Cada día, oficinas, despachos profesionales y administraciones generan documentos en papel y archivos digitales que, en algún momento, dejan de ser necesarios. Contratos vencidos, nóminas antiguas, historiales clínicos, currículums de candidatos no seleccionados, discos duros de equipos dados de baja. La pregunta que muchas organizaciones no se hacen a tiempo es: ¿cómo se destruye correctamente esa información y quién puede demostrarlo?
La respuesta no es trivial. El RGPD exige que los datos se conserven solo durante el tiempo necesario y que, superado ese plazo, se eliminen de forma que resulte imposible su recuperación. Esto plantea preguntas jurídicas, técnicas y organizativas: ¿qué norma técnica sirve de referencia para triturar papel?, ¿basta con formatear un disco duro?, ¿es necesario un contrato de encargado del tratamiento con la empresa de destrucción?, ¿qué ocurre si un documento sensible acaba en un contenedor sin triturar?
Contexto y funcionamiento
La destrucción de documentos no es un acto aislado, sino la última fase del ciclo de vida del dato: recogida, uso, conservación y, finalmente, supresión o anonimización. Intervienen distintos actores: el responsable del tratamiento (la organización titular de los documentos), posibles encargados (empresas de destrucción certificada, gestores de residuos electrónicos, proveedores de servicios en la nube que alojan copias), y los propios interesados, cuyos datos figuran en la documentación.
En el entorno físico, el proceso típico implica la recogida de papel en contenedores de seguridad, su transporte y triturado según niveles de seguridad normalizados (la norma DIN 66399 es la referencia técnica más utilizada en Europa para clasificar el tamaño de partícula resultante según la sensibilidad de la información). En el entorno digital, la destrucción puede consistir en el borrado lógico, el borrado criptográfico (destrucción de la clave de cifrado), la sobrescritura múltiple de soportes magnéticos, o la destrucción física de discos, cintas o dispositivos móviles cuando el borrado seguro no resulta viable o verificable.
Un riesgo frecuente y poco visible es el de los flujos secundarios: copias de seguridad, correos electrónicos con adjuntos, documentos impresos por error, fotocopias, o archivos sincronizados en dispositivos personales. Si el procedimiento de destrucción no contempla estos flujos, la eliminación del documento «principal» no elimina realmente el dato.
Beneficios y oportunidades
Un procedimiento de destrucción segura, cuando se implanta con las condiciones adecuadas, aporta beneficios en varios planos:
- Reducción del riesgo de violaciones de seguridad derivadas de documentos o soportes mal desechados, siempre que el procedimiento cubra todos los flujos de salida de información.
- Cumplimiento del principio de limitación del plazo de conservación, si existe una política de retención y destrucción efectivamente aplicada.
- Ahorro de espacio físico y de costes de almacenamiento, cuando la destrucción sustituye a la acumulación indefinida de archivo.
- Mejora de la imagen ante clientes y auditorías, siempre que se disponga de certificados de destrucción y evidencia documental verificable.
- Reducción de la superficie de exposición ante ciberataques, en la medida en que menos datos almacenados significan menos información que exfiltrar en caso de incidente.
- Facilitación del cumplimiento de normativa sectorial (historias clínicas, expedientes laborales, documentación fiscal) cuando los plazos de destrucción se alinean con los plazos legales de conservación aplicables a cada sector.
Estos beneficios no son automáticos: dependen de que exista una política de conservación y destrucción documentada, de que el personal la conozca y de que los proveedores externos ofrezcan garantías verificables.
Riesgos
La destrucción defectuosa o no planificada genera riesgos de naturaleza distinta a los del tratamiento activo de datos, pero no menos relevantes:
- Recuperación de información por terceros a partir de papel no triturado o triturado de forma insuficiente.
- Recuperación de datos en discos duros, memorias USB o dispositivos móviles formateados pero no borrados de forma segura.
- Pérdida de trazabilidad sobre qué se destruyó, cuándo y por quién, lo que dificulta acreditar el cumplimiento ante una inspección.
- Destrucción de documentación aún sujeta a plazos legales de conservación (fiscal, laboral, mercantil), con el riesgo de no poder acreditar obligaciones frente a terceros u organismos.
- Uso de proveedores de destrucción sin las garantías contractuales o técnicas adecuadas, incluida la ausencia de un contrato de encargado del tratamiento.
- Transferencias internacionales no controladas cuando el proveedor de destrucción o de gestión de residuos electrónicos opera fuera del Espacio Económico Europeo.
- Riesgos ambientales y de responsabilidad por gestión incorrecta de residuos electrónicos, que se solapan con la normativa de residuos y economía circular.
- Riesgo reputacional derivado de la aparición pública de documentación mal destruida (por ejemplo, hallazgos de papel sensible en contenedores urbanos).
Riesgo | Probabilidad | Impacto | Afectados | Mitigación |
Papel triturado de forma insuficiente | Media | Alta | Clientes, empleados, pacientes | Contenedores de seguridad y trituración certificada (DIN 66399) |
Disco duro no borrado antes de reventa | Media | Alta | Titulares de los datos, organización | Borrado criptográfico o destrucción física certificada |
Falta de certificado de destrucción | Alta | Media | Organización (frente a inspección) | Exigir certificado y registro documental por lote |
Destrucción prematura de documentación fiscal/laboral | Baja | Alta | Organización | Calendario de conservación por tipo documental |
Proveedor de destrucción sin contrato de encargado | Media | Alta | Organización, interesados | Formalizar contrato conforme al artículo 28 RGPD |
Estas valoraciones son estimaciones generales orientativas; deben adaptarse al volumen, tipo de dato y sector de cada organización.
Análisis jurídico aplicable
RGPD y LOPDGDD
El Reglamento General de Protección de Datos (RGPD) no regula la destrucción como un trámite aislado, sino como consecuencia del principio de limitación del plazo de conservación: los datos deben mantenerse solo el tiempo necesario para la finalidad del tratamiento, salvo que exista una obligación legal de conservación más amplia (fiscal, laboral, mercantil). Cumplido ese plazo, el responsable debe suprimir o anonimizar los datos de forma efectiva.
La base jurídica para la destrucción no es en sí misma un consentimiento, un contrato o un interés legítimo, sino la ejecución de las obligaciones que ya justificaron el tratamiento inicial y, en su caso, obligaciones legales de conservación previa. La seguridad del tratamiento (artículo 32 RGPD) exige que la eliminación se realice con garantías equivalentes a las aplicadas durante el tratamiento activo: la confidencialidad no termina cuando el dato deja de usarse, termina cuando el dato desaparece de forma irreversible.
Cuando la destrucción se externaliza a un tercero (empresa de destrucción de papel, gestor de residuos electrónicos, proveedor de borrado certificado), ese tercero actúa como encargado del tratamiento y debe existir un contrato conforme al artículo 28 RGPD, con instrucciones documentadas, medidas de seguridad, y compromiso de destrucción o devolución de la información al finalizar la prestación. Si el proveedor transporta o procesa la documentación fuera del Espacio Económico Europeo, deben valorarse los mecanismos de transferencia internacional aplicables.
La privacidad desde el diseño y por defecto implica que la política de destrucción debería definirse antes de que se acumule el archivo, no cuando ya existe un problema de espacio o de auditoría. El registro de actividades de tratamiento debería reflejar los plazos de conservación previstos para cada finalidad, y la responsabilidad proactiva exige poder acreditar, ante una eventual inspección, que la destrucción se ha producido conforme a lo planificado.
Evaluación de Impacto relativa a la Protección de Datos
La destrucción de documentación, considerada de forma aislada, no suele requerir una Evaluación de Impacto relativa a la Protección de Datos (EIPD), salvo que concurra alguno de los siguientes factores: tratamiento a gran escala de categorías especiales de datos cuya destrucción se automatiza mediante sistemas nuevos o poco probados, uso de tecnologías innovadoras de borrado o clasificación documental basadas en inteligencia artificial, o combinación de la destrucción con procesos de migración, digitalización masiva o externalización a proveedores fuera de la Unión Europea.
En la mayoría de los casos, la EIPD no resulta necesariamente obligatoria únicamente por implantar un procedimiento de destrucción, pero sí es recomendable incorporar el análisis de riesgos de la destrucción dentro de la EIPD general del tratamiento del que forman parte esos datos, especialmente en sectores como sanidad, banca o recursos humanos. Sin conocer el volumen, la naturaleza de los datos y la tecnología concreta empleada, no puede concluirse de forma genérica si un caso particular requiere EIPD.
Reglamento Europeo de Inteligencia Artificial
El Reglamento (UE) de Inteligencia Artificial resulta aplicable a la destrucción de documentos únicamente cuando se emplean sistemas de IA para tareas como la clasificación automática de documentos por nivel de sensibilidad, la detección de datos personales antes de su eliminación, o la gestión automatizada de calendarios de destrucción. En estos casos debe valorarse si el sistema encaja en la definición legal de sistema de IA, qué operador interviene (proveedor, responsable del despliegue) y si el uso queda fuera del ámbito de prácticas prohibidas o de sistemas de alto riesgo, lo que dependerá de la finalidad concreta y del sector de aplicación.
Cuando la destrucción se apoya en herramientas de clasificación automática de bajo impacto (por ejemplo, un asistente que sugiere qué carpetas archivar o eliminar sin tomar decisiones sobre personas), no suele tratarse de un sistema de alto riesgo, pero sí conviene aplicar los principios de alfabetización en IA, documentación mínima y supervisión humana antes de confiar decisiones de destrucción irreversibles a un sistema automatizado. No se dispone de información suficiente para clasificar de forma genérica cualquier herramienta de este tipo sin conocer su función y contexto de uso concretos.
NIS2, ENS y ciberseguridad
La Directiva NIS2 obliga a las entidades esenciales e importantes a implantar medidas de gestión de riesgos que incluyen la seguridad en la gestión de activos, entre ellos su eliminación segura al final de su ciclo de vida. En España, a fecha de este documento, la transposición completa de NIS2 sigue en tramitación parlamentaria a través del anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, tras haberse transpuesto parcialmente aspectos concretos mediante normativa de urgencia; conviene comprobar el estado de tramitación y la fecha de entrada en vigor definitiva antes de dar por aplicables plazos concretos de esta ley.
Para las entidades sujetas al Esquema Nacional de Seguridad (ENS), la normativa de seguridad exige procedimientos específicos de borrado seguro y destrucción de soportes según el nivel de clasificación de la información, incluyendo la reutilización controlada de equipos y la trazabilidad de las bajas. Con independencia de la obligación legal exacta aplicable a cada organización, la destrucción certificada de soportes, la segregación de contenedores de seguridad y la formación del personal constituyen buenas prácticas de ciberseguridad recomendables para cualquier entidad, sujeta o no a ENS o NIS2.
Otras normas relevantes
La normativa de residuos y economía circular resulta aplicable cuando la destrucción implica equipos electrónicos, ya que estos se consideran residuos de aparatos eléctricos y electrónicos (RAEE) sujetos a gestión por gestores autorizados. La normativa laboral y de conservación de documentación (nóminas, contratos, expedientes) fija plazos mínimos de conservación que deben respetarse antes de proceder a cualquier destrucción. La normativa mercantil y fiscal establece igualmente plazos de conservación de libros y facturas que condicionan el calendario de destrucción documental.
Proporcionalidad y necesidad
Antes de destruir documentación, conviene valorar si la eliminación total es la medida idónea o si existen alternativas menos drásticas e igualmente eficaces, como la anonimización, el archivo restringido de larga duración o la digitalización previa con destrucción posterior del soporte físico. La finalidad perseguida —reducir el riesgo de acceso indebido y liberar espacio— debe equilibrarse con la necesidad de conservar prueba documental cuando existan plazos legales o contractuales pendientes.
Alternativa | Ventajas | Limitaciones | Intrusión | Cuándo elegirla |
Destrucción física inmediata | Elimina el riesgo de raíz; sencilla de auditar | Irreversible; exige certeza sobre el vencimiento del plazo | Baja | Documentación sin valor probatorio futuro |
Anonimización previa a la destrucción | Permite conservar valor estadístico sin riesgo para las personas | Proceso técnico más complejo; riesgo de reidentificación si se hace mal | Media | Datos con utilidad analítica u organizativa futura |
Archivo restringido con acceso controlado | Conserva la prueba documental mientras dure el plazo legal | Mantiene el riesgo de acceso y exige seguridad continuada | Media | Documentación aún dentro de plazos de conservación obligatoria |
Medidas recomendadas
Inmediatas
- Elaborar un calendario de conservación y destrucción por tipo documental (fiscal, laboral, comercial, sanitario, según proceda).
- Instalar contenedores de seguridad homologados en las áreas donde se genera documentación sensible.
- Prohibir expresamente el depósito de documentación con datos personales en papeleras ordinarias o contenedores de reciclaje sin triturar.
Corto plazo
- Formalizar contratos de encargado del tratamiento con las empresas de destrucción de papel y de gestión de residuos electrónicos.
- Exigir certificados de destrucción por lote, con fecha, volumen y método empleado.
- Definir un procedimiento de borrado seguro o destrucción física para discos duros, móviles y soportes extraíbles antes de su baja o reventa.
Medio plazo
- Formar al personal en la política de conservación y destrucción, incluyendo los flujos secundarios (copias, correos, dispositivos personales).
- Auditar periódicamente el cumplimiento del calendario de destrucción y la trazabilidad de los certificados recibidos.
- Integrar la política de destrucción en el registro de actividades de tratamiento y en la evaluación de riesgos general de la organización.
Escenarios
Escenario | Supuestos | Riesgos | Obligaciones | Señales de alerta | Decisión |
A. Bajo riesgo | Oficina pequeña, documentación administrativa general, proveedor certificado | Bajo, si existe contenedor de seguridad y certificado | Calendario de conservación básico | Ausencia de certificado de destrucción | Mantener el procedimiento y revisarlo anualmente |
B. Riesgo medio | PYME con datos de empleados y clientes, destrucción interna sin certificación externa | Recuperación de datos si el triturado es insuficiente | Contrato de encargado si se externaliza; DIN 66399 recomendable | Acumulación de archivo sin criterio de destrucción | Externalizar a proveedor certificado y documentar el proceso |
C. Alto riesgo | Datos sanitarios, financieros o de menores; grandes volúmenes; soportes electrónicos con datos sensibles | Violación de seguridad grave; sanción; daño reputacional | EIPD recomendable; contrato de encargado; borrado certificado NIST/DIN | Hallazgo de documentación sensible sin triturar; ausencia de trazabilidad | Revisión inmediata del procedimiento y notificación si ya se ha producido una brecha |
Un cambio en el volumen de datos tratados, la incorporación de categorías especiales de datos o la externalización a un nuevo proveedor pueden desplazar la organización de un escenario a otro y obligar a revisar la conclusión inicial.
Lista de comprobación
- ¿Existe un calendario de conservación y destrucción por tipo documental?
- ¿Se han definido los plazos legales de conservación aplicables (fiscal, laboral, mercantil, sanitario)?
- ¿Se dispone de contenedores de seguridad para documentación en papel?
- ¿Existe contrato de encargado del tratamiento con las empresas de destrucción?
- ¿Se solicitan y archivan certificados de destrucción por lote?
- ¿Existe un procedimiento de borrado seguro o destrucción física para soportes electrónicos?
- ¿Se ha formado al personal sobre qué no debe depositarse en papeleras ordinarias?
- ¿Se controlan los flujos secundarios (copias de seguridad, correos, dispositivos personales)?
- ¿Se revisa la ubicación de datos personales antes de dar de baja un equipo o servicio en la nube?
- ¿Se ha valorado si algún proceso de destrucción emplea inteligencia artificial y, en ese caso, sus implicaciones?
- ¿Se audita periódicamente el cumplimiento del calendario de destrucción?
- ¿Está identificado quién es responsable de autorizar cada destrucción?
- ¿Se gestionan los residuos de aparatos eléctricos y electrónicos a través de gestor autorizado?
- ¿Existe un procedimiento de actuación si se detecta documentación sensible mal destruida?
- ¿Se ha incorporado la política de destrucción al registro de actividades de tratamiento?
Conclusión
Desde el punto de vista jurídico, la destrucción de documentación con datos personales es una obligación derivada del principio de limitación del plazo de conservación y debe ejecutarse con garantías de seguridad equivalentes a las del tratamiento activo. Desde el punto de vista técnico, el riesgo principal reside en los soportes electrónicos borrados de forma incompleta y en el papel triturado de forma insuficiente, así como en los flujos secundarios de información que suelen quedar fuera del procedimiento formal.
La medida prioritaria es contar con un calendario de conservación y destrucción documentado, apoyado en proveedores certificados y en certificados de destrucción verificables. Antes de tomar decisiones definitivas sobre un procedimiento concreto, conviene obtener información adicional sobre los plazos legales de conservación aplicables al sector específico de la organización y sobre el estado de tramitación de la normativa de ciberseguridad que pueda resultarle de aplicación.
Preguntas frecuentes
¿Basta con formatear un disco duro para cumplir el RGPD?
No necesariamente. El formateo estándar no siempre impide la recuperación de datos con herramientas especializadas; el RGPD exige garantías de seguridad equivalentes a las aplicadas durante el uso activo del dato, por lo que suele ser recomendable el borrado criptográfico certificado o la destrucción física del soporte.
¿Es obligatorio contratar una empresa externa para destruir documentos?
No es obligatorio en todos los casos, pero si se externaliza, la empresa actúa como encargada del tratamiento y debe existir un contrato conforme al artículo 28 del RGPD que regule sus obligaciones de seguridad y confidencialidad.
¿Cuánto tiempo hay que conservar la documentación antes de destruirla?
Depende del tipo de documento y de la normativa sectorial aplicable (fiscal, laboral, mercantil, sanitaria); no existe un plazo único válido para todos los casos, por lo que debe determinarse documento a documento.
¿Qué norma técnica se utiliza para clasificar la trituración de papel?
La norma DIN 66399 es la referencia técnica más habitual en Europa para clasificar los niveles de seguridad de destrucción según el tamaño de partícula resultante y la sensibilidad de la información.
¿Qué ocurre si se descubre documentación sensible mal destruida?
Puede constituir una violación de seguridad de datos personales que, en función del riesgo para los afectados, podría requerir notificación a la autoridad de control y, en su caso, a las personas afectadas.
¿La normativa de inteligencia artificial afecta a la destrucción de documentos?
Solo cuando se emplean sistemas de inteligencia artificial para clasificar, priorizar o automatizar decisiones de destrucción; el uso de destructoras de papel o software de borrado convencional no queda sujeto a esta normativa.
#sipylopd #SIPY #ProtecciónDeDatos #RGPD #Ciberseguridad #DPO #Cumplimiento
