Del simulacro a la práctica: cómo transferir el criterio

Antes de entrar en la transferencia, conviene recordar qué has visto en cada lección. Este es el mapa completo del curso:

• Lección 01. Qué es y qué no es SIMULACROS RGPD. La naturaleza formativa, el zero-tracking, el acceso gratuito sin registro, y las cinco cosas que la herramienta no es (asesoramiento, formación oficial, certificado, simulador sancionador, herramienta conectada).
• Lección 02. Cómo piensa el simulador. Las tres métricas (riesgo, latencia, evidencia), el estado inicial (25 / 0 / 10), el impacto de cada opción, el expediente de evidencia, el cronómetro, la fórmula del score y el ranking.
• Lección 03. Cómo leer un escenario. Los elementos de cada nodo, el hecho desencadenante, el plazo, la consecuencia, el expediente, la checklist y las opciones. Los cinco pasos antes de decidir.
• Lección 04. La lógica de las opciones. El criterio que hay detrás de cada impacto, con dos simulacros completos como ejemplo. Los cinco patrones que se repiten en los diez simulacros.
• Lección 05. Los cinco primeros simulacros: requerimiento, brecha, encargado, derecho, evaluación de impacto.
• Lección 06. Los cinco últimos simulacros: menores, portabilidad, delegado, IA generativa, IA agéntica. Los seis patrones consolidados.
• Lección 07. Modo estándar vs. modo experto. Qué cambia y qué no, cómo se cambia, dónde se refleja y cuándo usar cada uno.
• Lección 08. El informe ejecutivo y la constancia formativa. Los ocho bloques del informe, la tarjeta de ranking, las tres cajas de análisis, los fundamentos jurídicos, la tipificación, las evidencias, las cuatro acciones y los límites de la constancia.
• Lección 09. Preguntas frecuentes, errores de uso, uso en formación y glosario rápido.

Si has seguido el curso en orden, tienes el mapa completo de la herramienta. Si has saltado lecciones, este es el momento de volver a las que te hayas perdido antes de continuar.

Los diez simulacros son distintos, pero todos comparten el mismo esqueleto. Si tuvieras que quedarte solo con seis ideas para aplicar en la práctica, serían estas:

1. Evaluar antes de actuar. Antes de notificar, comunicar, suprimir o desplegar, hay que evaluar el riesgo. Lo ves en el Simulacro 2 (evaluar la brecha antes de notificar), en el 5 (evaluación de impacto antes del reconocimiento facial), en el 9 (evaluación de impacto antes del LLM) y en el 10 (evaluación de impacto antes del agente). La evaluación no es un trámite posterior: es el paso que te permite decidir con criterio.
2. Transparencia sobre ocultación. Regularizar con transparencia siempre baja más el riesgo que ocultar la omisión. Lo ves en el Simulacro 1 (regularizar el contrato y responder con transparencia), en el 3 (no culpar al encargado y desentenderse), en el 6 (reconocer el error y regularizar) y en el 7 (no denegar por el destino). Ocultar siempre sale más caro que reconocer.
3. Documentar sobre improvisar. La evidencia es el 45 % del score. No basta con hacer las cosas bien: hay que poder demostrarlo. Lo ves en todos los simulacros: cada uno tiene un expediente de evidencia, y cada decisión diligente produce documentación. En la práctica real, esta es la diferencia entre una actuación defendible y una que no lo es.
4. Cumplir plazos en paralelo, no en serie. Cuando hay varias obligaciones con plazos, se cumplen a la vez. Lo ves en el Simulacro 2 (notificar y comunicar en paralelo), en el 3 (notificar y evaluar el alcance en paralelo) y en el 6 (suspender y rediseñar el banner en paralelo). Esperar a tener todo para empezar a cumplir es la trampa más común.
5. No delegar la responsabilidad. La responsabilidad del responsable no se delega en el encargado, ni en el proveedor, ni en el DPD. Lo ves en el Simulacro 3 (el proveedor con ransomware), en el 8 (el DPD externo), en el 9 (el proveedor del LLM) y en el 10 (el proveedor del agente). La supervisión es obligatoria y la responsabilidad última siempre es del responsable.
6. Minimización y proporcionalidad. Solo se tratan los datos necesarios, y solo se conservan el tiempo necesario. Lo ves en el Simulacro 6 (no recoger datos excesivos para verificar la edad), en el 9 (limitar el alcance del LLM) y en el 10 (compartimentar la memoria y definir retención). La minimización no es una formalidad: es un principio operativo.

Estos seis patrones no son dogma: son los principios que la práctica profesional del cumplimiento repite una y otra vez. Si los interiorizas, puedes afrontar cualquier situación nueva sin necesidad de haber visto un simulacro específico para ella.

El simulador aplica el criterio de forma automática: tú decides, él calcula el impacto. En la práctica real, no hay métricas que se muevan, pero sí hay un proceso que puedes seguir para aplicar el mismo criterio. Este es el método de tres pasos que subyace a todos los simulacros:

Paso 1 · Evaluar. Antes de actuar, pregúntate:

• ¿Cuál es el hecho desencadenante? ¿Qué ha pasado exactamente?
• ¿Qué plazo legal aplica? ¿Cuándo empieza a contar?
• ¿A quién afecta? ¿Empleados, clientes, menores, un proveedor, un proyecto nuevo?
• ¿Qué riesgo existe para los derechos y libertades de los afectados?
• ¿Hay excepciones legales que apliquen? ¿Obligaciones de conservación?

Paso 2 · Documentar. Antes de actuar, asegúrate de que puedes acreditar lo que vas a hacer:

• ¿Tengo la base jurídica identificada?
• ¿Tengo el contrato con el encargado actualizado?
• ¿Tengo el registro de actividades al día?
• ¿Tengo la evaluación de riesgo o de impacto?
• ¿Tengo la respuesta motivada y trazable?

Paso 3 · Decidir. Solo después de evaluar y documentar, decide:

• ¿La decisión responde al hecho o lo esquiva?
• ¿Respeta el plazo legal?
• ¿Tiene en cuenta lo que has descubierto al evaluar?
• ¿Genera evidencia o la destruye?
• ¿Es diligente o es una salida rápida?

En el simulador, este proceso se ve en cada nodo: la descripción es el paso 1, el expediente es el paso 2, las opciones son el paso 3. En la práctica real, el proceso es el mismo, solo que sin la interfaz que te lo recuerda. Este es el criterio que el curso ha intentado transmitir.

El CSV que genera la herramienta después de cada simulacro no es solo un registro: es una herramienta para medir tu progreso. Contiene todo lo necesario para analizar tu evolución si repites los mismos escenarios a lo largo del tiempo.

Qué mirar en el CSV:

• El historial de decisiones. Cada paso con su etiqueta, su riesgo y su evidencia. Te permite reconstruir tu razonamiento paso a paso y ver en qué momento se torció o se consolidó.
• La puntuación final y el ranking. Si repites el mismo simulacro varias veces, la comparación de puntuaciones te dice si estás mejorando o no.
• La latencia total. Si tu latencia baja con la práctica, significa que estás interiorizando el criterio y decidiendo con más rapidez sin perder calidad.
• La solidez probatoria. Si tu evidencia sube con la práctica, significa que estás adjuntando más documentos y tomando decisiones que generan documentación.
• Los errores detectados. Si un error se repite en varios intentos del mismo simulacro, es un patrón personal que debes trabajar.
• Las lecciones de remediación. Si las lecciones cambian entre intentos, es que estás llegando a nodos finales distintos. Eso es buena señal: significa que estás tomando decisiones distintas.

Cómo usarlo en la práctica:

1. Juega un simulacro en modo estándar y exporta el CSV.
2. Lee el informe con calma. Anota en qué nodo tuviste más dudas.
3. Repite el mismo simulacro al cabo de unos días y exporta el nuevo CSV.
4. Compara los dos CSV: puntuación, latencia, evidencia, errores y lecciones.
5. Si mejoras, pasa al siguiente simulacro. Si no mejoras, vuelve a leer la lección correspondiente.

Un buen hábito: guardar los CSV en una carpeta ordenada por simulacro y fecha. Al cabo de unas semanas tendrás un registro de tu evolución que vale más que cualquier certificado, porque es la prueba de tu propio aprendizaje.

La herramienta tiene una checklist de autoverificación en el briefing de cada simulacro. En la práctica real no hay briefing, así que conviene tener una checklist propia que puedas aplicar en cualquier situación. Esta es una propuesta derivada de los seis patrones del criterio:

Antes de actuar:

• ¿Tengo clara la base jurídica del tratamiento?
• ¿Hay un contrato con el encargado actualizado y con todas las cláusulas exigibles?
• ¿Tengo el registro de actividades de tratamiento al día?
• ¿He realizado la evaluación de riesgo o de impacto si el tratamiento es de alto riesgo?
• ¿Conozco el plazo legal aplicable y desde cuándo cuenta?
• ¿Tengo identificados los afectados y el alcance del tratamiento?

Durante la actuación:

• ¿Estoy evaluando antes de actuar o estoy improvisando?
• ¿Estoy documentando lo que decido o solo lo estoy ejecutando?
• ¿Estoy cumpliendo los plazos en paralelo o los estoy dejando para el final?
• ¿Estoy asumiendo la responsabilidad o la estoy delegando?
• ¿Estoy tratando solo los datos necesarios o estoy recogiendo de más?

Después de actuar:

• ¿He comunicado a quien correspondía (autoridad, afectados, encargado)?
• ¿He registrado la decisión y su motivación?
• ¿He conservado la evidencia documental?
• ¿He bloqueado lo que debía conservarse por obligación legal?
• ¿He aprendido algo que pueda aplicar la próxima vez?

Esta checklist no es un examen: es una referencia. Si al terminar una actuación no puedes marcar todas las casillas, probablemente haya algo que revisar. En el simulador, esa revisión es el informe ejecutivo. En la práctica real, eres tú quien tiene que hacerla.

Con esta lección terminas el recorrido completo por la herramienta y por el criterio que la sostiene. Has visto qué es, qué no es, cómo piensa, cómo se lee un escenario, cómo se razonan las opciones, cómo se resuelven los diez simulacros, cómo se elige el modo, qué contiene el informe, cómo se usa en formación y cómo se transfiere el criterio a la práctica real. Tienes el mapa completo.

Qué te llevas del curso:

• Una herramienta gratuita, abierta y sin datos personales que puedes usar tantas veces como quieras.
• Diez escenarios que cubren los principales bloques del cumplimiento: requerimientos, brechas, encargados, derechos, evaluación de impacto, menores, portabilidad, delegado, IA generativa e IA agéntica.
• Tres métricas que te permiten ver en tiempo real si tu actuación es diligente, rápida y documentada.
• Un criterio de seis patrones que se repite en todos los simulacros y que puedes aplicar fuera de la herramienta.
• Un método de tres pasos (evaluar, documentar, decidir) para afrontar cualquier situación nueva.
• Un CSV que te permite medir tu progreso a lo largo del tiempo.
• Una checklist personal que puedes usar en tu práctica profesional.

Qué no te llevas (y es importante que lo tengas claro):

• No te llevas una certificación oficial. La constancia tiene valor exclusivamente personal.
• No te llevas un título que acredite competencia profesional.
• No te llevas un dictamen jurídico ni un asesoramiento legal.
• No te llevas una garantía de actualización normativa. Verifica siempre las fuentes oficiales.

Y ahora qué:

El curso termina aquí, pero el aprendizaje no. La herramienta sigue disponible en el navegador, sin registro, sin login y sin coste. Cada vez que vuelvas a un simulacro, el criterio estará esperándote. Cada vez que lo resuelvas, sabrás un poco más de por qué una decisión es correcta y otra no. Y cada vez que apliques el criterio fuera de la herramienta, estarás haciendo exactamente lo que el curso pretendía: convertir un juego formativo en una forma de pensar.

Gracias por haber llegado hasta el final. Nos vemos en la herramienta.