El RGPD no contiene ningún capítulo titulado «copia de seguridad». Es precisamente eso lo que hace incómodo el tema: las obligaciones se aplican, pero hay que traducirlas uno mismo en decisiones técnicas.
Estos son los cinco puntos sobre los que las preguntas vuelven sistemáticamente, y lo que se puede responder con razón.
Este artículo describe principios generales y no constituye asesoramiento jurídico. Para un tratamiento sensible o un contexto regulado, haga validar su análisis por un jurista o por su delegado de protección de datos.
1. ¿El derecho de supresión se detiene en las copias de seguridad?
Es la pregunta más frecuente, y la respuesta tiene dos tiempos.
Una persona ejerce su derecho de supresión (artículo 17). Usted borra sus datos de la producción. Pero siguen presentes en las copias de las semanas anteriores, y restaurar una copia para extraer quirúrgicamente un registro es técnicamente absurdo y peligroso.
La posición de las autoridades de control, entre ellas la francesa CNIL, es pragmática: las copias de seguridad constituyen un tratamiento distinto, cuya finalidad es la seguridad y la continuidad. No se exige la purga inmediata de los archivos. En cambio, se esperan dos compromisos:
- Los datos suprimidos en producción no deben reaparecer: si se produce una restauración, la supresión debe volver a ejecutarse después.
- Las copias afectadas deben desaparecer en el curso normal de la rotación, en un plazo controlado y documentado.
En concreto: informe a la persona de que sus datos subsistirán en las copias hasta que expire la conservación, indicando ese plazo. Y lleve constancia de las solicitudes de supresión que deban volver a ejecutarse en caso de restauración.
2. El plazo de conservación de las copias
Una conservación «ilimitada porque es más prudente» es un problema de conformidad, no una precaución.
El principio de limitación del plazo de conservación (artículo 5) impone una duración justificada por la finalidad. Para las copias de seguridad, la finalidad es la capacidad de restaurar, no el archivo histórico.
En la práctica se justifica una conservación vinculándola a un riesgo: el tiempo que tarda en detectarse una corrupción silenciosa o un programa de rescate de propagación lenta. Es un razonamiento defendible, y conduce por lo general a conservaciones de unas semanas a unos meses según la criticidad.
Lo que cuenta es que el plazo esté decidido, escrito y aplicado, no asumido por omisión.
3. Su cliente es responsable, usted es encargado
Cuando respalda los datos de su cliente, él sigue siendo responsable del tratamiento y usted se convierte en encargado en el sentido del artículo 28. Eso impone un contrato de encargo por escrito que precise al menos:
- el objeto, la duración, la naturaleza y la finalidad del tratamiento;
- las categorías de datos y de personas afectadas;
- sus obligaciones de seguridad y de confidencialidad;
- la suerte de los datos al término del contrato;
- las condiciones para recurrir a un subencargado: su proveedor de alojamiento es uno de ellos.
Este último punto merece atención: si aloja las copias en casa de un tercero, ese tercero es un subencargado y su cliente debe ser informado de ello. Alojarlas usted mismo acorta sensiblemente la cadena contractual.
4. La localización de los datos
Sacar datos de la Unión Europea no está prohibido, pero está regulado (capítulo V): un mecanismo de transferencia válido, una evaluación de impacto, garantías adicionales. Eso significa trabajo administrativo, seguimiento jurídico y exposición a cambios normativos que usted no controla.
La cuestión, además, no es solo jurídica: también es comercial. Un cliente al que puede decirle «sus copias están en un servidor que administro yo, situado en esta dirección» es un cliente tranquilo.
Una solución cuyo alojamiento elige usted —en su casa, en la del cliente, o en un servidor dedicado en Francia— suprime pura y simplemente el asunto de la transferencia internacional.
5. El cifrado, y lo que cambia de verdad
El artículo 32 cita explícitamente el cifrado entre las medidas apropiadas. Pero no todos los cifrados valen lo mismo frente al riesgo real.
Cifrado en reposo del lado del servidor: los datos están cifrados en el disco del servidor de copia de seguridad. Protege frente al robo físico del disco. No protege si el atacante obtiene acceso al servidor, puesto que este posee la clave.
Cifrado en el origen: los datos se cifran en la máquina respaldada, antes de salir a la red, con una clave que nunca abandona esa máquina. El servidor de copia de seguridad solo almacena bloques ininteligibles. Ni el proveedor de alojamiento, ni el fabricante del programa, ni un atacante que haya comprometido el servidor pueden leer el contenido.
La diferencia es decisiva para la notificación de una violación (artículo 33). Si datos cifrados en el origen se filtran y la clave no se ha filtrado, el riesgo para las personas afectadas se reduce considerablemente, lo que incide directamente en la obligación de comunicárselo.
El revés de la medalla es serio: quien pierde la clave pierde los datos. La conservación segura y trazada de la clave de recuperación se convierte en una obligación operativa de primer orden. Es típicamente lo que asume un proveedor de servicios.
Una lista de comprobación para sus expedientes de cliente
| Punto | Lo que debe poder mostrar |
|---|---|
| Registro de actividades de tratamiento | La copia de seguridad figura como tratamiento, con su finalidad |
| Plazo de conservación | Una conservación escrita y justificada, no «ilimitada» |
| Contrato de encargo | Firmado, al día, con la lista de los subencargados |
| Localización | La ubicación física de los servidores de copia de seguridad |
| Cifrado | El nivel aplicado y el procedimiento de custodia de las claves |
| Derecho de supresión | Un procedimiento de reejecución tras una restauración |
| Pruebas de restauración | Informes fechados |
Esta última línea es la que se olvida más a menudo. El artículo 32 exige un procedimiento destinado a verificar y evaluar con regularidad la eficacia de las medidas de seguridad. Una copia de seguridad nunca restaurada no satisface esa exigencia y, por lo demás, no protege a nadie.
¿Necesita aclarar la cadena de encargo y la localización para sus clientes? Hablemos.