¿Qué son las medidas técnicas y organiza­tivas (TOM)?

TOM: definición y base jurídica

El art. 32 RGPD obliga a responsables y encargados a garantizar un nivel de protección adecuado al riesgo. Deben tenerse en cuenta el estado de la técnica, los costes de implementación, la naturaleza, el alcance y los fines del tratamiento, así como la probabilidad y la gravedad de los posibles riesgos para los interesados. Las medidas técnicas actúan a través de los sistemas y las organizativas a través de procedimientos y normas.

El objetivo es proteger la confidencialidad, la integridad y la disponibilidad de los datos, así como la resiliencia de los sistemas. El reglamento menciona como ejemplos la seudonimización y el cifrado, la capacidad de restablecer rápidamente los datos tras un incidente y un proceso de verificación periódica de la eficacia. No existe una lista de control fija: la selección depende del riesgo en cada caso.

Medidas habituales de un vistazo

En la práctica, las TOM se estructuran normalmente por ámbitos de control que siguen antiguas exigencias legales. Esta estructura ayuda a no olvidar nada y sirve también como anexo a los contratos con proveedores. Qué puntos son relevantes depende del tamaño, del sector y del tipo de datos.

• Acceso físico: salas con llave, gestión de llaves, normas para visitas
• Acceso a sistemas y datos: cuentas de usuario, reglas de contraseñas, autenticación en dos pasos, roles y permisos
• Transmisión: cifrado en tránsito y en reposo, mantenimiento remoto seguro
• Introducción: registro de quién modificó qué datos y cuándo
• Disponibilidad: copias de seguridad, plan de emergencia, pruebas de recuperación
• Separación: mantener separados los datos de distintos clientes y fines
• Organización: formación, compromisos de confidencialidad, políticas

Ejemplo práctico: un proveedor con portal de clientes

Un proveedor gestiona un portal de clientes en el que los comercios consultan pedidos y facturas. Los datos están en un servidor al que todo el personal de TI tiene derechos de administrador; las copias de seguridad están en la misma máquina y las contraseñas no están sujetas a ninguna norma. Un cliente pregunta por las TOM en el marco de su contrato de encargado del tratamiento y solo recibe un texto modelo.

Las mejoras: un concepto de roles con permisos mínimos, inicio de sesión en dos pasos para administradores, cifrado, copias de seguridad en un sistema separado con prueba de restauración y una breve instrucción de emergencia. Las medidas se recogen en un documento de TOM que el cliente puede consultar y se revisan periódicamente en adelante.

Docu­menta­ción, acreditación y errores habituales

Las TOM deben documentarse por escrito y mantenerse actualizadas: para el registro de actividades de tratamiento, para los contratos de encargado y como prueba ante autoridades de control y clientes. Certificaciones como ISO 27001 pueden apoyar la acreditación, pero no la sustituyen automáticamente. Lo decisivo es que las medidas se apliquen realmente y se pongan en práctica.

Errores típicos: un texto modelo que nunca encajó con la empresa, medidas solo sobre el papel (por ejemplo, una copia de seguridad que nunca se probó), datos desactualizados tras cambios de sistema y responsabilidades poco claras. También las herramientas gratuitas y los dispositivos privados deben considerarse en cuanto se traten datos personales con ellos.

Qué deben tener en cuenta las empresas

Empiece con una evaluación de riesgos: qué datos son especialmente sensibles y qué sistemas especialmente críticos. A partir de ahí, defina medidas proporcionadas, designe responsables y revise su eficacia con regularidad. Nano Concepts implementa medidas técnicas como conceptos de permisos, cifrado, copias de seguridad y monitorización, y apoya la documentación. Este artículo no sustituye el asesoramiento jurídico.