Aplicable en España — basado en normativa española (BOE).Las medidas de seguridad y de gestión que responsables y encargados deben determinar según el riesgo del tratamiento
Resumen rápido: Las medidas técnicas y organizativas son el conjunto de medidas -de seguridad informática, de organización interna, de formación del personal o de procedimiento- que, conforme a los artículos 24 y 25 del RGPD y al artículo 28.1 de la LOPDGDD, los responsables y encargados del tratamiento deben determinar para garantizar y acreditar que su tratamiento de datos es conforme con la normativa de protección de datos.
Definición flash: Responsables y encargados deben determinar las medidas técnicas y organizativas apropiadas al riesgo del tratamiento, para garantizar y acreditar su conformidad con el RGPD (art. 28.1 LOPDGDD).
Etiqueta lingüística
La expresión combina dos planos distintos: lo "técnico" remite a herramientas y sistemas -cifrado, control de accesos, copias de seguridad-, mientras que lo "organizativo" remite a la gestión humana y procedimental -políticas internas, formación, asignación de responsabilidades-. La ley las exige de forma conjunta porque una seguridad puramente técnica sin organización adecuada, o a la inversa, resulta insuficiente.
Definición técnica
El artículo 28.1 de la LOPDGDD exige que las medidas técnicas y organizativas se determinen teniendo en cuenta los elementos del artículo 24 y 25 del RGPD -entre ellos, la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como los riesgos para los derechos de las personas-, y que sean "apropiadas" para ese tratamiento concreto, no un catálogo fijo aplicable a cualquier caso. El artículo 28.2 obliga a graduar esas medidas atendiendo a los factores de riesgo que enumera: posibilidad de discriminación, usurpación de identidad, fraude, pérdidas financieras, daño reputacional, pérdida de confidencialidad de datos sujetos a secreto profesional, tratamiento de categorías especiales de datos, elaboración de perfiles, afectación a colectivos vulnerables o tratamientos masivos.
Aplicación práctica
En la práctica, esto significa que las medidas de seguridad de una pequeña consulta médica -cifrado de historiales, control de acceso físico al archivo, formación básica del personal- no tienen por qué coincidir con las de un hospital que trata millones de historiales clínicos con sistemas interconectados: el principio de "medidas apropiadas" obliga a graduar la protección según el riesgo real, no a aplicar un estándar único.
Contexto legal en España
Las medidas técnicas y organizativas se regulan en los artículos 24 y 25 del RGPD y se desarrollan en el artículo 28 de la Ley Orgánica 3/2018 (LOPDGDD), que fija los factores de riesgo a valorar para determinarlas.
Normas clave a tener en cuenta
Qué no es / diferencias clave
- Responsabilidad proactiva
- La responsabilidad proactiva es el PRINCIPIO de acreditar el cumplimiento. Las medidas técnicas y organizativas son el INSTRUMENTO concreto -medidas de seguridad y de gestión- con el que ese principio se cumple y se demuestra.
Términos relacionados
Dato de autoridad
El artículo 28.1 de la LOPDGDD exige a responsables y encargados determinar «las medidas técnicas y organizativas apropiadas que deben aplicar a fin de garantizar y acreditar» la conformidad del tratamiento.
Preguntas frecuentes sobre medidas técnicas y organizativas
¿Existe un catálogo fijo de medidas técnicas y organizativas que todas las empresas deban aplicar por igual?
No. El artículo 28.1 LOPDGDD exige medidas "apropiadas" al tratamiento concreto, graduadas según los factores de riesgo del artículo 28.2 -no un estándar único aplicable a cualquier responsable.
Autoría y revisión editorial
Contenido elaborado bajo la dirección editorial de DERECHO ABOGADOS, verificando cada norma sobre fuentes oficiales (BOE y jurisprudencia).
Cada norma citada se verifica contra su texto consolidado en el BOE: se comprueba el identificador de la norma, que la redacción sea la vigente y que lo entrecomillado sea literal. Es una verificación editorial, no un visto colegiado. Este contenido es información general y no constituye asesoramiento legal sobre un caso concreto.