Checklist de auditoría interna: documentación que puede y debe destruirse legalmente en México

Dic 8, 2025 | Destrucción de Archivo

Documentación que puede y debe destruirse legalmente en México

Auditor interno, descubre nuestra guía para la destrucción legal de documentos en México. Evita riesgos con plazos de conservación, LFPDPPP y norma DIN 66399. 

⏱️ 10 min de lectura

Tabla de Contenidos

La Norma DIN 66399: Guía Definitiva para la Gestión y Destrucción Documental Segura en México

En el complejo panorama empresarial y regulatorio de México, la gestión y destrucción documental eficaz no es solo una buena práctica, sino una obligación legal y un pilar fundamental de la seguridad de la información. Para auditores internos y áreas de compras, entender los plazos de conservación, las normativas aplicables como la LFPDPPP y, crucialmente, los estándares internacionales como la norma DIN 66399, es indispensable para garantizar el cumplimiento y proteger los activos de la organización. Esta guía exhaustiva se adentra en el corazón de estas regulaciones, proporcionando una hoja de ruta verificable para la gestión documental desde su creación hasta su destrucción segura, con un enfoque particular en la importancia de la norma DIN 66399.

La proliferación de datos, tanto físicos como digitales, exige un enfoque metódico para su administración. Un error en la retención o, peor aún, en la destrucción de documentos sensibles puede acarrear multas sustanciales, daño reputacional irreparable y, en última instancia, la pérdida de confianza de clientes y socios. Por ello, abordaremos no solo el “qué” sino también el “cómo” de la gestión documental, destacando la relevancia de la norma DIN 66399 como el estándar de oro para la destrucción segura de todo tipo de soportes de información.

México cuenta con un robusto andamiaje legal que define los periodos de conservación para diversos tipos de documentos. Ignorar estas disposiciones es un riesgo que ninguna empresa puede permitirse.

La LFPDPPP: La Piedra Angular de la Protección de Datos Personales

La Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) es la normativa más relevante en México en materia de privacidad y manejo de información. Su objetivo es regular el tratamiento legítimo, controlado e informado de los datos personales para garantizar la privacidad y el derecho a la autodeterminación informativa de las personas.

  • Principios Rectores: La LFPDPPP establece principios clave como la licitud, consentimiento, información, calidad, finalidad, lealtad, proporcionalidad y responsabilidad. Estos deben aplicarse durante todo el ciclo de vida del documento que contenga datos personales.
  • Derechos ARCO: Los titulares de los datos tienen derechos de Acceso, Rectificación, Cancelación y Oposición (ARCO) sobre su información. La cancelación implica la eliminación de los datos una vez que han cumplido su finalidad o el plazo de conservación legal.
  • Obligaciones del Responsable: Toda entidad que maneje datos personales es responsable de implementar medidas de seguridad administrativas, técnicas y físicas para proteger la información contra daño, pérdida, alteración, destrucción o uso, acceso o tratamiento no autorizado. Aquí es donde la norma DIN 66399 cobra una relevancia capital.
  • Retención y Destrucción: La ley exige que los datos personales sean conservados solo por el tiempo necesario para cumplir con la finalidad para la que fueron recabados. Una vez cumplida esa finalidad y los plazos legales, la destrucción segura es obligatoria.

Otras Leyes Clave para la Conservación Documental

Más allá de la LFPDPPP, una miríada de leyes y regulaciones dicta plazos específicos para la retención documental:

  • Código de Comercio: Establece la obligación de conservar la correspondencia, documentación y registros contables por un mínimo de 10 años. Esto incluye facturas, contratos, recibos, libros contables y demás documentos relacionados con las operaciones mercantiles.
  • Leyes Fiscales (LISR, IVA, CFF): La Ley del Impuesto Sobre la Renta (LISR), la Ley del Impuesto al Valor Agregado (IVA) y el Código Fiscal de la Federación (CFF) exigen la conservación de comprobantes fiscales digitales por internet (CFDI), registros contables y cualquier documentación que soporte las operaciones fiscales por un plazo de 5 años. En casos de auditorías o litigios, este plazo puede extenderse.
  • Ley Federal del Trabajo (LFT): Los expedientes laborales, contratos individuales y colectivos de trabajo, nóminas, recibos de salarios, constancias de seguridad social y demás documentos relacionados con la relación laboral deben conservarse al menos por un año después de la terminación de la relación laboral, aunque algunas normativas específicas pueden extender este plazo para fines de pensiones o litigios.
  • Disposiciones Sectoriales: Sectores altamente regulados como el financiero (CNBV, CONDUSEF), salud (COFEPRIS, NOMs) o telecomunicaciones tienen sus propias normativas que pueden imponer plazos de conservación específicos, a menudo más largos, debido a la sensibilidad de la información que manejan.

Consecuencias del Incumplimiento

La inobservancia de estas normativas puede resultar en:

  • Multas Millonarias: La LFPDPPP, por ejemplo, contempla sanciones económicas que pueden ascender a millones de pesos por infracciones graves.
  • Daño Reputacional: La pérdida o divulgación de información sensible afecta la confianza de clientes, socios y el público en general.
  • Sanciones Legales y Penales: Dependiendo de la naturaleza del incumplimiento, pueden derivarse responsabilidades civiles o incluso penales.
  • Pérdida de Evidencia: No contar con la documentación requerida para una auditoría o litigio puede significar la pérdida de un caso o la imposibilidad de demostrar el cumplimiento.

La Norma DIN 66399: El Estándar Global para la Destrucción Segura de Información

Ante la diversidad de soportes de información y la creciente sofisticación de las amenazas, la norma DIN 66399 surge como una respuesta crucial. Es el estándar internacional más reconocido para la destrucción de documentos y otros soportes de información.

¿Qué es la norma DIN 66399?

La norma DIN 66399, publicada por el Deutsches Institut für Normung (Instituto Alemán de Normalización), es una directriz detallada que clasifica los requisitos para la destrucción de materiales que contienen información. No solo se enfoca en el papel, sino que aborda una amplia gama de soportes de datos, desde discos duros y CDs hasta microfilmes y tarjetas de identidad. Su objetivo principal es asegurar que, una vez destruidos, los datos contenidos en estos soportes sean irrecuperables, protegiendo así la información confidencial y garantizando el cumplimiento normativo.

Clases de Protección de la norma DIN 66399

La norma DIN 66399 establece tres clases de protección, que reflejan la sensibilidad de la información a destruir:

  • Clase de Protección 1: Requisito Normal de Protección para Datos Internos. Aplica a datos cuyo acceso no autorizado tendría un impacto limitado en la empresa. Ejemplos incluyen documentos internos sin datos personales ni estratégicos de alto valor.
  • Clase de Protección 2: Alto Requisito de Protección para Datos Confidenciales. Se utiliza para datos cuyo acceso no autorizado tendría un impacto considerable, incluyendo la violación de obligaciones legales o contratos. Aquí entran datos personales sensibles, información financiera o contratos con socios comerciales.
  • Clase de Protección 3: Muy Alto Requisito de Protección para Datos Muy Confidenciales y Secretos. Reservada para datos cuyo acceso no autorizado tendría consecuencias graves, poniendo en riesgo la existencia de la empresa, la seguridad personal o secretos comerciales vitales. Ejemplos son patentes, secretos de investigación y desarrollo, o expedientes médicos de alto perfil.

Niveles de Seguridad de la norma DIN 66399

Dentro de cada clase de protección, la norma DIN 66399 define siete niveles de seguridad (P-1 a P-7 para papel, y equivalentes para otros materiales), que especifican el tamaño máximo de las partículas resultantes de la destrucción. Cuanto mayor sea el nivel, más pequeñas serán las partículas y, por lo tanto, más difícil será la reconstrucción de la información.

A continuación, detallamos los niveles de seguridad para el material más común: papel (P):

  • Nivel P-1: Destrucción de documentos internos generales, como folletos obsoletos. Partículas de tiras de hasta 12 mm de ancho o áreas de 2000 mm².
  • Nivel P-2: Documentos internos y datos que deben inutilizarse. Ej. impresiones generales de datos, correspondencia obsoleta. Partículas de tiras de hasta 6 mm de ancho o áreas de 800 mm².
  • Nivel P-3: Datos sensibles y confidenciales. Ej. expedientes personales, presupuestos, contratos. Partículas de corte cruzado con un área máxima de 320 mm² (ej. 4×80 mm).
  • Nivel P-4: Datos especialmente sensibles y confidenciales. Ej. balances, nóminas, extractos bancarios, datos fiscales, expedientes médicos de bajo riesgo. Partículas de corte cruzado con un área máxima de 160 mm² (ej. 4×40 mm). Este es el nivel mínimo recomendado para la mayoría de los documentos con datos personales en México.
  • Nivel P-5: Datos cuya confidencialidad es de existencia vital para una persona, institución o empresa. Ej. patentes, documentos de investigación y desarrollo, secretos comerciales. Partículas de corte cruzado con un área máxima de 30 mm² (ej. 2×15 mm).
  • Nivel P-6: Datos secretos que requieren las máximas precauciones de seguridad. Ej. documentos de agencias de inteligencia, información militar. Partículas de corte cruzado con un área máxima de 10 mm² (ej. 1×10 mm).
  • Nivel P-7: Datos ultrasecretos que requieren una seguridad absolutamente máxima. Ej. documentos de seguridad nacional o militar de alto nivel. Partículas de corte cruzado con un área máxima de 5 mm² (ej. 1×5 mm).

La norma DIN 66399 también contempla niveles de seguridad para otros tipos de soportes, como Discos Duros (H), Microfilmes (F), Soportes Ópticos (O), Discos Magnéticos (T), Tarjetas con chip (E) y otros medios electrónicos, cada uno con sus propias especificaciones de destrucción.

Importancia de la norma DIN 66399 en México

Para las organizaciones en México, la adopción de la norma DIN 66399 es fundamental por varias razones:

  • Cumplimiento de LFPDPPP: Al garantizar la destrucción irrecuperable de datos, se cumple con la obligación de cancelar datos personales una vez que su finalidad ha sido cumplida y los plazos legales expiraron.
  • Reducción de Riesgos: Minimiza el riesgo de fugas de información, espionaje corporativo y robo de identidad, protegiendo así la reputación y los activos de la empresa.
  • Preparación para Auditorías: Demuestra a los auditores y a las autoridades regulatorias que la empresa tiene un proceso estructurado y estandarizado para la gestión de la información sensible.
  • Estándar Internacional: Al ser un estándar reconocido globalmente, facilita las operaciones de empresas multinacionales y demuestra un compromiso con las mejores prácticas de seguridad de la información.

Guía Práctica para Auditores Internos y Áreas de Compras

La implementación de una gestión documental conforme a las leyes mexicanas y la norma DIN 66399 requiere un enfoque sistemático. Aquí, se detalla una guía paso a paso para auditores internos y áreas de compras.

Paso 1: Diagnóstico y Clasificación Documental

El primer paso es entender qué documentos existen, dónde se encuentran y qué tipo de información contienen.

  • Identificación de Tipos de Documentos: Realizar un inventario exhaustivo de todos los documentos, tanto físicos como digitales (contratos, facturas, expedientes de clientes, expedientes laborales, correos electrónicos, bases de datos, etc.).
  • Clasificación según Sensibilidad: Asignar a cada tipo de documento una clase de protección de la norma DIN 66399 (Clase 1, 2 o 3) y un nivel de seguridad de destrucción requerido, basado en la confidencialidad de la información y el impacto potencial de una violación. Por ejemplo, un expediente médico podría requerir una Clase 3 con nivel P-5.
  • Determinación de Plazos de Conservación: Para cada tipo de documento, identificar el plazo legal de retención según el Código de Comercio, leyes fiscales, LFPDPPP y normativas sectoriales aplicables.

Paso 2: Diseño de una Política de Retención Documental (PRD)

Una PRD es el documento maestro que rige el ciclo de vida de la información en la organización.

  • Componentes Clave de una PRD: Debe incluir: definiciones, alcance (físico y digital), responsabilidades, clasificación de documentos, plazos de retención, procedimientos de almacenamiento (seguridad, acceso), procedimientos de destrucción (cuándo, cómo y con qué nivel de seguridad de la norma DIN 66399), y el proceso de revisión y actualización de la política.
  • Ciclo de Vida del Documento: La PRD debe cubrir todas las etapas: creación, recepción, distribución, uso, almacenamiento, mantenimiento y, finalmente, la disposición o destrucción.
  • Consideraciones para Documentos Físicos y Digitales: Aunque los principios son los mismos, los métodos de almacenamiento y destrucción varían. Para documentos digitales, se deben considerar copias de seguridad, encriptación y métodos de borrado seguro que cumplan con la norma DIN 66399 para soportes electrónicos.

Paso 3: Implementación y Control

Una PRD solo es efectiva si se implementa y se monitorea correctamente.

  • Sistemas de Gestión Documental (DMS): Implementar soluciones tecnológicas que permitan categorizar, almacenar, rastrear y gestionar los documentos de forma eficiente, automatizando alertas sobre los plazos de retención y destrucción.
  • Capacitación del Personal: Asegurar que todo el personal conozca la PRD, su rol en ella y la importancia del manejo seguro de la información.
  • Auditorías Internas Recurrentes: Los auditores internos deben realizar revisiones periódicas para verificar el cumplimiento de la PRD, los plazos legales y los requisitos de la norma DIN 66399 para la destrucción. Esto incluye la revisión de certificados de destrucción.

Paso 4: La Destrucción Documental Segura según la norma DIN 66399

Este es el punto culminante de la gestión documental y donde la norma DIN 66399 es indispensable.

  • Cuándo Destruir: Solo después de que se hayan cumplido los plazos legales de retención y la finalidad para la que los datos fueron recabados.
  • Cómo Elegir un Proveedor de Destrucción:
    • Certificaciones: Priorizar proveedores que certifiquen el cumplimiento de la norma DIN 66399, además de otras como ISO 27001 (seguridad de la información).
    • Procesos: Evaluar los procesos de recolección, transporte (cadena de custodia segura), y destrucción en sitio o en planta.
    • Trazabilidad: El proveedor debe ofrecer un sistema de trazabilidad que garantice la seguridad de los documentos en todo momento.
    • Certificado de Destrucción: Es fundamental exigir un certificado que detalle el tipo de material destruido, la fecha, el volumen y, crucialmente, el nivel de seguridad de la norma DIN 66399 aplicado. Este certificado es la evidencia clave de cumplimiento para futuras auditorías.
  • Importancia de los Niveles de Seguridad: Asegurarse de que el nivel de seguridad de la norma DIN 66399 ofrecido por el proveedor corresponda a la clase de protección de la información a destruir.

Rol del Área de Compras

El área de compras juega un papel crítico en la selección y contratación de servicios de destrucción documental que cumplan con la norma DIN 66399 y demás regulaciones. Deben:

  • Investigar y Evaluar: Identificar proveedores con la experiencia y certificaciones adecuadas.
  • Negociar Contratos: Asegurar que los contratos especifiquen claramente los niveles de servicio, las garantías de seguridad, los niveles de la norma DIN 66399, la emisión de certificados de destrucción y cláusulas de confidencialidad.
  • Monitorear el Desempeño: Colaborar con auditoría interna para asegurar que el proveedor cumpla consistentemente con los estándares acordados.

Ejemplos Prácticos por Sector Regulado en México

La aplicación de la norma DIN 66399 y las regulaciones mexicanas varía ligeramente según el sector debido a la naturaleza de los datos y las normativas específicas.

Sector Financiero

Las instituciones financieras manejan una cantidad masiva de datos personales altamente sensibles y están sujetas a regulaciones estrictas de la Comisión Nacional Bancaria y de Valores (CNBV), la Unidad de Inteligencia Financiera (UIF) y la CONDUSEF.

  • Documentos Clave: Expedientes de apertura de cuentas (KYC/AML), solicitudes de crédito, estados de cuenta, registros de transacciones, expedientes de seguros.
  • Plazos Específicos: La ley Antilavado (LFPIORPI) exige la conservación de la documentación de identificación de clientes y transacciones por 10 años. Otras disposiciones pueden variar.
  • Relevancia de la norma DIN 66399: La información financiera y de identidad es sumamente valiosa. La destrucción de estos documentos debe cumplir con los niveles de seguridad más altos de la norma DIN 66399 (generalmente P-4 o P-5) para evitar fraudes, suplantación de identidad o incumplimientos de la LFPDPPP y la LFPIORPI. Esto aplica a todo, desde los expedientes físicos de clientes hasta los discos duros que contengan bases de datos financieras.

Sector Salud

Los expedientes clínicos contienen datos de salud, considerados datos personales sensibles por la LFPDPPP, lo que impone un mayor nivel de protección.

  • Documentos Clave: Expedientes clínicos, historias médicas, resultados de laboratorio, consentimientos informados, facturas de servicios médicos.
  • Marco Legal: Además de la LFPDPPP, la Norma Oficial Mexicana NOM-004-SSA3-2012, del Expediente Clínico, establece plazos mínimos de conservación de 5 años contados a partir de la última atención médica.
  • Protección con la norma DIN 66399: Debido a la sensibilidad de los datos de salud, su destrucción debe ejecutarse con niveles de seguridad muy altos de la norma DIN 66399 (Clase 3, Nivel P-5 o P-6 para papel y sus equivalentes para soportes digitales). La menor fuga de información de salud puede acarrear graves consecuencias legales y éticas.

Despachos de abogados, notarios y corredores públicos manejan información altamente confidencial que puede afectar la vida y el patrimonio de sus clientes.

  • Documentos Clave: Expedientes de casos, contratos, poderes, testamentos, escrituras públicas, documentos probatorios, comunicaciones con clientes.
  • Plazos de Conservación: Varían enormemente según el tipo de caso o documento, a menudo vinculados a plazos de prescripción de acciones legales o regulaciones específicas de cada profesión (ej. Ley del Notariado).
  • Confidencialidad y la norma DIN 66399: La destrucción de estos documentos debe asegurar la total irrecuperabilidad de la información, utilizando niveles de seguridad de la norma DIN 66399 acordes con la sensibilidad del contenido (generalmente P-4 a P-6, dependiendo del caso). La confidencialidad es la base de la relación abogado-cliente.

Otros Sectores

  • Manufactura: Planos de diseño, fórmulas secretas, listas de proveedores, contratos de propiedad intelectual. Requieren alta protección con la norma DIN 66399.
  • Retail: Bases de datos de clientes, historiales de compra, información de tarjetas de crédito (aunque idealmente no se almacenan completamente).
  • Educación: Expedientes de alumnos, calificaciones, datos de personal.

Conclusión: Un Compromiso con la Seguridad y el Cumplimiento

La gestión y destrucción documental es un proceso continuo que demanda atención meticulosa y un compromiso inquebrantable con la seguridad. En México, el cumplimiento de la LFPDPPP y otras leyes, sumado a la adopción de estándares internacionales como la norma DIN 66399, no es solo una medida de precaución, sino un imperativo estratégico.

Para auditores internos, esta guía ofrece las herramientas para evaluar y fortalecer las políticas de retención y destrucción. Para las áreas de compras, subraya la importancia de seleccionar proveedores de servicios de destrucción certificados bajo la norma DIN 66399, garantizando que el eslabón final en el ciclo de vida de la información sea tan seguro como el primero. Invertir en procesos robustos y en el conocimiento de la norma DIN 66399 es invertir en la protección de su empresa, su reputación y la confianza de todos sus stakeholders.

Preguntas Frecuentes

¿Cuál es el propósito principal de la Checklist de auditoría interna sobre destrucción documental en México?

El propósito principal es servir como una guía práctica para auditores internos y áreas de compras, detallando qué documentos pueden y deben destruirse legalmente en México, basándose en los plazos legales de conservación.

¿Qué marcos legales y normativos considera esta checklist?

La checklist aborda la vinculación con la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) y la norma DIN 66399, además de los plazos legales de conservación de documentos en México.

¿Esta guía ofrece ejemplos de documentación específica para diferentes sectores?

Sí, la guía incluye ejemplos específicos de documentación aplicables a diversos sectores, como el financiero, de salud y legal.

¿Cómo puede esta checklist ayudar a mi empresa en una auditoría?

La checklist es una herramienta ideal para preparar auditorías internas y externas, ayudando a demostrar el cumplimiento de las regulaciones mexicanas sobre conservación y destrucción legal de documentos.

¿Quiénes son los usuarios clave a los que va dirigida esta guía?

Esta guía está diseñada principalmente para auditores internos y áreas de compras que requieren un listado verificable de documentos y sus plazos de conservación legal.

Referencias

  • Secretaría de Gobernación (SEGOB) – Orden Jurídico Nacional: The Código de Comercio (Commercial Code) is a fundamental federal law in Mexico that establishes general requirements for commercial acts, including the obligation for merchants to keep their accounting and other business documents for specific legal periods.
  • Secretaría de Gobernación (SEGOB) – Orden Jurídico Nacional: This federal law, Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), governs the processing of personal data by private entities in Mexico, establishing obligations for data controllers regarding data retention, security, and disposal, which is critical for document management.
  • Fellowes: Fellowes, an industry leader in office solutions, provides a clear and comprehensive explanation of the DIN 66399 standard, which specifies security levels for the destruction of data carriers, crucial for organizations aiming to comply with data protection regulations globally.