El artículo 32 del RGPD no es una recomendación: fija cuatro obligaciones técnicas precisas sobre la seguridad de los datos personales. Veamos qué exige y cómo Securoo te ayuda a demostrarlo, una por una.
El Reglamento General de Protección de Datos (UE 2016/679, "RGPD") es la ley europea que protege los datos personales de los ciudadanos de la Unión. Está en vigor desde el 25 de mayo de 2018 y se aplica a quien — sea público o privado, dentro o fuera de la UE — trate datos de residentes europeos.
Para un despacho profesional (abogado, contable, notario, broker de seguros, médico, administrador) significa algo muy concreto: tú eres el "responsable del tratamiento" de los datos de tus clientes. Es tu responsabilidad custodiarlos con medidas técnicas adecuadas. La AEPD te pide cuentas a ti en caso de violación, no al proveedor del software.
Despacho individual o multinacional, online o en papel: si tratas datos de ciudadanos UE, el RGPD se aplica. Sin exenciones por tamaño.
Tú decides finalidades y medios del tratamiento. Eres el primer responsable ante la Agencia: el proveedor técnico es tu "encargado externo".
El principio de accountability (art. 5.2) exige demostrar las medidas adoptadas, no solo afirmarlas. Audit log, DPA, registros.
Hasta € 20M o el 4% de la facturación global. Cientos de sanciones aplicadas por las Agencias europeas cada mes.
El RGPD — artículo 32, apartado 1 — exige medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo. Entre ellas, en particular:
«Teniendo en cuenta el estado de la técnica, [...] el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas [...] entre otras, en su caso: [a] la seudonimización y el cifrado de datos personales; [b] la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento; [c] la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida, en caso de incidente físico o técnico; [d] un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.» — RGPD, art. 32, ap. 1
Cifrar los datos personales para garantizar confidencialidad por defecto y aplicar la seudonimización donde sea posible.
Garantizar de forma permanente las cuatro propiedades de los sistemas que tratan datos personales.
Restaurar disponibilidad y acceso a los datos en tiempos breves en caso de incidente físico o técnico.
Procedimientos regulares para probar, verificar y evaluar la eficacia de las medidas adoptadas.
El artículo 32, letra (a), cita explícitamente el cifrado de datos personales como medida de ejemplo. Es la única medida técnica nombrada por su nombre en el reglamento. En la práctica: sin cifrado, demostrar un "nivel de seguridad adecuado al riesgo" ante la Agencia es prácticamente imposible.
Cada documento del cliente — contrato, peritaje, identificación, historial médico — debe estar cifrado. No basta con "guardarlo bajo contraseña" en un drive en la nube: hace falta cifrado end-to-end con claves que el proveedor no posee.
Punto por punto. Sin promesas vagas: cada medida tiene una referencia técnica verificable.
AES-256 para los contenidos, RSA 4096-bit para las claves. Las claves no pasan nunca por nuestros servidores.
Confidencialidad, integridad, disponibilidad, resiliencia — cada una con un mecanismo técnico dedicado.
RPO < 1 hora · RTO < 4 horas · retención 30 días.
Procedimientos periódicos de prueba y verificación documentados cada año.
El incumplimiento del art. 32 no es una formalidad burocrática: las sanciones administrativas son concretas, recientes y se aplican en toda la UE. La jurisprudencia europea — incluso para despachos pequeños — está consolidada.
Las sanciones son públicas: la Agencia publica online la resolución, con el nombre del despacho. El impacto reputacional suele costar más que la sanción misma.
Cinco preguntas, tres minutos. Recibirás una valoración sintética de tu nivel de exposición y una checklist descargable lista para entregar al DPO o a tu asesor legal.
