RGPD y fax

Enviar un fax con datos personales sin infringir la normativa europea.

El Reglamento (UE) 2016/679 no menciona el fax en ninguna parte: regula tratamientos, y enviar un documento que permite identificar a una persona constituye uno (artículo 4, apartado 2). En concreto, necesita una base jurídica (artículo 6), un contenido reducido a lo estrictamente necesario (artículo 5), protecciones proporcionadas al riesgo (artículo 32) y, para el caso de un fax mal dirigido, un procedimiento ya por escrito (artículos 33 y 34). El último tramo de un fax escapa a todo cifrado: por tanto, la mayor parte del cumplimiento depende de su organización — verificación de números, preparación de las páginas, discreción en la recepción.

Cuatro referencias para un fax conforme

El Reglamento razona por tratamientos y niveles de riesgo, nunca por tecnologías. Fax o mensajería, las referencias siguientes se aplican por igual.

  • Cada fax es un tratamiento de datos

    La «comunicación por transmisión» figura literalmente entre los tratamientos contemplados en el artículo 4, apartado 2. Enviar un presupuesto nominativo, una nómina o una receta por fax está, por tanto, plenamente sujeto al Reglamento.

  • Una base jurídica para cada envío

    El artículo 6 enumera seis: el consentimiento, la ejecución del contrato, la obligación legal, la salvaguarda de los intereses vitales, la misión de interés público y el interés legítimo. El empleador que envía una certificación a un organismo social se ampara, por lo general, en la obligación legal.

  • Ningún dato superfluo en las páginas

    Establecido por el artículo 5, apartado 1, letra c, el principio de minimización solo autoriza a hacer circular datos útiles y proporcionados a la finalidad perseguida. Antes de generar el PDF, aligere el documento de todo aquello de lo que el destinatario puede prescindir.

  • Un destinatario fuera del EEE activa el capítulo V

    Todo envío hacia un país tercero está sujeto al capítulo V, el de las transferencias (artículos 44 a 49). En el caso de Canadá, la Comisión Europea consideró que la protección era suficiente para las organizaciones sujetas a la PIPEDA, la ley federal canadiense (decisión 2002/2/CE); para los demás destinatarios canadienses — algunas administraciones provinciales, en particular —, compruebe las garantías aplicables.

Artículo 32: la seguridad exigible a un envío por fax

De conformidad con el artículo 32, tanto el responsable del tratamiento como el encargado deben aplicar medidas técnicas y organizativas que garanticen una seguridad adecuada al nivel de riesgo, considerando el estado actual de los conocimientos, los costes de aplicación y la naturaleza de los datos tratados. El texto menciona el cifrado entre las medidas posibles, junto con la seudonimización y procesos probados periódicamente, que deben combinarse según las necesidades.

En un fax, el cifrado solo protege una parte del trayecto. En Faxeroo, la subida del PDF se realiza por HTTPS y el archivo desaparece automáticamente tras el envío; el segmento telefónico que conduce hasta la máquina del destinatario, en cambio, se transmite sin cifrar, igual que ocurre con cualquier fax tradicional. La protección pasa entonces por la organización: directorio de números verificados, segunda lectura para envíos delicados, llamada previa al contacto, páginas anonimizadas cuando sea posible.

Documente estas decisiones por escrito. El principio de responsabilidad (artículo 5, apartado 2) le obliga a demostrar su cumplimiento: una nota que exponga las razones para preferir el fax para este flujo y las precauciones asociadas constituye precisamente una demostración. Si su análisis concluye que un cifrado de extremo a extremo sería indispensable, cambie de canal.

Error de destinatario: el protocolo a seguir

Una página nominativa llegada a un tercero: es una violación de datos según la definición del artículo 4, apartado 12 — la intención y la buena fe no cambian nada. Los reflejos siguientes se suceden en orden.

  1. Limitar primero los daños

    Llame al destinatario involuntario, exija la destrucción de las páginas y, si es posible, una confirmación por escrito. Estos gestos limitan el riesgo y servirán de respaldo para su expediente interno.

  2. Documentar la violación en el registro

    El artículo 33, apartado 5, exige registrar cada violación: los hechos, los efectos sufridos y las medidas correctoras. La obligación se mantiene incluso si al final no procede ninguna notificación.

  3. Notificar a la CNIL en 72 horas cuando corresponda

    Cuando los hechos no permitan concluir que el peligro para los afectados es inexistente o muy remoto, la violación tendrá que comunicarse a la autoridad de control —en Francia, la CNIL— sin dilaciones injustificadas y, siempre que sea viable, antes de que transcurran 72 horas desde su detección (artículo 33, apartado 1). Si se supera ese margen, la notificación deberá explicar el retraso.

  4. Advertir a las personas afectadas en caso de riesgo elevado

    Riesgo elevado —datos médicos, datos bancarios, elementos que faciliten una suplantación de identidad—: las personas afectadas son advertidas sin dilación, con un lenguaje claro (artículo 34). Por su parte, el encargado del tratamiento no escribe a las personas: avisa de inmediato al responsable del tratamiento (artículo 33, apartado 2).

Cinco medidas que implantar en su organización

Un directorio de números verificados
Elabore, tras verificarlos y con su fecha, la lista de sus contactos habituales: cajas, laboratorios, secretarías judiciales, aseguradoras. Se envía siempre desde esta lista, nunca de memoria.
Dos pares de ojos en los envíos sensibles
Informe médico o expediente bancario: solicite que otra persona verifique tanto el número como el contenido previo al envío. Con dos minutos de revisión se descartan la mayoría de los errores.
Una página de portada estándar
Nombre del destinatario, número total de páginas, sus datos de contacto y las instrucciones a seguir si el fax cae en manos equivocadas: colocada al inicio del envío, indica de inmediato a quién van dirigidas las hojas y qué hacer en caso de error.
Equipos de recepción bajo control
En cuanto a la recepción, instale el equipo en una sala de acceso restringido o, en los modelos que lo permitan, haga que los faxes recibidos pasen por una memoria protegida con código. Antes de devolver un equipo alquilado, borre su disco y su memoria.
La telecopia registrada en el registro (artículo 30)
Si la telecopia forma parte de sus flujos habituales, inscríbalo en el registro del artículo 30: con qué finalidad, qué categorías de datos y de destinatarios, hacia qué países, durante cuánto tiempo y con qué protecciones.

Preguntas y respuestas

¿Pueden enviarse datos médicos por fax?
Sí; ninguna norma europea lo impide. Estos datos entran en las categorías especiales recogidas en el artículo 9: para tratarlos se necesita una excepción prevista en ese mismo precepto —como la asistencia sanitaria— y una precaución reforzada. En Francia se añaden el secreto médico y la deontología o normas propias de las profesiones sanitarias. Según su actividad, pregunte a su delegado de protección de datos (DPO) o a su colegio profesional.
¿Es necesario un contrato con un servicio de fax?
Si un proveedor procesa datos personales actuando en su nombre, el artículo 28 obliga a formalizar por contrato el encargo: instrucciones a seguir, confidencialidad, seguridad y destino de los datos al concluir el servicio. Si usa Faxeroo con asiduidad en representación de una organización, escriba a contact@faxeroo.com para analizar este marco.
¿Cuánto tiempo se conservan mis archivos en Faxeroo?
El PDF que sube se emplea únicamente para realizar el envío; acto seguido, nuestro sistema lo elimina sin intervención manual. El pago con tarjeta, si lo hay, se procesa mediante Stripe. Defina un plazo para las copias y los acuses de recibo que guarde en su lado (artículo 5, apartado 1, letra e); para el destinatario rige su propia política.
¿Pueden actuar las personas mencionadas?
Sí: ya se trate de acceso, rectificación, supresión u oposición, la organización que decidió enviar —el responsable del tratamiento— es ante quien se ejercen esos derechos, recogidos en los artículos 15 a 22. La respuesta debe remitirse en un mes, ampliable a dos si la solicitud es compleja o voluminosa (artículo 12, apartado 3).

Datos y seguridad

Este dossier

Para seguir leyendo

Páginas seleccionadas para preparar su envío, seguirlo o guardar la prueba.

Ver también