Cuando se habla de protección de datos, la conversación suele girar en torno al consentimiento, los avisos de privacidad o el registro de actividades de tratamiento. Pero hay una dimensión técnica que muchas empresas descuidan: la seguridad de los propios datos. Y dentro de esa dimensión, las copias de seguridad ocupan un lugar central.
El RGPD no te pide que hagas backups como buena práctica tecnológica. Te los exige como parte de tus obligaciones de cumplimiento normativo. No tenerlos —o no tenerlos bien— puede convertir un incidente técnico en una infracción grave con sanciones económicas significativas.
Las copias de seguridad como medida de seguridad obligatoria en el RGPD
El artículo 32 del RGPD establece que el responsable y el encargado del tratamiento deben aplicar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo. Entre las medidas que cita expresamente el artículo 32.1.c está:
«La capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico.»
Aunque el reglamento no usa la palabra «backup» explícitamente, la Agencia Española de Protección de Datos (AEPD) y el Comité Europeo de Protección de Datos han confirmado en múltiples ocasiones que las copias de seguridad son la implementación práctica de esta obligación.
- No tener copias de seguridad equivale a no cumplir el art. 32 RGPD.
- Si sufres una brecha y no puedes restaurar los datos, la ausencia de backup agrava la infracción.
- El incumplimiento del art. 32 puede acarrear multas de hasta 10 millones de euros o el 2% de la facturación global.
Qué dice el RGPD exactamente sobre backups
El RGPD no prescribe un sistema técnico concreto —no te dice que uses tal proveedor o tal tecnología— pero sí establece los principios que debe cumplir tu política de copias:
- Integridad: las copias deben preservar los datos sin alteraciones.
- Disponibilidad: debes poder acceder a los datos respaldados cuando los necesites.
- Confidencialidad: las copias deben estar igualmente protegidas que los datos originales —cifrado incluido.
- Resiliencia: el sistema debe soportar incidentes —fallos de hardware, ransomware, desastres físicos— y permitir la recuperación.
Además, el artículo 25 (privacidad desde el diseño) implica que la política de backups debe diseñarse desde el principio teniendo en cuenta la protección de datos, no añadirse a posteriori.
Tipos y frecuencias recomendadas para datos personales
No existe una frecuencia única obligatoria por ley —el RGPD habla de medidas «apropiadas al riesgo»— pero las guías de la AEPD y el estándar ISO 27001 ofrecen criterios orientativos:
Según el tipo de dato y la criticidad
- Datos críticos (datos de salud, datos financieros, registros de contratos): backup diario como mínimo, con copia adicional semanal y mensual.
- Datos ordinarios (contactos de clientes, historial de pedidos): backup diario o cada 48-72 horas.
- Datos de baja criticidad (logs, datos estadísticos anonimizados): backup semanal puede ser suficiente.
Regla 3-2-1 como referencia
Un estándar ampliamente aceptado en ciberseguridad y compatible con el RGPD es la regla 3-2-1: mantener 3 copias de los datos, en 2 tipos de soporte diferentes, con 1 copia en una ubicación externa o aislada.
Dónde almacenar los backups: nube, local y almacenamiento externo
La elección del lugar de almacenamiento afecta directamente al cumplimiento RGPD. Algunas consideraciones clave:
Almacenamiento local (NAS, servidores propios)
Ventaja: control total sobre los datos. Riesgo: vulnerabilidad ante incendios, robos o ataques de ransomware que cifren también los backups si están en la misma red.
Nube (cloud backup)
Si el proveedor está fuera del Espacio Económico Europeo, aplican las restricciones del Capítulo V del RGPD para transferencias internacionales. Debes verificar que el proveedor ofrece garantías adecuadas (cláusulas contractuales tipo, etc.).
Si el proveedor es un encargado de tratamiento, debes firmar un contrato de encargo con las cláusulas que exige el art. 28 RGPD.
Almacenamiento externo o air-gapped
Un backup desconectado de la red es la protección más eficaz contra ransomware. Recomendable como capa adicional para datos especialmente sensibles.
Las medidas técnicas como los backups son parte del cumplimiento RGPD de tu empresa. ¿Tienes cubierta esta obligación? → Compruébalo con nuestro equipo
Tiempo de conservación de las copias
Aquí el RGPD introduce una tensión que pocas empresas gestionan correctamente: el principio de limitación del plazo de conservación (art. 5.1.e) obliga a no conservar datos personales más tiempo del necesario para la finalidad del tratamiento.
Esto aplica también a los backups. Si tienes una copia de seguridad de hace 3 años con datos de clientes cuyos registros originales ya deberías haber eliminado, estás incumpliendo el principio de minimización.
La solución práctica pasa por tener una política de retención de backups alineada con los plazos de conservación de cada categoría de datos. Los sistemas más sofisticados permiten borrado selectivo de registros dentro de las copias; en sistemas más sencillos, establece una ventana máxima de retención de backups coherente con tus plazos de conservación.
Qué ocurre si no tienes copias cuando se produce una brecha
Una brecha de seguridad que destruye o hace inaccesibles datos personales debe notificarse a la AEPD en 72 horas (art. 33 RGPD). Si la brecha provoca daños a los interesados, también hay que notificárselo a ellos.
Si en ese momento no tienes copias de seguridad que te permitan restaurar los datos:
- El daño a los afectados se amplifica, lo que agrava la infracción.
- La ausencia de backup es evidencia directa de incumplimiento del art. 32 RGPD.
- La AEPD puede iniciar un procedimiento sancionador específico por esa ausencia, independientemente del incidente original.
No contar con copias de seguridad convierte un problema técnico —que podría haberse resuelto— en un incumplimiento normativo con consecuencias económicas.
En Ubimia Compliance revisamos la política de copias de seguridad como parte de nuestras auditorías de adecuación. En la mayoría de las pymes encontramos el mismo patrón: existen backups, pero no están documentados, no están probados y no hay ningún procedimiento definido para recuperarlos en caso de incidente.
Las medidas técnicas son parte de tu cumplimiento RGPD. Nuestro equipo revisa y documenta las medidas de seguridad de tu empresa → Conoce nuestro servicio