Devoluciones de electrónica conformes al RGPD: verificación IMEI, borrado certificado de datos y trazabilidad completa

Cuando un cliente devuelve un smartphone, una tablet o un portátil, no devuelve solo un producto: devuelve también sus fotos, sus cuentas de correo, sus credenciales de acceso y, en muchos casos, datos bancarios o de salud. Ese dispositivo llega a su almacén como soporte de datos personales. Y desde el momento en que su empresa lo inspecciona, lo reacondiciona o lo revende, está tratando datos personales en el sentido del RGPD.

Para quien trabaja con socios comerciales en toda Europa, esto es ante todo una cuestión de confianza: la confianza de sus clientes finales, de sus distribuidores y de las autoridades. Esa confianza se construye con tres elementos de proceso: la verificación de la identidad del dispositivo, el borrado certificado de datos y una documentación sin lagunas.

Un dispositivo devuelto es un asunto del RGPD — para el comercio y para el fabricante

El RGPD define en su art. 4.2 que también la supresión y la destrucción de datos son operaciones de tratamiento. Revender un dispositivo reacondicionado sin haber eliminado de forma demostrable los datos del propietario anterior vulnera los principios del art. 5 y las obligaciones de seguridad del art. 32 del RGPD. Las consecuencias son tangibles:

• Sanciones: el art. 83 del RGPD prevé multas de hasta 10 millones de euros o el 2 % de la facturación anual mundial por fallos de seguridad, y de hasta 20 millones o el 4 % por infringir los principios del tratamiento.
• Obligación de notificación: si un dispositivo con datos llega a manos de un tercero, se trata por regla general de una violación de seguridad notificable según el art. 33, con un plazo de 72 horas ante la autoridad de control.
• Reclamaciones civiles: los afectados pueden exigir indemnización conforme al art. 82, también por daños inmateriales.
• El daño más difícil de reparar: la confianza. Un solo caso público — un comprador que encuentra las fotos de un desconocido en un teléfono «reacondicionado» — puede deshacer relaciones comerciales construidas durante años.

Y un punto esencial: externalizar el proceso no externaliza la responsabilidad. Quien encarga el reacondicionamiento a un proveedor necesita un contrato de encargo de tratamiento conforme al art. 28 del RGPD, y sigue siendo responsable de elegir y supervisar cuidadosamente a ese socio. Por eso, la elección del socio adecuado es la decisión más importante de todo el proceso.

Verificación de IMEI y número de serie: conocer el dispositivo antes de procesarlo

Antes de borrar, comprobar o reacondicionar un dispositivo, hay que establecer su identidad: el IMEI en los dispositivos móviles, el número de serie en portátiles y equipos de hogar inteligente. Esta verificación cumple dos funciones:

• Consulta de listas de bloqueo: los dispositivos denunciados como robados o perdidos figuran en registros del sector, como las listas de bloqueo de la GSMA. También los bloqueos de activación vinculados a la cuenta del propietario anterior deben detectarse antes de la reventa. Vender un dispositivo bloqueado perjudica al comprador, daña la reputación propia y puede tener relevancia penal.
• Trazabilidad completa: solo una identidad de dispositivo verificada permite asignar cada paso del proceso — entrada, inspección, borrado, reparación, salida — a una unidad concreta. Sin esa asignación, ningún certificado de borrado tiene valor probatorio.

Borrado certificado de datos: un restablecimiento de fábrica no es suficiente

El error más extendido en la gestión de devoluciones: «con restablecer los valores de fábrica basta». No es así de forma fiable. Que un restablecimiento elimine los datos de manera irreversible depende del tipo de dispositivo, del sistema operativo y del estado de cifrado; especialmente en equipos antiguos sin cifrado completo del almacenamiento, los datos pueden seguir siendo recuperables. Y en cualquier caso, un restablecimiento sin documentar no demuestra nada ante una autoridad ni ante un cliente.

El borrado profesional de datos se apoya en estándares técnicos reconocidos, en particular NIST SP 800-88 (Guidelines for Media Sanitization) e IEEE 2883 (Standard for Sanitizing Storage). Tres características lo distinguen:

1. Método adecuado a cada tipo de soporte: la memoria flash, los SSD y las memorias integradas requieren procedimientos distintos a los discos duros clásicos.
2. Verificación: el éxito del borrado se comprueba, no se presupone.
3. Certificado de borrado: por cada dispositivo se genera un protocolo con número de serie/IMEI, método empleado, software y versión, fecha, resultado de la verificación y operador. Los dispositivos que no pueden borrarse con seguridad se destruyen físicamente, con la destrucción documentada y la eliminación conforme a la Directiva RAEE (WEEE).

Qué debe documentar un proveedor de servicios profesional

Si confía el reacondicionamiento de sus devoluciones a un socio, tiene derecho a exigir pruebas concretas. Un proveedor serio presenta sin dudarlo:

• un contrato de encargo de tratamiento (art. 28 RGPD) con la descripción de sus medidas técnicas y organizativas,
• una pista de auditoría por dispositivo: desde el registro de entrada, pasando por la verificación IMEI/número de serie y el borrado, hasta la salida,
• certificados de borrado conformes a estándares reconocidos, archivables y legibles por máquina,
• procesos definidos para casos especiales: dispositivos bloqueados, dispositivos no borrables, extracción y destrucción de soportes,
• un concepto de accesos y seguridad: quién accede y cuándo a dispositivos aún sin borrar.

Si falta alguno de estos puntos, el riesgo recae también sobre quien encarga el servicio. Frente a clientes y autoridades responde primero el comercio o el fabricante cuyo nombre figura en el dispositivo y en la factura.

Conclusión: la seguridad jurídica se construye en el proceso

La electrónica devuelta es demasiado valiosa para desecharla y demasiado delicada para revenderla sin control. Ya hemos mostrado por qué el reacondicionamiento profesional también es rentable; la condición es un proceso que integre desde el principio identidad del dispositivo, borrado de datos y documentación.

PST – Professional Support Technologies opera exactamente ese proceso para clientes de toda Europa: verificación de IMEI y número de serie en la entrada de mercancía, borrado de datos documentado conforme a estándares y una pista de auditoría completa para cada dispositivo. Hable con nosotros — estaremos encantados de analizar juntos cómo asegurar sus devoluciones de electrónica.