Ciclo de vida de los activos de TI: amortización, RGPD y baja segura

Un portátil corporativo vive deprisa: se compra, se entrega, cambia de manos, se renueva a los 3–5 años y termina en un palé camino del gestor de residuos. En cada parada de ese recorrido hay una obligación distinta — contable (la cuenta 217 del PGC), fiscal (la tabla del art. 12 de la LIS), de protección de datos (el borrado seguro que exige el RGPD) y ambiental (el RAEE). Y hay un hilo que las une todas: solo se gestiona bien el ciclo de vida de lo que está inventariado. Esta guía recorre las fases del ciclo de vida de los activos de TI y lo que cada una exige en España.

Las 6 fases del ciclo de vida de un activo de TI

El ciclo de vida (IT Asset Lifecycle) estructura la práctica de ITAM. Las seis fases — y lo que suele fallar en cada una:

• 1Planificación y compra: dimensionar la necesidad (¿de verdad faltan equipos, o hay 40 portátiles en un almacén?), elegir compra o renting y negociar garantías.
• 2Alta e identificación: etiqueta única (código de barras, QR o RFID), alta contable en la cuenta 217, registro en el CMDB y documento de responsabilidad firmado por el usuario. Lo que no se etiqueta al entrar, se pierde de vista en meses.
• 3Uso y mantenimiento: traslados, reasignaciones, reparaciones y garantías — cada movimiento registrado contra la etiqueta. El teletrabajo multiplicó esta fase: equipos en cientos de domicilios.
• 4Renovación (refresh): decidir con datos qué se renueva, qué se reasigna y qué se retira — sobre el parque real, no sobre un registro inflado.
• 5Retirada de operación: el equipo sale del servicio, pero todavía existe: almacén controlado, pendiente de borrado. La fase más olvidada — y donde nacen los activos fantasma.
• 6Baja segura: borrado certificado de datos (RGPD), asiento contable de baja, entrega a gestor autorizado (RAEE) y actualización del CMDB. Solo entonces el ciclo está cerrado.

La gestión operativa de estas fases — ITAM, CMDB y la conciliación entre ambos — la tratamos en la guía de ITAM y CMDB. Aquí seguimos con las tres dimensiones que el ciclo de vida tiene en España: la contable, la de datos y la ambiental.

El activo de TI en el PGC: cuentas 217 y 206

Para contabilidad, un servidor no es un CI: es inmovilizado material. El cuadro de cuentas del PGC le reserva la cuenta 217, «Equipos para procesos de información», dentro del subgrupo 21: ordenadores, servidores y demás equipos electrónicos de tratamiento de datos, valorados por su precio de adquisición (con los gastos hasta la puesta en funcionamiento). Dos matices que generan errores recurrentes:

• El software va aparte: las licencias y aplicaciones son inmovilizado intangible — cuenta 206, «Aplicaciones informáticas» —, con sus propios criterios de amortización. Hardware y software comprados juntos deben separarse.
• El renting no se activa (gasto del ejercicio), pero el arrendamiento financiero sí genera un activo. En parques mixtos — compra + renting — el inventario físico debe distinguir la propiedad de cada equipo, o la conciliación contable no cuadrará jamás.

El marco general del inmovilizado material — NRV 2.ª y 3.ª, valoración inicial, deterioro, bajas — está en nuestra guía del inmovilizado material.

Amortización de los activos de TI: la tabla del art. 12 LIS

Contablemente, el equipo se amortiza durante su vida útil según el patrón real de consumo. Fiscalmente, el artículo 12 de la Ley 27/2014 del Impuesto sobre Sociedades fija coeficientes lineales máximos. Los que afectan al parque tecnológico:

Tres reglas prácticas completan el cuadro fiscal: los elementos nuevos de valor unitario inferior a 300 € pueden amortizarse libremente (hasta 25.000 € por ejercicio) — útil para periféricos y accesorios; los bienes usados admiten aceleración; y cuando la amortización contable difiere de la fiscal, la diferencia se ajusta en la base imponible. El método de cálculo, los asientos y los ejemplos numéricos están en la guía de la amortización del inmovilizado.

Renovación del parque: vida útil real vs vida fiscal

Aquí aparece una asimetría que distorsiona muchos balances: la práctica del sector renueva portátiles cada 3–5 años y servidores cada 5–7, mientras la tabla fiscal permite estirar la amortización hasta 8. La vida útil contable debe reflejar el uso real esperado — no copiar la tabla —, y revisarse cuando cambian las condiciones (lo desarrollamos en la guía de la vida útil de los activos). Las consecuencias de no hacerlo se acumulan en silencio:

• Equipos retirados que siguen amortizándose en la 217 porque nadie comunicó la baja a contabilidad.
• Renovaciones dimensionadas sobre registros inflados: se compra para sustituir equipos que ya no existen.
• Un balance cuya partida de TI no resiste el muestreo del auditor — ni el de cuentas ni el de la certificación de seguridad (el control A.5.9, en la guía de ISO 27001 e inventario de activos).

Baja segura: RGPD, borrado y certificado de destrucción

La baja es la fase con más riesgo jurídico del ciclo. Cada disco que sale por la puerta lleva datos personales — de empleados, clientes, pacientes — y el RGPD no se desentiende cuando el equipo deja de usarse: los principios de integridad y confidencialidad (art. 5.1.f) y las medidas de seguridad del tratamiento (art. 32) siguen aplicando hasta que el dato deja de existir. Y la responsabilidad proactiva (art. 5.2) añade lo decisivo: hay que poder demostrarlo. La práctica defendible:

• 1Borrado seguro según destino: sobrescritura verificada (estándares tipo NIST SP 800-88) si el equipo se reutiliza o vende; desmagnetización o destrucción física del soporte si se desecha. Formatear o «restablecer de fábrica» no es borrado seguro.
• 2Certificado de borrado o de destrucción por número de serie: el documento — emitido por el proveedor del servicio o el gestor del residuo — que vincula cada disco y cada equipo con su tratamiento. Es la evidencia que pedirá el auditor y, en caso de incidente, la AEPD.
• 3Conciliación contra el inventario: la lista de equipos entregados a destrucción debe cuadrar, serie a serie, con las bajas del inventario, del CMDB y de la cuenta 217. Un disco que no aparece en ningún certificado es un riesgo abierto.

RAEE: el residuo electrónico y su trazabilidad (RD 110/2015)

Cerrada la dimensión de datos, queda la ambiental: los equipos retirados son residuos de aparatos eléctricos y electrónicos (RAEE), regulados por el Real Decreto 110/2015. Para la empresa, las obligaciones prácticas son tres: entregar los equipos a gestores autorizados (nunca al contenedor ni al chatarrero informal), conservar la documentación de entrega y tratamiento que acredita la trazabilidad, y priorizar — cuando sea viable — la preparación para la reutilización (donación o segunda vida tras el borrado certificado) antes que el reciclaje.

Bien gestionada, esa documentación cierra el círculo completo del ciclo de vida: el albarán del gestor RAEE + el certificado de destrucción de datos + el asiento de baja contable son, juntos, la prueba de que el activo salió de la organización de forma segura, legal y auditable. Y los tres dependen del mismo cimiento: saber qué equipos existían, con qué número de serie y dónde estaban — es decir, un inventario de activos de TI conciliado. Cuando el parque incluye el resto del patrimonio (mobiliario, maquinaria, instalaciones), el mismo levantamiento alimenta el inventario de activos fijos.

Preguntas frecuentes sobre el ciclo de vida de los activos de TI

Fuentes y normativa

• Plan General de Contabilidad — RD 1514/2007: subgrupo 21 (cuenta 217) y subgrupo 20 (cuenta 206).
• Ley 27/2014, del Impuesto sobre Sociedades — artículo 12: tabla de coeficientes de amortización y libertad de amortización para elementos de escaso valor.
• RGPD (Reglamento UE 2016/679) y LOPDGDD (LO 3/2018) — arts. 5.1.f, 5.2 y 32: confidencialidad, responsabilidad proactiva y seguridad del tratamiento.
• Real Decreto 110/2015, sobre residuos de aparatos eléctricos y electrónicos (RAEE).
• NIST SP 800-88 — Guidelines for Media Sanitization (referencia técnica de borrado seguro).