Respuesta corta: en 2026, el fax ni está prohibido por el RGPD ni es conforme por naturaleza. El reglamento europeo no habla de telefax: habla de tratamientos de datos personales y exige «medidas técnicas y organizativas apropiadas» (artículo 32). Un fax se convierte en un problema de RGPD en tres puntos precisos: en el envío (un dígito de más en el número y el documento acaba en manos de un desconocido), durante el tránsito (la vía analógica y buena parte de los enlaces VoIP no están cifrados) y a la llegada (una bandeja de recepción colocada en un pasillo es una divulgación a cualquiera que pase por allí). Los tres se corrigen, y ninguno obliga a abandonar el fax: un número de recepción nominativo, una entrega por correo electrónico a un buzón controlado, una verificación sistemática de los números y un registro actualizado bastan para que un telefax sea un tratamiento defendible ante la autoridad de control.
El tema se ha vuelto delicado porque el fax sobrevive precisamente allí donde circulan los datos más sensibles: consultas médicas, laboratorios, farmacias, notarías, aseguradoras, departamentos de RR. HH. y administraciones públicas. Es decir, «datos de salud» y «categorías especiales de datos» en el sentido del artículo 9 del RGPD, aquellos cuya divulgación sale más cara, tanto en sanciones como en reputación. Las autoridades de protección de datos han publicado varios recordatorios sobre los envíos erróneos de documentos médicos, y el fax aparece en ellos con regularidad junto al correo electrónico mal dirigido.
Lo que el RGPD exige realmente de un envío de fax
Ningún artículo del reglamento menciona el telefax. Lo que se aplica son los principios generales, y tres de ellos afectan especialmente al fax.
La minimización (artículo 5.1.c). Solo debes transmitir los datos necesarios para la finalidad. En la práctica, eso significa no faxear un expediente completo cuando basta con una sola página, y ocultar lo que no concierne al destinatario. Un informe dirigido a un colega no necesita incluir el número de la seguridad social completo si el nombre y la fecha de nacimiento bastan para identificar al paciente.
La seguridad del tratamiento (artículo 32). El texto exige medidas «apropiadas al riesgo» y cita explícitamente el cifrado y la seudonimización entre las opciones, sin hacerlos obligatorios. Ahí es donde se juega todo el debate: un fax analógico no está cifrado, pero circula por un circuito dedicado difícil de interceptar sin acceso físico a la línea. Un fax transmitido a través de un servicio en línea serio viaja en TLS hasta el proveedor y después en T.38 por una red de operador. Ni uno ni otro son cifrado de extremo a extremo, y precisamente por eso importa el canal alternativo: con datos ultrasensibles, una mensajería sanitaria segura sigue siendo preferible, como explicábamos en nuestra comparativa fax o mensajería segura.
La notificación de violaciones de seguridad (artículos 33 y 34). Un fax enviado al número equivocado es una violación de datos en el sentido del reglamento siempre que contenga datos personales. El reflejo de «llamamos al destinatario y aquí no ha pasado nada» es exactamente lo que las autoridades sancionan cuando lo descubren en una inspección.
Los cinco puntos de fuga de un envío de telefax
1. El número mal marcado
Es, con diferencia, la primera causa de incidentes. Un 3 en lugar de un 8, un prefijo internacional olvidado, una ficha de contacto que nadie ha actualizado desde que la consulta se mudó. A diferencia del correo electrónico, el fax no rebota: un número asignado a otra persona acepta la llamada, imprime el documento y tú recibes un acuse de «transmisión correcta» perfectamente tranquilizador.
Las defensas se resumen en tres hábitos:
- Una agenda de contactos centralizada en lugar de pósits y memorias del aparato de fax. Los números se validan una vez, por una persona identificada, y se corrigen para todo el mundo.
- La doble introducción para destinatarios ocasionales: se teclea el número, se relee en voz alta dígito a dígito y se envía.
- Un envío de prueba con una portada en blanco antes de una transmisión voluminosa a un corresponsal nuevo. El informe de transmisión confirma el identificador del equipo remoto (el CSID), a menudo el nombre de la consulta o de la empresa: una comprobación gratuita que evita la mayoría de los errores.
2. La portada demasiado locuaz
Una portada que muestra a la vista «Resultados de analítica VIH — Sra. Dupont, nacida el 14/03/1978» divulga el dato sensible incluso antes de que nadie haya abierto el expediente. Debe identificar al remitente, al destinatario por su nombre, el número de páginas y llevar una cláusula de confidencialidad, no resumir el contenido. Detallamos las menciones útiles en nuestra plantilla de portada.
3. La bandeja de recepción de libre acceso
El punto ciego clásico. La empresa cifra sus copias de seguridad, bloquea las sesiones… y deja que un aparato de fax imprima sin parar en una zona abierta, a veces accesible a visitantes y al personal de limpieza. Sobre papel térmico, los documentos se acumulan durante el fin de semana y nadie sabe cuántas páginas han desaparecido.
Existen dos respuestas. La primera consiste en pasar a la recepción por correo electrónico: ya no se imprime nada, los documentos llegan a un buzón nominativo o a un buzón de servicio con acceso trazado; es el principio del fax-to-email. La segunda, cuando la impresión sigue siendo necesaria, obliga a trasladar el aparato a un local cerrado y a añadir una destructora de documentos de corte cruzado para las páginas erróneas u obsoletas, que nadie debe tirar tal cual a la papelera.
4. El proveedor y su alojamiento
En cuanto recurres a un servicio de fax en línea, ese servicio se convierte en encargado del tratamiento en el sentido del artículo 28 del RGPD. Hay tres comprobaciones imprescindibles antes de firmar:
| Punto a verificar | Lo que hay que obtener |
|---|---|
| Contrato de encargo del tratamiento | Un artículo 28 por escrito (DPA), con finalidades, duración y medidas de seguridad |
| Ubicación de los datos | Alojamiento en la UE, o garantías adecuadas documentadas para cualquier transferencia fuera de la UE |
| Plazo de conservación | Cuánto tiempo permanece el PDF en los servidores y cómo purgarlo |
| Datos de salud | Certificación HDS (alojador de datos de salud) si tratas historiales de pacientes |
| Registro de actividad | Logs de envío/recepción explotables en caso de inspección o litigio |
La certificación HDS no es un detalle de marketing: para una consulta médica, un laboratorio o un servicio asistencial, el alojamiento de datos de salud por un tercero está regulado por la normativa sanitaria. Un proveedor que no sepa responder a esa pregunta merece que busques en otra parte.
5. El aparato de fax al final de su vida útil
Los equipos multifunción profesionales llevan un disco duro o una memoria flash que conserva las imágenes de los documentos enviados y recibidos, a veces varios miles de páginas. Revender o tirar el aparato sin un borrado seguro equivale a exportar una base de datos. Antes de retirarlo del parque hay que ejecutar la función de borrado del fabricante (a menudo llamada «data overwrite» o «inicialización del disco») y, en las máquinas con disco extraíble, retirarlo físicamente. Dedicamos un artículo entero a esta etapa en fin de vida del aparato de fax.
Un fax enviado al número equivocado: el procedimiento en 72 horas
La cuenta atrás del artículo 33 empieza en el momento en que tienes conocimiento de la violación, no cuando se produjo. Estos son los pasos, por orden.
Hora 0 — Calificar. Anota el número marcado, el número correcto, la marca temporal del informe de transmisión, la naturaleza de los datos (identidad, datos de contacto, salud, datos bancarios) y el número de personas afectadas. Conserva el informe: es tu prueba.
Hora 1 — Contener. Llama por voz al número erróneo. En la mayoría de los casos alguien responde; pide la destrucción del documento y anota el nombre de la persona, la fecha y la hora. No es una garantía jurídica, pero es una medida de mitigación que cuenta en la evaluación del riesgo.
Hora 2 — Documentar. Toda violación, incluso las no notificadas, debe figurar en el registro de violaciones de seguridad exigido por el artículo 33.5. Basta con una simple tabla fechada, siempre que incluya los hechos, los efectos y las medidas adoptadas.
En menos de 72 horas — Notificar si procede. Si la violación puede entrañar un riesgo para los derechos y libertades de las personas, se notifica a la autoridad de control a través de su sede electrónica. Con datos de salud o bancarios, la respuesta es casi siempre que sí. Si el riesgo es alto, el artículo 34 obliga además a informar a las personas afectadas, de forma individual y en términos claros.
Después — Corregir la causa. Una violación que no va seguida de una medida correctora es una circunstancia agravante. Corregir la ficha de contacto, activar la doble introducción, formar al equipo: tres líneas en el registro que lo cambian todo durante una inspección.
Organizar el cumplimiento sin recargar el día a día
Incluir el fax en el registro de actividades de tratamiento
El registro del artículo 30 debe describir los tratamientos, no las herramientas, pero si el telefax es tu canal principal para transmitir informes o expedientes, tiene que aparecer en los apartados de «destinatarios» y «medidas de seguridad» del tratamiento correspondiente. Una línea: «transmisión por telefax a través del proveedor X, alojamiento en la UE, conservación 30 días». Esa es la línea que buscará un inspector.
Escribir un procedimiento de una página
El cumplimiento del RGPD en materia de fax no se juega en un documento de cuarenta páginas, sino en un memorando colgado junto al aparato: quién está autorizado a enviar, cómo se verifica un número, qué se pone en la portada, qué se hace ante un error, dónde se archivan los informes. Un archivador de palanca para los informes en papel y una carpeta fechada en el servidor para los PDF hacen el resto. Los plazos de conservación, por su parte, dependen de la naturaleza del documento y no del canal, un tema que abordamos en nuestra guía de archivo.
Formar, brevemente pero de verdad
Los incidentes de fax casi nunca vienen de un ataque: vienen de un gesto rutinario hecho demasiado deprisa. Veinte minutos de concienciación al año, con dos o tres casos concretos, reducen los errores más que cualquier equipamiento. Para las estructuras sin delegado de protección de datos, una guía práctica del RGPD para pymes en edición reciente ofrece el marco suficiente para llevar un registro correcto.
Proteger el puesto de consulta
Si los faxes llegan ahora por correo electrónico, el riesgo se desplaza a la pantalla. En una secretaría médica o en un mostrador abierto al público, un filtro de privacidad para pantalla impide la lectura lateral, y el bloqueo automático de sesión a los tres minutos hace el resto. En un equipo portátil, una memoria USB con cifrado por hardware evita que un expediente exportado para una reunión acabe sin proteger en un bolsillo.
Preguntas frecuentes
¿Es el fax más seguro que el correo electrónico para enviar datos de salud?
Ni más ni menos: es distinto. El correo electrónico ordinario atraviesa varios servidores y deja copias por todas partes; el fax sigue un circuito más directo pero no está cifrado de extremo a extremo. Para los datos de salud entre profesionales, una mensajería sanitaria segura sigue siendo la referencia. El fax conserva su utilidad frente a los corresponsales que no están conectados a ella, sobre todo en el extranjero.
¿Hace falta el consentimiento del paciente para enviar su historial por fax?
El consentimiento es solo una base jurídica entre seis. Entre profesionales sanitarios que participan en la asistencia, la transmisión suele apoyarse en otra base y en el secreto compartido. Lo que sigue siendo obligatorio: informar a la persona de los destinatarios de sus datos y transmitir únicamente lo necesario.
¿Un acuse de transmisión prueba la correcta recepción?
Prueba que un aparato remoto respondió y aceptó las páginas, con una marca temporal y a menudo un identificador CSID. No prueba que el destinatario correcto las haya leído. Por eso debe archivarse junto con el documento transmitido, y no por separado.
¿Cuánto tiempo conserva mis documentos un proveedor de fax en línea?
Depende del contrato, y es precisamente una pregunta que hay que hacer antes de contratar. Un plazo corto, configurable, con supresión efectiva al vencimiento, es la buena señal. Exige que ese punto figure en el DPA.
¿Un fax enviado al extranjero cambia algo respecto al RGPD?
La transferencia de datos fuera de la Unión Europea está regulada por el capítulo V del reglamento. En la práctica, el envío puntual a un destinatario identificado en un país tercero puede ampararse en una excepción, pero un flujo regular exige un marco documentado. Comprueba de paso la lista de destinos compatibles antes de organizar un flujo recurrente.
Para recordar
- El RGPD no habla del fax: habla de riesgo, de minimización y de seguridad apropiada. El fax sigue siendo utilizable, con condiciones.
- Las tres zonas de fuga son el número marcado, la bandeja de recepción y el proveedor. Ninguna es técnica en sentido estricto: se resuelven con organización.
- Un fax mal dirigido es una violación de datos: calificar, contener, documentar en el registro y notificar a la autoridad de control en un plazo de 72 horas si existe riesgo.
- Un servicio de fax en línea debe proporcionar un DPA, alojamiento en la UE, un plazo de conservación configurable y una certificación HDS en cuanto se trate de datos de salud.
- Un aparato de fax retirado del parque sin borrado de memoria se lleva consigo meses de documentos: el borrado seguro forma parte del procedimiento de desecho.
- La recepción por correo electrónico elimina la bandeja de libre acceso, pero desplaza el riesgo a la pantalla y al buzón compartido: accesos nominativos, bloqueo y filtro de privacidad.
Para las cuestiones prácticas sobre el envío y la recepción, nuestras preguntas frecuentes completan esta guía; y si simplemente quieres probar una transmisión limpia antes de rehacer tus procedimientos, todo empieza en la página de envío.
Etiquetasfaxsecuritypaperless
