Destrucción certificada de discos duros y RAEE con datos: guía para empresas
Retirar un ordenador no elimina la información que contiene. Vaciar la papelera, borrar archivos o formatear rápidamente un disco puede dejar datos recuperables. Cuando una empresa gestiona discos duros y RAEE con información, tiene dos obligaciones que deben avanzar juntas: proteger los datos y tratar correctamente el residuo electrónico.
La destrucción certificada crea una cadena de custodia desde el inventario hasta el reciclaje de materiales. No consiste únicamente en triturar. Si se pierde el control antes de la destrucción, un certificado final no reconstruye lo sucedido.
Por qué el borrado normal no es suficiente
Los sistemas de archivos suelen marcar el espacio como disponible sin sobrescribir inmediatamente el contenido. Incluso un formateo puede no aplicar un método verificable a todas las áreas. INCIBE explica en su guía de borrado seguro que deben utilizarse técnicas adecuadas al soporte y al nivel de confidencialidad, como sobrescritura, desmagnetización o destrucción física.
El artículo 32 del Reglamento General de Protección de Datos exige medidas técnicas y organizativas apropiadas al riesgo. El texto oficial está disponible en el RGPD publicado en el BOE. Esto no impone un único método para todos los discos: exige evaluar contexto, tecnología y consecuencias.
Un circuito seguro en cinco etapas
1. Inventariar
Registra tipo de equipo, número de activo, número de serie del soporte, ubicación, propietario interno, nivel de información y motivo de baja. Un portátil puede contener SSD, y una impresora, memoria interna. La revisión debe abarcar servidores, móviles, copias, cabinas y equipos de red.
2. Asegurar la cadena de custodia
Desde la retirada, los soportes permanecen en recipientes o jaulas cerradas, con acceso limitado. Cada entrega se documenta con unidades, identificadores, fecha y personas responsables. El transporte debe impedir sustituciones o pérdidas.
3. Aplicar el método
La reutilización puede permitir borrado seguro verificado; la baja definitiva puede requerir destrucción física. La desmagnetización solo funciona en soportes magnéticos, no en SSD. La trituración debe alcanzar un tamaño acorde con riesgo y tecnología. La política interna debe definir quién decide.
4. Gestionar el RAEE
Tras neutralizar la información, el equipo sigue siendo un residuo de aparato eléctrico y electrónico. Debe entregarse a un gestor autorizado y dirigirse a tratamiento que recupere materiales y controle componentes peligrosos. Consulta nuestro servicio de gestión de RAEE.
5. Emitir y revisar el certificado
El certificado relaciona los soportes, el método, fecha, instalación y resultado. Debe cruzarse con inventario y documentación ambiental. «Se destruyeron 20 equipos» es insuficiente si el lote entregado contenía 22 discos.
| Método | Uso posible | Límite |
|---|---|---|
| Sobrescritura verificada | Reutilización de soportes compatibles | Debe cubrir el dispositivo y verificarse |
| Borrado criptográfico | Soportes cifrados gestionados | Depende de claves y diseño |
| Desmagnetización | Discos y cintas magnéticas | No sirve para memoria flash |
| Trituración | Baja definitiva | Tamaño de partícula según riesgo |
| Desmontaje manual | Pretratamiento y segregación | No garantiza por sí solo irreversibilidad |
Destrucción in situ o en planta
La destrucción in situ reduce el tramo de custodia antes de neutralizar datos y permite supervisión, pero puede tener limitaciones de capacidad, ruido o tamaño de partícula. En planta especializada puede haber equipos más robustos y mejor separación de materiales, pero exige transporte seguro. La elección debe documentar riesgos y controles, no basarse solo en precio.
Si se graba vídeo o se permite presenciar el proceso, debe definirse qué demuestra realmente. Una toma general no sustituye el registro por números de serie.
Qué pedir a un proveedor
- Autorización para recoger y tratar los RAEE correspondientes.
- Descripción del método y capacidad técnica.
- Procedimiento de cadena de custodia y control de personal.
- Identificación individual o por lote con conciliación.
- Modelo de certificado y documentación de residuos.
- Gestión de incidencias, pérdidas y lotes no conformes.
- Destino de fracciones después de la destrucción.
La guía de qué son los RAEE y cómo gestionarlos ayuda a comprobar la parte ambiental. Seguridad de la información, compras, legal y medio ambiente deberían homologar conjuntamente el servicio.
Errores que rompen la trazabilidad
Dejar equipos en un pasillo; vender ordenadores sin acta de borrado; registrar solo la CPU y no sus discos; mezclar activos corporativos y personales; aceptar certificados sin series; o destruir el soporte y tirar los restos como chatarra común. También es un error confundir cifrado con borrado: si las claves siguen accesibles, el riesgo permanece.
Preguntas frecuentes
¿Formatear un disco cumple el RGPD?
No puede afirmarse de forma general. Un formateo rápido suele ser insuficiente; la medida debe ser segura, verificable y proporcional al riesgo.
¿Siempre hay que triturar?
No. Un equipo destinado a reutilización puede admitir borrado seguro verificado. Para baja definitiva o alto riesgo, la destrucción puede ser apropiada.
¿Un SSD se desmagnetiza?
No. La desmagnetización actúa sobre soportes magnéticos; los SSD requieren métodos compatibles con memoria flash.
¿Qué incluye un buen certificado?
Identificación de proveedor e instalación, fecha, método, unidades o series, resultado y vínculo con la entrega.
¿Después de destruir deja de ser RAEE?
La destrucción de datos no elimina la condición ambiental. Las fracciones deben entrar en el tratamiento autorizado correspondiente.
Caso práctico: 48 ordenadores y 52 soportes
Una empresa renueva 48 ordenadores. El inventario de activos parece indicar 48 discos, pero cuatro equipos de diseño incorporan una segunda unidad. Si el proveedor certificara «48 ordenadores destruidos», quedarían cuatro soportes sin conciliación. Antes de la retirada, tecnología extrae la lista de series y registra 52 unidades.
Los soportes se guardan en jaulas numeradas. En la entrega, dos personas validan precintos y el transportista firma unidades. La instalación comunica que una serie es ilegible; se identifica mediante etiqueta de activo y fotografía controlada. El certificado final relaciona las 52 unidades y el documento ambiental refleja el lote de RAEE.
Este caso demuestra por qué no debe contarse solo el chasis. Copias en cintas, tarjetas de memoria, móviles y discos externos también entran en el alcance. El inventario de baja debe diseñarse desde el dato, no desde el peso del residuo.
Política de reutilización antes de destruir
La economía circular favorece alargar la vida de los equipos cuando sea seguro. La empresa puede clasificar activos por sensibilidad y estado: reutilización interna tras borrado verificado, donación con control equivalente o destrucción. La decisión se documenta y no se deja al proveedor el día de la retirada.
Para un soporte reutilizado, conserva herramienta, método, resultado de verificación, operador y nueva asignación. Si falla el borrado, se escala a destrucción. Esta jerarquía permite combinar protección de datos y prevención de residuos sin rebajar ninguna de las dos.
Auditar el certificado
Selecciona una muestra de series desde el inventario hasta el certificado y otra desde el certificado al inventario. Comprueba fechas, método y destino. Revisa también accesos a la zona de custodia y registros de retirada. Si faltan unidades, el expediente queda abierto hasta aclararlas; no se acepta una declaración genérica del proveedor.
La retención documental debe coordinarse con la política de privacidad, el inventario de activos y los plazos ambientales. El certificado no debe exponer más datos personales de los necesarios, pero sí conservar identificadores suficientes para probar el lote. Si el soporte se destruye por un incidente de seguridad, la investigación y notificación siguen su propio circuito.
Antes de contratar de nuevo, compara unidades conciliadas, incidencias, tiempo de cierre, porcentaje reutilizado de forma segura y destino de materiales. No es una carrera por triturar más, sino por decidir mejor qué se reutiliza y demostrar que ningún soporte desaparece entre inventario y tratamiento.
ProAmbient coordina recogida, custodia, destrucción certificada y tratamiento de RAEE. Para diseñar un lote de baja o una política recurrente, solicita una propuesta.
