Estimated reading time: 6 minutos
Puntos Clave
- El control de acceso documental regula quién puede realizar acciones sobre documentos en una organización, incluyendo consulta, modificación y eliminación.
- Los permisos heredados a menudo se mantienen innecesariamente, lo que puede generar riesgos de seguridad y protección de datos.
- Clasificar los documentos según nivel de confidencialidad es clave para definir permisos lógicos y efectivos.
- Es esencial revisar y ajustar los permisos tras cambios organizativos o por errores comunes en la gestión de accesos.
- Un checklist puede ayudar a organizar la revisión del acceso documental, empezando por los documentos más sensibles.
Tabla de contenidos
El control de acceso a documentos suele fallar por acumulación, no por una gran brecha. Me explico con casos fáciles de entender: un usuario externo que sigue dentro o una carpeta de RRHH donde no todos deberían entrar. Expedientes cerrados que todavía se comportan como si estuvieran en trámite. Grupos de permisos creados hace años y que nadie se atreve a tocar…
El trabajo para optimizar el control de acceso documental debería comenzar revisando si cada permiso sigue teniendo sentido, qué puede hacer cada usuario con la información y qué rastro queda si más adelante alguien pide explicaciones. Vamos a verlo.
Qué es el control de acceso documental
El control de acceso documental es el conjunto de criterios, permisos y procedimientos que regulan quién puede realizar acciones sobre los documentos de una organización.
Estas acciones pueden incluir:
- Consultar.
- Modificar.
- Descargar.
- Compartir.
- Transferir.
- Validar.
- Firmar.
- Eliminar.
- Archivar.
En la práctica, una buena política de acceso documental debe responder a preguntas como estas:
- ¿Quién puede acceder a un expediente laboral?
- ¿Puede el área financiera ver todos los contratos o solo los vinculados a proveedores?
- ¿Debe una persona externa consultar el documento completo o una versión anonimizada?
- ¿Qué ocurre cuando alguien cambia de puesto?
- ¿Cómo se retiran permisos cuando una persona deja la organización?
- ¿Existe registro de quién ha accedido a un documento concreto?
Hay que definir qué puede ver. Si puede revisar, pero no modificar. O si tiene posibilidad de preparar una versión, pero no firmarla, o consultar un expediente, pero no compartirlo con terceros etc.
En muchas organizaciones todo eso queda mezclado bajo el mismo permiso de carpeta. Y con documentos sensibles, esa mezcla pesa.
Permisos heredados en el control de acceso documental
Los permisos heredados suelen durar más que los proyectos que los crearon.
En el día a día, muchas organizaciones conceden permisos amplios por agilidad. Pero el control de acceso documental debe ir más allá de mantener lo que ya estaba.
Una baja se gestiona con cierto cuidado. Un cambio interno, no tanto. Alguien pasa de compras a operaciones y conserva acceso a proveedores. Un responsable deja un equipo y sigue viendo documentos antiguos. Un auditor tuvo entrada temporal y nadie puso fecha de salida.
No hace ruido cada mañana. Por eso aguanta.
Desde el punto de vista de protección de datos, el RGPD exige aplicar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo. Esto incluye la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas y servicios de tratamiento. Lo explica muy bien INCIBE aquí.
Por tanto, el control de acceso documental debe diseñarse desde el funcionamiento real de la organización: procesos, áreas, tipos documentales, expedientes, responsabilidades y riesgos.
Clasificar antes de cerrar
No todos los documentos necesitan el mismo candado.
Una circular interna puede moverse con bastante libertad. Un expediente disciplinario, no. Una factura ordinaria no tiene el mismo riesgo que un informe de auditoría. Un contrato firmado no se trata igual que un borrador con datos personales o condiciones todavía en negociación.
Clasificar ayuda si cambia algo después.
Si una etiqueta de “confidencial” no modifica permisos, descargas, trazabilidad o plazos de conservación, solo decora el archivo.
Una política eficaz empieza por clasificar la documentación.
| Nivel documental | Ejemplos | Acceso recomendado |
| Público o libre consulta interna | Manuales generales, comunicaciones internas no sensibles | Acceso amplio, con permisos de edición limitados |
| Interno operativo | Procedimientos, documentos de trabajo, documentación departamental | Acceso por área o equipo |
| Restringido | Contratos, facturas, expedientes administrativos, informes internos | Acceso por rol, expediente o proceso |
| Confidencial | Nóminas, expedientes laborales, informes jurídicos, documentación sanitaria | Acceso limitado, trazabilidad obligatoria |
| Especialmente controlado | Documentos bloqueados, sujetos a conservación legal, transferencia o eliminación | Acceso excepcional, registro completo y revisión periódica |
Esta clasificación permite definir permisos con lógica.
Por dónde empezar
Revisar todos los permisos de una organización de golpe suele acabar en una hoja enorme que nadie mantiene.
Mejor empezar por los errores que se cometen. Algunos que ya tenemos muy identificados son:
1. Usar carpetas como si fueran políticas documentales
Una carpeta compartida puede ser una herramienta, pero no sustituye una política de acceso.
Los permisos deben responder a criterios documentados, no a estructuras heredadas.
2. Conceder permisos permanentes para necesidades temporales
Un acceso puntual a un expediente no debería convertirse en acceso indefinido a toda una serie documental.
Los permisos temporales deben tener fecha de revisión o caducidad.
3. No revisar permisos tras cambios organizativos
Cuando una persona cambia de puesto, participa en otro proyecto o deja la organización, sus accesos deben revisarse.
Muchas incidencias nacen precisamente de permisos antiguos que nadie retiró.
4. No diferenciar entre ver y actuar
Consultar un documento no es lo mismo que modificarlo, descargarlo, compartirlo o eliminarlo.
El control de acceso documental debe contemplar acciones, no solo entradas.
5. Digitalizar sin gobernar
Digitalizar documentos sin revisar permisos puede acelerar el problema.
Lo que antes estaba en una caja mal clasificada ahora puede estar en un repositorio accesible desde múltiples ubicaciones.
Más rápido, sí. Pero no necesariamente más controlado.
Checklist para revisar el acceso documental
Una organización puede empezar con una revisión básica de sus documentos más sensibles.
Os recomendamos este checklist:
- Identificar documentación sensible por área y proceso.
- Clasificar documentos por nivel de confidencialidad.
- Definir roles funcionales.
- Establecer permisos mínimos necesarios.
- Revisar accesos heredados.
- Eliminar usuarios genéricos o compartidos.
- Diferenciar permisos de consulta, edición, descarga y eliminación.
- Registrar accesos y operaciones relevantes.
- Definir criterios para altas, bajas y cambios de perfil.
- Documentar excepciones.
- Revisar permisos de forma periódica.
- Alinear archivo físico, repositorios digitales y sistemas de gestión documental.
No es necesario resolverlo todo en una semana. De hecho, intentar hacerlo de golpe suele generar matrices inmanejables.
Lo recomendable es empezar por los conjuntos documentales de mayor riesgo: expedientes laborales, contratos, documentación jurídica, facturas, informes económicos, documentación sanitaria o expedientes administrativos sensibles.
Si necesitas ayuda, siempre puedes escribirnos.
Preguntas frecuentes sobre control de acceso documental
Es el conjunto de permisos, criterios y procedimientos que regulan quién puede consultar, modificar, descargar, compartir o eliminar documentos dentro de una organización.
Porque reduce el riesgo de accesos indebidos, fugas de información, errores operativos, incumplimientos normativos y pérdida de trazabilidad.
No debería hacerlo solo IT. Deben participar las áreas responsables de los documentos: archivo, jurídico, RR. HH., administración, financiero, compliance, operaciones y seguridad de la información.
