Nadie piensa en su seguro hasta que lo necesita. Con las copias de seguridad ocurre exactamente lo mismo: son la medida de ciberseguridad menos vistosa y, a la vez, la que marca la diferencia entre un incidente grave y una anécdota resuelta en horas. Un ataque de ransomware, un fallo de hardware, un error humano o, simplemente, un empleado que borra por accidente una carpeta compartida: en todos estos casos, la existencia de una copia de seguridad fiable es lo que separa la continuidad del negocio del colapso.
Este artículo explica, con fundamento en el Reglamento General de Protección de Datos (RGPD) y en la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), por qué las copias de seguridad no son solo una buena práctica técnica, sino una obligación legal, y cómo diseñarlas sin entrar en conflicto con los principios de minimización y limitación del plazo de conservación.
Qué son las copias de seguridad y por qué son la última línea de defensa
Una copia de seguridad es una réplica de los datos y sistemas de la empresa, almacenada de forma independiente, que permite restaurar la información en caso de pérdida, corrupción, cifrado malicioso o destrucción accidental. A diferencia de otras medidas de ciberseguridad, que buscan evitar el incidente, las copias de seguridad actúan cuando todo lo demás ha fallado: son la última línea de defensa.
Marco normativo: RGPD, LOPDGDD y disponibilidad de los datos
El artículo 32.1.c RGPD es, probablemente, la referencia legal más directa sobre este asunto: exige la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico. El artículo 32.1.d añade la obligación de verificar, evaluar y valorar de forma regular la eficacia de las medidas de seguridad implantadas, lo que en la práctica significa probar las copias de seguridad, no solo programarlas.
La LOPDGDD refuerza el régimen sancionador (artículos 70 a 77) para quienes incumplan estas obligaciones. Para entidades que prestan servicios a la administración pública, el Esquema Nacional de Seguridad (ENS) dedica medidas específicas a la continuidad del servicio y a las copias de seguridad. Y la normativa derivada de la Directiva NIS2, en proceso de transposición en España, refuerza las exigencias de continuidad de negocio y recuperación ante incidentes para determinadas entidades esenciales e importantes.
Bases de legitimación para las copias de seguridad
Las copias de seguridad no constituyen, por sí mismas, un tratamiento nuevo que requiera una base de legitimación distinta a la del tratamiento original: se amparan en el artículo 6.1.c RGPD, como parte del cumplimiento de la obligación legal de seguridad del artículo 32. Sin embargo, sí generan una tensión que conviene resolver con cuidado: cuando se ejerce un derecho de supresión (artículo 17 RGPD) sobre unos datos, estos deben eliminarse también de las copias de seguridad, aunque no sea técnicamente inmediato. La práctica habitual, alineada con los criterios de la AEPD y del Comité Europeo de Protección de Datos, consiste en documentar una política que garantice la eliminación efectiva de los datos suprimidos en el siguiente ciclo de rotación de copias, y en excluir esos datos de cualquier uso mientras tanto.
¿Es obligatoria una evaluación de impacto (EIPD) para implantar copias de seguridad?
Con carácter general, diseñar una política de copias de seguridad no exige, por sí sola, una EIPD conforme al artículo 35 RGPD: es una medida de seguridad que se valora dentro del análisis de riesgo general del tratamiento, no un tratamiento de alto riesgo en sí misma. La situación puede cambiar si las copias se externalizan a un proveedor cloud que implique una transferencia internacional de datos sin garantías adecuadas, o si el volumen y la naturaleza de los datos replicados (por ejemplo, categorías especiales a gran escala) ya obligaban a una EIPD por el tratamiento original; en ese caso, la política de copias de seguridad debe incorporarse como parte de esa evaluación, no tratarse de forma aislada.
La regla 3-2-1: buena práctica para copias de seguridad fiables
- Al menos tres copias de los datos: la copia original y dos de seguridad.
- En dos soportes o medios distintos, para reducir el riesgo de un fallo común.
- Al menos una copia almacenada fuera de las instalaciones principales (offsite), física o en la nube, para resistir a un incidente físico como un incendio o una inundación.
Cómo saber si tus copias de seguridad son realmente fiables
- Probar la restauración de forma periódica, no solo confiar en que la copia «se ha hecho».
- Cifrar las copias de seguridad, especialmente si contienen datos personales o categorías especiales.
- Restringir y auditar quién puede acceder, modificar o eliminar las copias, ya que el ransomware actual ataca también a las copias de seguridad si están accesibles desde la misma red.
- Definir una política de retención y rotación clara, coherente con los plazos de conservación aplicables a cada tipo de dato.
- Documentar el procedimiento de recuperación, con tiempos objetivo de restauración (RTO) y de pérdida de datos asumible (RPO).
El dilema: guardar todo «por si acaso» frente a no conservar más de lo necesario
Aquí aparece una tensión real entre dos principios legítimos. Por un lado, el artículo 32.1.c RGPD exige poder restaurar los datos ante un incidente, lo que empuja a mantener copias robustas y, en ocasiones, históricas. Por otro, los artículos 5.1.c y 5.1.e RGPD exigen minimizar los datos tratados y no conservarlos más allá de lo necesario para la finalidad perseguida. La solución no es elegir entre ambos principios, sino diseñar una política de copias de seguridad con una retención definida y justificada, que no se convierta en una vía indirecta para conservar datos indefinidamente al margen de la política general de conservación de la empresa.
Qué ocurre si un incidente afecta también a las copias de seguridad
Cuando un ataque de ransomware cifra o destruye los datos y las copias de seguridad no permiten una restauración fiable, se produce una pérdida de disponibilidad que puede constituir una brecha de seguridad conforme al RGPD, con la consiguiente obligación de notificarla a la Agencia Española de Protección de Datos (AEPD) en el plazo de 72 horas si existe riesgo para los derechos de las personas afectadas (artículos 33 y 34 RGPD), incluso si no ha habido exfiltración de datos, porque la disponibilidad forma parte de la tríada que protege el RGPD junto con la confidencialidad y la integridad.
Beneficios y riesgos de una buena política de copias de seguridad
Los beneficios son directos: continuidad del negocio ante cualquier incidente, cumplimiento del deber de seguridad del artículo 32 RGPD y una respuesta mucho más rápida ante un ataque de ransomware. El riesgo a vigilar no es tecnológico, sino de gestión de la privacidad: copias de seguridad sin cifrar, accesibles por cualquier persona o conservadas indefinidamente sin criterio, pueden convertirse en un punto débil adicional y en un incumplimiento del principio de minimización, precisamente lo contrario de lo que se pretendía proteger.
Proporcionalidad: adaptar la política de copias al tamaño y al riesgo real
El artículo 24 RGPD exige que las medidas sean proporcionadas al riesgo real del tratamiento y al tamaño de la organización. Una pyme no necesita la misma infraestructura de recuperación ante desastres que una gran corporación, pero sí necesita, como mínimo, copias periódicas, probadas, cifradas y con una retención definida, documentada y revisada.
Las copias de seguridad son, literalmente, el seguro invisible de cualquier negocio: no se nota su valor hasta que se necesitan, y entonces lo es todo. En SIPY ayudamos a diseñar políticas de copias de seguridad proporcionadas, documentadas y alineadas con los plazos de conservación de datos que exige el RGPD. Si no has probado tu última copia de seguridad, es el momento de hacerlo.
#CopiasDeSeguridad #Ciberseguridad #RGPD #LOPDGDD #ProtecciónDeDatos #sipylopd #SIPY
