Seguridad de los datos en una inmobiliaria

La seguridad de los datos en una inmobiliaria se juega en los hábitos de cada día: contraseñas que nadie comparte, un usuario por persona, verificación en dos pasos, móviles con bloqueo, accesos que se retiran cuando alguien se va y un plan para cuando algo falla. El RGPD obliga a tu agencia a aplicar medidas adecuadas al riesgo y, si sufre una brecha que suponga un riesgo para las personas, a notificarla en un plazo corto. Aquí tienes los riesgos habituales, lo que dice la norma y qué hacer en cada caso.

Los riesgos de cada día en una agencia

Los riesgos más corrientes no tienen nada de sofisticado, y cada uno tiene su arreglo:

• La contraseña compartida. Un único usuario para toda la oficina impide saber quién hizo qué y te obliga a cambiarla cada vez que alguien se va. INCIBE lo resume en una regla para la pyme: no compartir las contraseñas con nadie.
• La hoja de cálculo por correo. Una lista de compradores adjunta a un correo se queda en buzones que no controlas. INCIBE señala entre los riesgos del correo el manejo inadecuado de archivos adjuntos y el envío de informaciones sensibles sin cifrar.
• El móvil sin bloqueo. El móvil del agente lleva contactos, fotos y conversaciones con clientes. INCIBE recuerda que estos dispositivos son más susceptibles de pérdida o robo, y recomienda contraseñas de acceso robustas y cifrar la información almacenada.
• El agente que se va. Si conserva su acceso al día siguiente, tienes una puerta abierta que ya no controlas. Entre las medidas para la pyme, INCIBE incluye eliminar los permisos y cuentas de usuario de los empleados que finalizan su contrato.
• El ordenador desatendido. Una sesión abierta en la mesa de la oficina está a la vista de quien pase. INCIBE pide bloquear la sesión al ausentarse del puesto de trabajo.

Lo que exige la norma: seguridad adecuada al riesgo

La norma no da una lista cerrada, sino un criterio. El artículo 32.1 del RGPD establece que el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el contexto y los fines del tratamiento.

Entre esas medidas, el mismo artículo cita:

• La seudonimización y el cifrado de datos personales.
• La capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento.
• La capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico.
• Un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas.

Su apartado 4 añade que cualquier persona que actúe bajo la autoridad del responsable y tenga acceso a datos personales solo podrá tratarlos siguiendo sus instrucciones. Y la LOPDGDD, en su artículo 5, sujeta al deber de confidencialidad a todas las personas que intervengan en cualquier fase del tratamiento, un deber que se mantiene aun cuando haya finalizado su relación con el responsable.

La seguridad es uno de los principios de la protección de datos; el resto lo tienes en protección de datos en una inmobiliaria.

Medidas concretas para tu agencia

Con ese criterio, estas son las medidas por las que empezar:

1. Un usuario por persona. Cada agente entra con su cuenta. Así sabes quién hace qué y puedes retirar un acceso sin tocar los demás.
2. Verificación en dos pasos. INCIBE recomienda incorporar sistemas de autenticación multifactor en los accesos a servicios siempre que sea posible, como una capa de seguridad extra.
3. Cada uno ve lo que necesita. INCIBE habla de conceder los permisos oportunos para que cada empleado solo acceda a la información conveniente. Si tu equipo está creciendo, lo desarrollamos en cómo organizar una inmobiliaria con varios agentes.
4. Nada de listas por correo. Si un compañero necesita un dato, que lo consulte en la herramienta, no en un adjunto.
5. Móviles y ordenadores bloqueados. Bloqueo de pantalla con código en el móvil y sesión bloqueada al levantarte de la mesa.
6. Salida ordenada. El día que alguien deja la agencia se retiran sus accesos y se revisa qué datos de clientes tenía en su móvil o en su correo.
7. Una copia de tus datos. Ten una exportación reciente, guardada con el mismo cuidado que el original, para poder recuperar el trabajo si algo falla.

Qué hacer si hay una brecha

Una brecha no es solo un ataque informático. La AEPD incluye sucesos como la pérdida de un dispositivo, el acceso no autorizado a las bases de datos de una organización, incluso por su propio personal, o el borrado accidental de algunos registros.

Si ocurre, el reloj corre. El artículo 33.1 del RGPD pide al responsable notificarla a la autoridad de control sin dilación indebida y, de ser posible, a más tardar 72 horas después de haber tenido constancia de ella, a menos que sea improbable que constituya un riesgo para los derechos y las libertades de las personas. Si la notificación llega más tarde, debe ir acompañada de los motivos de la dilación.

Para la AEPD, se tiene constancia de una brecha cuando hay certeza de que se ha producido y un conocimiento suficiente de su naturaleza y alcance. Y cuando sea probable que la brecha entrañe un alto riesgo para las personas, el artículo 34 del RGPD pide comunicárselo también a ellas sin dilación indebida.

Un plan mínimo para la agencia:

1. Decide quién recibe el aviso dentro de la agencia y quién toma las decisiones.
2. Contén el problema: cambia contraseñas, cierra sesiones y retira accesos.
3. Valora el riesgo. La AEPD ofrece la herramienta Asesora Brecha para ayudar a decidir.
4. Notifica si procede y documéntalo todo: el artículo 33.5 del RGPD pide documentar cualquier violación de la seguridad, con los hechos, sus efectos y las medidas correctivas adoptadas.

Lista de comprobación

• Cada persona tiene su usuario y nadie comparte contraseñas.
• Verificación en dos pasos activada en la herramienta de gestión y en el correo.
• Permisos revisados: cada agente ve lo que necesita.
• Bloqueo con código en móviles y ordenadores.
• Ninguna base de datos de clientes circulando por correo.
• Procedimiento de salida para cuando alguien deja la agencia.
• Una exportación reciente, guardada con cuidado.
• Un plan de brecha escrito, con un responsable.

Cómo te ayuda InmoCenter

Ninguna herramienta sustituye a los hábitos del equipo, pero puede ponerte fácil lo que depende de ella. Esto es lo que hace InmoCenter:

• Separación entre agencias. Los datos de una inmobiliaria no son visibles para otras.
• Acceso. Verificación en dos pasos disponible.
• Cada agente, lo suyo. Cada agente trabaja con su cartera, sus visitas y sus operaciones; la dirección ve la actividad completa. En la captación, otro agente ve qué falta, pero no los nombres de documentos ni el encargo.
• Tus datos, fuera cuando quieras. Tus datos pueden exportarse cuando lo necesites.
• Fotos sin ubicación. Se conserva una copia maestra de cada foto, sin GPS.
• Documentos sensibles. La nota simple lleva titulares y DNI: no se envía a ningún modelo externo.
• Operaciones confidenciales. Sala de inversión con aceptación del acuerdo de confidencialidad y registro de acceso: nombre, email, IP y fecha.
• Por dentro. Según su política de privacidad, InmoCenter aplica cifrado en tránsito (HTTPS) y guarda las contraseñas con funciones de derivación, nunca en claro.

Las operaciones no entran en todos los planes. Puedes ver cómo encaja todo en InmoCenter, el software de gestión para agencias inmobiliarias.