El análisis de riesgos de una comunidad: el documento que todos tienen y pocos entienden

En muchos despachos hay una carpeta con un documento que se llama «Análisis de riesgos». Se hizo hace años, se firmó, se archivó y nadie lo ha vuelto a abrir. Si le preguntan qué riesgos identifica, la respuesta honesta es que no lo recuerda.

Un análisis de riesgos es la herramienta que el RGPD usa para decidir cuántas medidas de protección hacen falta en cada caso. No es un trámite: es el razonamiento que justifica por qué guarda las llaves donde las guarda, por qué usa el correo que usa y por qué no publica ciertos datos. Si está vivo, protege; si es un papel, no.

De dónde sale la obligación

El RGPD (se abre en una ventana nueva) no impone una lista de medidas iguales para todos. El artículo 24 obliga al responsable a aplicar medidas adecuadas teniendo en cuenta la naturaleza, el alcance, el contexto y los fines del tratamiento, y los riesgos para los derechos y libertades de las personas. El artículo 32 pide medidas de seguridad apropiadas al nivel de riesgo.

Es decir, primero hay que saber qué riesgos hay, y de ahí se deduce qué medidas. Eso es el análisis. Forma parte de la responsabilidad proactiva.

El riesgo se mide para las personas, no para el despacho

Este es el error de enfoque más frecuente. El riesgo que interesa al RGPD no es el que corre la empresa (que se pierda un expediente, que falle un servidor), sino el que corren las personas cuyos datos se tratan: que se difundan, que se usen para otro fin, que se pierdan, que alguien no autorizado acceda.

Para un vecino, el riesgo de que su deuda aparezca en el tablón es de reputación y de convivencia. Para un propietario con una incapacidad, el de que sus datos de salud lleguen a toda la comunidad. Para un empleado, el de que su nómina circule por un grupo de mensajería. Ese es el prisma.

Cómo hacer un análisis sencillo

Para una comunidad o un despacho de tamaño habitual, no hace falta una metodología pesada. Con estos cinco pasos se llega a un documento útil.

• 1. Identifique los tratamientos. Parta del registro de actividades: propietarios, cobros, actas, empleados, proveedores, cámaras.
• 2. Anote las amenazas realistas para cada uno: pérdida, robo, acceso no autorizado, envío al destinatario equivocado, difusión indebida, error humano, fallo técnico.
• 3. Valore la probabilidad y el impacto de cada una con una escala simple (baja, media, alta). No necesita cifras, necesita criterio.
• 4. Decida las medidas que reducen cada riesgo relevante y quién las aplica.
• 5. Fije cuándo se revisa y qué hechos obligarán a revisarlo antes.

Ejemplos de riesgos típicos en un despacho

• El correo con todos los vecinos en copia visible.
• El portátil con las bases de datos que se pierde o se roba.
• Un usuario compartido en el programa de gestión.
• Las llaves y los archivos en papel en un local sin control.
• El móvil personal del administrador usado como herramienta de trabajo.
• Un proveedor de informática con acceso a todo sin contrato de encargado.
• Las actas con datos de más enviadas a toda la comunidad.

Ejemplos de medidas

• Enviar con copia oculta o con una herramienta de envío individual.
• Cifrar los equipos y tener copias de seguridad.
• Usuarios individuales, contraseñas robustas y, si es posible, doble factor.
• Archivadores cerrados y registro de quién accede.
• Reglas claras sobre qué se hace en el móvil.
• Contratos firmados con los proveedores.
• Un criterio sobre qué datos van en las actas.

Cuándo hay que revisarlo

Un análisis envejece rápido. Revíselo:

• Una vez al año, como mínimo.
• Cuando se incorpore un software, un proveedor o un tratamiento nuevo.
• Después de un incidente o una brecha, para comprobar si el riesgo estaba bien valorado.
• Cuando cambien las personas que trabajan en el despacho.

Un análisis de riesgos que no cambia nunca no describe un despacho que no cambia: describe un documento que nadie mira.

Si el riesgo sale alto

Si al valorar un tratamiento el riesgo resulta alto, hay que plantearse si hace falta una evaluación de impacto, que es un paso más profundo y obligatorio en ciertos supuestos. Para la mayoría de las comunidades no será necesaria, pero conviene haberlo valorado y dejado por escrito.

Qué no es

• No es una plantilla genérica con el nombre del despacho cambiado.
• No es un anexo sin dueño: alguien tiene que responder de él y actualizarlo.
• No es una lista de medidas que no se aplican. Si figura en el documento, tiene que hacerse.

Quién lo hace y quién lo firma

El análisis lo hace el responsable, con la ayuda de quien conozca el día a día: en una comunidad, el administrador suele ser quien mejor sabe qué datos circulan y cómo. Lo recomendable es que el documento quede firmado o aprobado por quien responde del tratamiento, que en el caso de una comunidad es la propia comunidad, y que indique la fecha y la persona que lo elaboró. En el despacho, lo normal es que lo revise la dirección y que el personal conozca las medidas que le afectan, porque una medida que nadie conoce no se cumple.

En resumen

• El análisis de riesgos es la base para decidir qué medidas aplicar (artículos 24 y 32 del RGPD).
• El riesgo se valora para las personas cuyos datos se tratan, no para el despacho.
• Cinco pasos bastan: tratamientos, amenazas, probabilidad e impacto, medidas y revisión.
• Debe revisarse cada año y ante cualquier cambio relevante.
• Si el riesgo sale alto, hay que valorar una evaluación de impacto.

Si el documento de su despacho lleva años sin abrirse, ponerlo al día con los tratamientos y medidas actuales es el siguiente paso.