Conservación de datos personales: plazos y reglas

Guardar datos «por si acaso» es una de las prácticas que más expone a autónomos y empresas a incumplimientos evitables. La conservación datos personales no consiste en acumular contratos, currículos, facturas, correos o grabaciones indefinidamente. El RGPD exige que los datos se mantengan solo durante el tiempo necesario para la finalidad con la que se recogieron y que, después, se supriman o bloqueen correctamente.

El problema no es solo documental. Una base de datos antigua, una carpeta compartida sin control o un correo con información de clientes conservado durante años amplían el impacto de una brecha de seguridad. También dificultan atender los derechos de acceso, supresión u oposición. Cumplir con los plazos de conservación reduce carga administrativa, limita riesgos y ayuda a demostrar diligencia ante una posible inspección.

Qué exige la conservación de datos personales

El principio de limitación del plazo de conservación está recogido en el artículo 5.1.e) del RGPD. La empresa debe poder explicar tres cuestiones: qué datos trata, para qué los necesita y hasta cuándo es razonable mantenerlos.

No existe un plazo único aplicable a todos los datos. Depende de la finalidad, de la relación jurídica, de las obligaciones fiscales, laborales, contables o sectoriales y de los plazos en los que puedan exigirse responsabilidades. Por eso, indicar en una política de privacidad que los datos se conservarán «indefinidamente» o «mientras sean necesarios» sin concretar criterios no suele ser suficiente.

La información debe figurar en el registro de actividades de tratamiento y comunicarse de forma clara a las personas afectadas. Si no es posible fijar una fecha exacta, debe explicarse el criterio utilizado. Por ejemplo: mientras dure la relación contractual y, una vez finalizada, durante los plazos legales de prescripción aplicables.

Esta obligación alcanza tanto a datos digitales como a documentos en papel. Un archivador con nóminas, un teléfono corporativo con contactos de clientes, una cuenta de correo antigua o copias de seguridad son tratamientos de datos personales y deben entrar en el plan de conservación.

Plazos habituales según el tipo de información

La empresa debe elaborar su propio calendario, pero hay referencias que se repiten en la mayoría de pymes. Los datos de clientes y proveedores se conservan mientras esté vigente la relación comercial o contractual. Después, pueden mantenerse bloqueados durante el tiempo necesario para atender obligaciones fiscales, contables o posibles reclamaciones.

La documentación mercantil suele requerir conservación durante seis años, conforme a la normativa mercantil. En materia tributaria, el plazo general de prescripción es de cuatro años. En el ámbito laboral y de Seguridad Social también existen obligaciones documentales y plazos de responsabilidad que obligan a analizar cada expediente antes de eliminarlo.

Los currículos merecen especial atención. Si una persona envía su candidatura para un proceso concreto y este termina, no es correcto conservar su información indefinidamente para futuras vacantes. La empresa debe fijar un plazo razonable, informar de él y recabar una base jurídica válida si desea incorporar el perfil a una bolsa de empleo.

Las imágenes de videovigilancia tienen una regla especialmente clara: con carácter general, deben suprimirse en el plazo máximo de un mes. Solo pueden conservarse más tiempo cuando deban acreditar la comisión de actos contra la integridad de personas, bienes o instalaciones y se pongan a disposición de la autoridad competente.

En los sistemas internos de información o canales de denuncias, los datos tampoco pueden permanecer sin límite. La Ley 2/2023 establece, como regla general, la supresión de los datos a los tres meses desde la recepción de la comunicación, salvo que sea necesario conservarlos para dejar evidencia del funcionamiento del sistema o para continuar una investigación conforme a la ley. La gestión del canal exige procedimientos específicos, acceso restringido y una definición precisa de los plazos.

Suprimir no siempre significa borrar de inmediato

Cuando finaliza la finalidad principal, pueden concurrir obligaciones legales que impidan la eliminación inmediata. En esos casos entra en juego el bloqueo de datos previsto en la LOPDGDD.

Bloquear significa identificar y reservar la información, adoptar medidas para impedir su tratamiento ordinario y limitar el acceso a quien sea necesario. Los datos bloqueados no pueden utilizarse para campañas comerciales, nuevas contrataciones, análisis internos o cualquier finalidad distinta. Solo deben quedar disponibles para atender responsabilidades ante administraciones públicas, jueces y tribunales durante el plazo de prescripción correspondiente.

No basta con mover una carpeta a un directorio llamado «archivo» o marcar un contacto como inactivo en el programa de gestión. Si el personal puede seguir consultando, descargando o reutilizando esos datos, el tratamiento continúa. La medida debe ser real y verificable.

Una vez vencidos los plazos legales, procede la supresión segura. En papel, esto exige destrucción que impida la reconstrucción de la información. En soporte digital, supone borrar los datos de los sistemas activos, controlar las copias de seguridad según su ciclo de retención y documentar el proceso. La eliminación debe aplicarse también a dispositivos, herramientas de mensajería, cuentas de correo y aplicaciones contratadas a terceros cuando corresponda.

Errores frecuentes que pueden generar sanciones

El primer error es utilizar una sola regla para toda la organización. Decir que todos los datos se borran a los cinco años puede provocar incumplimientos por exceso o por defecto. Una grabación de cámara, un expediente laboral y una factura no responden al mismo plazo ni a la misma finalidad.

El segundo es confundir conservación con consentimiento. El consentimiento no permite guardar datos para siempre. Aunque una persona haya aceptado recibir comunicaciones comerciales, la empresa debe revisar periódicamente si esa relación sigue activa, si conserva una prueba válida de la autorización y si existe una petición de baja u oposición.

También es habitual ignorar las copias de seguridad. Estas pueden conservar información durante un periodo técnico limitado, pero no deben convertirse en un archivo paralelo al que se recurre para recuperar datos que ya deberían haber sido eliminados de los sistemas operativos. El procedimiento debe definir quién puede acceder a ellas, cuánto tiempo se retienen y cómo se restauran sin reactivar datos suprimidos indebidamente.

Por último, muchas empresas no asignan responsables. Si nadie revisa los plazos, los datos se acumulan por inercia. La responsabilidad proactiva del RGPD exige poder demostrar que existe una política, que el personal conoce sus pautas y que se aplican revisiones reales.

Cómo implantar un calendario de conservación útil

El punto de partida es un inventario completo de tratamientos: clientes, proveedores, empleados, candidaturas, formularios web, videovigilancia, canales de denuncias, comunicaciones comerciales y cualquier otra categoría que gestione la organización. Sin ese mapa, no es posible fijar plazos coherentes.

A continuación, conviene relacionar cada tratamiento con su finalidad, base jurídica, plazo de conservación, periodo de bloqueo cuando proceda, sistema donde se almacena y persona responsable. El calendario debe ser operativo. Si se guarda en un documento que nadie consulta, no protege a la empresa frente a una inspección ni frente a un incidente de seguridad.

La automatización ayuda, especialmente en software de gestión, correo y herramientas de recursos humanos. Sin embargo, no sustituye el criterio jurídico. Configurar un borrado automático sin revisar obligaciones contables, tributarias o laborales puede causar la pérdida de pruebas necesarias. Primero se define la regla; después se configura la herramienta.

También debe revisarse la información facilitada en cláusulas, formularios y políticas de privacidad. Lo que se comunica al cliente, trabajador o candidato debe coincidir con lo que sucede realmente dentro de la organización. La coherencia documental y operativa es una de las mejores defensas ante reclamaciones.

Una política de conservación bien diseñada no sirve para llenar una carpeta de cumplimiento. Sirve para que su empresa sepa qué guarda, por qué lo guarda y cuándo debe dejar de hacerlo. Revisar estos plazos ahora cuesta mucho menos que responder a una reclamación, una brecha de seguridad o una sanción cuando el problema ya está creado.