Simulación de phishing y derechos de los trabajadores: qué tienes que hacer antes

Busca «simulación de phishing» en español y encontrarás decenas de páginas de producto: plantillas de correo, paneles de control, tasas de clic, integraciones con el directorio corporativo. Busca «simulación de phishing comité de empresa» y no encontrarás casi nada.

Ese hueco es el mayor del mercado español de ciberseguridad, y es exactamente la pregunta que va a parar tu proyecto en cuanto llegue a recursos humanos o a la asesoría jurídica: ¿podemos enviar correos fraudulentos falsos a nuestra propia plantilla, y qué ocurre si alguien se queja?

La respuesta corta es que sí, se puede. La respuesta larga es que en España el trámite que decide el proyecto no es de protección de datos, es de derecho laboral, y que la mayoría de los programas que se lanzan en este país se saltan precisamente ese paso. El resultado no suele ser una sanción de la autoridad de control: es un escrito de la representación legal de la plantilla, un conflicto colectivo, o —el desenlace más caro— un dato de clic que la empresa no puede utilizar el día que de verdad lo necesita.

Este artículo no habla de lo que hacemos nosotros. Habla de lo que tiene que hacer tu organización antes de la primera campaña, en el orden en el que lo vas a necesitar: la licitud del principio, el art. 87.3 de la LOPDGDD y lo que el Tribunal Supremo dijo sobre él en 2024, quién es «la representación de los trabajadores» según el tamaño de tu empresa, la base jurídica del RGPD, cómo se tratan los resultados, los tres límites técnicos que nadie escribe, y un modelo de comunicación interna que puedes adaptar.

Sí, es legal, y conviene entender por qué

El punto de partida rara vez se discute: la empresa pone a prueba sus propios sistemas, sus propios dominios y sus propios buzones corporativos. No accede a un sistema ajeno, no captura contraseñas reales y no suplanta a una administración pública. Una campaña de phishing simulado pertenece a la misma familia que un simulacro de evacuación: un suceso provocado, acotado y documentado, cuya finalidad es medir una reacción real en lugar de una reacción declarada.

La cobertura legal del principio está en el art. 20.3 del Estatuto de los Trabajadores (texto refundido aprobado por el Real Decreto Legislativo 2/2015), que merece leerse literalmente porque su segunda mitad es tan importante como la primera:

«El empresario podrá adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a su dignidad y teniendo en cuenta, en su caso, la capacidad real de los trabajadores con discapacidad.»

La facultad existe. Viene con un límite —la dignidad— que no es retórico: es el criterio que un juzgado de lo social aplicará si alguien impugna el ejercicio. Un escenario que se burla de la persona que ha hecho clic no supera ese límite aunque el programa entero esté perfectamente documentado.

Junto a ese artículo hay que leer el art. 20 bis del Estatuto de los Trabajadores, titulado «Derechos de los trabajadores a la intimidad en relación con el entorno digital y a la desconexión», que fue el precepto por el que la reforma de 2018 conectó el Estatuto con la legislación de protección de datos. Es la puerta de entrada: el Estatuto reconoce el derecho y remite su contenido a la Ley Orgánica 3/2018.

Así que lo regulado no es el principio, son las condiciones. En España son cuatro, y sólo una de ellas es de protección de datos:

1. Participación de los representantes de los trabajadores en los criterios de utilización de los dispositivos digitales, dentro de los cuales vive el programa de simulación. Es el trámite laboral, y es el que decide el proyecto.


2. Una base jurídica del RGPD, porque estás tratando datos de personas identificadas.


3. Información previa a la plantilla sobre la existencia del dispositivo, con el detalle que exige el reglamento.


4. Proporcionalidad en la ejecución: escenarios medidos, explotación agregada y ninguna consecuencia individual.

Cuando falta una, casi siempre es la primera. Y es la única que no se puede arreglar después.

Si la campaña la ejecuta un proveedor externo, añade la regla que rige cualquier trabajo de seguridad ofensiva: se realiza con mandato escrito y sobre un alcance definido en contrato. No es una formalidad de estilo. Los tipos penales que castigan el acceso y la interferencia en sistemas ajenos —arts. 197 bis, 197 ter, 264, 264 bis y 264 ter del Código Penal— se articulan todos sobre la fórmula «sin estar debidamente autorizado». La autorización escrita del titular del sistema es exactamente lo que separa un ejercicio de un delito, y es la misma exigencia que rige en un test de intrusión.

El artículo que decide el proyecto: art. 87.3 de la LOPDGDD

Aquí está el centro del asunto, y es la parte que ninguna página de producto española explica.

Qué exige el precepto

El art. 87 de la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales lleva por título «Derecho a la intimidad y uso de dispositivos digitales en el ámbito laboral». Su apartado 3 obliga a la empresa a establecer criterios de utilización de los dispositivos digitales, respetando los estándares mínimos de protección de la intimidad, y exige que esos criterios se elaboren «con participación de los representantes de los trabajadores». Cierra el apartado un deber correlativo: el personal debe ser informado de los criterios de utilización.

Fíjate en tres cosas que suelen pasarse por alto.

No es un deber condicionado al tamaño de la empresa. A diferencia del modelo francés, donde la consulta se activa a partir de un umbral de plantilla, el art. 87.3 no fija ningún umbral. Lo que depende del tamaño es quién es el interlocutor, no si hay que contar con él.

No es una autorización, pero tampoco es un aviso. «Participar en la elaboración» es más que informar de un resultado ya cerrado. Convocar a la representación para enseñarle una política firmada la semana anterior no es participación, y así se lee en un acta.

El precepto no habla de campañas, habla de criterios. Y ahí está la clave arquitectónica de todo el proyecto, que desarrollo dos apartados más abajo.

Lo que añadió el Tribunal Supremo el 6 de febrero de 2024

Durante los primeros años de vigencia de la LOPDGDD circuló la lectura cómoda: que el art. 87.3 enunciaba un principio programático y que bastaba con «dar traslado» a la representación. La sentencia del Tribunal Supremo de 6 de febrero de 2024 cerró esa vía.

Dos afirmaciones de esa resolución son las que tienes que llevarte:

1. El art. 87.3 «tiene carácter imperativo».

No es una recomendación de buenas prácticas ni una regla disponible para las partes. Es una norma de obligado cumplimiento, y su incumplimiento afecta a la validez de lo que se construye encima de ella.

2. La participación es «indispensable» para cualquier concreción, ampliación o restricción de los criterios de uso de los dispositivos digitales —también cuando se modifican criterios ya existentes.

Esta segunda es la que rompe el atajo que todo el mundo intenta. La conversación típica en cualquier organización con una política ya aprobada es: «tenemos una política de uso de medios informáticos aprobada en 2019, le añadimos un párrafo sobre simulaciones y listo». Según la doctrina del Tribunal Supremo, modificar los criterios exige la misma participación que crearlos. Añadir el programa de phishing simulado a una política vigente es una modificación, no una nota aclaratoria.

Dónde encaja exactamente la simulación

El error de diseño más frecuente es tratar la campaña como un proyecto aislado que «hay que comunicar». No lo es. El programa de simulación vive dentro de los criterios de utilización de los dispositivos digitales, porque lo que mide es precisamente cómo se usa una herramienta de trabajo —el correo corporativo— y porque registra, aunque sea de forma efímera, quién abre, quién hace clic y quién notifica.

De esa colocación se derivan tres consecuencias prácticas:

• El documento que se somete a participación no es «la campaña», es la política. Lo que llevas a la representación es el apartado de la política de uso de dispositivos digitales que describe el programa permanente de concienciación y sus reglas. Así el trámite se hace una vez y cubre todas las campañas del ciclo, en lugar de repetirse cada trimestre.


• El calendario se adelanta. La participación ocurre antes de firmar con el proveedor, no después. Una representación que descubre un contrato ya cerrado lee la participación como una escenificación, y tiene razón.


• El expediente queda cerrado por escrito. Acta o documento de la reunión, versión de la política resultante, comunicación difundida y fecha. Eso es lo que se exhibe el día que alguien pregunta, y es lo único que sirve.

¿Quién es «la representación de los trabajadores» en tu empresa?

La respuesta depende del tamaño del centro de trabajo, y en España el Estatuto distingue dos órganos.

Dos matices españoles que conviene resolver antes de convocar a nadie.

Lee primero el convenio colectivo aplicable. Muchos convenios sectoriales y de empresa ya contienen cláusulas sobre uso de medios informáticos, sobre control de la actividad o sobre desconexión digital. Si el tuyo las tiene, el procedimiento que fija el convenio manda sobre el que tú improvises, y llegar a la reunión sin haberlo leído es la forma más rápida de perder un ciclo.

La negociación colectiva es el cauce natural de algunas de estas materias. El propio art. 88 de la LOPDGDD, al regular la desconexión digital, remite a lo establecido en la negociación colectiva o a lo acordado entre la empresa y la representación. Si en tu organización la política de dispositivos digitales acaba formando parte de un acuerdo de empresa, el calendario se alarga, y es mejor saberlo en septiembre que en diciembre.

La base jurídica del RGPD: interés legítimo, nunca consentimiento

En cuanto registras quién ha recibido, abierto, pulsado o notificado un correo, estás haciendo un tratamiento de datos personales. Necesita una base jurídica, y el abanico real es estrecho.

Por qué el interés legítimo

La base pertinente es el interés legítimo del art. 6.1.f) del RGPD. Se sostiene en tres pasos que hay que escribir, fechar y conservar:

• El interés es legítimo. Quieres comprobar que las medidas que protegen los datos de tu clientela y de tu plantilla resisten el vector de ataque más común. Ese interés no sale de la nada: el art. 32.1.d) del RGPD exige disponer de «un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas».


• La medida es necesaria. Ninguna alternativa menos intrusiva produce la misma información. Un cuestionario mide lo que la gente cree que haría; una sesión de concienciación mide la asistencia. Sólo una puesta en situación mide el comportamiento.


• La ponderación se inclina del lado correcto —siempre que la ejecución lo permita. Aquí se juega todo: una campaña agregada, sin consecuencias individuales y con conservación corta, supera la ponderación sin dificultad. Una campaña nominal, remitida a los mandos y enganchada a un procedimiento disciplinario, no la supera.

Son tus decisiones de ejecución las que hacen sólida la base jurídica,
y no al revés.

Un delegado de protección de datos que frena un proyecto de simulación casi nunca rechaza el ejercicio: rechaza la restitución nominal. Cambia la restitución y el proyecto avanza.

Precisión que casi todo el mercado se salta: el art. 32.1.d) del RGPD no nombra el pentesting ni la simulación de phishing. Describe un proceso. No escribas en tu juicio de ponderación que «el RGPD exige una simulación de phishing», porque no lo exige y esa frase debilita el documento entero.

Por qué no el consentimiento

Dos razones, una jurídica y otra práctica.

Jurídicamente, el consentimiento debe ser libre, y en una relación de subordinación rara vez lo es: es una posición constante de las autoridades de protección de datos. Además es reversible en cualquier momento, y basta una retirada para dejar fuera del programa justo a quien más necesitaba participar.

En la práctica, un consentimiento pedido campaña por campaña obliga a avisar de la fecha y del escenario. El resultado es una tasa de clic cercana a cero y una medición que no enseña nada. El consentimiento destruye el objeto del dispositivo.

El reflejo correcto: informar a todo el mundo de la existencia del programa,
y no pedir a nadie permiso para activarlo.

Qué anuncias y qué no anuncias

Aquí es donde muchas organizaciones se bloquean, porque confunden informar con avisar. No es lo mismo.

Lo que anuncias, una vez, a toda la plantilla, antes de la primera campaña:

• que existe un programa permanente de concienciación frente al phishing;


• que durante el periodo se enviarán mensajes fraudulentos simulados, sin ningún riesgo, a las direcciones corporativas;


• la finalidad, la base jurídica, los datos tratados, los plazos de conservación y los derechos de las personas;


• que la restitución es exclusivamente agregada y que no se derivará de ella ninguna sanción;


• el canal por el que notificar un mensaje sospechoso.

Lo que no anuncias: la fecha, la ventana concreta, la población objetivo, el escenario y el remitente simulado. Nada en el deber de información obliga a desvelar el contenido del ejercicio, y todo aconseja preservar su valor de medida.

Tres soportes se reparten el trabajo y se complementan: la política de uso de dispositivos digitales, que es el documento permanente y el que pasa por el art. 87.3; una comunicación interna, que abre el programa sin esperar a la siguiente revisión de la política; y la cláusula informativa de la intranet, donde figuran la base jurídica, los plazos y el contacto del delegado de protección de datos.

Minimización: el punto donde de verdad se pierde el caso

Si tuviera que reducir todo este artículo a un solo párrafo, sería este. El resultado agregado se defiende solo. El resultado nominal es lo que crea el riesgo.

El fundamento es el principio de minimización del art. 5.1.c) del RGPD: los datos personales deben ser «adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados». La finalidad que has declarado es medir y reforzar la capacidad de la organización para detectar y notificar mensajes fraudulentos. Para esa finalidad, el dato nominal de quién hizo clic no es necesario más allá del tiempo estrictamente imprescindible para consolidar la estadística y mostrar la página didáctica. Todo lo que conserves por encima de eso sobra, y lo que sobra es exactamente lo que se te reclama.

Los resultados se restituyen de forma exclusivamente agregada;
ninguna persona es evaluada, clasificada ni identificada.

Lo que sí mides

Puedes desglosar estas cifras por centro, por dirección o por familia profesional si te resulta útil, pero nunca por debajo de un umbral que permita reidentificar a alguien. En la práctica, no publiques ningún segmento de menos de una decena de personas: en un equipo de cuatro, un «25 % de clic» señala a una persona concreta y todo el mundo en la sala sabe a quién.

Lo que no haces nunca

• Ni clasificación, ni muro de la vergüenza, ni podio invertido. El recurso circula por el mercado; produce ocultación, no atención.


• Ninguna remisión nominal a los mandos. Quien dirige un equipo recibe los resultados de su ámbito agregados, como todo el mundo.


• Ninguna anotación en el expediente personal, ninguna sanción. Un ejercicio anunciado como concienciación no puede convertirse a posteriori en un instrumento disciplinario.


• Ningún escenario que hiera. Nómina extraordinaria, expediente de regulación de empleo, resultados médicos, fallecimiento de un familiar: estos pretextos funcionan, y precisamente por eso no se usan. El coste social supera con mucho el valor de la medida, y el límite de dignidad del art. 20.3 del Estatuto está exactamente ahí.


• Ninguna suplantación de identidad de una administración pública ni de una marca ajena real sin acuerdo escrito. Imitar a un organismo del Estado o a un proveedor real te expone en un terreno que no tiene nada que ver con la seguridad.

Dos plazos de conservación, no uno

Es el detalle que distingue un expediente serio de una plantilla copiada. Los datos individuales —dirección corporativa y marcas de tiempo de apertura, clic, introducción de datos y notificación— llevan un plazo corto y numerado: treinta días desde el cierre de la campaña es un uso razonable y fácil de sostener. Las estadísticas agregadas, ya sin posibilidad de reidentificación, se conservan el tiempo que necesites para seguir la evolución del programa.

Y una regla técnica que debe figurar por escrito en la ficha del registro de actividades de tratamiento (art. 30 del RGPD) y en el contrato con el proveedor: no se captura ni se conserva ninguna contraseña real. La página simulada registra que se ha introducido algo; no guarda qué.

El «modelo de consecuencias» importado no encaja aquí

Buena parte del contenido que hoy posiciona en español sobre esta materia es traducción de material estadounidense, y llega con un esquema que allí es común: un consequence model que escala desde el aviso hasta la medida disciplinaria para quien reincide en hacer clic. Se presenta como rigor. En España es, sencillamente, el camino más rápido a un problema.

No es una cuestión de sensibilidad, es de mecánica jurídica, y falla en tres puntos encadenados.

1. Cambia la finalidad declarada.

Has informado a la plantilla de que el tratamiento tiene una finalidad de concienciación y medición colectiva. Usar el resultado para fundamentar una medida disciplinaria es un tratamiento ulterior con una finalidad distinta de aquella para la que se recogieron los datos. Esa desviación es el defecto que un delegado de protección de datos detecta en la primera lectura.

2. Rompe el juicio de ponderación.

La ponderación del art. 6.1.f) se sostenía porque el impacto sobre la persona era mínimo: resultado agregado, sin consecuencias individuales, conservación corta. Introduce la consecuencia disciplinaria y el impacto deja de ser mínimo. La base jurídica que habías construido ya no soporta lo que haces con ella.

3. Convierte el dato en una prueba que no puedes usar.

Y aquí está el punto que cierra el argumento. Si el programa se puso en marcha sin la participación de la representación legal de la plantilla que exige el art. 87.3 de la LOPDGDD —precepto que el Tribunal Supremo declaró imperativo el 6 de febrero de 2024—, lo que obtienes es un dato conseguido al margen de la garantía que la ley impone para obtenerlo.

El art. 11.1 de la Ley Orgánica del Poder Judicial lo formula sin matices: «No surtirán efecto las pruebas obtenidas, directa o indirectamente, violentando los derechos o libertades fundamentales.» La ley procesal laboral recoge la misma regla para el proceso social. Traducido al lenguaje del proyecto:

Una simulación lanzada sin la participación de la representación legal de la plantilla
produce una evidencia que después no vas a poder usar,
y sí puede usarse contra la empresa.

Esta es nuestra lectura práctica de la norma y de la doctrina citada, no una cita literal de ninguna de las dos; contrástala con tu asesoría laboral antes de convertirla en política interna. Pero el cálculo es asimétrico y conviene verlo con frialdad: cumplir el trámite cuesta una reunión y un acta; saltárselo puede dejarte sin poder utilizar lo único que la campaña ha producido.

Hay además un argumento operativo que no es jurídico y que, en nuestra experiencia, convence más rápido a un comité de dirección: si sancionas el error, compras silencio. La organización deja de notificar porque notificar delata. Y lo que salva a una empresa en un ataque real no es que nadie haga clic —siempre hay alguien que hace clic—, sino que la primera persona que sospecha avise en los dos minutos siguientes.

Tres límites concretos: dispositivo, canal y horario

Son los tres detalles técnicos que deciden si el programa se mantiene dentro del marco o se sale de él sin que nadie lo note.

El dispositivo tiene que ser de la empresa

Tanto el art. 20 bis del Estatuto de los Trabajadores como el art. 87 de la LOPDGDD construyen el derecho sobre los dispositivos digitales puestos a disposición por el empleador. Ese es el perímetro natural del ejercicio: equipos corporativos, cuentas corporativas, dominios corporativos.

Un teléfono personal no es una herramienta de trabajo. Si tu organización tiene un esquema de dispositivo propio, el programa sólo puede alcanzar la parte gestionada del dispositivo y en los términos que la política y el convenio permitan, y eso tiene que estar escrito antes, no resuelto después.

El canal: el correo corporativo sí; el número personal, no

Las variantes por voz y por mensaje corto —vishing y smishing— son mucho más intrusivas, y el motivo es sencillo: los números de teléfono con los que se ejecutan suelen ser personales. Si quieres incorporarlas:

• usa exclusivamente líneas y terminales corporativos;


• menciónalas de forma expresa en la información previa y en el documento que llevas a la representación, no las introduzcas por la puerta de atrás a mitad de ciclo;


• trátalas como un módulo aparte, con su propio análisis de proporcionalidad.

Lo mismo vale para los pretextos construidos con información pública sobre personas concretas. Es una técnica real y eficaz —la explicamos en OSINT e IA: cómo los atacantes usan la información pública—, pero dirigir un mensaje a alguien usando datos de su vida personal es el tipo de detalle que convierte una medición en una queja.

El horario: la desconexión digital

El art. 88 de la LOPDGDD reconoce el derecho a la desconexión digital y obliga a la empresa a elaborar una política interna sobre su ejercicio, oída la representación de los trabajadores. Es la misma arquitectura del art. 87.3, aplicada a otro derecho: política interna, participación previa, información al personal.

La consecuencia para el programa es concreta. Define una ventana de envío dentro de la jornada y respétala. Un correo simulado que llega un viernes a las 22:00 o en mitad de las vacaciones no mide la atención de nadie: mide quién está conectado cuando no debería estarlo, y entra en contradicción directa con la política de desconexión que la propia empresa ha aprobado. Documenta la ventana en el expediente; es el tipo de detalle que la representación agradece y que cierra una objeción antes de que se formule.

Lo que la AEPD no ha escrito, y por qué importa

Conviene decirlo con claridad, porque ahorra semanas de búsqueda: no existe orientación oficial española específica sobre simulaciones de phishing.

La guía de la Agencia Española de Protección de Datos «Protección de datos en las relaciones laborales», de 18 de mayo de 2021, es el documento de referencia en la materia laboral y trata, entre otras cuestiones, la consulta de redes sociales en los procesos de selección, los sistemas internos de información para la comunicación de infracciones, el registro de jornada y los dispositivos wearables de salud. No aborda los ataques simulados, ni las pruebas de concienciación, ni el control del correo electrónico. Verificado el 12 de septiembre de 2026.

Ese hueco tiene dos lecturas, y las dos son útiles.

La primera: nadie va a poder decirte que incumples una guía que no existe. El marco aplicable es el general —arts. 5, 6, 13, 28, 30 y 32 del RGPD, arts. 87 y 88 de la LOPDGDD, arts. 20.3, 20 bis, 62, 63 y 64 del Estatuto de los Trabajadores—, y ese marco se aplica igual que a cualquier otro tratamiento.

La segunda: no tienes un documento oficial en el que escudarte. Cuando la autoridad publica una guía sectorial, seguirla es una defensa razonable por sí sola. Aquí no la hay. Lo que te va a defender es el expediente que construyas: juicio de ponderación fechado, ficha del registro de tratamientos, acta o documento de la participación, comunicación difundida con su fecha y lista de distribución, y una captura de la restitución agregada. Ese conjunto es el equivalente funcional de la guía que falta.

La secuencia, paso a paso

Calcula entre seis y diez semanas desde el paso 1 hasta el paso 8 en una empresa con comité. Es el plazo que todos los proyectos subestiman, y la única razón por la que una campaña prevista para septiembre acaba saliendo en diciembre. Si tu organización negocia estas materias en un acuerdo de empresa, suma un ciclo más.

Modelo de comunicación interna

Este texto cubre la información previa y la cláusula informativa del RGPD. Adapta lo que va entre corchetes, hazlo revisar por tu delegado de protección de datos y difúndelo antes de la primera campaña.

Asunto: seguridad de la información — ejercicios de mensajes fraudulentos simulados

Hola a todo el equipo:

El phishing sigue siendo la vía de entrada más frecuente de los ataques informáticos. Para medir y reforzar nuestra capacidad colectiva de detectarlo y notificarlo, [Empresa] pone en marcha un programa permanente de concienciación.

En qué consiste: durante los próximos [doce] meses se enviarán a las direcciones de correo corporativas mensajes fraudulentos simulados, sin ningún riesgo. No comunicamos ni las fechas ni los escenarios: el ejercicio perdería todo su valor de medida.

Finalidad: evaluar y mejorar la capacidad de la organización para detectar y notificar mensajes fraudulentos, y ajustar en consecuencia nuestras acciones de concienciación.

Base jurídica: el interés legítimo de [Empresa] en garantizar la seguridad de los sistemas de información y de los datos que contienen — art. 6.1.f) del Reglamento General de Protección de Datos, con el juicio de ponderación documentado a disposición de quien lo pida.

Datos tratados: la dirección de correo corporativa y, en su caso, la apertura del mensaje, el clic, la introducción de información en la página simulada y la notificación. No se captura ni se conserva ninguna contraseña real.

Resultados: exclusivamente agregados, a nivel de organización y de grandes áreas. No se comunicará ningún resultado individual a la línea de mando ni se incorporará a ningún expediente personal.

Sin sanciones: se trata de un programa de concienciación. Hacer clic en un mensaje simulado no acarreará ninguna sanción ni ninguna consecuencia en la situación profesional de nadie.

Conservación: los datos individuales se suprimen como máximo [treinta] días después del cierre de cada campaña. Más allá de ese plazo sólo se conservan estadísticas agregadas.

Tus derechos: puedes ejercer los derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición ante [contacto / delegado de protección de datos].

Lo que te pedimos: ante la menor duda, notifica el mensaje a través de [botón de notificación / buzón]. Una notificación innecesaria no cuesta nada; una notificación que no llega puede costar muchísimo. Ese reflejo, y sólo ese, es lo que queremos desarrollar.

La representación legal de la plantilla ha participado en la elaboración de los criterios de utilización de los dispositivos digitales que enmarcan este programa, con fecha [fecha].

[Firma — dirección de sistemas / responsable de seguridad de la información]

Conserva la versión difundida, con su fecha y su lista de distribución. Es la primera pieza que te van a pedir.

Qué exigirle al proveedor

Cuando el trámite interno está resuelto, la elección de herramienta y de proveedor deja de ser el problema difícil. Aun así, hay siete puntos que conviene contratar por escrito y que puedes comprobar antes de firmar:

1. Contrato de encargo del tratamiento conforme al art. 28 del RGPD, con los subencargados nombrados uno a uno.

2. Ubicación del tratamiento. Dónde se alojan los datos y desde dónde se presta el servicio. Con un proveedor establecido en la Unión Europea no hay transferencia internacional del capítulo V del RGPD, no hacen falta cláusulas contractuales tipo y no hay exposición a legislación extracomunitaria de acceso a datos. Compruébalo, no lo supongas.

3. Ninguna contraseña real capturada ni conservada, y que lo diga el contrato, no el folleto.

4. Restitución agregada por defecto, con umbral mínimo de segmento configurable y exportaciones nominales desactivadas salvo decisión expresa y documentada.

5. Supresión automática de los datos individuales al vencimiento del plazo fijado, con evidencia de la supresión.

6. Mandato escrito y alcance contractual: ventana de envío, dominios utilizados y contactos de escalado a ambos lados.

7. Documentación para tu expediente: descripción técnica del tratamiento, categorías de datos y flujos, redactada de forma que puedas llevarla a la reunión con la representación sin reescribirla.

En Haxoris ejecutamos las campañas en ese marco: restitución agregada, nunca nominal, acompañamiento del expediente que llevas a la representación legal de la plantilla, y encadenamiento inmediato con la concienciación en lugar del reproche. Somos un proveedor europeo, el tratamiento se realiza en la Unión Europea y el RGPD se aplica directamente, sin transferencia internacional. El detalle de la plataforma está en la página de PhishGun, simulación de phishing, y el enfoque completo —phishing dirigido, vishing y pretextos— en nuestra página de test de ingeniería social.

Preguntas frecuentes

En resumen

La simulación de phishing no es un asunto jurídicamente complejo en España. Es procedimentalmente exigente, que no es lo mismo: un juicio de ponderación, una ficha de registro, una política de uso de dispositivos digitales elaborada con participación de la representación legal de la plantilla, una comunicación interna y un contrato de encargo. Cinco documentos y una reunión. Pero tienen que existir antes del primer envío, no después del primer incidente.

Y si te quedas con una sola frase, que sea esta: el trámite que decide tu proyecto no está en el RGPD, está en el art. 87.3 de la LOPDGDD y en lo que el Tribunal Supremo dijo sobre él el 6 de febrero de 2024. Todo lo demás —la plataforma, los escenarios, el panel— se resuelve en una tarde.

Para seguir: qué es la ingeniería social explica las técnicas que hay detrás de los pretextos; qué es el phishing con IA y cómo detectarlo cuenta cómo ha cambiado la dificultad de los escenarios; y la estafa del CEO con deepfake de voz trata el caso en el que el objetivo ya no es un buzón, sino una orden de pago. Si prefieres empezar por el programa de fondo, la página de concienciación en ciberseguridad describe cómo se encadena la campaña con lo que viene después.

Nuestros servicios relacionados: test de ingeniería social y campañas de phishing simulado · concienciación en ciberseguridad para tu plantilla