La ciberseguridad no es solo «buena práctica»: cuando hay datos personales de por medio, la ley la exige.
RGPD
- Integridad y confidencialidad (artículo 5.1.f): los datos deben tratarse con una seguridad adecuada, incluida la protección contra el acceso no autorizado, la pérdida y la destrucción.
- Seguridad del tratamiento (artículo 32): el responsable y el encargado aplican medidas técnicas y organizativas según el riesgo, como la seudonimización y el cifrado, la capacidad de restaurar los datos y una evaluación periódica de las medidas.
- Brechas: el responsable debe notificarlas a la autoridad de control (en España, la AEPD) sin dilación indebida y, si es posible, en 72 horas desde que tiene constancia, salvo que sea improbable que supongan un riesgo (artículo 33). Si el riesgo para las personas es alto, también debe comunicárselo a ellas (artículo 34).
Tu deber
Quien trata datos en su trabajo tiene deber de confidencialidad, también cuando acaba la relación (Ley Orgánica 3/2018, artículo 5), y debe tratarlos siguiendo las instrucciones de la empresa. En la práctica: avisa de los incidentes, no muevas datos a cuentas o dispositivos personales y sigue las normas de seguridad de tu empresa.
Esquema Nacional de Seguridad
El Real Decreto 311/2022 regula el Esquema Nacional de Seguridad (ENS): las medidas de seguridad que debe cumplir el sector público para proteger sus sistemas y la información que manejan. También afecta, por contrato, a empresas privadas que prestan servicios a esas entidades. Si trabajas para una administración o para un proveedor suyo, es posible que tu empresa deba cumplirlo.
Fuente: Reglamento (UE) 2016/679, Reglamento General de Protección de Datos (RGPD), artículos 5.1.f, 32, 33 y 34 · Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (texto consolidado), artículo 5 · Real Decreto 311/2022, por el que se regula el Esquema Nacional de Seguridad, artículos 1 y 2