Tiempo de lectura: 4 minutos
Tabla de contenidos
- ¿Qué exige actualmente la normativa?
- ¿Cuándo es obligatoria la destrucción?
- Métodos para destruir documentación en papel de forma segura
- 1. Externalizar la destrucción a una empresa especializada
- Qué debe garantizar la empresa subcontratada
- 2. Uso de destructora o trituradora de papel
- Aspectos que debes tener en cuenta
- 3. Quemar papel (o métodos improvisados)
- La clave actual: trazabilidad y prueba de cumplimiento
- Preguntas frecuentes
La destrucción segura de documentos en papel sigue siendo una obligación crítica para cualquier organización que trate datos personales. Y no, no basta con romper unos papeles o tirarlos al contenedor azul.
Cuando una empresa elimina documentación física que contiene datos personales (clientes, empleados, proveedores, historiales, contratos) debe garantizar que esa información no pueda ser recuperada. De lo contrario, puede incurrir en una infracción del Reglamento General de Protección de Datos (RGPD) y de la Ley Orgánica 3/2018 de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD).
¿Qué exige actualmente la normativa?
Desde la entrada en vigor del RGPD (Reglamento UE 2016/679), el enfoque ha cambiado respecto a la antigua LOPD 15/1999.
Ya no hablamos de “niveles básico, medio o alto”.
Ahora el eje central es el principio de responsabilidad proactiva (accountability) y el análisis de riesgos.
Esto significa que:
- La organización debe aplicar medidas técnicas y organizativas adecuadas.
- Debe garantizar la confidencialidad durante todo el ciclo de vida del dato.
- Debe poder demostrar que la destrucción se ha realizado correctamente.
El RGPD prevé sanciones administrativas de hasta 20 millones de euros o el 4 % del volumen de negocio anual global, la cifra que resulte mayor.
No es una cuestión menor.
¿Cuándo es obligatoria la destrucción?
La normativa no solo permite destruir documentación, en muchos casos lo exige.
Así mismo, cuando se ha cumplido el plazo legal de conservación o cuando la finalidad del tratamiento ha desaparecido, los datos deben suprimirse o anonimizarse.
Pero “suprimir” no significa “tirar a la basura”.
La destrucción debe impedir la reconstrucción o recuperación de la información.
Métodos para destruir documentación en papel de forma segura
Existen tres vías habituales. No todas ofrecen el mismo nivel de garantía.
1. Externalizar la destrucción a una empresa especializada
La externalización es el método más utilizado por organizaciones que manejan volúmenes relevantes de documentación o información especialmente sensible.
El procedimiento suele ser el siguiente:
- Instalación de contenedores de seguridad cerrados.
- Depósito de la documentación por parte del personal autorizado.
- Recogida periódica con cadena de custodia.
- Transporte seguro hasta planta de destrucción.
- Emisión de certificado de destrucción.
Qué debe garantizar la empresa subcontratada
Para que la externalización cumpla con el RGPD, la empresa proveedora debe actuar como encargado del tratamiento y formalizar el correspondiente contrato.
Además, es recomendable que cumpla con la norma UNE-EN 15713:2010, que establece requisitos para la destrucción segura de material confidencial.
Entre otros aspectos, debe disponer de:
- Certificación UNE-EN 15713
- Contrato de encargo del tratamiento
- Certificado de destrucción
- Instalaciones propias y controladas
- Vehículos especializados y trazables
- Personal cualificado
- Protocolos de custodia y confidencialidad
Ventajas
- Transferencia de riesgos operativos
- Trazabilidad documentada
- Cumplimiento normativo acreditable
- Gestión de grandes volúmenes
Inconvenientes
- Coste económico (aunque suele ser asumible frente al riesgo sancionador)
2. Uso de destructora o trituradora de papel
También, muchas empresas optan por destruir la documentación en sus propias instalaciones. Es una opción válida, siempre que se haga correctamente.
Aquí el punto clave no es “tener trituradora”, sino qué nivel de corte realiza.
La referencia técnica es la norma UNE-EN 66399, que clasifica los niveles de seguridad (P-1 a P-7) en función del tamaño de partícula resultante.
Cuanto más sensible sea la información, mayor debe ser el nivel de corte (microcorte).
Aspectos que debes tener en cuenta
- No todas las trituradoras garantizan microfragmentación.
- El volumen de documentos puede superar la capacidad real del equipo.
- Debe existir un procedimiento interno documentado.
- Los residuos deben gestionarse adecuadamente tras la trituración.
Ventajas
- Inmediatez
- Control interno del proceso
Desventajas
- Limitación de volumen
- Consumo de tiempo del personal
- Riesgo si el corte no es adecuado
- Falta de certificado externo
3. Quemar papel (o métodos improvisados)
Aunque convertir el papel en ceniza podría parecer una solución definitiva, en la práctica no es un método recomendable.
¿Por qué?
- No garantiza destrucción homogénea.
- Puede implicar riesgos laborales o ambientales.
- No genera trazabilidad ni prueba documental.
- Puede incumplir normativa medioambiental.
Por otro lado, lo mismo ocurre con métodos como humedecer documentos para hacer “pasta de papel”. Desde el punto de vista jurídico y organizativo, no son sistemas adecuados.
La clave actual: trazabilidad y prueba de cumplimiento
Bajo el RGPD, lo esencial no es solo destruir. Es poder demostrar que se ha destruido correctamente.
Eso implica:
- Procedimientos documentados.
- Registro de operaciones.
- Contratos con encargados del tratamiento.
- Certificados de destrucción.
- Integración del proceso dentro de la política de gestión documental.
Por tanto, ya no existe la obligación formal de tener un “Documento de Seguridad” como en la antigua normativa, pero sí debe existir un sistema organizado de medidas técnicas y organizativas.
La destrucción documental forma parte del ciclo de vida del dato. Y ese ciclo debe estar controlado.
Preguntas Frecuentes
Las organizaciones pueden incurrir en una infracción del Reglamento General de Protección de Datos (RGPD) y de la LOPDGDD. Esto puede resultar en sanciones administrativas de hasta 20 millones de euros o el 4% del volumen de negocio anual global. Además, la información podría ser recuperada, violando la confidencialidad.
El RGPD ha cambiado el enfoque de los antiguos "niveles de seguridad" hacia el principio de responsabilidad proactiva (accountability) y el análisis de riesgos. Ahora, la organización debe implementar medidas técnicas y organizativas adecuadas, garantizar la confidencialidad y poder demostrar que la destrucción se realizó correctamente.
La empresa subcontratada debe actuar como encargado del tratamiento con un contrato formal y es recomendable que cumpla con la norma UNE-EN 15713:2010. Debe disponer de instalaciones propias y controladas, vehículos especializados, personal cualificado y emitir un certificado de destrucción.
El aspecto más importante es el nivel de corte que realiza la trituradora, buscando que sea un microcorte para la información más sensible. La norma UNE-EN 66399 clasifica los niveles de seguridad (P-1 a P-7) en función del tamaño de partícula resultante, siendo crucial elegir el adecuado.
Estos métodos no garantizan una destrucción homogénea de la información y no permiten generar trazabilidad ni prueba documental del proceso. Además, quemar puede implicar riesgos laborales o ambientales y ambos métodos pueden incumplir la normativa medioambiental o jurídica.
