Los fabricantes también gestionan datos personales
GDPR lleva años siendo exigible, y el Artículo 32 sigue siendo la disposición más citada en las principales sanciones. Los fabricantes que procesan datos personales de empleados, clientes y proveedores junto con datos de ingeniería tampoco están exentos de esta obligación.
En parte, esto se debe a que el Artículo 32 no funciona como una lista de verificación. Enumera cuatro categorías de medidas de manera ilustrativa y deja que lo «apropiado» se valore según el riesgo. En este artículo te explicamos qué exigen en la práctica esas cuatro categorías para los fabricantes.
Resumen Ejecutivo
El Artículo 32 del GDPR establece cuatro categorías ilustrativas de medidas técnicas y organizativas. Ninguna de ellas se cumple con una única implementación. Para los fabricantes, la tarea práctica, años después de la entrada en vigor de la regulación, no es preguntarse si alguna vez se cumplió el Artículo 32, sino si sigue cumpliéndose frente al riesgo actual.
Puntos Clave
- El Artículo 32 enumera cuatro categorías ilustrativas de medidas, no una lista fija.
- «Apropiado al riesgo» significa que el estándar cambia a medida que varía la sensibilidad de los datos y el panorama de amenazas.
- Las fallas de seguridad predominan en la aplicación del GDPR, no las deficiencias procedimentales.
- El cifrado sin control de claves por parte del cliente cumple débilmente con la seudonimización.
- La cuarta categoría, probar regularmente la efectividad, es la que más suelen omitir los fabricantes.
Por Qué «Apropiado» Es un Objetivo en Movimiento para los Datos Personales
El Artículo 32 evita deliberadamente nombrar tecnologías específicas y exige que las medidas sean apropiadas al riesgo que presenta el tratamiento en cuestión.
El Lenguaje Basado en Riesgo Hace que el Estándar Cambie con los Datos y las Amenazas
Una medida considerada apropiada para una categoría de datos personales no sigue siéndolo automáticamente si cambia la sensibilidad o el panorama de amenazas.
Las Autoridades Evalúan «Apropiado» Según lo que Haría un Fabricante Razonable
Las decisiones de cumplimiento valoran si las medidas implementadas se corresponden con lo que un fabricante razonable, gestionando ese tipo de datos, habría puesto en marcha.
Qué Exige Realmente Cada una de las Cuatro Categorías
Cada categoría ha fallado de formas que se repiten en las resoluciones de cumplimiento.
Seudonimización y Cifrado que Realmente Limita la Exposición
El cifrado cumple débilmente esta categoría si la entidad que almacena los datos cifrados también puede descifrarlos de manera habitual.
Confidencialidad, Integridad, Disponibilidad y Resiliencia Continuas
Esta categoría es explícitamente continua, no un estado que se evalúa solo al momento de la implementación.
Por Qué Este Sigue Siendo el Artículo que Genera las Mayores Multas
Las principales sanciones hasta 2026 siguen centrándose en medidas técnicas y organizativas inadecuadas tras una brecha, más que en la falta de documentación.
Cómo Construir un Programa de Artículo 32 que Resista con el Paso de los Años
La respuesta práctica es tratar las cuatro categorías como compromisos operativos continuos: verifica que el cifrado realmente limite la exposición, confirma que los controles de acceso se monitorizan de forma constante y prueba la recuperación ante desastres con una programación real.
Cómo un Data Control Plane Apoya el Cumplimiento Continuo del Artículo 32
El Data Control Plane de Kiteworks permite claves de cifrado gestionadas por el cliente mediante un módulo de seguridad hardware, y los registros de auditoría están anonimizados por defecto, añadiendo una capa genuina de seudonimización. La arquitectura de tenencia única y la configuración de recuperación ante desastres integrada garantizan confidencialidad, integridad y resiliencia continuas, mientras que cada acción en todos los canales queda registrada en un registro de auditoría inalterable y sin limitaciones que alimenta directamente las herramientas SIEM.
Los fabricantes que quieran evaluar sus medidas actuales frente a una revisión actualizada del Artículo 32 pueden agendar una demo personalizada.
Preguntas Frecuentes
Las fallas de seguridad predominan en las resoluciones de cumplimiento del GDPR, más que las deficiencias de documentación, y el Artículo 32 exige medidas técnicas y organizativas continuas que sigan siendo apropiadas frente a los niveles de riesgo actuales.
La frase indica que las medidas requeridas no son fijas; el estándar cambia a medida que varía la sensibilidad de los datos y el panorama de amenazas, y las autoridades valoran si un fabricante razonable que gestiona datos similares habría implementado los mismos controles.
El cifrado cumple el requisito de forma débil si la organización que almacena los datos puede descifrarlos habitualmente; para limitar realmente la exposición, se requieren claves de cifrado gestionadas por el cliente.
La cuarta categoría—probar, evaluar y revisar regularmente la efectividad de las medidas—es la que más a menudo se omite por completo en los programas de cumplimiento.