Art. 32 RGPD: qué medidas técnicas y organizativas (MTO) necesita su empresa y por qué la formación forma parte
El art. 32 RGPD le obliga, como responsable del tratamiento, a proteger los datos personales mediante medidas técnicas y organizativas (MTO) apropiadas, adecuadas al riesgo para los interesados. Entre ellas figuran medidas técnicas como el cifrado y los controles de acceso, así como medidas organizativas como los conceptos de supresión, las vías de comunicación y la formación documentada de los empleados. Precisamente esta selección es la que debe poder justificar y acreditar en caso necesario.
De la redacción de Provimedia · Fecha: julio de 2026 · Este artículo es una información general y no constituye asesoramiento jurídico.
Tras una violación de la seguridad de los datos notificada, la autoridad de control pregunta en la práctica primero una cosa: ¿qué MTO había implantado y documentado ya antes? Este artículo le muestra qué exige en concreto el art. 32 RGPD. Con la tabla siguiente podrá justificar su selección en caso necesario.
¿Qué exige el art. 32 RGPD?
El art. 32, apdo. 1, RGPD exige un nivel de seguridad adecuado al riesgo para el tratamiento de datos personales. Debe tener en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el contexto y los fines del tratamiento de que se trate.
- letra a) la seudonimización y el cifrado de datos personales
- letra b) la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas
- letra c) la restauración rápida de la disponibilidad tras un incidente físico o técnico
- letra d) un procedimiento de verificación, evaluación y valoración regulares de la eficacia de las medidas
El apdo. 2 menciona los riesgos frente a los que debe protegerse: la destrucción, la pérdida, la alteración o la divulgación no autorizada de datos personales, o el acceso no autorizado a ellos. El apdo. 4 añade que las personas con acceso a los datos solo pueden tratarlos siguiendo instrucciones del responsable del tratamiento. Esto significa para usted: proteja los datos no solo frente a ataques externos, sino también frente a errores y accesos no autorizados de sus propios empleados.
Un nivel de seguridad «adecuado» no es un catálogo rígido de medidas, sino el resultado de una ponderación de riesgos. Una oficina unipersonal con una lista de clientes necesita MTO distintas de las de una consulta con datos de salud.
Esta orientación al riesgo está estrechamente relacionada con la obligación de responsabilidad proactiva conforme al RGPD. Quien selecciona MTO debe poder justificar y documentar también esa selección – y no limitarse a afirmar que está adecuadamente protegido.
¿Qué son las medidas técnicas y cuáles las organizativas?
Las medidas técnicas actúan sobre sistemas, software e infraestructura. Las medidas organizativas actúan sobre procesos, reglas y el comportamiento de sus empleados. Para su selección de MTO necesita ambos niveles a la vez, como muestra el siguiente resumen con ejemplos de la Delegada Regional de Protección de Datos y Libertad de Información de Renania del Norte-Westfalia (LDI NRW).
| Tipo de medida | Ejemplo | Referencia jurídica |
|---|---|---|
| Técnica | Cifrado de soportes de datos y de vías de transmisión | Art. 32, apdo. 1, letra a, RGPD |
| Técnica | Concepto de roles y autorizaciones, cortafuegos, actualizaciones de seguridad al día | Art. 32, apdo. 1, letra b, RGPD |
| Técnica | Copias de seguridad periódicas y pruebas de restauración | Art. 32, apdo. 1, letra c, RGPD |
| Organizativa | Procedimiento de verificación periódica de la eficacia de las MTO | Art. 32, apdo. 1, letra d, RGPD |
| Organizativa | Compromiso de los empleados con el secreto de los datos, sujeción a instrucciones | Art. 32, apdo. 4, RGPD |
| Organizativa | Concepto de supresión y plazos de conservación | Art. 5, apdo. 1, letra e, RGPD |
| Organizativa | Concienciación y formación documentadas de los empleados | Art. 32, apdo. 1, art. 24 RGPD |
¿Por qué la concienciación de los empleados es en sí misma una medida organizativa?
El art. 32 RGPD exige expresamente también medidas organizativas, no solo técnicas. Por ello, la LDI NRW incluye explícitamente las formaciones de empleados entre los ejemplos de MTO recomendados. Al fin y al cabo, el cifrado y el cortafuegos no le protegen de un empleado que facilita una contraseña por teléfono o envía por correo una lista de clientes a la dirección equivocada.
Una instrucción en protección de datos periódica con participación documentada es, por tanto, en sí misma una MTO en el sentido del art. 32, apdo. 1, RGPD. Al mismo tiempo, respalda su obligación de responsabilidad proactiva conforme al art. 24 RGPD.
¿Cómo se relacionan los arts. 32, 24 y 25 RGPD?
Cuatro normas del RGPD se entrelazan en sus MTO. En concreto, esto significa para usted:
- Art. 5, apdo. 1, letra f, RGPD: el principio de «integridad y confidencialidad» – los datos deben estar protegidos frente al tratamiento no autorizado, la pérdida y la destrucción.
- Art. 32 RGPD: la obligación concreta de seguridad – elegir MTO apropiadas conforme al riesgo.
- Art. 24 RGPD: la obligación de acreditación – documentar la selección de las MTO y su eficacia.
- Art. 25 RGPD: protección de datos desde el diseño – planificar la protección desde el principio, no añadirla después.
¿Qué ocurre en caso de infracción del art. 32 RGPD?
Las infracciones del art. 32 RGPD pueden sancionarse, conforme al art. 83, apdo. 4, letra a, RGPD, con una multa de hasta 10 millones de euros. En el caso de empresas, se trata de hasta el 2 % del volumen de negocio total anual global del ejercicio anterior, optándose por la cuantía más alta. Este marco se sitúa por debajo del marco sancionador del art. 83, apdo. 5, RGPD (hasta 20 millones de euros o el 4 % del volumen de negocio anual), que se aplica, por ejemplo, a las infracciones de los principios del tratamiento de datos conforme al art. 5 RGPD.
En la práctica, esto significa para usted: tras una violación de la seguridad de los datos notificada, las autoridades de control comprueban con regularidad si existían MTO adecuadas, proporcionales al riesgo, y si estaban documentadas. Precisamente ese es el momento en que su documentación de las MTO da sus frutos.
Preguntas frecuentes (FAQ)
¿Cuántas MTO necesito como mínimo?
El RGPD no prescribe un número mínimo fijo. El art. 32, apdo. 1, RGPD exige un nivel de seguridad adecuado al riesgo en lugar de una lista de comprobación. Una oficina unipersonal con una lista de clientes necesita, por tanto, MTO distintas de las de una consulta con datos de salud.
¿Es el art. 32 RGPD relevante solo para grandes empresas?
No: el art. 32 RGPD se aplica a todo responsable y encargado del tratamiento, independientemente del tamaño de la empresa. El texto legal exige expresamente tener en cuenta los costes de aplicación y la naturaleza del tratamiento. Por ello, el alcance de las MTO se adapta al riesgo y al tamaño de la empresa.
¿Basta con una formación única de los empleados al incorporarse?
El RGPD no fija un plazo de repetición para las formaciones en protección de datos. Del art. 32, apdo. 1, letra d, RGPD (verificación periódica de la eficacia) y de la obligación de responsabilidad proactiva del art. 24 RGPD se deduce, sin embargo, de forma indirecta: una concienciación recurrente y documentada es más adecuada que una única instrucción al incorporarse.
¿Debo documentar mis MTO por escrito?
El propio art. 32 RGPD no prescribe un formato de documentación determinado. La obligación de acreditación del art. 24 RGPD exige, sin embargo, que pueda demostrar sus MTO. En la práctica, esto se hace mediante un documento de MTO por actividad de tratamiento, como parte del registro de actividades de tratamiento.
La concienciación documentada de sus empleados – una de las medidas organizativas conforme al art. 32 RGPD – la cubre nuestra formación básica en RGPD con certificado de participación fechado. Sus empleados aprenden los fundamentos del RGPD de forma práctica, y usted obtiene una prueba comprensible para su documentación de MTO.
Fuentes
Compartir artículo
Mantente al día
Recibe los últimos artículos, análisis y novedades del sector directamente en tu bandeja de entrada.
Decida usted qué fuentes le muestra Google
Google le permite elegir qué fuentes aparecen de forma destacada en sus resultados de búsqueda: en las noticias destacadas y en las respuestas de IA. Dos clics y verá los sitios en los que confía.
Añadir provimedia.de a mis fuentes preferidasArtículos relacionados
Otros artículos que podrían interesarte.
Phishing e ingeniería social: cómo reconocen sus empleados los ataques
El phishing, el spear phishing, el fraude del CEO y el smishing no apuntan a los sistemas, sino a las personas. Qué señales de alerta debe transmitir una formación sobre phishing para empleados y por qué un ataque exitoso se convierte con rapidez en una violación de datos de notificación obligatoria.
Multas del RGPD: casos reales en Alemania y lo que las empresas aprenden de ellos
Cuatro casos reales de multas del RGPD en Alemania muestran cómo fijan las autoridades la cuantía y que los tribunales pueden reducirlas después de forma notable.
Protección de datos en la consulta médica: las 5 trampas del día a día y cuándo necesita un delegado de protección de datos
El nombre se pronuncia en voz alta en la sala de espera, el recordatorio de la cita se envía por SMS, el expediente antiguo se tira a la basura: en el día a día de la consulta, los pequeños detalles deciden si hay una infracción de protección de datos. El artículo muestra qué situaciones son delicadas, cuándo necesita un delegado de protección de datos y cómo formar a su equipo de forma demostrable.
¿Listo para tu certificado de competencia en IA?
Consigue tu certificado de IA: flexible, en línea y con un certificado de participación documentado para desarrollar competencias en IA (art. 4 del Reglamento de IA de la UE).