RGPD y fax

Transmitir un documento con datos personales respetando la normativa europea.

El Reglamento (UE) 2016/679 no alude en absoluto al fax: su objeto son los tratamientos de datos, y remitir un documento del que se puede identificar a una persona entra dentro de ellos (artículo 4, apartado 2). Concretamente, exige un contenido limitado a lo imprescindible (artículo 5), una base jurídica (artículo 6), medidas de seguridad acordes con el riesgo (artículo 32) y, si un fax se dirige a un destinatario equivocado, un procedimiento ya documentado por escrito (artículos 33 y 34). La porción final de un fax no pasa por cifrado alguno: por eso, la mayor parte del cumplimiento recae en su organización — comprobación de números, preparación de las páginas, discreción al recibir.

Cuatro referencias para un fax conforme

El Reglamento razona por tratamientos y niveles de riesgo, nunca por tecnologías. Fax o mensajería, las referencias siguientes se aplican por igual.

  • Cada fax es un tratamiento de datos

    La «comunicación por transmisión» figura literalmente entre los tratamientos contemplados en el artículo 4, apartado 2. Enviar un presupuesto nominativo, una nómina o una receta por fax está, por tanto, plenamente sujeto al Reglamento.

  • Una base jurídica para cada envío

    El artículo 6 enumera seis: el consentimiento, la ejecución del contrato, la obligación legal, la salvaguarda de los intereses vitales, la misión de interés público y el interés legítimo. El empleador que envía una certificación a un organismo social se ampara, por lo general, en la obligación legal.

  • Ningún dato superfluo en las páginas

    Establecido por el artículo 5, apartado 1, letra c, el principio de minimización solo autoriza a hacer circular datos útiles y proporcionados a la finalidad perseguida. Antes de generar el PDF, aligere el documento de todo aquello de lo que el destinatario puede prescindir.

  • Un destinatario fuera del EEE activa el capítulo V

    Todo envío hacia un país tercero está sujeto al capítulo V, el de las transferencias (artículos 44 a 49). En el caso de Canadá, la Comisión Europea consideró que la protección era suficiente para las organizaciones sujetas a la PIPEDA, la ley federal canadiense (decisión 2002/2/CE); para los demás destinatarios canadienses — algunas administraciones provinciales, en particular —, compruebe las garantías aplicables.

Artículo 32: la seguridad exigible a un envío por fax

Según el artículo 32, tanto el responsable como el encargado del tratamiento deben adoptar medidas técnicas y organizativas que garanticen una seguridad adecuada al nivel de riesgo, atendiendo al estado actual del arte, a los costes de aplicación y a la naturaleza de los datos. La norma cita el cifrado entre las posibles herramientas, junto con la seudonimización y procesos de verificación periódica, que deben combinarse según las necesidades.

En el fax, el cifrado solo cubre una parte del recorrido. Con Faxeroo, el PDF se transmite por HTTPS y el archivo desaparece automáticamente una vez remitido; en cambio, el tramo de voz que llega a la impresora del destinatario circula sin cifrar, igual que en cualquier fax tradicional. La seguridad queda entonces en manos de la organización: lista de números verificados, revisión adicional para envíos delicados, aviso por teléfono al receptor antes de mandar, y páginas desidentificadas cuando sea posible.

Documente estas decisiones por escrito. El principio de responsabilidad (artículo 5, apartado 2) le obliga a demostrar su cumplimiento: una nota que exponga las razones para preferir el fax para este flujo y las precauciones asociadas constituye precisamente una demostración. Si su análisis concluye que un cifrado de extremo a extremo sería indispensable, cambie de canal.

Error de destinatario: el protocolo a seguir

Que un documento nominativo llegue a un tercero constituye una infracción de datos conforme al artículo 4, apartado 12: el propósito y la buena fe no cambian ni un ápice esta calificación. Los pasos subsiguientes se muestran en orden.

  1. Limitar primero los daños

    Llame al destinatario involuntario, exija la destrucción de las páginas y, si es posible, una confirmación por escrito. Estos gestos limitan el riesgo y servirán de respaldo para su expediente interno.

  2. Documentar la violación en el registro

    Toda violación debe quedar anotada en un registro interno, aunque finalmente no haya que notificarla: qué ocurrió, qué consecuencias tuvo y qué medidas se tomaron para corregirla. Así lo establece el apartado 5 del artículo 33.

  3. Si procede, avisar a la CNIL: 72 horas como máximo

    Cuando los hechos no permitan concluir que el peligro para los afectados es inexistente o muy remoto, la violación tendrá que comunicarse a la autoridad de control —en Francia, la CNIL— sin dilaciones injustificadas y, siempre que sea viable, antes de que transcurran 72 horas desde su detección (artículo 33, apartado 1). Si se supera ese margen, la notificación deberá explicar el retraso.

  4. Advertir a las personas afectadas en caso de riesgo elevado

    Riesgo elevado —datos médicos, datos bancarios, elementos que faciliten una suplantación de identidad—: las personas afectadas son advertidas sin dilación, con un lenguaje claro (artículo 34). Por su parte, el encargado del tratamiento no escribe a las personas: avisa de inmediato al responsable del tratamiento (artículo 33, apartado 2).

Cinco medidas que implantar en su organización

Un directorio de números verificados
Elabore, tras verificarlos y con su fecha, la lista de sus contactos habituales: cajas, laboratorios, secretarías judiciales, aseguradoras. Se envía siempre desde esta lista, nunca de memoria.
Dos pares de ojos en los envíos sensibles
Informe médico o expediente bancario: solicite que otra persona verifique tanto el número como el contenido previo al envío. Con dos minutos de revisión se descartan la mayoría de los errores.
Una página de portada estándar
El nombre del receptor, el número total de hojas, sus datos de contacto y las acciones a seguir si el fax llega a manos equivocadas: situados al principio del envío, señalan de inmediato a quién está destinada la tirada y qué hacer ante un fallo.
Equipos de recepción bajo control
En cuanto a la recepción, instale el equipo en una sala de acceso restringido o, en los modelos que lo permitan, haga que los faxes recibidos pasen por una memoria protegida con código. Antes de devolver un equipo alquilado, borre su disco y su memoria.
La telecopia registrada en el registro (artículo 30)
Si la telecopia forma parte de sus flujos habituales, inscríbalo en el registro del artículo 30: con qué finalidad, qué categorías de datos y de destinatarios, hacia qué países, durante cuánto tiempo y con qué protecciones.

Preguntas y respuestas

¿Pueden enviarse datos médicos por fax?
Sí; ninguna norma europea lo prohíbe. Se incluyen en las categorías especiales que recoge el artículo 9: para tratarlos se exige una excepción prevista en ese mismo precepto —como la asistencia sanitaria— y una precaución reforzada. En Francia se suman el secreto médico y la deontología o las normas propias de las profesiones sanitarias. Según su actividad, consulte a su responsable de protección de datos (DPO) o a su colegio profesional.
¿Es necesario un contrato con un servicio de fax?
Si un proveedor procesa datos personales actuando en su nombre, el artículo 28 obliga a formalizar por contrato el encargo: instrucciones a seguir, confidencialidad, seguridad y destino de los datos al concluir el servicio. Si usa Faxeroo con asiduidad en representación de una organización, escriba a contact@faxeroo.com para analizar este marco.
¿Cuánto tiempo se conservan mis archivos en Faxeroo?
El PDF que sube se emplea únicamente para realizar el envío; acto seguido, nuestro sistema lo elimina sin intervención manual. El pago con tarjeta, si lo hay, se procesa mediante Stripe. Defina un plazo para las copias y los acuses de recibo que guarde en su lado (artículo 5, apartado 1, letra e); para el destinatario rige su propia política.
¿Pueden actuar las personas mencionadas?
Sí: ya sea acceso, rectificación, supresión o oposición, la entidad que decidió enviar —el responsable del tratamiento— es quien debe recibir esos derechos, recogidos en los artículos 15 a 22. La respuesta ha de llegar en un mes, ampliable a dos si la petición es compleja o voluminosa (artículo 12, apartado 3).

Datos y seguridad

Este dossier

Para seguir leyendo

Páginas seleccionadas para preparar su envío, seguirlo o guardar la prueba.

Ver también