Artículo 32 RGPD: las medidas técnicas y organizativas que resisten una inspección de la AEPD

El artículo 32 del RGPD es el único artículo del reglamento que exige resultados y no documentos, y el único que casi todas las organizaciones españolas siguen tratando como una lista de la compra. El texto no contiene ningún catálogo de productos: contiene cuatro ejemplos, un test de riesgo y la obligación de comprobar periódicamente que todo eso sigue funcionando. En España hay además una segunda capa, la LOPDGDD, que dice cómo se determina y se acredita esa adecuación, y una tercera para el sector público, el Esquema Nacional de Seguridad, que convierte el estado de la técnica en requisitos auditables y lo propaga a las empresas que trabajan para una administración. Y hay dos formas distintas de infringir el artículo 32: no adoptar las medidas, y quebrantar por falta de diligencia las que ya tenía instaladas. La segunda es la que sorprende a los responsables que creían estar cubiertos. Este artículo describe el procedimiento de decisión que el artículo 32 impone de verdad, lo que la AEPD ha sancionado en 2025 con nombre, expediente e importe, las pruebas que una inspección pide y que probablemente hoy no puede usted producir, los detalles del cifrado sobre los que se discute, la aritmética de la conservación de registros frente al plazo de 72 horas y el plan de trabajo que convierte un documento en una prueba.

Qué exige el artículo 32, antes de que nadie lo parafrasee

El apartado 1 obliga al responsable y al encargado a aplicar las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo. En esa valoración entran cuatro factores: el estado de la técnica, los costes de implementación, la naturaleza, el alcance, el contexto y los fines del tratamiento, y los riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas. Después el texto enumera, entre otras y según proceda, cuatro medidas:

• a) la seudonimización y el cifrado de los datos personales;
• b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
• c) la capacidad de restaurar la disponibilidad de los datos y el acceso a ellos en plazo oportuno en caso de incidente físico o técnico;
• d) un procedimiento de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas.

Cuatro palabras sostienen toda la obligación. Entre otras significa que la lista no es cerrada: hemos cubierto los cuatro puntos no es una defensa. Apropiadas significa que cada medida se mide contra el análisis de riesgo, no contra el catálogo. Permanentes, en la letra b), excluye el proyecto con fecha de fin. Y regulares, en la letra d), excluye el test de intrusión contratado una vez en 2023 para responder a un cuestionario de un cliente.

El texto concreta también las amenazas que la valoración debe cubrir: destrucción, pérdida, alteración, divulgación no autorizada o acceso no autorizado a los datos, tanto accidental como ilícita. Lo que no aparece es igual de instructivo: no hay una sola palabra sobre atacantes. Una copia de seguridad mal configurada que sobrescribe una tabla entra por el mismo artículo que un ransomware. Dimensionar las medidas solo contra atacantes es leer la mitad del texto.

Dos precisiones cierran el artículo. La primera: la adhesión a un código de conducta aprobado conforme al artículo 40 o a un mecanismo de certificación aprobado conforme al artículo 42 puede servir como elemento para demostrar el cumplimiento de estos requisitos, es decir, como elemento y no como sustituto. Un certificado ISO/IEC 27001 acredita que existe un sistema de gestión; no acredita que una medida concreta sea apropiada para un tratamiento concreto, y no dice nada sobre su eficacia el día de la inspección. La segunda: cualquier persona que actúe bajo la autoridad del responsable o del encargado solo tratará los datos siguiendo instrucciones. Ahí fallan los accesos internos. Un administrador que abre el expediente de un cliente por curiosidad es un asunto del artículo 32, no de recursos humanos.

La capa española: LOPDGDD, ENS y legislación sectorial

El artículo 28 de la LOPDGDD no repite el artículo 32: le añade un deber de método y otro de prueba. Los responsables y encargados, teniendo en cuenta los elementos enumerados en los artículos 24 y 25 del Reglamento, determinarán las medidas técnicas y organizativas apropiadas a fin de garantizar y acreditar que el tratamiento es conforme, no solo con el RGPD, sino también con la propia ley orgánica, sus normas de desarrollo y la legislación sectorial aplicable, y valorarán en particular si procede una evaluación de impacto y una consulta previa. Dos consecuencias prácticas: el marco de referencia no es solo europeo, porque la norma sectorial (sanidad, seguros, banca, telecomunicaciones, educación) puede añadir medidas obligatorias; y la adecuación tiene un componente demostrativo explícito, que es exactamente lo que un expediente de la AEPD examina.

Para el sector público hay una tercera capa, y es la que más se ignora en las empresas. La disposición adicional primera de la LOPDGDD ordena que el Esquema Nacional de Seguridad incluya las medidas que deban implantarse para evitar la pérdida, alteración o acceso no autorizado a los datos personales, adaptando los criterios de determinación del riesgo en el tratamiento de los datos a lo establecido en el artículo 32 del Reglamento. Y añade dos reglas que propagan esa obligación hacia el sector privado: los sujetos enumerados en el artículo 77.1 deben aplicar las medidas del ENS e impulsar un grado equivalente de implementación en las empresas o fundaciones vinculadas a ellos sujetas al derecho privado, y cuando un tercero preste un servicio en régimen de concesión, encomienda de gestión o contrato, las medidas de seguridad se corresponderán con las de la Administración pública de origen y se ajustarán al Esquema Nacional de Seguridad.

El instrumento vigente es el Real Decreto 311/2022, de 3 de mayo, en vigor desde el 5 de mayo de 2022, que dio a los sistemas preexistentes veinticuatro meses para la adecuación plena, con un distintivo de conformidad como manifestación de esa adecuación y una auditoría ordinaria al menos cada dos años. La AEPD lo dice sin rodeos en sus orientaciones sobre brechas masivas en administraciones públicas: el ENS aplica a los sistemas de las administraciones y a cualquier entidad privada que preste servicio a una administración, y es de obligado cumplimiento también para las entidades privadas que actúen como encargadas o subencargadas del tratamiento de una administración. Si su empresa es proveedora de una administración, el nivel de seguridad que le van a exigir no lo elige usted: lo hereda del sistema de origen, y la administración va a pedirle la evidencia.

Dos formas de infringir el artículo 32, y la que nadie espera

La LOPDGDD tipifica el artículo 32 dos veces, y la diferencia entre ambas es la que decide muchos expedientes. La letra f) del artículo 73 considera grave la falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento. La letra g) considera grave, igualmente, el quebrantamiento, como consecuencia de la falta de la debida diligencia, de las medidas técnicas y organizativas que se hubiesen implantado conforme a lo exigido por el artículo 32.1. Es decir: tener las medidas no cierra el asunto, porque lo que se sanciona en la letra g) es haberlas dejado caer por falta de diligencia. El ejemplo típico no es exótico: la política de revisión trimestral de accesos existe desde 2022 y nadie la ha ejecutado desde 2024; el registro de auditoría está configurado y alguien desactivó la exportación; el procedimiento de restauración está escrito y la última prueba real es de hace dos años. La medida implantada y no mantenida es una medida quebrantada.

Ambas son infracciones graves, con prescripción de dos años conforme al mismo artículo 73, que opera sobre la remisión al artículo 83.4 del RGPD. A ello se añade una tercera vía que muchas empresas no ven venir: la letra j) del artículo 73 considera grave la contratación por el responsable del tratamiento de un encargado de tratamiento que no ofrezca las garantías suficientes para aplicar las medidas técnicas y organizativas apropiadas. La elección de proveedor es, por sí misma, un acto sujeto al artículo 32.

Los plazos del procedimiento también condicionan la prueba. El artículo 76.2 fija un máximo de doce meses desde el acuerdo de inicio para el procedimiento sancionador, con caducidad y archivo si se supera. El artículo 76.3 permite a la AEPD, atendiendo a la naturaleza de los hechos y a los criterios del artículo 83.2 del RGPD, dirigir un apercibimiento y ordenar medidas correctivas en lugar de imponer una multa, con un procedimiento de seis meses. Y el artículo 77 establece un régimen propio para determinadas categorías de responsables —administraciones, organismos públicos, autoridades independientes, corporaciones de derecho público en ciertos tratamientos— en el que la Agencia declara la infracción y puede imponer medidas correctivas sin multa: en la memoria de 2025 aparecen, por ejemplo, la Universidad de Vigo y el Instituto de Salud Carlos III con infracciones declaradas y sin sanción económica. Ese régimen no es una ventaja para el gestor: la declaración de infracción se publica y el expediente sigue siendo público.

Por último, el artículo 78 fija la prescripción de las sanciones por tramos de importe: un año para las de cuantía igual o inferior a 40.000 euros, dos años entre 40.001 y 300.000, y tres años por encima de 300.000. Es un dato operativo cuando se negocia un pago o se recurre, no una regla de cumplimiento.

El test en dos tiempos que fijó el Tribunal de Justicia

La sentencia de 14 de diciembre de 2023 en el asunto C-340/21, sobre el ciberataque a la administración tributaria búlgara, es el anclaje europeo del artículo 32 porque resuelve cuatro cuestiones que casi ningún manual trata. Primera: un ataque exitoso no demuestra por sí solo que las medidas fueran inapropiadas. Suena a descargo, pero no lo es, porque segunda: la adecuación se aprecia de forma concreta y en dos tiempos. Primero hay que identificar los riesgos de violación que presenta el tratamiento y sus posibles consecuencias para los derechos y libertades, con su probabilidad y su gravedad; después, comprobar si la naturaleza, el contenido y la aplicación de las medidas son proporcionados a esos riesgos, a la vista del estado de la técnica, los costes y el contexto.

Tercera: en una acción de indemnización del artículo 82, corresponde al responsable probar que sus medidas de seguridad eran apropiadas. Quien tras un incidente no puede explicar qué riesgo había identificado, qué medida lo cubría y con qué resultado, pierde ese punto no por el ataque sino por la ausencia de documentación. Cuarta: un informe pericial no puede considerarse ni generalmente necesario ni generalmente suficiente. Un peritaje caro no sustituye un registro de explotación, y su ausencia no exime a nadie.

En la práctica, el expediente tiene que hacer visible esa articulación tratamiento por tratamiento, no para la empresa en su conjunto. La AEPD lee un expediente como lee un juez: no busca la lista de medidas, busca la justificación de su suficiencia para ese riesgo concreto y la prueba de que estaban en servicio en el momento del incidente.

El análisis de riesgos no es un anexo: es el origen de la medida

La Agencia lo ha escrito en una resolución y conviene citarlo literalmente, porque cierra cualquier discusión sobre el orden de los factores. En el expediente EXP202402612, contra Santander Consumer Finance, la AEPD consideró que la entidad no aplicó medidas adecuadas respecto de su encargado para garantizar la seguridad de los datos, toda vez que los datos no estaban cifrados y las medidas no pueden fijarse sin realizar un específico análisis de riesgos del que se deriven las medidas a implantar. La frase es la doctrina completa: la medida no se elige de un catálogo, se deriva de un análisis. Si el análisis no existe, la medida es, por definición, arbitraria.

El error de estructura más frecuente es un análisis de riesgo a nivel de organización en lugar de por tratamiento. Nuestro riesgo es medio no es una afirmación verificable y conduce mecánicamente a medidas demasiado débiles para un tratamiento y desproporcionadamente caras para otro. Lo que una inspección espera es una correspondencia: este tratamiento, esta categoría de datos, este colectivo, esta probabilidad, esta gravedad, por tanto esta clase de riesgo; y a esa clase corresponde un mínimo de medidas fijado de antemano.

Una matriz de tres niveles por eje es suficiente, siempre que los ejes estén definidos. La probabilidad se fija con tres preguntas: si el servicio está expuesto a internet, si trata datos que se revenden (credenciales, datos de tarjeta, datos de salud) y si ha sufrido en los últimos veinticuatro meses un incidente, una vulnerabilidad crítica o un requerimiento de la autoridad. La gravedad tiene más dimensiones que el dinero: número de afectados, duración del daño posible, irreversibilidad —una contraseña restablecida es reversible, un diagnóstico publicado no lo es—, potencial discriminatorio y si concurren datos del artículo 9 o del artículo 10.

Lo valioso del ejercicio no es la matriz, es la correspondencia que produce. Una gestión de candidaturas con datos de contacto y currículum suele quedar en riesgo medio; un software asistencial con diagnósticos, en alto; una lista de correo comercial, en bajo. A alto van asociadas medidas mínimas que ya no se discuten: cifrado con gestión de claves separada, doble factor en todos los accesos, revisión trimestral de permisos, prueba de restauración documentada con objetivo de tiempo y registro exportado fuera del sistema. Ese es exactamente el objetivo. Sin esa fijación previa, la discusión sobre si una medida era apropiada se celebra después del incidente y se pierde por falta de patrón de medida.

Estado de la técnica con acento español: qué nombrar y cómo

El reglamento no define el estado de la técnica y son las autoridades quienes lo llenan con referenciales. En España hay tres anclajes esperados y un cuarto que depende del sector. El primero es el Esquema Nacional de Seguridad cuando el perímetro es público o cuando se presta servicio a una administración: sus principios básicos, sus requisitos mínimos y sus medidas de protección son el patrón con el que se compara el sistema. El segundo es la familia ISO/IEC 27001:2022 con su anexo A, en particular los controles de criptografía, registro de actividad, copias de seguridad y gestión de incidentes. El tercero es la guía de la AEPD para la notificación de brechas de datos personales y sus orientaciones sobre riesgo en brechas masivas, que fijan el método de valoración que la Agencia aplica al examinar un caso. Y el cuarto son las guías CCN-STIC del Centro Criptológico Nacional y los avisos de INCIBE-CERT, que en la práctica son la referencia técnica que se cita en los informes de las administraciones y de sus proveedores.

Lo que hay que poder hacer es nombrar el referencial aplicado y justificar cualquier desviación. Seguimos el estado de la técnica no es una afirmación verificable. Para el tratamiento X aplicamos el ENS para el cifrado, con AES-256 y claves en un gestor separado, rotación anual y evidencia del 12 de septiembre de 2026 sí lo es. Y una advertencia sobre las certificaciones: un certificado de conformidad con el ENS o con ISO/IEC 27001 se aporta como elemento de prueba del artículo 32.2, no como conclusión. La pregunta que sigue en el expediente es siempre la misma: cuál es la medida, sobre qué sistema, con qué resultado y con qué fecha.

Cifrado y seudonimización: la pregunta real es dónde está la llave

La letra a) asocia seudonimización y cifrado, y casi toda la documentación se despacha con una frase que empieza por los datos se cifran en tránsito y en reposo y termina ahí. La pregunta sobre la que se decide un expediente es otra: dónde está la llave respecto de lo cifrado. Si está en la misma cuenta, en el mismo juego de copias o en el mismo repositorio, una sola compromisión entrega las dos cosas y el cifrado solo protege frente a la pérdida física de un soporte, que es el caso menos probable.

La AEPD ha sancionado exactamente este punto. En el expediente EXP202305790, contra Cecotec Innovaciones, la resolución recoge que los datos personales no habían sido cifrados ni seudonimizados, sino que aparecían visibles y expuestos en su totalidad, en una base de más de un millón de registros. En el ya citado expediente de Santander Consumer, el dato que la Agencia destaca es que los datos no estaban cifrados. No es una coincidencia: el cifrado es la primera medida que se comprueba porque es la que cambia la calificación del riesgo de una brecha y, con ella, la obligación de comunicar a los afectados.

Se esperan dos artefactos. El primero, una política de cifrado: qué categoría de datos se protege con qué algoritmo, en qué canal (transporte, almacenamiento, campo), con qué longitud de clave, dónde están las claves, quién accede a ellas, cómo se rota y qué ocurre si se pierde una clave. El segundo, un inventario de claves: por sistema, tipo de clave, ubicación, responsable, fecha de rotación y fecha del último control de permisos sobre el almacén de claves. Sin esas dos listas, cifrado es una afirmación sobre una configuración que nadie puede reconstruir.

Tres detalles deciden. El primero es la separación entre cifrado y llave, con roles distintos para la gestión de claves y para el acceso a los datos: el administrador de la base de datos no debe poder exportar la clave. El segundo es el cifrado a nivel de campo para los identificadores que hacen personal un registro —documento de identidad, número de tarjeta, marcador de salud, número de cuenta—, porque una base cifrada por completo sigue siendo legible en claro tras una vulnerabilidad de la aplicación, ya que la aplicación tiene la clave; un campo cifrado por separado sigue siendo ilegible aunque una consulta devuelva filas que no le corresponden. El tercero es la copia de seguridad: una copia cifrada cuya clave vive en el mismo catálogo o en el mismo almacenamiento de objetos no es una copia cifrada.

Un punto de verdad, para terminar: la seudonimización no saca los datos del ámbito del reglamento. El vínculo con la persona subsiste y es reconstruible, y por eso el artículo 32 la cita como medida de protección y no como anonimización. Una evaluación de impacto construida sobre la idea contraria no resiste una inspección.

Confidencialidad, integridad, disponibilidad y resiliencia: permanentes excluye el proyecto

La letra b) exige poder garantizar esas cuatro propiedades de forma permanente. Es el punto donde la documentación se convierte en una lista de proyectos mientras el texto describe un estado de explotación. La diferencia se ve en la prueba: una prueba de proyecto es el acta de puesta en servicio de una herramienta; una prueba de explotación es la última revisión trimestral de permisos, con fecha, autor, muestra y cuentas efectivamente retiradas.

Para la confidencialidad se esperan cuatro pruebas y ninguna es una política: la revisión de permisos con muestra nominada y resultado; la lista de cuentas privilegiadas con su justificación; la evidencia de doble factor en todos los accesos administrativos y en todos los accesos expuestos al exterior, en forma de exportación y no de captura de pantalla; y un registro de altas, modificaciones y bajas del que se pueda deducir cuánto tiempo conservó el acceso un empleado que se marchó después de su último día. Para la integridad: los registros de gestión de cambios, las huellas o firmas de los artefactos desplegados, la protección frente a escritura y la doble validación sobre las bases de producción. Para la disponibilidad: una disponibilidad medida y no contractual, la redundancia de las rutas críticas y un proceso de parcheo con una cifra —tiempo medio entre la publicación de una actualización crítica y su aplicación, medido cada trimestre—. Parcheamos rápido no es una cifra.

La resiliencia es la parte que casi todos omiten porque no se marca en ninguna casilla. Designa la capacidad de seguir funcionando bajo carga y ante una avería parcial: qué ocurre si cae un centro de datos, si un servicio entra en bucle, si un ataque de denegación de servicio se dirige a la página de acceso. Una prueba de carga documentada, una conmutación con fecha y un plan de continuidad que alguien haya ejecutado de verdad valen más que cualquier política adicional.

Recuperación: el documento que casi nadie produce

La letra c) exige poder restaurar la disponibilidad de los datos y el acceso a ellos en plazo oportuno. Oportuno solo se convierte en exigencia si ha fijado, por clase de sistema, dos números: el tiempo máximo de restauración y la pérdida de datos aceptable. Después se mide, no se estima.

El artefacto que sobrevive a una inspección es un acta de restauración con fecha y seis datos: sistema, estado de los datos restaurados, hora de inicio y de fin, duración real, resultado incluido el control de integridad, y nombre de quien la ejecutó. Una copia de seguridad en verde no es una prueba: acredita que se copiaron datos, no que vuelven. El hallazgo clásico es una última prueba de restauración correcta en 2022, o una restauración nunca intentada porque la copia se ejecuta a diario.

Tres reglas deben figurar en el expediente porque marcan la diferencia entre un incidente y una interrupción del servicio. La regla 3-2-1-1-0: tres copias, dos soportes, una fuera de las instalaciones, una inmutable o desconectada, cero errores en la verificación. La separación de identidades: el acceso al sistema de copias no puede depender del mismo directorio que la producción, porque el escenario de ransomware es precisamente aquel en el que desaparecen juntos. Y la frecuencia: trimestral para sistemas de riesgo alto, al menos anual para el resto, y después de cualquier cambio sustancial de la infraestructura, porque una prueba de hace tres meses validó un entorno que ya no existe.

Verificar, evaluar y valorar: cinco pruebas y qué demuestra cada una

La letra d) exige un procedimiento de verificación, evaluación y valoración regulares de la eficacia. Tres verbos, tres cosas distintas: verificar es comprobar que la medida está puesta, evaluar es medir si resiste, valorar es decidir qué hacer con el resultado. Un procedimiento que solo verifica —un inventario, un cuestionario, una captura de la configuración— cumple un tercio del artículo.

En la práctica se distinguen cinco tipos de prueba, y cada uno responde a una pregunta diferente. El escaneo de vulnerabilidades pregunta qué hay mal configurado hoy, y sirve para la disciplina de parcheo, no para demostrar resistencia. La revisión de configuración y de permisos pregunta si el sistema está como el diseño dice que debe estar, y es la que detecta el hallazgo que más expedientes abre: una cuenta con privilegios que nadie justifica. La prueba de penetración externa pregunta si un atacante sin credenciales llega a datos, y su valor está en el alcance, no en el informe. La prueba interna, con credenciales de un empleado estándar, pregunta hasta dónde llega alguien que ya está dentro, que es el escenario real de la mayoría de las brechas. Y el ejercicio de mesa pregunta si la organización sabe qué hacer en las primeras veinticuatro horas, incluida la decisión de notificar.

La frecuencia debe derivarse de la clase de riesgo y quedar escrita en el procedimiento: anual para los sistemas de riesgo alto y prueba de la corrección de hallazgos críticos en un plazo definido, bienal o trienal para el resto. Lo que no se sostiene es la prueba única. Y hay una regla que la AEPD comprueba con facilidad: el informe tiene que cerrar con una lista de hallazgos y con la prueba de su corrección. Un informe con catorce hallazgos críticos abiertos y sin fecha de cierre es peor prueba que la ausencia de informe, porque acredita que se conocía el riesgo y no se actuó.

El artefacto de prueba: seis campos que convierten un documento en evidencia

Todo lo anterior se resume en un objeto que debe existir por medida: un registro con seis campos. Qué medida es, sobre qué sistema o tratamiento, qué riesgo cubre según el análisis, qué prueba acredita que funciona, cuándo se ejecutó por última vez y quién la firmó, y cuándo toca la siguiente. Ese objeto es lo que separa un sistema de gestión de una carpeta de políticas, y es lo primero que un inspector pide porque se puede muestrear al azar sin avisar.

Dos precisiones operativas. La primera: la fecha de la evidencia importa más que su contenido. Una captura de pantalla sin fecha no acredita nada; una exportación con marca temporal, cuenta de origen y resultado, sí. La segunda: la evidencia tiene que sobrevivir al cambio de proveedor. Si el registro de actividad vive solo en la consola del proveedor y el contrato termina, la prueba desaparece con el contrato. Exporte a un almacenamiento que controle usted y fije la conservación en función del tiempo que puede tardar en aparecer el problema, no de la retención por defecto del producto.

Sobre cuánto conservar, un criterio prudente: cinco años para los registros de decisiones —análisis de riesgo, análisis de impacto, pruebas y sus resultados—, porque el plazo de prescripción de las infracciones más graves es de tres años y las acciones civiles de reclamación de daños se cuentan por años desde que el afectado conoce el alcance. Y una advertencia: conservar los registros de actividad durante años sin control de acceso convierte la prueba en un riesgo; el archivo de evidencia es un tratamiento con datos personales y necesita sus propias medidas.

El reloj de 72 horas y lo que exige a sus registros

El artículo 33 impone notificar a la autoridad de control en un plazo de setenta y dos horas desde que se tiene constancia, salvo que sea improbable que la violación suponga un riesgo para los derechos y libertades. La notificación debe describir la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, el nombre y los datos de contacto del delegado de protección de datos, las posibles consecuencias y las medidas adoptadas o propuestas, incluidas las de mitigación. Cada uno de esos campos es una consulta a un registro. Si el registro no existe o solo conserva treinta días, la notificación se convierte en una estimación redactada bajo presión y, en la práctica, en una admisión de que no se sabía qué pasaba.

Por eso la conservación de registros no es un capricho técnico: es el artículo 32 sosteniendo al artículo 33. La pregunta correcta no es qué retención trae la plataforma, sino cuánto tarda usted en detectar de verdad. El estudio de IBM sobre el coste de una brecha de 2025 sitúa la detección mediana de una compromisión en torno a 172 días y su contención en torno a 241. Frente a eso, los valores por defecto habituales son cortos: 90 días en el registro de CloudTrail, 90 días en el registro del sistema de Okta, 30 días en el nivel de pago de Entra ID y 7 en el gratuito, 180 días en el registro de auditoría unificado de Microsoft 365 en las licencias estándar, y los registros de flujo de red suelen conservarse todavía menos. Un incidente detectado a los cinco meses se investiga con los registros de la plataforma que ya se han borrado.

La conclusión operativa son tres acciones y ninguna requiere comprar nada. Exportar los eventos de seguridad a un almacenamiento que usted controle, con retención fijada por el tiempo de detección medido y no por el del producto. Probar la consulta una vez por trimestre: reconstruir en el archivo, con la herramienta real, quién accedió a la tabla X entre dos fechas. Y dejar escrito el resultado de esa prueba, porque es la evidencia de que la letra b) del artículo 32 funciona cuando la necesita y no solo cuando la instala.

Brechas masivas: el caso en que la AEPD se entera antes que usted

El expediente EXP202305790, contra Cecotec Innovaciones, es la mejor lección práctica de 2025 y no por el importe. La empresa conoció la brecha porque se la comunicó INCIBE: el organismo había detectado que se estaba comercializando en la dark web una base de más de un millón de registros de una empresa española de electrodomésticos. En la resolución consta que los datos personales no habían sido cifrados ni seudonimizados, sino que aparecían visibles y expuestos en su totalidad. Y consta también la decisión que más caro salió: no se comunicó la brecha a ningún afectado por considerar la entidad que no concurría alto riesgo para sus derechos y libertades. El resultado fueron cuatro multas —140.000 euros por el artículo 5.1.f, 750.000 por el artículo 32, 100.000 por el artículo 33 y 100.000 por el artículo 34— más medidas correctivas.

Tres lecciones se extraen de ahí, y ninguna es la cuantía. La primera: la valoración de si existe alto riesgo es revisable y la revisa la Agencia con toda la información, no con la que tenía el responsable el primer día; si decide no comunicar, tiene que documentar por qué, con el razonamiento y la fecha, porque ese documento es lo que se examina después. La segunda: el cifrado no es un adorno de la política, es lo que separa una brecha en la que los datos eran ilegibles de una en la que un millón de registros estaban a la venta; es la diferencia entre notificar y no notificar, y entre una multa y cuatro. La tercera: conviene tener una fuente externa de detección. En España, INCIBE-CERT y CCN-CERT publican avisos y vigilan la exposición de credenciales; suscribirse a sus alertas y comprobar de vez en cuando si su dominio aparece en una filtración es más barato que enterarse por un tercero.

Sanciones: el tramo del 2 % y lo que la AEPD impuso en 2025

El artículo 32 está en el artículo 83.4 del RGPD, letra a: hasta 10 millones de euros o el 2 % del volumen de negocios mundial total del ejercicio anterior, optándose por el importe más alto. Los 20 millones o el 4 % del apartado 5 corresponden a los principios, los derechos de los interesados y las transferencias. Pero en la práctica un incidente de seguridad casi nunca se queda en el artículo 32 solo: toca también el artículo 5.1.f, que es del tramo superior, y entonces el conjunto se sitúa en el 4 %, con el límite del importe más alto aplicable a una sola infracción. En sentido inverso, las medidas adoptadas conforme a los artículos 25 y 32 son una circunstancia atenuante expresamente prevista en el artículo 83.2.d. Es una de las pocas veces en que el esfuerzo documental tiene un efecto medible en el importe.

Los datos de la memoria de la Agencia de 2025 permiten ver dónde duele. Se impusieron 325 multas por un total de 48.108.765 euros, frente a 281 multas y 35.592.200 euros en 2024: un 16 % más de resoluciones y un 35 % más de importe. El epígrafe de quiebras de seguridad pasó de 2.198.200 a 9.838.003 euros, un 348 % más, y ya representa el 20 % del importe total sancionado. No es una tendencia abstracta: es el resultado de resoluciones concretas, y cuatro de ellas dibujan el mapa de riesgos.

• EXP202500113, ING Bank, 2.000.000 euros por el artículo 32. El expediente nace de la pérdida de la documentación enviada para dar de alta a un cliente. El envío se hizo siguiendo el canal y el procedimiento establecidos por el propio banco, y aun así la Agencia concluyó que existía una ausencia de medidas de seguridad destinadas a garantizar la trazabilidad de los envíos y el control de las reclamaciones. La lección es incómoda: el artículo 32 no acaba en el cortafuegos. Un procedimiento postal sin trazabilidad es una medida de seguridad, o la ausencia de ella.
• EXP202305790, Cecotec, 750.000 euros por el artículo 32 dentro de un total de 1.090.000, por un millón de registros visibles y sin cifrar, con la brecha descubierta por INCIBE y sin comunicación a los afectados.
• EXP202207990, Repsol Comercializadora de Electricidad y Gas, 1.250.000 euros por el artículo 32. Un alta de suministro tramitada con datos de una persona que no la había solicitado, con acceso a esos datos por un tercero titular del contrato: el fallo estaba en el proceso de contratación y en la verificación de identidad, no en la infraestructura.
• EXP202402612, Santander Consumer Finance, 500.000 euros por el artículo 5.1.f. No hubo sanción directa por el artículo 32 porque la imputación se hizo por el principio de responsabilidad proactiva, pero el razonamiento es el mismo: el encargado contratado sufrió un ataque de ransomware, los datos no estaban cifrados y las medidas no podían fijarse sin un análisis de riesgos específico. Además, el contrato de encargado no se había actualizado, incumpliendo la disposición transitoria única de la LOPDGDD.

El rango importa tanto como la media. La Agencia también resuelve con importes pequeños cuando la conducta es acotada: hay expedientes por infracción del artículo 32 con multas de pocos miles de euros. Lo que no cambia con el tamaño es el método de examen ni la publicación: las resoluciones se publican, con nombre, expediente y hechos, y esa publicación es en sí misma una consecuencia que sobrevive a la multa. Si un cliente busca su empresa y encuentra una resolución de la AEPD que describe su sistema de copias, el daño comercial es mayor que el importe.

Encargados y cadena de suministro: el artículo 32 se hereda

El artículo 28.1 exige garantías suficientes para aplicar medidas técnicas y organizativas apropiadas, y el 28.3.c exige que el encargado asista al responsable en el cumplimiento de los artículos 32 a 36. La lectura inversa es la que interesa: si el encargado no puede acreditar sus medidas, el responsable tiene un problema de artículo 32 aunque su propia infraestructura esté impecable. La LOPDGDD añade la letra j) del artículo 73 para la contratación sin garantías, y la Agencia lo ha aplicado en ambos sentidos. En el ya citado expediente de Santander Consumer, el contrato de encargado no actualizado fue parte del razonamiento. En el EXP202311075, contra Dynamic Express Courier, la empresa de transporte contratada por ING realizó subencargos con otras dos empresas sin autorización expresa y previa y sin firmar contrato, y la sanción por los artículos 28.2 y 28.4 ascendió a 200.000 euros. En el EXP202407910, contra Seur Geopost, un paquete entregado en un buzón ajeno en lugar del domicilio produjo 200.000 euros por el artículo 28 y 5.000 por el 5.1.f.

La consecuencia práctica es que el artículo 32 se contrata con las mismas preguntas que se hacen internamente, y en la misma forma: por escrito y con evidencia. Tres preguntas bastan para clasificar a un proveedor. Qué medidas técnicas concretas aplica sobre los datos que le entrego, con qué artefacto lo acredita y con qué fecha. Dónde trata los datos, qué subencargados intervienen y con qué autorización. Y qué pasa el día que termina el contrato: en cuánto tiempo devuelve o destruye, y cómo lo certifica. Si la respuesta a la primera pregunta es un certificado ISO sin alcance declarado, el expediente no está cerrado.

Para los proveedores de una administración hay una obligación adicional que se olvida porque no aparece en el contrato principal: las medidas del ENS. La disposición adicional primera de la LOPDGDD y la práctica de las administraciones exigen que el contratista acredite un nivel equivalente al del sistema de origen, incluida la auditoría. Un proveedor que no puede enseñar su declaración de aplicabilidad ni el informe de auditoría del ENS está fuera del perímetro aunque tenga un RGPD impecable.

Registro de actividades y documentación de medidas: qué va dónde

El artículo 30.1.g exige una descripción general de las medidas técnicas y organizativas de seguridad, y esa palabra —general— es la que produce el malentendido. El registro no es el inventario de medidas: es la puerta de entrada al inventario. Lo que un inspector hace es leer el registro, elegir un tratamiento y pedir la evidencia de la medida que allí se describe. Si el registro dice cifrado y la evidencia dice que la base está cifrada a nivel de disco con la clave en el mismo servidor, el problema no es el registro, es la diferencia entre lo declarado y lo verificado.

Por eso conviene mantener dos niveles y que se referencien entre sí. El primero, el registro, con una frase por tratamiento que remita a una clase de riesgo y a un identificador de medida. El segundo, la documentación de medidas, con un objeto por medida que contenga los seis campos descritos antes y la ubicación del artefacto. Un identificador estable —M-07, por ejemplo— permite que el registro, el análisis de impacto, el contrato de encargado y el informe de la prueba hablen de lo mismo, y es lo que hace que la documentación resista un cambio de personal.

Un último detalle de forma que evita sustos: declare la fecha de última revisión de cada bloque. Un registro sin fecha no dice si está vivo, y una de las primeras preguntas del expediente es desde cuándo el responsable conocía el estado de sus medidas.

La evaluación de impacto y el artículo 32 tienen que contar la misma historia

El artículo 35 exige una evaluación de impacto antes de iniciar los tratamientos de alto riesgo, y la propia AEPD publica una guía y una herramienta para hacerla. El error frecuente no es no hacerla, sino hacerla como un documento aparte: la evaluación describe riesgos que la documentación del artículo 32 no menciona, y las medidas del artículo 32 cubren riesgos que la evaluación no identificó. Esa contradicción es lo primero que un inspector detecta, porque lee los dos documentos juntos.

La prueba de que no es un formalismo es la resolución más voluminosa de 2025: el expediente EXP202304532 contra AENA por la implantación de un sistema de reconocimiento facial para el acceso y embarque de pasajeros, con una sanción de 10.043.002 euros por infracción del artículo 35 y la suspensión temporal del tratamiento biométrico hasta que se realizara la evaluación de impacto en los términos del artículo 35. La multa más alta del año no fue por una brecha: fue por tratar sin haber evaluado. En el mismo ámbito, el EXP202313347 contra Sidecu acumuló 160.000 euros por los artículos 9.2, 35 y 13, y el expediente contra la Universitat Internacional Valenciana sumó 650.000 euros por el artículo 9 y el artículo 5.1.c. La conclusión es la misma en los tres: la ausencia de evaluación es, por sí sola, la infracción.

La reconciliación es mecánica si se hace con identificadores. Cada riesgo identificado en la evaluación debe apuntar a una medida del artículo 32 con su identificador, y cada medida debe apuntar al riesgo que cubre. Los riesgos residuales que quedan después de aplicar las medidas deben coincidir con los que la evaluación declara aceptables. Si un riesgo alto de la evaluación no tiene medida asociada, no hay debate: hay un hueco.

Un plan de noventa días que produce evidencia y no una carpeta

La mayoría de los planes de cumplimiento fallan porque empiezan por la política y terminan en un documento que nadie puede contrastar. Este orden es el inverso y está pensado para que cada semana deje un artefacto.

1. Días 1 a 14: inventario y riesgo. Lista de tratamientos con su base jurídica, sus categorías de datos, sus sistemas y sus encargados. Para cada uno, la matriz de probabilidad y gravedad con el criterio escrito. Resultado: un documento con identificadores, fechas y una clase de riesgo por tratamiento. Sin esto, todo lo demás es arbitrario.
2. Días 15 a 30: los cuatro huecos que la Agencia comprueba primero. Cifrado y ubicación de claves; doble factor en accesos administrativos y expuestos; revisión de permisos con muestra y retirada efectiva; copia de seguridad con restauración probada. Cada uno con su artefacto y su fecha, aunque el resultado sea «no estaba y ahora sí».
3. Días 31 a 45: registros y detección. Exportación de eventos a almacenamiento propio, retención fijada por el tiempo de detección real, y una consulta de reconstrucción ejecutada y firmada. Es la parte que sostiene el artículo 33 y la que casi nadie tiene cuando ocurre el incidente.
4. Días 46 a 60: cadena de suministro. Los cinco encargados con más datos, revisados con las tres preguntas y con el contrato actualizado; los subencargados identificados y autorizados por escrito; el anexo de medidas del contrato con los mismos identificadores del inventario.
5. Días 61 a 75: prueba independiente y corrección. Una revisión de configuración y una prueba interna con credenciales estándar, con alcance escrito antes de empezar y con la corrección de hallazgos críticos en el mismo trimestre. El informe cierra con estado de cada hallazgo.
6. Días 76 a 90: el procedimiento y su simulación. Un ejercicio de mesa sobre una brecha ficticia: cuándo se considera conocida, quién decide, con qué datos se rellena la notificación, en cuántas horas se puede entregar. Se documenta la simulación con fecha y participantes, y se corrigen las dos cosas que fallen.

Lo que este plan no hace es comprar herramientas antes de saber qué riesgo cubren. Un gestor de claves, un SIEM o una plataforma de cumplimiento resuelven problemas que el inventario de los primeros catorce días identifica; comprados antes, se convierten en proyectos sin dueño y en licencias que hay que justificar en la siguiente renovación.

Cuándo comprar una prueba externa y cómo redactar el alcance

La letra d) exige verificación regular, y la verificación más difícil de fabricar internamente es la que mide si alguien de fuera llega a datos. Contratarla tiene sentido cuando existe un sistema expuesto a internet con datos de riesgo alto, cuando un cliente o una administración la exige, o cuando hay que demostrar corrección después de un incidente. No tiene sentido como respuesta automática a una auditoría: sin inventario previo, el alcance se improvisa y el informe repite lo que ya se sabía.

El alcance es la parte del contrato que determina el valor de la prueba, y hay cuatro campos que no deben faltar: los sistemas y direcciones incluidos y, con la misma claridad, los excluidos; las ventanas horarias y los límites de intensidad; el tratamiento de los datos encontrados, incluido si se podrán conservar pruebas y durante cuánto tiempo; y la obligación de repetir la prueba sobre los hallazgos críticos dentro del precio, porque una prueba sin retest solo documenta el problema. Añada el requisito de que el informe sea legible por un tercero: metodología, alcance, limitaciones, hallazgos con severidad y evidencia reproducible.

Un punto que no es negociable: cualquier prueba sobre sistemas que no son suyos exige autorización escrita del titular. Esto vale para un proveedor, para un cliente y para una filial. La prueba de penetración sin autorización no es una medida de seguridad, es una intrusión, y el expediente de la AEPD no distingue entre un atacante y un consultor entusiasta. Si lo que necesita es comprobar su propia exposición, empiece por lo que no requiere tocar a nadie: configuraciones, permisos, registros y una revisión de lo que publica su infraestructura.

Cerrado el ciclo, el artículo 32 deja de ser un documento y se convierte en una propiedad del sistema: cada medida con su prueba, cada prueba con su fecha, cada fecha con su próxima revisión. Eso es lo que un inspector puede verificar y lo que un juez puede valorar cuando llegue la reclamación del artículo 82. Nada de eso garantiza que no habrá un incidente —el reglamento no promete ese resultado— pero sí cambia lo que ocurre después: la brecha se detecta antes, se notifica con datos, se contiene con un procedimiento y se explica con evidencia. En la práctica, esa diferencia es la que separa una resolución de pocos miles de euros de una de dos millones.

Preguntas frecuentes

¿Qué exige exactamente el artículo 32 del RGPD?

Un nivel de seguridad adecuado al riesgo, no una lista de productos. La norma obliga a valorar el estado de la técnica, los costes, la naturaleza y el contexto del tratamiento y la probabilidad y gravedad de los riesgos, y a aplicar medidas técnicas y organizativas apropiadas. Los cuatro ejemplos del apartado 1 —seudonimización y cifrado, confidencialidad, integridad, disponibilidad y resiliencia permanentes, restauración en plazo oportuno y verificación regular de la eficacia— son orientativos y no agotan la obligación. En España, el artículo 28 de la LOPDGDD añade el deber de determinar esas medidas y de acreditarlas, y el Esquema Nacional de Seguridad concreta el estándar cuando el tratamiento afecta al sector público o a sus proveedores.

¿Cuánto puede costar una infracción del artículo 32?

El artículo 32 pertenece al tramo del artículo 83.4, con un máximo de 10 millones de euros o el 2 % del volumen de negocios mundial del ejercicio anterior, optándose por el importe mayor. Cuando el incidente afecta además al principio de responsabilidad proactiva del artículo 5.1.f, el conjunto entra en el tramo de 20 millones o el 4 %. Los importes reales son muy dispersos: en 2025 la Agencia impuso 325 multas por 48.108.765 euros, con casos de 2.000.000 de euros por el artículo 32 y otros de pocos miles por la misma infracción en supuestos acotados. La disponibilidad de pruebas de las medidas adoptadas es una circunstancia atenuante expresamente prevista en el artículo 83.2.d.

¿Basta con cifrar los datos para cumplir el artículo 32?

No, y el cifrado mal planteado puede no aportar nada. Lo que se examina es si el cifrado es efectivo frente al riesgo concreto, y eso depende de dónde está la clave: si reside en la misma cuenta, el mismo servidor o el mismo juego de copias que los datos, una sola compromisión entrega ambas cosas. Se espera una política de cifrado con algoritmos, canales y longitudes de clave, un inventario de claves con su ubicación, responsables y rotación, y la separación de roles entre quien gestiona las claves y quien accede a los datos. La seudonimización es una medida complementaria que no convierte los datos en anónimos: el vínculo con la persona sigue existiendo.

¿Cuánto tiempo hay que conservar los registros para poder notificar en 72 horas?

El plazo del artículo 33 son setenta y dos horas desde que se tiene constancia de la violación, y los datos de la notificación —qué pasó, cuántos afectados, qué categorías, qué medidas— salen de los registros. Como la detección de una compromisión tarda meses, la retención tiene que cubrir ese tiempo y no el que trae la plataforma por defecto: 90 días en muchos registros de nube, 30 en el nivel de pago de Entra ID, 7 en el gratuito. El criterio práctico es exportar los eventos a un almacenamiento propio, fijar la retención según el tiempo de detección medido en su organización y probar cada trimestre que la consulta de reconstrucción funciona.

¿Puede sancionar la AEPD por el artículo 32 sin que haya habido una brecha?

Sí. El artículo 32 es una obligación autónoma de medios y de resultado verificable, y la Agencia la ha aplicado en expedientes donde no hubo ataque informático: el caso de ING Bank, con 2.000.000 de euros, se originó por la pérdida de documentación enviada por mensajería, sin medidas que garantizaran la trazabilidad de los envíos ni el control de las reclamaciones. La letra g) del artículo 73 de la LOPDGDD permite además sancionar el quebrantamiento por falta de diligencia de medidas que sí estaban implantadas, de modo que la revisión periódica y su registro son parte de la obligación y no una buena práctica opcional.