Reglamento General de Protección de Datos (RGPD):
Criptografía y seguridad en el tratamiento de datos financieros
| Región | Unión Europea / EEE, con alcance extraterritorial a cualquier organización que trate los datos personales de residentes en la UE |
| Ámbito de aplicación | Responsables del tratamiento: entidades financieras que determinan los fines y los medios del tratamiento de los datos de los clientes, de las cuentas y de las transacciones. Encargados del tratamiento: procesadores de pagos , proveedores de servicios en la nube y proveedores de servicios externalizados que tratan datos personales por cuenta de un responsable del tratamiento. Delegados de protección de datos: su designación suele ser obligatoria, dada la supervisión sistemática y a gran escala inherente a la evaluación del riesgo financiero y la detección del fraude. |
| Apartados pertinentes | Artículo 32: Seguridad del tratamiento, incluidas la seudonimización y el cifrado. Artículo 25: Protección de datos desde el diseño y de forma predeterminada. Artículos 33 y 34: Notificación de violaciones de seguridad , incluido el cifrado como factor atenuante. |
Visión general
El RGPD (Reglamento (UE) 2016/679), en vigor desde mayo de 2018, sigue siendo el punto de referencia mundial en materia de protección de datos, y su influencia sobre lo que los reguladores de todo el mundo consideran una seguridad «razonable» se extiende mucho más allá de la UE. El artículo 32 menciona directamente «la seudonimización y el cifrado de los datos personales» como una medida adecuada al riesgo, junto con la confidencialidad, la integridad, la disponibilidad y la resiliencia continuas de los sistemas de tratamiento.
Las entidades financieras tratan datos que, con frecuencia, se consideran de alto riesgo según el criterio basado en el riesgo del RGPD: historiales de transacciones, datos de crédito y de capacidad de pago, y datos de autenticación biométrica utilizados en la prevención del fraude. El artículo 34, apartado 3, letra a), otorga al cifrado una ventaja directa y práctica: el responsable del tratamiento no está obligado a notificar a los interesados una violación de seguridad si los datos expuestos se han vuelto ininteligibles para terceros no autorizados, normalmente mediante un cifrado sólido.
Por qué es importante
Las multas del RGPD alcanzan los 20 millones de euros o el 4 % de la facturación anual global, lo que sea mayor, y el sector de los servicios financieros se ha situado sistemáticamente entre los sectores más sancionados, dado el volumen y la sensibilidad de los datos que se tratan. Dado que el artículo 32 se basa en el riesgo y no es prescriptivo, las autoridades de control y los tribunales tienen en cuenta qué prácticas de cifrado y gestión de claves se aplicaban realmente en el momento del incidente, y no lo que establecía la política de la organización.
La cláusula de exención de responsabilidad en materia de notificación de violaciones prevista en el artículo 34, apartado 3, letra a), convierte el cifrado en una medida directa para evitar costes: un cifrado sólido, con claves adecuadas, puede marcar la diferencia entre una simple notificación a las autoridades reguladoras y la obligación de notificar públicamente a todos los clientes afectados.
Cómo se aplica esto a la criptografía
El RGPD aborda la criptografía a través de varias áreas de control interrelacionadas. Las áreas clave con implicaciones criptográficas directas son:
| Sección | Función | Lo que dice | Asistencia para los productos « Keyfactor » |
| Artículo 32, apartado 1, letra a) | Seguridad del tratamiento | Cifrado y seudonimización de los datos de los clientes y de las transacciones, tanto en reposo como en tránsito, adaptados al riesgo que entraña la actividad de tratamiento. | EJBCA |
| Artículo 25 | Protección de datos desde el diseño y por defecto | Controles criptográficos integrados desde la fase de diseño del sistema, con almacenes de datos cifrados y API como configuración predeterminada, en lugar de como un control añadido posteriormente. | Keyfactor Command |
| Artículo 34, apartado 3, letra a) | Norma de «Safe Harbor» para la notificación de violaciones de seguridad | Un cifrado sólido y demostrable que permita a la organización quedar exenta de la obligación de notificar a los interesados individuales cuando los datos expuestos se hayan vuelto ilegibles. | EJBCA |
| Artículo 32, apartado 1, letra b) | Gestión de claves y control de acceso | Un ciclo de vida de claves gestionado con acceso restringido a las mismas, que garantiza la confidencialidad, la integridad y la resiliencia continuas de los sistemas de procesamiento. | Keyfactor Command |
| Artículo 46 (Cláusulas contractuales tipo) | Medidas de protección para las transferencias transfronterizas | El cifrado de los datos en tránsito como medida técnica complementaria que respalda los mecanismos de transferencia internacional. | EJBCA |
| Artículo 28 | Garantía criptográfica de procesadores y proveedores | Un inventario de componentes criptográficos que sirve de apoyo a la diligencia debida sobre los procesadores y subprocesadores de pagos que tratan datos personales. | AgileSec |
Preparación para la auditoría
Las evaluaciones y los exámenes, ya sean realizados por la propia organización, llevados a cabo por un organismo regulador o revisados por un evaluador independiente, se centran en las pruebas demostradas y no únicamente en las declaraciones de política. Áreas clave que suelen analizar los examinadores y evaluadores:
- Artículo 32. Documentación de la evaluación de riesgos: ¿Ha documentado la organización la evaluación de riesgos en la que se basa su elección de las medidas de cifrado y seudonimización?
- Cobertura del cifrado y la seudonimización: ¿Puede la organización demostrar que se aplica el cifrado o la seudonimización de los datos personales en todos los sistemas que los tratan, y no solo en los que dan al exterior?
- Apoyo al «Safe Harbor» en materia de notificación de violaciones de seguridad: ¿Existe evidencia documentada de que los datos expuestos en un incidente hipotético seguirían siendo ininteligibles debido al cifrado?
- Registros de «protección de datos desde el diseño»: ¿ Reflejan las evaluaciones de impacto sobre la protección de datos los controles criptográficos que se han tenido en cuenta en la fase de diseño?
- Contrato con el encargado del tratamiento y garantías de los subencargados del tratamiento: ¿Se abordan en los acuerdos con los encargados del tratamiento las prácticas criptográficas de los procesadores de pagos y los subencargados del tratamiento?
- Pruebas clave sobre la restricción del acceso: ¿Se restringe y se registra el acceso a las claves criptográficas que protegen los datos personales?
LLEVA ESTO A LA DIRECCIÓN
El artículo 32 menciona específicamente el cifrado, y las multas previstas, de hasta el 4 % de nuestra facturación global, son lo suficientemente elevadas como para cambiar nuestra forma de priorizar el gasto en seguridad. Pero el cifrado también ofrece algo que las multas no pueden: según el artículo 34, apartado 3, letra a), es una vía directa para evitar la notificación individual de las violaciones de seguridad si podemos demostrar que los datos expuestos eran realmente ininteligibles.
Esa exención solo funciona si podemos demostrarlo a posteriori. Necesitamos que nuestras pruebas de cifrado y gestión de claves estén bien organizadas antes de que se produzca un incidente, y no recopiladas bajo presión una vez que los reguladores y los clientes ya estén haciendo preguntas.
Cumplimientos normativos relacionados
PSD2 / Autenticación fuerte del cliente
Preparación para la era poscuántica en el sector de los servicios financieros
