Borrar no es eliminar
Según INCIBE, vaciar la papelera no garantiza que los datos desaparezcan: pueden recuperarse con herramientas específicas. Para evitarlo hace falta un borrado seguro antes de perder el control del dispositivo.
Los tres niveles de la guía NIST
La guía NIST SP 800-88, referencia internacional sobre cómo eliminar datos de los soportes, distingue tres métodos. Su revisión 2, publicada en julio de 2026, mantiene los tres y los relaciona con la sensibilidad de la información (baja, moderada o alta).
- Clear: borrado con técnicas lógicas, como sobrescribir los datos. Protege frente a recuperaciones sencillas.
- Purge: borrado más a fondo, que busca que los datos no puedan recuperarse ni con medios de laboratorio. Por ejemplo, el borrado criptográfico en soportes que lo permiten, con los requisitos que fija la guía.
- Destroy: destrucción física del soporte para que no pueda volver a usarse.
Discos duros y SSD no se borran igual
INCIBE señala que las herramientas de sobrescritura pensadas para discos magnéticos no se recomiendan en SSD, y que casi todos los fabricantes ofrecen utilidades propias basadas en el estándar ATA Secure Erase. En un SSD conviene usar la herramienta del fabricante o las opciones de borrado seguro que indique su documentación, y comprobar después el resultado.
Por la misma razón, desmagnetizar no sirve en un SSD: guarda los datos en chips de memoria, no en un medio magnético.
Cuándo conviene destruir el disco
Una empresa de destrucción certificada tritura o desintegra el soporte y debería entregarte un certificado que identifique las unidades, idealmente por número de serie. La norma DIN 66399 tiene niveles específicos para soportes magnéticos (letra H) y electrónicos (letra E).
- Cuando está averiado y no puedes borrarlo con garantías.
- Cuando contiene datos especialmente sensibles: salud, financieros o secretos empresariales.
- Cuando no vas a reutilizarlo ni venderlo: copias de seguridad antiguas, cintas o discos de servidores dados de baja.
- Cuando necesitas demostrar la eliminación con un certificado, por ejemplo ante clientes o auditorías.
Si el disco tiene datos personales
Si guarda datos personales de clientes, empleados o pacientes, el RGPD exige medidas de seguridad adecuadas también cuando se eliminan (artículo 32). Un borrado seguro documentado o una destrucción con certificado son dos formas de poder demostrarlo.
Esta guía es informativa y no sustituye el asesoramiento de un abogado, de un delegado de protección de datos o de un especialista en seguridad informática.
Preguntas frecuentes
No. El formateo rápido solo borra el índice de archivos y los datos siguen en el disco. Hace falta un borrado seguro o la destrucción física.
Sí, si el borrado se ha hecho y comprobado bien. Si el disco se destruye físicamente, ya no puede reutilizarse.
La fecha, el método de destrucción, el nivel de seguridad aplicado y la relación de unidades destruidas, a ser posible con su número de serie, además de los datos de la empresa.