Borrado seguro de datos: guía para limpiar tus dispositivos

Por eso, vender un ordenador, entregar un móvil para reparar o llevar un disco a un punto de reciclaje sin aplicar un procedimiento de saneamiento deja expuestos documentos, fotografías, credenciales y datos personales.

El método correcto depende del soporte. Un disco duro magnético admite sobrescritura o desmagnetización. Un SSD requiere comandos de borrado específicos o destrucción física. Un móvil moderno utiliza cifrado de almacenamiento y puede quedar limpio al destruir las claves criptográficas. Aplicar el mismo procedimiento a todos los dispositivos produce errores: una herramienta válida para un HDD no necesariamente sirve para una unidad SSD.

El mito del formateo: por qué tus archivos siguen ahí

Al eliminar un archivo, el sistema operativo suele retirar su entrada del sistema de archivos y marcar el espacio como disponible. Los sectores o celdas que contienen la información no desaparecen en ese momento. Permanecen hasta que otros datos los sobrescriben.

El proceso explica tres situaciones habituales:

• Vaciar la papelera elimina las referencias visibles desde el sistema, pero no garantiza la destrucción del contenido.
• Formatear rápidamente crea o reorganiza el sistema de archivos sin sobrescribir todos los bloques.
• Reinstalar el sistema operativo puede escribir datos nuevos en algunas zonas, pero deja otras sin modificar.

Una herramienta de recuperación no necesita que el documento conserve su nombre original. Puede reconstruir fragmentos a partir de las estructuras que permanecen en el soporte. La recuperación resulta más probable cuando el dispositivo se ha utilizado poco después del borrado y el espacio libre no ha sido reutilizado.

La consecuencia es directa: no se debe entregar un dispositivo con un simple restablecimiento superficial cuando ha almacenado información sensible. El riesgo aumenta si contiene:

• documentos de identidad y pasaportes escaneados;
• contratos, facturas o nóminas;
• copias de seguridad de teléfonos;
• contraseñas guardadas en navegadores;
• claves privadas, certificados digitales o códigos de recuperación;
• historiales médicos o datos de clientes;
• fotografías y vídeos personales;
• bases de datos, hojas de cálculo y archivos de trabajo.

Eliminar un archivo cambia su visibilidad. El borrado seguro cambia la posibilidad de recuperarlo.

La primera decisión: conservar, transferir o destruir

Antes de iniciar el saneamiento, hay que decidir qué ocurrirá con el equipo. El procedimiento no es igual en estos casos:

1. El dispositivo seguirá en uso. Se puede borrar el sistema y conservar la unidad.

2. El equipo se venderá o se cederá. Hay que eliminar las cuentas, desactivar bloqueos y ejecutar un borrado completo.

3. La unidad se reciclará. Si el soporte presenta fallos o contiene información de alto riesgo, la destrucción física ofrece una garantía superior.

4. El dispositivo se enviará a reparación. Conviene retirar los datos o utilizar un perfil sin información personal antes de entregarlo.

5. La empresa conserva obligaciones legales o contractuales. El borrado debe quedar documentado, con identificación del soporte, fecha, método y responsable.

La copia de seguridad se hace antes de borrar. Después se comprueba que los archivos necesarios pueden abrirse desde otro dispositivo. Una copia incompleta convierte el saneamiento en pérdida de información.

Estándares de saneamiento: NIST, métodos militares y realidad técnica

Durante años se popularizaron los métodos de tres, siete o treinta y cinco pasadas. La lógica era sobrescribir repetidamente el contenido para dificultar el análisis forense. El problema es que esas cifras se aplican de manera indiscriminada a tecnologías con comportamientos físicos diferentes.

La norma NIST SP 800-88 Rev. 1 establece que una sola pasada de sobrescritura puede ser suficiente para hacer irrecuperables los datos de discos duros modernos, siempre que el procedimiento se ejecute sobre toda la superficie accesible y el soporte funcione correctamente. El estándar DoD 5220.22-M se asocia a tres pasadas. El método Gutmann llegó a plantear treinta y cinco pasadas para determinadas tecnologías magnéticas antiguas.

Esos métodos no tienen el mismo valor en una unidad de estado sólido. Un SSD distribuye las escrituras mediante mecanismos de nivelación del desgaste. Una orden de sobrescritura dirigida a un archivo no garantiza que las celdas físicas anteriores se hayan reutilizado. El controlador puede mover los datos a otra zona y reservar la celda antigua para operaciones internas.

La elección debe partir del tipo de soporte:

Qué significa «borrar», «purgar» y «destruir»

En los procedimientos de saneamiento se distinguen tres niveles operativos:

• Borrar: elimina los datos mediante funciones normales del sistema o del dispositivo. Es adecuado para información de bajo riesgo cuando la unidad seguirá bajo control del propietario.
• Purgar: aplica un método que dificulta la recuperación con técnicas habituales y protege frente a análisis más avanzados. Incluye funciones de borrado seguro, criptografía y comandos específicos del soporte.
• Destruir: inutiliza físicamente la unidad. Es la opción aplicable cuando el soporte no puede verificarse, está averiado o contiene información cuyo riesgo de exposición no es admisible.

La desmagnetización, o degaussing, expone los soportes magnéticos a campos electromagnéticos intensos. Destruye la información y deja inutilizable el disco duro. No es un método válido para un SSD: las unidades de estado sólido no almacenan datos mediante magnetismo.

Perforar la carcasa no garantiza por sí solo la destrucción del contenido. En un disco duro, los platos internos deben quedar físicamente dañados. En un SSD, hay que inutilizar los chips de memoria. Estas operaciones requieren equipos adecuados y medidas de seguridad; desmontar o triturar una unidad sin control puede generar fragmentos, polvo conductor y riesgos eléctricos.

Por qué no hace falta aplicar treinta y cinco pasadas

El método Gutmann se diseñó para tecnologías magnéticas concretas y para patrones de codificación que ya no representan todos los discos actuales. Repetir treinta y cinco veces una escritura sobre un HDD moderno aumenta el tiempo de trabajo sin aportar necesariamente una mejora proporcional. En un SSD, además, no resuelve el problema de las celdas que el controlador puede haber remapeado.

El criterio operativo debe ser otro:

1. identificar la tecnología del soporte;

2. seleccionar un método compatible;

3. ejecutar el saneamiento completo;

4. verificar el resultado;

5. destruir la unidad si la verificación no es posible.

La cantidad de pasadas no sustituye a la identificación técnica.

Borrado criptográfico en móviles y ordenadores actuales

Los teléfonos modernos cifran el almacenamiento. En Android 6 o superior el cifrado forma parte de la arquitectura estándar, aunque la calidad concreta depende del fabricante, del modelo y de la correcta implementación del sistema. En iOS, el almacenamiento está protegido mediante claves criptográficas vinculadas al dispositivo.

Cuando se ejecuta un restablecimiento de fábrica correctamente, el sistema elimina las claves que permiten descifrar los datos. Los bits pueden seguir físicamente en la memoria, pero dejan de ser interpretables. Este proceso se denomina borrado criptográfico. No consiste en sobrescribir cada bloque uno por uno.

La ventaja es operativa: se completa con rapidez y resulta más adecuado para memorias flash que una sobrescritura convencional. El límite es la confianza en el diseño del dispositivo. En modelos antiguos, modificados o de gama baja puede ser necesario consultar la documentación del fabricante o recurrir a la destrucción física cuando la información tenga un nivel de sensibilidad elevado.

Android: pasos antes del restablecimiento

El restablecimiento no debe ser el primer paso. Hay que retirar las cuentas y desactivar las protecciones que podrían vincular el terminal al propietario anterior.

Procedimiento:

1. Realiza una copia de seguridad. Exporta fotografías, contactos, documentos y códigos de autenticación. Comprueba la copia desde otro dispositivo.

2. Retira la cuenta de Google. Entra en Ajustes, abre el apartado de cuentas y elimina la cuenta principal del teléfono. Esto desactiva la protección antirrobo FRP, o Factory Reset Protection.

3. Desvincula aplicaciones financieras y de autenticación. Cierra las sesiones de banca, correo, mensajería y gestores de contraseñas. Transfiere los autenticadores antes de borrar el móvil.

4. Retira la tarjeta SIM y la tarjeta microSD. El restablecimiento interno puede no borrar correctamente una tarjeta extraíble.

5. Desactiva las funciones de localización y gestión remota. Revisa los servicios del fabricante, como las cuentas propias de la marca y las herramientas de localización.

6. Carga el dispositivo y conéctalo a una red estable. Una interrupción durante el restablecimiento puede dejar el proceso incompleto.

7. Ejecuta el restablecimiento de fábrica desde Ajustes. No basta con eliminar manualmente fotografías o aplicaciones.

8. Comprueba la pantalla inicial. El teléfono debe arrancar en la configuración para un nuevo usuario y no solicitar la cuenta anterior.

La eliminación de la cuenta de Google es una operación crítica. Si se omite, el comprador puede encontrar un terminal bloqueado por FRP. El dispositivo seguirá asociado al propietario anterior aunque se haya ejecutado el restablecimiento.

iPhone y iPad

En los dispositivos de Apple, el flujo depende de la versión del sistema y del modelo, pero la lógica es estable:

• hacer una copia de seguridad cifrada o en iCloud;
• cerrar sesión en la cuenta de Apple;
• desactivar «Buscar»;
• cancelar la vinculación con servicios de pago y accesorios;
• eliminar la eSIM si el operador lo exige;
• seleccionar «Borrar contenidos y ajustes»;
• comprobar que el dispositivo muestra el asistente de configuración inicial.

La función de borrado de contenidos y ajustes utiliza el cifrado del dispositivo para inutilizar las claves asociadas a la información. No es necesario atribuirle un algoritmo propietario concreto para evaluar el resultado operativo: la protección depende de la destrucción de las claves y del diseño de seguridad del dispositivo.

Si el iPhone no arranca, no se puede cerrar sesión o queda bloqueado, la solución no es entregar el terminal tal cual. Hay que recuperar el acceso a la cuenta, retirar la vinculación mediante los canales oficiales o destruir el almacenamiento si contiene información que no puede exponerse.

Procedimiento para Windows 10 y Windows 11

Windows ofrece una función integrada para reinstalar el sistema y retirar los datos del usuario. El camino habitual es:

1. abrir Configuración;

2. entrar en Sistema;

3. seleccionar Recuperación;

4. pulsar Restablecer este equipo;

5. elegir Quitar todo;

6. abrir la configuración adicional;

7. activar Limpiar datos;

8. confirmar el restablecimiento y mantener el equipo conectado a la corriente.

La opción «Quitar todo» elimina las cuentas, aplicaciones, configuraciones y archivos del usuario. «Limpiar datos» añade un proceso destinado a dificultar la recuperación de la información. El tiempo dependerá de la capacidad, el estado y la tecnología de la unidad.

Antes de iniciar el proceso se deben revisar varios elementos:

• claves de producto y licencias que deban transferirse;
• archivos almacenados en otras particiones;
• unidades externas conectadas;
• perfiles de navegador sincronizados;
• claves de recuperación de BitLocker;
• programas que mantengan la sesión iniciada;
• dispositivos USB con copias locales;
• carpetas de sincronización pendientes.

Si el ordenador utiliza BitLocker y el cifrado estaba activo, la protección criptográfica añade una capa de seguridad. Aun así, hay que ejecutar el restablecimiento completo y verificar que no quedan volúmenes adicionales con datos.

Cuando Windows no ofrece una garantía suficiente

La función integrada es práctica para un equipo doméstico que se va a vender o ceder. No es la respuesta universal para un entorno empresarial con requisitos de trazabilidad. En esos casos se necesita:

• inventario del número de serie de la unidad;
• identificación del tipo de soporte;
• registro de la herramienta y del método aplicado;
• resultado de la verificación;
• firma o identificación del técnico responsable;
• certificado de destrucción si la unidad se tritura o se desmagnetiza.

Un ordenador que no puede arrancar tampoco debe darse por limpio. Se puede retirar la unidad y sanearla desde otro sistema compatible, utilizar la función de borrado seguro del fabricante o proceder a su destrucción. La imposibilidad de iniciar Windows no equivale a la eliminación de los datos.

Procedimiento para macOS y ordenadores Mac

Los Mac con chip de Apple o con chip de seguridad T2 integran cifrado de hardware. En los modelos compatibles, la función Borrar contenidos y ajustes permite eliminar la información y devolver el equipo al estado inicial sin recurrir a una reinstalación manual completa.

El procedimiento general es:

1. abrir Ajustes del Sistema;

2. entrar en General;

3. seleccionar Transferir o restablecer;

4. pulsar Borrar contenidos y ajustes;

5. introducir la contraseña de administrador;

6. revisar las cuentas y servicios que se van a cerrar;

7. confirmar el borrado;

8. esperar a que aparezca el asistente de configuración.

En versiones anteriores de macOS o en equipos que no ofrecen esa función, hay que cerrar sesión en iCloud, desactivar «Buscar mi Mac», borrar el volumen de arranque desde Recuperación e instalar de nuevo el sistema. En un Mac con unidad SSD, no se debe asumir que sobrescribir archivos con una herramienta tradicional ofrece el mismo resultado que un saneamiento compatible con el controlador.

También hay que comprobar los volúmenes externos. El borrado del volumen principal no afecta automáticamente a discos USB, tarjetas, copias de Time Machine ni particiones independientes.

Cuenta de Apple y bloqueo de activación

Un Mac puede estar técnicamente limpio y seguir vinculado a la cuenta del propietario. Si «Buscar» permanece activo, el comprador puede encontrar un bloqueo de activación. Por tanto, el cierre de sesión no es un trámite secundario: forma parte del saneamiento operativo.

La secuencia correcta combina dos acciones:

• eliminar la información del almacenamiento;
• retirar la vinculación del equipo con la cuenta y los servicios remotos.

El mismo criterio se aplica a teléfonos, tabletas, relojes y dispositivos gestionados por una organización. Borrar los archivos no revoca por sí solo el acceso remoto ni elimina el equipo de una plataforma de administración.

Herramientas de borrado seguro gratuitas y sus límites

Las herramientas de software pueden resolver tareas concretas, pero no todas sirven para todos los soportes. Un programa que sobrescribe archivos individuales no garantiza el saneamiento de una unidad completa. Otro puede limpiar el espacio libre de un HDD y resultar inadecuado para un SSD.

Entre las opciones utilizadas habitualmente se encuentran:

• Eraser en Windows: permite sobrescribir archivos individuales y espacio libre en unidades compatibles.
• Shreddit en Android: sirve para eliminar archivos seleccionados, aunque el resultado depende de cómo gestione el almacenamiento el dispositivo.
• Herramientas del fabricante del SSD: suelen ofrecer comandos de borrado seguro o funciones de saneamiento adaptadas al controlador.
• Utilidades integradas del sistema operativo: son preferibles cuando aplican un borrado criptográfico o una función de limpieza completa.
• Medios de arranque especializados: permiten trabajar sobre la unidad del sistema sin que el sistema operativo esté utilizando sus archivos.

Las herramientas gratuitas de borrado seguro deben descargarse de fuentes verificables y ejecutarse con una identificación inequívoca de la unidad. El error más grave es seleccionar el disco equivocado. Antes de confirmar una operación destructiva, se comprueba el modelo, la capacidad y el número de serie.

Borrado de archivos frente a borrado de la unidad

Son operaciones distintas:

• Archivo individual: elimina un documento concreto y trata de sobrescribir el espacio que ocupaba.
• Espacio libre: intenta limpiar restos de archivos ya eliminados, sin tocar los documentos actuales.
• Partición: elimina la estructura de una zona concreta del disco.
• Unidad completa: actúa sobre todo el soporte y borra sistema, particiones y datos.
• Clave criptográfica: inutiliza la información cifrada sin sobrescribir cada bloque.

Si el dispositivo va a cambiar de propietario, limpiar solo los archivos visibles no es suficiente. El objetivo es borrar la unidad completa o destruirla. Si se necesita conservar el sistema operativo para el siguiente usuario, se reinstala después del saneamiento.

En un SSD, la herramienta correcta no es la que escribe más veces. Es la que entiende el controlador y ejecuta el comando de saneamiento adecuado.

Cómo verificar que el borrado se ha completado

La verificación debe estar definida antes de ejecutar el proceso. Un mensaje de «operación finalizada» no siempre demuestra que cada volumen haya sido tratado.

El control básico incluye:

1. Comprobar el estado de la unidad. El número de serie y la capacidad deben coincidir con el inventario.

2. Revisar todas las particiones. El proceso puede haber actuado solo sobre el volumen seleccionado.

3. Reiniciar el dispositivo. Debe aparecer el asistente inicial o un espacio sin sistema instalado, según el método utilizado.

4. Intentar una recuperación controlada. En soportes que van a reutilizarse, se puede analizar el espacio con una herramienta de recuperación para confirmar que no aparecen archivos reconocibles.

5. Comprobar las cuentas. El equipo no debe solicitar credenciales del antiguo propietario ni permanecer asociado a servicios de localización.

6. Registrar el resultado. En una organización, se conserva la fecha, el método, la identificación del soporte y la persona responsable.

La recuperación controlada no sustituye a una certificación técnica en entornos de alta exigencia, pero detecta fallos habituales: particiones omitidas, tarjetas olvidadas, volúmenes externos y restablecimientos incompletos.

Errores que invalidan el procedimiento

Estos fallos aparecen con frecuencia:

• formatear rápidamente y dar por terminada la operación;
• borrar solo las carpetas personales;
• olvidar una partición de recuperación con datos;
• entregar una tarjeta microSD dentro del móvil;
• dejar iniciadas las sesiones de correo o mensajería;
• omitir la cuenta de Google y activar el bloqueo FRP;
• mantener «Buscar mi dispositivo» o «Buscar mi Mac»;
• sobrescribir un SSD con una herramienta pensada para discos magnéticos;
• desmagnetizar una memoria flash;
• ejecutar el borrado sobre una unidad equivocada;
• apagar el equipo antes de que termine;
• no documentar qué método se aplicó;
• conservar copias en discos externos o servidores sincronizados.

La sincronización en la nube requiere una revisión separada. Borrar el archivo del ordenador puede eliminarlo también del servicio sincronizado, pero no necesariamente borra versiones anteriores, papelera, copias de seguridad o réplicas administradas por la organización. El saneamiento del dispositivo y la gestión de las copias remotas son procesos diferentes.

Qué método elegir según el nivel de riesgo

La destrucción segura de información digital se define por la sensibilidad de los datos y por el destino del soporte. No existe una técnica única que sea óptima en todos los casos.

En un domicilio, la decisión suele ser sencilla. Un teléfono moderno puede restablecerse después de retirar sus cuentas. Un ordenador con SSD puede limpiarse mediante la función del sistema o del fabricante. Una unidad que presenta errores de lectura debe tratarse como no verificable.

En una empresa, el proceso tiene otra dimensión. La información puede estar sujeta a compromisos contractuales, políticas internas o normativa de protección de datos. La trazabilidad permite demostrar que el soporte fue identificado, tratado y retirado de circulación con un método concreto. No basta con afirmar que «se borró».

Borrado seguro y derechos digitales

La privacidad no termina en la configuración de una aplicación. También depende de cómo se gestionan los dispositivos físicos que almacenan información personal. Un ordenador retirado puede contener más datos que una cuenta activa: sesiones persistentes, archivos temporales, bases de datos locales, historiales y credenciales guardadas.

Desde la perspectiva de los derechos digitales, el saneamiento debe integrarse en el ciclo completo de la información:

• recogida: limitar los datos que se almacenan;
• uso: controlar quién accede y desde qué dispositivo;
• conservación: establecer plazos y copias necesarias;
• transferencia: proteger los soportes que cambian de responsable;
• eliminación: aplicar un método verificable y proporcional al riesgo.

La neutralidad de la red, la ciberseguridad y la protección de datos suelen analizarse como asuntos separados. En la práctica, convergen en una operación básica: impedir que una tercera persona recupere información después de que el propietario haya dejado de utilizar un dispositivo.

El corto plazo exige procedimientos simples y repetibles. El medio plazo requiere inventario, clasificación de la información y auditorías. Sin esas tres capas, el borrado depende de la memoria de cada usuario y queda expuesto a omisiones.

Evaluación final

El borrado seguro de datos personales pasos concretos: identificar el soporte, hacer una copia comprobada, cerrar cuentas, elegir el método compatible, ejecutar la limpieza completa y verificar el resultado. El formateo rápido no cumple ese objetivo. Las treinta y cinco pasadas tampoco son una respuesta universal.

Para discos duros modernos, una sobrescritura completa puede ser suficiente según NIST SP 800-88. Para SSD, la prioridad es utilizar el saneamiento del fabricante, el borrado criptográfico o la destrucción física. Para móviles actuales, el restablecimiento de fábrica funciona cuando se han eliminado las cuentas y los bloqueos de activación. Para unidades averiadas, la destrucción es la opción que elimina la incertidumbre técnica.

A corto plazo, aplicar estos procedimientos reduce la exposición al vender, reciclar o reparar dispositivos. A medio plazo, las organizaciones deben convertirlos en una política documentada: inventario, clasificación, método, verificación y registro. La protección de la información no termina cuando se pulsa «eliminar». Termina cuando la recuperación deja de ser técnicamente viable o cuando el soporte ha sido destruido.