Qué hacer con un ordenador viejo de la empresa: borrado seguro y RGPD

Antes de retirar el equipo, comprueba la copia

El ordenador de recepción ya tiene sustituto y una academia del barrio quiere aprovecharlo. Antes de entregar PC-RECEP-02, piensa en lo que ha pasado por él: documentos de identidad escaneados, facturas, contraseñas guardadas y certificados digitales. Vaciar la papelera o borrar el usuario no garantiza que esos datos dejen de ser recuperables. Venderlo, donarlo y reciclarlo requieren preparar su salida con el mismo cuidado.

Designa a una persona para autorizar la retirada y a otra, si es posible, para comprobar el resultado. Hasta terminar, guarda el equipo en un armario cerrado y márcalo como «Pendiente de borrado». Evitarás que alguien lo entregue al transportista porque ya estaba junto a la puerta. Anota también su número de serie, el destino previsto y si contiene más de un disco.

Revisa Escritorio, Documentos, Descargas y las carpetas donde el programa de gestión guarda exportaciones. Pregunta a quien lo utilizaba por archivos de correo locales y documentos fuera de la carpeta compartida. En una clínica, confirma que las imágenes y los informes necesarios están en el sistema autorizado antes de retirar el puesto.

Prueba la copia desde otro equipo. Abre varios documentos recientes y comprueba que puedes recuperar los archivos del programa profesional. Ver un icono de sincronización no basta: una carpeta puede estar excluida o llevar días con errores. Conserva lo necesario conforme a vuestra política de conservación, con acceso restringido. La baja del ordenador no justifica eliminar documentación que la empresa deba mantener.

Esta lista se despliega al pulsarla y no guarda información. Si aún no tienes una rutina de recuperación, empieza por la guía de copias de seguridad para una pyme.

Desvincula Microsoft, Apple y las aplicaciones

Tras validar la copia, cierra las sesiones del navegador y de las aplicaciones profesionales. Desactiva las licencias vinculadas al dispositivo cuando el fabricante lo exija para trasladarlas. Si había un certificado digital, confirma que funciona en el destino y contempla su revocación si sospechas que alguien ha podido copiarlo. No entregues contraseñas ni certificados al comprador.

En Windows 11, revisa Configuración → Cuentas → Acceso al trabajo o la escuela. La desconexión debe coordinarse con quien administra la empresa: puede retirar el acceso con el que necesitas completar el trabajo. Antes, comprueba que existe una cuenta administrativa local operativa. Revisa también «Correo electrónico y cuentas» para localizar conexiones adicionales.

Si el equipo está gestionado, pide al administrador que planifique la retirada de Intune, Microsoft Entra y, cuando corresponda, Windows Autopilot. No elimines primero el registro desde el que se enviará un borrado remoto. Quitar el dispositivo de una lista de Microsoft no borra su disco. Tampoco debes eliminar el usuario de Microsoft 365 si esa persona seguirá trabajando en el ordenador nuevo.

En un Mac, comprueba la cuenta de Apple (antes Apple ID), iCloud y Buscar. El asistente de borrado de los modelos compatibles solicita las credenciales necesarias para cerrar sesión y desactivar el bloqueo de activación. Si no puedes utilizarlas, resuelve la titularidad antes de prometer la entrega: un Mac vacío puede seguir bloqueado para el siguiente propietario. La preparación para vender o regalar un Mac de Apple detalla también el cierre de sesiones en modelos antiguos.

Comprueba BitLocker o FileVault antes del borrado

El cifrado protege la información mientras el dispositivo está apagado y alguien intenta leer su almacenamiento. En Windows, abre Terminal como administrador y consulta el estado con este comando, que no modifica ni borra archivos:

manage-bde -status

Revisa cada volumen, el estado de conversión y si la protección está activada. «Protección desactivada» requiere aclaración aunque figure como cifrado. Guarda el resultado en el expediente de retirada, sin incluir contraseñas de recuperación. Puedes contrastar los campos en la referencia de Microsoft para manage-bde status.

En macOS, consulta Ajustes del Sistema → Privacidad y seguridad → FileVault. Asegura el acceso a los mecanismos de recuperación mientras necesites comprobar o copiar información. No desactives el cifrado como paso previo automático: descifrar el disco vuelve a exponer los datos sin aportar una ventaja al procedimiento de retirada.

Que hoy aparezca cifrado no demuestra que lo estuviera durante toda su vida. Activarlo justo antes de vender no sustituye una evaluación del soporte ni un borrado comprobado. El borrado criptográfico exige invalidar correctamente el material que permite descifrar los datos y verificar el resultado. Eliminar una contraseña de inicio de sesión o una copia de recuperación no equivale a realizarlo.

Elige el método según el disco y la información

Un HDD almacena datos en platos magnéticos; un SSD utiliza memoria flash y reparte las escrituras internamente. Sobrescribir archivos desde Windows no garantiza alcanzar todas las áreas de un SSD. El formateo rápido y la eliminación de particiones tampoco acreditan un borrado completo. Identifica el modelo del soporte antes de decidir.

Para un HDD operativo, un profesional puede aplicar una sobrescritura del soporte completo y verificarla, valorando los sectores inaccesibles. En un SSD, debe comprobar qué función de saneamiento admite el fabricante, como Sanitize o un borrado criptográfico compatible. Si hay errores, zonas sin tratar o un resultado incierto, el soporte no debe salir como borrado. La guía de saneamiento de soportes del NIST sirve como referencia técnica para documentar esa decisión.

Qué ofrece el restablecimiento de Windows 11

Con la copia comprobada, desconecta los discos externos de respaldo y conecta el portátil a la corriente. Para acceder al asistente:

1. Abre Configuración → Sistema → Recuperación → Restablecer este PC.
2. Selecciona Quitar todo. Decide entre descarga en la nube y reinstalación local.
3. En «Cambiar configuración», activa la limpieza de datos o de la unidad. Revisa el alcance si aparecen varias unidades.
4. Lee el resumen antes de confirmar y deja que termine sin interrumpirlo.

La documentación de Microsoft advierte que esta limpieza está destinada al consumidor y no cumple los estándares de borrado gubernamentales y del sector. Por tanto, no la presentes como certificado de borrado empresarial. Ante datos de pacientes, expedientes laborales o información confidencial, acuerda un método verificable con el responsable de seguridad.

Qué hacer en macOS

En un Mac con chip de Apple o T2 y macOS Monterey 12 o posterior puede estar disponible «Borrar contenidos y ajustes». Desde Ventura, accede a Ajustes del Sistema → General → Transferir o restablecer; en Monterey está en el menú de Preferencias del Sistema. Sigue el asistente y las indicaciones de borrado de Apple. Si la opción no aparece, utiliza el procedimiento específico del modelo con asistencia técnica.

Al terminar, comprueba que arranca en el asistente inicial sin cuentas anteriores. Esa pantalla confirma la preparación para otro usuario, pero por sí sola no prueba el saneamiento del almacenamiento. Registra también el resultado del método empleado y la comprobación de todos los discos.

Documenta la entrega y anota la baja en el inventario

Si el disco falla o no puedes verificar el borrado, mantenlo bajo custodia y encarga su destrucción a un proveedor adecuado. Puedes reutilizar el ordenador con otro disco cuando sea técnicamente posible. No improvises agujeros o golpes: puedes dejar chips legibles, causar lesiones o dañar una batería.

Pide un certificado que identifique cada soporte por su número de serie, la fecha, el método, el resultado y quién lo ejecutó. Vincúlalo al equipo y al justificante de recogida. Un albarán que solo diga «tres ordenadores» no permite demostrar qué ocurrió con cada disco. Si un tercero accede a datos personales durante el servicio, revisa las condiciones del encargo; la guía de contratos de la AEPD contempla cómo documentar su destino y destrucción.

Para reciclar, consulta si el punto limpio admite equipos procedentes de empresas y en qué condiciones. Si no los acepta, acuerda la recogida con un gestor autorizado de residuos de aparatos eléctricos y electrónicos (RAEE). El Ministerio explica las vías de entrega. La recepción como residuo no acredita por sí misma que se hayan destruido los datos.

En el inventario, conserva la ficha de PC-RECEP-02 con estado «Baja», fecha, motivo, destino, responsable y referencias al informe de borrado o certificado de destrucción. Retira la asignación actual y revisa las licencias que quedan libres. Mantener el histórico permite responder meses después si alguien pregunta dónde acabó aquel equipo.

Qué piden el RGPD, la ISO 27001 y el ENS al retirar un equipo

En una auditoría de ISO/IEC 27001:2022, la retirada de un ordenador cruza varios controles del Anexo A. El punto de partida es el control 7.14 eliminación o reutilización segura de equipos, que exige verificar que los datos confidenciales y el software con licencia se han eliminado o sobrescrito de forma segura antes de dar salida o reasignar el dispositivo. Este requisito se apoya en 7.10 soportes de almacenamiento y en 8.10 eliminación de información para gestionar el ciclo de vida de los discos y suprimir datos cuando dejan de ser necesarios, además de 5.11 devolución de activos tras un cese y 5.9 inventario de información y otros activos asociados para dejar constancia del cambio de estado.

Cuando tu empresa trabaja con el sector público o le presta servicios, el ENS (Real Decreto 311/2022, categorías BÁSICA, MEDIA y ALTA) aplica la medida mp.si.5 borrado y destrucción, junto con op.exp.1 inventario de activos y mp.eq.3 protección de dispositivos portátiles para evitar que un equipo salga de la oficina con información legible. En el plano legal, el RGPD (art. 32 seguridad del tratamiento) y la LOPDGDD (Ley Orgánica 3/2018) obligan a impedir accesos no autorizados al desechar un soporte; extraviar o entregar un disco sin borrar ni cifrar puede constituir una brecha sujeta al art. 33 notificación de brechas en 72 h a la AEPD.

Un auditor de una entidad acreditada por ENAC no dará por válida una baja verbal: pedirá el procedimiento de retirada, el informe del método de saneamiento o el certificado de destrucción vinculado al número de serie del soporte, el justificante de devolución cuando proceda y la ficha actualizada en el inventario. En Inventariamos no certificamos ni auditamos; ayudamos a preparar y mantener estas evidencias técnicas (inventario, copias, accesos e incidencias) según el alcance acordado.

Fuentes oficiales

• Reglamento General de Protección de Datos (RGPD)
• Agencia Española de Protección de Datos
• INCIBE, ciberseguridad para empresas

Cómo lo hacemos en Inventariamos

Desde nuestro servicio de ciberseguridad para oficinas te ayudamos a preparar la retirada, revisar el cifrado y organizar las comprobaciones y el registro de baja en el panel de Inventariamos. Si vas a renovar varios puestos, cuéntanos qué equipos tienes para acordar el procedimiento antes de entregarlos.