La lógica de las opciones: por qué una decisión es correcta y otra no

Cada opción de cada nodo mueve las tres métricas con un impacto {r, l, e}. Ese impacto no está inventado: responde a tres preguntas que el simulador se hace sobre cada decisión:

• ¿Responde al hecho desencadenante? Una opción que afronta el problema reduce el riesgo; una que lo esquiva o lo niega lo incrementa.
• ¿Genera evidencia documental? Una opción que produce o aporta documentación sube la evidencia; una que la destruye o la omite la baja.
• ¿Cuánto tiempo consume? Toda decisión tiene un coste en latencia. Las decisiones diligentes suelen costar más tiempo; las evasivas suelen costar menos.

Con esas tres preguntas, el simulador traduce el criterio profesional a números. Una decisión diligente y completa suele tener un impacto del tipo {r: −10, l: +3, e: +20}: baja el riesgo, sube la evidencia, cuesta algo de tiempo. Una decisión evasiva suele tener {r: +20, l: +2, e: −10}: sube el riesgo, cuesta poco tiempo, destruye evidencia.

Saber esto te permite leer las opciones con criterio: no se trata de adivinar cuál es la “buena”, sino de ver cuál responde al hecho, respeta el plazo y genera evidencia.

El nodo “Requerimiento recibido” te sitúa ante una solicitud de la autoridad de control sobre el registro de actividades de tratamiento y la cesión de datos a una gestoría laboral. El plazo legal que marca la meta es de 10 días hábiles. Tienes tres opciones:

• A. “Revisar RAT y contrato con la gestoría antes de responder” → impacto {r: −10, l: +3, e: +20}. Por qué: afrontas el hecho, revisas la documentación y generas evidencia. Cuesta tiempo (latencia +3), pero baja el riesgo y sube la evidencia. Es la opción diligente.
• B. “Alegar exención por menos de 250 empleados sin análisis” → impacto {r: +20, l: +2, e: −10}. Por qué: el marco contempla una exención para ciertos supuestos, pero no es absoluta y no cubre el tratamiento continuado con cesión a terceros. Alegar sin analizar sube el riesgo y destruye evidencia porque no aportas nada que sostenga tu posición.
• C. “Enviar solo la Política de Privacidad” → impacto {r: +15, l: +1, e: −5}. Por qué: la política web no sustituye ni al registro de actividades ni al contrato con el encargado. El riesgo sube, el tiempo es mínimo, la evidencia cae porque no aportas lo que se te pide.

La opción correcta es la A. No porque sea la más lenta, sino porque es la única que responde al hecho con la documentación que se te está pidiendo.

Si elegiste la opción A en el nodo anterior, llegas a “Auditoría documental”. La consecuencia del nodo es clara: “La gestoría lleva meses tratando datos sin contrato formal.” Es decir: al revisar, has descubierto una omisión. Ahora tienes tres caminos:

• A. “Regularizar el contrato y responder con transparencia” → impacto {r: −15, l: +4, e: +30}. Por qué: afrontas la omisión, regularizas y lo documentas todo. Es la opción más costosa en tiempo, pero la que más baja el riesgo y la que más evidencia genera, porque produces el contrato y la respuesta completa.
• B. “Ocultar la omisión y enviar solo el RAT” → impacto {r: +25, l: +2, e: −15}. Por qué: ocultar una omisión detectable agrava el riesgo y destruye la evidencia. La autoridad puede cruzar la información y detectar que el contrato no existía. Es la peor opción.
• C. “Solicitar asesoramiento al DPD antes de responder” → impacto {r: −5, l: +5, e: +15}. Por qué: es una opción viable, pero menos eficiente que la A. Consultar al delegado de protección de datos refuerza la trazabilidad (sube evidencia) y baja algo el riesgo, pero consume más tiempo y no resuelve la omisión por sí misma.

La opción A es la mejor. La C es aceptable como camino intermedio, pero no óptima. La B es la peor. Esta es la primera bifurcación importante del simulacro: el simulador te está diciendo que, ante una omisión, la transparencia con regularización es el camino; la ocultación es el atajo que sale caro.

El nodo “Dispositivo extraviado” te sitúa ante un portátil sin cifrado con datos de empleados, incluidos datos de salud, que se ha perdido. La meta recuerda el plazo legal de 72 horas desde el conocimiento del incidente. Las opciones son:

• A. “Evaluar riesgo alto y activar protocolo” → impacto {r: −10, l: +4, e: +20}. Por qué: afrontas la evaluación de riesgo desde el primer momento. Eso es lo que la normativa espera: no se puede notificar ni comunicar sin haber valorado antes si existe riesgo. Cuesta tiempo, pero baja el riesgo y genera evidencia.
• B. “Considerar riesgo bajo sin evaluación suficiente” → impacto {r: +20, l: +2, e: −10}. Por qué: la ausencia de evidencia de uso no equivale a ausencia de riesgo. Un portátil perdido con datos de salud y sin cifrado no puede calificarse de riesgo bajo sin un análisis que lo sostenga. Sube el riesgo y destruye evidencia.
• C. “Esperar al informe forense completo” → impacto {r: +15, l: +6, e: −5}. Por qué: esperar al forense puede sonar prudente, pero el plazo de 72 horas corre desde el conocimiento del incidente, no desde que tengas el informe. La evaluación inicial debe hacerse con la información disponible. La espera sube el riesgo y consume tiempo.

La opción correcta es la A. La evaluación de riesgo es el paso previo obligatorio, no una formalidad posterior. Esa es la primera lección del Simulacro 2.

Si elegiste la opción A, llegas a “Evaluación de riesgo completada”. La consecuencia resume el marco: la evaluación concluye riesgo alto, y eso activa la obligación de notificar a la autoridad de control y de comunicar a los afectados. Tienes tres caminos:

• A. “Notificar a la AEPD y comunicar a los afectados” → impacto {r: −15, l: +4, e: +30}. Por qué: cumples las dos obligaciones que el alto riesgo activa. Es la opción que más baja el riesgo y más evidencia genera, porque produces dos documentos (la notificación y la comunicación) y activas medidas de mitigación.
• B. “Notificar solo a la AEPD” → impacto {r: +10, l: +4, e: +5}. Por qué: notificar a la autoridad es correcto, pero si el riesgo es alto, el marco también exige comunicar a los afectados para que puedan adoptar medidas de autoprotección. Notificar solo a la autoridad es una respuesta incompleta: sube el riesgo, aunque genera algo de evidencia.
• C. “Esperar al informe forense completo” → impacto {r: +25, l: +8, e: −15}. Por qué: esperar al forense cuando ya tienes una evaluación de riesgo alto es la peor opción. Supera las 72 horas, sube el riesgo y destruye evidencia. La notificación puede completarse por fases; no hace falta tener toda la información para notificar.

La opción correcta es la A. La B es una respuesta incompleta que el simulador penaliza; la C es la opción que más daño hace. El mensaje del simulador es claro: cuando el riesgo es alto, se notifica a la autoridad y se comunica a los afectados, aunque no tengas el informe forense completo.

Aunque cada simulacro tiene su propio escenario, hay cinco patrones que el criterio del simulador repite en todos ellos. Si los interiorizas, puedes resolver cualquier simulacro con criterio:

1. Evaluar antes de actuar. Antes de notificar, comunicar, suprimir o desplegar, hay que evaluar el riesgo. Es el patrón que ves en el Simulacro 2 y que reaparece en el 5 (EIPD), el 9 (IA generativa) y el 10 (IA agéntica).
2. Transparencia sobre ocultación. Regularizar con transparencia siempre baja más el riesgo que ocultar la omisión. Lo ves en el Simulacro 1 y reaparece en el 3, el 6 y el 7.
3. Documentar sobre improvisar. Generar evidencia documental sube la solidez probatoria, que es el 45 % del score. Improvisar sin documentar destruye esa métrica aunque la decisión sea correcta.
4. Cumplir plazos en paralelo, no en serie. Cuando hay varias obligaciones con plazos, se cumplen a la vez, no una detrás de otra. Si esperas a tener todo para notificar, probablemente llegues tarde a algo.
5. No delegar la responsabilidad. La responsabilidad del responsable no se delega en el encargado, ni en el proveedor, ni en el DPD. Lo ves en el Simulacro 3 (proveedor con ransomware) y en el 8 (dimisión del DPD).

Estos cinco patrones son el “esqueleto” del criterio que aplica el simulador. No son dogma: son los principios que la práctica profesional del cumplimiento repite una y otra vez.

Las opciones incorrectas del simulador nunca son disparates. Son decisiones que en la vida real también se toman, y por eso son plausibles. Reconocerlas es parte del aprendizaje. Estas son las trampas más frecuentes:

• “Alegar exención” sin analizar si aplica. Las exenciones del marco normativo suelen ser más estrechas de lo que parece. El simulador penaliza la alegación sin análisis.
• “Enviar solo la política de privacidad” cuando se pide documentación específica. La política es un documento genérico; no sustituye al registro de actividades ni al contrato con el encargado.
• “Esperar al informe forense completo” cuando hay un plazo corriendo. La evaluación inicial se hace con la información disponible, y la notificación puede completarse por fases.
• “Denegar genéricamente” una solicitud de derecho. Toda denegación debe estar motivada y basada en una excepción concreta; si no, el simulador la penaliza.
• “Antedatar el contrato” o cualquier forma de falsedad documental. El simulador la castiga con el impacto más alto de todo el escenario. La integridad documental es un límite absoluto.
• “Notificar solo a la AEPD” cuando el riesgo es alto. Si hay alto riesgo, hay que comunicar también a los afectados.
• “Confiar en el proveedor” sin verificar el contrato. La supervisión del encargado es una obligación del responsable y no se delega.

Ninguna de estas opciones es absurda. Todas son atajos que en la práctica se toman. El simulador las penaliza porque el criterio profesional que entrena exige más: no basta con que la decisión “parezca razonable”, tiene que ser diligente, trazable y documentada.

• Cada opción mueve las tres métricas con un impacto {r, l, e} que responde a tres preguntas: ¿responde al hecho?, ¿genera evidencia?, ¿cuánto tiempo consume?
• Las opciones correctas bajan el riesgo, suben la evidencia y cuestan algo de tiempo. Las evasivas hacen lo contrario.
• Simulacro 1: revisar antes de responder (A), regularizar con transparencia (A). Las opciones de alegar exención, enviar solo la política u ocultar la omisión son trampas.
• Simulacro 2: evaluar el riesgo primero (A), notificar a la autoridad y comunicar a los afectados (A). Las opciones de calificar sin evaluar o esperar al forense son trampas.
• Cinco patrones se repiten en los diez simulacros: evaluar antes de actuar, transparencia sobre ocultación, documentar sobre improvisar, cumplir plazos en paralelo, no delegar la responsabilidad.
• Las trampas son plausibles porque en la vida real se toman. El simulador las penaliza porque el criterio que entrena exige más.

En la siguiente lección entrarás de lleno en los cinco primeros simulacros: el 1 (requerimiento AEPD), el 2 (brecha de seguridad), el 3 (incidente en proveedor), el 4 (derecho de supresión) y el 5 (EIPD y transferencias). Verás el escenario completo de cada uno, su lógica de resolución y las trampas específicas que contiene.