La mayoría de los incidentes de seguridad que sufren las organizaciones no nacen de un fallo tecnológico, sino de una decisión humana: abrir un correo fraudulento, usar una contraseña débil o compartir información por un canal inadecuado. Por eso, la formación de la plantilla no es una acción complementaria de la ciberseguridad, sino una de sus medidas más determinantes. El RGPD y la LOPDGDD refuerzan esta idea al vincular expresamente la seguridad del tratamiento con la organización interna y el comportamiento de las personas que acceden a los datos.
Por qué la formación es una obligación, no una opción
El art. 32 del RGPD exige aplicar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo. La formación del personal es, junto con el cifrado o el control de accesos, una de las medidas organizativas de referencia citadas por las autoridades de control y por los estándares de seguridad de la información. A ello se suma el deber de confidencialidad del art. 5 LOPDGDD, que obliga a informar y formar a quienes acceden a datos personales sobre sus obligaciones y las consecuencias de su incumplimiento.
Para el sector público, el Esquema Nacional de Seguridad (Real Decreto 311/2022) incluye la concienciación y formación como medida de seguridad de obligado cumplimiento. Y la Directiva NIS2, en fase de transposición, exige expresamente formación en ciberseguridad no solo para el personal técnico, sino también para los órganos de dirección de las entidades esenciales e importantes.
Beneficios de una plantilla formada
- Reduce de forma directa el éxito de los ataques de ingeniería social, que siguen siendo la puerta de entrada más habitual en los incidentes.
- Disminuye el tiempo de detección y notificación de incidentes, clave para cumplir el plazo de 72 horas del art. 33 RGPD.
- Refuerza la cultura de cumplimiento y facilita acreditar la responsabilidad proactiva (art. 24 RGPD) ante la AEPD en caso de inspección.
- Mejora la confianza de clientes y terceros que exigen garantías de seguridad en las relaciones contractuales (encargados y responsables, art. 28 RGPD).
Riesgos si la formación es insuficiente o inexistente
- Mayor probabilidad de éxito de campañas de phishing, smishing y vishing dirigidas a la plantilla.
- Uso inadecuado de contraseñas, dispositivos o aplicaciones no autorizadas, ampliando la superficie de ataque.
- Filtraciones accidentales de datos por desconocimiento de los procedimientos internos (envío a destinatario erróneo, uso de canales no seguros).
- Dificultad para acreditar ante la AEPD que se adoptaron medidas organizativas razonables tras un incidente, lo que puede agravar la sanción.
- Incumplimiento del deber de confidencialidad del art. 5 LOPDGDD si el personal no ha sido informado de sus obligaciones.
Base de legitimación del tratamiento en los programas de formación
Cuando la formación implica tratar datos de la plantilla (por ejemplo, registro de asistencia, resultados de test de conocimientos o resultados de simulacros de phishing), la base jurídica principal es el cumplimiento de una obligación legal en materia de seguridad de la información (art. 6.1.c RGPD, en relación con el art. 32 RGPD y el art. 5 LOPDGDD), complementada, en su caso, por el interés legítimo de la organización en medir la eficacia de sus medidas de seguridad (art. 6.1.f RGPD), siempre que se pondere frente a los derechos de la plantilla.
¿Es obligatoria una evaluación de impacto (EIPD)?
Con carácter general, un programa de formación y concienciación en ciberseguridad no constituye un tratamiento de alto riesgo y no requiere EIPD conforme al art. 35 RGPD. La situación cambia cuando la organización introduce simulacros de phishing u otras pruebas con seguimiento individualizado de resultados que puedan derivar en consecuencias disciplinarias o en perfiles de riesgo por persona empleada. En ese escenario, al tratarse de una forma de evaluación sistemática del comportamiento individual con posibles efectos sobre la persona, es recomendable realizar al menos un análisis de riesgo documentado y valorar la EIPD si el volumen de personal, la reiteración de las pruebas o las consecuencias asociadas incrementan el riesgo para sus derechos.
Medidas de proporcionalidad y buenas prácticas
- Diseñar planes de formación adaptados al rol y al nivel de acceso a datos de cada perfil, no un contenido genérico único.
- Informar previamente a la plantilla sobre la existencia de simulacros de phishing, su finalidad formativa y el tratamiento que se hará de los resultados.
- Evitar el uso de los resultados individuales con fines disciplinarios automáticos; priorizar el refuerzo formativo frente a la sanción.
- Documentar la formación impartida (contenidos, fechas, asistencia) como evidencia de responsabilidad proactiva ante una eventual inspección.
- Repetir la formación de forma periódica, no como acción puntual, incorporando los nuevos vectores de ataque (deepfakes, fraude del CEO, ataques a la cadena de suministro).
- Incluir en la formación el procedimiento interno de notificación de incidentes y brechas de seguridad, con canales claros y conocidos.
- Formar también a los órganos de dirección, conforme a la orientación de la Directiva NIS2 para entidades esenciales e importantes.
Conclusión
Formar a la plantilla en ciberseguridad no es un gasto accesorio, sino una medida de seguridad exigida por el RGPD, la LOPDGDD y, según el sector, por el Esquema Nacional de Seguridad o la futura normativa NIS2. Bien diseñada, con información previa, proporcionalidad y sin fines punitivos automáticos, la formación reduce el riesgo real de incidentes y refuerza la posición de la organización ante cualquier inspección o reclamación.
Este contenido tiene carácter informativo y divulgativo. La aplicación de estas normas a un caso concreto puede requerir un análisis jurídico específico adaptado a la actividad, el sector y el nivel de riesgo de la organización.
#FormaciónCiberseguridad #ProtecciónDeDatos #Ciberseguridad #RGPD #LOPDGDD #sipylopd #SIPY
