Mantenimiento IT
y RGPD

No lo dice con esas palabras: el reglamento no menciona contratos de mantenimiento. Lo que exige es aplicar medidas técnicas y organizativas apropiadas para proteger los datos, y ser capaz de demostrar que se aplican de forma continuada, no solo el día que se firmó un documento. En la práctica, buena parte de esas medidas técnicas son informática: que las copias de seguridad funcionen y se compruebe que restauran, que los sistemas estén actualizados, que los accesos estén controlados y se retiren cuando alguien deja la empresa, y que exista capacidad real de detectar un incidente y saber qué hacer con él. Nada de eso se sostiene por sí solo con el tiempo: un sistema bien configurado hoy se degrada si nadie lo revisa después. Por eso el mantenimiento informático no es un capricho técnico añadido al cumplimiento normativo, es la parte que lo mantiene vivo mes a mes en lugar de convertirlo en papel firmado una vez.

Sí, y es lo que más nos sorprende encontrar sin firmar en empresas que por lo demás tienen la documentación de RGPD en orden. Si tu proveedor de informática entra en los equipos donde hay datos de clientes, pacientes o empleados —y para dar soporte técnico entra, aunque sea de forma puntual—, está tratando datos personales por cuenta tuya. Eso lo convierte en encargado del tratamiento, y esa relación tiene que estar regulada por un contrato aparte del contrato de servicio: qué datos puede tocar, con qué finalidad, qué confidencialidad exige a su personal, qué medidas de seguridad aplica, si puede subcontratar y bajo qué condiciones, y qué pasa con los datos cuando la relación termina. Un proveedor serio lo ofrece él mismo sin que se lo pidas. Si el tuyo se extraña cuando le preguntas por ese contrato, eso ya te está diciendo algo sobre cómo trata el resto de sus obligaciones contigo.

Cualquier incidente que suponga destrucción, pérdida, alteración o acceso no autorizado a datos personales cuenta como brecha: un ransomware que cifra el servidor, un portátil robado sin cifrar, un correo con datos de clientes enviado a quien no debía, incluso un empleado que consulta expedientes sin motivo para hacerlo. No hace falta que haya intención ni que los datos lleguen a salir de la empresa. Cuando el incidente entraña riesgo real para los derechos de las personas afectadas, hay que notificarlo a la autoridad de control sin dilación indebida y, como referencia, dentro de las 72 horas desde que se tiene conocimiento. Es un plazo corto para improvisar, así que conviene tenerlo decidido de antemano: quién evalúa el riesgo, quién redacta la notificación y quién avisa a los afectados si hace falta. Documentarlo, aunque finalmente no se notifique porque el riesgo se considere bajo, también es obligatorio: la ausencia de registro es en sí misma un fallo.

Es una parte, y no la que marca la diferencia cuando hay una reclamación o una inspección. Lo que casi ninguna empresa tiene documentado es lo que sostiene el resto: quién tiene acceso a qué sistemas y por qué, qué se hace exactamente el día en que alguien deja la empresa, con qué frecuencia se comprueba que las copias restauran de verdad y no solo que el proceso se ha ejecutado, y qué se haría en las primeras horas si salta una alarma de seguridad. Cumplir con el RGPD no es tener antivirus y copias instaladas, es poder demostrar que ambas cosas funcionan y que hay un criterio detrás de quién entra a cada dato. Esa parte documental es la que se pide primero si alguna vez hay que responder ante la autoridad de control, y también la que primero se olvida porque no da ningún problema visible el día a día, hasta que lo da de golpe.

Las obligaciones son las mismas independientemente del tamaño; lo que cambia es la forma proporcionada de cumplirlas, no si hay que cumplirlas. Una empresa muy pequeña no necesita la misma estructura que una con cien empleados, pero sí necesita las mismas garantías de fondo: que los datos estén protegidos, que se pueda demostrar y que haya un mínimo de control sobre quién accede a qué. Hay un matiz que se olvida con frecuencia: el tamaño de la empresa no dice nada sobre la sensibilidad de los datos que maneja. Un despacho de dos personas o una clínica pequeña tratan datos de salud o económicos más delicados que muchas empresas grandes que solo gestionan pedidos y facturas. Si tienes dudas sobre qué nivel de exigencia te corresponde exactamente por tu actividad, es una pregunta para un especialista en protección de datos; lo que sí depende de la informática —copias, accesos, cifrado— aplica igual sea cual sea tu tamaño.

El tiempo de respuesta es cuánto tarda alguien en atender el aviso: coger el teléfono, abrir el ticket, confirmar que se está mirando. El tiempo de resolución es cuánto tarda el problema en estar realmente arreglado, que puede ser mucho más largo si hace falta pedir una pieza, restaurar una copia grande o coordinar con un tercero. Casi todos los contratos de mantenimiento comprometen por escrito el primero, con cifras claras, y dejan el segundo en un genérico «lo antes posible» que no compromete a nada en concreto. La diferencia importa porque es la que sufres de verdad: que te contesten en quince minutos no sirve de mucho si el sistema sigue caído seis horas después de esa llamada. Antes de firmar conviene preguntar explícitamente cuál de los dos se compromete, con qué cifra, y qué pasa si no se cumple. Si solo hablan de respuesta, probablemente te están vendiendo menos de lo que parece a primera vista.

Para una empresa muy pequeña con poca infraestructura y poco riesgo puede tener sentido, sobre todo al principio. El problema aparece con el tiempo: las horas sueltas se piden cuando algo ya ha fallado, así que se gastan siempre en apagar el fuego del momento y nunca en lo preventivo, que es precisamente lo que evita que el fuego llegue a producirse. Revisar copias, comprobar actualizaciones, revisar accesos o mantener al día la documentación de RGPD no genera una llamada urgente, así que en un modelo por horas tiende a no hacerse nunca por falta de ocasión. Si de todas formas eliges ir por horas, tiene sentido reservar explícitamente una cantidad fija al año para revisión preventiva, no dejarlo a que sobre presupuesto. En cuanto la empresa crece o maneja datos más sensibles, una cuota que incluya ese trabajo preventivo suele salir más barata que las horas que se ahorra reaccionando tarde.

Tiene que estar previsto por escrito en el contrato, no improvisado el día que decides cambiar de proveedor. Debe recoger al menos tres cosas: la devolución o supresión de los datos a los que el proveedor saliente tuvo acceso, la entrega de credenciales, contraseñas y documentación técnica del sistema, y la confirmación de quién es el titular real de dominios, licencias y cuentas en la nube contratadas. Este último punto es más habitual de lo que parece: no es raro encontrar dominios o licencias de correo registrados a nombre del proveedor y no de la empresa, lo que convierte un cambio sencillo en un bloqueo largo. Es, además, el momento en que se descubren los contratos mal hechos o directamente inexistentes: si nunca se firmó nada, no hay a qué agarrarse para exigir esa devolución. Por eso conviene revisar esta cláusula antes de que haga falta usarla, no cuando ya se necesita con urgencia.