En resumen
- El RGPD no es solo un tema jurídico: el artículo 32 exige medidas técnicas concretas — cifra, confidencialidad, capacidad de recuperar datos y pruebas regulares.
- Una violación de datos personales debe, en general, ser notificada a la CNPD en un plazo de 72 horas después de que la empresa se haya enterado de ello, a través del formulario propio.
- Todas las violaciones deben quedar documentadas, incluso las que no se notifiquen.
- La empresa informática que accede a sus datos es, en general, un subcontratante: el contrato debe cumplir el artículo 28.º.
En este artículo
El RGPD en la informática de las PYMES Se traduce en diez pasos técnicos y organizativos que cualquier empresa con más de 10 puestos puede poner en práctica: saber dónde están los datos, controlar quién tiene acceso a ellos, cifrar, hacer y probar copias de seguridad, mantener registros, tener contratos adecuados con los proveedores y saber qué hacer en las primeras 72 horas de un incidente. Este artículo se refiere solo a este aspecto — lo que la informática tiene que garantizar. No es asesoramiento jurídico: para la base legal de los tratamientos, los consentimientos y los derechos de los titulares, consulte a su abogado o a su responsable de protección de datos.
Lo que exige el RGPD a la informática
El Reglamento General sobre la Protección de Datos (Reglamento (UE) 2016/679) no dice que se deba comprar un firewall. Dice que la seguridad debe estar en consonancia con el riesgo, y da ejemplos en el artículo 32, apartado 1:
- la pseudonimización y la cifrado de los datos personales;
- la capacidad de garantizar la confidencialidad, la integridad, la disponibilidad y la resiliencia permanentes de los sistemas;
- la capacidad de restablecer la disponibilidad y el acceso a los datos de forma oportuna tras un incidente;
- un proceso para probar y evaluar regularmente la eficacia de las medidas.
Los 10 pasos
1. Saber dónde están los datos personales
Servidor, Microsoft 365, programa de facturación, software de recursos humanos, discos externos, correos electrónicos antiguos. No se protege lo que no se sabe que existe. El resultado de este paso es un mapa simple: qué datos, en qué sistema, quién es el responsable.
2. Permitir el acceso solo a quienes lo necesiten
El anuncio no necesita ver los recibos de vencimiento; la recepción no necesita la carpeta de administración. Permisos por función, revisados siempre que alguien cambia de funciones.
3. Protege las cuentas con MFA
La mayoría de los accesos no autorizados comienzan con una contraseña robada. La autenticación multifactor (el segundo paso de confirmación, normalmente en el teléfono móvil) debe estar activada en el correo electrónico, en la nube y en el acceso remoto.
4. Encriptar portátiles, teléfonos móviles y copias
La cifratura es uno de los dos ejemplos que el propio artículo 32.º menciona. En la práctica: disco cifrado en todos los portátiles, teléfonos móviles con bloqueo y gestión, copias de seguridad cifradas.
5. Hacer copias de seguridad y probarlas
El artículo 32.º habla de restablecer el acceso “en el momento oportuno”. Un respaldo que nunca se haya restablecido no prueba nada. Recomendamos realizar un test de restauración al menos una vez al trimestre — vea El test de respaldo en 30 minutos y las nuestras soluciones de copia de seguridad.
6. Mantener los sistemas actualizados
Los sistemas sin correcciones de seguridad son la forma más común de perder la “integridad y resiliencia” que exige el reglamento. Actualizaciones con plazo definido y equipos sin soporte del fabricante reemplazados.
7. Guardar registros de quién accedió a qué
Registros de inicio de sesión, de acceso a carpetas sensibles y de cambios de permisos. Son ellos los que permiten responder, en un incidente, a la pregunta que la CNPD va a hacer: ¿qué datos se vieron afectados?
8. Tener contratos adecuados con los subcontratistas
El que maneja datos en nombre de su empresa —la empresa informática, el proveedor de cloud, el software de nómina— es un subcontratista. El artículo 28 exige que solo se recurra a subcontratistas que proporcionen garantías suficientes y que la relación esté en un contrato escrito, con instrucciones documentadas, confidencialidad, medidas de seguridad, reglas para subcontratar a terceros, apoyo en caso de violación y devolución o eliminación de los datos al final del servicio. Explica lo que hay que verificar Contrato informático: cláusulas de salida y datos.
9. Tener un plan para las primeras 72 horas
Ver la sección siguiente. El plan debe indicar quién decide, quién recopila la información técnica y quién llena la notificación.
10. Examinar y revisar todos los años
El último punto del artículo 32º es el más olvidado: evaluar regularmente si las medidas están funcionando. Una revisión anual, documentada y con las correcciones hechas, también es la mejor prueba de diligencia.
Violación de datos: el reloj de las 72 horas
De acuerdo con el artículo 33 del RGPD y la CNPD, la notificación de una violación de datos personales debe realizarse en un plazo de 72 horas después de que la empresa haya tenido conocimiento de ello, salvo que la violación no pueda resultar en un riesgo para los derechos de las personas. La CNPD proporciona un formulario específico para ello. Cuando el riesgo sea elevado, el artículo 34 también obliga a informar a las personas afectadas.
| Momento | Lo que tiene que suceder | ¿Quién? |
|---|---|---|
| Hora 0 | Detención del incidente (alerta, queja, solicitud de rescate, portátil perdido) | Todo colaborador avisa al soporte |
| Primeras horas | Contar: aislar equipos, bloquear cuentas, preservar registros | Informática |
| Hasta las 24 horas | Conocer los datos y cuántas personas fueron afectadas | Informática con la administración |
| Hasta las 72 horas | Decidir y, en su caso, notificar a la CNPD mediante el formulario propio | Responsable del tratamiento (la empresa) |
| Siempre | Documentar la violación, sus efectos y las medidas tomadas | Empresa |
Dos puntos que sorprenden a muchos administradores. En primer lugar, la obligación de documentar existe incluso cuando no hay notificación: la CNPD recuerda que el responsable está obligado a documentar cualquier infracción. En segundo lugar, el subcontratista —incluyendo la empresa informática— debe avisar al cliente sin demora injustificada cuando tenga conocimiento de una infracción. Un portátil perdido sin cifrado puede ser una infracción de datos; con cifrado, la evaluación del riesgo es muy diferente.
Un caso real: servidor, UPS y backups en una entidad pública
En la Unión de Freguesias de Massamá y Monte Abraão, DataRoad fue seleccionada por contrato público para instalar y configurar un nuevo servidor, implementar un sistema de UPS (la batería que mantiene los equipos conectados en caso de corte de energía), montar copias de seguridad locales y en la nube y migrar los datos y las configuraciones a la nueva infraestructura. En la práctica, esto es lo que exige el artículo 32º en cuanto a disponibilidad: los datos existen en más de un lugar y pueden ser recuperados. Lea el caso en Contrato público 2022 en Massamá y Monte Abraão.
DataRoad implementa las medidas técnicas —accesos, cifrado, backups, actualizaciones, registros, firewall— y las documenta. No presta asesoramiento jurídico. La seguridad está incluida en los planes IT Unlimited; el Plan Premium Aporta asistencia in situ, útil cuando es necesario intervenir en un servidor o en un puesto. Ver también nuestra aproximación a ciberseguridad para empresas e as 7 políticas internas de ciberseguridad.
Preguntas frecuentes
¿El RGPD obliga a cifrar todos los datos?
No obliga a cifrar todo, pero nombra la cifratura como ejemplo de medida adecuada en el artículo 32. En dispositivos portátiles, teléfonos móviles y copias de seguridad, es la forma más simple y barata de reducir el riesgo de que una pérdida se convierta en una violación grave.
¿Tenemos que notificar a la CNPD si perdemos un portátil?
Depende del riesgo para las personas cuyos datos estaban en el equipo. Un portátil con el disco cifrado y apagado a distancia tiene un riesgo mucho menor que un portátil sin protección. En cualquier caso, el incidente debe ser documentado. La decisión final corresponde al responsable del tratamiento, con apoyo jurídico si es necesario.
¿La empresa informática es un contratista?
En general, sí, cuando tenga acceso a sistemas con datos personales. Por lo tanto, el contrato debe cumplir el artículo 28 del RGPD: instrucciones, confidencialidad, seguridad, apoyo en incidentes y devolución o eliminación de los datos al final.
¿Cuánto tiempo tenemos para notificar una violación?
En general, 72 horas después de conocer la violación, a través del formulario de la CNPD. Si la notificación no se realiza dentro de ese plazo, debe acompañarse de los motivos del retraso.
Diagnóstico técnico RGPD en 10 días hábiles
Examinamos los 10 pasos de su infraestructura —accesos, MFA, cifrado, backups, actualizaciones, registros y plan de incidentes— y entregamos un informe con las medidas técnicas que faltan. Para empresas con más de 10 puestos · contrato de asistencia · soporte remoto, local y telefónico.
Diagnóstico técnico RGPD en 10 días hábiles
Las medidas del artículo 32 verificadas en su infraestructura.
Fuentes
- EUR-Lex — Reglamento (UE) 2016/679 (RGPD), artículos 28, 32, 33 y 34
- CNPD — Violación de datos o data breach
- CNPD — Formulario de notificación de infracción de datos personales
![Logotipo de mun[it], agencia de marketing digital — cliente de DataRoad](https://www.dataroad.pt/wp-content/uploads/2026/09/logo-cliente-munit.png){kind=logo}
