DORA vs RGPD
Cómo se cruza el marco de resiliencia digital del sector financiero con las obligaciones de protección de datos de la UE
Comparativa rápida
Visión comparada de las principales dimensiones regulatorias
| Dimensión | DORA | RGPD |
|---|---|---|
| Objetivo principal | Que las entidades financieras puedan resistir, responder y recuperarse de interrupciones TIC y ciberamenazas | Proteger el derecho fundamental a la protección de datos personales y garantizar su libre circulación en la UE |
| Alcance | Entidades financieras (bancos, aseguradoras, empresas de servicios de inversión, entidades de pago, proveedores de servicios de criptoactivos) y sus proveedores terceros de servicios TIC, con vigilancia directa de los críticos | Cualquier organización, esté donde esté, que trate datos personales de personas en la UE, en todos los sectores |
| Tratamiento de datos | Cubre la seguridad y la resiliencia de los sistemas TIC que tratan cualquier tipo de dato, personal o no, con foco en la disponibilidad, la integridad y la continuidad | Regula el tratamiento de datos personales: bases jurídicas y principios de minimización, limitación de la finalidad, exactitud y limitación del plazo de conservación |
| Notificación de incidentes | Los incidentes TIC graves se notifican a los supervisores financieros: notificación inicial en las 4 horas siguientes a la clasificación, informe intermedio en 72 horas e informe final en 1 mes | Las violaciones de la seguridad de los datos personales se notifican a la autoridad de control en las 72 horas siguientes a conocerlas; si suponen un alto riesgo, hay que informar a los afectados sin dilación indebida |
| Gestión de terceros | Marco completo de riesgo de terceros TIC: registro obligatorio de proveedores, cláusulas contractuales específicas, gestión del riesgo de concentración y vigilancia a escala de la UE de los proveedores TIC críticos | Marco responsable-encargado: contratos de encargo del tratamiento según el artículo 28, control de los subencargados, normas sobre transferencias internacionales y acuerdos de corresponsabilidad |
| Gobernanza | El órgano de dirección debe aprobar la estrategia de riesgo TIC, asignar presupuesto, formarse con regularidad en TIC y responder del cumplimiento de DORA | Delegado de protección de datos (DPD) obligatorio para determinadas organizaciones; el responsable debe demostrar el cumplimiento con registros, EIPD y protección de datos desde el diseño y por defecto |
| Sanciones | Las fijan los Estados miembros; para los proveedores terceros críticos de servicios TIC, una multa coercitiva de hasta el 1% del volumen de negocios diario medio mundial por cada día de incumplimiento (máximo 6 meses) | Hasta 20 millones de euros o el 4% del volumen de negocios anual mundial por las infracciones más graves; hasta 10 millones de euros o el 2% por las menos graves |
Diferencias clave
Lo que distingue a estas normativas
- DORA
DORA es sectorial; el RGPD es universal
DORA solo se aplica a las entidades financieras y a sus proveedores TIC, con requisitos pensados para el sistema financiero. El RGPD se aplica a cualquier organización que trate datos personales, sea cual sea su sector. Un banco debe cumplir ambos; un comercio que trata datos de clientes solo necesita el RGPD.
- RGPD
El RGPD protege los datos personales; DORA protege los sistemas TIC
El RGPD se centra en los derechos de las personas cuyos datos se tratan: consentimiento, acceso, supresión, portabilidad. DORA se centra en la resiliencia de la propia tecnología: disponibilidad, recuperación, resistencia a las amenazas. Un incidente DORA puede no afectar a ningún dato personal, y una violación de datos del RGPD puede no suponer ninguna interrupción TIC.
- DORA
DORA exige pruebas de resiliencia operativa
DORA exige programas de pruebas concretos, con pruebas de penetración basadas en amenazas (TLPT) cada tres años para las entidades significativas. El RGPD exige medidas de seguridad adecuadas, pero no fija métodos ni frecuencias de prueba.
- RGPD
El RGPD reconoce amplios derechos a las personas
El RGPD reconoce a los interesados derechos exigibles de acceso, rectificación, supresión y portabilidad, además del derecho de oposición. DORA no crea derechos individuales equivalentes; se centra en la resiliencia del sistema, no en las personas.
- DORA
DORA crea una vigilancia de la UE sobre los proveedores TIC
DORA introduce la figura del supervisor principal para los proveedores terceros críticos de servicios TIC, con supervisión directa a escala de la UE. El RGPD confía en las autoridades nacionales de protección de datos, que cooperan entre países mediante la ventanilla única y el Comité Europeo de Protección de Datos.
Dónde se solapan
Ámbitos en los que ambas normativas coinciden
- Ambos exigen notificar incidentes a las autoridades en plazos fijados: DORA, los incidentes TIC a los supervisores financieros; el RGPD, las violaciones de datos a las autoridades de protección de datos
- Ambos fijan requisitos contractuales para los terceros: DORA para los proveedores de servicios TIC y el RGPD para los encargados del tratamiento
- Ambos exigen medidas de seguridad técnicas y organizativas adecuadas para proteger los datos y sistemas que gestiona la organización
- Ambos exigen que la alta dirección asuma la responsabilidad del cumplimiento y le dedique recursos suficientes
¿Cuál se aplica a tu caso?
Escenarios habituales y qué normativa prevalece
Eres un banco que opera en la UE y trata datos personales de clientes
Se aplican plenamente DORA y el RGPD. DORA rige tu gestión del riesgo TIC, tus pruebas de resiliencia y la vigilancia de tus terceros TIC. El RGPD rige cómo tratas los datos de clientes, la notificación de violaciones de datos y los derechos de los interesados. Un incidente TIC que también afecte a datos personales activa obligaciones de ambos a la vez.
Eres un proveedor de nube que presta servicio a entidades financieras de la UE
DORA se te aplica como proveedor tercero de servicios TIC, y quizá como proveedor crítico bajo el supervisor principal. El RGPD se te aplica como encargado que trata datos personales por cuenta de tus clientes financieros. Debes cumplir tanto los requisitos contractuales y de resiliencia de DORA como las obligaciones del contrato de encargo del RGPD.
Eres una empresa de comercio electrónico fuera de los servicios financieros
DORA no se te aplica. Céntrate en el RGPD para los datos de tus clientes: avisos de privacidad, gestión del consentimiento, derechos de los interesados y procedimientos de notificación de violaciones de datos.
Preguntas frecuentes
Preguntas habituales sobre estas normativas
Lee las guías completas
Más comparativas
Une el cumplimiento de DORA y el RGPD con Reversa
Las entidades financieras responden ante las normas de resiliencia digital y de protección de datos. Reversa lleva las dos series de obligaciones a los mismos controles y al mismo equipo.
- 01Reunión inicial
- 02Demostración sobre tu caso
- 03Despliegue en semanas