DPIA y destrucción de archivos: ¿la destrucción entra en una DPIA?
Una evaluación de impacto relativa a la protección de datos (DPIA) suena a algo pesado, pero en esencia es un análisis de riesgo estructurado para los tratamientos de alto riesgo. La destrucción en sí no suele ser el motivo de una DPIA, pero la fase anterior, la conservación, sí puede serlo. E incluso si no es obligatoria una DPIA formal, las preguntas de la DPIA son un buen marco de pensamiento para la política de archivo y destrucción. Este artículo muestra cuándo es obligatorio qué y cómo puedes completarlo de forma útil.
¿Cuándo es obligatoria una DPIA?
El RGPD artículo 35 exige una DPIA en los tratamientos con «probable alto riesgo para los derechos y libertades de los interesados». La autoridad neerlandesa de protección de datos (AP) publicó una lista de categorías obligatorias, entre ellas las siguientes.
- Tratamiento a gran escala de categorías especiales de datos personales.
- Monitorización sistemática (cámara, ubicación, comportamiento).
- Elaboración de perfiles con consecuencias jurídicas.
- Tratamiento de datos de grupos vulnerables (menores, pacientes).
- Uso de nuevas tecnologías con riesgos desconocidos.
Una pyme media que conserva su administración de clientes y finalmente la destruye no tiene obligación de DPIA. Un hospital que archiva 10.000 expedientes de pacientes sí.
¿Dónde toca la destrucción a la DPIA?
La destrucción en sí es un paso que mitiga el riesgo, no que lo aumenta. La relevancia para la DPIA aparece en tres puntos.
- Duración de la conservación y almacenamiento del archivo. Cuanto más tiempo conservas, mayor es el riesgo acumulado. La DPIA comprueba de forma explícita si el plazo de conservación es proporcional.
- Seguridad del archivo. Control de acceso, seguridad del espacio, cadena de custodia. Esto entra dentro de las «medidas técnicas y organizativas».
- Método y prueba de destrucción. Qué clasificación DIN, qué proveedor, qué certificado. Esto lo demuestras como cierre sólido del ciclo de vida.
Plantilla: la destrucción en el formulario DPIA
La mayoría de formularios DPIA tienen una sección de «ciclo de vida y eliminación». Rellena ahí como mínimo lo siguiente.
| Campo | Valor de ejemplo |
|---|---|
| Plazo de conservación | 5 años tras el fin de la relación de tratamiento |
| Base legal del plazo | WGBO art. 7:454 BW (expedientes médicos hasta 20 años; 5 años para asuntos cerrados) |
| Disparador | Fecha de la última consulta o firma del cierre del expediente |
| Método de destrucción | Trituradora de papel móvil DIN P-5; HDD a DIN H-5 |
| Proveedor | DeSnipperaar (contrato de encargado del tratamiento presente) |
| Conservación del certificado | 5 años en el archivo de cumplimiento |
| Riesgo residual tras la destrucción | Insignificante; reconstrucción matemáticamente inviable |
Análisis de riesgo: tres escenarios
Escenario 1. Pérdida en el armario de archivo (interna)
- Probabilidad. Baja (armario cerrado, acceso limitado).
- Gravedad. Media (depende del contenido).
- Medida. Registro de acceso, auditoría anual.
Escenario 2. Pérdida durante el transporte a la trituradora
- Probabilidad. Baja en la destrucción móvil (sin paso de transporte externo), mayor en la destrucción fuera de sitio.
- Gravedad. Media-alta (todo el lote perdido de una vez).
- Medida. Elige la destrucción móvil, lee destrucción móvil frente a fuera de sitio.
Escenario 3. Destrucción con finura insuficiente
- Probabilidad. Baja con DIN P-5, casi nula con P-6.
- Gravedad. Baja-media (la reconstrucción cuesta mucho esfuerzo).
- Medida. Elige el nivel DIN adecuado, exige que conste en el certificado.
La DPIA no es un ejercicio de rellenar casillas. Es un marco de pensamiento que obliga a nombrar con honestidad los riesgos y las medidas asociadas.
Medidas de mitigación: una lista
- Plazos de conservación fijados y automatizados en el sistema de archivo.
- Control de acceso al armario de archivo (llave, registro).
- Contrato de encargado del tratamiento con el proveedor de destrucción (lee la checklist).
- Destrucción móvil in situ para la cadena más corta.
- DIN P-5 de serie, P-6 para categorías especiales de datos personales.
- Certificado con fecha, método y clasificación.
- Certificado conservado 5 años.
Contexto más amplio: la destrucción reduce el riesgo
Un equipo de DPIA puede caer en la tentación de presentar la destrucción como algo «que introduce riesgo» (movimientos de transporte, acceso del proveedor). Eso es cierto a nivel de «paso adicional en la cadena», pero es engañoso a nivel del riesgo acumulado a lo largo del ciclo de vida. Un expediente que permanece 30 años en un armario de archivo tiene una probabilidad de pérdida mucho mayor que un expediente que se destruye correctamente tras 5 años. La DPIA debe reconocer este efecto acumulado.
Para sectores con obligación habitual de DPIA
Los sectores en los que la DPIA es habitual tienen puntos específicos.
- Sanidad: WGBO 20 años de serie; lee WGBO y expedientes de pacientes.
- Educación: expedientes de alumnos; lee expedientes de alumnos en los centros escolares.
- RRHH/selección: expedientes de candidatos; lee expedientes de candidatos.
- Financiero: expedientes Wft y MiFID; lee archivo MiFID II.
¿Cuándo no es obligatoria una DPIA pero sí útil?
- En una mudanza o fusión. Tratamiento acumulado de archivos.
- Al cambiar a un nuevo proveedor de destrucción. Impacto en la cadena.
- Al introducir nuevos tipos de soporte (por ejemplo, copias en la nube que también existen físicamente).
- En una gran limpieza puntual. Riesgo temporalmente elevado durante la ejecución.
Prueba de destrucción para tu expediente DPIA.
Entregamos de serie un contrato de encargado del tratamiento más un certificado por orden. Listo para pegar directamente en el anexo de tu DPIA.
Solicita un presupuesto¿Trabajas en una DPIA? Escríbenos a través de desnipperaar.nl. Compartimos con gusto una fila de plantilla para la sección de destrucción.