Un tribunal no le condena por haber sufrido una brecha. Le condena cuando, preguntado por lo que tenía implantado el día anterior, usted no puede contestar con documentos. Esa es toda la diferencia. Y es una diferencia que se prepara antes, nunca después.
El artículo 32 no le pide un sistema perfecto
El artículo 32 del RGPD obliga a aplicar medidas técnicas y organizativas apropiadas. No dice infalibles. No dice las mejores del mercado. Dice apropiadas, y el adjetivo está elegido a conciencia: obliga a un juicio caso por caso, atendiendo a la naturaleza de los datos, al contexto del tratamiento y al riesgo real que usted asume.
Para quien firma, el problema cambia de forma. La pregunta operativa ya no es «¿estoy protegido?», que es una pregunta sin respuesta posible y sin final. La pregunta es otra: «si mañana tengo que explicar mi conducta ante un juez, ¿con qué la explico?». La primera se responde con presupuesto. La segunda, con papel.
La diligencia se valora en concreto
La Audiencia Provincial de Madrid lo dejó claro en un asunto de brecha de seguridad. No midió el grado de sofisticación del demandado. Midió su conducta: qué hizo, cuándo lo hizo y de qué quedaba constancia.
[...] actuó de forma diligente en el cumplimiento de las obligaciones que ante una brecha de seguridad se le imponen
Absolvió. No porque el incidente no hubiera ocurrido, sino porque la conducta del demandado ante el incidente resistió el examen. Léalo despacio: el tribunal no valoró un resultado, valoró un comportamiento. Y un comportamiento se acredita o no se acredita.
La medida modesta que sí puede probar
La misma resolución consideró adecuada una medida que ningún proveedor le vendería como suficiente.
[...] la entrega de los datos [...] se realizaba mediante un fichero Excel codificado con contraseña que únicamente conocían el Presidente y Secretario de la Comisión
Un fichero protegido por contraseña y dos personas identificadas con acceso. Eso es todo. Lo que convirtió esa medida modesta en defensa no fue su potencia, sino tres rasgos que un juez puede comprobar: existía antes del incidente, restringía el acceso a personas concretas y podía describirse sin ambigüedad en un juicio.
Por qué la inversión sin rastro no le defiende
Casi todas las empresas que llegan a nosotros tras una brecha habían gastado en protegerse. El problema no era la ausencia de medidas: era la ausencia de fecha. Nadie sabía decir cuándo se implantó cada cosa, quién lo decidió ni qué se revisó el año anterior.
Ese vacío tiene una consecuencia procesal inmediata. Lo que no consta, no se alega; y lo que se reconstruye a posteriori con correos sueltos y memoria de los empleados llega al juicio con la solidez de un borrador. A la parte contraria le basta con señalar los huecos. En qué mira de verdad un tribunal cuando llega la reclamación verá los cinco puntos donde esos huecos aparecen siempre.
Qué convierte una medida en prueba
- Fecha cierta: cuándo se implantó y desde cuándo estaba operativa.
- Decisión escrita: quién la aprobó y con qué motivo, aunque sean tres líneas en un acta.
- Alcance nominativo: quién accede, a qué y con qué autorización.
- Revisión periódica: constancia de que se comprobó y de que seguía vigente.
- Rastro del incidente: qué se detectó, a qué hora, quién decidió y qué se comunicó.
Ninguno de esos cinco puntos es un asunto de sistemas. Son cinco asuntos de gobierno de la empresa, y por eso los decide usted.
El error de esperar al incidente
La brecha comprime el tiempo. Cuando llega, el reloj de la notificación corre, los afectados preguntan y los abogados de la otra parte ya están redactando. Es el peor momento imaginable para empezar a fabricar el expediente de su diligencia, porque todo lo que produzca a partir de ese instante nace sospechoso de haberse hecho para el pleito.
El expediente se construye en frío, con la empresa funcionando y sin urgencia. Cuesta poco y no se nota. Solo se nota el día que hace falta, y ese día lo vale todo.
Tres preguntas antes de firmar el próximo presupuesto
- ¿Esta medida quedará documentada con fecha, o solo instalada?
- ¿Podré describir en una página quién accede a qué gracias a ella?
- Si un juez me pide mañana la prueba de que la tenía, ¿la entrego en una semana sin reconstruir nada?
Si la tercera respuesta no es un sí tranquilo, el gasto mejora su protección pero no mejora su posición ante un tribunal. Son dos cosas distintas y conviene no confundirlas al aprobar la partida.
¿Significa esto que puedo protegerme poco si lo documento bien?
No. La medida debe seguir siendo apropiada al riesgo real de su tratamiento. Lo que enseña la resolución es que apropiada no equivale a costosa. Documentar una medida insuficiente no la vuelve suficiente; pero no documentar una medida adecuada sí la vuelve inútil como defensa.
¿Vale un correo interno como prueba de la fecha?
Vale más que nada y menos que un registro ordenado. Un correo aislado prueba un momento; un inventario mantenido prueba una conducta sostenida, que es lo que se valora.
¿Y si la brecha la provocó un proveedor?
Entonces la primera batalla no es sobre sus medidas, sino sobre quién ostentaba la condición de responsable o encargado en ese sistema. Y eso lo decide el contrato de encargo, no la realidad de los accesos.
Puede comprobar en unos minutos en qué punto está: el Test de Gestión de Brecha mide su capacidad de probar lo que ya hace, no la seguridad de sus sistemas.
¿Podría acreditar hoy su diligencia?
Doce preguntas, una por pantalla. Al final obtendrá su Índice de Defendibilidad y sabrá qué prueba le falta en cada punto.
Hacer el Test de Gestión de Brecha