Certificado de destrucción de documentos: qué debe incluir

Cuando una empresa destruye documentación con datos personales, lo importante no es solo que el papel desaparezca: es poder demostrarlo. Ese es el papel del certificado de destrucción, el documento que acredita que la información se eliminó de forma segura y que puede presentarse ante la Agencia Española de Protección de Datos (AEPD), un auditor o un cliente que lo solicite.

Qué es un certificado de destrucción de documentos

Es un documento emitido por la empresa que realiza la destrucción, en el que se deja constancia de qué material se ha destruido, cuándo, cómo y bajo qué medidas de seguridad. Forma parte de la trazabilidad que exige el principio de responsabilidad proactiva del RGPD: no basta con cumplir, hay que poder acreditar que se cumple.

Qué debe incluir un certificado válido

Un certificado fiable no es un papel genérico con un sello. Como mínimo debería recoger:

• Datos del cliente y de la empresa destructora: razón social, CIF y dirección de ambos.
• Fecha y lugar de la destrucción, y si se realizó in situ o en planta.
• Descripción del material: tipo de soporte (papel, discos, archivos clínicos…) y cantidad aproximada o peso.
• Método y nivel de seguridad aplicado, por ejemplo la categoría de la norma DIN 66399 empleada.
• Referencia de la recogida o del contenedor, para poder vincular el certificado con el servicio concreto.
• Identificación y firma del responsable, con la declaración de que la destrucción se ha efectuado de forma irreversible.

Validez del certificado ante el RGPD

El certificado sirve como evidencia documental en una inspección, pero su valor depende de que sea coherente con el resto de la cadena: un contrato de encargado del tratamiento firmado con la empresa destructora, una recogida con control de custodia y un método de destrucción acorde al tipo de dato. Si quieres profundizar en las obligaciones y sanciones, consulta nuestra guía RGPD de destrucción de documentos.

Cuánto tiempo conviene conservar el certificado

Aunque la norma no fija un plazo único para el certificado en sí, lo prudente es conservarlo al menos mientras puedan exigirse responsabilidades por el tratamiento de esos datos. Para decidir qué documentación destruir y cuándo, revisa los plazos legales de conservación de documentos en las empresas españolas.

Cómo comprobar que el certificado es fiable

• Pide siempre que el certificado indique el nivel de seguridad de la destrucción, no solo la palabra "destruido".
• Verifica que existe un contrato de encargo de tratamiento previo al servicio.
• Si la destrucción se hace en tus instalaciones, puedes presenciar el proceso; si es en planta, exige trazabilidad de la recogida.
• Desconfía de certificados sin datos concretos de fecha, volumen o referencia del servicio.

El nivel de seguridad se elige según el tipo de información: puedes comparar las opciones en nuestra guía de nivel de seguridad P-5 vs P-4 y decidir entre destrucción in situ o en planta.

Preguntas frecuentes sobre el certificado de destrucción

¿Es obligatorio tener un certificado de destrucción?

El RGPD no usa esa expresión, pero sí obliga a poder demostrar que los datos se eliminaron de forma segura. En la práctica, el certificado es la prueba más sencilla y habitual.

¿Se emite un certificado por cada servicio?

Lo recomendable es que sí: un certificado por cada recogida o servicio, vinculado a una referencia concreta, para mantener la trazabilidad.

¿Sirve el certificado para discos duros y otros soportes?

Sí, siempre que describa el soporte y el método aplicado. Para equipos informáticos, consulta cómo se destruyen discos duros SSD y HDD.