Fax y protección de datos

Enviar datos personales por fax sin salirte del RGPD.

Ningún artículo del RGPD (Reglamento (UE) 2016/679) menciona el fax. El texto se aplica a tratamientos, y enviar un documento que se refiere a una persona identificable es un tratamiento (artículo 4, apartado 2). Necesitas, por tanto, una base jurídica (artículo 6), un contenido limitado a lo necesario (artículo 5), medidas de seguridad ajustadas al riesgo (artículo 32) y un procedimiento listo para un fax enviado al destinatario equivocado (artículos 33 y 34). Como el último tramo de un fax no se puede cifrar, la protección descansa sobre todo en la organización: comprobar, preparar, ser discreto.

El marco en cuatro principios

El RGPD razona por tratamientos y riesgos, nunca por tecnologías. Estas cuatro referencias valen para el fax igual que para cualquier otro medio de envío.

  • Enviar es tratar

    El artículo 4, apartado 2, incluye expresamente la «comunicación por transmisión» entre las operaciones de tratamiento. Mandar por fax una ficha de cliente, una nómina o una receta entra, por tanto, de lleno en el ámbito del Reglamento.

  • Cada fax necesita una base jurídica

    El artículo 6 prevé seis: consentimiento, ejecución de un contrato, obligación legal, intereses vitales, interés público, interés legítimo. Una empresa que remite un certificado a la Seguridad Social cumple, en la mayoría de los casos, una obligación legal.

  • Solo viaja lo necesario

    El principio de minimización, recogido en la letra c) del apartado 1 del artículo 5, exige que los datos transmitidos sean adecuados, pertinentes y limitados a la finalidad. Antes de generar el PDF, quita las páginas y los datos que el destinatario no necesita.

  • Fuera del Espacio Económico Europeo se suman otras reglas

    Un fax con destino a un tercer país constituye una transferencia regulada por el capítulo V (artículos 44 a 49). Para Canadá, la Comisión Europea ha reconocido un nivel de protección adecuado a las organizaciones sujetas a la ley federal PIPEDA (Decisión 2002/2/CE); para otros destinatarios canadienses, como algunas administraciones provinciales, comprueba qué garantías se aplican.

Seguridad: lo que el artículo 32 pide a un fax

El artículo 32 obliga a responsables y encargados del tratamiento a aplicar medidas técnicas y organizativas que garanticen un nivel de seguridad adecuado al riesgo, teniendo en cuenta el estado de la técnica, los costes y la naturaleza de los datos. El cifrado figura ahí como una medida posible, junto a la seudonimización y las pruebas periódicas, que se adopta según las necesidades.

En un fax, el cifrado solo cubre parte del recorrido. Con FaxTelecom, la subida del PDF se hace en HTTPS y el archivo se borra tras el envío; la línea telefónica hasta el aparato sigue en claro, como en cualquier servicio de fax. Las medidas organizativas toman el relevo: lista de números verificados, doble control en los envíos sensibles, llamada previa al destinatario, páginas anonimizadas cuando sea posible.

Deja constancia escrita de estas decisiones. El artículo 5, apartado 2, consagra el principio de responsabilidad proactiva: tienes que poder demostrar que cumples. Una nota breve que explique por qué se usa el fax en un flujo concreto y qué precauciones lo acompañan es precisamente esa demostración. Si tu evaluación concluye que el riesgo sigue siendo demasiado alto sin cifrado de extremo a extremo, elige otro canal.

Fax enviado al destinatario equivocado: cómo actuar

Una página con datos personales que acaba en manos de un tercero es una violación de la seguridad de los datos según el artículo 4, apartado 12, aunque el error sea involuntario y el tercero actúe de buena fe. Estos son los pasos, por este orden.

  1. Contener el incidente

    Ponte en contacto con quien recibió el fax por error, pide que destruya las páginas y, si es posible, que lo confirme por escrito. Estas gestiones reducen el riesgo y deben figurar en tu documentación.

  2. Anotar la violación en el registro interno

    El artículo 33, apartado 5, exige documentar cada violación: hechos, efectos y medidas correctoras adoptadas. La obligación se aplica aunque no proceda notificar.

  3. Avisar a la AEPD en 72 horas, si procede

    Salvo que no presente previsiblemente ningún riesgo para las personas afectadas, la violación se comunica a la autoridad de control (la AEPD en España) cuanto antes y, si es factible, no más tarde de 72 horas desde que la descubriste (artículo 33, apartado 1). Pasado ese plazo, la notificación debe justificar el retraso.

  4. Informar a los interesados si el riesgo es alto

    Si el riesgo es alto (datos de salud, datos bancarios, información que permita suplantar una identidad), las personas afectadas reciben la información sin dilación indebida y en lenguaje claro (artículo 34). Un encargado del tratamiento, por su parte, debe alertar al responsable sin dilación indebida (artículo 33, apartado 2).

Medidas que implantar en tu organización

Un listado de números verificados
Los contactos habituales (mutua, laboratorio, juzgado, aseguradora) figuran en una lista comprobada y fechada. Se marca desde esa lista, nunca de memoria.
Doble control en los envíos sensibles
En un expediente médico o financiero, un compañero repasa el número y el contenido antes del envío. Dos minutos que evitan la mayoría de los errores.
Una plantilla de portada
Destinatario identificado, número de páginas, datos del remitente e instrucciones en caso de recepción por error. Colocada al principio de cada transmisión, orienta enseguida a quien encuentra el fax.
Aparatos de fax bajo control
En recepción, instala el aparato en un cuarto cerrado o activa la recepción en memoria protegida por código si el modelo lo permite. Borra el disco o la memoria antes de devolver un equipo de alquiler.
Una ficha en el registro de tratamientos
Si el fax forma parte de tus flujos habituales, descríbelo en el registro previsto en el artículo 30: finalidad, categorías de datos y de destinatarios, posibles transferencias, plazos de conservación, medidas de seguridad.

Tus preguntas

¿Está permitido transmitir datos de salud por fax?
Sí, el RGPD no lo prohíbe. Estos datos pertenecen a las categorías especiales del artículo 9: su tratamiento requiere una de las excepciones que prevé ese artículo, por ejemplo la asistencia sanitaria, y un nivel de cautela mayor. A ello se suman normas nacionales como el secreto profesional y los códigos deontológicos. Tu DPD o tu colegio profesional pueden decirte qué se aplica a tu actividad.
¿Necesito un acuerdo con un proveedor de fax?
Cuando un proveedor actúa por tu cuenta sobre datos personales, el artículo 28 exige un contrato que fije sus obligaciones: instrucciones, confidencialidad, seguridad, devolución o supresión de los datos al terminar el servicio. Si piensas usar FaxTelecom con regularidad para una organización, escribe a contact@faxtelecom.com para estudiar este marco.
¿Cuánto tiempo se conservan mis documentos?
En FaxTelecom, el PDF subido solo sirve para el envío y se borra automáticamente después; el pago con tarjeta, cuando lo hay, lo gestiona Stripe. Por tu parte, fija un plazo de conservación para las copias y justificantes que guardes (art. 5.1.e: los datos no se guardan más tiempo del necesario). En casa del destinatario, la conservación depende de su propia política.
¿Puede una persona mencionada en un fax ejercer sus derechos?
Sí. Acceso, rectificación, supresión, oposición: los derechos de los artículos 15 a 22 se ejercen ante el responsable del tratamiento, es decir, la organización que decidió enviar el documento. Debe responder en el plazo de un mes, prorrogable otros dos meses en solicitudes complejas o numerosas (artículo 12, apartado 3).

Seguridad y datos

En esta sección

Para seguir leyendo

Páginas seleccionadas para preparar, enviar o acreditar tu fax.

Sobre el mismo tema