08 Jul Cifrado de datos personales en tu pyme: qué cifrar y cómo empezar
Un empleado se deja el portátil en el AVE. Alguien envía por error una hoja de cálculo con la base de clientes a la dirección equivocada. Se pierde un USB con las nóminas del último trimestre.
Ninguna de estas situaciones es rara. De hecho, están entre las brechas de datos más comunes que se comunican a la Agencia Española de Protección de Datos (AEPD). Y en casi todas hay un factor que marca la diferencia entre un susto y una sanción: si la información estaba cifrada o no.
La AEPD publicó hace unos meses una guía de cifrado dirigida específicamente a autónomos y pymes. El mensaje de fondo es claro: el cifrado no es una medida reservada a las grandes empresas con departamento de seguridad. Es una obligación básica al alcance de cualquier negocio. En este artículo te explico qué es, qué tienes que cifrar y cómo empezar sin necesidad de ser técnico.
Qué es el cifrado (y qué no es)
Cifrar consiste en transformar la información a un formato ilegible para quien no tenga la clave para descifrarla. Si alguien accede a un archivo cifrado sin esa clave, lo que encuentra es un galimatías inservible.
La utilidad para tu negocio es directa: si te roban un portátil cifrado o se pierde un disco duro cifrado, la persona que lo encuentra no puede leer los datos que hay dentro. La información sigue estando fuera de tu control, pero es inaccesible. Eso reduce el riesgo para las personas cuyos datos tratas y, con ello, tu exposición ante la AEPD.
Conviene aclarar desde el principio qué no es el cifrado. No es lo mismo que anonimizar. Un dato cifrado sigue siendo un dato personal: existe una clave que lo devuelve a su estado legible, así que la información sobre esa persona sigue ahí. Anonimizar es otra cosa: romper de forma irreversible el vínculo entre el dato y la persona. Confundir ambos conceptos es uno de los errores que veremos más abajo.
¿Es obligatorio cifrar? Lo que dice el RGPD
Esta es la pregunta que más me hacen, y la respuesta honesta es: depende, pero más a menudo de lo que crees.
El RGPD menciona el cifrado de forma expresa en su artículo 32 (seguridad del tratamiento) y en el considerando 83, como una de las medidas para garantizar un nivel de seguridad adecuado al riesgo. La normativa no dice «cifra siempre y todo». Lo que exige es que evalúes el riesgo de cada tratamiento y apliques medidas proporcionadas a ese riesgo.
En la práctica, esto significa que el cifrado pasa de recomendable a exigible cuando tratas datos que supondrían un daño real para las personas si se expusieran o se robaran. Datos de salud, datos financieros, categorías especiales, grandes volúmenes de datos de clientes… En esos casos, no cifrar es difícil de justificar si llega una inspección o una brecha.
Y hay un matiz que a las empresas se les escapa: el cifrado no solo te protege antes de una brecha, también cambia tus obligaciones después. Si sufres una brecha pero los datos afectados estaban cifrados de forma robusta, el riesgo para los afectados es mucho menor. Eso puede eximirte de tener que comunicar la brecha a cada persona afectada, algo que de otro modo sería obligatorio.
La guía de cifrado de la AEPD: qué aporta
La novedad de esta guía es su enfoque. No es un documento teórico sobre algoritmos. Está construida a partir de casos reales de brechas comunicadas a la Agencia, y para cada uno señala qué medida de cifrado habría evitado el problema o reducido el daño.
Es decir, parte de errores que ya han ocurrido en negocios como el tuyo y muestra cómo se habrían evitado. Ese es el valor: traduce la obligación legal a situaciones concretas del día a día de un autónomo o una pyme.
La guía cubre tres frentes donde la información suele quedar expuesta: el correo electrónico, el almacenamiento en la nube y la información guardada en dispositivos (ordenadores, móviles, discos externos). Vamos a verlos.
Qué datos tienes que cifrar
Antes del «cómo» está el «qué». Y aquí la AEPD es clara: no todos los datos necesitan cifrado, pero sí aquellos cuya exposición supondría un riesgo significativo para las personas.
El primer paso es tuyo: identificar qué tratamientos de tu negocio son los más sensibles. Como orientación, presta atención especial a:
- Datos de categorías especiales: salud, origen étnico, afiliación sindical, datos biométricos, orientación sexual, creencias.
- Datos financieros: cuentas bancarias, información de pagos, nóminas.
- Documentos identificativos: DNI, pasaportes, copias de contratos.
- Grandes volúmenes de datos de clientes o usuarios, aunque cada dato aislado parezca inofensivo.
Si tratas alguno de estos, empieza por ahí. No hace falta que cifres absolutamente todo desde el primer día; hace falta que cifres lo que más daño causaría si acabara en las manos equivocadas.
Cómo cifrar en la práctica
Esta es la parte que suele frenar a la gente, porque suena técnico. No lo es tanto. Estas son las medidas concretas que recoge la guía, ordenadas por dónde vive el riesgo.
En el correo electrónico. Usa un servicio de correo que ofrezca cifrado. El correo asociado a tu propio dominio profesional suele estar cifrado; los correos gratuitos genéricos no siempre lo están. Cuando envíes un archivo con datos sensibles, cífralo antes de adjuntarlo y envía la clave por un canal distinto al del propio archivo: si mandas el documento por email, pasa la contraseña por teléfono o por un mensaje aparte. Nunca pongas datos personales en el asunto del correo, porque el asunto viaja sin cifrar.
En la nube. Cifra los ficheros sensibles antes de subirlos a servicios de almacenamiento. Activa la verificación en dos pasos en todas las plataformas críticas donde guardes información: es la barrera más sencilla y eficaz contra los accesos no autorizados.
En los dispositivos. Cifra el disco duro de los equipos que contengan información confidencial: portátiles, ordenadores de sobremesa, móviles y discos externos. Los sistemas operativos actuales ya incluyen herramientas de cifrado de disco integradas; en muchos casos es cuestión de activarlas. Así, si pierdes o te roban el equipo, los datos siguen protegidos.
En las copias de seguridad. Haz copias de seguridad, sí, pero cifradas. Una copia sin cifrar es una segunda puerta abierta a los mismos datos. Y ten copias en más de un sitio (un disco externo cifrado y la nube, por ejemplo), porque el cifrado protege la confidencialidad, pero no evita que un disco se estropee.
En la mensajería. Para comunicaciones de trabajo que impliquen datos personales, usa aplicaciones con cifrado de extremo a extremo. Evita enviar datos personales de clientes —incluidos archivos e imágenes— por herramientas que no ofrezcan un cifrado adecuado.
Errores frecuentes que veo en pymes
Enviar el archivo y la contraseña por el mismo canal. Cifrar un documento y mandar la clave en el mismo email no sirve de nada: quien intercepte el correo tiene las dos piezas. La clave siempre por una vía separada.
Cifrar el envío pero no el almacenamiento. De poco vale cuidar cómo mandas un archivo si luego vive sin cifrar en un portátil sin contraseña robusta o en un USB que va de un lado a otro.
Pensar que cifrar es suficiente para cumplir el RGPD. No lo es. El cifrado es una medida de seguridad, pero no cubre las bases de legitimación, el deber de informar, el registro de actividades de tratamiento ni los derechos de los interesados. Es una pieza, no el puzle entero.
Confundir cifrado con anonimización. Ya lo hemos visto: un dato cifrado sigue siendo un dato personal y sigue sujeto al RGPD. Cifrar no te saca de la normativa.
Dejarlo para «cuando haya tiempo». La mayoría de estas medidas se activan en una tarde. El coste de no hacerlas solo se ve el día de la brecha, y para entonces ya es tarde.
Los límites del cifrado
Merece la pena insistir en esto, porque genera confusión. El cifrado protege la confidencialidad de la información, pero no resuelve el cumplimiento por sí solo.
Puedes tener todos tus dispositivos cifrados y aun así incumplir el RGPD: si no informas correctamente a tus usuarios, si no tienes una base legal para tratar sus datos, si no atiendes sus derechos o si no llevas tu registro de actividades. El cifrado es la cerradura de la puerta. Pero la casa necesita más que una buena cerradura.
Por eso lo sensato es integrarlo dentro de una estrategia más amplia de protección de datos: minimizar los datos que tratas, controlar quién accede a qué y documentar lo que haces. El cifrado es una de las medidas más eficaces y accesibles, pero funciona acompañado, no solo.
¿Por dónde empezar en tu negocio?
Si has llegado hasta aquí y te has dado cuenta de que tus copias de seguridad no están cifradas, o de que mandas archivos con datos de clientes sin protección, no eres la excepción. Es lo habitual en la mayoría de pymes y autónomos hasta que alguien lo revisa.
La buena noticia es que ordenarlo es más rápido de lo que parece. Identificar tus tratamientos de mayor riesgo, activar el cifrado de disco en los equipos, cifrar las copias de seguridad y ajustar cómo envías la información sensible es un trabajo de días, no de meses.
Si quieres que revisemos qué datos maneja tu negocio y qué medidas de seguridad te faltan —cifrado incluido— para tener tu adaptación al RGPD completa y defendible ante la AEPD, en Emprender Seguro podemos ayudarte.