Destrucción segura de datos – Bases legales

En mayo de 2018 entró en vigor en Europa el Reglamento General de Protección de Datos (RGPD). Este regula de forma unitaria el tratamiento de datos personales en las empresas. Este tratamiento incluye por un lado el almacenamiento y por otro la eliminación adecuada de dichos datos. Sobre todo en entornos comerciales/industriales, la eliminación segura de datos y conforme con la protección de datos resulta muy importante, ya que el volumen de datos personales recopilados en los últimos años ha crecido enormemente. Por un lado existen plazos legales de conservación y por otro un derecho a la eliminación de datos personales.

Destrucción segura de datos - los aspectos más importantes

El Reglamento General de Protección de Datos prescribe el almacenamiento de datos personales únicamente durante el tiempo necesario para cumplir con la finalidad para la que fueron recopilados. Esto significa, que una vez cumplida la finalidad, los datos deberán ser eliminados, siempre y cuando no existan plazos legales o contractuales de conservación (art. 5 párrafo 1 e) RGPD).

Derecho de eliminación

Según el artículo 17 párrafo 1 RGPD, las personas afectadas tienen derecho a exigir la eliminación de sus datos personales / las personas afectadas pueden hacer uso de su derecho a la eliminación de datos personales. Esto significa, que el afectado puede exigir al responsable la eliminación inmediata de sus datos personales.

A la hora de eliminar datos personales, por lo general es suficiente una destrucción física de los soportes de datos que contienen los datos a eliminar. Ya que la destrucción de soportes de datos también es una forma de eliminación.

Por contra, NO basta con desechar los soportes de datos, es decir, arrojarlos al contenedor de basura.

Destrucción segura de datos - Tipos de soportes de datos

Para almacenar datos personales o sensibles pueden emplearse diferentes soportes de datos:

P: soporte de datos en papel, como actas o carpetas enteras de actas
O: soportes de datos ópticos, como CDs, DVDs
T: soportes de datos magnéticos, como tarjetas magnéticas o disquetes
E: soportes de datos electrónicos, como memorias USB o tarjetas con chip
F: información miniaturizada, como rollos de película o láminas
H: discos duros con soportes de datos magnéticos

Destrucción segura de datos - Destrucción de soportes de datos

Independientemente del soporte de datos empleado, su eliminación/destrucción conforme con la protección de datos debe realizarse de acuerdo con las normas legales.

La destrucción de estos soportes de datos debe realizarse de conformidad con la norma DIN 66399. Esta se divide en tres categorías:

DIN 66399-1:
Aquí se describen las bases, como la necesidad de protección, las categorías de protección y los niveles de seguridad. En función del grado de necesidad de protección de los datos a destruir resulta el nivel de seguridad adecuado. HSM recomienda para soportes de datos con datos especialmente sensibles y confidenciales, sujetos a un alto grado de protección, p. ej. balances, nóminas, actas personales, contratos de trabajo y documentación fiscal, para datos impresos en papel, una destructora de documentos con nivel de seguridad P-4 o superior.

Para más información, visite nuestra página Clases de protección y niveles de seguridad.

DIN 66399-2:
La segunda parte de la norma DIN 66399 regula la clasificación de los soportes de datos, así como los requerimientos que deben cumplir las máquinas.

DIN 66399-3:
La tercera parte de la norma describe tres procesos diferentes para destruir los soportes de datos:

Los soportes de datos son destruidos por el propio responsable
Los soportes de datos son destruidos por un proveedor de servicios en las instalaciones del responsable
Los soportes de datos son destruidos fuera de la empresa por un proveedor de servicios

Puede consultar las ventajas que implica la destrucción de datos en la propia empresa en nuestra página Destrucción de datos interna/externa.

Destrucción segura de datos - recomendaciones de expertos

Para aplicar correctamente la norma DIN 66399, HSM recomienda una destrucción de datos en la propia empresa, es decir, la destrucción de datos personales directamente en el lugar de su recopilación.

En función del tipo de soporte de datos a destruir y de la necesidad de protección de los datos, se recomienda adquirir una destructora de actas/medios con un nivel de seguridad mínimo de P-4/H-4. No obstante, a menudo no es necesario adquirir por separado una destructora de medios, ya que las destructoras de actas modernas, en función de su equipamiento, son capaces de destruir casi todo – papel, CDs, tarjetas de identificación, memorias USB, tarjetas con chip, memorias flash, películas y láminas.

Aquí también deben considerarse para la destrucción, según las necesidades de seguridad, diferentes categorías de protección y niveles de seguridad con diferentes tamaños de partículas.