Según la Ley Organica de Protección de Datos (LOPD), datos de carácter personal son «cualquier información concerniente a personas físicas identificadas o identificables». Son datos de carácter personal por ejemplo: nombres de usuarios, nombres y apellidos, direcciones postales, números de teléfono, DNI, formación, profesión, números seguridad social, correos electrónicos, firma electrónica, pruebas, diagnósticos y tratamientos médicos, rendimiento deportivo, edad, raza, afiliación política, cuentas en bancos, compras, suscripciones, visitas a páginas web, direcciones IP, uso de los servicios contratados, fotos, grabaciones de audio o videos de cámaras de seguridad, etc.
Son también datos personales la información de identificación personal o PII (Personally Identifiable Information) como intereses, gustos, geo-localización, ADN o información biométrica, es decir, toda información que pueda servir para averiguar la identidad, localizar o contactar a una persona o a un individuo a través del contexto.
La Agencia Española de Protección de Datos (AEPD) es la encargada de la protección de los datos de carácter personal. En cuanto a destrucción de información, el Reglamento de Protección de datos de carácter personal menciona:
«Art. 92.4 Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior.»
Y más adelante, sobre las copias:
«112.2 Deberá procederse a la destrucción de las copias o reproducciones desechadas de forma que se evite el acceso a la información contenida en las mismas o su recuperación posterior.»
Borrado seguro y destrucción de la información
Para finalizar el ciclo de vida de la información desde el enfoque de la seguridad, es indispensable cubrir un aspecto de suma importancia: la destrucción de la información.
Las empresas pueden encontrar diversos motivos para eliminar la información que guardan. Además, son las encargadas de velar por la adecuada gestión de datos personales, estratégicos, legales o contables, entre otros, y están obligadas a conservar estos datos durante un periodo de tiempo, tras el cual se suelen eliminar.
Por ello se recomienda un primer proceso de reflexión interna para analizar la forma en la que eliminan los datos o entregan los dispositivos a terceros (y por tanto, ceden el control de la información).
En resumen estas son algunas de las situaciones que una correcta destrucción de la información quiere evitar:
- Las sanciones legales por incumplimiento de la legislación que regula el tratamiento de la información de carácter personal.
- Los daños de imagen derivados de la divulgación de información que debería haberse borrado o de soportes y equipos, con información confidencial, que deberían haberse destruido.
- Costes de conservación y custodia más allá del tiempo necesario.
- Riesgos por robo o uso indebido de información confidencial.
Escríbenos por WhatsApp