Muchas empresas saben que necesitan una base legal para tratar datos personales, pero muy pocas se preguntan durante cuánto tiempo pueden conservarlos. Esta laguna es una de las más habituales en las auditorías de protección de datos: bases de clientes inactivos desde hace años, currículums acumulados sin fecha de caducidad, correos electrónicos y copias de seguridad que conservan información que ya debería haberse eliminado. El RGPD es claro al respecto: no existe un derecho a conservar datos personales «indefinidamente por si acaso».
El artículo 5.1.e) del RGPD consagra el principio de limitación del plazo de conservación: los datos personales deben mantenerse de forma que se permita identificar a los interesados durante no más tiempo del necesario para los fines del tratamiento. Definir correctamente estos plazos no es solo una obligación legal, sino una de las medidas de seguridad más eficaces y menos costosas que puede aplicar cualquier organización.
No existe un plazo único: todo depende de la finalidad
Una de las preguntas más frecuentes que recibe cualquier DPD es: «¿cuántos años tenemos que guardar los datos?». La respuesta honesta es que no hay una cifra universal: el plazo depende de la finalidad del tratamiento, de la normativa sectorial aplicable y de los plazos de prescripción de las acciones legales que puedan derivarse de la relación jurídica. Esto obliga a analizar caso por caso cada categoría de datos que trata la empresa.
Plazos legales sectoriales más habituales en España
- Documentación fiscal y contable: la Ley General Tributaria obliga a conservar los justificantes de operaciones con trascendencia tributaria durante el plazo de prescripción del derecho de la Administración a comprobar (con carácter general, 4 años), y el Código de Comercio exige conservar libros, correspondencia y justificantes durante 6 años desde el último asiento.
- Relación laboral y Seguridad Social: la normativa de Seguridad Social exige conservar determinada documentación laboral y de cotización durante varios años tras la extinción de la relación laboral, en plazos que pueden variar según el tipo de documento (nóminas, TC, contratos).
- Prevención del blanqueo de capitales: para los sujetos obligados por esta normativa, la documentación relativa a las operaciones y a la identificación de clientes debe conservarse durante 10 años.
- Historia clínica: la normativa sanitaria (Ley 41/2002) exige conservar la documentación clínica durante un plazo mínimo de 5 años desde la fecha del alta de cada proceso asistencial, sin perjuicio de plazos superiores exigidos por otras normas o por la propia naturaleza de la información.
- Videovigilancia: conforme al artículo 22.3 de la LOPDGDD, las imágenes captadas con fines de seguridad deben suprimirse en el plazo máximo de un mes, salvo que deban conservarse para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones, en cuyo caso deben ponerse a disposición de la autoridad competente.
- Currículums y procesos de selección: al no existir un plazo legal específico, la práctica orientativa de la AEPD sitúa la conservación en torno a un año desde la finalización del proceso selectivo, salvo que la persona candidata consienta expresamente su inclusión en una bolsa de futuros procesos por un plazo determinado.
- Datos comerciales y de marketing: mientras se mantenga la relación contractual o comercial activa, y posteriormente durante el plazo de prescripción de las acciones civiles derivadas de esa relación (con carácter general, 5 años conforme al artículo 1964 del Código Civil, salvo plazos especiales).
El bloqueo de datos: una figura propia del derecho español
Uno de los aspectos más desconocidos —y más específicos de la normativa española— es la obligación de bloqueo de datos regulada en el artículo 32 de la LOPDGDD. Cuando los datos personales dejan de ser necesarios para la finalidad que legitimó su tratamiento, la empresa no debe suprimirlos de forma inmediata, sino bloquearlos: mantenerlos almacenados, pero con acceso restringido exclusivamente para atender posibles responsabilidades derivadas del tratamiento ante las Administraciones públicas, jueces y tribunales, durante el plazo de prescripción de dichas responsabilidades. Solo transcurrido ese plazo de bloqueo procede la supresión definitiva.
Este mecanismo resuelve una aparente contradicción: permite cumplir con la limitación del plazo de conservación sin renunciar a la posibilidad de defenderse frente a una reclamación, una inspección o un litigio relacionado con esos datos.
Riesgos de conservar datos más tiempo del necesario
- Mayor superficie de exposición ante brechas de seguridad: cuantos más datos históricos se almacenan, mayor es el volumen de información comprometida en caso de incidente.
- Dificultad para atender los derechos de las personas (supresión, limitación, oposición) cuando existen datos dispersos en sistemas, copias de seguridad y hojas de cálculo sin control centralizado.
- Riesgo de sanción por parte de la AEPD por infracción del artículo 5.1.e) del RGPD, especialmente cuando se detectan bases de datos con información claramente obsoleta o sin finalidad activa.
- Incremento del coste de almacenamiento y de gestión de la información, incluidas las copias de seguridad y los sistemas heredados («legacy»).
Beneficios de una política de conservación bien definida
- Reducción directa del riesgo de seguridad, al limitar el volumen y la antigüedad de los datos personales almacenados.
- Mayor capacidad de respuesta ante solicitudes de derechos y ante inspecciones, al disponer de plazos claros y documentados para cada categoría de datos.
- Cumplimiento demostrable del principio de responsabilidad proactiva (artículo 24 RGPD), al poder acreditar criterios objetivos para cada plazo de conservación aplicado.
- Optimización de costes tecnológicos, al evitar el almacenamiento indefinido de información sin valor operativo.
Conservación de datos y sistemas de IA
Los sistemas de inteligencia artificial añaden una capa adicional de complejidad: los datos empleados para entrenar, ajustar o evaluar un modelo pueden quedar retenidos en registros de entrenamiento, copias de seguridad o históricos de interacciones (por ejemplo, conversaciones con un chatbot). Es necesario definir con claridad durante cuánto tiempo se conservan estos registros y si el proveedor del sistema de IA los utiliza posteriormente para otras finalidades, como el reentrenamiento de modelos, lo que exige revisar cuidadosamente los contratos de encargo del tratamiento (artículo 28 RGPD).
¿Es obligatorio realizar una evaluación de impacto?
Definir un plazo de conservación, por sí solo, no genera automáticamente la obligación de realizar una Evaluación de Impacto relativa a la Protección de Datos (EIPD). Esta obligación depende, conforme al artículo 35 del RGPD, de que el tratamiento entrañe un alto riesgo para los derechos y libertades de las personas (tratamientos a gran escala, categorías especiales de datos, evaluación sistemática, nuevas tecnologías). No obstante, un plazo de conservación excesivo o indefinido es, según los criterios orientativos manejados por las autoridades de control europeas, uno de los factores que puede incrementar el riesgo de un tratamiento y que debe valorarse expresamente al decidir si es necesaria una EIPD.
En cualquier caso, con independencia de que resulte o no exigible una EIPD formal, el principio de proporcionalidad obliga siempre a justificar por qué se conserva un dato durante un plazo determinado y a documentar esa decisión.
Conclusión
Definir cuánto tiempo puede conservar una empresa la información de sus clientes, empleados o proveedores no es una cuestión menor: es una de las decisiones de cumplimiento con mayor impacto directo en la seguridad de la información y en el riesgo legal de la organización. Elaborar una política de conservación por categorías de datos, integrar el bloqueo de datos donde corresponda y revisar periódicamente los sistemas heredados y las copias de seguridad son pasos imprescindibles para cumplir el RGPD y la LOPDGDD de forma real y demostrable.
Este contenido tiene carácter informativo general y no sustituye el asesoramiento jurídico específico para cada caso. Los plazos legales sectoriales pueden variar en función de la actividad concreta de cada empresa; recomendamos revisar con un DPD o asesor especializado los plazos aplicables a cada categoría de datos de tu organización.
#sipylopd #SIPY #ProtecciónDeDatos #RGPD #LOPDGDD #Ciberseguridad #Compliance #DPO
