Tema desarrollado para preparar el examen tipo test de Personal Operativo de Correos. La información es orientativa: verifica siempre la normativa y los datos vigentes en los materiales oficiales de tu convocatoria.

Índice

• 0. Introducción: el cumplimiento normativo
• 1. Protección de datos
  • 1.1. RGPD y LOPDGDD
  • 1.2. Principios y derechos
  • 1.3. El DPO y la AEPD
  • 1.4. El secreto de las comunicaciones postales
  • 1.5. Brechas de seguridad de datos
• 2. Prevención del blanqueo de capitales
• 3. Compromiso ético y transparencia
• 4. Seguridad de la información y ciberseguridad
• 5. El cumplimiento en el trabajo diario
• 6. Ideas clave para el test

0. Introducción: el cumplimiento normativo

El cumplimiento normativo (en inglés, compliance) es el conjunto de medidas que una organización adopta para cumplir las leyes y sus propias normas internas, y para prevenir y detectar conductas irregulares. Para Correos, que maneja datos personales, dinero e información sensible, y que es una empresa pública, el cumplimiento es esencial. Este tema reúne cuatro grandes ámbitos de cumplimiento.

El compliance no es solo «obedecer la ley». Es un modelo de organización y gestión que busca que la empresa funcione con integridad: identifica los riesgos a los que está expuesta (que se filtren datos, que se blanquee dinero a través de sus servicios, que se cometa un fraude interno), establece controles para evitarlos, forma a los empleados y dispone de canales para detectar y corregir los incumplimientos. En las empresas, además, un buen modelo de cumplimiento puede atenuar o excluir la responsabilidad penal de la persona jurídica (art. 31 bis del Código Penal): si la organización tenía implantados controles eficaces, responde de forma distinta a si no hizo nada por evitar el delito.

¿Por qué es tan importante para Correos? Por tres razones que conviene retener. Primera, por su naturaleza: es una sociedad estatal (del sector público), sujeta a exigencias reforzadas de transparencia y buen gobierno. Segunda, por la información que trata: nombres, direcciones y datos de millones de personas, además del secreto de las comunicaciones. Y tercera, por el dinero: al prestar servicios financieros (Tema 4) queda dentro del radar de la prevención del blanqueo. Los cuatro ámbitos que veremos —protección de datos, prevención del blanqueo, ética y transparencia y seguridad de la información— son las cuatro patas sobre las que se asienta ese cumplimiento.

Para gestionar todo esto, las grandes organizaciones se dotan de un modelo de cumplimiento (o compliance) articulado en tres piezas: un conjunto de políticas y procedimientos (código ético, protocolos, controles), un órgano responsable de supervisarlo (a menudo llamado órgano o comité de cumplimiento, con autonomía) y unos canales para formar, detectar y corregir. El objetivo es crear una verdadera cultura de cumplimiento: que actuar bien no dependa de la buena voluntad de cada cual, sino que esté integrado en cómo trabaja la organización. En ese modelo, cada empleado —también el Personal Operativo— es una pieza esencial, porque es quien está en contacto directo con los datos, el dinero y la información.

1. Protección de datos

1.1. RGPD y LOPDGDD

La protección de los datos personales se regula por dos normas que se aplican conjuntamente:

• El RGPD: el Reglamento General de Protección de Datos, Reglamento (UE) 2016/679, de aplicación en toda la Unión Europea.
• La LOPDGDD: la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales, que adapta el RGPD en España.

Correos maneja muchos datos personales (de remitentes, destinatarios, clientes y empleados), por lo que está obligada a tratarlos conforme a esta normativa. Además, el secreto de las comunicaciones postales (art. 18.3 CE, Tema 1) refuerza esa protección.

Conviene fijar el vocabulario básico, porque el examen juega con él. Un dato personal es cualquier información sobre una persona física identificada o identificable (nombre, dirección, DNI, teléfono, correo, matrícula, incluso una dirección IP). El tratamiento es cualquier operación con esos datos: recogerlos, guardarlos, consultarlos, cederlos, borrarlos. Y hay tres figuras clave: el interesado (la persona titular de los datos), el responsable del tratamiento (quien decide para qué y cómo se tratan; aquí, Correos) y el encargado del tratamiento (un tercero que trata los datos por cuenta del responsable, por ejemplo un proveedor tecnológico, ligado por un contrato).

La protección de datos es un derecho fundamental reconocido en la Constitución (art. 18.4 CE), distinto del derecho a la intimidad, aunque relacionado. El RGPD se aplica en toda la UE de forma directa desde el 25 de mayo de 2018, y la LOPDGDD lo completa en España añadiendo, entre otras cosas, un catálogo de derechos digitales (desconexión digital, portabilidad, testamento digital…). Merecen protección reforzada las categorías especiales de datos (los antiguos «datos sensibles»): origen étnico o racial, opiniones políticas, convicciones religiosas, afiliación sindical, salud, datos genéticos o biométricos y orientación sexual; su tratamiento está, por regla general, prohibido salvo excepciones tasadas.

1.2. Principios y derechos

El tratamiento de datos debe respetar unos principios: licitud, lealtad y transparencia; limitación de la finalidad (usarlos solo para el fin previsto); minimización (solo los datos necesarios); exactitud; limitación del plazo de conservación; integridad y confidencialidad (seguridad); y responsabilidad proactiva (el responsable debe poder demostrar que cumple).

Cada principio tiene una traducción práctica. La minimización exige pedir solo los datos necesarios: si para entregar un paquete basta el nombre y la dirección, no se debe exigir la profesión del destinatario. La limitación de la finalidad impide reutilizar para otro fin unos datos recogidos para uno concreto: los datos de un envío no pueden usarse, sin más, para enviar publicidad. La exactitud obliga a mantenerlos actualizados; la limitación del plazo, a no conservarlos indefinidamente. Y la responsabilidad proactiva (accountability) es la gran novedad del RGPD: no basta con cumplir, hay que poder demostrarlo (con registros de actividades, políticas, formación), aplicando la protección de datos desde el diseño y por defecto.

Para que un tratamiento sea lícito debe apoyarse en una base de legitimación. Las principales son el consentimiento del interesado (libre, informado y revocable), la ejecución de un contrato (tratar los datos necesarios para prestar el servicio contratado), el cumplimiento de una obligación legal, la protección de intereses vitales, el ejercicio de poderes públicos o misión de interés público, y el interés legítimo del responsable. En Correos, por ejemplo, tratar los datos de un envío se ampara normalmente en la ejecución del contrato postal, mientras que enviar comunicaciones comerciales suele requerir consentimiento.

Dos operaciones frecuentes tienen reglas propias. La cesión o comunicación de datos a un tercero exige una base que la ampare (consentimiento, obligación legal…): no se pueden ceder datos a la ligera. Y las transferencias internacionales —enviar datos fuera del Espacio Económico Europeo, por ejemplo a un proveedor en un tercer país— solo son lícitas con garantías adecuadas: que el país ofrezca un nivel de protección reconocido por la Comisión Europea (decisión de adecuación) o que existan instrumentos como las cláusulas contractuales tipo. La lógica es que la protección viaje con el dato y no se diluya al cruzar la frontera.

El consentimiento, cuando es la base elegida, tiene requisitos estrictos: debe ser libre, específico, informado e inequívoco, manifestado mediante una acción afirmativa clara (no valen las casillas premarcadas ni el silencio), y puede retirarse en cualquier momento con la misma facilidad con que se dio. En España, además, la LOPDGDD fija en 14 años la edad a partir de la cual un menor puede consentir por sí mismo el tratamiento de sus datos; por debajo, se requiere el consentimiento de los padres o tutores. Estos matices explican por qué las cláusulas de privacidad deben ser claras y por qué no basta con un consentimiento genérico «para todo».

Los interesados (las personas cuyos datos se tratan) tienen una serie de derechos, que se recuerdan con el acrónimo «ARSOPOL» o similar: Acceso (saber qué datos se tratan y obtener copia), Rectificación (corregir datos inexactos), Supresión o «derecho al olvido» (que se borren), Oposición (oponerse a un tratamiento), limitación del tratamiento (que se «congele» su uso) y Portabilidad (recibir los datos en formato reutilizable y trasladarlos a otro responsable). El responsable debe atender estas solicitudes, por regla general, en el plazo de un mes (ampliable a dos más si son complejas) y de forma gratuita. El ejercicio de estos derechos es personal: cualquiera puede dirigirse a Correos para ejercerlos, y la organización debe tener previsto cómo canalizarlos.

Conviene no confundir dos derechos distintos: el derecho a la intimidad (art. 18.1 CE) protege la vida privada frente a intromisiones; la protección de datos (art. 18.4 CE) es un derecho autónomo que otorga a la persona el control sobre sus datos (quién los tiene, para qué y con qué garantías). Un dato puede no ser «íntimo» (el nombre, el teléfono) y aun así estar protegido. La normativa se aplica a los datos de personas físicas: no protege, en principio, los de las personas jurídicas (empresas) ni, con carácter general, los de las personas fallecidas (aunque sus herederos pueden ejercer ciertos derechos).

⚠ Trampa de examen. Los derechos del interesado se resumen como acceso, rectificación, supresión, oposición, limitación y portabilidad; la «cancelación» del sistema antiguo equivale hoy a supresión. Y ojo: la responsabilidad proactiva significa «poder demostrar que se cumple», no solo cumplir. El RGPD es un Reglamento (UE) 2016/679 (directamente aplicable); la LOPDGDD es una Ley Orgánica 3/2018 española.

1.3. El DPO y la AEPD

• El Delegado de Protección de Datos (DPO, del inglés Data Protection Officer): la figura que vela por el cumplimiento de la normativa de protección de datos en la organización. Es obligatorio en las entidades del sector público, como Correos.
• La Agencia Española de Protección de Datos (AEPD): la autoridad de control en España, que supervisa el cumplimiento y puede sancionar.

El DPO es una figura con garantías propias: actúa con independencia, no puede ser sancionado por ejercer sus funciones, informa al más alto nivel de la organización y es el punto de contacto con la AEPD. Es obligatorio designarlo, entre otros casos, en las autoridades y organismos públicos (como Correos) y cuando el tratamiento a gran escala de datos sea una actividad principal. Junto a él, las organizaciones deben llevar un registro de actividades de tratamiento y, cuando un tratamiento entrañe alto riesgo para los derechos de las personas, realizar una evaluación de impacto (EIPD) antes de iniciarlo.

La AEPD tiene potestad sancionadora, y las multas del RGPD son muy elevadas: hasta 20 millones de euros o el 4 % de la facturación anual global de la empresa (la cifra que sea mayor) en las infracciones más graves. Existen también autoridades autonómicas de protección de datos en algunas comunidades. Esta magnitud explica por qué la protección de datos es una prioridad de cumplimiento para cualquier organización.

1.4. El secreto de las comunicaciones postales

En Correos, la protección de datos convive con una garantía aún más intensa y propia del sector: el secreto de las comunicaciones, reconocido como derecho fundamental en el artículo 18.3 de la Constitución, que declara secretas las comunicaciones «y, en especial, las postales, telegráficas y telefónicas», salvo resolución judicial. La normativa postal (Tema 1) lo concreta en la inviolabilidad de los envíos: el personal de Correos no puede abrir la correspondencia ni revelar su existencia, contenido o los datos de remitente y destinatario, ni retener indebidamente los envíos.

Este deber tiene un enorme peso práctico y disciplinario. Un empleado que abra, sustraiga o divulgue el contenido de un envío no solo comete una infracción laboral grave, sino que puede incurrir en responsabilidad penal (delitos contra la intimidad y el secreto de las comunicaciones). El secreto postal es, por tanto, una seña de identidad del servicio y una manifestación reforzada del principio de confidencialidad que la protección de datos exige. Solo cede ante una orden judicial o en los supuestos legalmente tasados (por ejemplo, ciertos controles aduaneros del contenido, Tema 11, que no afectan al secreto de la correspondencia personal).

1.5. Brechas de seguridad de datos

Una brecha de seguridad (o violación de datos) es todo incidente que provoca la destrucción, pérdida, alteración o acceso no autorizado a datos personales: por ejemplo, el robo de un portátil con datos, un envío de correo con los destinatarios en copia visible o un ciberataque que expone una base de datos. El RGPD impone una reacción rápida: el responsable debe notificar la brecha a la AEPD sin dilación indebida y, a ser posible, en un plazo máximo de 72 horas desde que tiene constancia de ella, salvo que sea improbable que suponga un riesgo para las personas. Si el riesgo para los afectados es alto, debe además comunicárselo a ellos. Para el empleado, la regla práctica es clara: ante la sospecha de una brecha (un correo sospechoso abierto, un dispositivo perdido, datos enviados a quien no debía), hay que comunicarlo de inmediato por los cauces internos para que la organización pueda reaccionar dentro de plazo.

2. Prevención del blanqueo de capitales

El blanqueo de capitales es el proceso de dar apariencia legal a dinero de origen ilícito. La norma que lo combate es la Ley 10/2010, de prevención del blanqueo de capitales y de la financiación del terrorismo (desarrollada por su reglamento, el RD 304/2014). Su finalidad es doble: evitar que el dinero del delito (droga, corrupción, fraude…) se «limpie» y se reintroduzca en la economía legal, y cortar la financiación del terrorismo.

El blanqueo suele describirse en tres fases que conviene conocer: la colocación (introducir el dinero en efectivo en el sistema financiero), el encubrimiento o «ensombrecimiento» (realizar operaciones que difuminen el rastro de su origen) y la integración (hacer aflorar el dinero ya «limpio» como si procediera de una actividad lícita). La prevención busca detectar el fenómeno sobre todo en la primera fase, cuando el efectivo entra en contacto con los sujetos obligados.

Correos es sujeto obligado por esta ley en la medida en que presta servicios financieros (giros, Correos Cash, Western Union, Tema 4). Como tal, debe aplicar medidas de diligencia debida:

• Identificar y conocer al cliente (y, en su caso, al titular real) en las operaciones.
• Conservar la documentación de las operaciones durante el plazo legal.
• Detectar y comunicar las operaciones sospechosas al SEPBLAC (el Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales), que es la unidad de inteligencia financiera de España.

La diligencia debida no es siempre igual: la ley gradúa su intensidad según el riesgo. La diligencia normal es la regla general (identificar al cliente y al titular real, conocer el propósito de la relación). La simplificada se admite en operaciones de bajo riesgo. Y la reforzada se aplica en situaciones de mayor riesgo, como las operaciones con personas con responsabilidad pública (PRP), las no presenciales o las que implican a países de alto riesgo. Un umbral clásico del examen: la identificación es exigible, con carácter general, en las operaciones que superan los 1.000 € en el caso de la gestión de transferencias, y se refuerza el control del efectivo (existen límites legales a los pagos en efectivo entre empresarios y profesionales).

Junto a la comunicación de operaciones sospechosas (que puede hacer cualquier empleado a través de los cauces internos), los sujetos obligados deben abstenerse de ejecutar la operación cuando sepan o sospechen que está relacionada con el blanqueo, designar a un representante ante el SEPBLAC, aprobar procedimientos internos, formar a los empleados y someterse a controles. Es fundamental el deber de confidencialidad: está prohibido revelar al cliente (ni a terceros) que se ha informado de él al SEPBLAC (la llamada prohibición de tipping-off o «chivatazo»). El órgano que dirige la política de prevención en España es la Comisión de Prevención del Blanqueo de Capitales e Infracciones Monetarias, dependiente del Ministerio de Economía, y el SEPBLAC es su servicio ejecutivo.

La misma ley combate la financiación del terrorismo: bloquear los flujos de dinero destinados a financiar la actividad terrorista, cualquiera que sea su cuantía. Por eso la norma habla siempre de «prevención del blanqueo de capitales y de la financiación del terrorismo» (PBC/FT). El incumplimiento de estas obligaciones acarrea sanciones administrativas muy graves para los sujetos obligados (multas elevadas), además de la posible responsabilidad penal por el delito de blanqueo. Para el empleado de Correos que atiende un giro o un envío de dinero, la traducción práctica es sencilla: identificar bien a quien realiza la operación, desconfiar de fraccionamientos artificiales para eludir umbrales o de clientes que se niegan a identificarse, y comunicar internamente lo que resulte sospechoso, sin advertir nunca al cliente de ello.

Entre las señales de alerta habituales (los llamados red flags) figuran: operaciones cuyo importe no encaja con el perfil del cliente, el fraccionamiento de una cantidad grande en varias pequeñas para no llegar a los umbrales de identificación (el llamado pitufeo o smurfing), el uso llamativo de efectivo, la negativa a identificarse o a explicar el origen de los fondos, la intervención de terceros que actúan por cuenta de otro sin justificación, o los envíos de dinero a destinos o personas de alto riesgo. Ninguna de ellas prueba por sí sola un blanqueo, pero deben elevar la vigilancia y, si la sospecha se confirma, motivar la comunicación interna.

¿Qué servicios de Correos entran aquí? Precisamente los financieros (Tema 4): los giros, el envío y entrega de dinero (Correos Cash), las remesas a través de socios como Western Union y, en general, cualquier operación que mueva efectivo. En ellas, la identificación del cliente y del titular real es obligatoria, y la documentación de las operaciones debe conservarse durante el plazo legal (con carácter general, diez años) para que pueda ser examinada por las autoridades. El reparto ordinario de cartas y paquetes no plantea, en cambio, este riesgo: la prevención del blanqueo se concentra en la ventanilla financiera, no en la logística postal.

⚠ Trampa de examen. Ante una operación sospechosa, el sujeto obligado comunica al SEPBLAC (unidad de inteligencia financiera), no «a la policía» ni «a la AEPD»; y está prohibido avisar al cliente de que se ha informado sobre él. Recuerda: AEPD = protección de datos; SEPBLAC = blanqueo; CNMC = competencia y regulación postal (Tema 1).

3. Compromiso ético y transparencia

Como empresa pública, Correos asume un fuerte compromiso ético y de transparencia:

• Un código ético o código de conducta: el conjunto de principios y pautas de comportamiento que deben seguir los empleados (integridad, honestidad, respeto, profesionalidad, evitar conflictos de interés…).
• Un canal ético o canal de denuncias: para comunicar, de forma confidencial, posibles incumplimientos o conductas irregulares.
• La transparencia: Correos está sujeta a la Ley 19/2013, de transparencia, acceso a la información pública y buen gobierno, que obliga a las entidades del sector público a publicar información y a permitir el acceso de los ciudadanos a ella.

El código ético aterriza en pautas muy concretas del día a día: tratar con respeto a compañeros y clientes, no aceptar regalos que puedan comprometer la imparcialidad, evitar los conflictos de interés (situaciones en que el interés personal choca con el de la empresa), usar de forma adecuada los recursos de la organización, proteger la información confidencial y cumplir la legalidad. No es un adorno: su incumplimiento puede tener consecuencias disciplinarias. Muchas organizaciones enmarcan estos valores en su política de responsabilidad social corporativa (RSC) y de sostenibilidad.

El canal de denuncias (o canal ético) ha cobrado fuerza con la Ley 2/2023, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción (la llamada ley del «informante» o whistleblower, que traspone una directiva europea). Esta ley obliga a muchas entidades —incluidas las del sector público— a disponer de un Sistema interno de información que permita comunicar irregularidades de forma confidencial e incluso anónima, y —lo esencial— garantiza al informante de buena fe protección frente a represalias (no puede ser despedido, sancionado ni perjudicado por haber denunciado). Se protege así a quien alerta de un incumplimiento, no solo se persigue el incumplimiento.

El Sistema interno de información debe reunir garantías: un responsable del sistema que gestione las comunicaciones con independencia, la confidencialidad de la identidad del informante y de las personas afectadas, la posibilidad de informar por escrito, verbalmente o en una reunión, y unos plazos tasados (acuse de recibo en pocos días y resolución, por regla general, en un máximo de tres meses). Existe también un canal externo ante la Autoridad Independiente de Protección del Informante. La clave para el empleado es saber que denunciar de buena fe no acarrea represalias: ni despido, ni sanción, ni discriminación; cualquier represalia está expresamente prohibida y es sancionable.

En materia de transparencia, la Ley 19/2013 tiene dos vertientes que el examen distingue. La publicidad activa: las entidades públicas deben publicar por iniciativa propia información relevante (organizativa, económica, contratos, subvenciones) en sus portales de transparencia. Y el derecho de acceso a la información pública: cualquier ciudadano puede solicitar información a la Administración, que debe facilitarla salvo que concurra un límite legal (por ejemplo, la protección de datos personales o la seguridad). El control lo ejerce el Consejo de Transparencia y Buen Gobierno. La ley incluye, además, un régimen de buen gobierno con obligaciones y un régimen sancionador para los altos cargos.

El compromiso ético abarca también la igualdad y el respeto en el entorno de trabajo. Correos, como gran empresa, cuenta con un plan de igualdad (obligatorio conforme a la normativa de igualdad efectiva de mujeres y hombres) y con un protocolo de prevención del acoso (sexual, por razón de sexo y laboral). Estos instrumentos forman parte del cumplimiento: buscan un entorno seguro, diverso e inclusivo, y establecen cauces para denunciar y corregir conductas inaceptables. La diversidad, la no discriminación y la conciliación se integran así en la cultura corporativa, junto con los compromisos de sostenibilidad ambiental y social propios de la responsabilidad social corporativa.

La responsabilidad social corporativa (RSC) es el compromiso voluntario de la empresa de contribuir al bienestar social y ambiental más allá de lo que exige la ley. En Correos se alinea con los Objetivos de Desarrollo Sostenible (ODS) de la Agenda 2030 de la ONU e incluye iniciativas de reducción de emisiones (flota más limpia, eficiencia energética), acción social a través de su capilaridad territorial, y compromiso con el medio rural gracias a su red. La ética empresarial y la sostenibilidad no son, por tanto, compartimentos separados del cumplimiento: forman parte de la misma idea de una empresa que actúa con integridad y rinde cuentas ante la sociedad.

4. Seguridad de la información y ciberseguridad

La seguridad de la información protege los datos y los sistemas de la organización. Se basa en tres pilares (la «tríada CID»):

• Confidencialidad: que solo accedan a la información quienes están autorizados.
• Integridad: que la información no se altere indebidamente.
• Disponibilidad: que la información esté accesible cuando se necesita.

Un ejemplo ayuda a distinguirlos: si un extraño lee la base de datos de clientes, se rompe la confidencialidad; si alguien altera los importes de unos envíos, se rompe la integridad; y si un ataque deja los sistemas caídos y no se puede trabajar, se rompe la disponibilidad. Un buen sistema de seguridad protege los tres pilares a la vez, porque el fallo de cualquiera de ellos ya supone un problema.

La ciberseguridad defiende frente a las amenazas digitales. Muchas se basan en la ingeniería social, es decir, en engañar a las personas (no a las máquinas) para que entreguen datos o dinero. Conviene conocer las principales:

• Phishing: engaño por correo electrónico que suplanta a una entidad de confianza para robar credenciales o datos. Su variante por SMS es el smishing y por llamada de voz, el vishing.
• Malware: software malicioso en general (virus, troyanos, gusanos, spyware).
• Ransomware: un tipo de malware que cifra («secuestra») los datos y exige un rescate para liberarlos. Es una de las amenazas más dañinas para las organizaciones.
• Fraude del CEO y suplantación de identidad: un atacante se hace pasar por un directivo o proveedor para lograr que se realice una transferencia o se envíen datos.

Un ejemplo muy cercano: son frecuentes los correos y SMS fraudulentos que suplantan a Correos («tiene un paquete pendiente, pague una pequeña tasa aquí») para robar datos bancarios. Saber reconocerlos —y explicar a los clientes que Correos nunca pide datos así— forma parte de la cultura de seguridad de la empresa.

Las buenas prácticas básicas son: usar contraseñas robustas y distintas para cada servicio, no compartirlas y activar la verificación en dos pasos (2FA); desconfiar de correos, mensajes y enlaces sospechosos y no abrir adjuntos dudosos; bloquear la pantalla al ausentarse del puesto y aplicar la política de «mesa limpia»; mantener los equipos actualizados; hacer copias de seguridad (la mejor defensa frente al ransomware); no conectar dispositivos USB desconocidos ni instalar software no autorizado; y, sobre todo, comunicar de inmediato cualquier incidente. La seguridad depende tanto de la tecnología como del comportamiento de las personas: el «eslabón más débil» suele ser el factor humano.

En el sector público se aplica el Esquema Nacional de Seguridad (ENS), regulado por el Real Decreto 311/2022, que fija los requisitos de seguridad de los sistemas de información de las Administraciones. El ENS clasifica los sistemas en tres categorías —básica, media y alta— según el impacto que tendría un incidente sobre la información y los servicios, y exige medidas proporcionadas a cada nivel, así como auditorías periódicas. Como referencia internacional está la familia de normas ISO/IEC 27001 (sistemas de gestión de la seguridad de la información). Y en el ecosistema español de ciberseguridad conviene ubicar dos organismos: el INCIBE (Instituto Nacional de Ciberseguridad, orientado a ciudadanos y empresas) y el CCN-CERT (del Centro Criptológico Nacional, para el sector público). La seguridad de la información y la protección de datos van, además, de la mano: garantizar la confidencialidad, integridad y disponibilidad es también una exigencia del RGPD (el principio de integridad y confidencialidad).

Frente a un incidente, las organizaciones aplican un ciclo de respuesta: detectar, contener (aislar el equipo o la cuenta afectados), erradicar la amenaza, recuperar los sistemas (aquí son decisivas las copias de seguridad, idealmente siguiendo la regla «3-2-1»: tres copias, en dos soportes, una fuera de las instalaciones) y aprender de lo ocurrido. Contra el ransomware, la recomendación oficial es no pagar el rescate (no garantiza recuperar los datos y financia el delito) y restaurar desde copias. Todo empieza, sin embargo, por algo elemental: que el empleado que detecta algo raro lo reporte cuanto antes, porque los minutos cuentan.

⚠ Trampa de examen. Señales típicas de phishing: remitente que suplanta a una entidad conocida (Correos, un banco), urgencia o amenazas, errores de redacción, enlaces que no coinciden con la web real y peticiones de datos o pagos. Correos (como los bancos) nunca pide datos bancarios ni contraseñas por correo o SMS. Ante la duda: no pinchar, no responder y reportar.

5. El cumplimiento en el trabajo diario

Aunque el tema parezca «de leyes», su valor está en cómo se traduce en el puesto de trabajo. El Personal Operativo es quien maneja, cada día, los datos, el dinero y la información de la empresa, y por eso es un actor de primera línea del cumplimiento. Estas son las reglas prácticas que resumen los cuatro ámbitos:

• Datos personales: tratar solo los necesarios, no usarlos para fines distintos, no divulgarlos ni dejarlos a la vista, y respetar de forma escrupulosa el secreto de las comunicaciones. Ante una posible brecha (dispositivo perdido, correo mal enviado), comunicarlo de inmediato para poder reaccionar dentro de las 72 horas.
• Dinero: en los servicios financieros, identificar correctamente al cliente, estar atento a operaciones sospechosas o fraccionadas y comunicarlas por los cauces internos, sin advertir nunca al cliente.
• Ética: actuar con integridad, no aceptar regalos que comprometan, evitar conflictos de interés y usar el canal de denuncias si se detecta una irregularidad, sabiendo que la ley protege al informante de buena fe.
• Seguridad: contraseñas robustas, desconfiar de correos y enlaces (phishing que suplanta a Correos incluido), bloquear la pantalla, no conectar dispositivos desconocidos y reportar cualquier incidente.

La idea de fondo es que el cumplimiento no es tarea exclusiva de un departamento: es una responsabilidad de todos. Una filtración de datos, un blanqueo no detectado o un ciberataque no solo acarrean sanciones económicas muy elevadas, sino un daño difícil de reparar a la confianza y a la reputación de Correos, que es uno de sus activos más valiosos. Por eso la formación en estas materias y la actitud diligente de cada empleado son parte esencial del servicio.

6. Ideas clave para el test

• Cumplimiento normativo (compliance): cumplir las leyes y normas internas y prevenir conductas irregulares.
• Protección de datos: RGPD (Reglamento UE 2016/679) + LOPDGDD (Ley Orgánica 3/2018). Principios (licitud, minimización, confidencialidad, responsabilidad proactiva…) y derechos: acceso, rectificación, supresión, oposición, limitación y portabilidad.
• Figuras: el DPO (Delegado de Protección de Datos) vela por el cumplimiento; la AEPD es la autoridad de control.
• Blanqueo de capitales: Ley 10/2010; Correos es sujeto obligado por sus servicios financieros; diligencia debida (identificar al cliente) y comunicar operaciones sospechosas al SEPBLAC.
• Ética y transparencia: código ético, canal de denuncias y la Ley 19/2013 de transparencia (sector público).
• Seguridad de la información: tríada confidencialidad, integridad y disponibilidad. Amenazas: phishing (SMS = smishing; voz = vishing), malware, ransomware, fraude del CEO; muchas se basan en la ingeniería social. Buenas prácticas (contraseñas, 2FA, copias de seguridad, desconfiar de enlaces). En el sector público, el ENS (RD 311/2022); referencia ISO 27001; organismos INCIBE y CCN-CERT.
• Bases de legitimación del tratamiento: consentimiento, contrato, obligación legal, interés público, interés legítimo… Plazo para atender los derechos: un mes. Sanciones RGPD: hasta 20 M€ o el 4 % de la facturación.
• Brechas de datos: notificar a la AEPD en 72 horas (y a los afectados si el riesgo es alto). Datos especialmente protegidos (salud, ideología, religión…): tratamiento prohibido salvo excepciones.
• Secreto de las comunicaciones (art. 18.3 CE): inviolabilidad de los envíos; solo cede por resolución judicial. Abrir o divulgar correspondencia = falta grave y posible delito.
• Canal de denuncias: la Ley 2/2023 protege al informante (confidencialidad y sin represalias). Transparencia (Ley 19/2013): publicidad activa + derecho de acceso; control del Consejo de Transparencia y Buen Gobierno.
• No confundir autoridades: AEPD (datos), SEPBLAC (blanqueo), CNMC (regulación postal/competencia), Consejo de Transparencia (transparencia).