Cuando una empresa entrega sus computadores, servidores o celulares en desuso (que normalmente aun tienen data) a un proveedor de reciclaje, suele asumir que su responsabilidad termina ahí: el equipo sale, el comprobante de retiro lo confirma, y el tema queda cerrado. Pero bajo la Ley Orgánica de Protección de Datos Personales (LOPDP), vigente en Ecuador desde mayo de 2021, esa entrega puede ser justo el momento en que su empresa activa una obligación legal que muy pocas veces se documenta correctamente.
La LOPDP define dos roles centrales. El responsable del tratamiento es quien decide para qué y cómo se procesan los datos personales en la empresa. El encargado del tratamiento es cualquier tercero que trate esos datos por cuenta del responsable, sin que el tratamiento de datos tenga que ser su actividad principal.
Un proveedor de reciclaje que recibe discos duros, laptops o servidores con información de clientes, empleados o procesos internos encaja exactamente en esa segunda definición, aunque su negocio sea la gestión ambiental de residuos y no la gestión de información.
Por qué un disco «formateado» sigue siendo un riesgo
¿Su gestor de residuos electrónicos certifica la destrucción de la información, o solo certifica que recibió el equipo? ¿Existe un contrato de confidencialidad y tratamiento de datos entre su empresa y ese proveedor? ¿Podría acreditar, ante una auditoría, qué pasó exactamente con los datos que contenían esos equipos?
Formatear un disco no elimina la información, solo la vuelve menos visible, no irrecuperable. Sin un proceso de sanitización certificado, los datos siguen siendo técnicamente recuperables mucho después de que el equipo salió de sus instalaciones. Esto es exactamente lo que ya señalamos al hablar de la gobernanza de equipos tecnológicos: el problema rara vez es de reciclaje, es de proceso.
Lo que la LOPDP le exige verificar en su proveedor
La ley y su reglamento son específicos sobre las obligaciones del responsable del tratamiento frente a sus encargados: suscribir contratos de confidencialidad, implementar medidas de seguridad apropiadas, y estar en capacidad de permitir y contribuir a auditorías. Aplicado a un proveedor de reciclaje electrónico, eso se traduce en tres verificaciones concretas.
| Qué debe verificar | Por qué importa | Qué pasa si no lo hace |
| Contrato de confidencialidad y tratamiento de datos con el proveedor | Es una obligación expresa del responsable frente a cada encargado del tratamiento | Sin contrato, no hay evidencia de que la relación esté regulada |
| Certificado de destrucción de datos por equipo o por lote | Es la única prueba de que la sanitización realmente ocurrió, no solo que se prometió | Sin certificado, la empresa no puede demostrar diligencia debida ante una auditoría |
| Capacidad del proveedor de sostener una auditoría propia | La LOPDP exige medidas verificables, no solo declaradas | Un proveedor que no puede acreditar su proceso expone a la empresa, no solo a sí mismo |
La responsabilidad sobre los datos personales no se transfiere con la custodia física de los equipos, se comparte, y la ley exige que quede documentado por escrito.
La responsabilidad sobre la data no se traslada con el equipo
El régimen sancionatorio de la LOPDP ya está vigente, y la autoridad de protección de datos puede solicitar evidencia de estas medidas en cualquier momento, no solo cuando algo sale mal. Su empresa puede perder de vista físicamente los equipos que entrega, pero no pierde la responsabilidad legal sobre los datos que contenían.
La diferencia está en lo que ocurre después de la entrega: quién recibe los equipos, qué procesos aplica, cómo se destruyen los datos, qué evidencia genera y qué puede demostrar la empresa si algún día necesita responder ante una auditoría, un incidente o un requerimiento regulatorio.
Elegir un proveedor de reciclaje, entonces, no es solo una decisión ambiental. También es una decisión de protección de data y de reducir riesgos
Conoce qué debería exigir a su proveedor de reciclaje bajo la LOPDP en Ecuador