Manteniment IT
i RGPD

No ho diu amb aquestes paraules: el reglament no esmenta contractes de manteniment. El que exigeix és aplicar mesures tècniques i organitzatives apropiades per protegir les dades, i ser capaç de demostrar que s'apliquen de manera continuada, no només el dia que es va signar un document. A la pràctica, bona part d'aquestes mesures tècniques són informàtica: que les còpies de seguretat funcionin i es comprovi que restauren, que els sistemes estiguin actualitzats, que els accessos estiguin controlats i es retirin quan algú deixa l'empresa, i que hi hagi capacitat real de detectar un incident i saber què fer-ne. Res d'això se sosté per si sol amb el temps: un sistema ben configurat avui es degrada si ningú el revisa després. Per això el manteniment informàtic no és un caprici tècnic afegit al compliment normatiu, és la part que el manté viu mes rere mes en lloc de convertir-lo en paper signat una vegada.

Sí, i és el que més ens sorprèn trobar sense signar en empreses que per la resta tenen la documentació de RGPD en ordre. Si el teu proveïdor d'informàtica entra als equips on hi ha dades de clients, pacients o empleats —i per donar suport tècnic hi entra, encara que sigui de manera puntual—, està tractant dades personals pel teu compte. Això el converteix en encarregat del tractament, i aquesta relació ha d'estar regulada per un contracte a banda del contracte de servei: quines dades pot tocar, amb quina finalitat, quina confidencialitat exigeix al seu personal, quines mesures de seguretat aplica, si pot subcontractar i sota quines condicions, i què passa amb les dades quan la relació acaba. Un proveïdor seriós l'ofereix ell mateix sense que li ho demanis. Si el teu s'estranya quan li preguntes per aquest contracte, això ja t'està dient alguna cosa sobre com tracta la resta de les seves obligacions amb tu.

Qualsevol incident que suposi destrucció, pèrdua, alteració o accés no autoritzat a dades personals compta com a bretxa: un ransomware que xifra el servidor, un portàtil robat sense xifrar, un correu amb dades de clients enviat a qui no tocava, fins i tot un empleat que consulta expedients sense motiu per fer-ho. No cal que hi hagi intenció ni que les dades arribin a sortir de l'empresa. Quan l'incident comporta risc real per als drets de les persones afectades, cal notificar-ho a l'autoritat de control sense dilació indeguda i, com a referència, dins de les 72 hores des que se'n té coneixement. És un termini curt per improvisar, així que convé tenir-lo decidit per endavant: qui avalua el risc, qui redacta la notificació i qui avisa els afectats si cal. Documentar-ho, encara que finalment no es notifiqui perquè el risc es consideri baix, també és obligatori: l'absència de registre és en si mateixa un error.

És una part, i no la que marca la diferència quan hi ha una reclamació o una inspecció. El que gairebé cap empresa té documentat és el que sosté la resta: qui té accés a quins sistemes i per què, què es fa exactament el dia en què algú deixa l'empresa, amb quina freqüència es comprova que les còpies restauren de veritat i no només que el procés s'ha executat, i què es faria les primeres hores si salta una alarma de seguretat. Complir amb el RGPD no és tenir antivirus i còpies instal·lats, és poder demostrar que totes dues coses funcionen i que hi ha un criteri darrere de qui accedeix a cada dada. Aquesta part documental és la que es demana primer si algun dia cal respondre davant l'autoritat de control, i també la que primer s'oblida perquè no dona cap problema visible en el dia a dia, fins que el dona de cop.

Les obligacions són les mateixes independentment de la mida; el que canvia és la manera proporcionada de complir-les, no si cal complir-les. Una empresa molt petita no necessita la mateixa estructura que una amb cent empleats, però sí necessita les mateixes garanties de fons: que les dades estiguin protegides, que es pugui demostrar i que hi hagi un mínim de control sobre qui accedeix a què. Hi ha un matís que s'oblida sovint: la mida de l'empresa no diu res sobre la sensibilitat de les dades que maneja. Un despatx de dues persones o una clínica petita tracten dades de salut o econòmiques més delicades que moltes empreses grans que només gestionen comandes i factures. Si tens dubtes sobre quin nivell d'exigència et correspon exactament per la teva activitat, és una pregunta per a un especialista en protecció de dades; el que sí depèn de la informàtica —còpies, accessos, xifratge— aplica igual sigui quina sigui la teva mida.

El temps de resposta és quant triga algú a atendre l'avís: agafar el telèfon, obrir el tiquet, confirmar que s'hi està mirant. El temps de resolució és quant triga el problema a estar realment arreglat, que pot ser molt més llarg si cal demanar una peça, restaurar una còpia gran o coordinar-se amb un tercer. Gairebé tots els contractes de manteniment es comprometen per escrit amb el primer, amb xifres clares, i deixen el segon en un genèric «tan aviat com sigui possible» que no compromet a res en concret. La diferència importa perquè és la que pateixes de veritat: que et contestin en quinze minuts no serveix de gaire si el sistema segueix caigut sis hores després d'aquella trucada. Abans de signar convé preguntar explícitament quin dels dos es compromet, amb quina xifra, i què passa si no es compleix. Si només parlen de resposta, probablement t'estan venent menys del que sembla a primera vista.

Per a una empresa molt petita amb poca infraestructura i poc risc pot tenir sentit, sobretot al principi. El problema apareix amb el temps: les hores soltes es demanen quan alguna cosa ja ha fallat, així que es gasten sempre a apagar el foc del moment i mai en el preventiu, que és precisament el que evita que el foc arribi a produir-se. Revisar còpies, comprovar actualitzacions, revisar accessos o mantenir al dia la documentació de RGPD no genera una trucada urgent, així que en un model per hores tendeix a no fer-se mai per falta d'ocasió. Si tot i així tries anar per hores, té sentit reservar explícitament una quantitat fixa a l'any per a revisió preventiva, no deixar-ho al que sobri de pressupost. Quan l'empresa creix o maneja dades més sensibles, una quota que inclogui aquesta feina preventiva sol sortir més barata que les hores que s'estalvia reaccionant tard.

Ha d'estar previst per escrit al contracte, no improvisat el dia que decideixes canviar de proveïdor. Ha de recollir almenys tres coses: la devolució o supressió de les dades a les quals el proveïdor sortint va tenir accés, l'entrega de credencials, contrasenyes i documentació tècnica del sistema, i la confirmació de qui és el titular real de dominis, llicències i comptes al núvol contractats. Aquest últim punt és més habitual del que sembla: no és estrany trobar dominis o llicències de correu registrats a nom del proveïdor i no de l'empresa, cosa que converteix un canvi senzill en un bloqueig llarg. És, a més, el moment en què es descobreixen els contractes mal fets o directament inexistents: si mai es va signar res, no hi ha a què agafar-se per exigir aquesta devolució. Per això convé revisar aquesta clàusula abans que calgui usar-la, no quan ja es necessita amb urgència.