El proceso de recuperación de activos informáticos es el conjunto de pasos organizados para recuperar físicamente el equipo tecnológico que ya no está en uso activo, evaluar su valor residual y decidir su destino final: reutilización, reventa, reciclaje o destrucción segura. No es un trámite puntual; es una etapa crítica del ciclo de vida del activo que, si se ejecuta mal, expone a la empresa a sanciones por el Reglamento General de Protección de Datos (RGPD) y a incumplimientos de la normativa de residuos de aparatos eléctricos y electrónicos (RAEE).
Las cinco fases que estructuran cualquier proceso bien ejecutado son:
- Inventario y evaluación: identificar, registrar y valorar cada activo antes de retirarlo.
- Logística y cadena de custodia: mover el equipo con controles físicos y documentales que eviten pérdidas o accesos no autorizados.
- Saneamiento o destrucción de datos: borrar o destruir la información almacenada conforme a estándares reconocidos, con certificado de destrucción como evidencia.
- Reacondicionamiento y remarketing: reparar, actualizar y reasignar o revender los activos con valor residual.
- Reciclaje responsable: gestionar los equipos sin valor recuperable conforme a la normativa RAEE vigente en España, con certificado de reciclaje.
El resultado esperado de este flujo es doble: recuperar parte de la inversión original y demostrar cumplimiento normativo ante cualquier auditoría interna o externa.
Puntos clave
El proceso de recuperación de activos informáticos requiere cinco fases documentadas, certificaciones verificables y una política interna con disparadores claros para garantizar cumplimiento del RGPD y la normativa RAEE en España.
| Punto | Detalles |
|---|---|
| Cinco fases obligatorias | Inventario, logística, saneamiento de datos, reacondicionamiento y reciclaje: ninguna es opcional si se quiere cumplimiento real. |
| Certificado de destrucción por dispositivo | El certificado debe incluir el número de serie de cada equipo procesado; sin esa granularidad no es válido ante una auditoría del RGPD. |
| Certificaciones del proveedor ITAD | Exige R2v3, e-Stewards, NAID AAA e ISO 14001 verificables antes de firmar cualquier contrato de disposición. |
| Política con disparadores automáticos | La baja de un empleado, el fin de vida útil o un cambio de sede deben activar el flujo de recuperación sin intervención manual. |
| Usedcartridge como proveedor integrado | Gestiona recogida, destrucción certificada, reacondicionamiento y reciclaje RAEE con documentación completa para auditorías. |
Tabla de contenidos
- ¿Qué es la recuperación de activos informáticos y en qué se diferencia de ITAD e ITAM?
- ¿Cuáles son las cinco fases del proceso de recuperación de activos?
- Fase 1: inventario y evaluación de activos, ¿cómo hacerlo bien?
- Fase 2: logística, cadena de custodia y transporte seguro
- Fase 3: saneamiento de datos y destrucción segura
- Fase 4: reacondicionamiento, remarketing y reutilización
- Fase 5: reciclaje responsable y cumplimiento ambiental (RAEE)
- ¿Qué documentación hay que conservar y durante cuánto tiempo?
- Cómo diseñar la política interna de recuperación y sus disparadores
- ¿Cómo elegir un proveedor ITAD con garantías reales?
- Ejemplo operativo: flujo paso a paso desde la solicitud hasta el certificado
- Usedcartridge gestiona tu proceso de recuperación de activos de principio a fin
- Fuentes
¿Qué es la recuperación de activos informáticos y en qué se diferencia de ITAD e ITAM?
Los tres términos se solapan en la práctica y conviene separarlos con precisión. La gestión de activos de TI (ITAM, por sus siglas en inglés) abarca todo el ciclo de vida del activo: adquisición, despliegue, mantenimiento y, al final, su retirada. La disposición de activos de TI (ITAD) es la fase terminal de ese ciclo: el conjunto de procesos para retirar el equipo de forma segura y conforme. La recuperación de activos informáticos es una etapa dentro de ITAD que se centra específicamente en recuperar el activo físico, evaluar su estado y decidir qué hacer con él antes de proceder a la disposición definitiva.
Dicho de otra manera: ITAM es el mapa completo, ITAD es el último tramo del camino y la recuperación es el primer paso de ese tramo.
Desde el punto de vista normativo, tres referencias son obligatorias en cualquier proceso que opere en España. El RGPD exige que los datos personales almacenados en cualquier soporte se eliminen de forma verificable antes de que el equipo cambie de manos. La normativa RAEE regula cómo deben gestionarse los residuos electrónicos una vez que el activo no tiene valor recuperable. Y el estándar técnico NIST 800-88, aunque de origen estadounidense, es la referencia internacional más citada para definir métodos de saneamiento de medios, y IBM lo recoge como práctica recomendada en sus guías de recuperación de activos.
¿Cuáles son las cinco fases del proceso de recuperación de activos?
Un proceso bien documentado sigue siempre el mismo esquema de cinco fases. Cada una tiene un responsable, un entregable concreto y un punto de control antes de pasar a la siguiente.
- Fase 1 — Inventario y evaluación: el propietario del activo y el equipo de TI registran cada equipo con sus datos de identificación, estado y contenido. Entregable: lista de baja con valoración inicial. Responsable: departamento de TI o gestor de activos.
- Fase 2 — Logística y cadena de custodia: el proveedor ITAD o el equipo interno recoge, embala y transporta los activos con registro de cada etapa. Entregable: albarán de recogida y registro de custodia. Responsable: proveedor ITAD o logística interna.
- Fase 3 — Saneamiento o destrucción de datos: técnicos certificados borran o destruyen físicamente los soportes. Entregable: certificado de borrado o destrucción con número de serie de cada dispositivo. Responsable: proveedor ITAD con certificación NAID AAA o equivalente.
- Fase 4 — Reacondicionamiento y remarketing: los activos con valor residual se reparan, actualizan y reasignan o revenden. Entregable: informe de valoración y, si procede, factura de reventa o crédito. Responsable: proveedor ITAD o equipo interno de reacondicionamiento.
- Fase 5 — Reciclaje responsable: los equipos sin valor recuperable se entregan a un gestor autorizado conforme a la normativa RAEE. Entregable: certificado de reciclaje y documentación RAEE. Responsable: gestor de residuos autorizado con certificación R2v3, e-Stewards o ISO 14001.
Fase 1: inventario y evaluación de activos, ¿cómo hacerlo bien?
El inventario es donde más errores se cometen y donde más se pierde. Un activo que no aparece en el registro de baja puede terminar en un cajón olvidado, en manos de un empleado que ya no trabaja en la empresa o, peor, en un contenedor sin que nadie haya borrado los datos.
Por cada activo que se va a recuperar, el registro debe incluir al menos: identificador único (número de serie o etiqueta de inventario), propietario asignado, ubicación física o lógica, estado técnico, tipo de datos almacenados y fecha prevista de retirada. Esos campos no son opcionales; son los que permiten tomar decisiones de destino y demostrar trazabilidad ante una auditoría.
Los disparadores más habituales para iniciar el proceso son la baja de un empleado, el fin de un contrato de arrendamiento de equipos, el fin de vida útil declarado, un fallo de hardware sin reparación rentable o un cambio de sede. Cada uno de estos eventos debería activar automáticamente el flujo de recuperación, no depender de que alguien lo recuerde.
Para activos remotos, la sincronización entre herramientas de gestión y monitorización remota (RMM) y el sistema ITAM es lo que evita que equipos en teletrabajo queden fuera del inventario. Kaseya señala que integrar la detección automática con los registros ITAM reduce significativamente el riesgo de activos no descubiertos y apoya procesos proactivos de recuperación.
Consejo profesional: Reconcilia el inventario de TI con el registro contable de activos fijos al menos una vez al año. Las discrepancias entre ambos son la señal más fiable de que hay equipos fuera de control.
Fase 2: logística, cadena de custodia y transporte seguro
Mover un activo informático sin controles equivale a abrir una brecha de seguridad antes de haber borrado nada. La cadena de custodia documenta quién tiene el equipo en cada momento, desde que sale del puesto de trabajo hasta que llega al centro de procesamiento.
Los requisitos mínimos para una cadena de custodia válida son:
- Etiquetado previo a la recogida: cada activo lleva una etiqueta con su identificador único antes de que nadie lo toque.
- Sellado de contenedores: los equipos se embalan en contenedores precintados con número de precinto registrado.
- Registro de etapas: cada transferencia física (recogida, carga, descarga, recepción en instalaciones) queda documentada con fecha, hora y firma del responsable.
- Seguimiento de envío: para activos remotos o en ubicaciones múltiples, el transporte debe incluir seguimiento en tiempo real y acceso restringido al contenido.
En el contrato con el transportista o el proveedor ITAD deben figurar, como mínimo: cobertura de seguro por pérdida o daño, procedimiento de notificación en caso de incidente, restricción de acceso al contenido durante el transporte y trazabilidad completa hasta la entrega. Cualquier contrato que no incluya estos puntos es una señal de alarma.
Fase 3: saneamiento de datos y destrucción segura
El saneamiento de datos es la fase con mayor impacto legal. Un borrado insuficiente puede convertirse en una brecha de datos notificable bajo el RGPD, con las consecuencias que eso implica. El formateo estándar del sistema operativo no es un método válido: no elimina los datos de forma irrecuperable.
Los métodos aceptados, ordenados de menor a mayor nivel de destrucción, son:
| Método | Aplicación recomendada | Estándar de referencia |
|---|---|---|
| Sobreescritura lógica | Discos duros magnéticos en buen estado | NIST 800-88 |
| Desmagnetización (degaussing) | Cintas y discos magnéticos fuera de uso | NIST 800-88 |
| Destrucción física (trituración) | SSD, memorias flash, soportes críticos | NIST 800-88 / NAID AAA |
| Destrucción química o fusión | Soportes con datos de máxima clasificación | Normativa interna / NAID AAA |
La elección del método depende de tres variables: el tipo de soporte (magnético, flash, óptico), el nivel de riesgo residual aceptable y si el activo tiene valor de reventa. Un disco duro magnético en buen estado puede sobreescribirse y revenderse; un SSD con datos sensibles justifica la destrucción física aunque eso elimine su valor comercial.
Las evidencias que debe entregar el proveedor tras esta fase son: certificado de borrado o destrucción con número de serie de cada dispositivo, registro fotográfico del proceso de destrucción física cuando aplique, y actualización del registro de cadena de custodia. Para profundizar en los métodos disponibles, la guía sobre eliminación segura de datos de Usedcartridge detalla las opciones técnicas y sus implicaciones prácticas.
Consejo profesional: Exige que el certificado de destrucción incluya el número de serie de cada dispositivo, no solo un recuento total. Sin esa granularidad, el certificado no sirve como evidencia ante una auditoría del RGPD.
Fase 4: reacondicionamiento, remarketing y reutilización
No todo lo que se retira merece ir directamente al reciclaje. Un equipo de tres años con hardware funcional puede tener un valor residual real, ya sea para reasignación interna, venta a terceros o donación a entidades sin ánimo de lucro. La clave está en evaluar antes de decidir.
La evaluación técnica previa al reacondicionamiento debe verificar:
- Estado del hardware (batería, pantalla, almacenamiento, conectividad).
- Confirmación de que el saneamiento de datos se ha completado y certificado.
- Compatibilidad con el sistema operativo y las actualizaciones de seguridad actuales.
- Coste estimado de reparación frente al valor de mercado del equipo reacondicionado.
Las opciones de destino, una vez superada la evaluación, son cuatro. La reasignación interna es la más rápida y no genera ingresos directos, pero reduce el gasto en equipos nuevos. La venta B2B a través de canales de remarketing genera un retorno económico que puede contabilizarse como crédito contra la próxima compra. La donación a organizaciones sin ánimo de lucro puede tener ventajas fiscales y refuerza los compromisos de responsabilidad social. El remarketing externo a través de plataformas especializadas maximiza el valor recuperado, aunque requiere más tiempo de gestión.
Para calcular el valor residual, el punto de partida es el precio de mercado del equipo reacondicionado equivalente, menos el coste de reparación, limpieza y certificación. Ese margen es el ingreso neto que la empresa puede esperar. La guía de reacondicionamiento de equipos TI de Usedcartridge desarrolla los criterios de valoración con más detalle.
Fase 5: reciclaje responsable y cumplimiento ambiental (RAEE)
Los equipos que no tienen valor residual no pueden simplemente tirarse. En España, el Real Decreto 110/2015 transpone la Directiva RAEE y establece las obligaciones del poseedor del residuo: entregar los equipos a un gestor autorizado, garantizar la trazabilidad del residuo y conservar la documentación acreditativa. El incumplimiento puede derivar en sanciones administrativas.
Al elegir un gestor de reciclaje, las certificaciones que debes exigir son:
- R2v3 (Responsible Recycling): establece prácticas de gestión ambientalmente responsables y trazabilidad para recicladores de residuos electrónicos.
- e-Stewards: define criterios rigurosos de reciclaje responsable y trazabilidad que las organizaciones pueden exigir contractualmente a sus proveedores.
- ISO 14001: certifica el sistema de gestión ambiental del reciclador, aunque no es específica de residuos electrónicos.
La documentación que debe entregar el gestor al finalizar el proceso incluye: certificado de reciclaje con identificación de los equipos procesados, documentación RAEE (documento de aceptación del residuo y justificante de entrega a instalación autorizada) y, si aplica, informe de materiales recuperados. Para más detalle sobre el proceso de reciclaje conforme a la normativa española, la guía de reciclaje seguro de equipos informáticos de Usedcartridge cubre los pasos prácticos.
¿Qué documentación hay que conservar y durante cuánto tiempo?
La documentación no es un fin en sí misma: es la evidencia que protege a la empresa si llega una auditoría del RGPD, una inspección ambiental o una reclamación de un empleado. Documentar la destrucción de datos y mantener registros de auditoría continuados es la práctica que separa a las organizaciones que gestionan el riesgo de las que lo ignoran hasta que es tarde.
| Documento | Plazo de retención recomendado |
|---|---|
| Inventario de baja y registro de cadena de custodia | 5 años (normativa fiscal y ambiental) |
| Certificado de borrado o destrucción de datos | 5 años (RGPD — responsabilidad proactiva) |
| Certificado de reciclaje y documentación RAEE | 5 años (Real Decreto 110/2015) |
| Contratos con proveedores ITAD y seguros | Duración del contrato + 5 años |
| Informes de valoración y reventa | 5 años (normativa fiscal) |
Los registros mínimos que toda empresa debe conservar son: el inventario de baja con estado y destino de cada activo, la cadena de custodia completa, los certificados de borrado y reciclaje, los informes de valoración y los contratos con proveedores.
Las métricas operativas que permiten medir la eficacia del proceso son: valor económico recuperado por ciclo de recuperación, tasa de reutilización frente a reciclaje, tiempo medio desde la solicitud de baja hasta el certificado final, y número de incidentes de cadena de custodia por periodo. Sin estas métricas, el proceso existe en papel pero no se puede mejorar.
Cómo diseñar la política interna de recuperación y sus disparadores
Una política de recuperación de activos no necesita ser un documento de cien páginas. Necesita ser clara, asignar responsabilidades y activarse solo cuando ocurre un evento concreto.
Los elementos mínimos que debe incluir cualquier política son:
- Alcance: qué tipos de activos cubre (portátiles, servidores, móviles, soportes ópticos, periféricos).
- Propietarios del proceso: quién aprueba la baja, quién ejecuta el saneamiento, quién firma el certificado.
- Criterios de valoración: umbrales de valor residual a partir de los cuales se reacondicionará en lugar de reciclar.
- Procedimientos de cadena de custodia: pasos obligatorios desde la recogida hasta la entrega al proveedor.
- Validación de borrado: quién verifica el certificado y cómo se archiva.
Los disparadores operativos que deben activar el flujo de recuperación son: baja de empleado (el activo debe recuperarse el mismo día o antes de que se complete la baja en sistemas), fin de vida útil declarado, actualización tecnológica planificada, fallo de hardware sin reparación rentable y cambio de sede o cierre de oficina.
La integración con el sistema ITAM y con los procesos de recursos humanos es lo que convierte una política en un proceso real. Cuando la baja de un empleado en el sistema de RRHH activa automáticamente una tarea de recuperación en el ITAM, el riesgo de activos olvidados cae drásticamente.
Consejo profesional: Incluye en la política un plazo máximo desde el evento disparador hasta la entrega del activo al proveedor ITAD. Sin un plazo concreto, «lo antes posible» siempre significa «cuando alguien se acuerde».
¿Cómo elegir un proveedor ITAD con garantías reales?
La elección del proveedor ITAD es la decisión que más impacto tiene en el cumplimiento y en el riesgo residual. Un proveedor sin certificaciones adecuadas no puede emitir certificados válidos, y un certificado inválido no protege a la empresa ante una auditoría.
La verificación previa debe cubrir:
- Certificaciones vigentes: R2v3, e-Stewards, NAID AAA para destrucción de datos e ISO 14001 para gestión ambiental. Pide los certificados originales y verifica su vigencia directamente con el organismo certificador.
- Cobertura geográfica: confirma que el proveedor puede operar en todas las ubicaciones donde tienes activos, incluidas sedes remotas.
- Seguros: cobertura de responsabilidad civil y seguro de transporte para los activos durante todo el proceso.
- Pruebas de proceso: solicita un ejemplo de certificado de destrucción real (con datos anonimizados) para verificar que incluye número de serie por dispositivo.
Las preguntas que no pueden faltar en un proceso de selección o en la negociación contractual son: ¿subcontratáis alguna parte del proceso? ¿A quién y con qué certificaciones? ¿Permitís auditorías de vuestras instalaciones? ¿Cómo gestionáis un incidente de cadena de custodia? ¿Cuál es vuestra política de datos sobre los activos que procesáis?
Las señales de alarma que deben descartar a un proveedor son claras: ausencia de certificaciones verificables, rechazo a permitir auditorías de instalaciones, certificados de borrado sin número de serie por dispositivo, condiciones contractuales ambiguas sobre responsabilidad en caso de brecha, y subcontratación sin transparencia sobre quién ejecuta el proceso.
Consejo profesional: Pide referencias de clientes del mismo sector y del mismo tamaño que tu empresa. Un proveedor que gestiona bien residuos de grandes corporaciones puede no tener los procesos adaptados para una pyme con cincuenta equipos.
Ejemplo operativo: flujo paso a paso desde la solicitud hasta el certificado
Este es el flujo que sigue un proceso bien coordinado entre cliente y proveedor ITAD, desde el momento en que se decide retirar un lote de equipos hasta que se archiva el último certificado.
- Solicitud de recogida: el responsable de TI genera la orden de baja en el sistema ITAM con la lista de activos, sus identificadores y ubicaciones. El proveedor ITAD confirma la recogida y proporciona un número de referencia de servicio.
- Preparación y etiquetado: el equipo de TI etiqueta cada activo con su identificador y lo prepara para la recogida (sin borrar datos todavía, para que el proveedor pueda verificar el estado del soporte).
- Recogida y precintado: el proveedor recoge los equipos, los introduce en contenedores precintados y entrega un albarán de recogida firmado con la lista completa de activos y los números de precinto.
- Transporte con trazabilidad: los contenedores se transportan a las instalaciones del proveedor con seguimiento de envío. Cualquier incidencia durante el transporte se notifica al cliente en menos de dos horas.
- Recepción y verificación: en las instalaciones del proveedor, se verifica que el contenido coincide con el albarán de recogida. Las discrepancias se notifican al cliente antes de continuar.
- Saneamiento o destrucción de datos: los técnicos ejecutan el método de saneamiento acordado (sobreescritura o destrucción física) y generan el registro de cada dispositivo procesado.
- Evaluación de valor residual: los activos saneados se evalúan técnicamente. Los que superan el umbral de valor se derivan a reacondicionamiento; el resto, a reciclaje.
- Reacondicionamiento o reciclaje: según el destino de cada activo, se ejecuta el proceso correspondiente con su propia documentación.
- Entrega de certificados: el proveedor entrega al cliente el certificado de destrucción o borrado (con número de serie por dispositivo), el certificado de reciclaje y la documentación RAEE. El tiempo desde la recogida hasta la entrega de certificados suele ser breve y gestionado bajo compromisos contractuales.
- Cierre y archivo: el responsable de TI actualiza el inventario ITAM, archiva los certificados y cierra la orden de baja. El proceso queda disponible para auditoría.
Lo que nadie te dice sobre la recuperación de activos informáticos
La mayoría de los artículos sobre este proceso presentan las cinco fases como si fueran un flujo lineal y ordenado que las empresas siguen de forma natural. La realidad es diferente: el mayor problema no es técnico, es organizativo.
Las empresas que tienen más incidentes de cumplimiento no son las que desconocen los estándares NIST o las certificaciones R2v3. Son las que tienen procesos reactivos: recuperan activos cuando alguien lo recuerda, no cuando ocurre el evento que debería dispararlo. Un portátil de un empleado que causó baja hace seis meses y sigue en un cajón con datos de clientes es un riesgo real, no un escenario hipotético.
El segundo error más frecuente es confundir el certificado de destrucción con la prueba de cumplimiento. Un certificado sin número de serie por dispositivo, emitido por un proveedor sin certificación NAID AAA verificable, no protege a la empresa ante una investigación del RGPD. La calidad del certificado depende de la calidad del proveedor, y eso solo se verifica antes de firmar el contrato, no después de que ocurra el problema.
Mi recomendación práctica: empieza por el inventario. No por la política, no por el proveedor. Si no sabes exactamente qué activos tiene tu empresa, dónde están y quién los tiene asignados, cualquier proceso de recuperación que diseñes tendrá agujeros. El inventario es la base de todo lo demás, y en la mayoría de las organizaciones está más desactualizado de lo que los responsables de TI quieren admitir.
Usedcartridge gestiona tu proceso de recuperación de activos de principio a fin
Coordinar inventario, logística, destrucción certificada y reciclaje conforme a la normativa RAEE con proveedores distintos multiplica los puntos de fallo y los riesgos de documentación incompleta. Usedcartridge ofrece un servicio integrado de recuperación y disposición de activos informáticos que cubre todas las fases del proceso: recogida empresarial en tus instalaciones, destrucción certificada de datos con certificado por número de serie, reacondicionamiento de equipos con valor residual y gestión RAEE con documentación completa.
Cada servicio incluye cadena de custodia documentada, certificados de destrucción y reciclaje válidos para auditorías del RGPD y la normativa ambiental española, y un interlocutor único que coordina todo el proceso. Sin gestionar múltiples proveedores, sin riesgo de certificados incompletos.
Si tienes equipos pendientes de retirar o quieres revisar tu proceso actual, solicita una evaluación gratuita de tus activos y recibe una propuesta adaptada al volumen y tipo de equipos de tu empresa.
Fuentes
Las normas y recursos que debes tener a mano para implementar y auditar el proceso de recuperación de activos informáticos en España son:
- ¿Qué es la recuperación de activos de IT y cómo llevarla a cabo? | Invgate
- ¿Qué es la recuperación de activos de TI? | IBM
- Real Decreto sobre RAEE (España) | BOE
- Gestión de activos de TI (ITAM) — Kaseya
- R2v3 — Responsible Recycling (R2/RIOS) | Sustainable Electronics Recycling International
- The e‑Stewards Standard | e‑Stewards
Guarda estas referencias en la carpeta de documentación interna del proceso junto con los certificados de cada ciclo de recuperación. Cuando llegue una auditoría, tener todo en un solo lugar marca la diferencia entre una inspección que dura una hora y una que dura una semana.
Este artículo es información general y no sustituye el consejo de un abogado cualificado. Consulte a un profesional del derecho cualificado sobre su caso particular antes de actuar según este contenido.