El encargado del tratamiento, en el punto de mira
El RGPD no solo responsabiliza al responsable del tratamiento ante un incidente de seguridad. Los artículos 28 y 32 obligan directamente al encargado a implantar medidas técnicas y organizativas adecuadas al riesgo. Un proveedor de servicios que trate datos personales por cuenta de otro no puede escudarse en que «el cliente es el responsable»: si su seguridad falla, puede ser sancionado de forma independiente.
Los datos hablan: 2.765 brechas y casi 20 millones en multas
Según la Memoria Anual 2025 de la AEPD, se registraron 2.765 brechas de seguridad notificadas. Las sanciones derivadas de ciberincidentes superaron los 19,8 millones de euros, representando el 40% de toda la cuantía sancionadora del año. El ransomware figura entre los incidentes que afectaron al mayor número de personas. Ser víctima no exime de responsabilidad: Ayesa fue sancionada con 250.000 euros por el ciberataque que sufrió en abril de 2024.
Doble extorsión: disponibilidad y confidencialidad en riesgo
El ransomware moderno no solo cifra datos, también los exfiltra (doble extorsión). Esto convierte cualquier ataque en una potencial brecha de confidencialidad que activa la obligación de notificación a la AEPD en 72 horas (art. 33 RGPD). El encargado debe notificar al responsable sin dilación indebida en cuanto tenga conocimiento del incidente, sin esperar a tener el cuadro completo.
El contrato de encargo: herramienta clave, no trámite burocrático
El contrato de encargo (art. 28 RGPD) debe incluir cláusulas específicas sobre medidas de seguridad y procedimientos de notificación de brechas. Un contrato bien redactado permite al responsable acreditar que eligió un proveedor con garantías suficientes. Su ausencia o deficiencia puede comprometer a ambas partes ante la autoridad de control.
La seguridad «real» como estándar exigible
El ransomware revela en minutos si la seguridad era real o meramente formal. El RGPD no exige perfección, pero sí diligencia demostrable con hechos. La AEPD está consolidando, resolución tras resolución, que los encargados del tratamiento deben poder acreditar sus medidas de seguridad ante cualquier incidente. El cumplimiento documental no basta: se requiere seguridad operativa efectiva.
