DORA vs RGPD
Como el marco de resiliencia digital del sector financiero se cruza con las obligaciones de proteccion de datos de la UE
Comparación Rápida
Vista lado a lado de las dimensiones regulatorias clave
Asegurar que las entidades financieras puedan resistir, responder y recuperarse de interrupciones relacionadas con las TIC y ciberamenazas
Proteger el derecho fundamental a la proteccion de datos personales y garantizar la libre circulacion de datos personales dentro de la UE
Entidades financieras (bancos, aseguradoras, empresas de inversion, instituciones de pago, proveedores de criptoactivos) y sus proveedores criticos de servicios TIC de terceros
Cualquier organizacion a nivel mundial que trate datos personales de personas en la UE, en todos los sectores
Se centra en la seguridad y resiliencia de los sistemas TIC que tratan todo tipo de datos (personales y no personales), con enfasis en disponibilidad, integridad y continuidad
Gobierna especificamente el tratamiento de datos personales basado en bases juridicas, principios de minimizacion, limitacion de finalidad, exactitud y limitacion de conservacion
Los incidentes TIC graves deben notificarse a los supervisores financieros: notificacion inicial en 4 horas, informe intermedio en 72 horas, informe final en 1 mes
Las brechas de datos personales deben notificarse a la autoridad de control dentro de 72 horas desde su conocimiento; los interesados afectados deben ser notificados sin demora indebida si la brecha supone un alto riesgo
Marco integral de riesgo de terceros TIC: registro obligatorio de proveedores, clausulas contractuales especificas, gestion de riesgo de concentracion y supervision a nivel de la UE de proveedores TIC criticos
Marco responsable-encargado: acuerdos de tratamiento de datos requeridos bajo el Articulo 28, controles de subencargados, obligaciones en transferencias internacionales de datos y acuerdos de corresponsabilidad
El organo de direccion debe aprobar la estrategia de riesgos TIC, asignar presupuestos, recibir formacion TIC regular y asumir responsabilidad personal del cumplimiento de DORA
Delegado de Proteccion de Datos (DPD) obligatorio para ciertas organizaciones; el responsable debe demostrar cumplimiento mediante registros, EIPDs y proteccion de datos desde el diseno y por defecto
Establecidas por los Estados miembros; para proveedores TIC criticos, penalizaciones periodicas de hasta el 1% del volumen de negocios medio diario mundial por dia de incumplimiento (max 6 meses)
Hasta 20 millones EUR o 4% de la facturacion anual global para las infracciones mas graves; hasta 10 millones EUR o 2% para infracciones menos graves
Diferencias Clave
Qué distingue a estas regulaciones
DORA es sectorial; el RGPD es universal
DORA se aplica exclusivamente a entidades financieras y sus proveedores TIC criticos, creando requisitos adaptados al ecosistema financiero. El RGPD se aplica a cualquier organizacion que trate datos personales, independientemente del sector. Un banco debe cumplir con ambos, pero una empresa minorista que trata datos de clientes solo necesita el RGPD.
El RGPD protege datos personales; DORA protege sistemas TIC
El enfoque del RGPD esta en los derechos de las personas cuyos datos se tratan: consentimiento, acceso, supresion, portabilidad. El enfoque de DORA esta en la resiliencia de los propios sistemas tecnologicos: disponibilidad, recuperacion, resistencia a amenazas. Un incidente DORA podria no involucrar datos personales, y una brecha RGPD podria no involucrar una interrupcion TIC.
DORA requiere pruebas de resiliencia operativa
DORA exige programas de pruebas especificos incluyendo pruebas de penetracion basadas en amenazas (TLPT) para entidades significativas cada tres anos. El RGPD requiere medidas de seguridad apropiadas pero no prescribe metodologias o frecuencias de pruebas especificas.
El RGPD otorga derechos individuales integrales
El RGPD proporciona a los interesados derechos exigibles de acceso, rectificacion, supresion y portabilidad de sus datos, ademas del derecho de oposicion al tratamiento. DORA no crea derechos individuales equivalentes; se centra en la resiliencia sistemica en lugar del empoderamiento individual.
DORA crea un marco de supervision a nivel de la UE para proveedores TIC
DORA introduce el mecanismo de Supervisor Principal para proveedores criticos de servicios TIC de terceros, permitiendo supervision directa a nivel de la UE. El RGPD depende de autoridades nacionales de proteccion de datos con cooperacion transfronteriza a traves del mecanismo de ventanilla unica y el Comite Europeo de Proteccion de Datos.
Dónde se Superponen
Áreas donde ambas regulaciones comparten terreno común
Ambas requieren notificacion de incidentes a las autoridades dentro de plazos definidos: DORA para incidentes TIC a supervisores financieros, RGPD para brechas de datos a autoridades de proteccion de datos
Ambas imponen requisitos contractuales en las relaciones con terceros: DORA para proveedores de servicios TIC, RGPD para encargados de tratamiento
Ambas requieren que las organizaciones implementen medidas de seguridad tecnicas y organizativas apropiadas para proteger los datos y sistemas que gestionan
Ambas exigen que la alta direccion asuma la responsabilidad del cumplimiento y asigne recursos adecuados para la gobernanza
¿Cuál te Aplica?
Escenarios comunes y qué regulación prevalece
Es un banco que opera en la UE y trata datos personales de clientes
Tanto DORA como el RGPD se aplican plenamente. DORA regula su gestion de riesgos TIC, pruebas de resiliencia y supervision de terceros TIC. El RGPD regula su tratamiento de datos personales de clientes, notificaciones de brechas a interesados y derechos de los interesados. Un incidente TIC que tambien involucre datos personales activa obligaciones bajo ambos marcos simultaneamente.
Es un proveedor de nube que sirve a instituciones financieras de la UE
DORA se aplica a usted como proveedor de servicios TIC de terceros (y potencialmente como proveedor TIC critico sujeto al Supervisor Principal). El RGPD se aplica a usted como encargado de tratamiento que maneja datos personales en nombre de clientes financieros. Debe cumplir tanto los requisitos contractuales y de resiliencia de DORA como las obligaciones de acuerdos de tratamiento de datos del RGPD.
Es una empresa de comercio electronico que no opera en servicios financieros
DORA no se aplica a su organizacion. Concentrese en el cumplimiento del RGPD para sus actividades de tratamiento de datos de clientes, incluyendo avisos de privacidad, gestion del consentimiento, derechos de los interesados y procedimientos de notificacion de brechas.
Preguntas Frecuentes
Preguntas comunes sobre estas regulaciones