Datos personales

Qué exige, en claro

Cuando el sistema trata datos personales, aplicar lo que dispone la normativa de protección de datos (RGPD y LOPDGDD): las medidas de seguridad del ENS deben ser coherentes con el análisis de riesgos para los derechos de las personas, y las decisiones se toman en coordinación con el delegado de protección de datos (DPD) cuando exista.

En la práctica: que ambos mundos no vivan de espaldas — el registro de actividades de tratamiento y el inventario de activos se conocen, los incidentes con datos personales activan también la valoración de brecha (con sus plazos de notificación a la AEPD), y las evidencias sirven a los dos marcos. El ENS no sustituye al RGPD: se complementan.

Cuándo aplica y cómo escala

Aplica en cuanto el sistema trata datos personales — en la práctica, casi siempre. Esta ficha es divulgativa sobre la coordinación entre marcos, no asesoramiento jurídico: las obligaciones concretas de protección de datos las determina tu DPD o asesoría. Confírmalo en la valoración formal del sistema.

Ejemplos de implementación

• Procedimiento de incidentes (op.exp.7) con un paso explícito: «¿afecta a datos personales?» → valoración de brecha con el DPD y, si procede, notificación a la AEPD en plazo — el mismo incidente alimenta ambos registros.
• La valoración de la dimensión de confidencialidad (Anexo I) hecha con el DPD en la mesa: las categorías de datos tratados justifican el nivel elegido, y queda escrito.

Errores habituales

• ENS por un lado y RGPD por otro: dos consultores, dos inventarios, cero coordinación.
• Brechas de datos gestionadas como avería técnica, sin valorar la notificación a la AEPD.
• Valorar la confidencialidad sin mirar qué categorías de datos personales se tratan.
• El DPD se entera de los cambios del sistema cuando ya están en producción.
• Dar por hecho que cumplir el ENS «ya cubre» el RGPD (o viceversa).

Evidencias que suele ser razonable preparar

• Constancia de la coordinación con el DPD (actas, revisiones, participación en cambios relevantes).
• Procedimiento de incidentes con el circuito de brechas de datos personales integrado.
• Coherencia documentada entre registro de tratamientos e inventario de activos.
• Valoración de dimensiones que considera las categorías de datos tratadas.

Preguntas que debería hacerse el responsable

• ¿Quién es tu DPD y cuándo participó por última vez en una decisión del sistema?
• Si esta noche hay una brecha con datos personales, ¿quién valora la notificación a la AEPD y en qué plazo?
• ¿El registro de tratamientos y el inventario del sistema cuentan la misma historia?
• ¿La valoración de confidencialidad sabe qué datos personales hay dentro?

Fuente oficial: Anexo II del Real Decreto 311/2022 y Guía CCN-STIC 804 · Implantación del ENS (CCN-CERT). Ficha elaborada por Roberto Mickel, fundador y CTO de ENSFácil; revisada el 25 de agosto de 2026: la aplicabilidad exacta y los refuerzos dependen de la categoría y valoración de tu sistema — verifica siempre la versión vigente de la norma y de las guías.