Esta sección resume solo los puntos que afectan al backup, a la recuperación y a la protección de las copias de seguridad. No sustituye a un análisis jurídico para su institución.
RGPD. Los centros educativos y las universidades tratan datos personales del alumnado, del profesorado y del personal. El
artículo 32, apartado 1, del Reglamento (UE) 2016/679 enumera entre las medidas apropiadas «la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico» (letra c), el cifrado (letra a) y un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas (letra d). El artículo 5, apartado 1, letra f), exige un tratamiento que garantice una seguridad adecuada, incluida la protección contra la pérdida, destrucción o daño accidental («integridad y confidencialidad»).
ENS y LOPDGDD. Las universidades públicas forman parte del sector público institucional (
artículo 2, apartado 2, letra c), de la Ley 40/2015) y figuran entre los responsables del
artículo 77, apartado 1, de la Ley Orgánica 3/2018. El
Real Decreto 311/2022, que regula el Esquema Nacional de Seguridad (ENS), se aplica a todo el sector público, y la disposición adicional primera de la LOPDGDD obliga a esos responsables a aplicar a los tratamientos de datos personales las medidas del ENS. La medida mp.info.6 (Copias de seguridad) exige copias que permitan recuperar datos perdidos de forma accidental o intencionada y procedimientos de respaldo que indiquen la frecuencia, el almacenamiento en el propio lugar y en otros lugares, y los controles de acceso. Los niveles medio y alto añaden pruebas regulares de copia y restauración (R1), y el alto añade guardar al menos una copia por separado, en un lugar diferente (R2). Para los centros docentes públicos no universitarios, confirme con la Administración educativa de su comunidad autónoma qué requisitos de seguridad le son aplicables.
NIS2. La Directiva (UE) 2022/2555 permite a los Estados miembros aplicarla a los «centros de enseñanza, en particular cuando lleven a cabo actividades críticas de investigación» (
artículo 2, apartado 5, letra b)). Su definición de «organismo de investigación» (artículo 6, apartado 41) excluye los centros de enseñanza. Si su institución está incluida por otro motivo, por ejemplo como operador de otro sector, y cuál es el alcance y el calendario de la transposición en España son cuestiones que debe confirmar con su asesoría jurídica.
Así pueden asociarse las funciones de DPX a estos requisitos: