Una transferencia de archivos conforme al RGPD es aquella en la que los datos personales se envían solo cuando hace falta, protegidos con una seguridad adecuada como el cifrado, se conservan el tiempo imprescindible y pasan por un proveedor obligado por un contrato de encargado del tratamiento, con cualquier envío fuera del Espacio Económico Europeo (EEE) cubierto por un mecanismo legal. El RGPD no certifica herramientas: fija obligaciones para la organización que envía los datos, y el servicio adecuado hace mucho más fácil cumplirlas.
Esta guía recorre los artículos del Reglamento (UE) 2016/679 que se aplican cuando envías archivos con datos personales, como currículums, nóminas, informes médicos, fotos de personas o listados de clientes, explica qué añade la normativa española y lo convierte todo en una lista práctica. Es información general a octubre de 2026, no asesoramiento jurídico: tu delegado de protección de datos o tu asesor tienen la última palabra en tu caso.
¿Cuándo se aplica el RGPD al envío de archivos?
Siempre que los archivos contengan datos personales, es decir, cualquier información sobre una persona identificable, y tu organización esté establecida en la UE u ofrezca servicios a personas en la UE. Un contrato con nombres y direcciones, una hoja de cálculo de clientes, la copia escaneada de un DNI, una foto en la que se reconoce a alguien: todo cuenta. Enviarlos es un «tratamiento», y también lo es el almacenamiento temporal que hace el servicio de transferencia.
Los artículos del RGPD que importan al transferir archivos
| Artículo | Qué dice, en resumen | Qué significa para tus envíos |
|---|---|---|
| 5.1.c minimización de datos | Solo datos adecuados, pertinentes y necesarios | Envía solo los archivos y campos que el destinatario necesita |
| 5.1.e limitación del plazo de conservación | No más tiempo del necesario | Usa enlaces que caducan; borra los archivos al terminar |
| 5.1.f integridad y confidencialidad | Seguridad adecuada frente al acceso no autorizado o la pérdida | Cifrado, contraseñas, control de acceso |
| 5.2 responsabilidad proactiva | El responsable debe poder demostrar el cumplimiento | Documenta tus herramientas y tus reglas |
| 25 protección de datos desde el diseño y por defecto | Medidas integradas; por defecto, accesibilidad y plazo de conservación limitados | Prefiere herramientas con caducidad y acceso restringido por defecto |
| 28 encargado del tratamiento | Solo encargados con garantías suficientes, bajo contrato | Firma un contrato de encargado con tu proveedor |
| 32 seguridad del tratamiento | Cita la seudonimización y el cifrado entre las medidas apropiadas | Cifrado en tránsito, en reposo y de extremo a extremo para datos sensibles |
| 33 y 34 violaciones de seguridad | Notificar a la autoridad en 72 horas si hay riesgo; a los afectados si el riesgo es alto | Saber qué hacer si un enlace llega a quien no debe |
| 44 a 49 transferencias internacionales | Los datos que salen del EEE necesitan una base legal, como una decisión de adecuación o cláusulas contractuales tipo | Comprueba dónde guarda los archivos el proveedor |
| 83 multas | Hasta 20 millones de euros o el 4 % del volumen de negocio anual mundial en los casos más graves | Lo que está en juego es real |
Tu proveedor es encargado del tratamiento: el contrato importa
Cuando un servicio de transferencia guarda archivos por cuenta tuya, actúa como encargado del tratamiento. El artículo 28 te obliga a recurrir solo a encargados que ofrezcan «garantías suficientes» y a firmar con ellos un contrato (el contrato de encargado del tratamiento, a menudo llamado DPA por sus siglas en inglés) que establezca, entre otras cosas, que el encargado solo actúa siguiendo tus instrucciones documentadas, mantiene la confidencialidad, protege los datos, solo recurre a subencargados con tu autorización y permite auditorías. Para un uso profesional, comprueba que el proveedor ofrece estas condiciones y publica su lista de subencargados.
¿El RGPD obliga a cifrar los archivos?
No en términos absolutos: el artículo 32 pide una seguridad «adecuada al riesgo» y cita como ejemplos la seudonimización y el cifrado de datos personales. En la práctica, el cifrado es el mínimo esperado para enviar datos personales por internet, y aporta una ventaja concreta en caso de incidente. Según el artículo 34.3.a, no tienes que comunicar una violación de seguridad a los afectados si los datos se habían hecho ininteligibles para cualquier persona no autorizada, «como el cifrado».
Las directrices sobre violaciones de seguridad del Comité Europeo de Protección de Datos (CEPD) añaden matices importantes: la excepción vale para datos cifrados correctamente con una clave que no se haya visto comprometida, y perder la única copia de unos datos cifrados sigue siendo una violación de la disponibilidad. El cifrado de extremo a extremo, en el que ni siquiera el proveedor puede leer los archivos, es la forma más sólida; te lo explicamos en qué significa el cifrado de extremo a extremo.
En España: la LOPDGDD y la AEPD
En España, el RGPD se completa con la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), publicada en el BOE el 6 de diciembre de 2018. Su artículo 44 define a la Agencia Española de Protección de Datos (AEPD) como una autoridad administrativa independiente de ámbito estatal, y el artículo 47 le encarga supervisar la aplicación de la propia ley y del RGPD. La LOPDGDD también tipifica como infracción grave no notificar a la autoridad una violación de seguridad o no comunicarla a los afectados cuando corresponde (artículo 73), y como leve notificarla de forma incompleta, tardía o defectuosa (artículo 74).
En sus preguntas frecuentes, la AEPD concreta lo que esto supone en la práctica:
- Cómo notificar: por el canal de brechas de la sede electrónica de la AEPD, sin dilación indebida y, si es posible, en las 72 horas siguientes a tener constancia de la brecha.
- Cómo evaluar el riesgo: la AEPD ofrece la herramienta gratuita Asesora Brecha, que ayuda a decidir pero no sustituye la decisión del responsable.
- Qué documentar: todas las brechas, se notifiquen o no.
- El papel del cifrado: la AEPD pone como ejemplo de notificación no obligada la pérdida o el robo de un dispositivo con datos personales protegido con un cifrado lo bastante robusto para impedir descifrarlo fácilmente.
Si trabajas desde Latinoamérica, el RGPD puede aplicarte cuando ofreces servicios a personas en la UE, pero tu país tiene además su propia ley de protección de datos (por ejemplo, la Ley 25.326 en Argentina, la Ley 1581 de 2012 en Colombia o la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en México en marzo de 2025), así que revisa la que te corresponde con un asesor local.
Limitación del plazo de conservación: por qué ayudan los enlaces que caducan
Una carpeta compartida que sigue abierta durante años choca con el principio de que los datos personales no se conservan más tiempo del necesario. Los enlaces de transferencia que caducan a los pocos días, con archivos que se borran al caducar, aplican el artículo 5.1.e y el artículo 25 «por defecto», sin que nadie tenga que acordarse de limpiar. Nuestro artículo sobre enlaces con contraseña y caducidad propone plazos según la situación.
Enviar datos fuera de la UE: ¿y los proveedores de EE. UU.?
El capítulo V del RGPD (artículos 44 a 49) solo permite transferencias fuera del EEE con una base legal, como una decisión de adecuación o unas cláusulas contractuales tipo. Para Estados Unidos, la Comisión Europea adoptó el 10 de julio de 2023 la decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU., que cubre a las empresas estadounidenses que se autocertifican en él. El Tribunal General de la UE desestimó un recurso contra ella el 3 de septiembre de 2025, y a octubre de 2026 hay un recurso de casación pendiente ante el Tribunal de Justicia. El marco es válido hoy, pero su historia (dos acuerdos anteriores fueron anulados) explica por qué muchas organizaciones prefieren proveedores que guardan los datos en Europa.
Envía datos personales con menos preocupaciones
Alojamiento en Europa por defecto, con fecha de caducidad, contraseña y cifrado de extremo a extremo en el plan gratuito.
Lista: cómo elegir un servicio de transferencia compatible con el RGPD
- Una política de privacidad clara y condiciones de encargado del tratamiento para clientes profesionales, con una lista de subencargados.
- Ubicación del almacenamiento indicada, idealmente en el EEE, o un mecanismo de transferencia válido.
- Cifrado en tránsito y en reposo, y cifrado de extremo a extremo disponible para archivos sensibles.
- Fechas de caducidad con borrado automático, contraseñas y límites de descargas.
- Control de acceso del lado del remitente: verificación en dos pasos, roles de equipo.
- Una forma de borrar una transferencia al instante si ha ido a la persona equivocada.
Lista: cómo usarlo respetando el RGPD
Paso 1
Minimiza
Envía solo los documentos y datos que el destinatario necesita; tacha o elimina el resto.
Paso 2
Protege
Usa una contraseña enviada por otro canal y cifrado de extremo a extremo para las categorías especiales de datos (salud, por ejemplo) o los documentos de identidad.
Paso 3
Limita en el tiempo
Elige una caducidad corta y un límite de descargas igual al número de destinatarios.
Paso 4
Comprueba el destinatario
Verifica la dirección: los correos mal dirigidos son una fuente clásica de brechas.
Paso 5
Limpia
Borra las copias locales y los adjuntos enviados que ya no necesitas.
Paso 6
Documenta
Incluye la herramienta en tu registro de actividades de tratamiento y mantén tu regla interna breve y conocida.
Si un archivo llega a la persona equivocada
Revoca el enlace de inmediato, comprueba si los archivos se descargaron y evalúa el riesgo para las personas afectadas. Si es probable que la violación suponga un riesgo para sus derechos y libertades, el artículo 33 obliga a notificarla a la autoridad de control sin dilación indebida y, si es posible, en un plazo de 72 horas; en España, a través de la sede electrónica de la AEPD. Una propuesta de la Comisión Europea (el «Digital Omnibus», noviembre de 2025) cambiaría estas reglas, con un plazo de 96 horas entre otras cosas, pero a octubre de 2026 no se había aprobado. Nuestra lista para enviar archivos de forma segura se centra en la prevención.
Situaciones habituales
| Situación | Riesgo principal | Configuración recomendada |
|---|---|---|
| Recursos humanos envía nóminas o contratos | Destinatario equivocado, copias que duran | Contraseña, caducidad corta, una sola descarga |
| Despacho de abogados que intercambia expedientes | Confidencialidad | Cifrado de extremo a extremo y contraseña; consulta despachos de abogados |
| Fotógrafo que entrega retratos | Imágenes de personas identificables | Contraseña y caducidad |
| Centro educativo que comparte trabajos de alumnos | Datos de menores | Destinatarios restringidos, caducidad corta; consulta educación |
| Recoger documentos de identidad de clientes | Documentos sensibles en los buzones | Solicitud de archivos con contraseña; consulta recibir archivos de clientes |
Envía archivos grandes gratis
- Hasta 100 GB por transferencia
- Sin crear una cuenta
- Cifrado y alojado en Europa