9 El almacenamiento inmutable es el mecanismo al que acaban reduciéndose casi todas las exigencias normativas sobre conservación de datos: retención que nadie pueda deshacer, trazabilidad que aguante una auditoría y una fecha de destrucción que se cumpla. La confusión de fondo es otra, y es la que importa en una licitación: que un sistema hable la API de S3 no dice nada sobre si cumple. La compatibilidad describe la interfaz. El cumplimiento describe qué ocurre cuando alguien con credenciales de administración intenta borrar algo que no debería poder borrar. Los plazos se cuentan desde eventos, no desde documentos El artículo 30.1 del Código de Comercio obliga a conservar libros, correspondencia, documentación y justificantes durante seis años, pero el cómputo arranca del último asiento realizado en los libros, no de la fecha del documento. La retención es por tanto una función de la actividad contable, no del ciclo de vida del objeto. La Ley General Tributaria fija en cuatro años la prescripción del derecho de la Administración a liquidar, que no es un plazo de conservación. Cuando ambos coinciden se aplica el más largo, y hay supuestos de diez años: el derecho a comprobar bases o cuotas compensadas o pendientes de compensación, típicamente bases imponibles negativas. El caso más interesante para el diseño de un sistema es el artículo 25.1 de la Ley 10/2010 de prevención del blanqueo: diez años de conservación, pero transcurridos cinco desde el fin de la relación de negocios, la documentación solo será accesible por los órganos de control interno y, en su caso, por los encargados de la defensa legal. No es un plazo, es un modelo de dos niveles con estrechamiento obligatorio del acceso. Traducido a arquitectura: retención más reconfiguración programada de permisos. El artículo 25.2 de esa misma ley es lo más parecido a un mandato legal de WORM en el ordenamiento español: exige soportes que garanticen la integridad, la correcta lectura de los datos y la imposibilidad de manipulación. La historia clínica: un suelo estatal y diecisiete techos El artículo 17.1 de la Ley 41/2002 obliga a conservar la documentación clínica durante el tiempo adecuado a cada caso y, como mínimo, cinco años contados desde la fecha del alta de cada proceso asistencial. Tres detalles cambian el dimensionamiento. El cómputo es por episodio asistencial, de modo que un mismo paciente genera varios relojes de retención independientes. La ley admite expresamente que la conservación no sea en el soporte original, lo que habilita la digitalización. Y es legislación básica: fija un suelo sobre el que legislan las comunidades autónomas. El resultado es un mapa desigual que conviene no simplificar en ninguna dirección. Cataluña exige quince años desde el alta para un conjunto tasado de documentos (informes de alta, informes quirúrgicos, registro de parto, anatomía patológica) y permite destruir el resto a los cinco. El País Vasco se mantiene en el mínimo de cinco. Un grupo sanitario con centros en varias comunidades opera con plazos distintos sobre el mismo tipo de documento, lo que hace inviable una política de retención única a nivel de bucket. El ENS: por qué la conformidad es un requisito de licitación El Esquema Nacional de Seguridad, regulado por el Real Decreto 311/2022, es el marco que decide si una solución de almacenamiento puede venderse al sector público español. Su artículo 2 alcanza a las entidades del sector público, a las privadas que les presten servicios competenciales y, en general, a la cadena de suministro de estas últimas. El artículo 2.3 obliga a que los pliegos contemplen la presentación de las Declaraciones o Certificaciones de Conformidad, y el CCN lo formula sin rodeos: la conformidad con el ENS de los sistemas que sustenten servicios competenciales es un imperativo legal. Conviene usar bien la terminología. Los niveles BAJO, MEDIO y ALTO se asignan por dimensión de seguridad, y las cinco dimensiones son confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad. La categoría del sistema, derivada de esos niveles, es BÁSICA, MEDIA o ALTA. Las medidas del Anexo II que más afectan al almacenamiento son op.exp.8 (registro de la actividad), op.nub.1 y op.nub.2 (la familia de nube, nueva en el RD 311/2022), op.ext.1 a op.ext.3 (servicios externos), mp.info.3 (cifrado) y mp.info.7 (copias de seguridad), que exige que los respaldos mantengan el mismo nivel de seguridad que los datos originales en integridad, confidencialidad, autenticidad y trazabilidad. Dos errores muy repetidos: op.exp.10 en el RD 311/2022 es protección de claves criptográficas, no de registros, y las copias de seguridad son mp.info.7, no mp.info.6. Dos aspectos con lógica distinta a la estadounidense. El ENS no prevé sanciones: la consecuencia real es la exclusión de la licitación, no una multa, de modo que el argumento de evitar penalizaciones no funciona aquí. Y el certificado debe abarcar como mínimo el ámbito objeto de la contratación y mantenerse en vigor durante toda su vigencia. Un certificado corporativo genérico no sustituye a uno con el alcance correcto, y eso suele decidir la adjudicación. Para sistemas de categoría MEDIA o ALTA la selección de productos pasa por el CPSTIC, el catálogo del Centro Criptológico Nacional publicado como guía CCN-STIC 105 y actualizado mensualmente. Si no hay producto catalogado, el artículo 19 del ENS remite a productos certificados, por ejemplo mediante Criterios Comunes. El cifrado solo es obligatorio cuando la confidencialidad alcanza nivel ALTO, con un mínimo de 128 bits según la guía CCN-STIC 807. Afirmar que el ENS exige cifrado en todo caso es un error que un auditor detecta de inmediato. El bloqueo del artículo 32 LOPDGDD: cuando suprimir no es borrar Aquí hay una figura propia del derecho español que no existe en el RGPD y que invierte la tensión habitual entre inmutabilidad y derecho de supresión. El artículo 32 de la Ley Orgánica 3/2018 obliga al responsable a bloquear los datos cuando proceda a su rectificación o supresión. Bloquear consiste en identificar y reservar los datos, con medidas técnicas y organizativas que impidan su tratamiento, incluida su visualización, salvo para ponerlos a disposición de jueces, Ministerio Fiscal o Administraciones competentes, y solo durante el plazo de prescripción de las responsabilidades. Transcurrido ese plazo, procede la destrucción. El apartado 4 es, en la práctica, una especificación de almacenamiento inmutable escrita dentro de una norma de protección de datos. Cuando la configuración del sistema no permita el bloqueo o exija un esfuerzo desproporcionado, la ley ordena un copiado seguro de la información de modo que conste evidencia que permita acreditar tres cosas: la autenticidad de la información, la fecha del bloqueo y la no manipulación de los datos durante el mismo. Un objeto con retención hasta fecha, versionado y registro de actividad acredita exactamente esos tres extremos. La consecuencia conceptual merece subrayarse. En la mayoría de los mercados la inmutabilidad se presenta como algo que choca con el derecho de supresión y hay que reconciliar. En España, cuando el bloqueo en origen resulta desproporcionado, la inmutabilidad es el modo legalmente previsto de ejecutar ese derecho. Eso sí, exige una norma con rango de ley, el acceso debe restringirse de verdad y no marcarse con una bandera lógica, y el plazo debe constar por tratamiento en el registro de actividades. Los plazos de bloqueo del informe jurídico de referencia de la AEPD son cortos: tres años como máximo para la responsabilidad derivada del tratamiento, cuatro para deudas tributarias, cinco para obligaciones personales. Y hay techos muy breves en cargas habituales de almacenamiento: un mes en videovigilancia, tres meses en denuncias internas, con borrado físico después. Almacenamiento inmutable, residencia y el estado de NIS2 Técnicamente, la retención se impone con S3 Object Lock. En modo Compliance ningún usuario puede sobrescribir, eliminar ni acortar la retención de una versión protegida, incluida la cuenta raíz. En modo Governance el override exige a la vez el permiso s3:BypassGovernanceRetention y una cabecera explícita. Ampliar se puede en ambos modos; acortar, solo en Governance. Tres detalles generan hallazgos: Object Lock requiere versionado y no se desactiva después, la retención legal no caduca hasta que se levanta y el bypass no la vence, y una eliminación sin identificador de versión tiene éxito y coloca un marcador de borrado no protegido, de modo que el dato sigue ahí pero el objeto parece eliminado. Sobre residencia hay que ser preciso, porque es el punto peor contado del marketing de nube en España. No existe una obligación general de residencia, ni española ni europea. Sí existe una de localización muy concreta: los recursos técnicos de los sistemas de identificación del artículo 9.2.c) de la Ley 39/2015 deben situarse en la Unión Europea y, si tratan categorías especiales de datos, en territorio español. Fuera de ese supuesto la exigencia llega por el pliego, no por la ley, y el propio CCN confirma que hay empresas certificadas cuyos sistemas no están en España. En cuanto a NIS2, España no ha transpuesto la Directiva (UE) 2022/2555. El plazo terminó el 17 de octubre de 2024 y el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad sigue en tramitación desde enero de 2025. A principios de julio de 2026 la Comisión Europea llevó a España ante el Tribunal de Justicia de la Unión Europea, junto con Irlanda, Francia y Países Bajos, solicitando una cantidad a tanto alzado y multas diarias. DORA, en cambio, se aplica directamente desde el 17 de enero de 2025: lo pendiente en España es el régimen sancionador. Conviene no escribir que DORA va a llegar, porque ya obliga. Checklist de evaluación Object Lock en modo Compliance y Governance, con retención legal independiente del plazo y valores por defecto a nivel de bucket.Retención anclada a eventos, no a la fecha de creación: último asiento, alta del proceso asistencial, fin de la relación de negocios.Capacidad de estrechar el acceso a mitad del plazo, como exige el artículo 25.1 de la Ley 10/2010 a los cinco años, y perfiles distintos por comunidad autónoma en historia clínica.Registro de actividad a nivel de API con control de integridad, conservado al menos tanto como los datos que documenta (op.exp.8).Copias de seguridad con el mismo nivel de integridad, confidencialidad, autenticidad y trazabilidad que los originales (mp.info.7).Certificación de Conformidad con el ENS cuyo alcance cubra el objeto del contrato y siga vigente durante toda su duración, más presencia en el CPSTIC para categoría MEDIA o ALTA.Soporte para el bloqueo del artículo 32 LOPDGDD, acreditando autenticidad, fecha de bloqueo y no manipulación, con destrucción al vencer la prescripción.Separación de funciones y supervisión de quien tenga el permiso de bypass. En resumen En España el cumplimiento en almacenamiento se decide en dos planos que la literatura anglosajona no distingue bien: los plazos, anclados a eventos y fragmentados por comunidad autónoma, y la elegibilidad, porque sin una Certificación de Conformidad con el ENS de alcance correcto la discusión técnica no llega a producirse. El almacenamiento inmutable resuelve la parte mecánica de casi todos esos requisitos, y las piezas técnicas están disponibles y son comparables entre plataformas. Lo que suele fallar no es una función ausente, sino un plazo que nadie puede vincular a una norma concreta y un registro de actividad que nadie ha intentado exportar todavía. Preguntas frecuentes ¿Exige el ENS cifrar toda la información? No. La medida mp.info.3 del Anexo II del Real Decreto 311/2022 obliga a cifrar cuando la dimensión de confidencialidad alcanza nivel ALTO, con un nivel de seguridad mínimo de 128 bits conforme a la guía CCN-STIC 807. En categorías inferiores el cifrado es recomendable, pero no es una medida exigible con carácter general. ¿Es obligatoria la conformidad con el ENS para un proveedor extranjero? Sí, si sus sistemas sustentan servicios competenciales para el sector público español. El artículo 2 del RD 311/2022 alcanza también a la cadena de suministro, y el CCN confirma que es preceptivo con independencia de que la entidad sea española o no, y que existen empresas certificadas cuyos sistemas no están ubicados en España. Lo determinante es que el alcance del certificado cubra el objeto del contrato. ¿Cuánto hay que conservar una historia clínica? El mínimo estatal son cinco años desde el alta de cada proceso asistencial, según el artículo 17 de la Ley 41/2002, pero varias comunidades autónomas exigen más. Cataluña llega a quince años desde el alta para un conjunto determinado de documentos, mientras el País Vasco se mantiene en cinco. La consecuencia operativa es que un grupo con centros en varias comunidades necesita perfiles de retención distintos para el mismo tipo de documento. ¿El bloqueo de datos es lo mismo que la limitación del tratamiento del RGPD? No exactamente. El bloqueo del artículo 32 LOPDGDD es una figura propia del derecho español que no aparece en el RGPD: se activa al rectificar o suprimir, reserva los datos impidiendo todo tratamiento incluida su visualización, y termina en destrucción al vencer el plazo de prescripción. Requiere además una norma con rango de ley y que el plazo conste por tratamiento en el registro de actividades. Para seguir leyendo La versión en inglés de este tema está disponible en S3 compliance, los detalles técnicos de Object Lock en S3 object lock: immutability and WORM, y el cifrado en data encryption for compliance.
