Por ello, y con el fin de asegurar la eliminación definitiva de los datos personales que han dejado de ser necesarios para los fines por los que fueron recabados y evitar su mal uso, el órgano garante ha puesto a disposición la Guía para el Borrado Seguro de Datos Personales.
El INAI hizo notar que los atacantes buscan obtener documentos, dispositivos de almacenamiento, equipo de cómputo, o cualquier elemento involucrado en el tratamiento de datos personales, con la intención de recuperar dicha información utilizando diversos métodos o técnicas.
Los métodos de recuperación de información pueden ir desde procedimientos casi artesanales, como de recolectar documentos rotos para buscar las piezas, y armarlo con cinta; hasta técnicas más sofisticadas como la utilización de software especializado en la recuperación de información “borrada” de un dispositivo de almacenamiento.
En suma, el escenario de riesgo relacionado con la falta de borrado seguro de los medios de almacenamiento en una organización, puede derivar en un daño económico y moral para los titulares de los datos personales.
En este contexto, la Guía para el Borrado Seguro de Datos Personales, elaborada por el INAI, es un documento de apoyo para los involucrados en el tratamiento de datos personales, en particular para aquellos responsables o encargados del mismo, que están menos familiarizados con el tema de la seguridad de la información, para la destrucción, eliminación, borrado o supresión segura de los datos personales.
El Instituto recordó que la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) señala en su artículo 19 que “todo responsable que lleve a cabo el tratamiento de datos personales deberá establecer y mantener medidas de seguridad administrativas, técnicas y físicas que permitan proteger los datos personales contra daño, pérdida, alteración, destrucción o el uso, acceso o tratamiento no autorizado”.
Por su parte, el artículo 37 del Reglamento de dicha Ley precisa que una vez cumplidas las finalidades del tratamiento, y cuando no exista disposición legal o reglamentaria que establezca lo contrario, se deberá proceder a la cancelación de los datos personales, previo bloqueo de los mismos, para su posterior supresión.
Con base en estas disposiciones normativas, los datos personales tienen que ser suprimidos, eliminados, borrados o destruidos una vez que hayan concluido las finalidades para las cuales se obtuvieron y los plazos legales, administrativos, contables, fiscales y jurídicos que obliguen a su conservación, siempre y cuando no tengan valor histórico.
La Guía para el Borrado Seguro de Datos Personales explica los procedimientos que se deben seguir, conforme a estándares internacionales para primero bloquear, luego cancelar y por último destruir los datos personales cuando hayan cumplido su función.
El documento está redactado en forma sencilla y cuenta con gráficos explícitos, para que cualquier persona comprenda los procedimientos de borrado seguro. Por ejemplo, los procedimientos físicos como trituración, incineración o borrado por medios químicos, y los medios electrónicos como la restricción, la desvinculación de datos y por último su desaparición.
