Cuando envías un disco a recuperación, también envías datos personales
Un disco duro rara vez contiene solo archivos de trabajo anónimos. En la práctica, cualquier unidad de almacenamiento personal o empresarial acumula información protegida por el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD): correos electrónicos, números de teléfono, documentos de identidad escaneados, historiales médicos, datos financieros, fotos personales. Al entregar ese disco a un laboratorio de recuperación, estás cediendo temporalmente el acceso a toda esa información. El marco legal establece obligaciones claras tanto para ti como para el laboratorio.
El laboratorio como encargado del tratamiento
El RGPD establece que cuando un responsable del tratamiento (tú o tu empresa) encarga a un tercero el procesamiento de datos personales, ese tercero se convierte en encargado del tratamiento (data processor). El laboratorio de recuperación entra de lleno en esta categoría.
El laboratorio está obligado a:
- Tratar los datos únicamente para la finalidad del contrato (recuperación de datos), sin utilizarlos para ningún otro propósito.
- Aplicar las medidas técnicas y organizativas apropiadas para garantizar la seguridad de los datos durante todo el proceso.
- No subcontratar el tratamiento a terceros sin autorización expresa del responsable.
- Devolver o destruir los datos una vez finalizado el contrato, según lo que se haya acordado.
- Colaborar con el responsable en el cumplimiento de las obligaciones del RGPD, incluidas auditorías y notificaciones de brechas.
El Acuerdo de Encargo de Tratamiento (DPA)
El artículo 28 del RGPD exige que la relación entre responsable y encargado del tratamiento se formalice mediante un contrato escrito: el Acuerdo de Encargo de Tratamiento (Data Processing Agreement o DPA). Este documento debe incluir obligatoriamente:
- La descripción de los datos personales que se tratarán y la finalidad del tratamiento.
- La duración del tratamiento.
- Las medidas de seguridad que aplica el encargado.
- Las obligaciones de confidencialidad del personal del laboratorio.
- La instrucción al encargado de devolver o destruir los datos al finalizar el contrato.
- El procedimiento en caso de brechas de seguridad.
Si el laboratorio al que envías tu disco no te ofrece o no conoce el DPA, es una señal de alarma significativa. En el contexto empresarial, no contar con este acuerdo puede suponer una infracción del RGPD, con multas de hasta 10 millones de euros o el 2% del volumen de negocio mundial.
Cláusulas de confidencialidad: más allá del DPA
Para datos especialmente sensibles —como historiales médicos, información financiera confidencial o secretos comerciales— el DPA puede no ser suficiente. En estos casos, es aconsejable firmar también un Acuerdo de No Divulgación (NDA, Non-Disclosure Agreement) específico que extienda las obligaciones de confidencialidad más allá de lo que establece la normativa de protección de datos. Un buen laboratorio no pondrá objeciones a firmar este tipo de acuerdos.
Qué ocurre con tu disco después de la recuperación
Una vez finalizado el proceso, el laboratorio debe actuar según lo acordado. Las opciones habituales son:
- Devolución del dispositivo: el laboratorio te devuelve el disco original tal como lo recibió. Es la opción más habitual.
- Destrucción certificada: el laboratorio destruye el dispositivo de forma segura (desmagnetización, destrucción física) y emite un certificado de destrucción conforme al RGPD. Es la opción recomendable cuando el disco contenía información muy sensible.
El certificado de destrucción es importante porque demuestra ante la AEPD o ante cualquier auditoría que los datos no han permanecido en manos del laboratorio más tiempo del necesario.
Qué hacer si hay una brecha de seguridad en el laboratorio
En el improbable caso de que el laboratorio sufra una brecha de seguridad que afecte a los datos del disco que tienen en su posesión, el RGPD establece:
- El laboratorio debe notificar la brecha al cliente sin dilación indebida, en cuanto tenga conocimiento de ella.
- El cliente dispone de 72 horas desde que tiene conocimiento para notificar la brecha a la AEPD, si la brecha supone riesgo para los derechos y libertades de las personas afectadas.
- Si el riesgo es alto, también hay que notificar a los propios afectados.
La relevancia de la certificación ISO 27001
La norma ISO 27001 es el estándar internacional para los sistemas de gestión de seguridad de la información (SGSI). Un laboratorio certificado en ISO 27001 ha demostrado ante un organismo auditor independiente que cuenta con procesos, controles y medidas de seguridad robustos para proteger la información que maneja. No es obligatorio por ley, pero es una garantía adicional significativa, especialmente para clientes empresariales con datos sensibles.
Otros indicadores de rigor en protección de datos:
- Registro en el RGPD como encargado del tratamiento con política de privacidad actualizada.
- Designación de Delegado de Protección de Datos (DPD/DPO) cuando es obligatorio.
- Procedimientos documentados de gestión de soportes físicos y destrucción segura.
- Acuerdos de confidencialidad firmados por todo el personal técnico.
Recomendaciones prácticas antes de enviar tu disco
- Pregunta explícitamente por el Acuerdo de Encargo de Tratamiento (DPA). Si el laboratorio no sabe de qué hablas, busca otro.
- Para datos muy sensibles, solicita la firma de un NDA específico.
- Acuerda por escrito qué ocurrirá con el dispositivo una vez finalizado el trabajo: devolución o destrucción certificada.
- Exige que los datos no sean accesibles para personal no autorizado durante el proceso.
- Si eres empresa, valora si el laboratorio dispone de certificación ISO 27001 o equivalente.
En RecuperaTusDatos.es tratamos todos los datos con máxima confidencialidad. Ofrecemos DPA estándar en todos los contratos, NDA personalizado bajo petición y destrucción certificada del soporte. Si tienes preguntas sobre cómo gestionamos tus datos, solicita información gratuita y te respondemos sin compromiso.
WhatsApp