Borrado de datos y destrucción de soportes de datos
Borrado según NIST SP 800-88 (Rev. 2) · Destrucción según DIN 66399 / ISO/IEC 21964 · Certificado de borrado por cada soporte · Archivado durante 10 años
El borrado de datos es obligatorio: la prueba determina su responsabilidad
La protección de datos no termina cuando se retira un dispositivo; a menudo, es ahí donde realmente comienza. El RGPD exige, en su artículo 17, el borrado de los datos personales que ya no sean necesarios y, en su artículo 32, medidas técnicas y organizativas adecuadas a las necesidades de protección. Sin embargo, lo decisivo es el artículo 5, apartado 2, la responsabilidad proactiva: no es la autoridad la que debe demostrarle un incumplimiento, sino que usted debe poder acreditar que el borrado se ha realizado correctamente. Sin un justificante de borrado a prueba de auditorías, ni siquiera el borrado más minucioso puede demostrarse cuando hace falta.
Las consecuencias son reales: según el artículo 83 del RGPD, las multas pueden ascender hasta 20 millones de euros o el 4 % de la facturación anual mundial. A ello se suman los daños a la reputación y el riesgo de responsabilidad personal de la dirección. Para las empresas sujetas a la Directiva NIS2, los requisitos en materia de trazabilidad y diligencia en la cadena de suministro se han endurecido aún más. El formateo, el borrado rápido en el sistema operativo o la eliminación de la tabla de particiones no cumplen estos requisitos: a menudo, los datos pueden recuperarse con herramientas de libre acceso.
El producto en sí no es el borrado. Es la prueba de que se ha borrado. Por eso proporcionamos un certificado para cada soporte de datos y lo conservamos durante diez años para usted.
El proceso de IT-RESELL en 6 pasos
Cada pedido pasa por seis fases claramente definidas. Cada fase proporciona un resultado documentado a la siguiente, y a través de su portal de cliente puede seguir usted mismo el estado de su pedido en todo momento.
Inventario y presupuesto
Usted nos envía una lista de dispositivos o nosotros la recopilamos in situ. Recibirá una valoración precisa por modelo, incluida una estimación del valor residual.
Desmontaje y recogida
Recogida en toda la UE en contenedores de transporte con cerradura y precintados. Transporte directo, cadena de custodia documentada con números de precinto y acta de entrega.
Borrado de datos
Cada soporte de datos se registra individualmente, se borra según NIST SP 800-88 (Rev. 2) y se documenta con un certificado de borrado. Los soportes que no se pueden borrar pasan a la destrucción certificada según DIN 66399 / ISO/IEC 21964.
Inspección y valor residual
Diagnóstico técnico (funcionamiento, estado de la batería, RAM, red), clasificación de productos de categoría A a D y determinación final del valor residual.
Recomercialización o reciclaje
Los dispositivos reutilizables se reacondicionan y se vuelven a comercializar; los componentes que ya no son reutilizables se destinan a un reciclaje adecuado a través de una instalación de primer tratamiento certificada según la Ley alemana de aparatos eléctricos y electrónicos (ElektroG).
Pago y documentación
Pago del valor residual, si lo hubiera, más un informe final completo con certificados de borrado para cada soporte de datos y certificados de destrucción, archivado durante 10 años en el portal.
Un encargo típico de tamaño medio (entre 50 y 200 activos) se tramita en un plazo de entre 18 y 28 días laborables, desde la confirmación por escrito del encargo hasta la entrega del informe final.
Borrado mediante software o destrucción física
No todos los soportes de datos requieren el mismo procedimiento. Una unidad en buen estado con valor residual se borra mediante software y se reutiliza; una unidad defectuosa se destruye físicamente. Ambos métodos hacen que sus datos queden ilegibles de forma irreversible y demostrable, pero solo el primero conserva el valor residual.
Borrado seguro: conservando el valor
Borramos cada soporte de datos según NIST SP 800-88 (Rev. 2) y emitimos para ello un certificado de borrado a prueba de auditorías, también en entornos empresariales y en unidades con cifrado automático.
- Clear: sobrescritura lógica con verificación, típica de los discos duros magnéticos (HDD)
- Purge: comandos de borrado seguro (Secure Erase) y saneamiento basados en firmware, y borrado criptográfico, típico de SSD/NVMe
- Verificación y análisis SMART tras cada proceso de borrado
- El soporte de datos se conserva para su reutilización, al igual que su valor residual
Destrucción física: certificada según DIN 66399
Si un soporte de datos ya no se puede borrar de forma segura mediante software —por ejemplo, en caso de defectos de hardware o unidades que no responden—, se destruye físicamente a través de nuestro socio, una empresa especializada en gestión de residuos certificada según DIN 66399 / ISO/IEC 21964, hasta la clase de protección 3 si se solicita.
- Discos duros (HDD): trituración con nivel de seguridad H-4 (estándar) y H-5 si se solicita
- SSD/soportes flash: destrucción según su propia clase de material E con nivel de seguridad E-3 (estándar) y hasta E-5 si se solicita
- Certificado de destrucción según DIN 66399, asignado a los números de serie registrados
- Reciclaje de los materiales residuales a través de una instalación de primer tratamiento certificada según la ElektroG
Un SSD no es lo mismo que un HDD: por qué el método debe adaptarse al soporte
En el caso de los discos duros magnéticos clásicos (HDD), basta con una sobrescritura limpia con verificación, ya que cada sector lógico es físicamente direccionable. Los SSD y las unidades NVMe funcionan de forma radicalmente diferente: mediante el wear leveling y el over-provisioning, el controlador distribuye los datos entre celdas de memoria que permanecen ocultas al sistema operativo; una simple sobrescritura no alcanza estas áreas de reserva de forma fiable. Por eso, en los soportes de estado sólido, apostamos por comandos de saneamiento basados en firmware y, en las unidades con cifrado automático, por el borrado criptográfico: se elimina la clave de cifrado interna, con lo que todos los datos quedan criptográficamente inservibles en fracciones de segundo. Cuando la unidad no ejecuta correctamente estos comandos, la destrucción física es la única forma segura. Para nosotros, esta distinción forma parte fija de cada encargo.
Normas en detalle: NIST SP 800-88, DIN 66399, RGPD
NIST SP 800-88 Rev. 2: las tres categorías de saneamiento
| Categoría | ¿Qué ocurre? | Aplicación típica |
|---|---|---|
| Clear | Sobrescritura lógica con comandos estándar; protege contra la recuperación sencilla | Discos duros, soportes de datos reutilizables |
| Purge | Métodos basados en firmware (Secure/Block Erase, Cryptographic Erase, desmagnetización); ni siquiera los métodos de laboratorio permiten recuperar los datos | SSD/NVMe, unidades con cifrado automático |
| Destroy | Destrucción física (trituración, desmenuzamiento, fundición); el soporte queda inservible | Soportes de datos defectuosos o imposibles de borrar |
DIN 66399 / ISO/IEC 21964: clases de protección, niveles de seguridad, clases de material
La DIN 66399 es la norma alemana para la destrucción de soportes de datos; su continuación internacional es la ISO/IEC 21964. Define 3 clases de protección (la clase 2 abarca la mayoría de los datos personales relevantes para el RGPD; la clase 3, las categorías especiales según el art. 9 del RGPD), 7 niveles de seguridad y 6 clases de material (P papel, F película, O soportes ópticos, T soportes magnéticos, H discos duros, E soportes electrónicos como SSD y memorias USB).
| Soporte de datos | Clase de material | Estándar – clase de protección 2 | Protección reforzada – clase de protección 3 |
|---|---|---|---|
| Disco duro (HDD) | H | H-4 | H-5 a petición |
| SSD / NVMe / USB / tarjeta de memoria | E | E-3 | E-5 a petición |
Los SSD y los soportes flash se destruyen según su propia clase de material E, no como los discos duros. Dado que los chips de memoria almacenan los datos en un espacio mínimo, se les aplican requisitos propios en cuanto al tamaño de partícula. Para datos especialmente sensibles, es posible la destrucción hasta E-5 a petición.
RGPD: art. 17, 28, 32 y la responsabilidad proactiva
| Artículo | Requisito | Así lo cumple IT-RESELL |
|---|---|---|
| Art. 17 | Derecho de supresión de los datos personales que ya no sean necesarios | Borrado según NIST SP 800-88 (Rev. 2) con certificado de borrado o destrucción certificada según DIN 66399 / ISO/IEC 21964 |
| Art. 28 | Contrato de encargo del tratamiento en caso de tratamiento externo | Modelo de contrato de encargo del tratamiento incluido: el borrado, la verificación y la documentación son objeto expreso del contrato |
| Art. 32 | Medidas técnicas y organizativas adecuadas (MTO) | Contenedores precintados, transporte directo, control de acceso y videovigilancia, identificadores de operador, verificación mediante hash |
| Art. 5.2 | Responsabilidad proactiva: usted debe demostrar el cumplimiento | Certificado de borrado a prueba de auditorías por cada soporte de datos, archivado durante 10 años |
Su prueba de borrado: a prueba de auditorías, individualizada y archivada durante 10 años
Para cada soporte de datos elaboramos un certificado de borrado individual y a prueba de auditorías, con el número de serie del dispositivo y del soporte, la norma aplicada y la versión del software, la identificación del operador, la marca de tiempo y el resultado de la verificación. En el caso de los soportes destruidos físicamente, se añade el certificado de destrucción según DIN 66399.
Lo decisivo es lo que ocurre después: en nuestro caso, el certificado se vincula automáticamente al activo correspondiente, no porque alguien marque una casilla, sino porque es el proceso de borrado completado el que activa la emisión del certificado. Todo se encuentra en su portal de cliente de ITAD, alojado en Alemania, con una función de búsqueda que llega hasta el número de serie concreto en todos los proyectos. Además, archivamos cada proyecto durante diez años.
En concreto, esto significa que si su responsable de TI abandona la empresa el año que viene, la documentación completa permanece en la empresa. Y si dentro de tres años se realiza una auditoría, nadie tendrá que rebuscar en antiguos buzones de correo: el certificado está a un clic de distancia.
Demostrado en la práctica: borramos varias decenas de miles de soportes de datos y dispositivos de almacenamiento al año, procedentes de servidores, sistemas de almacenamiento, ordenadores portátiles y dispositivos móviles. Cada uno de ellos cuenta con un justificante a prueba de auditorías; las unidades que no se pueden borrar se someten a una destrucción documentada y certificada según DIN 66399.
Borrado de datos + recompra = valor residual en lugar de solo costes
Con una destrucción pura, normalmente se paga por cada soporte de datos; para usted, eso supone un gasto sin más. Nosotros pensamos al revés: cada operación de recompra en IT-RESELL ya incluye el borrado de datos según NIST SP 800-88 (Rev. 2), con certificado de borrado para cada soporte. En lugar de pagar por la destrucción, en muchos casos recibirá un abono por el valor residual de su hardware.
Esto sale doblemente a cuenta: una unidad o un portátil en buen estado que se borra en lugar de triturarse conserva su valor de mercado. El hardware empresarial de HPE, Dell, Cisco, Juniper, HPE Aruba, NetApp, Pure Storage y NVIDIA suele tener aún un valor residual considerable, incluso tras tres a cinco años de uso. De este modo, puede refinanciar total o parcialmente el coste del cumplimiento normativo a través de la recompra, en lugar de contabilizarlo como un gasto.
Por qué el borrado prolonga la vida útil de los dispositivos
Un soporte de datos destruido es residuo electrónico. Un soporte de datos borrado es un producto que puede seguir utilizándose. En los dispositivos informáticos, una gran parte de las emisiones se genera ya durante la fabricación, no solo durante el funcionamiento. Un dispositivo que se reutiliza tras el borrado puede sustituir una nueva compra y prolonga así la vida útil de un hardware ya fabricado.
Un ejemplo práctico: en la gestión de 103 portátiles Dell Latitude para un proveedor de servicios informáticos, se borraron y certificaron 100 soportes de datos según NIST SP 800-88 (Rev. 2), y tres SSD defectuosos se destruyeron físicamente (DIN 66399, E-3). Resultado: una tasa de reutilización del 97,1 %, ya que 100 de los 103 dispositivos pudieron reutilizarse. Como contexto: según el Global E-waste Monitor 2024 de las Naciones Unidas, en 2022 se generaron en todo el mundo 62 millones de toneladas de residuos electrónicos, de los cuales solo el 22,3 % se recicló de forma adecuada y documentada.
Desde las pymes hasta los centros de datos
Empresas y pymes
Actualizaciones periódicas de hardware, cierres de sedes, devoluciones de leasing: borrado documentado con valor residual.
Centros de datos y migraciones a la nube
Desmantelamiento de centros de datos con un gran volumen de soportes de datos (servidores, almacenamiento, switches), cadena de custodia y borrado masivo.
Integradores de sistemas y proveedores de servicios de TI
Borrado y destrucción a prueba de auditorías, con opción de marca blanca, como módulo para sus propios proyectos de clientes.
Administraciones y organismos públicos
Destrucción certificada según DIN 66399, realizada exclusivamente en Alemania y con documentación completa; para exigencias de protección elevadas, hasta la clase de protección 3 (H-5 / E-5) a petición.
Todo de un vistazo
La cuestión no es si va a desechar hardware, sino si después podrá demostrar qué ha ocurrido con los datos.
Nosotros nos encargamos de que pueda hacerlo, durante diez años y para cada soporte de datos. El presupuesto y la valoración del valor residual ajustada al modelo son gratuitos y sin compromiso.
Hable con nuestros expertos
Preguntas frecuentes sobre el borrado de datos y la destrucción de soportes de datos
Respuestas sobre procedimientos, normas, costes y justificantes: desde el método de borrado hasta el archivo en el portal del cliente.
En el borrado de datos, los datos se eliminan de forma irreversible mediante software según NIST SP 800-88 (Rev. 2), y el soporte sigue siendo reutilizable. En la destrucción de soportes de datos, el soporte se destruye físicamente según DIN 66399 / ISO/IEC 21964. El borrado conserva el valor residual; la destrucción es la vía para soportes defectuosos o que no se pueden borrar.
No. El formateo, el vaciado de la papelera de reciclaje o el borrado de la tabla de particiones solo eliminan las referencias; a menudo, los datos pueden recuperarse con herramientas de libre acceso. El RGPD exige un procedimiento acorde con el estado de la técnica, por ejemplo según NIST SP 800-88, con verificación y justificante a prueba de auditorías.
En el caso de los SSD, la simple sobrescritura no es fiable, ya que el wear leveling y el over-provisioning ocultan áreas de memoria. Utilizamos comandos de saneamiento basados en firmware y, en las unidades con cifrado automático, el borrado criptográfico (NIST Purge); en caso de defectos, se procede a la destrucción física según la clase de material E.
Un certificado de borrado documenta, de forma a prueba de auditorías y para cada soporte de datos, que se ha realizado el borrado y cómo. Es su justificante ante las autoridades de protección de datos y los auditores en el marco de la responsabilidad proactiva según el artículo 5.2 del RGPD.
Para la mayoría de los datos personales se aplica la clase de protección 2 de la DIN 66399; para datos especialmente sensibles, la clase de protección 3. Para discos duros se recomiendan los niveles H-4 a H-5; para SSD, E-3 a E-5. De forma estándar, IT-RESELL destruye los discos duros en el nivel H-4 y los SSD en el nivel E-3, a través de un socio certificado según DIN 66399. Para la clase de protección 3, es posible la destrucción hasta H-5 / E-5 a petición.
Es obligatoria la eliminación segura y demostrable de los datos, pero no necesariamente la destrucción física. Un borrado documentado según NIST SP 800-88 cumple igualmente este requisito y preserva el valor del dispositivo.
Entregue los soportes de datos a un proveedor de servicios con contrato de encargo del tratamiento, borrado o destrucción conforme a las normas y justificante para cada soporte. IT-RESELL recoge en toda la UE bajo precinto, borra según NIST SP 800-88 o encarga la destrucción a un socio certificado según DIN 66399 (estándar H-4 / E-3, hasta H-5 / E-5 a petición) y lo documenta todo de forma completa.
El precio depende de la cantidad, el tipo de soporte y el procedimiento. En combinación con la recompra del hardware, en muchos casos no le supone ningún coste, sino que recibe un abono por el valor residual.
Ambas. La DIN 66399 es la norma alemana; la ISO/IEC 21964, su continuación internacional, en gran medida idéntica. Trabajamos según ambas.
Diez años. Cada proyecto, incluidos todos los certificados de borrado y destrucción, se archiva en el portal de cliente de ITAD (alojado en Alemania) y se puede consultar hasta el número de serie concreto.
Sí. Pueden auditar nuestras instalaciones de reacondicionamiento y borrado en Magdeburgo: controles de acceso, líneas de borrado, software utilizado y registros. Esto resulta especialmente relevante en el caso de requisitos de ISO 27001 y TISAX.
