Evaluar proveedores de software y cloud: un glosario en lenguaje sencillo sobre datos personales

01

Qué significa evaluar un proveedor desde el punto de vista de los datos personales

Cuando una empresa confía datos a un proveedor de software o cloud, primero debe entender qué son los datos personales: cualquier información que permita identificar a una persona, directa o indirectamente, como nombre, correo electrónico, código de cliente o historial de navegación (citation-0). Evaluar un proveedor significa verificar que proteja la integridad, la disponibilidad y la confidencialidad de estos datos, los tres elementos en los que se basa la seguridad según la guía del EDPB (citation-2).

02

Por qué el riesgo debe medirse antes de elegir

• El acceso no autorizado a los datos personales constituye una violación de la confidencialidad, por ejemplo la divulgación de nóminas (citation-2).
• La modificación no autorizada de los datos es una violación de la integridad, como la alteración de registros de acceso (citation-2).
• La pérdida de acceso a los datos es una violación de la disponibilidad, por ejemplo documentación inaccesible (citation-2).
• Si el tratamiento implica un riesgo elevado para las personas, el RGPD exige una evaluación de impacto, la EIPD (citation-3).

03

El recorrido práctico para evaluar un proveedor

Pasos

1. Identificar qué datos personales pasarán al proveedor y por qué se tratan (citation-0).
2. Identificar las fuentes de riesgo, humanas y no humanas, internas y externas al proveedor (citation-2).
3. Verificar las medidas existentes o planificadas: control de accesos, copias de seguridad, trazabilidad, cifrado (citation-3).
4. Estimar la gravedad y la probabilidad de cada riesgo en una escala compartida (citation-3).
5. Programar controles periódicos con un plan de acción supervisado en los niveles más altos de la organización (citation-3).

04

Un caso hipotético: elegir un proveedor cloud para la base de clientes

Hipótesis: una pyme quiere confiar a un proveedor cloud su base de clientes, con nombres, correos electrónicos e historial de compras — datos que permiten la identificación directa o indirecta de las personas (citation-0). Antes de la firma, la empresa enumera las posibles fuentes de riesgo, desde un administrador de sistemas externo hasta un ciberataque no dirigido, y verifica si el proveedor ofrece las medidas ya previstas para mitigarlos, como exige el proceso de evaluación de riesgos (citation-2, citation-3). Solo después de esta verificación asigna un nivel de prioridad a la decisión.

05

Elementos que solicitar o verificar con el proveedor

• Formación regular de los gestores de datos sobre los riesgos relacionados con la privacidad (citation-1).
• Una política interna vinculante sobre protección de datos y seguridad (citation-1).
• Protección de datos desde el diseño y por defecto (citation-1).
• Minimización de datos: tratar solo lo que sea adecuado y necesario (citation-1).
• Bloqueo automático de sesión, cortafuegos, antivirus actualizado y copias de seguridad (citation-1).

06

Cómo organizar la evaluación con el apoyo del software de gestión

Una empresa puede optar por configurar, junto con su socio de software, un registro de proveedores que enumere qué datos personales fluyen hacia cada sistema, quién es responsable de evaluarlos y cuándo se realizó la última verificación de riesgos (citation-3). Se trata de una elección operativa sugerida, no de una obligación derivada del software: la empresa sigue siendo responsable de definir roles, trazabilidad y frecuencia de las revisiones según su propio plan de gestión de riesgos, documentando claramente los procedimientos para cada categoría de gestor de datos (citation-3, citation-4).

07

Aclaraciones rápidas sobre el glosario

• Los datos personales también incluyen identificadores indirectos como el código de cliente o la referencia de una reserva (citation-0).
• La seguridad de los datos se evalúa en tres ejes: confidencialidad, integridad y disponibilidad (citation-2).
• Se requiere una EIPD cuando el tratamiento presenta un riesgo elevado para las personas afectadas (citation-3).

08

El siguiente paso

Antes de firmar un contrato con un proveedor de software o cloud, enumere los datos personales implicados, las fuentes de riesgo y las medidas ya previstas, y luego programe una verificación periódica con un plan de acción supervisado (citation-3).