¿Qué requiere el control A.1.4.9?
La organización deberá contar con políticas, procedimientos o mecanismos documentados para la eliminación de información de identificación personal (PII).
Este control se encuentra dentro del minimización de PII objetivo (A.1.4) y garantiza que cuando la información de identificación personal (PII) llegue al final de su ciclo de vida, ya sea por expiración de la período de retención (A.1.4.8), para el cumplimiento de la finalidad del tratamiento, o a petición del titular de los datos personales, los datos se destruyen de forma que se impide su recuperación.
¿Qué dicen las directrices de implementación?
El Anexo B (sección B.1.4.9) proporciona la siguiente orientación:
- Asegúrese de que la información de identificación personal no pueda recuperarse. — Los métodos de eliminación deben garantizar que la información de identificación personal no pueda recuperarse, reconstruirse ni recuperarse después de su eliminación. La simple eliminación (eliminar un archivo de un directorio) generalmente no es suficiente, ya que los datos pueden permanecer en el medio de almacenamiento.
- Seleccione los métodos de eliminación adecuados. — Los métodos deben adaptarse al medio de almacenamiento e incluir: eliminación segura (sobrescritura), destrucción física del soporte (trituración, desmagnetización, incineración) y borrado criptográfico (destrucción de las claves de cifrado de los datos cifrados).
- Documentar los procedimientos por tipo de medio — El método de eliminación debe estar documentado para cada tipo de soporte de almacenamiento utilizado por la organización (discos duros, SSD, dispositivos USB, registros en papel, almacenamiento en la nube, cintas de respaldo).
- Mantener registros de eliminación — Mantenga registros de lo que se eliminó, cuándo, quién lo hizo y con qué método. Estos registros sirven como evidencia de auditoría y documentación de rendición de cuentas.
- Vea también A.1.4.2: Limitar la recopilación para requisitos relacionados
- Vea también A.1.4.3: Limitar el procesamiento para requisitos relacionados
El principio fundamental es que la eliminación debe ser verificable. Un auditor debe poder rastrear la información de identificación personal desde su calendario de retención hasta un registro de eliminación que confirme que fue destruida de forma segura.
¿Cómo se relaciona esto con el RGPD?
El control A.1.4.9 se asigna a GDPR El artículo 5(1)(f), relativo al principio de integridad y confidencialidad, exige que los datos personales se traten de forma que se garantice la seguridad adecuada, incluida la protección contra el tratamiento no autorizado o ilícito y contra la pérdida, destrucción o daño accidentales. La eliminación segura contribuye directamente a ello, al garantizar que la información de identificación personal no se exponga inadvertidamente mediante métodos de destrucción inadecuados.
Para ver la correspondencia completa entre el RGPD y la norma ISO 27701, consulte Guía de cumplimiento del RGPD.
¿Cómo se relaciona esto con los principios de privacidad de la norma ISO 29100?
Este control admite el ISO 29100, principio de Limitación del uso, la retención y la divulgaciónEn concreto, se exige que la información de identificación personal (IIP) se destruya de forma segura cuando ya no sea necesaria. Sin una eliminación segura, los controles de limitación de retención son incompletos, ya que los datos siguen existiendo incluso después de que el período de retención haya expirado teóricamente.
Comience fácilmente con una demostración personal del producto
Uno de nuestros especialistas en incorporación lo guiará a través de nuestra plataforma para ayudarlo a comenzar con confianza.
¿Qué tipo de evidencia esperan los auditores?
Al evaluar el cumplimiento de A.1.4.9, los auditores generalmente buscarán lo siguiente:
- Política de eliminación — Una política documentada que abarque el enfoque de la organización para la eliminación de información de identificación personal (PII), incluyendo responsabilidades, métodos aprobados y requisitos de verificación.
- Procedimientos específicos del medio — Procedimientos documentados para la eliminación de cada tipo de soporte de almacenamiento: electrónico (HDD, SSD, nube), extraíble (USB, cintas de respaldo) y físico (papel, documentos impresos).
- Registros de eliminación — Un registro o bitácora de las actividades de eliminación que indique qué se eliminó, cuándo, por quién y utilizando qué método.
- Acuerdos de enajenación de terceros — Cuando la eliminación se subcontrata (por ejemplo, a una empresa de trituración o a una empresa de eliminación de activos informáticos), se requieren contratos que especifiquen estándares de eliminación segura y certificados de destrucción.
- Prueba de verificación — Documentos que confirmen que la eliminación fue efectiva, como certificados de destrucción, informes de verificación de sobrescritura o confirmación de proveedores de la nube.
- La formación del personal — Evidencia de que el personal involucrado en la eliminación comprende los procedimientos y la importancia de la destrucción segura.
¿Cuáles son los controles relacionados?
| Control | Relación |
|---|---|
| A.1.4.8 Retención | Los calendarios de retención definen cuándo debe activarse la eliminación. |
| A.1.4.6 Desidentificación y eliminación | La eliminación es una forma de desecho; la desidentificación es la alternativa. |
| A.1.4.7 Archivos temporales | Los archivos temporales deben eliminarse dentro de sus períodos de retención cortos definidos. |
| A.1.4.5 Objetivos de minimización de la información personal identificable | La eliminación es el mecanismo final en el ciclo de vida de la minimización. |
| A.1.4.10 Controles de transmisión PII | La información de identificación personal (PII) transmitida a terceros también puede requerir eliminación en el destino. |
¿Qué cambios se produjeron con respecto a la norma ISO 27701:2019?
Para un enfoque paso a paso, consulte el Transición de 2019 a 2025.
En la edición de 2019, la eliminación se abordó en la Cláusula 7.4.8 (eliminación). El control de 2025 mantiene el mismo requisito fundamental de políticas, procedimientos o mecanismos de eliminación documentados. La guía de implementación ahora hace más hincapié en la necesidad de procedimientos específicos para cada medio y en la importancia de mantener registros de eliminación. El borrado criptográfico también se menciona de forma más destacada como técnica de eliminación. Véase la Tabla de correspondencias del Anexo F para el mapeo completo.
Gestione todo su cumplimiento, todo en un solo lugar
ISMS.online admite más de 100 estándares y regulaciones, lo que le brinda una única plataforma para todas sus necesidades de cumplimiento.
¿Por qué elegir SGSI.online ¿Para gestionar la eliminación de información de identificación personal?
SGSI.online Le ayuda a cerrar el ciclo de vida de los datos con procesos de eliminación documentados y verificables:
- Biblioteca de procedimientos de eliminación — Mantener procedimientos documentados de eliminación para cada tipo de soporte de almacenamiento, con control de versiones y flujos de trabajo de aprobación.
- Registro de eliminación — Registre cada acción de eliminación con lo que se destruyó, el método utilizado, quién lo realizó y cuándo, creando el registro de auditoría que requieren los auditores.
- Gestión de terceros — Realizar un seguimiento de los proveedores de servicios de eliminación de residuos, sus contratos, certificados de destrucción y el cumplimiento de sus normas de eliminación.
- Integración de retención — Activa automáticamente las tareas de eliminación cuando expiren los períodos de retención, conectando tu calendario de retención con el proceso de eliminación.
- Vinculación del registro de activos — Vincula los registros de eliminación con tu registro de activos de TI y tu inventario de datos para que puedas rastrear la información de identificación personal desde su recopilación hasta su destrucción certificada.
Preguntas Frecuentes
¿Borrar un archivo es una eliminación suficiente según este control?
En general, no. La eliminación estándar de archivos (moverlos a la papelera de reciclaje o eliminar la entrada del directorio) no borra los datos del medio de almacenamiento. Los datos siguen siendo recuperables mediante herramientas forenses hasta que se sobrescriben. La eliminación segura requiere sobrescribir los datos (para discos duros), usar los comandos de borrado seguro del fabricante (para unidades de estado sólido), destrucción física o borrado criptográfico. El método debe ser proporcional a la sensibilidad de la información personal identificable y al riesgo de recuperación.
¿Cómo se debe gestionar la eliminación de la información personal identificable almacenada en la nube?
En el almacenamiento en la nube, la destrucción física de los soportes no suele ser una opción. En su lugar, la organización debería: utilizar las API de eliminación segura del proveedor; verificar, mediante los términos o certificaciones del proveedor, que los datos eliminados no son recuperables; considerar el borrado criptográfico (encriptar los datos con una clave única y destruirla de forma segura); y conservar la confirmación del proveedor de que los datos se han eliminado de todas las réplicas y copias de seguridad. El procedimiento de eliminación debe estar documentado en el acuerdo de procesamiento de datos en la nube.
¿Es necesario conservar los registros de eliminación de residuos?
Sí. Los registros de eliminación sirven como prueba de que la información personal identificable (IPI) se destruyó de forma segura. Deben conservarse durante un período suficiente para demostrar el cumplimiento normativo durante las auditorías y para responder a cualquier consulta de los titulares de la IPI o de los organismos reguladores sobre el destino de sus datos. Los registros de eliminación no deben contener la IPI en sí, sino únicamente metadatos sobre la eliminación (categoría, fecha, método y quién la realizó). El período de conservación habitual de los registros de eliminación coincide con el ciclo de auditoría, más cualquier plazo de prescripción aplicable.
Vea las reseñas de nuestros Guía de requisitos de evidencia de auditoría para las evidencias específicas que los auditores esperan en cuanto a la calidad de los datos y los controles de minimización.
Registre este control en su Declaración de aplicabilidad con su justificación de su aplicabilidad.
