Gestión de activos de TI conforme al RGPD: requisitos y buenas prácticas

Los activos de TI contienen datos personales: desde el nombre del empleado en una asignación hasta las credenciales guardadas en los dispositivos. El RGPD impone requisitos claros. Este artículo muestra qué deben vigilar los equipos de TI y cómo ayuda un software ITAM moderno.

Por qué el RGPD y la gestión de activos de TI van juntos

Muchos departamentos de TI ven el cumplimiento del RGPD como algo del área jurídica. Pero el reglamento afecta directamente al trabajo diario de cualquier administrador:

• Datos de empleados en el inventario:nombre, correo, departamento, sede: todos datos personales según el art. 4 del RGPD
• Asignaciones de dispositivos:el registro «el portátil X pertenece al empleado Y» ya es un dato personal
• Trazas de auditoría:¿quién recibió o devolvió qué dispositivo y cuándo? Los registros están sujetos al RGPD
• Datos en los dispositivos:al salir un empleado, los datos del equipo deben borrarse conforme al RGPD

Los cinco requisitos del RGPD para la gestión de activos de TI

1. Base jurídica (art. 6 del RGPD):El tratamiento se apoya en la ejecución de un contrato (art. 6.1.b), el interés legítimo (art. 6.1.f) o una obligación legal (art. 6.1.c).
2. Minimización de datos (art. 5.1.c):Registra solo los datos que la gestión de TI necesita realmente. Nombre, correo, departamento y sede bastan para una asignación.
3. Limitación del plazo de conservación (art. 5.1.e):Tras la salida, los datos del empleado deben eliminarse dentro de los plazos de conservación, salvo los datos de activos relevantes a efectos fiscales (6–10 años según el HGB/AO alemanes).
4. Derecho de acceso (art. 15 del RGPD):Los empleados tienen derecho a saber qué datos se conservan. Tu sistema ITAM debe poder reunir con rapidez todos los activos asignados y los registros.
5. Encargo del tratamiento (art. 28 del RGPD):Con un ITAM en la nube debe existir un contrato de encargo del tratamiento y el tratamiento debe realizarse en la UE.

Hojas de cálculo frente a software ITAM: la perspectiva del RGPD

Lista de comprobación: ¿tu inventario de TI cumple el RGPD?

• ¿Está documentada la base jurídica del tratamiento?
• ¿Se lleva un registro de actividades de tratamiento según el art. 30?
• ¿Hay contrato de encargo del tratamiento con el proveedor de ITAM?
• ¿El tratamiento se realiza en la UE (y no en EE. UU.)?
• ¿Está activo el registro de accesos (traza de auditoría)?
• ¿Hay una política de supresión definida para los empleados que se van?
• ¿Pueden atenderse las solicitudes del art. 15 en un plazo de 30 días?
• ¿Están documentadas las medidas técnicas y organizativas?

Cómo respalda AssetNode el cumplimiento del RGPD

• Alojamiento en Alemania:todos los datos se guardan en servidores de Hetzner en Alemania, sin transferencia a nubes de EE. UU.
• Traza de auditoría completa:cada cambio en activos, asignaciones y datos de empleados queda registrado
• Control de acceso por roles:roles de administrador, responsable y empleado con permisos bien definidos
• Exportación de datos:todos los datos pueden exportarse a CSV en cualquier momento (portabilidad, art. 20)
• Política de supresión:los datos de los empleados pueden depurarse de forma sistemática al causar baja

Conclusión

La gestión de activos de TI conforme al RGPD no es opcional: es obligatoria. Quien en 2026 siga trabajando con hojas de cálculo arriesga no solo multas, sino también la confianza de su plantilla. Una plataforma ITAM moderna como AssetNode aporta la base técnica para una administración conforme.