Medidas técnicas y organizativas: una cláusula abierta entre derecho, tecnología y gestión del riesgo

Una lectura comparada del RGPD y la LOPDP ecuatoriana desde la seguridad del tratamiento, la responsabilidad proactiva y el estado de la técnica

Resumen

La expresión “medidas técnicas y organizativas” ocupa una posición estructural en el derecho de protección de datos personales. Sin embargo, su aparente sencillez puede inducir a una interpretación reductora: entenderla como una lista cerrada de controles tecnológicos y procedimientos internos. Este artículo sostiene una tesis distinta: dicha expresión funciona como una cláusula abierta, de naturaleza técnico-jurídica, cuyo contenido se concreta mediante un juicio contextual de riesgo, proporcionalidad, estado de la técnica y demostrabilidad.

El análisis compara la técnica normativa del Reglamento General de Protección de Datos de la Unión Europea con la Ley Orgánica de Protección de Datos Personales de Ecuador. Mientras el RGPD emplea una formulación sintética —“medidas técnicas y organizativas apropiadas”—, la LOPDP ecuatoriana explicita una pluralidad de categorías: medidas técnicas, organizativas, físicas, administrativas, jurídicas, tecnológicas y de cualquier otra índole. Esta diferencia no revela modelos incompatibles, sino dos técnicas legislativas orientadas a una misma unidad material: exigir al responsable y al encargado un estándar de diligencia cualificada frente a riesgos concretos para los derechos y libertades de las personas.

La conclusión principal es que una medida no se define por su etiqueta, sino por su función protectora. Puede integrar el estándar cuando resulta necesaria, proporcionada, implementada, eficaz, revisable y demostrable frente al riesgo del tratamiento.

Palabras clave: protección de datos; RGPD; LOPDP Ecuador; medidas técnicas y organizativas; seguridad del tratamiento; estado de la técnica; responsabilidad proactiva; obligación de medios cualificada; privacidad desde el diseño.

 

1. Introducción: una fórmula breve para una obligación compleja

El derecho de protección de datos personales regula tratamientos cada vez más heterogéneos: historias clínicas electrónicas, servicios financieros digitales, sistemas biométricos, plataformas en la nube, aplicaciones móviles, archivos físicos, algoritmos de perfilado, sistemas de videovigilancia, entornos de inteligencia artificial y cadenas de proveedores tecnológicos. Frente a esa diversidad, ninguna norma puede anticipar exhaustivamente todas las medidas necesarias para proteger los datos personales en cada escenario.

Por ello, el RGPD recurre a fórmulas abiertas. El art. 32 exige aplicar “medidas técnicas y organizativas apropiadas” para garantizar un nivel de seguridad adecuado al riesgo. La palabra decisiva no es “técnicas” ni “organizativas”, sino “apropiadas”. La norma no exige una medida por su nombre, sino por su idoneidad frente al riesgo concreto. Esa idoneidad depende de factores como la naturaleza, el alcance, el contexto y los fines del tratamiento, así como de la probabilidad y gravedad de los riesgos para los derechos y libertades de las personas.

Este enfoque obliga a desplazar la discusión desde el catálogo hacia el método. La pregunta relevante no es si existe una lista cerrada de medidas, sino cómo se determina, justifica, implementa y prueba que una medida era adecuada. De ahí que este artículo adopte un enfoque comparado y funcional: compara la técnica normativa europea y ecuatoriana, y analiza la medida no por su etiqueta formal, sino por la función que cumple frente al riesgo.

Desde esta perspectiva, la expresión “medidas técnicas y organizativas” opera como una cláusula abierta o norma estándar. El legislador no renuncia a regular, sino que formula un mandato flexible cuya concreción depende de criterios jurídicos, técnicos, organizativos, sectoriales y probatorios. La técnica no sustituye al derecho; lo concreta. Y el derecho no se desentiende de la técnica; la incorpora como parámetro de diligencia.

 

2. RGPD y LOPDP: dos técnicas legislativas, una misma unidad material

El RGPD utiliza una fórmula sintética. Sus artículos 24, 25, 28 y 32 articulan una obligación de adoptar medidas apropiadas desde distintas perspectivas: responsabilidad del responsable, protección de datos desde el diseño y por defecto, garantías del encargado y seguridad del tratamiento. Esta arquitectura normativa se completa con el principio de integridad y confidencialidad del art. 5.1.f y con la responsabilidad proactiva del art. 5.2.

La LOPDP ecuatoriana utiliza una técnica de mayor explicitación. El art. 37 se refiere a medidas técnicas, organizativas y de cualquier otra índole para garantizar la seguridad de los datos personales. El art. 39 conecta la protección de datos desde el diseño y por defecto con medidas técnicas, organizativas y de cualquier otra índole. El art. 47, por su parte, menciona herramientas administrativas, técnicas, físicas, organizativas y jurídicas, así como medidas tecnológicas, físicas, administrativas, organizativas y jurídicas.

Esta diferencia terminológica debe interpretarse con cautela. No significa que el RGPD excluya las medidas físicas, jurídicas o administrativas, ni que la LOPDP cree compartimentos estancos. La divergencia está en la técnica legislativa. El RGPD sintetiza y remite al riesgo, al estado de la técnica y a la responsabilidad proactiva. La LOPDP explicita categorías para reforzar positivamente la multidimensionalidad del deber de seguridad.

En ambos modelos, la obligación material es convergente: el responsable y el encargado deben adoptar medidas adecuadas al riesgo, no medidas meramente nominales. Por eso, afirmar que “Ecuador explicita lo que el RGPD sintetiza” es útil siempre que se entienda como una tesis metodológica, no como una jerarquía normativa. La norma ecuatoriana revela con mayor densidad terminológica lo que el RGPD reconstruye mediante una interpretación sistemática de principios, obligaciones, considerandos y guías.

 

3. La medida como función: prevenir, limitar, proteger, detectar, corregir y demostrar

Una clasificación puramente formal de las medidas resulta insuficiente. Es habitual distinguir entre medidas técnicas, organizativas, físicas, jurídicas, administrativas u operativas. Esa clasificación ayuda a ordenar el análisis, pero no determina por sí sola la adecuación. Una medida puede ser formalmente técnica e inadecuada, o aparentemente administrativa y decisiva para probar diligencia.

La clave está en la función. Una medida puede prevenir un riesgo, limitar la exposición de datos, proteger sistemas o soportes, detectar accesos indebidos, corregir vulnerabilidades, restaurar disponibilidad o demostrar cumplimiento. Además, muchas medidas son híbridas. El cifrado de un portátil es técnico, pero también físico, operativo y probatorio. Un contrato de encargo es jurídico, pero también organizativo y de control de proveedor. Una evaluación de impacto es jurídica, metodológica, de diseño y probatoria. Un registro de visitantes puede ser físico, administrativo y evidencial.

Esta lectura funcional permite superar el reduccionismo de software. La seguridad del tratamiento no se agota en contraseñas, cortafuegos o cifrado. Puede exigir segregación de funciones, formación, revisión de permisos, control de proveedores, custodia documental, destrucción segura, continuidad, pruebas de restauración, trazabilidad, gestión de incidentes y auditorías.

La seguridad física es un ejemplo especialmente claro. Un archivo sin custodia, un USB no cifrado, una sala técnica accesible o un portátil sustraído pueden comprometer datos personales tanto como una vulnerabilidad informática. Por tanto, una medida física puede integrar el estándar de seguridad cuando resulta necesaria y proporcionada frente al riesgo del tratamiento. No entra por su etiqueta, sino por su función protectora.

 

4. Obligación de medios cualificada: no infalibilidad, sí diligencia demostrable

La jurisprudencia europea ha contribuido a delimitar el estándar de seguridad. Una brecha, un ciberataque o una divulgación no autorizada no prueban automáticamente que las medidas fueran inadecuadas. El derecho de protección de datos no impone una responsabilidad objetiva por el mero hecho del incidente.

Sin embargo, esta regla no debilita la obligación del responsable. La seguridad es una obligación de medios, pero de medios cualificados. La organización debe poder acreditar que, antes del evento, había identificado riesgos razonablemente previsibles, seleccionado medidas idóneas, implementado controles proporcionados, revisado su eficacia y documentado sus decisiones.

La tríada jurisprudencial puede formularse así: no hay infracción automática por la sola existencia de una brecha; la adecuación de las medidas debe valorarse caso por caso; y el responsable debe poder demostrar diligencia previa. Esta última idea conecta directamente con la responsabilidad proactiva. La prueba no es un elemento accesorio del cumplimiento, sino una parte estructural del estándar.

Por ello, tras un incidente, la pregunta no debería limitarse a qué ocurrió. Debe analizarse qué riesgos eran previsibles, qué medidas existían, si estaban realmente implementadas, si se revisaban, qué evidencias había, qué papel desempeñaban los proveedores y cómo se reaccionó. La organización no debe demostrar que era invulnerable, sino que actuó con una diligencia técnicamente razonable y jurídicamente verificable.

 

5. Estado de la técnica y selección de controles: una metodología mínima

El art. 32 RGPD exige tener en cuenta el estado de la técnica. Esta expresión no equivale a adoptar siempre la tecnología más avanzada, sino a considerar soluciones razonablemente disponibles, maduras, conocidas y adecuadas para reducir un riesgo determinado. El estado de la técnica es dinámico: lo que ayer era suficiente puede resultar insuficiente ante nuevas amenazas, nuevas guías o nuevas prácticas sectoriales.

Para evitar que el concepto quede en una fórmula abstracta, conviene traducirlo en una metodología mínima de selección de controles. Esa metodología puede seguir siete pasos:

1. Identificar el tratamiento, sus finalidades, actores, sistemas, datos y ciclo de vida.
2. Determinar amenazas y vulnerabilidades razonablemente previsibles.
3. Valorar probabilidad e impacto sobre derechos y libertades.
4. Identificar controles existentes y brechas de cobertura.
5. Seleccionar medidas adicionales según eficacia, proporcionalidad, madurez y coste razonable.
6. Valorar riesgo residual y decidir si es aceptable, mitigable o incompatible con el tratamiento.
7. Revisar periódicamente las medidas conforme al estado de la técnica, incidentes, auditorías y cambios del contexto.

En este proceso, normas y marcos como ISO/IEC 27001, ISO/IEC 27701, el Esquema Nacional de Seguridad, las guías de ENISA o las directrices de autoridades de control pueden tener valor relevante. No operan como exoneración automática ni como “puerto seguro” absoluto. Su utilidad reside en que ofrecen lenguaje técnico, criterios de madurez, familias de controles y evidencia cualificada de diligencia, siempre que su alcance cubra realmente el tratamiento y las medidas estén implementadas.

La normalización, por tanto, no sustituye al juicio jurídico de adecuación. Lo fortalece. Permite explicar por qué una medida fue elegida, cómo se implantó, con qué alcance, con qué revisión y con qué evidencia.

 

6. Ciberseguridad y privacidad: convergencia necesaria, tensión posible

La ciberseguridad y la protección de datos personales comparten objetivos relevantes. Cifrado, autenticación multifactor, segmentación, gestión de vulnerabilidades, copias de seguridad, monitorización, respuesta a incidentes y control de accesos son medidas que pueden proteger la confidencialidad, integridad, disponibilidad y resiliencia del tratamiento.

Pero no toda medida de ciberseguridad es automáticamente proporcionada desde la perspectiva de protección de datos. Algunas pueden generar nuevos tratamientos o aumentar la intrusión: inspección profunda de tráfico, logging excesivo, monitorización laboral, grabación de sesiones, herramientas DLP con alta granularidad, conservación prolongada de eventos o correlación masiva en sistemas SIEM.

Un ejemplo ilustra la tensión. Una organización puede necesitar logs detallados para detectar accesos indebidos a expedientes sensibles. Sin embargo, esos logs también contienen datos personales: identificadores de usuarios, horarios, recursos consultados, direcciones IP, patrones de comportamiento e incluso inferencias sobre productividad. La solución no es prescindir del logging, sino diseñarlo con protección de datos: finalidad definida, minimización de campos, acceso restringido, conservación limitada, segregación de funciones, trazabilidad de consultas a los propios logs y revisión periódica de proporcionalidad.

La seguridad protege la privacidad, pero también debe diseñarse con privacidad. Una organización madura no elige entre ambos planos: integra ciberseguridad y protección de datos bajo un mismo modelo de riesgo, proporcionalidad, necesidad y evidencia.

 

7. Conclusión: de la lista de controles al estándar de protección efectiva

La expresión “medidas técnicas y organizativas” no debe leerse como una fórmula cerrada ni como un inventario mínimo de herramientas. Su función es permitir que el derecho de protección de datos se adapte a tratamientos, tecnologías, amenazas y contextos cambiantes sin perder exigibilidad jurídica.

El RGPD y la LOPDP ecuatoriana muestran dos técnicas normativas distintas. El primero sintetiza y remite a un juicio de adecuación; la segunda explicita la pluralidad de dimensiones del deber de seguridad. Ambos modelos convergen en una misma exigencia: adoptar medidas apropiadas al riesgo y demostrar su idoneidad.

La medida adecuada no es necesariamente la más sofisticada ni la más costosa. Es aquella que resulta pertinente, proporcionada, implementada, eficaz, revisable y demostrable frente al riesgo concreto. Puede ser técnica, organizativa, física, jurídica, administrativa, operativa, de diseño, de proveedor o probatoria. Su valor no depende de la etiqueta, sino de su capacidad real para proteger derechos.

La idea final puede formularse de manera simple: en protección de datos, cumplir no consiste en acumular controles, sino en construir una relación verificable entre riesgo, medida y evidencia. Esa relación es la que transforma la seguridad declarada en protección efectiva.

 

PD: Este artículo es un resumen del informe que he redactado sobre este tema en el que analizo en profundidad este tema aportando fuentes confiables de autoridades de protección de datos, procedimientos sancionadores y sentencias de tribunales de justicia. Accede al mismo en el siguiente enlace: Acceso al informe principal

 

 

Referencias mínimas

[1] Reglamento (UE) 2016/679, arts. 5.1.f, 5.2, 24, 25, 28, 32, 33, 34 y 35; considerandos 74, 75, 76, 78, 83 y 85 a 88.
[2] Ley Orgánica de Protección de Datos Personales de Ecuador, arts. 37, 39, 40, 42 y 47.
[3] Reglamento General a la Ley Orgánica de Protección de Datos Personales de Ecuador.
[4] Comité Europeo de Protección de Datos, Guidelines 4/2019 on Article 25 Data Protection by Design and by Default.
[5] ENISA, Data Protection Engineering.
[6] Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad.
[7] Directiva (UE) 2022/2555, conocida como Directiva NIS2.
[8] Tribunal de Justicia de la Unión Europea, sentencia de 14 de diciembre de 2023, asunto C-340/21, Natsionalna agentsia za prihodite.