Los 10 simulacros (I): del 1 al 5

Escenario. La autoridad de control requiere el registro de actividades de tratamiento y la acreditación de la legitimación de las cesiones a una gestoría laboral. El plazo legal es de 10 días hábiles. Es un escenario de respuesta documental: no hay un incidente, sino una solicitud que exige transparencia y trazabilidad.

Qué te pide. Que demuestres que el tratamiento está documentado y que la cesión a la gestoría tiene base jurídica y contrato de encargado. No basta con decir que lo tienes: hay que aportarlo.

La bifurcación clave. En el primer nodo eliges entre revisar antes de responder, alegar una exención sin análisis o enviar solo la política de privacidad. La opción diligente es revisar. En el segundo nodo, tras descubrir que la gestoría lleva meses sin contrato formal, eliges entre regularizar con transparencia, ocultar la omisión o consultar al delegado de protección de datos. La opción óptima es regularizar con transparencia; la consulta al delegado es aceptable pero menos eficiente; la ocultación es la peor.

Trampas. La exención para organizaciones pequeñas no es absoluta y no cubre tratamientos continuados con cesión a terceros. La política de privacidad no sustituye al registro ni al contrato. Ocultar una omisión detectable agrava el riesgo, porque la autoridad puede cruzar la información.

Aprendizaje. Ante un requerimiento, la transparencia con regularización espontánea es el camino que más baja el riesgo y más evidencia genera. La omisión oculta siempre sale más cara que la regularización reconocida.

Escenario. Un portátil corporativo sin cifrado se extravía. Contiene nombres, documento de identidad, salarios y datos de salud de 200 empleados. El plazo legal es de 72 horas desde el conocimiento del incidente.

Qué te pide. Que evalúes el riesgo antes de notificar, que notifiques a la autoridad si procede y que comuniques a los afectados si el riesgo es alto. La evaluación es el paso previo, no un trámite posterior.

La bifurcación clave. En el primer nodo eliges entre evaluar riesgo alto y activar el protocolo, considerar riesgo bajo sin evaluación suficiente o esperar al informe forense. La opción correcta es evaluar. En el segundo nodo, tras concluir que el riesgo es alto por datos de salud y ausencia de cifrado, eliges entre notificar a la autoridad y comunicar a los afectados, notificar solo a la autoridad o esperar al forense. La opción óptima es notificar y comunicar; la notificación sola es una respuesta incompleta; esperar es la peor.

Trampas. La ausencia de evidencia de uso no equivale a ausencia de riesgo. Un portátil con datos de salud y sin cifrado no puede calificarse de riesgo bajo sin un análisis que lo sostenga. El plazo de 72 horas corre desde el conocimiento del incidente, no desde que tengas el informe forense. La notificación puede completarse por fases.

Aprendizaje. La evaluación de riesgo es obligatoria y previa. Cuando el riesgo es alto, hay dos obligaciones en paralelo: notificar a la autoridad y comunicar a los afectados. La comunicación no es un extra: es lo que permite a los afectados adoptar medidas de autoprotección.

Escenario. Un proveedor externo sufre un ataque de ransomware. Parte de los datos de tus empleados podrían haber sido exfiltrados. El plazo legal para notificar a la autoridad es de 72 horas. Es un escenario de gestión de crisis con un encargado del tratamiento.

Qué te pide. Que verifiques el contrato con el proveedor, que determines el alcance real de la brecha y que notifiques si procede. La responsabilidad del responsable no se delega en el encargado: sigues siendo tú quien responde ante la autoridad.

La bifurcación clave. En el primer nodo eliges entre verificar contrato y notificación formal, confiar en el encargado sin revisar o notificar sin evaluar el alcance. La opción correcta es verificar. En el segundo nodo, tras descubrir que el contrato no incluye todas las cláusulas exigibles y que la subcontratación no está autorizada, eliges entre regularizar el contrato y evaluar el riesgo, culpar al encargado y desentenderse o cambiar de proveedor sin gestionar el incidente. La opción óptima es regularizar y evaluar; la culpa delegada y el cambio de proveedor son atajos que no resuelven el problema.

Trampas. Confiar en el encargado sin supervisión no exime de responsabilidad. La terminación contractual no sustituye la gestión de la brecha. La notificación no exige certeza absoluta: exige indicios razonables de riesgo. Y el orden importa: primero se notifica a la autoridad, después se comunica a los afectados si procede.

Aprendizaje. El contrato con el encargado debe revisarse periódicamente y debe incluir las cláusulas exigibles, incluida la autorización expresa de subcontratación. La supervisión del encargado es una obligación del responsable, no una cortesía.

Escenario. Un cliente solicita la supresión de todos sus datos personales. El plazo legal para atender la solicitud es de un mes. Es un escenario de ejercicio de derechos: la respuesta debe ser motivada, trazable y respetuosa con las excepciones legales.

Qué te pide. Que verifiques la identidad del solicitante, que evalúes si existen obligaciones legales de conservación y que respondas de forma motivada. El derecho de supresión no es absoluto: tiene excepciones.

La bifurcación clave. En el primer nodo eliges entre verificar identidad y evaluar excepciones, suprimir todo sin verificar o denegar genéricamente. La opción correcta es verificar. En el segundo nodo, tras detectar que algunos datos deben conservarse por obligación legal, eliges entre suprimir lo no necesario y bloquear lo conservable, suprimir todo aunque haya obligación legal o consultar al delegado y solicitar prórroga. La opción óptima es suprimir y bloquear; la supresión total es ilegal; la consulta es aceptable pero menos eficiente.

Trampas. Suprimir todo sin verificar identidad puede eliminar datos que debían conservarse. Denegar sin motivación es una infracción del derecho. Ocultar un error de supresión agrava la valoración. La prórroga debe estar justificada y no siempre se concede.

Aprendizaje. El derecho de supresión convive con obligaciones legales de conservación. La respuesta correcta no es “sí a todo” ni “no a todo”: es suprimir lo que ya no es necesario y bloquear lo que debe conservarse, con acceso restringido. La verificación de identidad es obligatoria y la motivación de la respuesta también.

Escenario. La dirección propone un sistema de reconocimiento facial para 5.000 empleados y visitantes. El proveedor almacenará los datos en Estados Unidos. Es un tratamiento de alto riesgo: datos biométricos, a gran escala y con transferencia internacional.

Qué te pide. Que realices una evaluación de impacto antes de desplegar, que evalúes la necesidad y la proporcionalidad del tratamiento, que estudies alternativas menos lesivas y que formalices las garantías para la transferencia internacional. Si el riesgo residual sigue siendo alto, la consulta previa a la autoridad es obligatoria.

La bifurcación clave. En el primer nodo eliges entre realizar la evaluación completa, implantar un piloto sin evaluación o hacer una evaluación simplificada sin transferencias. La opción correcta es la evaluación completa. En el segundo nodo, tras identificar el alto riesgo, eliges entre adoptar alternativas menos lesivas y medidas de mitigación, mantener el reconocimiento facial sin acreditar necesidad o transferir sin garantías. La opción óptima es adoptar alternativas y medidas; mantener el reconocimiento sin necesidad acreditada es un error de necesidad; transferir sin garantías es el peor escenario.

Trampas. La evaluación de impacto debe realizarse antes del tratamiento, no después. La necesidad y la proporcionalidad deben acreditarse, no presumirse. Las transferencias internacionales requieren garantías adecuadas; sin ellas, el tratamiento no es lícito. La evaluación simplificada que ignora las transferencias es incompleta.

Aprendizaje. La evaluación de impacto es obligatoria para tratamientos de alto riesgo. No es un documento que se rellena para cumplir: es el instrumento que permite decidir si el tratamiento es necesario y proporcionado, y con qué garantías. Si el riesgo residual sigue siendo alto tras las medidas, la consulta previa a la autoridad es el paso siguiente.

Los cinco primeros simulacros cubren situaciones distintas (requerimiento, brecha, encargado, derecho, evaluación de impacto), pero comparten el mismo esqueleto de criterio:

• Evaluar antes de actuar. En el 2 evalúas el riesgo antes de notificar; en el 5 evalúas el impacto antes de desplegar. En ambos, la evaluación es el paso previo, no un trámite posterior.
• Transparencia sobre ocultación. En el 1 regularizas con transparencia; en el 4 respondes con motivación. Ocultar la omisión o denegar sin motivar siempre sale más caro.
• Documentar sobre improvisar. En el 1 produces el registro y el contrato; en el 2 produces la notificación y la comunicación; en el 3 produces el contrato regularizado; en el 4 produces la respuesta motivada; en el 5 produces la evaluación de impacto. La evidencia es el hilo conductor de todos ellos.
• Cumplir plazos en paralelo, no en serie. En el 2, notificar y comunicar son obligaciones paralelas, no secuenciales. En el 3, notificar a la autoridad y evaluar el alcance también van en paralelo. Esperar a tener todo para empezar a cumplir es la trampa más común.
• No delegar la responsabilidad. En el 3, la responsabilidad del responsable no se delega en el encargado. En el 5, la responsabilidad del tratamiento no se delega en el proveedor. La supervisión es obligatoria.

Si interiorizas estos cinco patrones, puedes afrontar los simulacros 6 a 10 con el mismo criterio. Cambian los escenarios, pero no la lógica de fondo.

• Simulacro 1: requerimiento sobre registro y encargado. La transparencia con regularización es el camino; la ocultación es la peor opción.
• Simulacro 2: brecha por dispositivo extraviado. Evaluar el riesgo es previo; si el riesgo es alto, se notifica y se comunica en paralelo.
• Simulacro 3: ransomware en un proveedor. El contrato se verifica, el alcance se evalúa, la responsabilidad no se delega.
• Simulacro 4: derecho de supresión. Verificar identidad, motivar la respuesta y distinguir entre supresión y bloqueo.
• Simulacro 5: reconocimiento facial con transferencia internacional. La evaluación de impacto es previa, la necesidad se acredita, las transferencias requieren garantías.
• Patrón común: evaluar antes de actuar, transparencia sobre ocultación, documentar sobre improvisar, plazos en paralelo, no delegar la responsabilidad.

En la siguiente lección verás los simulacros 6 a 10: menores y cookies, portabilidad de datos, delegado de protección de datos, IA generativa con un modelo de lenguaje externo e IA agéntica con un agente autónomo. Los dos últimos son los más avanzados del curso y los que más se acercan al marco emergente de la inteligencia artificial.