Cuando pensamos en el RGPD, a menudo nos vienen a la mente las restricciones normativas, el registro de tratamientos, la política de privacidad o, incluso, lo consideramos un «mal necesario» para evitar las sanciones de la CNIL. Es una visión comprensible, pero muy simplista. Y es que, más allá de este marco normativo, el RGPD influye profundamente en la madurez digital y la postura de ciberseguridad de las empresas.

Esto es precisamente lo que demuestra la CNIL en su informe publicado en junio de 2025, titulado «Economía de la ciberseguridad y beneficios del RGPD». En él, explora por primera vez en detalle los efectos económicos positivos del RGPD sobre la seguridad informática, basándose en los trabajos de investigación sobre la economía de la ciberseguridad (Gordon y Loeb, 2015; Anderson y Moore, 2007; Murciano-Goroff, 2019).

Una de las conclusiones clave de este informe es que, al corregir las deficiencias del mercado, el RGPD actúa como un potente mecanismo de incentivo: empuja a las empresas a invertir en ciberseguridad no solo para cumplir con la normativa, sino también porque resulta económicamente racional. El RGPD obliga a las organizaciones a tener en cuenta los riesgos a los que, de otro modo, expondrían a sus clientes, socios o subcontratistas.

Por ejemplo, la obligación de notificar las violaciones de datos e informar a los interesados (artículos 33 y 34) incentiva reforzar la protección desde el principio. El artículo 32 impone un nivel de seguridad en los tratamientos proporcional a los riesgos y se convierte, por tanto, en una palanca estructural para la mejora continua. El mero hecho de designar a un delegado de protección de datos (artículo 37), documentar la naturaleza de los tratamientos o limitar el plazo de conservación de los datos (artículo 5.1.e) favorece la higiene cibernética.

En resumen: lo que en un principio se consideraba una restricción se está convirtiendo en un motor de rendimiento y resiliencia.

Una evidencia sobre el terreno, ahora cuantificada

En CnC Expertise, llevamos varios años observando que las empresas que han emprendido un auténtico proceso de cumplimiento del RGPD suelen estar mejor preparadas para hacer frente a los incidentes de ciberseguridad. Esta constatación no es en absoluto intuitiva: refleja la realidad de un marco normativo que impone una gestión rigurosa de los datos de carácter personal. En la práctica, esto significa que estas empresas han aprendido a identificar con precisión sus tratamientos de datos, a limitar la recogida y la conservación de datos a lo estrictamente necesario, a responsabilizar a sus subcontratistas tanto a nivel contractual como operativo, y a prepararse para notificar las violaciones de datos en plazos muy cortos.

En otras palabras, han adquirido un conocimiento detallado de sus activos de información: qué almacenan, por qué lo hacen, con quién comparten esos datos y cómo garantizan su protección. Estos son precisamente los aspectos que exploramos a lo largo de nuestras misiones de auditoría técnica, organizativa o de seguros. La calidad de esta documentación suele ser un indicador fiable del nivel de madurez global de un sistema de información.

El informe publicado por la CNIL en junio de 2025 muestra claramente que el RGPD no se limita a imponer obligaciones: también genera efectos positivos muy concretos en la forma en que las empresas invierten en su ciberseguridad. Al actuar como un marco común, el RGPD corrige varios desequilibrios bien conocidos. Obliga a las organizaciones a ser más transparentes en la gestión de los datos, lo que permite a los clientes y socios evaluar mejor los riesgos. También evita que un actor se beneficie de los esfuerzos de otros sin realizar él mismo las inversiones necesarias, especialmente en las cadenas de subcontratación. Por último, empuja a las empresas a dejar de ignorar ciertos riesgos simplemente porque no sufren sus consecuencias de forma inmediata.

El artículo 32, que impone un nivel de seguridad adecuado al riesgo que conlleva el tratamiento de datos, desempeña un papel fundamental en esta dinámica. Fomenta la armonización de comportamientos a escala sectorial, especialmente en ecosistemas altamente interdependientes. Según los modelos económicos utilizados por la CNIL, el nivel actual de falta de inversión en ciberseguridad sigue siendo significativo y podría reducirse entre un 20 % y un 66 % si se tuvieran plenamente en cuenta las externalidades negativas.** 

Por último, uno de los resultados más destacados que se recogen en el informe de la CNIL se refiere al artículo 34 del RGPD, que obliga a las empresas a informar a los interesados cuando existe un riesgo elevado para las personas afectadas. Esta obligación tiene un efecto preventivo: anima a las empresas a reforzar la seguridad de sus sistemas para evitar tener que notificar una filtración, y permite a las personas potencialmente afectadas reaccionar más rápidamente para protegerse.

Para medir el impacto real de esta disposición, la CNIL se basa en dos importantes estudios económicos: el de Sasha Romanosky (2011) y el de Fabio Bisogni y Hadi Asghari (2020). Estos investigadores han analizado, a partir de datos empíricos, los efectos de leyes similares en Estados Unidos y en otros contextos europeos. Han demostrado que las obligaciones de notificación contribuyen a reducir significativamente el número de suplantaciones de identidad*.

Estos trabajos, aunque realizados en contextos diversos, han contribuido a demostrar que la obligación de transparencia impuesta por el RGPD tiene efectos cuantificables sobre la seguridad de los datos y sobre la reducción de los perjuicios económicos sufridos por las víctimas… y por las propias empresas.

Una herramienta contra la falta de inversión en ciberseguridad

Los estudios realizados sobre ciberseguridad han demostrado que las empresas tienden a invertir por debajo del nivel óptimo para protegerse de los riesgos digitales. Esta falta de inversión se explica, en particular, por el hecho de que una parte de los daños causados por un ciberataque no afecta directamente a la organización víctima. Cuando el robo de datos de clientes, la indisponibilidad de un servicio o la filtración de datos sensibles afectan a la confianza del público en todo un sector, se trata de efectos difusos, difíciles de medir a escala de un solo actor. En economía, estos efectos se denominan externalidades negativas.**

Esto es precisamente lo que viene a corregir el RGPD. Al establecer, en su artículo 32, una obligación de seguridad del tratamiento adaptada al nivel de riesgo, obliga a las empresas a documentar y aplicar medidas técnicas y organizativas concretas. Por su parte, el artículo 34 obliga a los responsables del tratamiento a informar a los interesados de cualquier violación de datos que suponga un riesgo elevado para los derechos y libertades de una persona física. Por último, el artículo 28 regula las relaciones con los encargados del tratamiento, vinculándolos al responsable del tratamiento y estableciendo su responsabilidad jurídica en caso de incumplimiento de las normas de seguridad.

Estas disposiciones actúan como impulsoras de la inversión. Animan a las empresas a ir más allá de los enfoques mínimos o simbólicos para adoptar medidas de protección de datos realmente eficaces. El cifrado, la implantación de copias de seguridad resilientes o la reducción del volumen y del plazo de conservación de los datos recopilados se convierten así en decisiones racionales, tanto para limitar la exposición al riesgo como para cumplir con la normativa.

Menos incidentes, menos pérdidas… más ahorro

Uno de los ejemplos más elocuentes que ha puesto de relieve la CNIL se refiere al impacto del artículo 34 del RGPD en la información a los interesados, especialmente en los casos de riesgo de suplantación de identidad. Al obligar a las empresas a alertar a los interesados en caso de fuga de datos, esta disposición les permite reaccionar con mayor rapidez, limitar las consecuencias del robo de identidad e incluso evitar que algunos ataques lleguen a buen puerto.

Basándose en modelos económicos elaborados a partir de los trabajos de Romanosky y Bisogni, la CNIL estima que esta obligación habría permitido evitar entre 90 y 219 millones de euros en pérdidas en Francia desde la entrada en vigor del reglamento. Cabe destacar que cerca del 82 % de estos beneficios económicos han redundado directamente en las empresas, a través de menores indemnizaciones, una disminución de la siniestralidad o un refuerzo de la confianza de las partes interesadas.

Cabe destacar que esta estimación se refiere únicamente a un tipo de incidente bien documentado. No tiene en cuenta los efectos del RGPD sobre otras formas de ataques, como el ransomware, la compromisión de los sistemas de correo electrónico corporativo, las interrupciones de la actividad o los daños a la reputación. Por lo tanto, es razonable pensar que los beneficios reales del marco normativo se subestiman en gran medida en este momento, a falta de datos consolidados sobre el conjunto de los impactos.

Para las aseguradoras, una clara señal de madurez

Para los actores del sector de los seguros cibernéticos, las conclusiones de este informe refuerzan una intuición que defendemos desde hace varios años: el cumplimiento del RGPD es mucho más que un simple imperativo jurídico. Es un indicador de la madurez organizativa de una empresa y, como tal, un indicador relevante de su resiliencia frente a los riesgos digitales.

Una organización capaz de mantener actualizado un registro de tratamientos demuestra no solo su capacidad para controlar sus flujos de datos, sino también su capacidad para movilizar a los interlocutores internos adecuados. Del mismo modo, el cumplimiento de las obligaciones de notificación en caso de violación supone la existencia previa de procedimientos de gestión de crisis, de líneas de comunicación internas y de un mínimo de formación para la toma de decisiones rápidas. Por último, las acciones de sensibilización relacionadas con el RGPD, cuando se llevan a cabo con seriedad, contribuyen a cambiar los comportamientos de los empleados en materia de seguridad en el día a día, más allá del mero marco del cumplimiento normativo.

Estos elementos, aunque indirectos, constituyen señales débiles que las aseguradoras pueden aprovechar para evaluar el nivel real de preparación de un asegurado. Y en un contexto en el que los modelos actuariales aún tienen dificultades para integrar la complejidad del riesgo cibernético, cualquier indicador sólido de gobernanza resulta valioso.

Y todo ello tiene un impacto directo en la siniestralidad.

No obstante, siguen existiendo numerosas áreas aún poco exploradas. El informe de la CNIL lo destaca explícitamente: los beneficios derivados de determinadas disposiciones fundamentales del RGPD, como el artículo 32 sobre la seguridad del tratamiento de datos, el artículo 5 sobre la minimización de datos o el artículo 25 relativo al principio de «privacidad desde el diseño», aún no han sido objeto de una evaluación económica en profundidad. Y, sin embargo, son precisamente estos principios los que estructuran hoy en día los enfoques más sólidos en materia de resiliencia digital.

En CnC Expertise, estamos convencidos de que el RGPD no se reduce a un marco jurídico que hay que respetar. Se trata de una palanca de competitividad, una herramienta de gobernanza de datos y, sobre todo, un vector eficaz para el control del riesgo cibernético. Cuanto mejor integren las empresas estas dimensiones en su funcionamiento diario, más reforzarán su postura de seguridad, su capacidad de adaptación… y su valor.

* Según sus resultados, las notificaciones obligatorias han permitido reducir estos delitos entre un 2,5 % (Bisogni y Asghari) y un 6,1 % (Romanosky). Estos dos valores han servido de base a las estimaciones de la CNIL para cuantificar los beneficios económicos obtenidos en Francia gracias al RGPD.

** Una externalidad negativa se refiere a una consecuencia perjudicial de una acción que sufren otros actores, sin que estos sean responsables de ella ni reciban indemnización alguna. Por ejemplo, cuando una empresa sufre un ataque informático y sus clientes se ven afectados por ello, se trata de una externalidad negativa.

Estudio de Romanosky (2011) – «¿Reducen las leyes de divulgación de violaciones de datos el robo de identidad?», Journal of Policy Analysis and Management: https://onlinelibrary.wiley.com/doi/10.1002/pam.20567

Estudio de Bisogni y Asghari (2020) – «More Than a Suspect: An Investigation into the Connection Between Data Breaches, Identity Theft, and Data Breach Communication Laws», Journal of Information Policy: https://doi.org/10.5325/jinfopoli.10.2020.0045