¿Usar herramientas de compresión en línea supone un riesgo de cumplimiento del GDPR/PIPL?

Dónde comienza el cumplimiento

Desde la entrada en vigor de la Ley de Seguridad de Datos (DSL) y la Ley de Protección de Información Personal (PIPL) de China en 2021, y con el Reglamento General de Protección de Datos (GDPR) de la UE vigente desde 2018, las empresas se enfrentan a un escrutinio de cumplimiento sin precedentes sobre cómo procesan los archivos. Un contrato, un informe financiero, una lista de clientes: cada uno puede cruzar una línea roja legal durante la transmisión, el almacenamiento, la compresión o la conversión.

La compresión de archivos y la conversión de formato son operaciones rutinarias, pero legalmente todas califican como «actividades de tratamiento de datos». En el momento en que los datos se crean, editan, transmiten o destruyen, quedan dentro del ámbito de la DSL; en el momento en que un archivo contiene información personal, también queda dentro del ámbito de la PIPL (y del GDPR si afecta a interesados de la UE). Por tanto, la respuesta a «¿usar una herramienta de compresión en línea es una infracción de cumplimiento?» no depende de la herramienta en sí. Depende de tres variables: el nivel de clasificación del archivo, a dónde fluyen los datos durante el procesamiento y si la empresa ha cumplido sus obligaciones de cumplimiento.

Este artículo examina los requisitos legales, mapea los riesgos de cumplimiento del procesamiento de archivos empresariales y responde dónde se sitúa la frontera de cumplimiento de las herramientas de compresión en línea, tanto en el contexto regulador chino (DSL/PIPL) como en el internacional (GDPR).

---

I. Requisitos fundamentales de la DSL, la PIPL y el GDPR

La Ley de Seguridad de Datos: dos obligaciones fundamentales

La Ley de Seguridad de Datos de China, en vigor desde el 1 de septiembre de 2021, establece el marco fundacional de la seguridad de datos. Para el procesamiento de archivos empresariales, los requisitos fundamentales se concentran en dos niveles:

La primera es la clasificación y gradación de datos. La ley exige que el Estado establezca un sistema de protección por clasificación y gradación de datos, y las empresas deben clasificar y gradar sus propios datos en consecuencia. Los archivos deben dividirse en diferentes niveles según su importancia y la gravedad del daño si se filtran. La información clasificada como pública, interna, sensible y central debe recibir cada una una protección de intensidad diferente. Esto afecta directamente a la selección de herramientas: los archivos de diferentes niveles deben emparejarse con métodos de procesamiento de seguridad correspondiente.

La segunda es el procesamiento seguro en todo el ciclo de vida. El procesamiento de archivos (creación, edición, compresión, conversión, transmisión, destrucción) constituye actividades de tratamiento de datos y debe incorporarse a la gestión del cumplimiento. Las empresas deben garantizar que las herramientas mismas no provoquen fugas de datos, y «si el flujo de datos es controlable» debe ser el principal factor de evaluación.

La PIPL: cuatro restricciones clave

La Ley de Protección de Información Personal, en vigor desde el 1 de noviembre de 2021, establece requisitos explícitos para la recopilación, almacenamiento, uso, transmisión y supresión de información personal. Muchos archivos que manejan las empresas contienen información personal: currículos de empleados con números de identificación, contratos de clientes con datos de contacto, estados financieros con cuentas bancarias. La PIPL impone cuatro restricciones principales:

• Mínima necesidad: El tratamiento de información personal deberá limitarse al alcance mínimo necesario para alcanzar la finalidad del tratamiento.
• Información y consentimiento: La recopilación y uso de información personal requiere informar al individuo y obtener su consentimiento.
• Restricciones a la transferencia transfronteriza: Proporcionar información personal al extranjero requiere cumplir condiciones legales como evaluación de seguridad, certificación o firma de un contrato estándar.
• Obligatoriedad de supresión: Una vez alcanzada la finalidad del tratamiento, la información personal debe suprimirse de forma proactiva.

El GDPR: obligaciones paralelas

Para las organizaciones sujetas al GDPR, las obligaciones se superponen significativamente con la PIPL, aunque los mecanismos jurídicos difieren:

• Licitud, lealtad y transparencia (artículo 5) refleja el marco de información y consentimiento de la PIPL.
• Minimización de datos (artículo 5(1)(c)) es el equivalente en el GDPR de la mínima necesidad: recopilar solo lo adecuado y necesario.
• Transferencias internacionales de datos (capítulo V) requieren garantías como las Cláusulas Contractuales Tipo (SCC), las Reglas Corporativas Vinculantes o las decisiones de adecuación, funcionalmente similares a las condiciones transfronterizas de la PIPL.
• Registros de las actividades de tratamiento (artículo 30) exigen que los responsables y encargados mantengan documentación de las operaciones de tratamiento, análoga a la obligación de conservación de registros de la DSL.

La conclusión práctica es que una empresa que opera en varias jurisdicciones se enfrenta a un conjunto convergente de obligaciones: clasificar los datos, minimizar la recopilación, controlar los flujos transfronterizos y mantener registros auditables. La brecha más fácilmente pasada por alto es subir archivos que contienen información personal a herramientas en línea alojadas en servidores extranjeros. Una operación aparentemente ordinaria de «compresión en línea» puede constituir ya una transferencia transfronteriza, activando obligaciones legales tanto bajo la PIPL como bajo el GDPR.

---

II. El sistema de clasificación de datos y su impacto en el procesamiento de archivos

La clasificación de datos no es solo un requisito legal; es el punto de partida práctico para el cumplimiento del procesamiento de archivos. Sin clasificación no hay protección diferenciada; sin protección diferenciada, no hay forma de juzgar si puede usarse una herramienta de compresión en línea.

Lógica de clasificación

Basándose en la práctica sectorial, los archivos empresariales pueden dividirse generalmente en cuatro niveles:

• Nivel público: Información ya publicada o que puede publicarse, como anuncios del sitio web. Procesarla con herramientas en línea no supone riesgo de cumplimiento.
• Nivel interno: Información de uso interno y no divulgada al exterior, como notas internas. Usar herramientas en línea requiere evaluar las cualificaciones del proveedor.
• Nivel sensible: Archivos que contienen información personal, secretos comerciales o datos importantes, como contratos de clientes y estados financieros. Deben procesarse localmente; está prohibido subirlos a herramientas de red pública.
• Nivel central: Archivos que involucran secretos de Estado o activos centrales de la empresa, como documentos clasificados. Deben procesarse en un entorno aislado con herramientas que hayan superado una certificación especializada.

Flujo de procesamiento de la clasificación de datos

El diagrama siguiente muestra el flujo completo de clasificación, desde la identificación del archivo hasta la selección de un método de procesamiento:

La lógica central es: determinar primero si el archivo está dentro de la regulación legal (información personal, datos importantes, secretos de Estado), luego determinar el nivel según la escala y el estado transfronterizo, y finalmente emparejar el método de procesamiento. Para los archivos de nivel «sensible» y «central», el método de procesamiento es una restricción estricta: una vez determinado el nivel, el procesamiento local es obligatorio, sin margen de debate sobre herramientas en línea.

---

III. Los tres riesgos principales de cumplimiento

Riesgo 1: Riesgo de transferencia transfronteriza de datos

Al usar herramientas extranjeras de procesamiento de archivos en línea, los datos del archivo se transmiten a servidores extranjeros, constituyendo una transferencia transfronteriza. Bajo la DSL y la PIPL, la exportación de datos importantes requiere superar una evaluación de seguridad por la administración nacional del ciberespacio, y la exportación de información personal requiere cumplir una de las condiciones legales. Bajo el GDPR (capítulo V), las transferencias a terceros países requieren garantías adecuadas como las SCC o una decisión de adecuación.

Muchos empleados tienen la costumbre de usar herramientas en línea extranjeras para procesar contratos e informes, sin saber que estas operaciones pueden haber activado obligaciones de transferencia transfronteriza que la empresa nunca cumplió. Incluso al usar un proveedor nacional, si los servidores backend están desplegados en el extranjero o se usan nodos CDN y cloud extranjeros, puede producirse una transferencia transfronteriza. El criterio no es «el servidor que ve el usuario está en su país» sino «a qué jurisdicción llegan realmente los datos».

Riesgo 2: Riesgo de procesamiento por terceros

Las herramientas en línea suelen subir archivos a servidores de terceros. Aunque el proveedor prometa «supresión inmediata tras el procesamiento», la empresa aún se enfrenta a tres categorías de riesgo:

• Riesgo de fuga de datos: Si las defensas de seguridad del proveedor tienen vulnerabilidades, los archivos pueden ser robados durante el almacenamiento, la transmisión o la copia de seguridad. Varios proveedores de herramientas en línea conocidos han sufrido fugas de datos en los últimos años.
• Riesgo de conservación y reutilización: Las políticas de privacidad de algunos proveedores se reservan el derecho a usar el contenido subido para mejorar el servicio o entrenar modelos; el contenido de los archivos puede conservarse y reutilizarse.
• Riesgo de requerimiento legal: Las leyes de la jurisdicción del proveedor pueden autorizar a las fuerzas de seguridad locales a acceder a los datos del servidor, sin conocimiento de la empresa.

Para los archivos sensibles, entregarlos a un tercero incontrolable amplía inherentemente la superficie de ataque. Incluso sin una fuga real, el mero hecho de que «los datos hayan salido del perímetro controlable de la empresa» pone a la empresa a la defensiva durante una auditoría de cumplimiento.

Riesgo 3: Riesgo de conservación de registros

La DSL exige a los encargados de datos que conserven los registros de procesamiento durante no menos de seis meses. El GDPR exige de manera similar registros de las actividades de tratamiento (artículo 30). Las empresas deben registrar «quién procesó qué archivo y cuándo» para permitir el rastreo si se produce un incidente de seguridad.

Si los empleados usan herramientas en línea personales para procesar archivos empresariales, estas operaciones quedan fuera del ámbito de registro de la empresa, creando un punto ciego de cumplimiento: la hora de la operación no puede registrarse, el objetivo del procesamiento no puede identificarse y el operador no puede correlacionarse. Si se produce un incidente de fuga, la empresa no puede demostrar que cumplió sus obligaciones de gestión de seguridad. La esencia de este riesgo es la «pérdida de controlabilidad»: el procesamiento ocurre fuera del perímetro de la empresa, y la empresa no puede obtener los registros ni garantizar su autenticidad.

Flujo de evaluación de riesgos de cumplimiento

El diagrama siguiente muestra el flujo de decisión para una evaluación de riesgos de cumplimiento de las operaciones de procesamiento de archivos:

El nivel de riesgo aumenta con el nivel del archivo, y para los archivos de nivel sensible y superiores, casi no hay margen para las «herramientas en línea». Las empresas deberían integrar este flujo en sus estándares de selección y uso de herramientas en lugar de depender del juicio individual de los empleados.

---

IV. Compresión local frente a compresión en línea: una comparativa de cumplimiento

Desde la perspectiva del cumplimiento, la compresión local y la compresión en línea difieren fundamentalmente. La tabla siguiente muestra las diferencias en siete dimensiones:

Dimensión	Compresión local	Compresión en línea
Ubicación de datos	Permanece en el dispositivo local; nunca sale del perímetro de la empresa	Se sube a servidores de terceros; sale del ámbito controlable
Transferencia transfronteriza	No involucrada; sin obligación de declaración de exportación	Puede constituir una transferencia; debe evaluarse la ubicación del servidor
Riesgo de terceros	Sin intervención de terceros; sin riesgo de fuga ni conservación	Existen riesgos de fuga, conservación y requerimiento legal del proveedor
Controlabilidad de registros	La empresa puede registrar íntegramente hora, objetivo y operador	Las operaciones quedan fuera del registro de la empresa; punto ciego de cumplimiento
Dependencia de red	Sin red requerida; procesamiento no afectado por la red	Red requerida; el propio enlace de red es un punto de riesgo
Aprobación y trazabilidad	Integrable en los flujos de trabajo empresariales; totalmente trazable	Difícil de integrar; trazabilidad pobre
Adecuación de cumplimiento	Adecuado para todos los niveles, del público al central	Solo adecuado para archivos de nivel público; prohibido para sensibles y superiores

La compresión en línea presenta carencias de cumplimiento en cuatro dimensiones fundamentales (ubicación de datos, transferencia transfronteriza, riesgo de terceros y controlabilidad de registros), mientras que la compresión local satisface naturalmente los requisitos legales en las cuatro. Esto no significa que la compresión en línea sea completamente inutilizable; para los archivos de nivel público, la comodidad tiene valor. Pero para los archivos de nivel interno y superiores, el procesamiento local es la única forma fiable de evitar el riesgo de cumplimiento.

---

V. Recomendaciones de cumplimiento sectoriales

Gobierno y empresas estatales

Los organismos gubernamentales y las empresas estatales suelen manejar archivos que involucran secretos de Estado, con los requisitos de cumplimiento más estrictos. Todo el procesamiento de archivos debe realizarse en redes internas o localmente; está prohibido usar cualquier herramienta en línea de red pública. Los archivos clasificados deben procesarse con herramientas que hayan superado la certificación nacional de confidencialidad. Los documentos oficiales electrónicos deberían preferir el formato OFD y comprimirse y convertirse mediante herramientas locales.

Servicios financieros

Los bancos, compañías de seguros y firmas de valores manejan archivos que contienen grandes cantidades de identidad de clientes e información financiera. La compresión y conversión de datos de clientes, contratos de préstamo y extractos de cuenta deben realizarse localmente. Establezca un flujo de aprobación de procesamiento de archivos que registre el operador, la hora, el objetivo y los parámetros de cada operación, con registros conservados no menos de seis meses. Use un sistema DLP (prevención de pérdida de datos) para monitorizar si los archivos sensibles se transmiten al exterior.

Sanidad

Las instituciones médicas manejan historiales clínicos e informes de examen que constituyen información personal sensible. La compresión y el archivo de los historiales clínicos deben realizarse localmente dentro del sistema del hospital; está prohibido usar cualquier herramienta en línea de terceros para procesar información de pacientes. La transmisión de historiales clínicos electrónicos debería usar canales cifrados. Los archivos de información de pacientes no deben subirse a ninguna herramienta en línea de terceros, para evitar activar obligaciones de transferencia transfronteriza.

---

VI. Lista de verificación de cumplimiento para la selección de herramientas de procesamiento de archivos

Al seleccionar una herramienta de procesamiento de archivos, verifique cada uno de los siguientes puntos de cumplimiento:

• ¿La herramienta sube datos a un servidor? Prefiera herramientas de procesamiento local que mantengan los archivos en el dispositivo. Esta es la medida fundamental para evitar la transferencia transfronteriza y el riesgo de terceros.
• ¿El procesamiento requiere conexión de red? El procesamiento sin conexión es más seguro; elimina el paso de transmisión de datos.
• ¿El proveedor de servicios está registrado en su jurisdicción? Esto afecta a la evaluación de la transferencia transfronteriza; los proveedores extranjeros requieren verificación de la ubicación de los servidores backend.
• ¿La herramienta soporta el registro de logs de procesamiento? Esto satisface el requisito de la DSL de conservación de registros de seis meses (y la obligación del artículo 30 del GDPR). Los registros deberían incluir hora, nombre de archivo, operador y parámetros.
• ¿La herramienta ha superado certificaciones de seguridad relevantes? Certificaciones como ISO 27001 o evaluaciones nacionales de protección de nivel de ciberseguridad reflejan la capacidad de gestión de seguridad del proveedor.
• ¿Se ha firmado un acuerdo de tratamiento de datos? Este precisa las responsabilidades de seguridad de datos de ambas partes, definiendo el uso de datos, el periodo de conservación y el método de supresión.
• ¿La herramienta soporta el procesamiento por lotes y el control de acceso? Esto satisface las necesidades de gestión y auditoría de la empresa, soportando permisos basados en roles y registro unificado de operaciones por lotes.

Solo una herramienta que supere todas las verificaciones anteriores puede añadirse a la lista blanca de una empresa. El incumplimiento de un solo elemento significa que la herramienta solo puede usarse para archivos de nivel público.

---

VII. Preguntas frecuentes

P1: La herramienta de compresión en línea indica «los archivos se eliminan inmediatamente tras el procesamiento». ¿Sigue habiendo riesgo de cumplimiento?

Sí. Aunque el proveedor prometa la supresión, los datos ya han salido de su dispositivo durante la transmisión y pueden ser interceptados, conservados o requeridos legalmente. El enlace de transmisión, el sistema de registro del proveedor, los mecanismos de copia de seguridad y los nodos de recuperación ante desastres pueden dejar rastros. Para los archivos sensibles, «subir es un riesgo»: una vez que los datos salen del perímetro controlable de la empresa, no hay garantía de que se eliminen por completo. Los archivos sensibles deben procesarse siempre con una herramienta de compresión local.

P2: ¿Es conforme que un empleado envíe archivos procesados con una herramienta de compresión en línea por correo personal?

En general, no. El correo personal no está gestionado por la empresa, por lo que el comportamiento de procesamiento no puede registrarse en los logs de la empresa, vulnerando los requisitos de conservación de registros. El correo también puede transitar por servidores extranjeros, creando un riesgo de transferencia transfronteriza. Las empresas deberían prohibir explícitamente tal comportamiento mediante política, proporcionar correo empresarial y herramientas de procesamiento local como alternativa, y usar un sistema DLP para monitorizar si los archivos sensibles salen por canales personales.

P3: ¿Tiene la Ley de Seguridad de Datos disposiciones específicas para la compresión de archivos?

No. La Ley de Seguridad de Datos no tiene disposiciones específicas para la compresión de archivos, pero la compresión de archivos constituye una actividad de tratamiento de datos y está sujeta a requisitos generales como la clasificación de datos, el procesamiento seguro y la conservación de registros. Si es conforme depende de tres factores: el nivel de datos del archivo, si involucra información personal y si el procesamiento involucra una transferencia transfronteriza. La ley no distingue la «compresión» de otros métodos de procesamiento; solo examina si el procesamiento cumple los requisitos generales de seguridad.

P4: ¿Cómo puede una herramienta de compresión local satisfacer el requisito de conservación de registros?

Las empresas pueden exigir que las herramientas de compresión local proporcionen una función de registro de procesamiento que registre la hora de procesamiento, el nombre del archivo, el operador y los parámetros de compresión, con registros conservados no menos de seis meses. Una herramienta profesional debería soportar el registro y exportación automáticos de logs para auditorías de seguridad. Las empresas también deberían integrar los registros en una plataforma unificada de gestión de logs, correlacionada con el sistema de autenticación de identidad para garantizar la trazabilidad de los operadores. Tenga en cuenta que los propios registros son datos de tratamiento y deberían gestionarse a nivel sensible para evitar que una fuga de registros cree un riesgo secundario.

---

Resumen

La implementación de la DSL, la PIPL y el GDPR ha pasado el procesamiento de archivos empresariales de «lo que sea práctico» a «lo que sea conforme». Volviendo a la pregunta original (¿usar una herramienta de compresión en línea es un riesgo de cumplimiento?), la respuesta depende de tres variables: el nivel de clasificación del archivo, la ruta de flujo de los datos y si el procesamiento se registra.

Los principios fundamentales pueden resumirse en tres: clasificar los datos, priorizar el procesamiento local, mantener registros trazables.

• La clasificación de datos es el prerrequisito. Sin clasificación, no hay forma de juzgar si puede usarse una herramienta en línea. Las empresas deben construir primero un registro de clasificación de archivos.
• Lo local primero es la línea base. Para los archivos de nivel sensible y superiores, el procesamiento local es la única forma fiable de evitar los riesgos de transferencia transfronteriza, de terceros y de punto ciego de registro. Las herramientas en línea solo son aceptables para archivos de nivel público.
• Registros trazables son la salvaguardia. Todas las actividades de procesamiento deben ser registrables y trazables, con registros conservados no menos de seis meses. Este es un medio necesario para que una empresa demuestre que ha cumplido sus obligaciones.

Cumpla estos tres, y el marco básico de cumplimiento para el procesamiento de archivos empresariales estará en su sitio. La compresión de archivos es solo un eslabón de la cadena de procesamiento de archivos, pero refleja la madurez general de la gobernanza de seguridad de datos de la empresa: selección de herramientas conforme, un sistema de clasificación claro y un marco de registro completo. Los tres son indispensables.

Lecturas relacionadas:

• Guía de cumplimiento del procesamiento de archivos empresariales bajo la Ley de Seguridad de Datos
• Guía completa de compresión de archivos: principios y métodos de compresión PDF/imagen/vídeo/documento