RGPD
¿Exige el RGPD cifrar el correo electrónico?
El RGPD no establece que todos los correos electrónicos deban cifrarse. Exige aplicar «medidas técnicas y organizativas apropiadas» para proteger los datos personales y cita el cifrado como una de ellas. Cuando los correos contienen datos personales sensibles o en grandes volúmenes, el cifrado suele ser la forma más clara de demostrar que la seguridad era apropiada, y puede que no sea necesario comunicar a las personas afectadas la pérdida o la interceptación de datos cifrados.
Este artículo explica las disposiciones pertinentes, cómo evaluar su propio tráfico de correo y en qué se queda corto TLS. Se trata de información general, no de asesoramiento jurídico.
Qué dice realmente el RGPD
El Reglamento general de protección de datos (RGPD) no menciona expresamente el correo electrónico. Cuatro disposiciones determinan cómo se aplica al correo:
- El artículo 5, apartado 1, letra f) exige que los datos personales se traten con una seguridad adecuada, incluida la protección contra el tratamiento no autorizado y contra su pérdida accidental.
- El artículo 32 exige a los responsables y encargados del tratamiento aplicar medidas apropiadas al riesgo, teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el contexto y los fines del tratamiento. Cita como ejemplo «la seudonimización y el cifrado de datos personales».
- El artículo 33 exige notificar a la autoridad de control una violación de la seguridad de los datos personales.
- El artículo 34 exige informar a las personas afectadas cuando sea probable que la violación entrañe un alto riesgo para ellas.
El texto completo está publicado en EUR-Lex, la base de datos oficial del Derecho de la UE (enlace externo).
Una obligación basada en el riesgo, no una norma general
El artículo 32 plantea qué es apropiado para el riesgo, y el riesgo en el correo electrónico varía mucho:
| Contenido del mensaje | Riesgo habitual | Protección razonable |
|---|---|---|
| Logística de reuniones y correspondencia comercial general | Bajo | TLS en tránsito |
| Datos de contacto de clientes, historial de pedidos, correspondencia rutinaria de recursos humanos | Medio | TLS obligatorio, con cifrado para el intercambio masivo o externo |
| Datos sanitarios, financieros, de identidad o jurídicos, y categorías especiales de datos según el artículo 9 | Alto | Cifrado a nivel de mensaje aplicado mediante políticas |
Desplácese lateralmente para ver la tabla completa.
Las categorías especiales de datos personales, como la información sobre la salud, merecen especial cuidado, porque su exposición puede afectar gravemente a las personas interesadas. El volumen también importa: una sola hoja de cálculo con registros de clientes enviada a la dirección equivocada puede exponer a miles de personas a la vez.
Documente la evaluación. El artículo 5, apartado 2, atribuye a los responsables del tratamiento la obligación de demostrar el cumplimiento, por lo que poder mostrar por qué se eligió una medida importa tanto como la propia medida.
Cómo cambia el cifrado la notificación de brechas de seguridad
Un correo electrónico con datos personales que llega a la persona equivocada constituye una violación de la seguridad de los datos personales, o brecha de datos personales, al igual que un buzón comprometido. El artículo 33 exige al responsable del tratamiento notificarla a la autoridad de control sin dilación indebida y, de ser posible, a más tardar 72 horas después de haber tenido constancia de ella, a menos que sea improbable que constituya un riesgo para los derechos y las libertades de las personas. El artículo 34 exige informar a las personas afectadas cuando el riesgo es alto, pero el artículo 34, apartado 3, letra a), suprime esa obligación si los datos se hicieron ininteligibles para cualquier persona que no esté autorizada a acceder a ellos, «como el cifrado».
En la práctica, un mensaje cifrado con PGP o S/MIME que se envía a un destinatario equivocado o queda expuesto revela texto cifrado en lugar de datos personales legibles, siempre que las claves privadas no se hayan visto comprometidas también. Aun así, la brecha debe registrarse internamente, como exige el artículo 33, apartado 5, junto con el razonamiento en que se basa la evaluación del riesgo.
¿Basta con TLS?
TLS es una base razonable y, para el correo de bajo riesgo, puede ser todo lo que resulte apropiado. Sus limitaciones importan en el caso de datos de mayor riesgo:
- Protege cada conexión, no el mensaje, por lo que el contenido es legible en todos los servidores y buzones a los que llega.
- Es oportunista salvo que se imponga, por lo que el correo puede acabar entregándose sin cifrar.
- No sirve de nada si un mensaje se envía a la dirección equivocada.
El cifrado a nivel de mensaje con PGP o S/MIME mantiene protegido el contenido en tránsito y en reposo, de modo que solo pueden leerlo los titulares de las claves previstos. Nuestra comparación de PGP frente a S/MIME para el correo electrónico empresarial explica en qué se diferencian ambos estándares.
Situaciones habituales con el correo electrónico
Envío de nóminas o archivos de recursos humanos a un proveedor externo
Los datos salariales, bancarios y de identidad de muchos empleados son de alto riesgo por su volumen y su contenido. Cifre estos envíos mediante políticas y asegúrese de que el contrato con el proveedor cubra la seguridad en su calidad de encargado del tratamiento.
Responder a un cliente que le ha enviado sus propios datos por correo
Que un cliente decida enviarle sus datos por correo electrónico no marca el estándar de la respuesta que usted le envíe. Si la respuesta contiene información sensible, como datos de su cuenta o de salud, utilice cifrado o un portal seguro en lugar de una respuesta sin protección.
Compartir expedientes con abogados, auditores o aseguradoras
Los asesores profesionales suelen admitir PGP o S/MIME. Cuando no es así, un portal seguro o un documento cifrado mantiene protegidos los archivos sin pedirles que instalen nada.
Responsables, encargados del tratamiento y proveedores de correo electrónico
El artículo 32 se aplica por igual a responsables y encargados del tratamiento. Cuando un proveedor de correo electrónico o de cifrado trata datos personales por cuenta de usted, el artículo 28 exige un contrato que lo obligue a aplicar una seguridad apropiada, y las transferencias fuera del Espacio Económico Europeo deben cumplir las condiciones del capítulo V.
Pregunte a cada proveedor dónde se procesan los mensajes y dónde se guardan las claves. Nuestra página sobre cumplimiento normativo del correo electrónico y soberanía de datos trata el procesamiento regional y las normativas que CloudPGP ayuda a las organizaciones a cumplir.
Lista de comprobación práctica del RGPD para cifrar el correo
- Identifique los datos personales en el correo. Determine qué equipos envían qué categorías de datos personales y a quién.
- Evalúe el riesgo de cada flujo. Clasifique cada flujo según su sensibilidad, su volumen y el tipo de destinatario.
- Defina la política. Imponga TLS como base y exija cifrado a nivel de mensaje para los flujos de alto riesgo.
- Automatice. Aplique el cifrado mediante reglas, para que la protección no dependa del criterio de cada persona.
- Prevea los destinatarios sin claves. Ofrezca un portal seguro o un documento cifrado en lugar de correo sin protección.
- Lleve un registro. Conserve registros de auditoría de la actividad de cifrado para demostrar la responsabilidad proactiva.
Preguntas frecuentes
¿Enviar datos personales por correo sin cifrar es una infracción del RGPD?
No automáticamente. La cuestión es si la seguridad era apropiada para el riesgo. Enviar información de bajo riesgo mediante TLS puede ser apropiado; enviar registros sanitarios o financieros sin una protección más sólida es mucho más difícil de justificar.
¿Hay que notificar una brecha si el correo estaba cifrado?
Aun así, debe evaluarla y registrarla. Si el contenido estaba cifrado y la clave no se vio comprometida, puede ser improbable que la brecha constituya un riesgo, lo que influye en si debe notificarse a la autoridad de control, y, en virtud del artículo 34, apartado 3, letra a), por lo general no es necesario informar a las personas afectadas.
¿Se aplica el RGPD a organizaciones de fuera de la UE?
A menudo, sí. En virtud del artículo 3, apartado 2, se aplica a las organizaciones que ofrecen bienes o servicios a personas que se encuentran en la UE o que controlan su comportamiento en ella, con independencia de dónde esté establecida la organización.
¿Qué estándar de cifrado exige el RGPD?
Ninguno. El RGPD es tecnológicamente neutro. PGP, S/MIME y otros métodos actuales y bien implementados pueden ser apropiados; lo importante es que la medida se ajuste al riesgo y al estado de la técnica.
¿Un correo cifrado sigue siendo un dato personal?
Sí, para cualquiera que pueda descifrarlo. El cifrado reduce el riesgo, pero no saca los datos del ámbito del RGPD; las organizaciones que tienen las claves deben seguir tratándolos de forma lícita.
¿También hay que cifrar el correo interno?
El correo interno a menudo no sale de una misma plataforma, donde el TLS obligatorio y los controles de acceso pueden ser apropiados. Aun así, los registros sensibles de recursos humanos, de salud o disciplinarios pueden justificar el cifrado, sobre todo cuando muchos administradores o sistemas conectados pueden acceder a los buzones.
