Eliminación defendible: cómo destruir datos personales y conservar la prueba
La eliminación defendible consiste en destruir datos de una forma que puedas justificar después. Los datos se eliminan según un calendario definido, y aun así puedes mostrar qué eran, por qué cumplían los requisitos para su eliminación, cuándo ocurrió y que nada sujeto a un bloqueo legal quedó atrapado en el barrido.
Cualquiera puede borrar un archivo. El problema es que, una vez que ha desaparecido, la prueba de que lo trataste correctamente suele desaparecer con él. La eliminación defendible lo resuelve capturando la prueba antes de que los datos desaparezcan.
Por qué falla borrar y olvidar
Borrar y olvidar falla porque la eliminación es en sí misma una actuación de cumplimiento, y el principio de responsabilidad proactiva del artículo 5(2) te obliga a demostrar que lo hiciste correctamente. Una vez que el archivo ha desaparecido, ya no te queda nada con lo que demostrarlo. La eliminación no es una limpieza opcional: el RGPD te empuja a eliminar los datos personales una vez cumplida su finalidad, y el artículo 5(1)(e) convierte la conservación excesiva en una infracción.
Esa es la trampa. Si tu proceso es “borrar el archivo y pasar a otra cosa”, has cumplido el deber de eliminación y has incumplido el deber de responsabilidad proactiva. Cuando un antiguo empleado presenta una reclamación ante una autoridad de control, o un auditor examina por muestreo tu práctica de retención, la pregunta no es “¿han desaparecido los datos?”. Es “demuéstrame que eliminaste lo correcto, a tiempo, y que dejaste todo lo que estabas obligado a conservar”. Borrar y olvidar no tiene respuesta para eso.
Las dos formas en que la eliminación sale mal
Eliminar demasiado. Barres un período de retención y atrapas un registro que estaba sujeto a un bloqueo legal por un litigio en curso. Destruir datos que tenías el deber de conservar es destrucción de pruebas. Un proceso defendible comprueba todos los bloqueos antes de destruir nada, e impide la destrucción si hay alguno activo. El propio bloqueo legal se aplica en la capa de almacenamiento.
Eliminar sin prueba. Eliminas correctamente, pero no guardas ningún registro de ello. Dos años después no puedes mostrar qué categorías suprimiste, qué conservaste ni por qué. En la práctica, esto equivale a no haber eliminado nunca, porque no puedes demostrarlo. Una responsabilidad proactiva que no puedes acreditar es una responsabilidad proactiva que no tienes.
La eliminación defendible es la disciplina que evita ambas cosas.
Qué requiere la eliminación defendible
Cinco elementos tienen que estar en su sitio antes, durante y después de la destrucción:
- Un desencadenante que puedas justificar. La eliminación responde a un calendario de retención o a una solicitud de supresión válida conforme al artículo 17, no a una decisión improvisada. El motivo queda registrado.
- Una comprobación de bloqueo legal. Antes de destruir nada, el proceso confirma que el registro no está sujeto a un deber de conservación. Si lo está, la destrucción se impide y ese impedimento queda registrado.
- Una decisión con un alcance definido. Registras exactamente qué se destruye y qué se conserva, por categoría, con el fundamento jurídico de todo lo que se conserva.
- La destrucción en sí. Los datos quedan fuera de uso, también en las copias de seguridad, según un calendario definido, y no con una promesa de eliminación instantánea que nunca llega a las copias de seguridad.
- Un certificado del hecho. Un registro fechado que recoge todo lo anterior y sobrevive a los datos que describe.
Si falta cualquiera de ellos, la eliminación deja de ser defendible. Una destrucción sin comprobación de bloqueo es temeraria. Una destrucción sin certificado es invisible.
Borrar y olvidar frente a eliminación defendible
La diferencia no está en si los datos se eliminan. Está en lo que sobrevive a la eliminación.
| Paso | Borrar y olvidar | Eliminación defendible |
|---|---|---|
| Desencadenante | Improvisado, cuando alguien se da cuenta | Calendario de retención o solicitud de supresión válida, registrados |
| Bloqueo legal | No se comprueba | Se comprueba, y la destrucción se impide si hay un bloqueo activo |
| Alcance | El archivo entero | Por categoría, con un fundamento jurídico para todo lo que se conserva |
| Destrucción | Borrar y pasar a otra cosa | Fuera de uso según un calendario definido, copias de seguridad incluidas |
| Prueba | Ninguna | Un certificado fechado que sobrevive a los datos |
Qué debe contener un certificado de destrucción
Un certificado de destrucción es el artefacto que conservas después de que los datos han desaparecido. Es la prueba, así que tiene que sostenerse por sí solo. Uno útil registra:
- Qué se destruyó, identificado sin reproducir los propios datos personales. Un hash del contenido o un identificador seudónimo lo hace bien: prueba a qué registro te refieres sin recrearlo.
- Cuándo se decidió la destrucción y cuándo se completó, con un sello de tiempo fiable en lugar de un valor del reloj del sistema que cualquiera podría editar.
- Por qué el registro cumplía los requisitos: la regla de retención o el motivo de supresión que la desencadenó.
- El estado de bloqueo en ese momento, que muestra que no quedó atrapado nada sujeto a conservación.
- El nivel de garantía, expresado con honestidad. Un certificado que afirma de más es peor que ninguno, porque falla la primera vez que alguien lo comprueba. Un buen certificado dice exactamente qué acredita y qué no.
Ese último punto es el que la mayoría de los proveedores se salta. Un certificado que dice “destruido y verificado” sin explicar cómo funcionó la verificación es un artefacto de marketing, no una prueba. Un certificado que declara sus propios límites es uno en el que un auditor puede confiar de verdad.
Cómo encaja con la retención y la supresión
La eliminación defendible es la capa de ejecución que hay debajo de dos cosas que ya tienes que hacer. Tu calendario de retención de RRHH decide cuándo pueden eliminarse los datos. El derecho de supresión genera eliminaciones a petición entre esas fechas programadas. La eliminación defendible es la forma en que ambas ocurren realmente sin crear una brecha de responsabilidad proactiva. El mecanismo de bloqueo legal que prevalece sobre ellas se aplica en la capa de almacenamiento.
El principio que hay detrás de un Paquete de Evidencia Legal también se aplica aquí: la evidencia tiene que capturarse en el momento del hecho y tiene que poder verificarla alguien que no participó en él.
Cómo apoya SealDoc la eliminación defendible
SealDoc conserva un hash SHA-256 de cada documento y registra cada evento de su ciclo de vida en una pista de auditoría con cadena de hashes, de modo que cualquier cambio posterior es detectable y el orden de los eventos no puede reescribirse sin que se note. La API de SealDoc se niega a suprimir un documento dentro de su período de retención. Una vez que el período lo permite, una supresión a petición queda registrada en la misma pista de auditoría.
Todo funciona sobre infraestructura de la UE, sin ningún hiperescalador estadounidense en el camino, de modo que la pista de auditoría no se convierte por sí misma en un problema de transferencia de datos.