Cómo Destruir un Disco Duro de Empresa de Forma Legal y Certificada en CDMX y Estado de México

Un disco duro que sale de operación no es basura electrónica: es evidencia. Cada disco duro reemplazado, dañado u obsoleto en su empresa sigue conteniendo datos que un técnico con software de recuperación puede extraer en minutos, incluso si usted ya lo formateó. La diferencia entre saberlo y no saberlo es, con frecuencia, la diferencia entre cumplir la LFPDPPP y exponerse a una sanción evitable.

¿Qué es la destrucción de discos duros de empresa y cuándo es obligatoria?

La destrucción de discos duros de empresa es el proceso certificado mediante el cual se elimina de forma física o por desmagnetización la información almacenada en un medio de almacenamiento, dejándola irrecuperable por cualquier método técnico conocido. No es sinónimo de desechar el dispositivo: es un proceso normado que debe dejar evidencia auditable de principio a fin.

Diferencia entre borrar y destruir un disco duro

Formatear un disco o eliminar archivos desde el sistema operativo no elimina los datos: el sistema únicamente marca ese espacio como disponible en la tabla de asignación de archivos, mientras el contenido permanece intacto en los sectores físicos. Ese es el error más frecuente entre empresas que renuevan equipo de cómputo. Si su empresa necesita entender a fondo cuándo conviene borrado seguro y cuándo destrucción física, consulte nuestra comparativa técnica completa; aquí nos enfocamos en el proceso de destrucción en sí.

Por qué importa en 2026

Tras la reforma de 2025 a la LFPDPPP —que transfirió la supervisión del cumplimiento de datos personales del extinto INAI a la Secretaría Anticorrupción y Buen Gobierno (SABG)— las obligaciones técnicas de destrucción segura permanecen vigentes bajo el mismo marco normativo. En paralelo, las empresas multinacionales con operaciones en México ya incluyen la validación de certificados de destrucción de activos TI dentro de sus cuestionarios de auditoría a proveedores. Para un director de TI o de compliance, esto convirtió la destrucción certificada de discos duros en un requisito de negocio, no solo de seguridad.

Los riesgos de no destruir correctamente sus discos duros

No destruir un disco duro con un proceso certificado expone a la empresa a tres categorías de riesgo que se acumulan entre sí: legal, reputacional y operativo.

Riesgo legal: sanciones bajo la LFPDPPP

La Ley Federal de Protección de Datos Personales en Posesión de los Particulares establece multas de 100 a 320,000 UMA por no garantizar la destrucción segura de datos personales cuando el responsable del tratamiento no puede acreditar el proceso. En pesos mexicanos de 2026, ese rango representa aproximadamente entre $11,000 y $36 millones de pesos, dependiendo de la gravedad y la reincidencia. En caso de datos sensibles, las sanciones pueden duplicarse.

Riesgo reputacional y operativo

Un disco duro mal dispuesto que termina en el mercado secundario con datos recuperables puede derivar en una fuga de información atribuible directamente a la empresa que lo desechó, no al comprador. Para organizaciones que prestan servicios a bancos, aseguradoras o corporativos auditados, esa fuga puede costar más en contratos perdidos que en la multa misma.

Práctica común	Por qué no es suficiente
❌ Formatear el disco y venderlo o donarlo	✅ Los datos permanecen recuperables con software forense; no genera certificado de destrucción
❌ Perforar o golpear el disco con un martillo	✅ Deja fragmentos de platos magnéticos reconstruibles en laboratorio; sin trazabilidad
❌ Tirarlo en la basura general	✅ Infringe normativa de residuos electrónicos (RAEE) además del riesgo de datos
❌ Contratar al proveedor más barato sin verificar certificaciones	✅ Sin ISO 9001 ni DIN 66399 documentado, el certificado no resiste una auditoría

Métodos de destrucción de discos duros: cuál aplica a su empresa

Existen tres familias de métodos para eliminar datos de un disco duro de forma definitiva. La elección correcta depende del tipo de disco (HDD o SSD), el nivel de confidencialidad de la información y si el equipo se reutilizará.

Trituración física (shredding)

Método definitivo: el disco pasa por una trituradora industrial que lo reduce a partículas de tamaño normado. Es compatible con HDD y SSD por igual, y es el único método recomendado cuando el disco está dañado o no enciende, ya que no depende de que el dispositivo funcione.

Desmagnetización (degaussing)

Aplica un campo magnético de alta intensidad que desordena la estructura magnética del disco. Es efectivo únicamente en discos duros magnéticos (HDD); no funciona en SSD, que almacenan datos en memoria flash. Si quiere entender a detalle cuándo el degaussing es la opción correcta y sus limitaciones técnicas, revise nuestra guía dedicada a degaussing de discos duros.

Borrado por software y crypto-erase

Válido únicamente cuando el equipo seguirá en uso, se reasignará o se revenderá y los datos no son de máxima confidencialidad. Para SSD con cifrado de hardware, el crypto-erase —destrucción de la clave de cifrado— puede ser suficiente. El estándar de referencia para decidir entre estos métodos es el NIST SP 800-88; puede consultar nuestra guía completa del NIST 800-88 en español para el detalle técnico por tipo de medio.

Método	Aplica a	Genera certificado	Equipo reutilizable
Trituración física	HDD y SSD, incluso dañados	Sí, con nivel DIN H-4/H-5	No
Desmagnetización (degaussing)	Solo HDD magnéticos	Sí, si el proveedor está certificado	No
Borrado seguro / crypto-erase	HDD y SSD funcionales	Sí, con software certificado	Sí

Para el análisis completo por tipo de soporte y niveles de seguridad DIN, consulte nuestra guía sobre el Certificado de Destrucción DIN 66399.

Cómo destruir un disco duro de empresa paso a paso

Un servicio de destrucción de discos duros profesional no inicia con la trituradora: inicia con el inventario y la bitácora por número de serie. Así funciona el proceso que aplica Sharkit para equipos TI en la Zona Metropolitana del Valle de México.

1. Diagnóstico y cotización sin costo. Visita técnica para estimar cantidad de discos, tipo (HDD/SSD) y nivel de confidencialidad de la información contenida.
2. Inventario y bitácora por número de serie. Cada disco se registra individualmente antes de salir de las instalaciones del cliente. Este registro es lo que permite emitir un certificado por activo, no solo un certificado genérico por lote.
3. Recolección con cadena de custodia. Traslado en unidad con control de acceso hasta la planta de destrucción en Ocoyoacac, Estado de México, o destrucción directa en las instalaciones del cliente (modalidad on-site).
4. Destrucción certificada bajo DIN 66399. Trituración a nivel H-4 o H-5 según la confidencialidad, o desmagnetización cuando el tipo de medio lo permite. El proceso puede supervisarse en tiempo real.
5. Emisión de certificado individual por activo. Documento con número de serie, fecha, método aplicado, nivel DIN y firma del responsable, respaldado con evidencia fotográfica.
6. Reporte ambiental de reciclaje (RAEE). Confirmación de que los residuos electrónicos fueron canalizados a un gestor autorizado, con métricas para su reporte ESG.

La elección entre destrucción on-site o en planta depende del volumen y del nivel de confidencialidad: para expedientes de alta sensibilidad —biométricos, financieros o de auditorías— el servicio on-site permite supervisión directa; para bajas masivas de equipo en renovación tecnológica, la destrucción en planta suele ser más eficiente en costo y tiempo.

Qué debe incluir un certificado válido de destrucción de discos duros

No todo documento que dice “certificado de destrucción” tiene validez legal ante una auditoría. La diferencia está en el nivel de detalle y trazabilidad que contiene.

Elementos obligatorios

• Número de serie de cada disco duro procesado
• Fecha y hora de la destrucción
• Método utilizado (trituración, desmagnetización o borrado certificado)
• Nivel de seguridad DIN 66399 aplicado
• Nombre y firma del responsable del proceso
• Evidencia fotográfica o videograbación del proceso

Certificado válido vs. comprobante sin validez legal

❌ Error: aceptar una nota de remisión genérica o un comprobante de recolección como “certificado de destrucción”. → ✅ Solución: exigir que el certificado especifique el número de serie de cada disco y el nivel DIN aplicado; sin esos dos datos, el documento no acredita nada ante una auditoría LFPDPPP o una revisión de compliance corporativo.

Lo que dice la normativa y la industria sobre destrucción de discos duros

Consenso en la industria

El estándar NIST SP 800-88 clasifica la destrucción física dentro del nivel “Destroy”, el más alto de sanitización, reservado para cuando los datos requieren eliminación irreversible sin posibilidad de verificación técnica. La norma DIN 66399, adoptada como referencia en México por los principales proveedores certificados, define para discos duros la clase de material H, con niveles H-4 a H-7 según la sensibilidad de la información.

“Un equipo borrado con las herramientas nativas del sistema operativo no es un equipo sanitizado.” — Consenso técnico documentado en guías de disposición segura de activos TI para el mercado mexicano, 2026.

Marco legal en México

La LFPDPPP y su Reglamento, en sus artículos 19 y 25, obligan a los responsables del tratamiento de datos personales a implementar medidas físicas, técnicas y administrativas durante todo el ciclo de vida de la información, incluida su disposición final. El Reglamento, en su artículo 50, precisa que la supresión de datos personales implica el cese de todo uso, incluida la destrucción física cuando estén contenidos en soportes tangibles o electrónicos. Desde la reforma de 2025, la supervisión de este cumplimiento corresponde a la Secretaría Anticorrupción y Buen Gobierno (SABG), tras la disolución del INAI; los criterios técnicos de destrucción segura permanecen vigentes bajo el mismo marco normativo.

Es importante notar que los montos exactos de sanción dependen de la calificación de gravedad, reincidencia y sensibilidad de los datos que haga la autoridad en cada caso; las cifras citadas en este artículo son los rangos legales vigentes, no montos garantizados.

Tendencias 2026 en destrucción de discos duros empresariales

• Auditorías de proveedores más estrictas: empresas multinacionales en CDMX ya exigen certificados de destrucción con número de serie como parte de sus cuestionarios de compliance a proveedores.
• Crecimiento de SSD en el parque empresarial: la migración de HDD a SSD obliga a proveedores a dominar crypto-erase y trituración especializada, ya que el degaussing no es efectivo en estos medios.
• Actualización a NIST SP 800-88 Revisión 2: publicada en 2025, mantiene los tres métodos fundamentales (Clear, Purge, Destroy) pero actualiza los procedimientos para medios modernos como NVMe y entornos cloud.
• Reporte ESG como valor agregado: el certificado ambiental de reciclaje de discos duros se integra cada vez más a los reportes de sostenibilidad corporativa, no solo a los expedientes de compliance.

Preguntas Frecuentes sobre Destrucción de Discos Duros de Empresa

¿Es ilegal tirar un disco duro a la basura sin destruirlo?

Sí, expone a la empresa a dos tipos de sanción. Bajo la LFPDPPP, no garantizar la destrucción segura de datos personales puede derivar en multas de 100 a 320,000 UMA. Además, un disco duro es residuo electrónico: desecharlo en basura general infringe la Ley General para la Prevención y Gestión Integral de los Residuos.

¿Qué certificado necesito al destruir los discos duros de mi empresa?

Un certificado válido debe incluir número de serie de cada disco, fecha, método utilizado, nivel DIN 66399 aplicado (H-4 o superior para datos confidenciales) y firma del responsable. Sharkit emite certificado individual por activo procesado, con evidencia fotográfica.

¿Puedo destruir los discos duros de mi empresa yo mismo, por ejemplo con un martillo?

No es recomendable ni suficiente. Perforar o golpear un disco duro daña la carcasa pero deja intactos fragmentos de los platos magnéticos, que un laboratorio forense puede reconstruir. Tampoco genera certificado ni cadena de custodia, por lo que no tiene validez ante una auditoría LFPDPPP.

¿Cuál es la diferencia entre borrar y destruir un disco duro?

Borrar solo marca el espacio como disponible; el contenido permanece recuperable con software especializado. Destruir es la eliminación física o por desmagnetización del soporte, haciendo la información irrecuperable de forma permanente. Vea nuestra comparativa completa de borrado seguro vs. destrucción física.

¿Cuánto cuesta destruir discos duros de una empresa en CDMX?

Depende del volumen, la modalidad (on-site o en planta) y si el servicio es puntual o recurrente. Sharkit ofrece cotización sin costo con diagnóstico incluido para empresas en CDMX y Estado de México. Solicite su cotización aquí.

¿Cada cuánto debo destruir los discos duros obsoletos de mi empresa?

No hay un plazo único: la destrucción debe ocurrir cuando el disco sale de operación, ya sea por renovación de equipo, falla o cese de un contrato con terceros. Lo recomendable es integrar la baja de discos duros al mismo calendario de retención que usa la empresa para archivo físico.

¿Se puede destruir un disco duro dañado que ya no enciende?

Sí, y es un caso frecuente. Un disco dañado no es un disco limpio: los datos suelen seguir siendo recuperables en laboratorio aunque el dispositivo no encienda. La trituración física es el único método aplicable en estos casos, ya que el borrado por software requiere que el disco funcione.

¿Qué pasa si mi empresa no destruye correctamente sus discos duros?

Se acumulan tres riesgos: sanciones LFPDPPP que pueden ir de 11,000 a 36 millones de pesos según la gravedad, exposición a fuga de datos si el disco llega al mercado secundario, y pérdida de contratos con clientes corporativos que auditan certificados de destrucción como requisito de compliance.

¿Tiene más preguntas sobre la destrucción de discos duros en su empresa? Contáctenos directamente y le respondemos en menos de 24 horas.

Conclusión

Destruir un disco duro de empresa no debería ser una decisión de último momento cuando un equipo llega al final de su vida útil. Es un proceso que, bien ejecutado, protege a la empresa de sanciones LFPDPPP, de fugas de información y de la pérdida de contratos con clientes que auditan a sus proveedores.

En resumen:

• Formatear no es destruir: los datos permanecen técnicamente recuperables tras un borrado convencional.
• El método depende del disco: trituración para cualquier caso, degaussing solo para HDD funcionales, borrado seguro solo si el equipo se reutilizará.
• El certificado debe ser por activo: con número de serie, fecha, método y nivel DIN, no un comprobante genérico.
• El marco legal es la LFPDPPP: con supervisión de la SABG desde la reforma de 2025.
• El riesgo se acumula: legal, reputacional y operativo, y crece mientras más discos obsoletos se almacenen sin destruir.

Tu siguiente paso:

1. Haga un inventario de los discos duros obsoletos o dañados almacenados en su empresa.
2. Solicite una cotización sin costo con Sharkit, incluyendo diagnóstico técnico y propuesta de modalidad (on-site o en planta).
3. Integre la destrucción de discos duros a su calendario de baja de activos TI para que sea sistemática, no reactiva.

¿Le fue útil esta guía? Compártala con su equipo de TI o compliance, y déjenos sus preguntas en los comentarios — nos ayuda a mantener este contenido actualizado con los casos reales que enfrentan las empresas en México.

Artículos Relacionados

Para profundizar en temas relacionados con la destrucción certificada de activos TI:

• Destrucción Certificada de Equipos de Cómputo: el proceso integral para computadoras completas, no solo discos duros individuales.
• Borrado Seguro vs. Destrucción Física: el árbol de decisión completo para elegir el método correcto según su caso.
• Degaussing de Discos Duros: cuándo la desmagnetización es la opción técnica correcta y sus límites.
• Certificado de Destrucción DIN 66399: guía completa de los niveles de seguridad y su aplicación en México.
• NIST SP 800-88 en Español: el estándar de referencia global para sanitización de medios, explicado para empresas mexicanas.

Estos artículos forman parte de la serie completa de Sharkit sobre destrucción certificada de activos TI en México.

Referencias y Fuentes

1. Cámara de Diputados del H. Congreso de la Unión. (2010, reformada 2025). Ley Federal de Protección de Datos Personales en Posesión de los Particulares. DOF. https://www.diputados.gob.mx/LeyesBiblio/pdf/LFPDPPP.pdf
2. Cámara de Diputados del H. Congreso de la Unión. (2011). Reglamento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, Art. 50. DOF.
3. Cámara de Diputados del H. Congreso de la Unión. (2003, última reforma 2024). Ley General para la Prevención y Gestión Integral de los Residuos. Diputados.gob.mx.
4. National Institute of Standards and Technology. (2025). NIST Special Publication 800-88 Revision 2: Guidelines for Media Sanitization. NIST.gov.
5. DIN — Deutsches Institut für Normung. (2012). DIN 66399: Destrucción de datos — Niveles de protección y requisitos para las máquinas que destruyen datos. Berlín: DIN.
6. Suprema Corte de Justicia de la Nación. (2021). Guía para la conservación y eliminación de documentos y expedientes que contienen datos personales. SCJN.
7. ISO — International Organization for Standardization. (2022). ISO/IEC 27001:2022 Information Security Management Systems. Geneva: ISO.
8. ISO — International Organization for Standardization. (2015). ISO 9001:2015 Quality Management Systems. Geneva: ISO.
9. United Nations Environment Programme. (2024). Global E-waste Monitor. UNEP.org.
10. Secretaría Anticorrupción y Buen Gobierno. (2025). Transferencia de funciones de protección de datos personales tras la disolución del INAI. Gobierno de México.

Sobre el Autor

Equipo Sharkit es el equipo de especialistas en destrucción documental y de activos TI de Sharkit, empresa certificada ISO 9001, ISO 14001 e ISO 45001 con operaciones en Ciudad de México y Estado de México.

Ha trabajado con organizaciones de primer nivel —incluyendo instituciones financieras y corporativos multinacionales como BBVA, Accenture y Kimberly-Clark— ayudándoles a cumplir sus obligaciones de baja segura de equipos TI y protección de datos personales.

Su expertise incluye destrucción física de discos duros bajo norma DIN 66399, desmagnetización certificada, borrado seguro bajo NIST SP 800-88 y gestión de residuos electrónicos conforme a normativa ambiental mexicana.

En este artículo comparte su experiencia operando procesos de destrucción certificada de activos TI para empresas B2B auditadas en la Zona Metropolitana del Valle de México.