Cómo cumplir el RGPD en tu web: medidas técnicas del Art. 32

El Reglamento General de Protección de Datos (RGPD) es la norma que regula el tratamiento de datos personales en la Unión Europea. Y su Artículo 32 es, probablemente, el más técnico de todos: exige a responsables y encargados del tratamiento aplicar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo.

La Agencia Española de Protección de Datos (AEPD) ha sancionado con multas de hasta 10 millones de euros o el 2% del volumen de negocio anual por no acreditar medidas básicas de seguridad. En esta guía verás qué medidas aplicar en tu web y cómo documentarlas.

1. Qué exige exactamente el Art. 32

El Art. 32 del RGPD pide tener en cuenta:

• El estado de la técnica en cada momento.
• Los costes de aplicación.
• La naturaleza, el alcance, el contexto y los fines del tratamiento.
• Los riesgos para los derechos y libertades de las personas.

Y menciona expresamente, como medidas a considerar:

• Cifrado de datos personales.
• Confidencialidad, integridad, disponibilidad y resiliencia de los sistemas.
• Capacidad de restaurar la disponibilidad tras un incidente.
• Un proceso de verificación regular de la eficacia de las medidas.

2. Las 7 medidas técnicas que deberías tener

2.1. Cifrado en tránsito (SSL/TLS) obligatorio

Tu web debe servirse exclusivamente por HTTPS. Esto implica:

• Certificado SSL/TLS válido y vigente.
• Redirección forzada de HTTP a HTTPS.
• Protocolos modernos (TLS 1.2 o superior).
• Cabecera Strict-Transport-Security (HSTS) activa.

2.2. Cookies seguras

Las cookies que manejen sesiones o datos personales deben tener:

• Secure: solo se envían por HTTPS.
• HttpOnly: inaccesibles desde JavaScript.
• SameSite: protege contra CSRF.

2.3. Cabeceras HTTP de seguridad

Las cabeceras HTTP añaden capas de defensa contra XSS, clickjacking y otros ataques:

• Content-Security-Policy (CSP).
• X-Frame-Options.
• X-Content-Type-Options.
• Referrer-Policy.

2.4. Ficheros sensibles no expuestos

Es crítico verificar que no son accesibles públicamente:

• .env, .git, .svn.
• Backups (.bak, .old, .zip).
• Dumps SQL.
• Ficheros de configuración.

Un .env expuesto puede filtrar credenciales de bases de datos, tokens de API y claves de cifrado. Es una de las causas más comunes de brechas de datos sancionadas por la AEPD.

2.5. Autenticidad del correo (SPF, DKIM, DMARC)

El correo es una vía habitual de phishing y suplantación. El RGPD exige proteger la confidencialidad e integridad de las comunicaciones. Las tres medidas básicas son:

• SPF: qué servidores pueden enviar correo por tu dominio.
• DKIM: firma criptográfica de cada mensaje.
• DMARC: qué hacer con los correos que fallen SPF o DKIM.

2.6. Puertos innecesarios cerrados

Si tu web no necesita exponer SSH, RDP, bases de datos u otros servicios a Internet, ciérralos. Los puertos abiertos son vectores de ataque frecuentes.

2.7. Sin versiones de software expuestas

Revelar la versión exacta de tu servidor, CMS o librerías facilita a los atacantes identificar vulnerabilidades conocidas.

3. Checklist rápida por tipo de web

4. Cómo documentar tu diligencia

Aquí está el punto clave: no basta con tener las medidas, hay que poder demostrarlo. La AEPD, ante una reclamación o inspección, te pedirá:

• Registro de actividades de tratamiento.
• Análisis de riesgos.
• Medidas de seguridad aplicadas.
• Evidencia de su eficacia.

Este último punto es donde entra un diagnóstico técnico externo y fechado. Documentos como un informe técnico de seguridad web pueden servir como evidencia objetiva de tu diligencia.

5. Conclusión

El RGPD no es solo papeleo: es también seguridad técnica. Si tu web no tiene las medidas del Art. 32, estás incumpliendo la norma. Y si las tiene pero no puedes demostrarlo, es como si no las tuvieras.

Empieza por un diagnóstico técnico: mide qué tienes, identifica lo que falta y prioriza. En 30 segundos puedes tener una primera foto objetiva de tu postura de seguridad.