¿Cómo sé si una herramienta de videoconferencia es segura y cumple el RGPD?

Ninguna herramienta "cumple el RGPD" por sí sola: el cumplimiento depende de cómo la uses tú como responsable. Lo que sí puedes comprobar es si la herramienta y su proveedor te lo ponen fácil. Una lista práctica:

Seguridad

• Cifrado en tránsito. Audio, vídeo y datos deben ir cifrados entre el navegador y el servidor (en las herramientas WebRTC es lo estándar: TLS y DTLS-SRTP).
• Cifrado de extremo a extremo (E2EE): un paso más, en el que ni el servidor ve el contenido. Algunas herramientas lo ofrecen como opción (plugNmeet, por ejemplo); ten en cuenta que puede desactivar funciones del servidor como la grabación o los subtítulos con IA.
• Control de acceso: sala de espera o aprobación de invitados, roles de moderador, bloqueo de sala y enlaces únicos. Así evitas intrusos ("Zoom bombing").
• Actualizaciones: ¿quién parchea el software y con qué rapidez?

Protección de datos (RGPD)

• ¿Dónde se tratan y guardan los datos? Pregunta por la ubicación de los servidores, incluidas copias de seguridad y grabaciones.
• Contrato de encargado del tratamiento (artículo 28 RGPD) y lista de subencargados.
• Transferencias fuera de la UE: necesitan base legal, como el Marco de Privacidad de Datos UE-EE. UU. (decisión de adecuación del 10 de julio de 2023) o cláusulas contractuales tipo.
• Grabaciones: quién puede activarlas, cómo informas a los participantes, cuánto tiempo se guardan y cómo se borran. En BigBlueButton la grabación se activa por reunión y se puede desactivar en todo el servidor.
• Minimización: recoge solo lo necesario.

Alojar tú el software libre te da el máximo control sobre ubicación y conservación, pero asumes el trabajo de seguridad. Un servicio gestionado en la UE es un término medio si el contrato cubre lo anterior.