World Delete, certificación ISO y pentest, anatomía de un sector que opera con datos sensibles

Antes del contrato, antes de la inversión, antes incluso de la primera reunión comercial, hay una búsqueda en Google. Una mención antigua, una foto descontextualizada o una noticia caducada pueden frenar una operación. La consulta sistemática de antecedentes digitales en contrataciones, fusiones y operaciones financieras sostiene la actividad de un sector poco conocido: el del borrado profesional de contenido perjudicial en internet.

Es un servicio que trabaja con información especialmente sensible: datos personales, expedientes jurídicos, registros administrativos, biografía digital y que se ha desarrollado en paralelo a un marco regulatorio europeo cada vez más exigente. Retirar este tipo de contenido exige acoplar dos disciplinas que rara vez conviven en el mismo equipo: la ingeniería que rastrea, monitoriza y ejecuta solicitudes en cada plataforma y el derecho, que decide la vía aplicable en cada caso (derecho al olvido, vulneración del derecho al honor, propiedad intelectual, protección de datos).

Certificación ISO: el procedimiento bajo norma internacional para operaciones que cruzan jurisdicciones

A la exigencia técnica y jurídica han ido respondiendo los estándares profesionales que algunos operadores adoptan como referencia. Es el caso de World Delete, que opera bajo certificación ISO/IEC 27001:2022 sobre seguridad de la información e ISO 9001:2015 sobre gestión de calidad, ambas otorgadas por la entidad internacional RINA S.p.A., y ha iniciado el proceso de la ISO 37001:2016 sobre gestión antisoborno con la entidad acreditada ACCM (ENAC y EMA). «Retirar contenido dañino de internet es una tarea sensible y compleja; requiere no solo herramientas tecnológicas, sino también conocimiento jurídico, ética profesional y procedimientos claros», explican desde la compañía.

Un marco jurídico articulado por capas

La parte jurídica de ese acoplamiento se apoya en un marco que no responde a un único momento fundacional, sino a una articulación progresiva en distintas jurisdicciones y a lo largo de varias décadas. En el ámbito europeo, el Tribunal de Justicia de la Unión Europea fijó un punto de referencia el 13 de mayo de 2014 con una sentencia que establecía que el tratamiento de datos que realizan los motores de búsqueda está sometido a las normas comunitarias de protección de datos y que las personas pueden solicitar, bajo ciertas condiciones, que los enlaces a sus datos personales no aparezcan en los resultados al buscar por su nombre. Esa doctrina, ya anticipada en resoluciones previas de las agencias de protección de datos, fue una pieza central del trabajo posterior de las autoridades nacionales: AEPD en España, CNIL en Francia, Garante italiano o BfDI alemán, entre otras.

Antes y en paralelo, otras jurisdicciones habían reconocido principios análogos en ámbitos sectoriales. En Estados Unidos, la Fair Credit Reporting Act de 1970 ya admitía, en determinadas situaciones, la eliminación de información antigua o caduca en los informes crediticios. La discusión sobre cuándo deja de ser relevante un dato sobre una persona venía, por tanto, de una tradición regulatoria previa al ecosistema digital actual.

Sobre ese sustrato se ha sumado normativa específica para el entorno digital, como el Reglamento General de Protección de Datos de 2018, la Digital Services Act (DSA, 2024) y, más recientemente, el AI Act. El perímetro normativo se ha ido cerrando a medida que las vías de propagación de contenido se han multiplicado: buscadores, redes sociales, agregadores y, desde hace poco, modelos generativos que reproducen información más allá de su fuente original.

Pruebas de seguridad (pentest): la auditoría técnica desde fuera

Sobre la plataforma se aplica una capa adicional, esta vez técnica. Las pruebas de seguridad (en jerga sectorial, pentest) simulan ataques controlados desde fuera para detectar vulnerabilidades antes de que las descubra un actor malicioso real. Las ejecuta un equipo externo, habitualmente con perfiles especializados en seguridad ofensiva, y siguen marcos técnicos de referencia.

En un servicio que gestiona datos personales sensibles (identidad, biografía digital, antecedentes administrativos, expedientes con valor reputacional o jurídico), el pentest periódico cubre una dimensión que la propia ISO/IEC 27001:2022 reconoce dentro de sus controles: la verificación técnica de la infraestructura.

El borrado profesional de contenido perjudicial en internet se ha consolidado así sobre un conjunto de garantías complementarias: un marco jurídico articulado por capas, un procedimiento sujeto a norma técnica, una validación externa por reconocimientos independientes y una prueba periódica de la infraestructura. Sobre ese conjunto se sostiene un oficio que opera en un ecosistema digital en el que la información se propaga a una velocidad sin precedentes y los frentes se multiplican.