Medidas de seguridad en el sector salud que los reguladores siguen señalando
El GDPR lleva años siendo exigible, y el Artículo 32 sigue siendo la disposición más citada en las principales multas. Los sistemas de salud que gestionan datos de pacientes de categorías especiales enfrentan un estándar proporcionalmente más alto bajo el criterio de «adecuado al riesgo».
En parte, esto se debe a que el Artículo 32 no se presenta como una lista de verificación. Enumera cuatro categorías de medidas de manera ilustrativa y deja que «adecuado» se evalúe en función del riesgo. Este artículo explica qué exigen en la práctica esas cuatro categorías para los sistemas de salud.
Resumen ejecutivo
El Artículo 32 del GDPR establece cuatro categorías ilustrativas de medidas técnicas y organizativas. Ninguna de ellas se satisface con una implementación puntual. Para los sistemas de salud, la tarea práctica, años después de la entrada en vigor de la regulación, no es preguntar si se abordó el Artículo 32 una vez, sino si sigue cumpliéndose frente al riesgo actual.
Puntos clave
- El Artículo 32 enumera cuatro categorías ilustrativas de medidas, no una lista fija.
- «Adecuado al riesgo» significa que el estándar cambia a medida que varía la sensibilidad de los datos de pacientes y el panorama de amenazas.
- Las fallas de seguridad predominan en la aplicación del GDPR, más que las carencias procedimentales.
- El cifrado sin control de claves por parte del cliente cumple débilmente con la seudonimización.
- El cuarto punto, probar regularmente la efectividad, es el que más suelen omitir los sistemas de salud.
Por qué «adecuado» es un objetivo cambiante para los datos de pacientes
El Artículo 32 evita deliberadamente nombrar tecnologías específicas, exigiendo en su lugar que las medidas sean adecuadas al riesgo que presenta el tratamiento en cuestión.
El lenguaje basado en riesgos implica que el estándar cambia con los datos y las amenazas
Una medida considerada adecuada para una categoría de datos de pacientes no sigue siéndolo automáticamente si cambia la sensibilidad o el panorama de amenazas.
Las autoridades leen «adecuado» según lo que habría hecho un sistema de salud razonable
Las decisiones de cumplimiento evalúan si las medidas implementadas coincidían con lo que un sistema de salud razonable, gestionando ese tipo de datos de pacientes, habría puesto en práctica.
Qué exige realmente cada una de las cuatro categorías
Cada categoría ha fallado de formas que se repiten en las decisiones de cumplimiento.
Seudonimización y cifrado que realmente limitan la exposición
El cifrado cumple débilmente esta categoría si la entidad que posee los datos cifrados de pacientes también puede descifrarlos de manera habitual.
Confidencialidad, integridad, disponibilidad y resiliencia continuas
Esta categoría es explícitamente continua, no un estado que se evalúa una sola vez durante la implementación.
Por qué este sigue siendo el artículo que genera las mayores multas
Las principales multas hasta 2026 siguen centradas en medidas técnicas y organizativas inadecuadas tras una filtración, más que en deficiencias de documentación.
Cómo construir un programa del Artículo 32 que resista el paso de los años
La respuesta práctica es tratar las cuatro categorías como compromisos operativos continuos: verifica que el cifrado limite realmente la exposición, confirma que los controles de acceso se monitorizan de forma continua y prueba la recuperación ante desastres con una programación real.
Cómo una Data Control Plane respalda el cumplimiento continuo del Artículo 32
La Data Control Plane de Kiteworks admite claves de cifrado propiedad del cliente mediante un módulo de seguridad hardware, de modo que el cifrado limita la exposición de forma significativa, y los registros de auditoría se anonimizan por defecto, añadiendo una verdadera capa de seudonimización. La arquitectura de tenencia única y las configuraciones integradas de recuperación ante desastres respaldan la confidencialidad, integridad y resiliencia continuas, mientras que cada acción en todos los canales queda registrada en un registro de auditoría inalterable y sin restricciones que se integra directamente con las herramientas SIEM.
Los sistemas de salud que quieran poner a prueba sus medidas actuales frente a una evaluación actualizada del Artículo 32 pueden agendar una demo personalizada.
Preguntas frecuentes
El Artículo 32 establece cuatro categorías ilustrativas de medidas técnicas y organizativas que deben ser adecuadas al riesgo, incluyendo seudonimización y cifrado, confidencialidad, integridad, disponibilidad y resiliencia continuas, y pruebas regulares de efectividad.
Porque la regulación exige que las medidas se evalúen según la sensibilidad actual de los datos y el panorama de amenazas, por lo que un control que antes era suficiente puede dejar de cumplir el estándar a medida que evolucionan los riesgos para los datos de pacientes.
El cifrado limita la exposición de manera significativa solo cuando la organización que posee los datos no puede descifrarlos de forma habitual; de lo contrario, la protección es superficial y no cumple con la intención de la primera categoría.
El requisito de probar regularmente la efectividad de las medidas es el que más se omite, aunque es esencial porque las cuatro categorías deben tratarse como compromisos operativos continuos y no como implementaciones puntuales.