Normativa y datos
Cifrado
El cifrado es la técnica que convierte unos datos en un texto ilegible para quien no tiene la clave. El RGPD lo nombra entre las medidas de seguridad de su art. 32 y le da un efecto práctico: si se pierden datos cifrados y la clave está a salvo, puede no hacer falta avisar a cada afectado.
También se le llamaencriptación · cifrado de datos · encryption
Lo que cuenta para el RGPD
El RGPD no obliga a cifrarlo todo: pide una seguridad adecuada al riesgo y pone el cifrado como ejemplo, junto a la seudonimización (art. 32.1.a y considerando 83). En una residencia el riesgo lo marcan los datos: no pesa igual el horario del gimnasio que una alergia, que es un dato de salud, o el relato de una denuncia. Se habla de tres capas:
- En tránsito: lo que viaja entre el móvil, el servidor y el panel, para que nadie lo lea por el camino.
- En reposo: lo que queda guardado en la base de datos, en un portátil o en una copia de seguridad.
- Por campo: sólo las columnas más delicadas, con una clave aparte, de modo que ni quien administra la base de datos lee su contenido sin ella.
Donde más se nota es cuando algo sale mal. El art. 34.3.a exime de comunicar una brecha de seguridad a los afectados si los datos eran ininteligibles para quien accedió a ellos, «como el cifrado». La guía de la AEPD sobre brechas lo concreta: el riesgo queda mitigado si el algoritmo es seguro y la clave no está comprometida.
Ojo con esto
Cifrar no sirve de nada si la clave está al lado. Si viaja con los datos o la conoce todo el equipo, no protege. La misma guía avisa de que guardar contraseñas con un resumen hecho con algoritmos ya superados, como MD5 o SHA-1, no mitiga el riesgo. Y el cifrado sólo exime de avisar a los afectados (art. 34): el art. 33, el de la notificación a la autoridad de control, no lo nombra, y allí cuenta para valorar si la brecha supone un riesgo.
Fuentes
Términos relacionados
- Brecha de seguridad de datos personalesUna brecha de datos personales es toda violación de la seguridad que ocasiona la destrucción, pérdida o alteración accidental o ilícita de datos personales, o su comunicación o acceso no autorizados (art. 4.12 del RGPD). Perder un móvil del equipo con datos de residentes o mandar un listado por error son brechas.
- SeudonimizaciónLa seudonimización es tratar datos personales de forma que ya no puedan atribuirse a una persona sin una información adicional que se guarda aparte y protegida (art. 4.5 del RGPD). Los datos seudonimizados siguen siendo datos personales; los anónimos, no.