Cuando una empresa pierde acceso a datos personales —por fallo de disco, ransomware o borrado accidental— no solo enfrenta un problema técnico: el RGPD impone obligaciones legales concretas con plazos estrictos. Notificar a la AEPD en 72 horas, firmar un contrato con la empresa de recuperación y documentar toda la cadena de custodia no son opciones: son requisitos legales cuyo incumplimiento puede derivar en multas de hasta el 4% de la facturación anual.
El RGPD y la pérdida de datos: el marco legal
El Reglamento General de Protección de Datos (RGPD — Reglamento UE 2016/679) no solo regula cómo se recopilan y usan los datos personales: también establece qué debe hacer una empresa cuando pierde acceso a esos datos. Da igual si la causa es un fallo de hardware, un ciberataque o un error humano. Si los datos afectados incluyen información personal de clientes, empleados o terceros, entran en juego obligaciones legales concretas:
- Notificación a la AEPD en 72 horas si la pérdida supone un riesgo para los derechos y libertades de los afectados (artículo 33 RGPD).
- Notificación a los propios afectados si el riesgo es alto (artículo 34 RGPD): por ejemplo, si se han expuesto datos de salud, bancarios o de menores.
- Documentación interna del incidente en el registro de violaciones de seguridad, independientemente de si se notifica a la AEPD o no (artículo 33.5 RGPD).
- Evaluación del riesgo: la empresa debe analizar la naturaleza de los datos, el número de afectados y las consecuencias probables antes de decidir si el incidente requiere notificación.
En la práctica, muchas empresas no son conscientes de estas obligaciones hasta que ya han pasado las 72 horas. La presión de recuperar los datos lo antes posible lleva a descuidar el cumplimiento legal, lo que puede convertir un problema técnico en un problema legal añadido.
Artículo 33 RGPD: El responsable del tratamiento notificará la violación de datos personales a la autoridad de control competente (la AEPD en España) sin dilación indebida y, a más tardar, 72 horas después de que haya tenido constancia de ella, a menos que sea improbable que dicha violación constituya un riesgo para los derechos y libertades de las personas físicas. Las multas por incumplimiento pueden alcanzar el 4% de la facturación global anual o 20 millones de euros, la cifra que sea mayor.
¿Cuándo se considera "violación de datos"?
El RGPD define la violación de datos personales como "toda violación de seguridad que ocasione, de forma accidental o ilícita, la destrucción, pérdida, alteración, comunicación no autorizada o acceso a datos personales" (artículo 4.12). La clave está en que no es necesario que haya habido robo o acceso malintencionado: la mera pérdida o destrucción ya constituye una violación si afecta a datos personales.
Situaciones que entran dentro de esta definición y que habitualmente motivan una recuperación de datos:
- Fallo de disco duro o SSD con pérdida irreversible de datos personales de clientes, empleados o pacientes.
- Ataque de ransomware que cifra bases de datos o documentos con información personal.
- Borrado accidental de bases de datos, ficheros de recursos humanos o historiales de clientes.
- Robo de dispositivo (portátil, disco externo, USB) que contiene datos personales sin cifrar.
- Fallo en sistema NAS o RAID que hace inaccesibles los datos de negocio.
- Corrupción de base de datos por fallo de alimentación o error de software.
En todos estos casos, el primer paso —antes incluso de iniciar la recuperación técnica— debe ser valorar si el incidente constituye una brecha notificable y documentar esa valoración.
La empresa de recuperación como "encargada del tratamiento"
Este es el punto que más empresas pasan por alto. Cuando envías un dispositivo con datos personales a un laboratorio de recuperación, ese laboratorio accede necesariamente a esos datos para realizar su trabajo. Desde el momento en que tiene acceso potencial a datos personales de tus clientes o empleados, se convierte en encargada del tratamiento bajo el artículo 4.8 del RGPD.
Las implicaciones son directas e ineludibles:
- Contrato de Encargo del Tratamiento obligatorio (artículo 28 RGPD): debe firmarse antes de entregar el dispositivo. Sin él, tanto tú como empresa responsable como el laboratorio estáis incumpliendo el RGPD.
- Finalidad limitada: el laboratorio solo puede tratar los datos para el fin acordado (la recuperación). No puede copiar, analizar ni transferir los datos para ningún otro propósito.
- Medidas técnicas y organizativas adecuadas: el laboratorio debe implementar cifrado de los datos durante el proceso, acceso restringido solo al personal necesario, y destrucción segura de cualquier copia temporal creada durante la recuperación.
- Notificación inmediata de incidentes: si durante el proceso de recuperación se produce cualquier incidente de seguridad, el laboratorio está obligado a notificártelo sin dilación para que puedas cumplir tus propios plazos de notificación a la AEPD.
- Subcontratación bajo control: si el laboratorio a su vez subcontrata parte del trabajo (por ejemplo, para análisis de platos magnéticos en otro centro), necesita tu autorización y el subcontratista queda igualmente vinculado por las mismas obligaciones.
Atención: Sin Contrato de Encargo del Tratamiento firmado, tanto tú como la empresa de recuperación estáis incumpliendo el RGPD. La AEPD ha sancionado a empresas por no tener estos contratos con sus proveedores de servicios tecnológicos. El contrato no es un trámite burocrático: es la base legal que permite al laboratorio acceder a los datos sin vulnerar la normativa.
Cadena de custodia: por qué es crítica
La cadena de custodia es el registro documentado de quién ha tenido acceso al dispositivo y a los datos en cada momento, desde que se detecta el incidente hasta que los datos se recuperan y las copias temporales se destruyen. No es solo una buena práctica: tiene implicaciones legales directas.
¿Para qué sirve la cadena de custodia?
- Demostrar diligencia ante la AEPD: si la autoridad de control investiga el incidente, la cadena de custodia es la evidencia de que la empresa tomó medidas proporcionadas y documentó el proceso correctamente.
- Validez de los datos como evidencia legal: si los datos recuperados van a usarse en un procedimiento judicial (por ejemplo, para demostrar un fraude interno), la cadena de custodia garantiza que no han sido manipulados.
- Defensa ante reclamaciones de afectados: si un empleado o cliente reclama por la pérdida de sus datos, la documentación demuestra qué datos se vieron afectados, durante cuánto tiempo y qué medidas se tomaron.
¿Qué debe incluir la documentación?
Una empresa de recuperación seria debe proporcionar como mínimo:
- Albarán de recepción firmado: número de serie del dispositivo, estado en el momento de la recepción, fecha y hora de entrada.
- Informe técnico detallado: diagnóstico, metodología de recuperación empleada, listado de archivos recuperados y su estado, y registro de los técnicos que han intervenido.
- Certificado de destrucción de copias temporales: confirmación documentada de que cualquier copia intermedia creada durante el proceso ha sido destruida de forma segura tras la entrega al cliente.
- Registro de accesos: qué personas han tenido acceso a los datos durante el proceso y en qué momento.
Plazos y obligaciones clave
| Obligación | Plazo | Base legal | Responsable |
|---|---|---|---|
| Notificación a la AEPD si hay riesgo | 72 horas | Art. 33 RGPD | Responsable del tratamiento (tu empresa) |
| Notificación a los afectados si el riesgo es alto | Sin dilación indebida | Art. 34 RGPD | Responsable del tratamiento |
| Documentación interna del incidente | Inmediata | Art. 33.5 RGPD | Responsable del tratamiento |
| Firma del Contrato de Encargo del Tratamiento | Antes de entregar el dispositivo | Art. 28 RGPD | Responsable + Encargado (laboratorio) |
| Notificación de incidentes por parte del encargado | Sin dilación indebida | Art. 28.3.f RGPD | Laboratorio de recuperación |
| Destrucción de copias temporales tras recuperación | Tras entrega al cliente | Art. 28.3.g RGPD | Laboratorio de recuperación |
| Consulta previa a la AEPD si riesgo muy alto | Antes del tratamiento | Art. 36 RGPD | Responsable del tratamiento |
Checklist de cumplimiento RGPD para recuperación de datos
Ante una pérdida de datos que afecte a información personal, sigue estos pasos en orden:
- Detén el uso del dispositivo afectado inmediatamente. Cualquier escritura puede sobrescribir los datos y reducir las posibilidades de recuperación.
- Evalúa si hay datos personales afectados. Identifica qué categorías de datos contiene el dispositivo (datos de clientes, empleados, datos de salud, datos bancarios…) y cuántas personas están afectadas.
- Documenta el incidente en el registro interno de violaciones de seguridad. Fecha y hora de detección, causa probable, datos afectados y medidas inmediatas tomadas. Esta documentación es obligatoria aunque no se notifique a la AEPD.
- Evalúa el riesgo para los afectados. Determina si la pérdida supone un riesgo para sus derechos y libertades. Si hay dudas, consulta con tu DPO o asesor legal. En caso de riesgo, prepara la notificación a la AEPD.
- Notifica a la AEPD si procede, dentro de las 72 horas. Usa el formulario de notificación de brechas del portal de la AEPD. Si no tienes toda la información, notifica con los datos disponibles e indica que la investigación sigue en curso.
- Firma el Contrato de Encargo del Tratamiento con el laboratorio ANTES de entregar el dispositivo. Verifica que el contrato incluye los requisitos del artículo 28 RGPD: finalidad, medidas de seguridad, subcontratación, destrucción de datos y obligación de notificación.
- Solicita la cadena de custodia documentada. Pide al laboratorio albarán de recepción, informe técnico del proceso y certificado de destrucción de copias al finalizar.
- Si el riesgo para los afectados es alto, notifícales directamente. La comunicación debe describir de forma clara qué ocurrió, qué datos se vieron afectados y qué medidas se están tomando. Incluye los datos de contacto del DPO si existe.
Lo que RecuperaTusDatos ofrece para el cumplimiento RGPD
Somos conscientes de que, para una empresa, contratar un servicio de recuperación de datos no es solo una decisión técnica: es una decisión legal. Por eso hemos diseñado nuestro servicio para que el cumplimiento del RGPD sea una parte integral del proceso, no un trámite adicional:
- Contrato de Encargo del Tratamiento incluido en el servicio: Proporcionamos el contrato estándar ajustado al artículo 28 RGPD antes de recibir ningún dispositivo. Si tu empresa tiene un modelo propio, lo revisamos y firmamos.
- Cadena de custodia documentada: Cada dispositivo entra con un albarán numerado. Registramos qué técnico accede, en qué momento y con qué propósito. Toda la documentación está disponible para auditoría.
- Certificado de destrucción de copias temporales: Una vez entregados los datos recuperados, destruimos cualquier copia intermedia de forma segura (sobreescritura con estándar DoD 5220.22-M) y emitimos certificado de destrucción.
- Instalaciones con acceso restringido y cifrado: Las salas de trabajo están protegidas con control de acceso. Los datos en tránsito y en reposo se cifran con AES-256. Solo el técnico asignado accede al dispositivo.
- Informe técnico válido para notificación a la AEPD: El informe que entregamos con cada servicio incluye la información que la AEPD solicita en su formulario de notificación de brechas: causa de la pérdida, datos afectados, medidas aplicadas y resultado.
- Notificación inmediata de incidentes: En el improbable caso de que se produzca cualquier incidente durante el proceso de recuperación, te notificamos de inmediato para que puedas cumplir tus propios plazos legales.
Si tu empresa necesita recuperar datos y quiere hacerlo con plena seguridad legal, solicita diagnóstico gratuito. Te asesoramos sobre los pasos RGPD en paralelo al proceso técnico.
WhatsApp