiento actualizado. Muchas empresas tienen contratos obsoletos o directamente no tienen contrato con algunos de sus proveedores tecnológicos.

Gestión de incidentes sin protocolo
El RGPD obliga a notificar a la Agencia Española de Protección de Datos (AEPD) las brechas de datos que supongan un riesgo para los derechos de las personas en un plazo máximo de 72 horas desde que se tiene conocimiento de ellas. Sin un protocolo de gestión de incidentes definido y sin la capacidad técnica de detectar una brecha en tiempo real, cumplir ese plazo es prácticamente imposible.

Las consecuencias de no cumplir

El régimen sancionador del RGPD establece multas de hasta 20 millones de euros o el 4% de la facturación anual global, aplicándose la cantidad que sea mayor. Para las infracciones más leves, el límite es de 10 millones o el 2% de la facturación.

En la práctica, las sanciones a pymes españolas han sido más modestas, pero significativas: la AEPD ha impuesto multas de entre 3.000 y 150.000 euros a empresas de tamaño medio por incumplimientos en materia de seguridad técnica. Y las sanciones económicas no son el único coste: una brecha de datos notificada públicamente genera un daño reputacional cuyo impacto en la confianza de clientes y socios es difícil de cuantificar pero real.

Cómo saber si tu empresa cumple realmente

La forma más fiable de saberlo es realizar una auditoría técnica de seguridad que evalúe el estado real de la infraestructura frente a los requisitos del RGPD. No una auditoría documental, que verifica que los documentos existen, sino una auditoría técnica que verifica que las medidas están implementadas y funcionan.

Esa auditoría debería cubrir, como mínimo:

• Estado del cifrado en equipos y dispositivos móviles corporativos
• Política de contraseñas y gestión de accesos
• Estado y verificación de las copias de seguridad
• Configuración de los registros de actividad
• Revisión de los contratos con encargados del tratamiento
• Existencia y adecuación del protocolo de gestión de incidentes

En Epic podemos realizar esa auditoría y proporcionarte un informe claro sobre el estado de cumplimiento de tu empresa, con las medidas correctoras priorizadas por nivel de riesgo y coste de implementación.

Solicita una auditoría de cumplimiento RGPD para tu empresa

Preguntas Frecuentes

¿El RGPD aplica a todas las empresas, independientemente de su tamaño?
Sí. El RGPD aplica a cualquier organización que trate datos personales de personas físicas en la Unión Europea, sin umbral mínimo de tamaño o facturación. Las obligaciones concretas varían en función del volumen y la sensibilidad de los datos tratados, pero ninguna empresa que tenga clientes, empleados o proveedores queda fuera de su ámbito de aplicación.

¿Qué debo hacer si creo que mi empresa ha sufrido una brecha de datos?
El plazo de notificación a la AEPD es de 72 horas desde que se tiene conocimiento de la brecha, si esta supone un riesgo para los derechos de las personas afectadas. Lo primero es contener el incidente, evaluar su alcance con el apoyo del proveedor IT y determinar si existe obligación de notificación. Actuar rápido es fundamental: las sanciones por notificación tardía se suman a las que puedan derivarse de la brecha en sí.

¿Contratar un proveedor IT externo me ayuda a cumplir el RGPD?
Sí, de forma significativa. Un proveedor IT que gestiona la infraestructura con criterios de seguridad adecuados implementa de facto muchas de las medidas técnicas que exige el RGPD: cifrado, control de accesos, copias de seguridad verificadas, monitorización y gestión de incidentes. Además, debe firmar con tu empresa el correspondiente contrato de encargo del tratamiento, lo que formaliza sus obligaciones en materia de protección de datos.

Cumplir el RGPD en materia de seguridad informática no es un trámite burocrático que se resuelve con documentos. Es una responsabilidad técnica continua que requiere infraestructura adecuada, procesos definidos y revisión periódica. Y la diferencia entre creer que se cumple y cumplir realmente puede tener un coste muy alto.

Habla con Epic y verifica el estado real de cumplimiento de tu empresa