Fax enviado al número equivocado: qué hacer en 72 horas

Respuesta corta: un fax que llega al destinatario equivocado no es un simple descuido, sino jurídicamente una violación de datos personales en el sentido del artículo 4.12 del RGPD, siempre que el documento contenga información identificativa. El procedimiento se resume en cinco gestos: preservar las pruebas (informe de transmisión, número marcado, marca de tiempo) antes de que desaparezcan, contactar con el destinatario involuntario para conseguir la destrucción del documento, inscribir el incidente en el registro de violaciones —obligatorio incluso cuando no se notifica nada—, evaluar el riesgo para las personas afectadas y notificar a la autoridad de control en un plazo de 72 horas si ese riesgo no queda descartado. La cuenta atrás empieza en el momento en que se tiene conocimiento del error, no en el momento del envío. Y la circular interna de «tengan cuidado con los números» no constituye una medida correctora.

Por qué el fax sigue siendo la primera causa de error de destinatario

El correo electrónico tiene salvaguardas: una libreta de direcciones, autocompletado, un aviso de no entrega cuando la dirección no existe y, a veces, unos segundos para cancelar el envío. El fax no tiene nada de eso. Se marcan diez cifras a mano, a menudo a partir de una nota manuscrita o de un sello medio borrado, y la máquina no pregunta nada. Si el número existe, transmite. Si no existe, reintenta varias veces y luego abandona; pero si una cifra errónea coincide con otro fax en servicio, las páginas salen en casa de un desconocido sin que ninguna señal vuelva hacia usted.

Las autoridades europeas de protección de datos documentan este escenario desde hace años. La ICO británica, en sus balances de incidentes, clasificaba habitualmente el «fax enviado al número equivocado» entre las violaciones más frecuentes del sector sanitario, junto a las cartas postales mal introducidas en los sobres. Las autoridades de control encuadran estos casos en la categoría «envío de datos al destinatario equivocado», que sigue siendo una de las causas mayoritarias de notificación, por delante, en volumen, de muchos ataques informáticos sofisticados.

Tres factores agravan el riesgo en el caso del fax:

• Los números vecinos. Dentro de un mismo centro, el fax de la secretaría y el del departamento de contabilidad suelen diferir en una sola cifra. Una inversión de dos dígitos sigue siendo plausible y, por tanto, se transmite.
• Los números reciclados. Una consulta cierra, su número vuelve al fondo común del operador y acaba asignado a una empresa sin relación alguna, a veces a una línea de voz que deriva a un fax por software.
• La memoria de las máquinas. Las teclas de marcación rápida programadas hace diez años por una persona que se marchó hace mucho rara vez se auditan.

Los primeros treinta minutos: preservar las pruebas

La primera reacción casi siempre es la equivocada: se reenvía de inmediato al número correcto, se borra el registro para «empezar limpio» y se pasa a otra cosa. Pero los elementos que van a servir para calificar el incidente, documentarlo y protegerle son precisamente los que la máquina está a punto de sobrescribir.

Recupere, por este orden:

1. El informe de transmisión del envío erróneo. Contiene el número efectivamente marcado, la fecha, la hora, el número de páginas y el estado. Es la pieza central del expediente.
2. El registro de comunicaciones del fax o del servicio en línea, en un intervalo amplio: muestra el contexto, en especial si el error se ha repetido.
3. Una copia del documento transmitido, con la mención exacta de los apartados que contenía: nombre, fecha de nacimiento, número de la seguridad social, diagnóstico, datos bancarios, etc.
4. La identidad de quien realizó el envío y la hora en que se descubrió el error. Esta segunda fecha es la que hace correr el plazo de 72 horas.

En un aparato físico, el registro se purga automáticamente al cabo de un número limitado de líneas: imprímalo de inmediato o expórtelo. Muchos servicios conservan un historial en línea más largo, pero no cuente con ello sin haberlo comprobado. En las consultas que manejan expedientes sensibles, tener un pequeño escáner de documentos portátil junto al puesto permite digitalizar el informe en papel al momento y depositarlo en el expediente del incidente, en lugar de dejarlo en una bandeja donde acabará en el reciclaje.

No modifique nada, no reimprima el documento encima, no anote el informe original. Si más adelante surge un litigio, se examinará la coherencia de las marcas de tiempo: lo hemos detallado en nuestro análisis sobre el valor probatorio del fax ante un juez.

Calificar: ¿es realmente una violación de datos?

No todos los errores de número desencadenan la misma obligación. El razonamiento se hace en tres tiempos.

¿Contiene el documento datos personales? Un pedido de material de oficina sin nombre de persona física no los contiene. Una baja laboral, un informe de pruebas, un certificado bancario, una citación nominativa, un contrato de trabajo: sí, sin discusión.

¿Ha habido pérdida de confidencialidad? Desde el momento en que las páginas salen en manos de un tercero no autorizado, la respuesta es sí, aunque ese tercero sea de buena fe y afirme haberlo destruido todo. Una violación consumada no se «deshace» retroactivamente; en cambio, la destrucción rápida y acreditada reduce el riesgo, lo que influye en lo que venga después.

¿Cuál es el riesgo para las personas afectadas? Es el criterio que decide la notificación. Las autoridades de control y las directrices del Comité Europeo de Protección de Datos (CEPD) sobre la notificación de violaciones invitan a evaluar la naturaleza de los datos, su volumen, la facilidad de identificación de las personas, la gravedad de las consecuencias posibles y el carácter especial de los datos.

Lo que hay que retener: la inscripción en el registro interno de violaciones es obligatoria en todos los casos, incluso cuando se concluye que no hay riesgo. Artículo 33.5 del RGPD. Es ese registro lo primero que pide la autoridad de control en una inspección, y una empresa cuyo registro está vacío mientras sus empleados envían faxes a diario rara vez resulta creíble.

Retomar el contacto con el destinatario involuntario

Llamar al número marcado por error suele ser posible: muchas líneas de fax están asociadas a una centralita de voz, o el número aparece en un directorio profesional. El objetivo no es disculparse, sino obtener tres cosas: la confirmación de recepción, la destrucción del documento y, si es posible, una acreditación por escrito de esa destrucción, aunque sea un correo de dos líneas.

Formule la petición de forma sencilla, sin detallar el contenido del documento —no tiene sentido atraer la atención sobre algo que quizá la persona no haya leído—:

Buenos días, un documento se nos ha enviado por error a su número de fax el [fecha] a las [hora]. No estaba destinado a usted y contiene información confidencial. ¿Podría destruirlo y confirmárnoslo por escrito? Muchas gracias.

Conserve ese intercambio en el expediente del incidente. Un destinatario identificado, profesional, sujeto él mismo al secreto profesional y que ha acreditado la destrucción es un factor de atenuación del riesgo que podrá exponer a la autoridad de control. A la inversa, un número que no responde y no está vinculado a ninguna entidad conocida significa que el documento anda suelto: el riesgo debe evaluarse al alza.

La notificación a la autoridad de control: plazo, contenido, notificación parcial

El plazo de 72 horas corre desde el momento en que el responsable del tratamiento tiene conocimiento de la violación. Un descubrimiento el viernes a las 16 h implica notificar como muy tarde el lunes a las 16 h: los fines de semana cuentan.

La notificación se realiza en línea, a través del servicio telemático de notificación de violaciones de la autoridad de control. Debe describir la naturaleza de la violación, las categorías y el número aproximado de personas y de registros afectados, los datos de contacto del delegado de protección de datos o de un punto de contacto, las consecuencias probables y las medidas adoptadas o previstas.

Dos reflejos útiles:

• La notificación puede hacerse de forma escalonada. Si la investigación interna no ha concluido, notifique con los elementos disponibles y complete después. Más vale una notificación incompleta dentro de plazo que una notificación perfecta fuera de plazo.
• Pasadas las 72 horas, notifique igualmente, motivando el retraso. El artículo 33.1 lo prevé expresamente.

En cuanto a la información a las personas afectadas (artículo 34), se impone cuando el riesgo es alto: datos de salud, datos bancarios, información susceptible de exponer a discriminación, a una usurpación de identidad o a un perjuicio reputacional. Debe redactarse en términos claros y sencillos, indicar la naturaleza de la violación, sus consecuencias probables y las medidas adoptadas. Para los profesionales sanitarios, las obligaciones se acumulan con el marco específico del alojamiento y el tratamiento de datos de salud, que hemos desarrollado en nuestro artículo sobre el fax médico y la ley.

Evitar la reincidencia: lo que funciona de verdad

La autoridad de control no sanciona el error humano aislado; sanciona la ausencia de medidas razonables. Después de un incidente, el organismo espera medidas estructurales, no una circular interna. Estas son las que se sostienen.

La libreta de destinatarios validada. Prohibir la marcación manual para los corresponsales recurrentes y autorizar únicamente entradas verificadas, revisadas una vez al año. Un error de tecleo se vuelve imposible en el 90 % de los envíos.

La doble verificación para los documentos sensibles. Dos pares de ojos sobre el número antes de cualquier envío que contenga datos de salud o bancarios, con constancia de la validación. Un simple sello de control entintado estampado en la portada y rubricado basta para materializar el gesto, siempre que se haga de verdad.

La portada con cláusula de confidencialidad. Técnicamente no impide nada, pero informa al destinatario fortuito de sus obligaciones y facilita la petición de destrucción. Nunca debe contener información sensible: ni diagnóstico, ni motivo detallado, ni número de expediente demasiado revelador.

El paso al fax en línea. Un servicio desmaterializado aporta tres cosas que un aparato de oficina no puede ofrecer: el historial completo con marcas de tiempo, la confirmación de entrega consultable meses después y, sobre todo, la desaparición del documento impreso que espera en una bandeja. Detallamos el proceso completo en nuestro plan de migración en seis etapas; la página /faq responde a las preguntas prácticas sobre los envíos y los acuses de recibo.

El tratamiento del papel residual. Mientras siga habiendo un aparato físico, los borradores, duplicados e informes deben acabar en una destructora de documentos de corte cruzado, no en una papelera. Y para los expedientes que circulan entre despachos, las fundas portadocumentos opacas evitan la lectura accidental en los pasillos. Son detalles, pero la mayoría de las violaciones documentadas se deben precisamente a detalles.

La formación breve y repetida. Quince minutos dos veces al año valen más que una jornada cada cinco años. Los organismos que reparten entre sus equipos una guía práctica del RGPD en papel, colocada junto al puesto, comprueban que las preguntas llegan antes del incidente y no después.

Lo que no hay que hacer bajo ningún concepto

• Esperar a estar seguro. El plazo de 72 horas no se suspende durante la investigación interna.
• Borrar el registro del fax para «dejarlo limpio». Es una destrucción de pruebas y se interpretará como tal.
• Llamar al destinatario para amenazarle con acciones legales si ha leído el documento. No tiene ningún fundamento y compromete la cooperación.
• Descuidar la subcontratación. Si el envío pasaba por un proveedor, el artículo 33.2 le obliga a avisarle sin dilación: compruebe que el contrato lo prevé.
• Considerar que la ausencia de denuncia zanja el asunto. El registro sigue siendo exigible, y una persona afectada puede acudir a la autoridad de control meses después.

Preguntas frecuentes

¿El plazo de 72 horas empieza con el envío o con el descubrimiento?

Con el descubrimiento. El RGPD habla de «tras tener conocimiento de ella». Si un fax enviado el día 3 se detecta el 17, la cuenta atrás empieza el 17, pero tendrá que explicar por qué transcurrieron catorce días sin detección, lo que apuntará a un fallo de control.

¿Hay que notificar si el destinatario ha destruido el documento?

No automáticamente. La destrucción rápida, acreditada, por un destinatario identificado y sujeto al secreto profesional reduce notablemente el riesgo. Si los datos no son sensibles ni bancarios, la inscripción en el registro puede bastar. Documente con precisión el razonamiento: es lo que le protegerá.

He recibido un fax por error: ¿tengo alguna obligación?

Sí, morales y prácticas. No difunda el documento, no lo conserve, destrúyalo y comunique el error al remitente si su identidad figura en la portada. Si el documento contiene datos de salud y usted mismo es profesional sanitario, el secreto se impone de hecho.

¿El fax en línea elimina el riesgo de error de número?

No, lo reduce. Siempre se puede teclear un número equivocado. Pero el historial completo permite una detección inmediata, queda constancia y el documento ya no existe en papel en su oficina. El riesgo residual se aborda con la libreta de destinatarios y la doble validación.

¿Quién debe notificar: la consulta o el proveedor de fax?

El responsable del tratamiento, es decir, usted. El proveedor, como encargado del tratamiento, debe informarle sin dilación para que usted pueda notificar. Compruebe que su contrato incluye esa cláusula y un plazo concreto.

En resumen

• Un fax enviado al número equivocado que contenga datos personales es una violación de datos en el sentido del RGPD, sea cual sea la buena fe del destinatario.
• Preserve primero las pruebas: informe de transmisión, registro, copia del documento, hora del descubrimiento. No purgue nada.
• El registro de violaciones es obligatorio en todos los casos; la notificación a la autoridad de control, solo en caso de riesgo no descartado, dentro de las 72 horas siguientes a tener conocimiento del hecho.
• Informe a las personas afectadas cuando el riesgo sea alto: salud, datos bancarios, usurpación de identidad.
• Obtenga una acreditación escrita de destrucción del destinatario involuntario: es el mejor factor de atenuación.
• Las medidas correctoras que convencen son estructurales: libreta validada, doble verificación, portada neutra, paso al fax en línea, destrucción segura del papel.