Ciberseguridad y RGPD: Protegiendo los datos sensibles (SIPS y Bancarios)
Actualizado: 8 oct
Cuando gestionas una Asesoría Energética o trabajas como Consultor independiente, manejas información que está bajo el foco de la AEPD: curvas de carga, CUPS asociados a consumos cuarto-horarios, cuentas bancarias para domiciliaciones, mandatos SEPA, contratos firmados con DNI adjunto. Si sigues operando con carpetas en OneDrive compartido, un Excel «maestro» y WhatsApp Business para documentos de clientes, puedes estar incumpliendo el RGPD y te expones a sanciones que, en los casos más graves, llegan a 20 millones de euros o el 4 % de la facturación anual (la cifra mayor, según el artículo 83 del RGPD) o, lo que es peor para tu marca, a una brecha de seguridad que filtre datos de tus clientes.
La digitalización de una Asesoría Energética no es solo un tema de productividad; es un pilar de confianza y supervivencia legal. Este artículo disecciona los tres pilares técnicos del cumplimiento normativo en protección de datos sensibles: riesgos de almacenamiento local, arquitectura de encriptación y roles de acceso, y gestión segura de documentación financiera y contractual.
Riesgos legales de archivos locales
La primera vulnerabilidad de cualquier asesoría tradicional es el almacenamiento disperso y no controlado de datos personales: pendrives con SIPS descargados, carpetas de Windows con contratos escaneados, correos con adjuntos de DNI en formato JPG, o peor aún, ese archivo «Clientes_Contratos_2024_FINAL.xlsx» sincronizado en Dropbox sin cifrado.
El CUPS como dato personal
Cuando el titular de un suministro es una persona física (un autónomo, una vivienda, un pequeño negocio sin sociedad), el CUPS y sus datos de consumo son datos personales: permiten identificarle e incluso inferir hábitos (presencia, horarios de actividad, patrones de vida). Cada uno de esos titulares es un interesado bajo el RGPD, y eso te obliga a:
Documentar la base jurídica de cada tratamiento (ejecución de contrato, obligación legal, consentimiento explícito para usos secundarios como marketing).
Realizar una Evaluación de Impacto (EIPD) si haces perfilado a gran escala (como segmentar clientes por consumo para campañas comerciales).
Notificar a la AEPD en un máximo de 72 horas las brechas que supongan un riesgo para las personas afectadas.
El coste real de una brecha local
Imagina este escenario: un comercial externo con acceso a tu carpeta compartida descarga un Excel con CUPS, nombres, IBAN y direcciones para «trabajar offline». Pierde el portátil en el metro. Esa es una brecha notificable que puede derivar en:
Una sanción de la AEPD, cuya cuantía depende de la gravedad del caso y de las medidas que hubieras tomado.
Obligación de comunicárselo a cada afectado si el riesgo para ellos es alto.
Daño reputacional irreversible en tu red comercial.
Además, la responsabilidad es tuya: si tus subagentes tratan datos de tus clientes sin un contrato de encargo y sin medidas técnicas adecuadas, tú respondes ante la AEPD.
El mito del «Google Drive seguro»
Muchos asesores creen que subir documentos a Google Drive o OneDrive cumple con el RGPD. La realidad:
El cifrado en tránsito existe (HTTPS), pero los archivos en reposo no están cifrados por defecto con claves que solo tú controles.
No hay trazabilidad de accesos granular: ¿quién descargó qué archivo y cuándo?
Compartir enlaces públicos («cualquiera con el enlace puede ver») es una infracción directa al principio de minimización y confidencialidad.
El RGPD exige medidas técnicas y organizativas proporcionales al riesgo. Para datos sensibles como SIPS o IBAN, eso significa cifrado, control de accesos nominativos, logging de auditoría y políticas de retención documentadas. Un archivo local o una carpeta en la nube sin estas garantías son una bomba de relojería legal.
Encriptación y accesos por roles
La segunda línea de defensa es una arquitectura que garantice que solo quien necesita datos específicos pueda acceder a ellos, y que esos datos sean ilegibles para terceros incluso si vulneran el sistema.
Cifrado en reposo y en tránsito
Una plataforma profesional debe cifrar los datos tanto almacenados (en reposo) como cuando viajan por la red (en tránsito, mediante TLS). Antes de elegir proveedor, pide que te lo confirme por escrito en el contrato de encargo del tratamiento. ¿Qué significa esto en la práctica?
Si alguien accede físicamente al servidor (algo muy improbable en un proveedor cloud serio, pero que hay que prever), los datos siguen cifrados.
Si se intercepta tráfico de red, no puede leer los datos sin las claves criptográficas.
Las claves de cifrado deben guardarse separadas del software de la aplicación.
El artículo 32 del RGPD cita el cifrado entre las medidas que ayudan a garantizar la integridad y confidencialidad de los datos.
Control de accesos basado en roles (RBAC)
El error clásico del Excel compartido es que «todos ven todo». En un SaaS profesional, el RBAC (Role-Based Access Control) permite definir permisos granulares, por ejemplo:
Administrador: Acceso total (datos de clientes, configuración, liquidaciones, documentos sensibles).
Comercial Externo: Solo ve sus propios leads y contratos asignados. No puede descargar masivamente CUPS ni acceder a datos bancarios.
Backoffice: Puede gestionar contratación y documentos, pero no tiene visibilidad sobre comisiones ni sobre la red comercial.
Gestor de Comisiones: Ve liquidaciones y jerarquías comerciales, pero no tiene acceso a datos de clientes finales.
Lo ideal es que cada acción quede registrada en un registro de auditoría: quién accedió a qué ficha, cuándo y desde dónde. Esto no solo protege ante accesos indebidos, sino que es una evidencia clave ante una auditoría de la AEPD.
Autenticación multifactor (MFA) y expiración de sesiones
Las contraseñas débiles y las cuentas compartidas son una puerta de entrada habitual. Las medidas básicas incluyen:
MFA obligatorio para accesos administrativos (código TOTP desde aplicación móvil).
Expiración automática de sesiones tras un tiempo de inactividad.
Prohibición de cuentas genéricas: cada usuario debe tener acceso nominativo y rastreado.
Estos controles están nativos en plataformas cloud modernas, pero imposibles de implementar en un Excel compartido o en carpetas sincronizadas sin gestión de identidades.
Pseudonimización y minimización
El RGPD fomenta la pseudonimización: separar datos identificativos de datos operativos. Por ejemplo:
Un análisis de rentabilidad no necesita nombres ni IBAN: puede trabajar con identificadores internos.
Las curvas de carga para optimización de tarifas pueden procesarse sin asociar directamente al titular (separación técnica entre CUPS y datos de contacto).
En una plataforma centralizada como Kiwatio, toda la información vive en una base de datos única. Por eso es tan importante decidir quién del equipo necesita ver cada dato y mantener la documentación dentro del sistema, no en carpetas sueltas.
Gestión segura de mandatos SEPA y contratos firmados
El tercer pilar es la gestión documental y financiera de datos especialmente sensibles: mandatos bancarios para domiciliaciones (SEPA Core/B2B) y contratos con firma electrónica o escaneados con DNI adjunto.
Mandatos SEPA: PSD2, tokenización y acceso restringido
Los mandatos SEPA contienen IBAN completos, que son datos financieros personales bajo RGPD. Las obligaciones incluyen:
Base jurídica clara: ejecución del contrato de prestación de servicios (facturación recurrente de fees).
Conservación limitada: guárdalos solo el tiempo que exigen las normas de domiciliación y la ley, y después elimínalos; mientras tanto, que no estén al alcance de todo el equipo.
Tokenización recomendada: en lugar de almacenar IBAN en texto claro, algunas plataformas financieras integradas usan tokens que representan la cuenta bancaria sin exponer el número real.
El módulo de Facturación a clientes de Kiwatio genera las remesas de cobro bancarias desde la propia plataforma, así que los datos bancarios no tienen que circular en hojas de cálculo sueltas. Aun así, decide quién del equipo necesita ver un IBAN completo.
Cláusulas contractuales y encargos del tratamiento (Art. 28 RGPD)
Si subcontratas la generación de remesas a un proveedor externo (pasarela de pagos, gestoría), debes firmar un contrato de encargo del tratamiento que obligue a:
Implementar medidas de seguridad equivalentes.
No tratar datos para fines propios.
Notificar brechas inmediatamente.
Eliminar/devolver datos al finalizar el servicio.
Muchas asesorías ignoran este requisito legal y trabajan con proveedores sin garantías formales. Eso te convierte en responsable solidario ante la AEPD si el proveedor sufre una brecha.
Contratos firmados y almacenamiento documental
Los contratos energéticos incluyen firma del titular, DNI/CIF, CUPS y datos de pago. No son categorías especiales de datos, pero sí datos que identifican directamente a una persona y que hay que proteger como tales.
La gestión profesional requiere:
Gestor documental vinculado a la ficha del cliente (en Kiwatio, el Gestor de documentos), en lugar de carpetas sueltas.
Acceso restringido por roles: solo backoffice o administración puede ver documentos completos; los comerciales solo ven estado de validación.
Firma electrónica (eIDAS) para contratos digitales, con un prestador de confianza, para que el proceso sea trazable y tenga validez legal.
Política de retención: conserva los contratos durante el plazo legal que te aplique (consúltalo con tu asesor legal) y después elimínalos, en lugar de acumular carpetas infinitas.
Protección ante reclamaciones y auditorías
Un sistema centralizado y trazable te protege en dos escenarios críticos:
1. Reclamación de un cliente: «No he firmado ese contrato, quiero que eliminen mis datos». Con un gestor documental profesional, puedes demostrar la fecha de firma, el IP de origen, el consentimiento explícito y exportar el documento certificado.
2. Auditoría de la AEPD: Si la Agencia requiere evidencias de cumplimiento (registro de actividades, DPO, EIPD, contratos de encargo, registros de acceso), un sistema centralizado como Kiwatio te permite guardar esa documentación en un mismo sitio, en lugar de buscarla por carpetas y correos. Un Excel no puede demostrar nada.
Integración con DPO y procedimiento de brechas
Según tu actividad, puedes estar obligado a designar un Delegado de Protección de Datos (DPO), propio o externalizado; aunque no lo estés, contar con uno es recomendable. En cualquier caso, la plataforma debe permitir:
Exportación masiva de datos de un interesado (derecho de portabilidad) en formato estructurado (JSON, CSV).
Eliminación técnica completa (derecho al olvido): no basta con marcar «inactivo»; debe eliminarse de bases de datos y backups tras el plazo de retención.
Registro de actividades de tratamiento (Art. 30 RGPD): un SaaS puede autogenerar este registro desde la configuración de módulos y permisos.
La seguridad como propuesta de valor diferencial
Más allá del cumplimiento obligatorio, la seguridad de datos es un argumento comercial de primer nivel. Cuando un gran cliente (franquicia, cadena hotelera) te pide que gestiones decenas de puntos de suministro, lo primero que preguntará su departamento legal es: «¿Cómo garantizáis la protección de nuestros datos? ¿Tenéis certificación ISO 27001? ¿Firmáis contrato de encargo RGPD?».
Si tu respuesta es «los tenemos en Google Drive y Excel», ese cliente se irá a la competencia. Si puedes explicar dónde están los datos, quién accede a ellos, cómo queda registrado y qué contrato de encargo firmas, acabas de ganar confianza y estás más cerca de cerrar el contrato.
La modularidad de Kiwatio permite además que el cliente entre en el Portal del Cliente, con tu marca, donde consulta sus suministros, contratos, tarifas y documentos sin ver tu operativa interna ni a otros clientes. Eso ayuda a cumplir el principio de minimización y mejora la experiencia de cliente.
El RGPD no es una amenaza burocrática; es el marco que obliga a las asesorías energéticas a profesionalizarse. Las tres áreas críticas—eliminación de archivos locales dispersos, arquitectura de cifrado y RBAC, y gestión documental trazable—son técnicamente imposibles de implementar con Excel y carpetas compartidas.
La inversión en una plataforma SaaS especializada no es un gasto de TI; es una forma de reducir el riesgo de sanciones, una garantía de confianza para grandes clientes y un activo competitivo en un sector donde la reputación se destruye con una sola filtración de datos. Si aún gestionas CUPS en local, no estás «ahorrando en software»; estás acumulando un pasivo legal que, tarde o temprano, pasará factura.
¿Quieres ver cómo centralizar en una sola plataforma los contratos, documentos y datos de tus clientes? Solicita una demo de Kiwatio y comprueba cómo se organiza tu operativa.
Comentarios