RGPD y alojamiento de datos: lo que realmente dice la ley sobre el cifrado

El Reglamento General de Protección de Datos (RGPD) menciona el cifrado explícitamente una sola vez, en el artículo 32, entre las «medidas técnicas y organizativas apropiadas». No impone, por tanto, un algoritmo concreto — pero sí impone un resultado: la seguridad de los datos debe ser proporcional al riesgo.

Qué dice el artículo 32 del RGPD

El artículo 32 cita explícitamente «la seudonimización y el cifrado de datos personales» como ejemplo de medida técnica esperada. En la práctica, para cualquier dato sensible (salud, finanzas, identidad), las autoridades de control consideran el cifrado un estándar implícito, y su ausencia como un incumplimiento en caso de inspección o denuncia.

Por qué el cifrado de conocimiento cero cambia el alcance de una fuga

El artículo 34 del RGPD obliga a notificar a los afectados cuando una fuga de datos «pueda entrañar un alto riesgo» para sus derechos y libertades. Sin embargo, esta obligación de notificación individual no se aplica si los datos exfiltrados estaban cifrados y, por tanto, eran ininteligibles para el atacante (artículo 34.3.a).

Esa es la diferencia concreta entre un proveedor que cifra "en reposo" (y posee la clave) y un proveedor de conocimiento cero como May·Secret: si nuestros servidores se vieran comprometidos, el atacante solo obtendría archivos cifrados con claves que no puede conseguir, ya que nosotros tampoco las poseemos. El riesgo real para los afectados se reduce así de forma estructural, lo que cambia la evaluación de impacto y las obligaciones de notificación.

Alojamiento en Francia y transferencias fuera de la UE

Más allá del cifrado, el RGPD regula estrictamente las transferencias de datos fuera de la Unión Europea (capítulo V). Alojar tus datos con un proveedor establecido en Francia, sobre infraestructura situada en Francia, simplifica considerablemente el cumplimiento: sin cláusulas contractuales tipo que negociar, sin depender del Marco de Privacidad de Datos UE-EE.UU. y su recurrente incertidumbre jurídica.

May·Secret aloja toda su infraestructura en Francia, y aplica cifrado de extremo a extremo a todos los archivos, sea cual sea el plan contratado — incluido el plan gratuito.