Pasar la auditoría del ENS no cierra la protección de datos

25 de octubre de 2026

En muchos ayuntamientos la política de seguridad de la información se aprobó para cumplir el Esquema Nacional de Seguridad. Después se superó la auditoría o la autoevaluación y el asunto quedó archivado hasta el ciclo siguiente. Es frecuente dar por hecho que con eso queda cubierta también la protección de datos, y no es así. El Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad (ENS), conecta los dos regímenes en su artículo 3. Las medidas que resulten del análisis de riesgos del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (Reglamento general de protección de datos, RGPD), prevalecen cuando son más exigentes que las del Esquema.

Hay dos conclusiones más con consecuencias en el expediente. La regla de que el delegado de protección de datos no puede ser el responsable de la seguridad procede del RGPD y no del ENS, y con el RGPD hay que motivarla. La política municipal la aprueba la Alcaldía, salvo que el reglamento orgánico disponga otra cosa. La política común de la diputación solo sustituye a la propia si la diputación asume efectivamente la responsabilidad de la seguridad de los sistemas municipales.

Lo que informó la Agencia, y sobre qué

El Servicio Jurídico de la Agencia Española de Protección de Datos ha emitido el Informe 0033/2026 sobre el borrador de resolución con el que el Instituto de la Juventud aprobará la política de seguridad de su administración digital. Es un informe favorable, con observaciones, sobre el proyecto de un organismo autónomo estatal, y no fija reglas para los ayuntamientos.

Su utilidad está en otra parte. Aplica a un texto concreto la arquitectura que el ENS y el RGPD ya establecen y señala lo que a ese texto le falta. Las dos cosas se trasladan sin dificultad a una política municipal.

La prevalencia solo opera hacia arriba

El informe da por buena la previsión del proyecto según la cual las medidas derivadas de la normativa de protección de datos prevalecen sobre las del ENS cuando el análisis de riesgos lo exija. Precisa que esa prevalencia consiste en complementar o reforzar las medidas del Esquema cuando resulten insuficientes.

La regla ya figura en el artículo 3 del ENS. Su apartado 2 encarga al responsable o al encargado del tratamiento, asesorado por el delegado, el análisis de riesgos del artículo 24 del RGPD y, en los supuestos del artículo 35, la evaluación de impacto. El apartado 3 dispone:

"En todo caso, prevalecerán las medidas a implantar como consecuencia del análisis de riesgos y, en su caso, de la evaluación de impacto a los que se refiere el apartado anterior, en caso de resultar agravadas respecto de las previstas en el presente real decreto."

La cláusula tiene un solo sentido. El análisis del RGPD puede elevar las medidas del anexo II del ENS, pero no rebajar las que correspondan por la categoría del sistema. Tampoco vale el razonamiento inverso. Una auditoría superada no acredita que las medidas basten para un tratamiento que el análisis del RGPD califica de alto riesgo.

En la práctica, los dos análisis tienen que leerse juntos. El del ENS se ocupa de los sistemas y los servicios; el del RGPD, de los riesgos para los derechos de las personas. El artículo 12.1.f) del ENS exige que la política recoja "los riesgos que se derivan del tratamiento de los datos personales". Es uno de los extremos que con más frecuencia faltan en las políticas municipales.

Lo que prohíbe el Esquema y lo que prohíbe el Reglamento

El ENS impone la diferenciación de responsabilidades. Su artículo 11 distingue entre el responsable de la información, el del servicio, el de la seguridad y el del sistema. Exige además que la responsabilidad de la seguridad esté separada de la explotación de los sistemas.

El artículo 13.3 lo concreta: el responsable de la seguridad será distinto del responsable del sistema, sin dependencia jerárquica entre ambos. Solo pueden coincidir, o depender uno del otro, cuando la ausencia justificada de recursos lo haga necesario. Aun entonces han de aplicarse medidas compensatorias.

El delegado de protección de datos no aparece en esos preceptos. La incompatibilidad entre delegado y responsable de la seguridad, que el informe considera especialmente adecuada en el proyecto del INJUVE, se apoya en el artículo 38 del RGPD. El apartado 3 impide que el delegado reciba instrucciones sobre sus funciones. El apartado 6 le permite otras tareas siempre que no den lugar a conflicto de intereses. El artículo 36.2 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), añade que se garantizará su independencia y se evitará cualquier conflicto de intereses.

El motivo está en las funciones de cada figura. Según el artículo 13.2.c) del ENS, el responsable de la seguridad determina las decisiones de seguridad y supervisa su implantación. El delegado supervisa el cumplimiento de la normativa de protección de datos. Si ambas figuras recaen en la misma persona, el delegado acaba supervisando sus propias decisiones.

A mi juicio, la política que separe ambas figuras debe motivarlo con el RGPD, y no con el artículo 13.3 del ENS como hacen muchos textos. La valoración tampoco depende del nombre del puesto. Hay que examinar qué decide realmente la persona que se propone como delegado.

En plantillas pequeñas se tiende a concentrarlo casi todo en quien lleva la informática. Como responsable del sistema puede ser inevitable. La seguridad debe recaer en otra persona; si no es posible, ha de constar por escrito la excepción con sus medidas compensatorias. El delegado, en mi opinión, no debe ser ninguno de los dos.

Voz sin voto y ninguna firma

El informe valora positivamente que el delegado participe en el comité de seguridad de la información con voz pero sin voto. La fórmula es razonable. El delegado necesita estar donde se decide para asesorar con conocimiento, y no debe votar lo que después ha de supervisar. Es una valoración sobre un texto concreto, no una regla general, aunque un ayuntamiento puede adoptarla y justificarla con el artículo 38 del RGPD.

La Agencia recuerda también que el cumplimiento de la normativa de protección de datos corresponde al responsable del tratamiento. Las funciones de asesoramiento y supervisión del delegado no le trasladan responsabilidades ejecutivas. De ahí se sigue que el delegado no aprueba medidas técnicas ni firma la declaración de aplicabilidad.

Esa firma la atribuye el artículo 28.2 del ENS al responsable de la seguridad, y no al alcalde, al secretario ni al proveedor. Cuando una política la encomienda a otra persona, suele ser señal de que se ha copiado de otra entidad sin adaptarla.

Lo que la Agencia echó en falta

Las observaciones del informe son lo más útil para revisar una política ya aprobada. La primera es que el proyecto no identifica expresamente quién tiene la condición de responsable o encargado del tratamiento en los términos del artículo 4, apartados 7 y 8, del RGPD, aunque les atribuye las obligaciones materiales.

La segunda es que el proyecto no remite a las directrices, orientaciones y herramientas de la propia Agencia para el análisis de riesgos y las evaluaciones de impacto. La Agencia advierte que esa remisión sí figura en otros textos que ha informado.

La última es de redacción, pero no menor. Propone sustituir "medidas técnicas u organizativas" por "medidas técnicas y organizativas", que es la fórmula de los artículos 24, 25 y 32 del RGPD, porque la protección exige medidas de las dos clases.

En una política municipal cada una de estas carencias se corrige con una línea, y conviene hacerlo en la próxima revisión.

Auditoría o autoevaluación: lo decide la categoría

El artículo 31.1 del ENS somete los sistemas a una auditoría regular ordinaria al menos cada dos años. Exige otra extraordinaria cuando haya modificaciones sustanciales que puedan repercutir en las medidas de seguridad, y esa auditoría extraordinaria reinicia el cómputo de los dos años.

El plazo solo puede extenderse tres meses por fuerza mayor no imputable a la entidad. No es un plazo de procedimiento. A mi juicio, por eso, no le es aplicable la ampliación del artículo 32 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas.

Para declarar la conformidad, el artículo 38.1 distingue dos casos. Los sistemas de categoría básica solo requieren autoevaluación; los de categoría media o alta necesitan auditoría de certificación. Conforme al artículo 41, la categoría la determina el responsable de la seguridad a partir de las valoraciones de los responsables de la información y del servicio. El cambio de plataforma de administración electrónica es un caso típico que hay que valorar, y documentar, como posible modificación sustancial.

El proyecto del INJUVE prevé que las auditorías del ENS incluyan la revisión de las medidas aplicables a los datos personales, y la Agencia lo considera correcto. La idea es aprovechable, con una precisión. El artículo 31.1 define la auditoría como verificación de los requerimientos del ENS. Si el ayuntamiento quiere que el auditor revise también las medidas de protección de datos, tiene que decirlo en el encargo.

La política común exige que la diputación asuma la seguridad

El artículo 12.2 del ENS obliga a cada Administración pública a contar con una política de seguridad formalmente aprobada por el órgano competente. El apartado 5 abre una vía a los municipios:

"Los municipios podrán disponer de una política de seguridad común elaborada por la entidad local comarcal o provincial que asuma la responsabilidad de la seguridad de la información de los sistemas municipales."

El presupuesto es esa asunción de responsabilidad. Hace falta un título jurídico, sea un convenio, una encomienda u otra fórmula adecuada. También hay que delimitar los sistemas cubiertos y designar efectivamente los roles. Adherirse por decreto a un modelo que difunde la diputación, sin que esta asuma nada, deja al municipio con un documento ajeno y sin la política que le exige el artículo 12.2.

La firma es de la Alcaldía

El ENS remite al "órgano competente" sin concretarlo. La respuesta está en la Ley 7/1985, de 2 de abril, reguladora de las Bases del Régimen Local (LRBRL).

La política de seguridad organiza la actuación interna del ayuntamiento. No innova el ordenamiento ni se dirige a los ciudadanos, de modo que no encaja en el artículo 22.2.d), y ninguna ley la atribuye al Pleno. Opera por tanto la cláusula residual del artículo 21.1.s), que asigna a la Alcaldía las competencias que la legislación atribuye al municipio sin señalar otro órgano. En los municipios de gran población, la cláusula equivalente es la del artículo 124.4.ñ). A mi juicio, la vía ordinaria es el decreto de Alcaldía, salvo que el reglamento orgánico haya dispuesto otra cosa.

El Pleno interviene cuando la política común se articula mediante un convenio o una delegación que, por su objeto, requieran acuerdo plenario. En ese caso no aprueba la política, sino el instrumento que permite acogerse a ella.

Antes de llevar la política a firma

• Los sistemas, servicios y tratamientos están inventariados, con su categoría y el registro de actividades de tratamiento.

• La política recoge las seis letras del artículo 12.1 del ENS, incluida la f), sobre los riesgos del tratamiento de datos personales.

• La política identifica al responsable del tratamiento y, en su caso, a los encargados.

• Los responsables de la información, del servicio, de la seguridad y del sistema están designados por separado, con su procedimiento de designación y renovación.

• El responsable de la seguridad no es el del sistema ni depende de él; si lo es por falta de recursos, constan la justificación y las medidas compensatorias.

• El delegado no coincide con el responsable de la seguridad ni depende de él, y consta que sus demás funciones no le llevan a decidir sobre los fines y los medios del tratamiento.

• El comité de seguridad tiene definidos su composición, su régimen de voto y la posición del delegado.

• La declaración de aplicabilidad la firma el responsable de la seguridad.

• Los análisis de riesgos del ENS y del RGPD están conectados, y la política remite a las guías y herramientas de la Agencia para el análisis de riesgos y la evaluación de impacto.

• El texto dice "medidas técnicas y organizativas".

• Consta si el sistema requiere autoevaluación o auditoría, y el encargo de auditoría precisa si alcanza las medidas sobre datos personales.

• Si el ayuntamiento se acoge a una política común, consta el título por el que la entidad provincial o comarcal asume la responsabilidad de la seguridad de sus sistemas.

• El expediente motiva la competencia del órgano que aprueba.

Fuentes

Informe 0033/2026 del Servicio Jurídico de la Agencia Española de Protección de Datos, sobre el borrador de resolución de la política de seguridad de la información del Instituto de la Juventud.