Destrucción confidencial y UNE-EN 15713:2024: sube el listón

Tiempo de lectura: 14 minutos

Triturar un documento. Archivar la carpeta. Pasar al siguiente.

Así funciona la destrucción de documentos en muchas organizaciones. Un proceso mecánico, casi invisible, que rara vez ocupa más de treinta segundos en la mente de un directivo. Pero eso no es destrucción confidencial certificada.

Y entonces deja de ser invisible.

Cuando una auditoría, una brecha o una sanción pone sobre la mesa preguntas como ¿realmente sabemos cómo se destruye nuestra información sensible? ¿Podemos demostrarlo? ¿Ante quién?

Hace no mucho, en una conversación con el responsable de operaciones de una compañía aseguradora —grande, cotizada, con un departamento de compliance perfectamente estructurado—, salió el tema de la destrucción documental. «Sí, tenemos un proveedor. Viene cada dos semanas con un camión y se lo lleva todo. Nos da un certificado». Al preguntarle qué nivel de destrucción aplicaban, qué clases de protección diferenciaban o si podía trazar un lote concreto de hace seis meses, la respuesta fue un silencio revelador. Seguido de un «eso lo lleva Servicios Generales».

Y como ocurre con muchas disciplinas que viven en segundo plano, la destrucción confidencial ha funcionado durante años bajo una especie de pacto tácito, si no se ve, no existe el problema. Algo parecido a lo que pasa con las tuberías de un edificio. Nadie piensa en ellas hasta que hay una fuga. La diferencia es que aquí la fuga no moja el suelo. Expone datos personales, información financiera o secretos industriales.

La reciente publicación de la UNE-EN 15713:2024 (que sustituye a la versión de 2010) ha venido a recordar que la destrucción confidencial no es, ni puede ser, un trámite administrativo más.

Vamos a lo que importa. Qué cambia con la norma y por qué ignorarla hoy te va a costar caro en menos tiempo del que crees.

Destrucción confidencial: la trituradora es lo de menos

Hay una percepción bastante extendida (y bastante cómoda) de que destruir información confidencial es, básicamente, meter documentos en una trituradora. Un acto físico, puntual, que empieza y termina en la máquina.

La realidad es otra. Y conviene decirlo con claridad.

La destrucción confidencial es la última fase del ciclo de vida de la información, y como tal, forma parte de la gobernanza documental de cualquier organización. La trituradora es solo el final del camino. Lo que realmente importa es que cada paso previo —del contenedor al camión, del camión a la planta, de la planta al certificado— deje un rastro que puedas defender ante un auditor. O ante un juez, si llega el caso.

No basta con destruir. Hay que poder probarlo. Y probarlo bien.

¿Qué es la UNE-EN 15713:2024 y por qué debería importarte ahora mismo?

La UNE-EN 15713:2024 es el código de prácticas europeo que establece los requisitos y recomendaciones para la destrucción física de material confidencial y sensible. Publicada por el Comité Europeo de Normalización (CEN) y adoptada en España a través de AENOR, esta nueva edición no es una simple actualización cosmética de la versión anterior.

Seamos honestos, la versión de 2010 se había quedado corta. No porque fuera mala en su momento, sino porque el contexto ha cambiado radicalmente. Hoy gestionamos más soportes, más formatos, más volumen y más regulación que hace quince años. Seguir aplicando un código de prácticas pensado para una realidad pre-RGPD era, como mínimo, temerario.

La nueva edición es una evolución de grandes dimensiones. Establece requisitos de muy alto nivel de exigencia para cada eslabón de la cadena. Veamos los cambios más relevantes.

Lo que cambia (y lo que ya no se puede ignorar)

1. Trazabilidad: ¿podrías reconstruir el rastro de un lote destruido?

Hagamos un ejercicio rápido. ¿Podrías ahora mismo, sin llamar a nadie, sin abrir un correo, sin consultar a Servicios Generales, decirme dónde está el registro de destrucción de las facturas de proveedores de marzo de 2023? No el certificado genérico, sino el registro completo. Qué contenedor se usó, quién autorizó la recogida, qué ruta hizo el transporte, a qué hora entró el lote en la instalación de destrucción y qué nivel de corte se aplicó.

Si la respuesta es «creo que sí» o peor, un silencio parecido al del directivo de la aseguradora, tienes un problema de trazabilidad. Y la nueva norma no te va a dejar mirar hacia otro lado.

La UNE-EN 15713:2024 desglosa y detalla los controles que la versión anterior apenas esbozaba. Registro completo del proceso desde la recogida hasta la destrucción, gestión de subcontrataciones, compromisos de confidencialidad del personal, condiciones de transporte, almacenamiento y custodia en las instalaciones de destrucción. Todo documentado, trazable y auditable.

Ya no vale tener un procedimiento genérico. Se trata de poder reconstruir, paso a paso, qué ocurrió con cada lote de información. Y de poder hacerlo a las tres de la tarde de un martes cualquiera, sin previo aviso.

2. No todo se destruye igual (y la norma ahora lo exige)

Aquí viene un cambio que, a nuestro juicio, era necesario desde hace tiempo. La UNE-EN 15713:2024 incorpora el concepto de clases de protección. Según el nivel de sensibilidad de los datos, se determinan los niveles de seguridad que deben alcanzarse en función de las distintas categorías de materiales o tipos de soportes. Esto introduce un enfoque de riesgo que antes era mucho más difuso. Y que ahora obliga a pensar antes de triturar. Que no es poco.

3. Más seguridad. En serio.

Las exigencias sobre prácticas operativas, infraestructuras y personal se endurecen. Por si fuera poco, se concretan las obligaciones relativas a la documentación contractual y los certificados de destrucción, alineando el servicio con las expectativas actuales de compliance y auditoría. Para quien estuviera acostumbrado al «firmo el certificado y ya está», la nueva norma va a suponer un cambio de hábitos importante.

4. ¿Quién sabe destruir información en tu empresa?

Aparecen nuevos requisitos de formación específica para empleados y empresa, además de registros obligatorios de calibración y mantenimiento de maquinaria. La destrucción confidencial deja de ser algo que «cualquiera puede hacer con una trituradora de oficina» para convertirse en una actividad que exige competencia acreditada. Y documentada.

5. El papel ya no es el único problema (y quizá nunca lo fue)

La norma incorpora más requisitos vinculados al RGPD y a la legislación nacional. Y, esto es importante, no se limita al documento en papel. Exige gobernar de forma consistente la destrucción segura de soportes y materiales con información sensible, bajo un enfoque de riesgo. Discos duros, cintas, dispositivos electrónicos, material corporativo y de marca… todo entra en el perímetro. El papel es solo la punta del iceberg.

El reverso tenebroso, qué pasa cuando la destrucción no está bajo control

Obviamente, la mayoría de las organizaciones destruyen información. La pregunta es cómo.

Hay un caso que se repite con frecuencia. Una empresa acumula durante meses documentación confidencial en un almacén interno porque «aún no toca la recogida». O porque «estamos esperando a tener volumen suficiente para que merezca la pena». Mientras tanto, esa información está ahí, accesible, sin custodia reforzada, a merced de quien tenga la llave del almacén (o directamente de quien pase por delante si la puerta no cierra bien). Cuando finalmente se destruye, el certificado dice que todo fue correcto. Pero nadie puede explicar qué pasó durante los cuatro meses anteriores.

Eso no es destrucción confidencial. Eso es improvisación con certificado.

Una destrucción deficiente (o directamente descontrolada) genera riesgos que van mucho más allá de la multa regulatoria:

• Exposición de datos personales de clientes, empleados o ciudadanos, con las consiguientes sanciones bajo el RGPD.
• Pérdida de información estratégica que puede acabar en manos de competidores o terceros no autorizados.
• Ruptura de la cadena de custodia, lo que invalida cualquier certificación o auditoría posterior.
• Daño reputacional difícil de cuantificar, pero extraordinariamente fácil de sufrir, especialmente en sectores regulados.
• Incumplimiento contractual con clientes que exigen evidencias de destrucción segura.

Como resultado, lo que parecía un proceso menor, de esos que nadie incluye en el orden del día del comité de dirección, se convierte en un vector de riesgo significativo. Una especie de bomba de relojería silenciosa escondida en el sótano operativo de la organización.

Sector público y sector privado: el mismo problema, distintos acentos

En la Administración Pública

Para ministerios, ayuntamientos y organismos públicos, la destrucción confidencial conecta directamente con el ENS y con las obligaciones de protección de datos de los ciudadanos. La información que maneja la Administración tiene un componente de responsabilidad pública que añade una capa adicional de exigencia.

¿Se destruyen correctamente los expedientes caducados? ¿Los historiales clínicos? ¿La documentación electoral? ¿Quién supervisa el proceso? ¿Con qué frecuencia?

La nueva norma obliga a responder con evidencias, no con suposiciones. Y en la Administración, donde los plazos de conservación son especialmente complejos y las auditorías cada vez más frecuentes, eso no es un matiz menor.

En el sector privado

Banca, seguros, energía, telecomunicaciones, ingeniería… Cualquier organización que maneje datos de terceros o que opere en entornos regulados necesita demostrar que su destrucción confidencial cumple con los estándares más exigentes. No es un «nice to have«. Es una pieza que faltaba en el puzle del compliance.

La UNE-EN 15713:2024 se convierte en un complemento operativo imprescindible para quienes ya trabajan bajo ISO/IEC 27001 o marcos similares. Porque, pensémoslo un momento, ¿de qué sirve tener un sistema de gestión de la seguridad de la información impecable si luego la destrucción de esa misma información se gestiona «a ojo»?

¿Tu organización está preparada? Cinco preguntas que deberían quitarte el sueño

Antes de seguir, merece la pena detenerse.

¿Sabes quién gestiona actualmente la destrucción de tu información confidencial y bajo qué norma opera? ¿Puedes demostrar, ante una auditoría, la trazabilidad completa de un lote destruido hace seis meses? ¿Tu proveedor de destrucción diferencia entre clases de protección y niveles de seguridad según el tipo de soporte? ¿Existe formación específica sobre destrucción confidencial para el personal implicado? ¿Los certificados de destrucción que recibes cumplen con los requisitos de la nueva norma?

Si alguna de estas preguntas genera incomodidad (o peor, un «no lo sé»), probablemente haya trabajo por hacer. Y cuanto antes, mejor.

Lo que implica adaptarse (sin dramas, pero sin dilación)

Adaptarse a la UNE-EN 15713:2024 no es un proyecto que paralice operaciones durante meses. Pero tampoco se resuelve con un email al proveedor actual preguntando si «ya cumplen con la nueva norma». Requiere revisar algunos fundamentos:

Evaluar al proveedor actual: ¿Está certificado bajo la nueva versión? ¿O sigue operando con los criterios de 2010? No es lo mismo, y la diferencia importa.

Clasificar la información antes de destruirla: Aplicar el concepto de clases de protección implica saber qué nivel de sensibilidad tiene cada tipo de dato. Parece evidente, pero muchas organizaciones destruyen todo al mismo nivel. Como si una nómina y un folleto comercial merecieran el mismo tratamiento.

Revisar la cadena de custodia: Desde el contenedor en la oficina hasta el certificado final, cada eslabón debe ser trazable y documentable. Sin excepciones. Sin atajos.

Integrar con la gobernanza documental: La destrucción no es un proceso aislado. Forma parte del ciclo de vida de la información y debe gestionarse como tal, no como un apéndice incómodo que se resuelve a final de mes. Si no tienes claro por dónde empezar, conviene revisar cómo articular una destrucción segura que cumpla con la normativa vigente.

Lo que hemos aprendido siendo los primeros en certificarnos

Normadat se ha convertido en la primera empresa en España en obtener la certificación UNE-EN 15713:2024 a través de AENOR. Y vamos a ser transparentes, certificarnos bajo la nueva norma nos obligó a mirar debajo de nuestras propias alfombras.

Procedimientos que llevaban años funcionando y que dábamos por buenos se quedaban cortos a la luz de los nuevos requisitos. Protocolos de formación, registros de calibración, documentación operativa… hubo que cuestionar cosas que nadie cuestionaba porque «siempre se habían hecho así». No fue cómodo. Pero precisamente eso es lo que hace útil esta certificación, te fuerza a corregir detalles que dabas por sentados, no cuando ya tienes el problema encima, sino antes.

¿Qué hemos aprendido? Que certificarse no es colgar un diploma en la recepción. Es aceptar que cada lote de información confidencial tiene que ser tan rastreable como una transferencia bancaria: quién lo generó, quién lo custodió, quién lo transportó, quién lo destruyó y con qué nivel de seguridad. Que la trazabilidad extremo a extremo suena muy bien en una presentación, pero implica repensar cosas que llevabas años haciendo en piloto automático. Y que las organizaciones que nos confían su información merecen un nivel de exigencia que no puede quedarse anclado en 2010. Nosotros ya hemos pasado por ese «choque» con la realidad normativa. Ese cambio de mentalidad ya está integrado en nuestra forma de operar la destrucción confidencial certificada.

Como dice Beatriz Cazorla, directora de Marketing y Desarrollo de Negocio de Normadat “la destrucción confidencial no es solo triturar papel. Es demostrar, con evidencias, que el proceso completo está bajo control. Hemos pasado por ese ejercicio de demostración, subiendo el listón de los niveles de seguridad y trazabilidad de la información sensible aún más, y merece la pena”.

Una tarea pendiente que no va a esperar

Hay algo que conviene no olvidar. Las normas no esperan a que estemos preparados. Se publican, entran en vigor y empiezan a ser el estándar contra el que te miden. La UNE-EN 15713:2024 está aquí. Y los auditores, los reguladores y los clientes que te exigen evidencias de destrucción segura no van a preguntar si te ha dado tiempo a adaptarte.

La pregunta no es si tu organización destruye información confidencial. Obviamente lo hace. La pregunta es si la próxima vez que alguien —un auditor, un cliente, un regulador— pida el registro completo de destrucción de un lote concreto, vas a poder entregarlo sin que se te acelere el pulso.

Si la respuesta honesta es «no estamos seguros», hay una decisión que tomar. Y mejor tomarla ahora que en mitad de una auditoría.

Si necesitas compañía en ese proceso, solo tienes que escribirnos.

Preguntas Frecuentes