Copia de seguridad y RGPD
Última actualización: octubre de 2026
Durante años, muchas empresas conocieron las copias de seguridad por la antigua LOPD y su reglamento, que fijaban medidas concretas: hacer copia al menos una vez por semana, guardar una copia fuera de las instalaciones para ciertos datos y llevar un registro de incidencias. Hoy el marco es el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018 de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD).
El RGPD ya no da una lista cerrada de medidas. Pide que cada empresa aplique medidas técnicas y organizativas adecuadas al riesgo de los datos que trata. Pero las ideas de fondo siguen vigentes, y la copia de seguridad es una de las piezas centrales.
Qué dice el RGPD
El artículo 32 del RGPD, sobre la seguridad del tratamiento, menciona entre las medidas apropiadas:
- El cifrado de los datos personales.
- La capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas.
- La capacidad de restaurar la disponibilidad y el acceso a los datos de forma rápida en caso de incidente físico o técnico.
- Un proceso para verificar y evaluar con regularidad que esas medidas funcionan.
Perder datos personales porque no había copia, o porque la copia no funcionaba, puede ser una violación de seguridad aunque nadie los haya robado: la pérdida de disponibilidad también cuenta.
Una copia fuera de la oficina
Una copia guardada en el mismo lugar que los datos originales no protege frente a un robo, un incendio, una inundación o un ransomware que se propague por la red. Tener al menos una copia en otra ubicación es la forma más sencilla de garantizar que podrás recuperar los datos pase lo que pase. ADKUP guarda esa copia en centros de datos de la Unión Europea, por lo que no hay transferencias internacionales de datos.
Una copia cifrada
Si la copia contiene datos personales, debe estar tan protegida como los originales. Con ADKUP, los datos se cifran con AES-256 en tu equipo antes de salir, y la clave solo la conoces tú. Esto tiene una ventaja añadida: según el artículo 34 del RGPD, si los datos afectados por un incidente eran ininteligibles para quien no tenga autorización, por ejemplo porque estaban cifrados, no es necesario comunicarlo a cada persona afectada.
Procedimientos de recuperación
Una copia que nunca se ha probado es una promesa, no una garantía. Conviene tener por escrito qué se copia, con qué frecuencia, cuánto tiempo se conserva y cómo se restaura, y comprobar de vez en cuando que la recuperación funciona. En ADKUP dejamos documentada la configuración de tus copias, supervisamos cada día que se completan y te ayudamos a hacer pruebas de recuperación.
Registro de incidencias
El RGPD obliga a documentar cualquier violación de la seguridad de los datos personales: qué pasó, qué efectos tuvo y qué se hizo para solucionarlo (artículo 33.5). Cuando la violación supone un riesgo para las personas, además hay que notificarla a la Agencia Española de Protección de Datos en un plazo máximo de 72 horas desde que se tiene constancia. Un registro de copias y restauraciones, como el que genera ADKUP, te ayuda a reconstruir lo ocurrido y a demostrar que tenías medidas en marcha.
Si un proveedor guarda tus copias
Cuando una empresa externa trata datos personales por tu cuenta, como ocurre con un servicio de copia en la nube, el RGPD la considera encargada del tratamiento y exige un contrato que regule ese encargo (artículo 28). Al contratar ADKUP te facilitamos ese contrato de encargo del tratamiento.
En resumen
- Haz copia de forma periódica y automática.
- Guarda al menos una copia fuera de la oficina, cifrada y dentro de la UE.
- Ten un procedimiento de recuperación y pruébalo.
- Documenta las incidencias y cómo se resolvieron.
- Firma un contrato de encargo con el proveedor que guarda tus datos.
Con ADKUP, el cifrado, las copias inmutables en la UE y la supervisión diaria van incluidos en todos los planes, desde 10 €/mes. Y gestionamos el servicio según nuestra Política de Seguridad de la Información, conforme a ISO/IEC 27001:2022.
Este artículo es informativo y no sustituye el asesoramiento jurídico. Las medidas concretas que necesita tu empresa dependen de los datos que tratas y de su nivel de riesgo; tu asesor en protección de datos o tu delegado de protección de datos pueden ayudarte a definirlas.