Mantemento IT
e RGPD

Non o di con esas palabras: o regulamento non menciona contratos de mantemento. O que esixe é aplicar medidas técnicas e organizativas apropiadas para protexer os datos, e ser capaz de demostrar que se aplican de forma continuada, non só o día que se asinou un documento. Na práctica, boa parte desas medidas técnicas son informática: que as copias de seguridade funcionen e se comprobe que restauran, que os sistemas estean actualizados, que os accesos estean controlados e se retiren cando alguén deixa a empresa, e que exista capacidade real de detectar un incidente e saber que facer con el. Nada diso se sostén por si só co tempo: un sistema ben configurado hoxe degrádase se ninguén o revisa despois. Por iso o mantemento informático non é un capricho técnico engadido ao cumprimento normativo, é a parte que o mantén vivo mes a mes en lugar de convertelo en papel asinado unha vez.

Si, e é o que máis nos sorprende atopar sen asinar en empresas que polo demais teñen a documentación de RGPD en orde. Se o teu provedor de informática entra nos equipos onde hai datos de clientes, pacientes ou empregados —e para dar soporte técnico entra, aínda que sexa de forma puntual—, está a tratar datos persoais por conta túa. Iso convérteo en encargado do tratamento, e esa relación ten que estar regulada por un contrato á parte do contrato de servizo: que datos pode tocar, con que finalidade, que confidencialidade lle esixe ao seu persoal, que medidas de seguridade aplica, se pode subcontratar e baixo que condicións, e que pasa cos datos cando a relación remata. Un provedor serio ofréceo el mesmo sen que llo pidas. Se o teu se estraña cando lle preguntas por ese contrato, iso xa che está dicindo algo sobre como trata o resto das súas obrigas contigo.

Calquera incidente que supoña destrución, perda, alteración ou acceso non autorizado a datos persoais conta como fenda: un ransomware que cifra o servidor, un portátil roubado sen cifrar, un correo con datos de clientes enviado a quen non debía, mesmo un empregado que consulta expedientes sen motivo para facelo. Non fai falta que haxa intención nin que os datos cheguen a saír da empresa. Cando o incidente supón risco real para os dereitos das persoas afectadas, hai que notificalo á autoridade de control sen dilación indebida e, como referencia, dentro das 72 horas desde que se ten coñecemento. É un prazo curto para improvisar, así que convén telo decidido de antemán: quen avalía o risco, quen redacta a notificación e quen avisa os afectados se fai falta. Documentalo, aínda que finalmente non se notifique porque o risco se considere baixo, tamén é obrigatorio: a ausencia de rexistro é en si mesma un fallo.

É unha parte, e non a que marca a diferenza cando hai unha reclamación ou unha inspección. O que case ningunha empresa ten documentado é o que sostén o resto: quen ten acceso a que sistemas e por que, que se fai exactamente o día en que alguén deixa a empresa, con que frecuencia se comproba que as copias restauran de verdade e non só que o proceso se executou, e que se faría nas primeiras horas se salta unha alarma de seguridade. Cumprir co RGPD non é ter antivirus e copias instaladas, é poder demostrar que ambas as cousas funcionan e que hai un criterio detrás de quen entra en cada dato. Esa parte documental é a que se pide primeiro se algunha vez hai que responder ante a autoridade de control, e tamén a que primeiro se esquece porque non dá ningún problema visible no día a día, ata que o dá de golpe.

As obrigas son as mesmas independentemente do tamaño; o que cambia é a forma proporcionada de cumprilas, non se hai que cumprilas. Unha empresa moi pequena non precisa a mesma estrutura ca unha con cen empregados, pero si precisa as mesmas garantías de fondo: que os datos estean protexidos, que se poida demostrar e que haxa un mínimo de control sobre quen accede a que. Hai un matiz que se esquece con frecuencia: o tamaño da empresa non di nada sobre a sensibilidade dos datos que manexa. Un despacho de dúas persoas ou unha clínica pequena tratan datos de saúde ou económicos máis delicados ca moitas empresas grandes que só xestionan pedidos e facturas. Se tes dúbidas sobre que nivel de esixencia che corresponde exactamente pola túa actividade, é unha pregunta para un especialista en protección de datos; o que si depende da informática —copias, accesos, cifrado— aplícase igual sexa cal sexa o teu tamaño.

O tempo de resposta é canto tarda alguén en atender o aviso: coller o teléfono, abrir o tíquet, confirmar que se está mirando. O tempo de resolución é canto tarda o problema en estar realmente arranxado, que pode ser moito máis longo se fai falta pedir unha peza, restaurar unha copia grande ou coordinar cun terceiro. Case todos os contratos de mantemento comprometen por escrito o primeiro, con cifras claras, e deixan o segundo nun xenérico «o antes posible» que non compromete a nada en concreto. A diferenza importa porque é a que sofres de verdade: que che contesten en quince minutos non serve de moito se o sistema segue caído seis horas despois desa chamada. Antes de asinar convén preguntar explicitamente cal dos dous se compromete, con que cifra, e que pasa se non se cumpre. Se só falan de resposta, probablemente estanche a vender menos do que parece a primeira vista.

Para unha empresa moi pequena con pouca infraestrutura e pouco risco pode ter sentido, sobre todo ao principio. O problema aparece co tempo: as horas soltas pídense cando algo xa fallou, así que se gastan sempre en apagar o lume do momento e nunca no preventivo, que é precisamente o que evita que o lume chegue a producirse. Revisar copias, comprobar actualizacións, revisar accesos ou manter ao día a documentación de RGPD non xera unha chamada urxente, así que nun modelo por horas tende a non facerse nunca por falta de ocasión. Se de todos os xeitos escolles ir por horas, ten sentido reservar explicitamente unha cantidade fixa ao ano para revisión preventiva, non deixalo a que sobre orzamento. En canto a empresa medra ou manexa datos máis sensibles, unha cota que inclúa ese traballo preventivo adoita saír máis barata cás horas que se aforra reaccionando tarde.

Ten que estar previsto por escrito no contrato, non improvisado o día que decides cambiar de provedor. Debe recoller polo menos tres cousas: a devolución ou supresión dos datos aos que o provedor saínte tivo acceso, a entrega de credenciais, contrasinais e documentación técnica do sistema, e a confirmación de quen é o titular real de dominios, licenzas e contas na nube contratadas. Este último punto é máis habitual do que parece: non é raro atopar dominios ou licenzas de correo rexistrados a nome do provedor e non da empresa, o que converte un cambio sinxelo nun bloqueo longo. É, ademais, o momento en que se descobren os contratos mal feitos ou directamente inexistentes: se nunca se asinou nada, non hai a que agarrarse para esixir esa devolución. Por iso convén revisar esta cláusula antes de que faga falta usala, non cando xa se precisa con urxencia.