TOM y seguridad de los datos: aplicar correctamente las medidas técnicas y organizativas

Quien trata datos personales de clientes debe protegerlos mediante medidas técnicas y organizativas adecuadas (TOM) y, en caso de litigio, también debe poder acreditar su aplicación. Esto vale tanto para la tienda online como para el despacho de asesoría fiscal o el proveedor de servicios informáticos.

En breve: las TOM son las medidas técnicas y organizativas con las que las empresas protegen los datos personales frente a pérdida, uso indebido y acceso no autorizado. Afectan a todos los responsables y encargados del tratamiento que tratan datos de clientes, con independencia del tamaño de la empresa. Si faltan TOM adecuadas, en caso de brecha de datos se exponen a multas elevadas.

¿A quién afecta la obligación de TOM?

Afecta tanto a los responsables como a los encargados del tratamiento que tratan datos personales de clientes, desde la empresa individual hasta el grupo empresarial.

La obligación de aplicar TOM adecuadas se deriva del art. 32 RGPD y rige con independencia del tamaño o del sector de la empresa: desde el autónomo con un puñado de fichas de clientes hasta la mediana empresa con su propio departamento de TI. Quien recurre a un encargado del tratamiento, por ejemplo un proveedor de la nube, una asesoría contable o un soporte informático, debe revisar sus TOM antes de contratarlo y plasmar las medidas en el contrato de encargo del tratamiento (AVV, Auftragsverarbeitungsvertrag). A la inversa, los encargados del tratamiento deben revelar a sus clientes qué medidas de protección aplican ellos mismos.

Aunque no trate datos especialmente sensibles como datos de salud o de pago, está obligado: los datos corrientes de clientes, como el nombre, la dirección o la dirección de correo electrónico, ya entran en el ámbito de protección del RGPD y deben protegerse adecuadamente.

¿Qué debe hacer usted en concreto?

Debe aplicar medidas basadas en el riesgo conforme al estado de la técnica que se correspondan con la necesidad de protección de los datos tratados.

Entre las medidas técnicas se cuentan, entre otras, los controles de acceso, el cifrado de los datos durante la transmisión y el almacenamiento, y un concepto de copias de seguridad que funcione. En el plano organizativo significa sobre todo: responsabilidades claras, procesos regulados para la concesión y la retirada de derechos de acceso y una documentación escrita que pueda presentarse en caso necesario, por ejemplo en una inspección de la autoridad de control. Una herramienta como Company Audit muestra cuáles de estas obligaciones se aplican en detalle a su empresa.

Lo importante es el enfoque basado en el riesgo: cuanto más sensibles son los datos tratados y mayor es el posible daño en caso de incidente, más elevadas deben ser las medidas de protección. Una pequeña empresa con una base de datos de clientes sencilla necesita medidas distintas a las de una empresa que trata datos de salud o financieros.

En cinco pasos hacia unas TOM documentadas

La aplicación puede estructurarse en cinco pasos comprensibles que se apoyan unos en otros.

1. Evaluar la necesidad de protección de los datos de clientes tratados (normal/alta/muy alta).
2. Conceder los derechos de acceso según el principio de necesidad de conocer (need-to-know) y revisarlos periódicamente.
3. Aplicar cifrado para la transmisión y el almacenamiento de datos sensibles.
4. Establecer y probar un concepto de copia de seguridad y recuperación.
5. Documentar por escrito las medidas aplicadas (documento TOM).

Este orden se ha elegido deliberadamente: solo cuando se conoce la necesidad de protección pueden dimensionarse con sentido los derechos de acceso, el cifrado y la estrategia de copias de seguridad. La documentación final hace comprensibles las decisiones tomadas, también para nuevos empleados o auditores externos.

¿Con qué frecuencia deben revisarse las TOM?

Las TOM no son un proyecto puntual, sino que deben adaptarse de forma continua a los nuevos riesgos.

Revise periódicamente los derechos de acceso y actualice las medidas en cuanto cambien los sistemas, los procesos, el número de empleados o la situación de amenaza, por ejemplo al introducir un nuevo software, al cambiar de proveedor de la nube o tras un incidente relevante para la seguridad. En la práctica, el documento TOM se exige a menudo directamente como anexo al contrato de encargo del tratamiento (AVV); por eso ambos documentos deberían mantenerse conjuntamente y actualizarse de forma sincronizada cuando haya cambios.

¿Qué ocurre en caso de infracción?

Las TOM ausentes o insuficientes figuran entre los motivos más frecuentes de multas del RGPD, en particular cuando se descubren en relación con una brecha de datos.

Según el art. 32 RGPD, unas medidas de seguridad insuficientes pueden acarrear multas de hasta 10 millones de euros o el 2 % del volumen de negocios anual mundial, sobre todo cuando, tras una brecha de datos, se demuestra que faltaban medidas de protección adecuadas.

Además de la multa, una brecha de datos conlleva obligaciones de notificación a la autoridad de control y, en su caso, a las personas afectadas, así como un daño de confianza y de reputación que a menudo es más difícil de cuantificar que la propia multa.

Preguntas frecuentes

¿Qué se considera medidas técnicas?

Se cuentan, por ejemplo, los controles de acceso como la protección con contraseña y los conceptos de autorización, el cifrado de datos durante la transmisión y el almacenamiento, y un concepto de copia de seguridad y recuperación probado con el que los datos pueden restaurarse de forma fiable tras un incidente.

¿Qué se considera medidas organizativas?

Pertenecen a ellas, por ejemplo, la concesión de derechos de acceso según el principio de necesidad de conocer, responsabilidades claras en la empresa y la documentación escrita de todas las medidas en el documento TOM, para que las decisiones tomadas sean comprensibles en todo momento.

¿Se aplica la obligación de TOM también a las pequeñas empresas?

Sí, el art. 32 RGPD rige con independencia del tamaño de la empresa para todos los responsables y encargados del tratamiento que traten datos personales, también para autónomos y pequeñas empresas sin departamento de TI propio.

¿Cómo se relacionan las TOM y el contrato de encargo del tratamiento?

En la práctica, el documento TOM se exige con frecuencia directamente como anexo al AVV, por lo que ambos documentos deberían mantenerse conjuntamente y cotejarse en cada actualización.

¿Cuál es un primer paso sencillo?

Introducir la autenticación de dos factores en los sistemas centrales es un primer paso sencillo y eficaz hacia una mayor seguridad de los datos, que suele poder aplicarse sin gran esfuerzo.

Fuente: art. 32 RGPD. Este artículo es información general y no sustituye el asesoramiento jurídico en un caso concreto. Actualizado a: julio de 2026.