RGPD: inventario de dispositivos con datos personales

Hay datos personales en un dispositivo siempre que se almacenan, se guardan en caché o se sincronizan allí: portátiles, móviles, memorias USB y escáneres, no solo servidores. Un inventario de dispositivos RGPD lista cada dispositivo que puede contener datos personales, quién lo tiene, si está cifrado y cómo se borra, para demostrar una seguridad adecuada según el artículo 32 y, si uno desaparece, decidir dentro del plazo de 72 horas del artículo 33 si hay que notificar a la autoridad. El RGPD no usa las palabras «inventario de dispositivos», pero no se puede proteger ni informar de lo que no se puede listar.

¿Por qué le importan los dispositivos al RGPD?

El reglamento exige tratar los datos personales de forma segura (artículo 5, apartado 1, letra f), y el artículo 32 pide a responsables y encargados medidas técnicas y organizativas adecuadas al riesgo, citando el cifrado como ejemplo. Un portátil con una exportación de clientes forma parte de ese riesgo. El artículo 33 exige notificar una violación de datos a la autoridad de control sin dilación indebida y, de ser posible, en un plazo máximo de 72 horas desde que se tuvo constancia, salvo que sea improbable que suponga un riesgo para las personas. El artículo 33, apartado 5, también pide documentar toda violación, incluidas las que decidas no notificar.

El artículo 30 exige un registro de actividades de tratamiento, que describe categorías de datos y sistemas más que dispositivos concretos. El inventario de dispositivos conecta ese registro con la realidad física.

El texto del reglamento, incluidos los artículos 5, 30, 32 y 33, se publica en eur-lex.europa.eu. Esto es orientación práctica, no asesoramiento jurídico.

¿Dónde están realmente los datos personales en los dispositivos?

Los equipos piensan en los sistemas principales y olvidan las copias. Repasa estos lugares al delimitar el inventario.

¿Qué debe registrar un inventario de dispositivos RGPD?

Mantenlo lo bastante corto para poder cuidarlo. Estos campos responden a lo que un regulador o un cliente preguntará tras un incidente.

• Dispositivo y número de serie: para que un aviso de pérdida nombre un objeto concreto.
• Responsable: la persona que responde, con fechas de inicio y fin de la asignación.
• Estado de cifrado: cifrado o no, y cómo lo sabes, por ejemplo una referencia a tu gestión de dispositivos.
• Datos que puede contener: una nota de una línea, como «exportaciones de soporte a clientes».
• Ubicación: oficina, domicilio o almacén.
• Fin de vida: fecha de baja y certificado de borrado.

¿Qué hacer cuando se pierde un dispositivo con datos personales?

Pon en marcha el reloj en cuanto lo sepas. Anota cuándo tuviste conocimiento, qué dispositivo era, quién lo tenía y si estaba cifrado, y evalúa el riesgo para las personas afectadas. Los datos que necesitas son justo los campos del inventario anteriores, por eso una pérdida es la mejor prueba del registro. La rutina paso a paso, del bloqueo remoto al aviso, está en el procedimiento ante un portátil perdido o robado.

Si debes notificar depende de la evaluación del riesgo. Un dispositivo cifrado con bloqueo fuerte puede reducir el riesgo, pero igualmente documentas la decisión como pide el artículo 33, apartado 5.

¿Y los dispositivos retirados, las salidas y el personal remoto?

Aquí es donde más se escapan los datos personales. Alguien que se va y se queda un móvil, un portátil devuelto sin borrar, un cajón de discos viejos: nada de eso aparece en un sistema principal y todo puede contener datos. Vincula el inventario a tu proceso de baja para que cada dispositivo retirado tenga un borrado registrado, y a las prácticas de equipamiento de empleados remotos para que envíos y devoluciones queden anotados.

¿Dónde encaja InventorIA?

InventorIA lleva el registro de hardware con asignación, estado, garantía, ubicación y estados del ciclo de vida, vincula a cada persona con los dispositivos que tiene mediante sus funciones de personas y salida, y exporta a CSV o Excel. Así tienes el responsable, la ubicación y el rastro de fin de vida de cada dispositivo en un solo sitio. No analiza dispositivos ni comprueba si un disco está cifrado: anótalo desde tu herramienta de gestión de dispositivos. Tampoco te hace cumplir el RGPD por sí solo.

Para ver el registro con datos de ejemplo, abre la demo en vivo o crea un espacio gratuito de hasta 10 activos.

Preguntas frecuentes

¿Exige el RGPD un inventario de dispositivos?

No con ese nombre. Los artículos 32 y 33 exigen seguridad adecuada y notificación de violaciones, y ambos son difíciles de cumplir si no puedes listar los dispositivos que guardan datos personales.

¿Hay que listar los dispositivos personales usados para trabajar?

Si guardan datos personales de la empresa, debes saberlo. O tu política los prohíbe, o los registras y defines cómo se retiran los datos al salir.

¿Es obligatorio el cifrado según el RGPD?

El artículo 32 cita el cifrado como ejemplo de medida adecuada. Que sea exigible depende del riesgo, pero en dispositivos portátiles es la base habitual.

¿Hay que notificar la pérdida de un portátil cifrado?

Depende de tu evaluación del riesgo. El cifrado puede hacer improbable un riesgo para las personas, pero documentas la violación y tu razonamiento según el artículo 33, apartado 5.

¿Basta una hoja de cálculo?

Sí, si está completa, con responsables y fechas, y actualizada. Una herramienta ayuda sobre todo con el rastro de salidas y bajas.