10 años de RGPD: Tu empresa cumple en papel, ¿y en tus sistemas?
Marketing - Redactor
Índice.
Diez años después de la entrada en vigor del Reglamento General de Protección de Datos (RGPD), aunque la mayoría de empresas entiende las obligaciones legales, siguen afrontando el reto de demostrar técnicamente que esas obligaciones se cumplen de forma efectiva.
Muchas tienen el RGPD documentado. Disponen de políticas de privacidad actualizadas, registros de tratamiento al día, procedimientos definidos y formación periódica para los empleados. Sobre el papel, cumplen.
Sin embargo, cuando llega una auditoría, se produce una brecha de seguridad o un usuario ejerce su derecho de supresión, la documentación no es suficiente.
Y es precisamente ahí donde aparecen los riesgos que muchas organizaciones nunca han evaluado.
Notificaciones de brechas de datos personales registradas en España.
Es el plazo máximo para notificar una brecha de seguridad según el RGPD.
Países han adoptado o inspirado su legislación de privacidad en el RGPD.
El cumplimiento documental no es suficiente
Durante los últimos años, las organizaciones han invertido recursos en adaptarse al RGPD. Han nombrado delegados de protección de datos, han revisado contratos con proveedores y han elaborado la documentación necesaria para demostrar diligencia.
Pero existe una diferencia importante entre documentar el cumplimiento y poder demostrarlo.
El reglamento no exige únicamente que existan políticas y procedimientos. Exige que las organizaciones puedan acreditar qué ocurre con los datos personales durante todo su ciclo de vida.
Y esta diferencia se vuelve evidente en tres situaciones habituales.
- Durante una auditoría. Cuando un auditor solicita evidencias de acceso a determinados datos, no basta con mostrar una política interna. Es necesario demostrar qué usuarios accedieron a la información, cuándo lo hicieron y qué acciones realizaron.
- Tras una brecha de seguridad. El RGPD obliga a notificar determinadas brechas de seguridad en un plazo máximo de 72 horas. Es necesario entender qué ha ocurrido, qué sistemas se han visto afectados y qué datos personales han podido quedar expuestos. Sin trazabilidad, determinar el alcance real del incidente puede convertirse en una tarea prácticamente imposible.
- Ante una solicitud de supresión. Cuando un usuario solicita la eliminación de sus datos, la organización debe garantizar que esa información desaparece de todos los sistemas donde se encuentre almacenada. Y aquí surge una pregunta incómoda: ¿estás seguro de saber dónde están todos esos datos?
Tres síntomas de deuda técnica que comprometen el RGPD
La mayoría de problemas relacionados con el cumplimiento técnico no aparecen de forma aislada. Son consecuencia de años de crecimiento, nuevas aplicaciones, integraciones y cambios en la infraestructura.
Estos son tres de los síntomas más habituales que vemos en las empresas.
Logs dispersos o inexistentes
Una de las capacidades más importantes para demostrar cumplimiento es la trazabilidad. Sin registros adecuados resulta imposible responder con precisión quién accedió a un dato, desde dónde lo hizo o qué acciones realizó sobre él.
Las señales de alerta suelen ser fáciles de identificar:
- Cada aplicación almacena sus propios logs de forma independiente.
- Algunos sistemas no generan registros suficientes.
- Los logs se eliminan o sobrescriben antes de poder ser auditados.
- No existen alertas sobre accesos anómalos a información sensible.
- No hay una plataforma centralizada para correlacionar eventos.
En muchas organizaciones, esta situación pasa desapercibida hasta que ocurre un incidente.
El problema es que, en caso de investigación, no disponer de evidencias puede agravar significativamente el impacto de una brecha de seguridad.
Herramientas como los sistemas SIEM (Security Information and Event Management) permiten centralizar eventos, mejorar la visibilidad y facilitar la respuesta ante incidentes.
Datos en sistemas legacy sin control
Pocas empresas operan exclusivamente con aplicaciones modernas. La realidad suele incluir ERP implantados hace años, CRM heredados, integraciones personalizadas, bases de datos históricas y procesos que han evolucionado con el tiempo.
El resultado es que los datos personales terminan dispersos en múltiples ubicaciones.
Algunas señales habituales son:
- Campos de datos sin clasificar ni documentar.
- Copias de bases de datos de producción utilizadas en entornos de pruebas.
- Integraciones antiguas cuyo funcionamiento ya nadie conoce completamente.
- Ficheros Excel con información de clientes almacenados localmente.
- Carpetas compartidas con datos personales fuera de cualquier control formal.
El problema es sencillo de entender: no puedes proteger, controlar ni eliminar aquello cuya existencia desconoces.
Cuando una organización pierde visibilidad sobre sus datos, el cumplimiento empieza a depender más de la suerte que de los procesos.
Ausencia de linaje de datos
Otro de los problemas más frecuentes es la falta de visibilidad sobre el recorrido completo de la información.
El concepto de Data Lineage o linaje de datos responde a preguntas fundamentales:
- ¿De dónde procede este dato?
- ¿Qué sistemas lo consumen?
- ¿Dónde se replica?
- ¿Cuánto tiempo permanece almacenado?
- ¿Cuándo debe eliminarse?
Sin esta información, tareas aparentemente sencillas se convierten en procesos manuales, lentos y propensos a errores.
Las organizaciones suelen descubrir este problema cuando necesitan responder a solicitudes relacionadas con los derechos de acceso, rectificación, portabilidad o supresión.
Si no existe un inventario actualizado de datos ni una visión clara de los flujos de información, garantizar el cumplimiento se vuelve extremadamente complejo.
Por qué este problema persiste: el gap entre IT y compliance
La mayoría de organizaciones no ignora estos riesgos por falta de interés, sino por una desconexión entre los equipos responsables.
Cuando ambos mundos funcionan de forma independiente, puede ocurrir que el responsable de cumplimiento no tiene visibilidad sobre la arquitectura tecnológica, y el equipo técnico no siempre percibe determinadas decisiones como un riesgo regulatorio.
Y como consecuencia, nadie asume la responsabilidad directa del cumplimiento técnico.
La situación es especialmente habitual en organizaciones medianas que han crecido rápidamente y donde las decisiones tecnológicas se han tomado en momentos distintos, por equipos diferentes y con objetivos diversos.
No es un problema de voluntad, es un problema de estructura.
Y precisamente por eso requiere un enfoque transversal que combine conocimiento normativo, gobierno del dato y capacidades técnicas.
Cómo empezar sin embarcarse en un proyecto de dos años
La buena noticia es que reducir estos riesgos no implica necesariamente transformar toda la arquitectura tecnológica.
En la mayoría de organizaciones, los mayores riesgos están concentrados en puntos concretos, por eso suele ser más efectivo actuar de forma progresiva y priorizada.
Un buen punto de partida puede incluir:
Auditar los flujos de datos críticos
Identificar qué sistemas almacenan más datos personales y cómo circula la información entre ellos.
No es necesario empezar por toda la organización. Los cinco o diez sistemas más críticos suelen concentrar gran parte del riesgo.
Mejorar la visibilidad mediante logs centralizados
Centralizar eventos de seguridad permite responder con mayor rapidez ante incidentes y facilita la generación de evidencias durante auditorías.
Especialmente en sistemas accesibles desde Internet o con acceso de terceros.
Inventariar y clasificar los datos
Saber qué datos existen, dónde están y qué nivel de sensibilidad tienen es la base de cualquier estrategia de cumplimiento.
Sin inventario no existe control.
Revisar integraciones antiguas
Las integraciones legacy suelen ser una de las principales fuentes de riesgo porque rara vez se documentan adecuadamente.
Mapearlas y entender qué información intercambian aporta visibilidad inmediata.
Aplicar políticas de retención reales
Muchas empresas definen periodos de conservación en sus políticas, pero esos plazos no están implementados técnicamente.
Automatizar la eliminación cuando los datos dejan de ser necesarios reduce riesgos y mejora el cumplimiento.
El cumplimiento real es técnico
Diez años después de la entrada en vigor del RGPD, muchas organizaciones siguen enfocando el cumplimiento como un ejercicio principalmente documental.
Sin embargo, las auditorías, las brechas de seguridad y las solicitudes de ejercicio de derechos demuestran una realidad diferente.
El cumplimiento no se valida en las políticas, se valida en los sistemas.
Las organizaciones que entienden esta diferencia obtienen beneficios que van mucho más allá de evitar sanciones. Disponen de una mayor visibilidad sobre sus datos, responden con más rapidez ante incidentes, simplifican las auditorías y generan más confianza en clientes, proveedores y socios.
La privacidad desde el diseño no es únicamente una cuestión legal. Es una decisión de arquitectura. Y cuanto más se retrasa esa decisión, más complejo y costoso resulta corregirla después.
Si hoy no tienes claro qué ocurriría en tus sistemas ante una auditoría, una brecha de seguridad o una solicitud de supresión de datos, probablemente ha llegado el momento de hacer las preguntas correctas. ¿No sabes por dónde empezar? ¡Hablemos!
