Compartir documentos en una red de alumni sin riesgo RGPD

El problema no es el documento, son las copias

Cuando un responsable de alumni envía un archivo a cuarenta personas, no está compartiendo un documento: está fabricando cuarenta ejemplares y perdiendo el control de todos ellos al instante. Cada copia vive ya su propia vida, en un buzón profesional, en un teléfono personal, en una carpeta de copia de seguridad automática, a veces en un adjunto reenviado a alguien que nunca fue destinatario. Ninguno de esos ejemplares puede recuperarse.

Es esa multiplicación la que vuelve difícil el asunto, y no la sensibilidad del documento. Una tabla de seguimiento de cuotas no tiene nada de secreto por separado; repartida en cuarenta copias sin fecha de caducidad, se convierte en un tratamiento que nadie controla y que nadie sabrá describir el día en que se lo pidan.

El giro que hay que dar es fácil de enunciar y exigente de sostener: no se distribuye el documento, se da acceso a un ejemplar único. Mientras el archivo viaje, el cumplimiento queda fuera de alcance, sea cual sea la calidad del resto del dispositivo. Mientras permanezca en su sitio y solo varíen los derechos, todo lo demás se vuelve tratable, incluida la retirada de un acceso y la supresión.

Lo que un delegado de protección de datos reprocha al correo colectivo

El correo colectivo concentra varios defectos que no se ven al pulsar enviar y que aparecen todos en el momento del control. El primero es la imposibilidad de retirada: una vez enviado, un archivo no se recupera, y la única acción posible consiste en pedir amablemente a los destinatarios que lo borren, lo cual no es una medida de seguridad sino una esperanza.

El segundo defecto es la exposición de los destinatarios entre sí: un envío con copia visible comunica a cada persona las direcciones de todas las demás, divulgación que nada justificaba. El tercero es la ausencia de trazabilidad útil: la bandeja de enviados indica a quién salió el mensaje el día en que salió, y nada sobre quién sigue teniendo el documento seis meses después.

El cuarto es el más insidioso. El correo colectivo anima a adjuntar el documento completo, porque extraer la parte útil exige un esfuerzo adicional que nadie hace un viernes por la tarde. Así se envía la exportación íntegra del directorio cuando la pregunta se refería a tres contactos, y se crea un problema de cumplimiento por pura economía de manipulación.

El enlace abierto convierte la URL en contraseña

El disco compartido pasa por ser la versión limpia del correo colectivo. Lo es en un punto: el documento sigue siendo único y se actualiza para todos. Deja de serlo en el punto que importa en cuanto la configuración se fija en el modo más cómodo, el que autoriza a cualquier persona que disponga del enlace.

Con esa configuración, la dirección del documento se convierte en el único secreto que protege su contenido. Y una dirección se reenvía, se pega en un hilo de conversación, aparece en un mensaje de invitación a un evento y sobrevive indefinidamente al motivo que había justificado compartirla. Nadie necesita adivinar nada: basta con que un enlace circule una vez de más. Un control de acceso que no verifica ninguna identidad no es un control de acceso, es una oscuridad.

El segundo problema del disco compartido es la deriva silenciosa de los permisos. Una carpeta creada para tres personas acoge a once dos años después, dos de las cuales ya no están en la junta, y nada en la interfaz señala que la situación ha cambiado. Nadie relee jamás las autorizaciones de una carpeta compartida. Es la misma sedimentación que hace derivar un directorio llevado en hoja de cálculo, descrita en nuestra comparación entre un directorio en Excel y un directorio en plataforma.

Minimización: la pregunta que hay que hacerse antes de compartir

La CNIL define la minimización en una frase que merece citarse literalmente, porque contiene todo el razonamiento. En el original francés, en su página de definición: « Les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. » En nuestra propia traducción: los datos personales deben ser adecuados, pertinentes y limitados a lo necesario en relación con las finalidades para las que se tratan. El ejemplo que da la CNIL en esa página es revelador por su banalidad: recoger y conservar el estado civil de un empleado no es necesario para la gestión de recursos humanos.

Trasladado al uso compartido de documentos en una red de alumni, el principio se traduce en una única pregunta, formulada antes del envío y no después del incidente: ¿qué necesita realmente mi destinatario para hacer lo que le pido? El responsable de una delegación regional que organiza un encuentro necesita los miembros de su región y una dirección de contacto. No necesita su fecha de nacimiento, su empleador, el importe de su cuota ni su historial de conexión, campos que sin embargo acaban en la exportación por defecto, porque la exportación por defecto lo saca todo.

La minimización tiene un efecto secundario raras veces destacado: reduce mecánicamente la gravedad de lo que pueda salir mal. Un archivo limitado a lo necesario sigue siendo incómodo si se filtra, pero no se convierte en un caso. Es el mejor argumento frente al reflejo de la tabla completa, y solo exige un minuto de selección antes de enviar. El resto de las obligaciones documentales figura en nuestra lista de verificación RGPD para un directorio de alumni.

Suprimir, y que la supresión sea real

El derecho de supresión es el punto donde los dispositivos improvisados ceden más rápido. Un antiguo alumno pide que sus datos desaparezcan, y el responsable de alumni borra concienzudamente su ficha en la plataforma. Mientras tanto, el currículum que esa persona había enviado para una oferta de empleo duerme en el hilo de mensajes de un responsable de carreras, la lista de asistencia del evento en el que figura circula en tres buzones, y el archivo de preparación de la asamblea general que recoge su nombre está archivado en un disco cuya existencia ya nadie recuerda.

La supresión solo tiene sentido allí donde existe un único ejemplar alcanzable mediante una acción del administrador. Es una propiedad de la arquitectura, no una cuestión de buena voluntad. Si su dispositivo no sabe responder en una sola operación dónde están todos los documentos que contienen los datos de esa persona, la respuesta al solicitante será aproximada, y usted lo sabrá.

La misma lógica rige la salida de una plataforma, cuando la organización cambia de herramienta y debe obtener la restitución y después la supresión del conjunto: es el tema de la reversibilidad de los datos, donde los documentos adjuntos suelen olvidarse en favor de la sola base de miembros. Una exportación que devuelve las fichas pero deja atrás los adjuntos no es una exportación completa.

Cuánto tiempo conservar un documento compartido

La CNIL recuerda un principio que las redes de alumni rara vez aplican a sus documentos. En su página sobre los plazos de conservación: « Les données personnelles ne peuvent pas être conservées indéfiniment. » Los datos personales no pueden conservarse indefinidamente, y el plazo se determina, en palabras de la CNIL, « en fonction de l'objectif ayant conduit à la collecte », en función del objetivo que llevó a la recogida. Eso descarta la respuesta cómoda de guardarlo todo por precaución.

La CNIL distingue tres fases en el ciclo de vida de un dato, y la distinción se traslada directamente a un documento. En base activa, el dato se conserva el tiempo necesario para alcanzar el objetivo y sigue siendo accesible a los equipos operativos: es el caso del archivo de preparación de un evento mientras el evento no se ha celebrado. En archivo intermedio, los datos ya no se utilizan para alcanzar el objetivo fijado pero conservan un interés administrativo, y su acceso queda restringido a personas específicamente habilitadas: es el estatuto natural del acta de una asamblea general una vez cerrada la sesión. En archivo definitivo, la conservación es permanente por un interés histórico o estratégico, lo que afecta a una parte muy estrecha de los documentos de una red de alumni.

Queda la pregunta que todo el mundo hace. Cuando ningún texto fija un plazo, la CNIL indica que corresponde al responsable del tratamiento justificar el que adopta. El asunto no es encontrar el número correcto de años en alguna parte, sino ser capaz de explicar su elección y haberla puesto por escrito antes de que se la pidan. Un plazo decidido y documentado, aunque sea discutible, vale más que la ausencia de plazo. La misma exigencia vale para el alojamiento y la subcontratación, detallados en nuestra guía RGPD y alojamiento.

Cuándo compartir sin más sigue siendo lo correcto

Sería deshonesto concluir que cualquier envío por correo o por enlace es reprochable. Buena parte de los documentos que circulan en una red de alumni no contienen ningún dato personal, y para esos la pesadez no aporta nada. El programa de un evento, el folleto de presentación de la asociación, un modelo de convenio en blanco, los estatutos públicos de la estructura: esos documentos están hechos para circular, y un enlace abierto es la herramienta adecuada.

Del mismo modo, enviar un documento a una sola persona identificada, en el marco de un intercambio que ella misma ha iniciado, no plantea ninguna dificultad particular mientras el documento se limite a lo que ese intercambio exige. Compartir se convierte en un asunto a partir del momento en que se reúnen tres condiciones: el documento contiene datos personales, se dirige a un grupo y no a una persona, y está destinado a permanecer disponible en el tiempo.

El buen reflejo no es, por tanto, blindarlo todo, lo que produce invariablemente un rodeo, sino saber reconocer esas tres condiciones. Un dispositivo que impone el mismo rigor al programa de la gala que a la lista de cotizantes acaba abandonado en favor del disco personal de un voluntario, el peor resultado posible.

Implantar un uso compartido conforme, en siete pasos

1. Califique el documento antes de compartirlo. ¿Contiene datos personales? Si no, un enlace abierto sirve. Si sí, se aplica el resto.
2. Reduzca el contenido a lo necesario. Suprima las columnas y las páginas que el destinatario no necesita para la tarea pedida. Es la aplicación directa de la minimización.
3. Elija un canal que lleve el control de acceso. El archivo debe seguir siendo único y los derechos deben ir unidos a él, no al conocimiento de una dirección.
4. Designe un perímetro, no una lista de personas. Los participantes de una conversación, los miembros de una junta: un perímetro se actualiza solo, una lista nominal caduca en la primera elección.
5. Fije el plazo en el momento de subir el archivo. Decida en qué fecha el documento pasa a acceso restringido y luego desaparece, y escriba esa decisión en un lugar localizable.
6. Compruebe lo que ve realmente un destinatario. Abra el documento desde una cuenta que no sea la suya, y desde una sesión sin conexión. Es la única prueba que revela un uso compartido demasiado abierto.
7. Revise los accesos en una fecha fija. Una vez al año, con la renovación de la junta, relea quién tiene acceso a qué y retire lo que ya no tiene razón de ser.

Lo que cambia un adjunto en mensajería, y en qué planes

En Terrilink, un documento se comparte dentro de una conversación y no al lado de ella. La diferencia no es cosmética: el archivo solo es legible por los participantes de esa conversación, el control de acceso lo lleva el propio archivo, y no existe ninguna dirección pública que permita acceder a él sin pasar por ese control. Un enlace copiado en otro contexto no da nada a quien no tiene los derechos.

Los límites son explícitos en lugar de implícitos: 5 archivos por mensaje y 10 MB por archivo. Un límite conocido vale más que un techo descubierto en el peor momento, y tiene un efecto virtuoso de selección: se adjunta el documento útil, no la carpeta entera. Retirar a un miembro de una conversación le retira el acceso a los archivos adjuntos a ella, lo que hace que la revocación sea real y no declarativa.

Un punto que no conviene confundir, porque determina la elección del plan. La mensajería existe en todos los planes de Terrilink, incluido Starter. Los archivos adjuntos en mensajería, en cambio, solo figuran en los planes Premium y Business Club. Si su red está en Starter o en Pro, sus miembros pueden intercambiar mensajes, pero no adjuntar documentos: es exactamente el tipo de detalle que conviene haber verificado antes de construir un proceso encima. Dónde se alojan esos archivos es otra cuestión de arquitectura, que detallamos en nuestro artículo sobre la soberanía de los datos de alumni.

Ninguna herramienta exime del trabajo de selección descrito más arriba. Lo que aporta es que las decisiones tomadas una vez se mantienen sin depender de la vigilancia de cada cual, algo que ni el buzón de correo ni el disco compartido saben hacer: vea la página Terrilink for Alumni.

En resumen

Nota metodológica y fuentes. Los dos principios jurídicos citados proceden del sitio de la CNIL, la autoridad francesa de protección de datos, consultado el 31 de agosto de 2026: la definición de la minimización y la página sobre los plazos de conservación de los datos, de donde se recogen las tres fases y el principio de justificación del plazo. Las citas se dan en el francés original, con nuestra propia traducción; no son redacciones oficiales en español. No citamos ningún artículo del reglamento en apoyo de estas páginas, que no lo mencionan. Los límites de 5 archivos por mensaje y 10 MB por archivo, así como la disponibilidad de los archivos adjuntos en mensajería únicamente en los planes Premium y Business Club, proceden de la documentación de producto de Terrilink. El resto del artículo describe observaciones de organización procedentes de nuestra práctica y no mediciones: no avanzamos deliberadamente ninguna estadística sobre las prácticas de intercambio de documentos. Este artículo no constituye asesoramiento jurídico; para una cuestión concreta, consulte los textos oficiales o a su delegado de protección de datos.