RGPD e impresoras de oficina: qué debe hacer una pyme

El RGPD y las impresoras de oficina es un tema que muchas pequeñas empresas pasan por alto. El trabajo de protección de datos suele centrarse en el correo, las aplicaciones en la nube y los portátiles, pero cada día las impresoras y multifunciones manejan facturas, nóminas, cartas a clientes y copias de documentos de identidad. Las páginas que producen, los escaneos que envían y los discos que llevan dentro pueden contener datos personales. Esta guía explica dónde encajan las impresoras en el Reglamento General de Protección de Datos y qué medidas prácticas puede tomar una oficina pequeña.

Es información general, no asesoramiento jurídico. Si tiene un delegado de protección de datos o un asesor, revise su enfoque con ellos.

Por qué las impresoras entran en el RGPD

El RGPD cubre los datos personales tratados por medios automatizados y los datos personales en ficheros en papel. Las impresoras tocan ambos:

• Las páginas impresas son copias de registros digitales, a menudo con nombres, direcciones, datos bancarios o información de salud.
• Los escaneos crean nuevos registros digitales que viajan por correo o a carpetas compartidas.
• El almacenamiento del equipo en muchas multifunciones guarda imágenes de trabajos, libretas de direcciones y registros.
• Los sistemas de gestión de impresión guardan registros de quién imprimió qué.

El principio de integridad y confidencialidad exige aplicar “medidas técnicas u organizativas apropiadas” a los datos personales. Las guías de las autoridades de control, como la AEPD en España o el ICO en el Reino Unido, dejan claro que los registros en papel están incluidos.

Los cuatro riesgos de las impresoras

1. Páginas sin recoger o mezcladas

Las páginas olvidadas en una bandeja compartida son la fuga más frecuente. Alguien recoge un montón y se lleva la nómina de otra persona.

Medida: liberación segura de la impresión, para que los trabajos solo salgan cuando la persona está presente, más una norma de recogida inmediata.

2. Datos guardados en los equipos

Las fotocopiadoras y multifunciones pueden guardar imágenes de lo escaneado e impreso en un disco o memoria flash, además de credenciales de escaneo a correo y libretas de direcciones.

Medida: active el cifrado del almacenamiento y la sobrescritura automática cuando existan, restrinja la interfaz de administración y borre el equipo antes de devolverlo o desecharlo. Consulte borrar el disco duro de una fotocopiadora y, para equipos alquilados, fin del alquiler de una fotocopiadora.

3. Escaneos enviados al lugar equivocado

Una dirección de correo mal escrita o un acceso directo equivocado en el panel envían un documento escaneado a quien no debe.

Medida: limite el escaneo a correo a direcciones internas o a la del propio usuario, use la libreta de direcciones en lugar de escribir a mano y envíe los escaneos a carpetas controladas. Nuestras guías para configurar el escaneo a correo y el escaneo a carpeta explican los ajustes.

4. Destrucción insegura

Las páginas mal impresas y las copias antiguas acaban en el reciclaje general.

Medida: contenedores de destrucción cerrados o una destructora de corte cruzado junto a cada impresora, y una norma clara de que las páginas con datos personales se destruyen.

Lista de configuración segura del equipo

Para cada impresora en red:

• Cambie la contraseña de administración y restrinja quién puede llegar a la página de administración.
• Mantenga el firmware al día.
• Desactive los protocolos y servicios que no use.
• Cifre los datos guardados y active la sobrescritura si el equipo la admite.
• Limite el tiempo que se conservan los trabajos guardados.
• Registre los accesos si su sistema de gestión de impresión lo permite.

La guía de seguridad de impresoras en red recoge la lista completa, y la guía de dispositivos del NCSC explica los principios.

Proveedores e impresión gestionada

Si un distribuidor o un proveedor de impresión gestionada puede acceder a sus equipos a distancia, leer trabajos guardados o recopilar registros que identifican a usuarios, es posible que trate datos personales por cuenta de usted, como encargado del tratamiento. Compruebe que su contrato incluye las cláusulas de protección de datos, a qué pueden acceder y cómo tratan los equipos cuando se retiran. Nuestra guía de servicios de impresión gestionada incluye preguntas para hacerles.

Brechas relacionadas con impresoras

Un informe de nóminas impreso olvidado en un tren, o el escaneo del DNI de un cliente enviado a otra persona, es una brecha de datos personales. Con el RGPD debe evaluar el riesgo; cuando sea probable que suponga un riesgo para las personas, debe notificarla a la autoridad de control en un plazo de 72 horas desde que tenga constancia. En España, la autoridad es la AEPD, que explica el procedimiento en su sede electrónica.

Prepárese con antelación:

• diga al personal a quién avisar en cuanto algo sale mal;
• lleve un registro sencillo de brechas, incluidas las que decide no notificar;
• anote los ajustes de impresora que cambió después.

Derecho de acceso y registros de impresión

Los registros de gestión de impresión que guardan nombres de usuario y títulos de documentos pueden ser a su vez datos personales. Consérvelos solo el tiempo necesario e inclúyalos en su calendario de conservación.

Minimización de datos en la impresora

Los principios de protección de datos incluyen no usar más datos personales de los necesarios. En la impresora, eso significa:

• imprimir solo las páginas necesarias, no informes completos con los datos de todos los clientes;
• ocultar números de cuenta y fechas de nacimiento en listados impresos cuando no haga falta el valor completo;
• evitar imprimir documentos de identidad y sus escaneos salvo que deba conservar una copia;
• fijar plazos cortos de conservación para los trabajos guardados en el equipo y en los sistemas de gestión.

Revisión de una página

Repase estas preguntas una vez al año o cuando incorpore un equipo:

1. ¿Qué impresoras manejan datos personales y cuáles manejan categorías especiales, como datos de salud?
2. ¿Está activada la liberación segura en esas impresoras?
3. ¿El almacenamiento del equipo está cifrado y configurado para sobrescribir, y se cambió la contraseña de administración?
4. ¿Los escaneos solo pueden ir a destinos aprobados?
5. ¿Hay una destructora o un contenedor cerrado junto a cada impresora?
6. ¿Los contratos con proveedores cubren la protección de datos y la retirada de equipos?
7. ¿Sabe el personal cómo comunicar una copia perdida o un escaneo mal enviado?

Anote las respuestas con la fecha. Si alguna vez debe demostrar que sus medidas son apropiadas, este registro ayuda.

Inclúyalo en su política

Añada un apartado de protección de datos a su política de impresión: liberación segura para datos personales, nada de imprimir datos restringidos en casa (vea la política de impresión en teletrabajo), normas de destrucción y comunicación de brechas.

Resumen

Con el RGPD, las impresoras de oficina forman parte de cómo protege los datos personales. Use la liberación segura, configure y borre los equipos, controle adónde van los escaneos, destruya el papel como es debido, incluya a los proveedores en sus contratos de protección de datos y esté preparado para gestionar una brecha relacionada con la impresión.