Destrucción certificada de documentos en el sector sanitario: máxima protección de datos para tus pacientes
14 de septiembre de 2020
Compliance en la protección de datos: tres documentos del día a día que deben destruirse en cualquier empresa
21 de septiembre de 2020
Manuel Velasco Carretero, experto en Compliance, administrador concursal, abogado y economista, conoció a ByeFile en la gestión de un concurso de acreedores. Cuando llegó el momento de deshacerse de toda la documentación, la destrucción documental de ByeFile le convenció entre las distintas opciones. La seguridad y rapidez de nuestros servicios fueron dos aspectos clave para que posteriormente haya seguido contando con nosotros. Ahora, relata su experiencia y explica cómo la destrucción documental es esencial para cumplir con la protección de datos. Y, por tanto, una medida de Compliance con la que todo profesional o empresa gana en tranquilidad.
A continuación, se comparte el artículo elaborado por Manuel Velasco Carretero:
En el sitio Administración Concursal, texto “Importancia de la destrucción documental”[1], apuntaba que en todo proceso documental, tan importante es la creación (principio) y uso (durante) de los datos, como su destrucción o archivo definitivo (final), hito, este último, al que a veces no le damos la importancia que tiene. Siguiendo a ARMA International[2], la gestión de documentos administrativos[3] o “gestión documental”, es una función organizativa dedicada a al tratamiento de los datos en una organización a lo largo de su vida, desde el momento de su generación o inscripción, pasando por su coyuntural o estructural utilización o disposición, hasta su descatalogación, archivo definitivo o destrucción. Esto incluye identificar, clasificar, almacenar, asegurar, recuperar, rastrear y destruir o preservar permanentemente los registros. Por su parte, la norma UNE-ISO 15489-1: 2016[4] entiende los registros como evidencia de la actividad comercial y de los activos de información, distinguiéndose de otros paquetes de datos por su función como prueba en la transacción comercial y por su dependencia de los metadatos[5]. Para ISO, la gestión de registros abarca desde la creación y captura de registros para cumplir con los requisitos de evidencia de actividad comercial, hasta la puesta en marcha de medidas adecuadas para proteger su autenticidad, fiabilidad, integridad y usabilidad a medida que su contexto empresarial y los requisitos para su gestión cambien con el tiempo.
En Compliance, texto “Proteger la integridad y usabilidad de los registros”[6], confesaba la coincidencia con Elizabeth Gasiorowski-Denis[7] en que el panorama de la gestión de documentos está variando, debido al auge del contenido digital y la creciente dependencia de él, por lo que los cambios en la forma en que gestionamos los registros son inevitables. Para Gasiorowski lo anterior implica comprender el contexto tecnológico en el que se opera, la naturaleza de la actividad empresarial o profesional, con sus riesgos y requisitos asociados al concreto negocio. Por tanto, es necesario y posible el diseño y aplicación de sistemas y reglamentación para que los registros se realicen y mantengan correctamente, ya sean datos, documentos o incluso contenido de redes sociales, derivando en una serie de beneficios que impregnan de “excelencia” el servicio que se ofrece a la sociedad. Cassie Findlay[8] apunta la necesidad de tomar las medidas adecuadas para proteger la autenticidad, confiabilidad, integridad y usabilidad de los registros, así como su contexto comercial, identificando los requisitos para su administración a lo largo del tiempo, puesto que no existe ningún sector económico o social que no pueda permitirse prestar atención a la creación, mantenimiento, destrucción o archivo definitivo de registros, “especialmente en la era de la disrupción y el cambio digital en la que vivimos”.
En mis frentes empresariales, profesionales o institucionales, siempre he tenido presente las consideraciones anteriores, sobre todo en el ejercicio de actividades como la protección de datos personales, el compliance o la administración concursal. A título orientativo y práctico, te cuento unas “batallitas”. Corría el principio de la segunda década de este siglo XXI, en plena crisis económica que asolaba España, ejerciendo de administrador concursal, enfrascado andaba con un difícil concurso de acreedores. Por fin pude enajenar los activos de la concursada. Pero la liquidación no terminaba ahí, quedaba otro problema: la ingente cantidad de documentación que atesoraban los archivos administrativos, datos sensibles, tanto desde la óptica de la protección de datos, como de la confidencialidad: facturas, contratos, nóminas… Un compañero me comentó su experiencia en destrucción documental con una organización no lucrativa, que no me terminó de encandilar. Otro me trasladó los “usos y costumbres” de algunos, poniendo en marcha “operaciones de destrucción doméstica” y depósito en contenedores de basura”, que me convenció aún menos. Finalmente, me puse a “bichear” en Internet y localicé la actividad empresarial de Antonio, socio fundador de ByeFile. Después de la preceptiva investigación comercial, solicité presupuesto. Lamentablemente, como la fase de liquidación de activos había llegado a su final y no había previsto ese importante gasto de liquidación, al ser los recursos económicos más que exiguos, tuve que sacrificar parte de mi arancel de liquidación para poder atender el precio del servicio de destrucción documental, puesto que, aunque era competitivo, excedía el residuo económico que quedaba en las arcas liquidatorias. Pero no me arrepiento de la decisión.
De forma rápida y segura, se catalogó, se retiró y se destruyó la documentación, todo realizado de manera legal y profesional. Gracias. Después, llegaron otros concursos de acreedores con nuevas complicaciones (me tienen que querer mucho en el Cielo, porque las pruebas que me ponen en la Tierra son a cual más difícil). Por ejemplo, una entidad de servicios colaterales al sector de la construcción que, además de la problemática del abundante volumen de papel, se unía el bloque de soportes digitales: discos duros, cds… Ayudado por el personal que quedaba en la liquidación, la empresa de Antonio procedió a inventariar y presupuestar el trabajo de destrucción documental y la opción de custodia de documentación, puesto que existía una parte del archivo documental que por su valor histórico, a priori, me negué a destruir. Para este tema se me propuso una interesante opción de escaneado y custodia pero, aunque había previsto en el plan de liquidación el coste de destrucción documental, no así el relativo a la preservación. Contacté con corporaciones locales, universitarias… y finalmente convenié con una institución la cesión de esa “historia” plasmada en documentos técnicos. Recuerdo que tiempo después, a la vista de las rendiciones de cuentas, alguna que otra parte personada en el concurso requirió justificación del coste de la destrucción documental; cuando fui al expediente, gratamente encontré el certificado expedido por Antonio, que acompañé a la respuesta al requerimiento judicial.
Por lo anterior, tanto si ejerces la administración concursal, el compliance o la función de delegado de protección de datos, como si eres gerente, ejecutivo o responsable de un proyecto donde se gestionen datos sujetos a su protección, discreción o confidencialidad, debes preocuparte por su archivo, borrado, purga o destrucción. Finalmente, especial atención merece lo que recogía en el sitio Protección de Datos, texto “Remanencia de datos”[9], y que Gutmann[10], Feenberg[11] y otros denominan “persistencia de los datos”, es decir, la permanencia residual de datos después de que se han realizado intentos para eliminarlos o borrarlos. Según los autores, este residuo puede deberse a que los datos queden intactos por una operación de eliminación de archivos nominal, por reformatear los medios de almacenamiento que no eliminan la información registrada previamente en los medios, o por las propiedades físicas de los medios de almacenamiento que permiten recuperar los datos escritos previamente. Esta perseverancia de datos puede hacer posible la divulgación inadvertida de información confidencial si el medio de almacenamiento se libera en un entorno no controlado (sirva el ejemplo de tirar a la basura la documentación). En este sentido, ByeFile destruye la información conforme a la norma UNE 15713, externalizando tu responsabilidad en caso de fuga de información y evitando las preceptivas sanciones. En síntesis: no es un coste, es una inversión en futura tranquilidad. Deseando haber aportado valor a tu proyecto empresarial o profesional, agradezco a ByeFile el patrocinio para contar mi experiencia en relación con la destrucción documental.
[1] Velasco Carretero, Manuel. “Importancia de la destrucción documental”. Sitio sobre Administración Concursal. 2017. Visitado el 15/09/2020.
[2] ARMA International. «Glossary of Records and Information Management Terms. 2013. Sitio visitado el 15/09/2020.
[3] También conocida como proceso de registros e información.
[4] https://www.iso.org/. La ISO 15489-1: 2016 se aplica a la creación, captura y gestión de registros, independientemente de su estructura o forma, en todo tipo de entornos empresariales y tecnológicos, a lo largo del tiempo. Sitio visitado el 15.09/2020 En “Gestión de riesgos en la Gestión documental” escribí sobre la ISO 15489.
[5] Los metadatos de los registros se utilizan para indicar y preservar el contexto y aplicar las reglas adecuadas para la gestión de registros.
[6] Velasco Carretero, Manuel. “Proteger la integridad y usabilidad de los registros”. Sitio Compliance. 2018. Visitado el 15/09/2020.
[7] Gasiorowski-Denis, Elizabeth. Records management in the digital age. Iso.org. 2016. Sitio visitado el 15/09/2020.
[8] Findlay Cassie. Responsable grupo de trabajo que desarrolló el estándar (ISO / TC 46 / SC 11 / WG 13).
[9] Velasco Carretero, Manuel. “Remanencia de datos”. Sitio Protección de Datos. 2011. Visitado el 15/09/2020.
[10] Peter Gutmann. «Secure Deletion of Data from Magnetic and Solid-State Memory». 1996. Actas del Sexto Simposio de Seguridad de USENIX, San José, California. Departamento de Ciencias de la Computación de la Universidad de Auckland. Sitio visitado el 15/09/2020.
[11] Daniel Feenberg.. «Can Intelligence Agencies Recover Overwritten Data?» 2003. The National Bureau of Economic Research. Sitio visitado el 15/09/2020.
