Protección de datos
Los equipos retirados contienen soportes con datos personales, y la organización sigue siendo responsable de ellos hasta que se eliminan de forma verificable. EoL360 documenta la sanitización de cada soporte, vinculada al activo del que procede.
Qué exige la normativa
Tres exigencias que se leen juntas:
- Seguridad adecuada al riesgo. La organización, como responsable del tratamiento, debe proteger los datos personales frente al acceso no autorizado, la pérdida o la destrucción, aplicando medidas técnicas y organizativas apropiadas al riesgo.
- Capacidad de demostrarlo. No basta con aplicar esas medidas: el responsable debe poder demostrar que las aplicó. Es el principio de responsabilidad proactiva.
- Garantías del proveedor. Cuando un tercero trata los datos por cuenta de la organización, en este caso al manipular los soportes durante la retirada, solo puede elegirse un encargado del tratamiento que ofrezca garantías suficientes.
un soporte que sale de la organización sin un certificado de sanitización individualizado deja a la empresa sin forma de demostrar que aplicó una medida de seguridad adecuada al riesgo.
Por qué el fin de vida es un momento crítico
Formatear un disco o restablecer un equipo no elimina los datos de forma verificable. Hasta que cada soporte se sanitiza con un método reconocido y queda constancia de ello, los datos siguen existiendo y la responsabilidad sigue siendo de la organización. El riesgo se concentra en los tramos donde el equipo ya no está bajo su control directo: el almacenamiento previo, el transporte y el procesamiento por terceros.
- Almacenamiento previo
- Transporte
- Procesamiento por terceros
- Sanitización certificada
Artículos clave
Qué documenta EoL360
| Obligación | Documento o función |
|---|---|
| Seguridad adecuada y capacidad de demostrarla | Certificados de borrado: un certificado individual por soporte, vinculado al activo y recuperable por equipo, lote o ejercicio. |
| Control de los tramos de riesgo | Cadena de custodia: cada transferencia del equipo, firmada y fechada, desde la sede hasta la sanitización. |
| Garantías del encargado | Contrato de encargo de tratamiento: la operativa se formaliza mediante el correspondiente contrato, con instrucciones y medidas documentadas. |
Régimen sancionador
Ver multas
Incumplir las obligaciones de seguridad del tratamiento (arts. 25 a 39, entre ellos el 32) puede sancionarse con multas de hasta 10.000.000 € o, en el caso de una empresa, hasta el 2 % de su volumen de negocio total anual global, optándose por la de mayor cuantía (art. 83.4). Si se vulneran los principios del art. 5, el límite sube a 20.000.000 € o el 4 % (art. 83.5).
La sanitización, convertida en evidencia.
Mostramos cómo EoL360 documentaría la sanitización de cada soporte en el próximo proceso de renovación de la organización.
Habla con un experto