Guía · Protección de datos
Copias de seguridad y RGPD: lo que debe tener en cuenta
En resumen: el RGPD incluso exige copias de seguridad, ya que el art. 32 pide la capacidad de restaurar con rapidez los datos personales tras un incidente. Al mismo tiempo, las copias son en sí mismas datos personales: deben estar protegidas, guardarse en un lugar adecuado, estar reguladas por contrato y suprimirse según plazos fijos.
Qué exige el art. 32 del RGPD
El art. 32 obliga a los responsables a aplicar medidas técnicas y organizativas que garanticen un nivel de seguridad adecuado al riesgo. Para las copias de seguridad son decisivos cuatro puntos del apartado 1:
| Requisito | Qué significa para las copias |
|---|---|
| Letra a: cifrado | Cifrar las copias, a ser posible antes de que salgan del sistema protegido |
| Letra b: confidencialidad, integridad, disponibilidad, resiliencia | Copias en varios lugares, protección frente a manipulaciones, acceso solo para personas autorizadas |
| Letra c: restauración rápida | La restauración debe ser posible y realizable en un tiempo razonable |
| Letra d: verificación periódica | Comprobar la eficacia de las medidas; para las copias: probar la restauración |
Dónde pueden guardarse las copias
El RGPD no prohíbe la nube ni los proveedores de servicios. Sí exige que las transferencias a países fuera de la UE y del EEE estén especialmente protegidas (capítulo V). Lo más sencillo es una ubicación en Alemania o en la UE con un proveedor sujeto al derecho europeo. Si las copias están cifradas y la clave queda en la empresa, ni siquiera el proveedor de almacenamiento puede conocer su contenido.
Encargo del tratamiento
Si un proveedor de servicios gestiona las copias de seguridad o las almacena, por lo general es encargado del tratamiento según el art. 28 del RGPD. En ese caso hace falta un contrato de encargo de tratamiento que regule el objeto, la duración, el tipo de datos, las medidas técnicas y organizativas y el trato con los subencargados.
Supresión y limitación del plazo de conservación
Según el principio de limitación del plazo de conservación (art. 5, apartado 1, letra e), los datos no pueden conservarse más tiempo del necesario. Para las copias de seguridad esto significa fijar plazos de conservación definidos y suprimir las copias automáticamente al vencer. Eliminar registros sueltos de una copia no suele tener sentido técnico y dañaría la copia. Por eso, en la práctica es habitual que:
- las copias caduquen por completo al final de su plazo de conservación;
- hasta entonces estén protegidas contra el acceso y no se usen para otros fines;
- al restaurar una copia, los datos suprimidos anteriormente se supriman de nuevo; para ello se deja constancia de qué supresiones hay que repetir.
Los detalles corresponden al plan de supresión y de copias de seguridad y deberían acordarse con el delegado de protección de datos.
Documentar
Según el principio de responsabilidad proactiva (art. 5, apartado 2), una empresa debe poder demostrar que cumple los principios. Para las copias de seguridad esto supone un plan por escrito, un registro de copias y supresiones y pruebas de restauración documentadas.
Cómo ayuda AegisGrid
AegisGrid cifra con AES-256-GCM o ChaCha20-Poly1305 en el sistema protegido; la clave queda en sus manos. Usted decide dónde se guardan las copias: en su propia empresa, en una segunda sede o en el almacenamiento en la nube de AegisGrid en centros de datos certificados en Alemania. Para el almacenamiento en la nube y el backup gestionado, MSD Computersysteme GmbH firma un contrato de encargo de tratamiento según el art. 28 del RGPD. Los plazos de conservación se aplican por copia y destino, el servidor de copias elimina automáticamente las copias caducadas y cada supresión queda anotada en el registro de evidencias firmado.
Este artículo es una introducción general y no constituye asesoramiento jurídico. Acuerde su plan con su delegado de protección de datos.
Preguntas frecuentes sobre RGPD y copias de seguridad
¿Tengo que modificar también las copias cuando alguien pide la supresión de sus datos?
En la práctica, las copias no suelen editarse una por una, sino que caducan al final de su plazo de conservación. Hasta entonces están protegidas y no se usan para nada más; si se restaura una copia, se repiten las supresiones. Los detalles debería definirlos con su delegado de protección de datos.
¿Puedo guardar copias de seguridad en la nube?
Sí, con un contrato de encargo de tratamiento y garantías adecuadas para la ubicación. Lo más sencillo es un proveedor con centros de datos en Alemania o en la UE, y con el cifrado previo a la transferencia el contenido sigue siendo ilegible incluso para él.
¿Cuánto tiempo debo conservar las copias?
Tanto como las necesite para restaurar, y no más. Lo habitual son versiones diarias durante algunas semanas y versiones mensuales o anuales durante más tiempo. Las obligaciones legales de conservación, por ejemplo de la documentación contable, se cumplen mejor con un archivo que con copias de seguridad.
Copias de seguridad conformes a la protección de datos
Le asesoramos sobre ubicación, plazos y contrato de encargo de tratamiento, en inglés o en alemán.