Normativa sobre destrucción de documentos

21 de enero de 2019

Se está hablando mucho sobre el nuevo RGPD, su aplicación en España desde 2018 y sus consecuencias, pero existen otras normas europeas vigentes y que ilustran sobre la destrucción de documentos, para que se haga de forma correcta.



El Reglamento General de Protección de Datos es la norma legal por la que se rigen los países miembros de la UE en el que se regula el tratamiento de la información sensible que afecta a los datos personales.

Recientemente en España se ha aprobado la nueva Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales que entronca con dicho Reglamento, por lo que se puede decir que se complementan.

Pero existen, además, unas normas que hablan sobre el procedimiento de destrucción de documentos que son de obligado cumplimiento para que este se desarrolle de una forma adecuada y segura.

Esta normativa no entra en contradicción con otras leyes y reglamentos porque se refieren a aspectos técnicos del proceso, como vamos a ver a continuación.

Norma DIN 66399

Fue desarrollada en Alemania por el Deutsches Institut für Normung o Instituto Alemán para la Normalización que se dedica a elaborar los estándares para asegurar la calidad en el comercio, industria, ciencia, etc. Sus siglas DIN corresponden a Das Ist Norm (Esto es norma).

La DIN 66399 se ocupa de:
• Clases de protección en la destrucción de documentos.
• Niveles de seguridad.
• Soportes en los que se guarda la información sensible.

Clases de protección

Existen 3 clases de protección para esta norma:
• Clase 1: Cuando la información sensible no tiene especial relevancia en las empresas y está garantizada la protección de datos de carácter personal. Por ejemplo, la publicidad, catálogos, notas, etc.
• Clase 2: Aquí ya hay documentos de carácter confidencial que afectan a la empresa, empleados, a terceros, también contratos y leyes. Hay que ser escrupuloso en el procedimiento de destrucción de documentación. Por ejemplo: ofertas, consultas, notas y datos personales...
• Clase 3: Llegamos a puntos en los cuales hasta se podrían llegar a violar secretos profesionales, leyes, información con la que la empresa podría correr peligro. Son documentos que afectan a personas cuya identidad permanece en el anonimato. Por ejemplo: programas de investigación y desarrollo, estudios económicos, información de personas adscritas a determinados trabajos...

Niveles de seguridad y destrucción

Aquí tenemos los tipos de destrucción que se deben realizar en función del grado de secreto de información contenida en la documentación que se va a destruir. Existen 7 niveles de seguridad para hacer la recuperación de información imposible.
o Nivel P-1, son para datos en general y que deben ser ilegibles. La superficie de papel debe tener una extensión que oscila entre 2000 mm2 y su anchura igual o inferior a 12 mm.
o Nivel P-2, sería comparable a información interna. Debería ser imposible de leer y las medidas oscilan entre: 800 mm2 y 6 mm.
o Nivel P-3, en cualquier soporte de información confidencial. Su superficie debe ser inferior a 320 mm2 y de ancho 2 mm.
o Nivel P-4, en el caso de que haya que ser cuidadoso debido al contenido. Hablaremos de pedazos regulares de tamaño entre 4 y 40 mm. Y ancho de 6 mm.
o Nivel P-5, con importantes datos secretos. Superficie de destrucción de 30 mm2, pedazos de 15 mm y anchura de 2 mm.
o Nivel P-6, aquí las medidas son extraordinarias. No más de 10 mm2 en tamaño no superior de entre 0,8 y 1,2 mm. Con anchura de 1 mm máximo.
o Nivel P-7, este es el último nivel de seguridad y está destinado solo a casos excepcionales: Máxima seguridad y secreto. Superficie de 5 mm2 con pedazos regulares entre 0,8

Y 5 mm. Y anchura de 1 mm.

Soportes en los que se guarda la información

Antes se hablaba particularmente de la destrucción de documentos en papel. Desde la norma DIN 66399 se amplió la información a todos los soportes que pudieran contener datos sensibles y que, consecuentemente, fueran susceptibles de eliminarse.

Existe una clasificación:

1. P, para la documentación confidencial que se encuentra en formato de papel, radiografías, láminas, etc. A su vez se subdivide desde P-1 a P-7.
2. O, es para los soportes de datos ópticos, tales como cedes, deuvedés. Niveles de seguridad O1 a O-7.
3. T, se guarda información en formatos magnéticos, como tarjetas, tiras magnéticas... Se aplican niveles de T-1 a T-7.
4. E, se trata de sitios electrónicos, como USB, Flash, memorias...En este caso van de E-1 a E-7.
5. F, o documentos guardados en microfilms, tarjetas perforadas, etc. Hablamos de seguridad de F-1 a F-7.
6. H, la información está guardada en discos duros con tiras magnéticas, etc. De H-1 a H-7.

Norma ISO 27001

Es una normativa que trata de asegurar un Sistema de Gestión de la Seguridad de la Información (SGSI), de acuerdo con el ciclo: Planificar, Hacer, Comprobar y Actuar. (En inglés PDCA, Plan, Do, Check, Act).

Todo ello se cimenta sobre tres pilares fundamentales: Confidencialidad, Integridad, Disponibilidad.

Es decir, que la información no se puede divulgar a personas no autorizadas, también es íntegra, lo que significa que es concreta y exacta siempre y en sus procedimientos y debe estar disponible para los individuos autorizados a acceder a ella en todo momento.

El control documental que establece la ISO 27001 es el siguiente:
• Caso de que haya cambios en los documentos, estarán perfectamente identificados.
• Las versiones de la documentación que puedan existir estarán disponibles.
• Todo debe ser legible e identificable.
• Debe estar disponible para las personas autorizadas que lo necesite.
• Si existen documentos de origen externo deben ser identificados con claridad.
• Evitar emplear documentación que esté obsoleta.
La norma ISO 27001 evalúa los riesgos de organización y gestiona su verificación.

UNE 15713

Esta norma establece el código de buenas prácticas para efectuar una destrucción de documentos de forma segura.

De esta manera, establece una serie de recomendaciones para gestionar, para asegurar que se efectuará de forma confidencial, segura y sin peligro.

La documentación se debe almacenar en contenedores sellados a los que no puedan tener acceso más que las personas autorizadas, deben ser perfectamente localizados e identificados.

Los vehículos de transporte deben ser cerrados y rígidos, evitando posibles pérdidas o extravíos, así como el acceso de terceros.

Las empresas de destrucción de documentos deben tener un sistema de vídeo vigilancia, una alarma anti-intrusismo y el control a las personas que pueden entrar a sus instalaciones para que solo puedan hacerlo quienes tengan previa autorización.

Otra cuestión importante es el método de destrucción que se debe aplicar en cada caso dependiendo del soporte, para evitar que se pueda recuperar información del documento.

Finalmente recomienda el reciclaje del subproducto final cuando se esté seguro de que la información sensible y confidencial ha sido destruida.

Anobium conoce todas las normas de seguridad en los procedimientos de destrucción de documentos, es una empresa segura con años de experiencia y goza de los mejores profesionales en su ámbito. Póngase en contacto con nosotros y resolveremos su problema.