Un despacho de abogados o una consultora de servicios profesionales vive de su información: expedientes, contratos, correos con clientes, escritos judiciales, datos fiscales. Si esa información desaparece por un fallo del disco duro, un ransomware o un simple error humano, el problema no es solo operativo. Es también un problema de cumplimiento normativo, porque el Reglamento General de Protección de Datos (RGPD) exige garantizar la disponibilidad y la resiliencia de los sistemas que tratan datos personales. La regla 3-2-1 es la forma más sencilla y probada de organizar las copias de seguridad para no depender de la suerte.
Qué es exactamente la regla 3-2-1
La regla 3-2-1 es un esquema clásico de copias de seguridad que se resume en tres cifras fáciles de recordar:
- 3 copias de cada dato importante: el original más dos copias adicionales.
- 2 soportes distintos: por ejemplo, un disco local y un servicio en la nube, o un NAS y una cinta.
- 1 copia fuera de las instalaciones (offsite): en otra ubicación física o en un proveedor cloud, para que un incendio, un robo o una inundación en el despacho no afecte a todas las copias a la vez.
La lógica detrás de esta regla no es teórica: cada elemento cubre un riesgo distinto. Tener solo una copia no protege de nada; tener dos copias en el mismo disco no protege de un fallo de ese disco; y tener todas las copias en el mismo edificio no protege de un siniestro físico. La combinación de los tres factores reduce drásticamente los escenarios en los que se pierde información de forma irreversible.
Protección de datos: dónde suelen fallar los despachos
La mayoría de sanciones no llegan por un ataque informático, sino por no tener el registro de actividades de tratamiento o por guardar expedientes sin control de accesos. Un programa que registre quién consulta cada expediente resuelve buena parte del problema: así funcionan el software médico DriCloud y software dental en el ámbito dental. Si ya ha recibido un requerimiento, conviene hablar con abogados de protección de datos.
Por qué un despacho de abogados no puede improvisar aquí
El Estatuto General de la Abogacía Española (Real Decreto 135/2021) recuerda el deber de secreto profesional y la custodia diligente de la documentación del cliente, lo que en la práctica exige que esa documentación esté disponible y protegida frente a pérdidas, no solo frente a accesos indebidos. A esto se suma el artículo 32 del RGPD, que obliga a implementar medidas técnicas y organizativas apropiadas para garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas de tratamiento, así como la capacidad de restaurar el acceso a los datos personales de forma rápida en caso de incidente físico o técnico.
La LOPDGDD (Ley Orgánica 3/2018) no detalla un procedimiento técnico concreto para las copias de seguridad, pero refuerza el principio de responsabilidad proactiva: el despacho debe poder demostrar que ha adoptado medidas razonables para proteger los datos que gestiona, y una política de backups documentada es una de las evidencias más claras de esa diligencia ante una inspección o una reclamación de un cliente.
Errores habituales en despachos pequeños
En estructuras de pocos empleados es frecuente encontrar alguno de estos fallos, que en la práctica anulan la utilidad de la regla 3-2-1:
- Copias que se hacen, pero nunca se comprueba si se pueden restaurar correctamente.
- Un único disco externo conectado permanentemente al ordenador, que un ransomware puede cifrar junto con el original.
- Confiar toda la seguridad a una carpeta sincronizada en la nube, sin versión histórica ni copia independiente offsite real.
- Falta de un responsable claro que verifique periódicamente que las copias se ejecutan sin errores.
- Ausencia de cifrado en las copias que salen del despacho, lo que expone datos de clientes si el soporte se pierde o es sustraído.
Cómo aplicarla con recursos limitados
No hace falta un departamento de sistemas para cumplir la regla 3-2-1. Un esquema razonable para un despacho pequeño puede combinar una copia local automatizada en un NAS o disco dedicado, una segunda copia en un servicio cloud con cifrado y control de versiones, y revisiones periódicas de restauración (no solo de que la copia "se ha hecho", sino de que el archivo recuperado abre y es legible). Es recomendable también:
- Definir qué información es crítica (expedientes activos, facturación, correo) y priorizar su copia sobre datos menos sensibles.
- Establecer una frecuencia de copia acorde al volumen de trabajo diario, no solo semanal si hay movimiento constante de documentos.
- Documentar el procedimiento por escrito, incluyendo quién es responsable y cómo se verifica.
- Cifrar las copias, especialmente la que sale del despacho, dado que contendrá datos personales y, en muchos casos, información amparada por el secreto profesional.
Copias de seguridad y continuidad de negocio
Más allá del cumplimiento normativo, la regla 3-2-1 es una cuestión de continuidad. Un despacho que pierde acceso a sus expedientes durante días arriesga plazos procesales, la confianza de sus clientes y, en última instancia, su reputación. La Ley 11/2021 de medidas de prevención y lucha contra el fraude, y de forma más general el marco de digitalización que introduce la Ley 18/2022 (Ley Crea y Crece) para las empresas, refuerzan la tendencia hacia una gestión documental digital cada vez más exigente en cuanto a trazabilidad y disponibilidad. En ese contexto, contar con una política de copias sólida no es un extra técnico, sino una condición básica para operar con garantías.
Puntos clave para recordar
- 3 copias de cada dato importante, 2 soportes distintos, 1 copia fuera del despacho.
- El RGPD (artículo 32) exige capacidad de restauración rápida tras un incidente.
- El Estatuto General de la Abogacía obliga a custodiar diligentemente la documentación del cliente.
- Comprobar periódicamente que las copias se restauran correctamente, no solo que se generan.
- Cifrar siempre la copia que sale de las instalaciones del despacho.
Aplicar la regla 3-2-1 no requiere una gran inversión, pero sí disciplina y un responsable identificado. Para profundizar en otras medidas de protección de datos aplicables a despachos y pequeñas empresas de servicios profesionales, puede consultarse la sección de Privacidad y Seguridad, y para más artículos sobre gestión y organización del despacho, el blog de Gestión Empresa.
Diversificar el patrimonio del despacho
Cuando un despacho consolida beneficios, la siguiente decisión suele ser dónde colocarlos. La inversión inmobiliaria en el extranjero es una de las vías habituales: por ejemplo, propiedades en Palm Beach. Conviene analizar antes la fiscalidad de la operación y, si hay dudas sobre la estructura, consultar con abogados en Madrid.