Tener un NAS en el armario no es cumplir el Reglamento General de Protección de Datos. Tampoco lo es un disco USB en el cajón del gerente ni una carpeta de OneDrive sin criterio de retención. Cuando la Agencia Española de Protección de Datos mira las copias de una empresa, no busca un logotipo de software: busca si sabéis qué datos hay, quién los trata, cómo viajan, cuánto tiempo viven y si sois capaces de restaurar —o de no restaurar— cuando toca. Este artículo es informacional. No sustituye a un abogado ni a un delegado de protección de datos. No cita sentencias inventadas ni multas de vecinos imaginarios. Resume, con el lenguaje de una PYME de Canarias, lo que sí suele pedirse y lo que las empresas confunden.
Si todavía estáis en la fase de «¿tenemos tres copias o una ilusión?», empezad por la regla 3-2-1 para gerentes y por un checklist de ciberseguridad. Aquí nos quedamos en el cruce incómodo: copias que salvan el negocio y, a la vez, son ficheros con datos de clientes, alumnos o pacientes.
Qué mira la AEPD (y qué no os va a pedir)
La Agencia no llega a una oficina de Santa Cruz a contar discos duros por deporte. Actúa, de forma general, ante reclamaciones, denuncias, incidentes notificados o actuaciones de oficio según sus planes. El marco es el RGPD y la Ley Orgánica 3/2018 (LOPDGDD). Las copias de seguridad aparecen como medida técnica y organizativa: integridad, disponibilidad y confidencialidad de los datos. No hay un modelo oficial de «NAS homologado por la AEPD». Hay principios y deberes que se concretan en contratos, políticas y evidencias.
Lo que no os van a pedir: un certificado mágico de un fabricante, una marca concreta de antivirus o que el backup esté «en Europa» como única frase sin más matices. Lo que sí encaja en una inspección o en un requerimiento de información es más prosaico. ¿Quién es el responsable del tratamiento? ¿Hay encargados (el proveedor cloud, el SAT que se lleva un disco, el partner que administra el servidor)? ¿Hay contrato de encargo con el contenido del artículo 28 del RGPD? ¿Dónde están las copias, con qué cifrado, con qué accesos? ¿Cuál es el plazo de conservación? ¿Qué hacéis cuando un interesado ejerce el derecho de supresión y esos datos siguen en una cinta o en una generación de backup de hace tres semanas?
También preguntan, cada vez más, por la capacidad real de restaurar. Una política que dice «backup diario» y un job en rojo desde febrero es un problema de seguridad y, además, un problema de veracidad documental. El RGPD no obliga a un RTO de quince minutos. Sí a no afirmar por escrito lo que no podéis demostrar.
En centros educativos el listón de sensibilidad sube: datos de menores. Por eso este tema se cruza con el soporte informático a colegios. Una copia de la plataforma de notas o de un iPad con fotos de una excursión no es «un tema de informática»: es un tratamiento. El resto de este artículo vale para una gestoría o un comercio; en un colegio, leed cada párrafo pensando en familias y en el equipo directivo, no solo en el coordinador TIC.
El encargado de tratamiento que nadie contrató (y el NAS que «es nuestro»)
Si Infofase, u otro partner, administra vuestras copias, accede a los ficheros o los aloja, hay un encargo de tratamiento o, en algunos diseños, una corresponsabilidad que hay que analizar. El error clásico es pensar que «como el NAS está en nuestra oficina, no hay encargado». El NAS puede ser vuestro y, aun así, el técnico que entra por VPN, el cloud que replica por la noche o el laboratorio que recibe un disco para recuperar datos son terceros. El artículo 28 del RGPD pide un contrato con instrucciones, medidas de seguridad, destino de los datos al terminar, y prohibición de usarlos para otro fin.
El otro error es firmar un contrato genérico de «servicios informáticos» que no menciona copias, ubicación ni subencargados. El proveedor de nube suele tener un DPA (data processing addendum) estándar. Hay que leerlo: dónde se replican los datos, si hay subprocesadores, qué ocurre en un incidente. No hace falta que dirección recite cláusulas. Sí que alguien —interno o asesor— las haya leído antes de subir el histórico de clientes a un consumer cloud con la cuenta personal del gerente.
Transferencias internacionales: no vamos a simplificar mal. Si el proveedor almacena o accede desde fuera del EEE, entran las herramientas del capítulo V del RGPD (decisiones de adecuación, cláusulas tipo, etc.). Decir «está en la nube, ya es legal» o «si es americano es ilegal» son dos eslóganes igual de inútiles. Se mira el caso. Un partner local que os lo explique en una página, con el nombre del datacenter o de la región, vale más que un sello verde en una web.
Cuando un SAT se lleva un Mac o un disco a península, también hay un tratamiento. Inventariad quién se lleva qué y con qué acuerdo. En recuperación de datos, el laboratorio ve más de lo que veis en el explorador de archivos. Eso se cubre por contrato y por minimización: no enviéis el disco de la clínica «por si acaso» si solo hace falta una partición concreta y se puede acotar.
Infofase, como proveedor IT en Tenerife, trata esto como parte del diseño de copias de seguridad cloud, no como letra pequeña que se firma sin leer. Si vuestro contrato actual no nombra backups, cifrado ni subencargados, el hueco no es teórico: es el primer documento que falta cuando alguien pide trazabilidad.
Cifrado, acceso y el sitio físico de las copias
El RGPD no impone un algoritmo concreto en el articulado, pero las medidas deben ser adecuadas al riesgo. Para copias que contienen datos identificativos, laborales, de salud o de menores, el cifrado en tránsito y en reposo es la expectativa razonable en 2026, junto con control de acceso y registro de quién restaura. Un recurso compartido de red con la contraseña «backup» en un post-it no es una medida adecuada. Un repositorio cloud con MFA en la consola de administración y claves que el ransomware no puede borrar (inmutabilidad o retención WORM) encaja mejor con integridad y confidencialidad a la vez.
Quién puede restaurar es tan importante como dónde está el fichero. Si todo el mundo en informática —o todo el mundo en la oficina, en una PYME de cinco personas— puede copiar el backup entero a un USB, tenéis un canal de exfiltración legalísimo por dentro. Cuentas nominativas, privilegios justos, y que la restauración a producción no sea un hobby del sábado. Las copias de administración (el tenant, el panel del NAS) merecen MFA. Es la misma higiene que en ciberseguridad para empresas; aquí el activo es precisamente el histórico que el atacante quiere cifrar o el inspector quiere entender.
Ubicación: un rotativo en un cajón sin inventario es un riesgo de pérdida y de acceso físico. Un segundo sitio —otra oficina, un datacenter, un cloud— cumple la lógica 3-2-1 y, además, la de disponibilidad (incendio, inundación, robo). En isla, «fuera» no obliga a un mito de lejanía: obliga a que el mismo incendio o el mismo ransomware no se lleve las dos copias. Documentad la ubicación en el registro de actividades de tratamiento. «En la nube» sin nombre de servicio es una frase que no ayuda a nadie.
Cifrado y recuperación se llevan mal si nadie tiene las claves o si la clave está en el mismo servidor que la copia. El procedimiento de custodia de claves —quién, en qué caja, qué pasa si esa persona está de baja— es organizativo, no solo técnico. La AEPD ha insistido en muchas de sus orientaciones públicas en que las medidas técnicas sin organización no sostienen el cumplimiento. No hace falta citar un expediente concreto para entenderlo: si solo Juan tiene la clave y Juan se ha ido, no hay disponibilidad.
Retención: cuánto guardar y por qué «para siempre» no es cumplir
El principio de limitación del plazo de conservación es de los que más chocan con el instinto del empresario: «por si acaso un día hace falta». El RGPD no fija «cinco años para todos los backups». Fija que el plazo se determine, se documente y se cumpla, alineado con la finalidad y con obligaciones legales (mercantiles, fiscales, sectoriales). Una copia infinita de todo el file server, incluyendo currículums de candidatos de 2014 y chats que ya no sirven, es difícil de defender.
Diseñar retención de backups no es lo mismo que retención del dato en el sistema vivo. El ERP puede borrar un cliente y la copia de anoche sigue teniéndolo. Eso es normal y se gestiona (siguiente sección). Lo que no es normal es mezclar doce años de buzones, cámaras y Excel de marketing en el mismo job sin política. Separad, cuando podáis, sistemas con plazos distintos: contabilidad, nóminas, videovigilancia, correo, carpetas de proyectos. Si no podéis separar jobs, al menos documentad el plazo más exigente y por qué el resto viaja de copilotaje.
Las copias de prueba, los clones de un técnico y las imágenes de un portátil que se quedó en un cajón son tratamientos. El cierre de año IT —inventario, licencias, qué se guarda— es un buen momento para limpiar. Lo desarrollamos en la guía de cierre de año IT y presupuesto. Noviembre es más barato que un requerimiento en marzo.
Videovigilancia y copias: las grabaciones suelen tener plazos cortos. Si el backup del servidor se lleva tres meses de vídeo «porque el job es el mismo», estáis alargando el plazo sin querer. Revisad exclusiones. Es un ejemplo típico de buena intención técnica y mal encaje legal.
Derecho de supresión frente a las copias: lo que se puede decir con honestidad
El interesado pide que borréis sus datos. Los borráis del CRM y del correo operativo. La copia de seguridad de la semana pasada sigue teniéndolos. ¿Incumplís? La respuesta seria, sin inventar jurisprudencia, es: depende de cómo esté diseñado el procedimiento y de que no uséis esa copia para seguir tratando al interesado como si no hubiera ejercido el derecho. El Comité Europeo de Protección de Datos y la propia AEPD han abordado en documentos de orientación la tensión entre backups (integridad, continuidad) y derechos. La línea práctica que muchas organizaciones documentan —y que un asesor debe validar en vuestro caso— es: supresión en los sistemas vivos en plazo; las copias se van depurando al caducar cada generación; no se restaura a producción un backup para «recuperar» al interesado; si una restauración de desastre reintroduce el dato, se vuelve a aplicar la supresión.
Lo que no se sostiene es ignorar la solicitud porque «está en el NAS y es muy difícil». Dificultad técnica no anula el derecho. Tampoco se sostiene restaurar una copia antigua para no perder un Excel y, de paso, reactivar ficheros de personas que pidieron borrado. El procedimiento escrito —aunque quepa en dos páginas— es lo que demuestra diligencia. Incluid plazos, responsables y la instrucción al partner: no rehidratar datos de un ejercicio de derechos.
Portabilidad y acceso: a veces el interesado pide «todo lo que tenéis». Las copias de seguridad no son un archivo de consulta diaria. El acceso se atiende desde los sistemas vivos y los registros. Convertir el backup en un buscador de personas es un anti-patrón de seguridad y de privacidad.
En colegios, las solicitudes de familias sobre fotos, plataformas y dispositivos de aula necesitan un circuito claro (dirección, DPD si lo hay, TIC). No dejad que un profesor borre «a ojo» un iPad y crea que eso cierra el expediente. El dato puede estar en la copia de la noche o en un carro de tablets. El procedimiento importa más que el gesto.
Pruebas de restauración documentadas (el papel que no es burocracia vacía)
Una inspección o un incidente os preguntarán, en lenguaje llano: ¿podéis recuperar? La evidencia no es un screenshot de un job en verde. Es una prueba periódica: fecha, sistema, qué se restauró, quién, resultado, incidencias. No hace falta restaurar toda la empresa cada mes. Sí un muestreo que cubra, a lo largo del año, lo crítico: correo o archivos, un servidor, una base. Si el job nunca se ha restaurado, el verde es una hipótesis.
Documentad también los fallos. Un test que sale mal y se corrige es una evidencia de mejora. Un test que no existe es un hueco. El RGPD habla de responsabilidad proactiva (accountability). Los papeles no sustituyen la técnica; la técnica sin rastro os deja sin defensa cuando hay que explicar un incidente.
Alinead las pruebas con el riesgo. Un hotel en temporada o un colegio en septiembre no eligen el mismo día de test que un despacho en agosto. En Tenerife, además, el test sirve para ver si el partner acude y si el procedimiento cabe en isla. Un restore que solo funciona si vuela un técnico el martes no es un RTO: es una esperanza.
Ciberincidente y AEPD: si hay ransomware o fuga, las copias entran en la cronología (¿estaban cifradas?, ¿inmutables?, ¿quién accedió?). Haber ensayado no evita el incidente. Evita la frase «creíamos que teníamos backup». Esa frase, en un escrito a la Agencia, pesa.
Si queréis el detalle de capas (firewall, ESET, personas), el blog lo trata en otros textos; aquí el mensaje es más estrecho: la copia es un tratamiento y una medida. Diseñadla con las dos cabezas. El hub de servicios de Infofase agrupa backup y ciberseguridad porque en la vida real no viajan separados. Un proyecto como el de Canary Islands Consulting se entiende mejor cuando NAS, servidor e identidades se planifican juntos, también a efectos de quién accede a qué.
Preguntas frecuentes
¿La AEPD exige un software de backup concreto?
No. Exige medidas adecuadas al riesgo, contratos de encargo cuando hay terceros, y capacidad de demostrar lo que afirmáis. El producto es un medio. Un software caro mal configurado no cumple; uno razonable, cifrado, con contrato y pruebas, encaja mejor. Desconfiad de quien os venda «backup homologado AEPD» como sello oficial.
¿Hay que borrar al instante la copia si un cliente pide la supresión?
En la práctica, muchas organizaciones suprimen en sistemas vivos y dejan que las generaciones de backup caduquen según la política, sin usar esas copias para seguir tratando al interesado. Eso debe estar escrito y revisado por quien os asesore en privacidad. No inventamos aquí un plazo único ni una resolución que «lo deje zanjado para todos». Vuestro sector (salud, educación, laboral) cambia el encaje.
¿Un colegio en Tenerife tiene que tratar las copias distinto?
El reglamento es el mismo; el riesgo y la categoría de datos, no. Menores, imágenes, plataformas educativas y dispositivos de aula exigen más cuidado en acceso, retención y encargados (la app, el cloud, el SAT). El coordinador TIC no debería ser el único que «ya se encarga del RGPD» sin dirección ni, si procede, DPD.
¿Sirve el registro de actividades si no mencionamos los backups?
Si las copias contienen datos personales —y casi siempre los contienen—, el tratamiento de conservación/copia debería aparecer, con finalidades, plazos y destinatarios. Un registro que habla del CRM y calla el NAS está incompleto. No es un capricho formal: es el mapa que luego usáis en un ejercicio de derechos o en un incidente.
¿Qué evidencia de restauración es suficiente?
Una acta breve y periódica: qué se restauró, cuándo, resultado y corrección si falló. Mejor un muestreo real que un párrafo genérico de política que nadie ha ejecutado. Guardadla donde no se pierda el día que falle el servidor: no solo dentro del propio servidor.
¿Infofase actúa como encargado de nuestras copias?
Cuando administramos o alojamos copias, el encargo debe estar formalizado. Es uno de los puntos que revisamos al contratar backup cloud. El detalle de cláusulas lo cierra el contrato, no un artículo del blog. Preguntad; el teléfono es el 922 276 335.
