PostgreSQL

¿Qué es PostgreSQL?

PostgreSQL es un sistema de gestión de bases de datos objeto relacionales (ORDBMS) libre y de código abierto con más de 35 años de desarrollo activo. Es utilizado en todo el mundo por empresas, administraciones públicas y proveedores SaaS como almacén central de datos para aplicaciones web, plataformas analíticas y sistemas de información geográfica. Desde el punto de vista del RGPD, PostgreSQL es un componente de backend que almacena y procesa datos personales de forma persistente, pero que por sí mismo no realiza ningún seguimiento ni instala cookies.

¿Qué datos procesa PostgreSQL?

Los datos almacenados en una instancia de PostgreSQL dependen totalmente del caso de uso. En plataformas de comercio electrónico se guardan habitualmente pedidos, direcciones de envío, justificantes de pago y cuentas de cliente. Los CRM almacenan datos de contacto, historiales de interacción y notas. Las tablas de logs y auditoría pueden contener direcciones IP, user agents y marcas temporales que el RGPD considera datos personales. El responsable del tratamiento debe documentar cada tabla con datos identificables en su registro de actividades de tratamiento.

Obligaciones RGPD al utilizar PostgreSQL

Como PostgreSQL no instala cookies ni genera identificadores en el cliente, no se requiere consentimiento conforme al artículo 22.2 de la LSSI ni a la Directiva ePrivacy. Sin embargo, el tratamiento de los datos personales almacenados debe contar con una base jurídica del artículo 6 del RGPD, normalmente la ejecución de un contrato, el interés legítimo o el consentimiento. El responsable está obligado a aplicar medidas técnicas y organizativas conforme al artículo 32: cifrado en reposo y en tránsito (TLS), control de acceso basado en roles (GRANT, REVOKE, Row Level Security), copias de seguridad periódicas y registros de auditoría.

Ubicación del hosting y transferencias internacionales

El estatus RGPD depende del proveedor de hosting. Una instancia PostgreSQL autoalojada en un centro de datos de la Unión Europea no implica transferencia internacional. Si en cambio utiliza bases de datos gestionadas en Amazon RDS, Google Cloud SQL, Azure Database u otros proveedores estadounidenses, se aplican los requisitos del Capítulo V del RGPD. Seleccionar una región europea junto con el EU US Data Privacy Framework o cláusulas contractuales tipo (CCT) permite la transferencia, siempre que se realice una evaluación de impacto de la transferencia (TIA).

Pasos prácticos de cumplimiento

Cifre los campos sensibles con pgcrypto, active TLS para todas las conexiones y restrinja el acceso a la base de datos mediante firewall y VPN. Defina plazos de conservación por tabla y automatice la supresión o anonimización con pg_partman o tareas cron. Firme un contrato de encargado del tratamiento con cada proveedor de hosting conforme al artículo 28 del RGPD y mantenga el registro de actividades de tratamiento. Documente la arquitectura de datos y disponga de procedimientos para responder a las solicitudes de acceso y supresión previstas en los artículos 15 y 17 del RGPD.