RGPD

Relevancia cuántica

La tecnología cuántica puede ser medio de tratamiento y plantea un riesgo futuro de confidencialidad para datos personales conservados durante largos periodos (HNDL ante un futuro ordenador cuántico criptográficamente relevante). Esta relevancia es una interpretación de gestión del riesgo. El RGPD se aplica cuando concurren su ámbito material y territorial y es tecnológicamente neutro; no exige una migración PQC automática y universal.

Criterios de aplicación (5)

• O

  Los responsables y encargados deben aplicar medidas técnicas y organizativas apropiadas para garantizar una seguridad adecuada al riesgo, incluida la protección frente al tratamiento no autorizado o ilícito y frente a pérdida, destrucción o daño accidental, mediante medidas como confidencialidad, integridad, disponibilidad, resiliencia, seudonimización, cifrado y procesos periódicos de verificación cuando proceda. En contexto cuántico, esta obligación no se traduce automáticamente en un mandato universal de criptografía poscuántica, sino en un análisis de seguridad conforme al riesgo, al estado de la técnica, a los costes, a la naturaleza, al alcance, al contexto y a los fines del tratamiento. El fundamento se encuentra en los artículos 5.1.f y 32 RGPD.

  Roles responsable, encargado

• I

  La transición progresiva a criptografía poscuántica debe formularse como medida interpretativa de gestión del riesgo HNDL, priorizable cuando la criticidad de los datos, su vida útil de confidencialidad, la exposición criptográfica y el estado de la técnica lo justifiquen. El RGPD no impone, por sí mismo, una obligación automática y universal de migración PQC para todo responsable o encargado.

  Roles responsable, encargado

• I

  El responsable debe aplicar protección de datos desde el diseño y por defecto al determinar los medios del tratamiento y durante el propio tratamiento. En sistemas con exposición criptográfica relevante, esa obligación puede justificar inventario criptográfico, cripto-agilidad, minimización y controles de seguridad si resultan proporcionados al riesgo, pero esas medidas concretas deben mantenerse como desarrollo interpretativo y no como requisito uniforme para todos los tratamientos. El fundamento de diseño y defecto se encuentra en el artículo 25 RGPD.

  Roles responsable

• I

  La evaluación de impacto relativa a la protección de datos debe realizarse antes del tratamiento cuando sea probable que un tipo de tratamiento, en particular con nuevas tecnologías, entrañe un alto riesgo para los derechos y libertades de las personas físicas. El uso de tecnología cuántica o de técnicas de machine learning cuántico no activa por sí solo la EIPD si no concurre la probabilidad de alto riesgo exigida por el artículo 35 RGPD.

  Roles responsable

• I

  La reidentificación de datos anonimizados mediante técnicas cuánticas debe describirse como hipótesis técnica que exige evaluación con evidencia y con los medios razonablemente utilizables, y no como capacidad general demostrada ni como consecuencia jurídica automática. Se mantiene la distinción entre datos anónimos fuera de los principios de protección de datos y datos seudonimizados o reidentificables que siguen pudiendo vincularse a una persona física mediante información adicional.

  Roles responsable

Riesgo si se incumple

Aplicación práctica — QT-QMS

Controles propuestos del modelo QT-QMS. Salvo indicación expresa, son propuestas operativas (P) que deben adaptarse al rol, al ámbito y al riesgo de cada organización.

• Clasificación de datos frente a HNDL

  Evaluar qué datos personales y secretos de larga vida serían críticos ante una ruptura criptográfica futura, priorizando datos de salud, credenciales, claves maestras y otros activos cuya confidencialidad deba mantenerse durante plazos prolongados. El RGPD se aplica cuando esos activos contengan datos personales; la protección de otros secretos es propuesta de seguridad del manual. En sensórica, verificar si el sensor captura o permite inferir datos personales directa o indirectamente, por ejemplo patrones de movimiento o hábitos, y aplicar minimización, almacenamiento seguro y protección de datos desde el diseño cuando proceda. La priorización PQC se etiqueta como interpretación basada en riesgo, sin mandato automático universal.

  Manual QT-QMS §1.1, §1.4

  Fuente del contraste documental ↗ · arts. 4.5, 13-15, 22, 25, 32, 35 y considerando 26

• IA cuántica y datos: pseudonimización y art. 22

  En analítica financiera con QML, considerar la seudonimización previa al envío a una nube cuántica como medida proporcionada; no equivale a anonimización ni sustituye las restantes garantías. Documentar las decisiones automatizadas y preparar información significativa cuando procedan los artículos 13.2.f, 14.2.g, 15.1.h y 22 RGPD; comprobar decisión exclusivamente automatizada y efectos jurídicos o similares significativos. Para scoring de solvencia de personas físicas, verificar su clasificación conforme al artículo 6.2 y anexo III.5.b RIA y la exclusión de detección de fraude financiero. Auditoría de sesgos, reequilibrado y explicaciones son medidas propuestas o exigibles según régimen y caso, sin automatismo por usar cuántica. La EIPD depende del alto riesgo RGPD; la FRIA del artículo 27 RIA depende de sus destinatarios, ámbito y fechas. A 03-10-2026 no afirmar FRIA actualmente obligatoria por defecto: el capítulo III, secciones 1-3 para artículo 6.2/anexo III se aplica desde 02-12-2027 tras 2026/1744, sin perjuicio de la excepción artículo 6.5 y del transitorio artículo 111 modificado. Preparar la evaluación y comprobar el caso concreto.

  Manual QT-QMS §1.3, §4.1

  Fuente del contraste documental ↗ · arts. 4.5, 13-15, 22, 25, 32, 35 y considerando 26

  Fuente del contraste documental ↗ · art. 1.39-40; nuevos arts. 111 y 113.c.i

• Riesgo de reidentificación en la evaluación de impacto

  La plantilla EIEC pregunta si datos presentados como anónimos podrían volver a vincularse a personas físicas por correlación con datos auxiliares, valorando costes, tiempo, tecnología disponible y avances razonablemente utilizables. La reidentificación cuántica es una hipótesis que exige evidencia, no una capacidad general demostrada. Privacidad diferencial, aprendizaje federado, cifrado homomórfico y computación multipartita son mitigaciones propuestas según riesgo; no se presume que cualquier técnica asegure anonimización. La EIPD con enfoque cuántico procede cuando concurran los presupuestos del artículo 35 RGPD. La auditoría ético-legal propuesta revisa EIPD, trazabilidad del consentimiento cuando sea la base aplicable y mecanismos para ejercer los derechos de los artículos 15-22 en sus condiciones, aunque los datos se procesen con algoritmos cuánticos.

  Manual QT-QMS, Anexo EIEC y §3.2

  Fuente del contraste documental ↗ · arts. 4.5, 13-15, 22, 25, 32, 35 y considerando 26

Historial de cambios

• jul 2026Ficha de origen de la edición de 27-07-2026. Revisión documental propuesta al 03-10-2026: distinguir seguridad/diseño/EIPD jurídicamente exigibles de medidas PQC interpretativas; conservar cualquier propuesta del Ómnibus digital como propuesta mientras no se verifique su adopción y aplicación.

Fuentes

Fuentes verificadas

• Reglamento (UE) 2016/679 — Reglamento General de Protección de Datos ↗
  https://eur-lex.europa.eu/eli/reg/2016/679/oj
• arts. 5.1.f y 32 ↗
  https://www.boe.es/buscar/doc.php?id=DOUE-L-2016-80807