Qué cubre una VPN en una revisión de protección de datos del RGPD

Una base de datos en la nube contiene datos personales, la VPN restringe quién puede llegar a ella y alguien pregunta si eso hace que el montaje sea conforme. No lo hace, y la pregunta tiene la forma equivocada. Una VPN es un control técnico de acceso entre varios, y una revisión que se detiene en el tráfico cifrado ha respondido una pregunta de seguridad mientras deja abierta cada pregunta de protección de datos. Trabaje las comprobaciones de abajo en orden, empezando antes de que exista la regla de red.

Comprobación 1: describa el tratamiento antes del túnel

Anote la finalidad, las categorías de datos personales que realmente se necesitan, las personas autorizadas a usarlos y el periodo de conservación previsto. Identifique la base jurídica en la que se apoya y la vía que sigue una persona para ejercer sus derechos. Un rango de IP restringido no puede responder a nada de eso.

Tenga en cuenta que los datos personales son más amplios que una lista de identificadores evidentes. Los registros cifrados o seudonimizados siguen siendo datos personales cuando la reidentificación es posible, así que una base de datos llena de identificadores hash no queda automáticamente fuera de alcance.

Comprobación 2: nombre los roles

Decida quién determina el tratamiento y quién actúa en nombre de esa parte, y después revise los términos entre ellos: instrucciones documentadas, confidencialidad, compromisos de seguridad y subencargados permitidos. Para un montaje típico en la nube este es el acuerdo entre responsable y encargado, y las orientaciones de aplicación de la Comisión explican los roles y el acto vinculante exigido.

Un diagrama de red normalmente no nombra nada de esto, y por eso la pregunta de la VPN por sí sola se atasca. Los roles deciden quién responde a una solicitud de derechos. También deciden quién rinde cuentas cuando algo falla. Dibuje las dos casillas antes de escribir una sola regla de cortafuegos.

Comprobación 3: trace dónde viven realmente los datos

Enumere el almacenamiento principal, las réplicas, las copias de seguridad y las rutas de acceso administrativo. Las copias de seguridad son la omisión habitual, y un túnel cifrado no cambia dónde se sitúa una instantánea.

Evalúe cualquier cuestión de transferencia internacional dentro de su propio marco. El país de salida de una VPN es un hecho de enrutamiento, no una afirmación sobre dónde trata el proveedor los datos. Los equipos cambian habitualmente la región de salida del túnel y creen que han cambiado la transferencia. Han cambiado desde qué dirección parece llegar el tráfico.

Comprobación 4: diga qué logra cada control

Una lista de IP permitidas limita qué fuentes de red pueden conectarse. Una VPN protege una ruta definida y puede reducir la exposición directa. Ninguna de las dos debería dar a cada persona tras la pasarela los mismos permisos de base de datos, porque el túnel autentica una ruta, no a una persona.

Use autenticación individual y acceso basado en roles, y retire el acceso cuando alguien cambia de rol. Después revise el cifrado y la custodia de claves, los parches, la recuperación y la gestión de incidentes junto a los controles de red, en los términos adecuados al riesgo que usa la orientación de seguridad en lugar de una lista fija.

Comprobación 5: conserve la evidencia

Conserve la descripción del tratamiento, el contrato de servicio, las decisiones de acceso, la evaluación de riesgos y los responsables nombrados. La evidencia es lo que convierte un diseño en algo revisable un año después.

Dos decisiones merecen respuestas explícitas en lugar de supuestos. Se exige una evaluación de impacto relativa a la protección de datos cuando es probable que el tratamiento entrañe un alto riesgo, y un delegado de protección de datos solo es obligatorio en circunstancias especificadas. Ninguna de las dos se deduce automáticamente de almacenar datos en la nube, y ninguna queda excluida por ello.

Qué dice la revisión terminada

Una revisión útil explica por qué está la VPN, qué no cubre y qué obligaciones quedan fuera. Es un documento corto, y es mucho más defendible que una afirmación de que el tráfico está cifrado.

Haga que los especialistas de privacidad y seguridad responsables evalúen el conjunto completo en lugar de firmar solo el túnel.