RGPD y hosting de correo electrónico: qué exige de verdad

Con el RGPD, su proveedor de correo es el encargado del tratamiento y usted es el responsable. Ese único reparto, que viene de los artículos 4.7 y 4.8, determina casi todo lo demás: el proveedor le debe un contrato y medidas de seguridad, y usted le debe a la autoridad de control una explicación de por qué existen esos buzones, cuánto tiempo persisten y qué pasa cuando alguien pide una copia de sus datos.

Por eso “hosting de correo conforme al RGPD” es, tal como se anuncia normalmente, un error de categoría. Un proveedor puede ser un encargado conforme. El cumplimiento es una propiedad de su tratamiento, no de su proveedor.

¿Qué exige realmente el RGPD al hosting de correo?

Cuatro cosas, en concreto: un contrato de encargo con las cláusulas que enumera el artículo 28.3, seguridad adecuada al riesgo conforme al artículo 32, una base lícita para las transferencias del Capítulo V si algún dato sale del EEE, y una cadena de notificación de brechas que cumpla el artículo 33.

El artículo 28.3 es una lista de comprobación, y conviene leerla en lugar de darla por hecha. El contrato tiene que constar por escrito y obligar al encargado a: tratar los datos solo según sus instrucciones documentadas; imponer confidencialidad a cualquiera que maneje los datos; aplicar las medidas del artículo 32; no recurrir a ningún subencargado sin su autorización e informarle de los cambios previstos; asistirle con los derechos de los interesados; asistirle con sus obligaciones de los artículos 32 a 36; suprimir o devolver los datos al final de la relación; y poner a su disposición la información necesaria para demostrar todo lo anterior, incluido someterse a auditorías.

El artículo 32 pide medidas adecuadas al riesgo y nombra el cifrado y la seudonimización como ejemplos. El artículo 30 le obliga a usted, no a su proveedor, a llevar un registro de actividades de tratamiento, y los buzones son tratamiento.

Y luego están las partes que los responsables olvidan. La limitación del plazo de conservación, artículo 5.1.e): el correo guardado para siempre por defecto es la conservación ilícita que veo con más frecuencia, porque nadie decidió nunca conservarlo, sencillamente el sistema no borró nada. Y el derecho de acceso, artículo 15: la búsqueda en el buzón es donde de verdad se contestan la mayoría de las solicitudes de acceso, lo que convierte las capacidades de búsqueda y exportación de su proveedor en una dependencia de cumplimiento, esté eso escrito en algún sitio o no.

¿Qué significa normalmente la etiqueta “conforme al RGPD”?

En la práctica significa cuatro cosas, todas reales y ninguna suficiente: un contrato de encargado del tratamiento que se puede firmar en línea, almacenamiento en una región europea, un certificado ISO 27001 y cifrado en tránsito y en reposo.

Es un paquete de encargado razonable. Esto es lo que no cubre y lo que se queda con usted sea cual sea el proveedor que elija.

Su base jurídica para el tratamiento, y la información de privacidad que la describe. Los plazos de conservación por categoría de buzón y el mecanismo de borrado que los hace cumplir. El procedimiento que contesta las solicitudes de acceso, rectificación y supresión dentro del plazo de un mes. Su registro del artículo 30. Su evaluación de impacto de las transferencias cuando el encargado o sus subencargados están en terceros países. Las reglas de control laboral: leer el buzón de un compañero que se ha ido tiene su propia capa de derecho nacional encima del RGPD, y en Alemania o en Francia esa capa no es decorativa. Y una evaluación de impacto relativa a la protección de datos, conforme al artículo 35, cuando el tratamiento es de alto riesgo, cosa que los buzones con categorías especiales de datos suelen ser.

Nada de eso lo puede hacer un proveedor por usted. Quien insinúe lo contrario está vendiendo tranquilidad.

¿Por qué los proveedores estadounidenses siguen siendo un problema de transferencias?

Porque lo que activa el Capítulo V es el control, no la ubicación, y un proveedor controlado desde EE. UU. se trae consigo el alcance de la ley estadounidense a la UE.

La cadena es corta. Schrems II (asunto C-311/18, 16 de julio de 2020) anuló la decisión de adecuación del Privacy Shield y declaró que las cláusulas contractuales tipo siguen siendo válidas solo cuando el exportador verifica, caso por caso, que el derecho del país de destino no las socava. La CLOUD Act, en vigor desde 2018, obliga a un proveedor sujeto a la jurisdicción de EE. UU. a entregar los datos que estén en su posesión, custodia o control con independencia de dónde estén almacenados. El artículo 48 del RGPD reconoce la orden de una autoridad de un tercer país que exija transferir datos personales solo cuando se basa en un acuerdo internacional, como un tratado de asistencia judicial mutua. Una orden notificada directamente a un proveedor no lo es.

El Marco de Privacidad de Datos UE-EE. UU., adoptado en julio de 2023, vuelve a dar una vía de adecuación para los destinatarios estadounidenses certificados, y hace el papeleo bastante más fácil. También es el tercer puente de este tipo; los dos anteriores fueron anulados en 2015 y en 2020. Contar con la posibilidad de que una autoridad de control o un tribunal lo revisen es prudencia, no paranoia.

Nada de esto prohíbe usar un proveedor estadounidense. Significa que el análisis de transferencias es suyo: le toca documentarlo, mantenerlo al día y defenderlo. Y que un organismo público europeo muchas veces preferirá no hacer el ejercicio en absoluto.

¿Qué conviene verificar antes de firmar?

Nueve cosas. Yo las preguntaría en este orden y querría las respuestas por escrito.

¿Dónde está constituida la entidad que guarda los bytes almacenados, y tiene matriz o filial en EE. UU.? Esto determina el análisis de transferencias, y es la pregunta que los proveedores contestan de forma menos directa.

¿Quién puede descifrar el correo, técnicamente? Si el proveedor puede dibujar su buzón en un navegador, tiene la clave. Es un diseño legítimo, pero no es lo mismo que un cifrado que controla usted, y la documentación del artículo 32 debería decir cuál de los dos compró.

¿Existe un contrato del artículo 28.3 con la lista completa de subencargados, sus ubicaciones y un plazo de aviso para los cambios? Un contrato de encargo sin la lista es la mitad de un contrato.

¿Desde qué países puede el personal de soporte acceder al contenido de los buzones, y queda ese acceso registrado de forma que usted lo pueda ver?

¿Cuál es el compromiso de notificación de brechas, en horas, del encargado hacia usted? Su propio reloj de 72 horas del artículo 33 empieza cuando usted tiene constancia, así que un “sin dilación indebida” vago le deja cargando con la lentitud del proveedor.

¿Cómo se ejecutan la conservación y la supresión? No si existe un botón de borrar, sino si el borrado llega a las copias de seguridad y con qué calendario.

¿Cuál es el formato de exportación, y se puede leer sin el software del proveedor? El correo en un formato documentado y estándar es portable. El correo en un almacén propietario es una dependencia disfrazada de archivo.

¿Qué pasa con los datos al terminar el contrato, y cómo se acredita el borrado?

Y, si en su sector importa: qué atestaciones cubren este servicio concreto, no la empresa matriz. C5, HDS, SecNumCloud e ISO 27001 tienen todas un alcance definido, y en ese alcance es donde viven los detalles interesantes.

Soy fundador y no abogado, y nada de esto es asesoramiento jurídico. Es el reglamento y las sentencias publicadas: cítelos a ellos, no a mí.