Una copia de seguridad puede parecer un simple salvavidas técnico, pero si guarda nombres, emails, pedidos o formularios, también se convierte en un fichero con datos personales. Si esas copias se almacenan sin control, el riesgo no es solo perder información: también puede aparecer una brecha de seguridad, un problema de responsabilidad y una posible sanción por mala gestión.
Las Backups y cumplimiento GDPR: multas por mal gestionadas se evitan cuando se define retención, cifrado, acceso, ubicación y borrado seguro, y cuando esa política queda documentada y auditable. Las copias de seguridad de WordPress también pueden contener datos personales y, si se guardan sin control, pueden incumplir el RGPD y exponer a multas, fugas de datos y problemas de responsabilidad.
Un backup con datos personales también entra en RGPD
Una copia de seguridad de WordPress que contiene datos identificables sigue sujeta al Reglamento General de Protección de Datos. Eso obliga a tratarla como un activo con riesgo real, no como un archivo secundario. En España, la Agencia Española de Protección de Datos mira la cadena completa: creación, acceso, retención, restauración y borrado.
Cuándo una copia ya es tratamiento
Una copia ya entra en RGPD cuando conserva nombres, emails, direcciones, IPs, pedidos o mensajes de contacto. También entra cuando incluye logs, usuarios de WordPress o transacciones de WooCommerce. No hace falta que el archivo esté visible para que exista tratamiento; basta con que contenga datos personales recuperables.
Un backup con datos personales no es un archivo neutro. Si se puede restaurar, se puede filtrar.
Qué cambia en WordPress y WooCommerce
WordPress suele arrastrar más datos de los que aparenta. Formulario de contacto, comentarios, usuarios registrados, registros de seguridad, pedidos y direcciones de envío suelen acabar dentro de la misma copia. En WooCommerce, el riesgo sube porque una restauración mal planteada puede exponer clientes y transacciones completas.
Dónde empieza la responsabilidad
El responsable del tratamiento no desaparece porque use un plugin o un hosting. Sigue siendo quien decide por qué se guardan las copias y cuánto tiempo se conservan. Si interviene un tercero con acceso a backups, ese tercero suele actuar como encargado del tratamiento y necesita instrucciones claras, contrato y límites de acceso.
El RGPD no prohíbe hacer copias de seguridad, pero sí obliga a que el almacenamiento esté justificado y protegido. Eso significa definir una retención concreta, limitar el acceso a personal autorizado y aplicar cifrado tanto en reposo como durante la transferencia. Si una copia contiene datos de clientes, empleados o usuarios de WordPress, debe quedar claro quién puede abrirla, desde qué sistemas y durante cuánto tiempo se conserva.
La AEPD suele valorar positivamente que existan medidas técnicas y organizativas proporcionadas al riesgo, porque un backup sin control puede convertirse en una exposición masiva aunque nunca llegue a restaurarse.
Multas y riesgos por copias mal gestionadas
Las copias mal gestionadas pueden acabar en sanción si provocan una brecha, conservan datos más tiempo del necesario o se almacenan sin medidas mínimas. El problema legal no nace por tener backups, sino por tenerlos mal definidos. Cuando falta trazabilidad, el RGPD deja de ser una norma “teórica” y se convierte en un riesgo operativo.
Qué revisa la AEPD
La AEPD revisa si la empresa ha aplicado medidas técnicas y organizativas razonables. Eso incluye cifrado, acceso limitado, copias probadas y borrado seguro. También mira si existe documentación suficiente para explicar por qué se guarda cada copia y quién puede restaurarla.
El artículo 32 del RGPD exige medidas técnicas y organizativas apropiadas al riesgo, incluida la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas.
Por qué el riesgo no es solo técnico
Una copia sin cifrar puede abrir una brecha de seguridad si se pierde, se copia sin permiso o se expone en una nube mal configurada. Ahí ya no hablamos solo de restauración. Hablamos de notificación, análisis del impacto y posible responsabilidad ante afectados y autoridad de control.
Lo que de verdad genera sanción
La multa no nace por hacer una copia. Nace por no saber qué contiene, quién la usa y cuándo se borra. También aparece cuando el responsable no puede demostrar que eligió un proveedor con garantías, algo que el Comité Europeo de Protección de Datos y el European Data Protection Board consideran parte del enfoque de responsabilidad.
Una política correcta de backups define qué se guarda, durante cuánto tiempo, dónde se almacena y quién puede acceder. También fija cómo se restauran las copias y cómo se eliminan cuando dejan de hacer falta. Eso es lo que convierte un backup en una medida de seguridad y no en una fuente de riesgo.
Retención limitada y borrado seguro
La retención de backups debe responder a una necesidad concreta. Puede ser recuperación ante fallos, recuperación tras ransomware o evidencia técnica durante un tiempo razonable. Lo que no debe hacer es acumularse sin fecha de caducidad.
Cifrado y control de acceso
El cifrado de backups reduce mucho el daño si alguien accede al archivo. En reposo, protege la copia almacenada. En tránsito, protege la transferencia entre servidor, plugin y nube. Sin ese doble control, una filtración pequeña puede convertirse en una exposición completa.
Ubicación y proveedor externo
Si el backup vive en un proveedor externo, ese proveedor no es un simple almacén. Puede ser encargado del tratamiento si accede a datos personales o gestiona la infraestructura de forma que afecta a su seguridad. En ese caso, el contrato y las instrucciones importan tanto como la tecnología.
Dónde guardar las copias sin romper el RGPD
La mejor ubicación para un backup no es la más cómoda. Es la que permite controlar accesos, cifrar bien y demostrar cumplimiento si alguien pide pruebas. En WordPress, la decisión suele estar entre servidor propio, nube en la UE o proveedor externo fuera de la UE.
| Opción |
Control de acceso |
Riesgo de exposición |
Ubicación de datos |
Encaje RGPD |
| Servidor propio cifrado |
Alto |
Bajo si se gestiona bien |
España o UE |
Adecuado si hay control y copias separadas |
| Nube en la UE |
Medio-alto |
Medio |
Unión Europea |
Adecuado con contrato y acceso limitado |
| Nube fuera de la UE |
Variable |
Medio-alto |
Tercer país |
Solo con garantías reforzadas |
| Disco local sin cifrar |
Bajo |
Alto |
España o donde esté el equipo |
No recomendable |
Qué revisar antes de contratar
Conviene revisar el contrato de encargo de tratamiento, la política de subencargados y la ubicación exacta de los servidores. También importa el cifrado, tanto en tránsito como en reposo, y la existencia de registros de acceso. Sin ese paquete básico, el proveedor solo traslada el riesgo.
Qué comparar en plugins y hosting
UpdraftPlus, Xcloner WordPress, Duplicator y otras soluciones cumplen funciones distintas. Un plugin de backup no resuelve por sí solo el RGPD. Solo ayuda si permite cifrado, retención, almacenamiento separado y restauración trazable.
Cuando interviene un tercero, la gestión de backups exige mucho más que una cuenta de acceso. Si el proveedor actúa como encargado del tratamiento, debe existir un contrato que delimite instrucciones, subencargados, medidas de seguridad y ubicación de los datos. Si las copias salen del Espacio Económico Europeo, hacen falta garantías reforzadas y revisar si hay transferencia internacional. En la práctica, esto afecta a alojamientos, plugins de backup y servicios cloud que replican información en varios países.
Un entorno con acceso controlado, registros de actividad y restauración trazable reduce el riesgo de brecha de seguridad y facilita demostrar cumplimiento si la AEPD solicita evidencias.
Auditoría: política, evidencias y checklist
Para demostrar cumplimiento no basta con decir que hay copias automáticas. Hace falta una política escrita, evidencias técnicas y una revisión periódica. Sin eso, el backup existe, pero el cumplimiento no se puede probar.
Política de backups que sí sirve
La política debe decir qué se copia, con qué frecuencia, durante cuánto tiempo, dónde se guarda y quién puede restaurarlo. También debe recoger cómo se borran las copias obsoletas y quién revisa los accesos. Sin esos puntos, el documento suena bonito pero no sirve.
Evidencias que una auditoría puede pedir
Una auditoría puede pedir registros de copias, fallos, restauraciones y borrados. También puede pedir contratos con proveedores, pruebas de cifrado y evidencia de que se probó la recuperación en un entorno controlado.
Checklist mínimo para WordPress
- Copia automática con frecuencia definida.
- Cifrado en tránsito y en reposo.
- Acceso individual y limitado.
- Retención con fecha de borrado.
- Prueba de restauración periódica.
- Contrato con el proveedor, si interviene un tercero.
- Registro del borrado de copias antiguas.
Una restauración probada vale más que diez copias sin verificar. Si no se restaura, no se sabe si protege.
Costes ocultos y sanción si algo falla
El coste de un backup no termina en el plugin o en el disco. También cuenta el almacenamiento, la retención larga, el tráfico hacia nubes externas y el tiempo de administración. En sitios con muchas copias, el gasto crece más por histórico que por tamaño.
Cuánto pesa la retención en la factura
Cuanta más retención, más espacio, más copias y más puntos de fallo. En la práctica, conservar 90 días no cuesta lo mismo que conservar 30. Y conservar años puede disparar el almacenamiento sin aportar valor real de negocio.
Qué pasa si aparece una sanción
Si la autoridad detecta una mala práctica, puede pedir documentación, corregir la medida y valorar la gravedad, la duración del incumplimiento y el daño potencial. El resultado no depende solo de la multa. También afecta a la confianza de clientes, socios y aseguradoras.
Preguntas frecuentes sobre mantenimiento WordPress
¿Dónde se guardan las copias de seguridad de
Las copias se guardan en un servidor propio, una nube en la UE o un proveedor externo con contrato y control de acceso. Si contienen datos personales, la ubicación y el acceso deben estar documentados y protegidos con cifrado.
¿Cuál es la regla 3-2-1 para hacer copias de
La regla 3-2-1 significa 3 copias, en 2 soportes distintos y 1 fuera del entorno principal. Funciona bien para reducir el impacto de fallo, ransomware o borrado accidental. En WordPress, conviene aplicarla con cifrado y con retención limitada, no como acumulación infinita.
¿Cómo puedo respaldar mi base de datos de
Se puede hacer desde el panel del hosting, con WP-CLI o con un plugin de backup fiable. La copia debe salir cifrada y guardarse con una retención definida, sobre todo si incluye usuarios, pedidos o formularios.
¿Cuáles son los errores más comunes en WordPress?
Los errores más comunes son no probar la restauración, guardar copias sin cifrar y mantener backups antiguos sin borrado seguro. También es habitual compartir accesos entre varios usuarios o proveedores sin trazabilidad.
¿Las copias de seguridad cuentan como brecha de
Sí, si se filtran, se acceden sin permiso o se restauran sin control pueden constituir una brecha de seguridad. La respuesta depende del contenido, del nivel de exposición y de si se pueden mitigar los daños.
¿Quién es responsable si el backup lo gestiona un
El responsable del tratamiento sigue siendo quien decide por qué se guardan los datos. El proveedor suele actuar como encargado del tratamiento si accede a copias con datos personales. Debe existir contrato, instrucciones claras y revisión de ubicación, accesos y medidas técnicas.
¿Se pueden anonimizar datos dentro de una copia?
Sí, pero solo si la anonimización es real y no reversible con medios razonables. En muchos casos funciona mejor la minimización de datos o un entorno de prueba separado. Si la copia completa sigue permitiendo identificar personas, no se puede tratar como anonimizada.
Qué hacer ahora con tus backups
La decisión útil es sencilla: revisar hoy la política, el acceso y la retención. Si el backup contiene datos personales, debe estar cifrado, documentado y con borrado seguro. Si un proveedor interviene, hace falta contrato, trazabilidad y control real de la ubicación.
Lo que funciona mejor en WordPress no es tener más copias. Es tener pocas, probadas y bien gobernadas. Esa combinación reduce riesgo legal, baja el coste oculto y facilita una auditoría sin sobresaltos.
