La gestión de datos personales suele centrarse en las condiciones que permiten su recogida y utilización. Sin embargo, una cuestión igualmente relevante es qué ocurre cuando dejan de ser necesarios para la finalidad para la que fueron recabados. Contratos finalizados, expedientes de antiguos trabajadores, candidaturas descartadas, bases de datos comerciales o correos electrónicos pueden permanecer durante años en los sistemas de una empresa sin justificación alguna
Esta práctica plantea riesgos jurídicos y de seguridad que pueden evitarse mediante una adecuada política de conservación, bloqueo y supresión de datos personales.
La supresión de información personal no consiste simplemente en borrar archivos. Las empresas deben determinar cuándo procede eliminar los datos, cómo hacerlo de forma segura y qué evidencias conservar para acreditar el cumplimiento de la normativa.
1. La supresión de datos personales es una obligación legal
El artículo 5.1.e) del Reglamento General de Protección de Datos (RGPD) establece el principio de limitación del plazo de conservación. Los datos personales deben mantenerse en una forma que permita identificar a los interesados durante un tiempo no superior al necesario para los fines del tratamiento.
Por tanto, las empresas no pueden conservar datos personales indefinidamente por el simple hecho de disponer de capacidad técnica o física para almacenarlos. La licitud de su recogida inicial tampoco justifica, por sí sola, su conservación posterior.
El artículo 17 del RGPD reconoce el derecho de supresión cuando concurran los presupuestos legales. No obstante, la obligación de eliminar los datos no depende exclusivamente de que el interesado lo solicite ya que el responsable debe actuar proactivamente cuando desaparezca la necesidad del tratamiento y no exista causa legítima para conservarlos.
2. ¿Durante cuánto tiempo pueden conservarse los datos?
No existe un plazo general de conservación aplicable a todos los datos personales. El periodo depende de la finalidad del tratamiento, la relación jurídica existente, las obligaciones legales y la necesidad de formular, ejercer acciones o defender reclamaciones.
Así, los datos utilizados para ejecutar un contrato pueden ser necesarios durante su vigencia. Una vez finalizado, debe analizarse qué documentación debe mantenerse por mandato legal y cuál ha dejado de ser necesaria. Lo mismo sucede con la documentación laboral, fiscal y contable, sometida a reglas de conservación que no siempre coinciden.
Es necesario diferenciar el periodo de uso ordinario de los datos de los plazos posteriores de conservación justificada. La existencia de estos últimos no habilita a seguir utilizando la información para cualquier finalidad.
3. El bloqueo de datos en la normativa española
El artículo 32 de la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), regula el bloqueo cuando proceda la rectificación o supresión de datos, con las particularidades previstas en dicho precepto.
El bloqueo consiste en identificar y reservar los datos, aplicando medidas técnicas y organizativas que impidan su tratamiento, incluida su visualización, salvo para ponerlos a disposición de jueces y tribunales, el Ministerio Fiscal o las Administraciones Públicas competentes, particularmente las autoridades de protección de datos, para la exigencia de posibles responsabilidades derivadas del tratamiento.
Los datos bloqueados se conservan durante los plazos de prescripción correspondientes y, transcurridos estos, deben destruirse. En consecuencia, bloquear no equivale a mantener los datos disponibles para nuevos fines comerciales u operativos; tampoco constituye una autorización general para conservar información innecesaria.
4. Borrar un archivo no siempre significa eliminar los datos
Trasladar un documento a la papelera de reciclaje o eliminarlo de una aplicación no garantiza necesariamente su desaparición. La información puede persistir en versiones anteriores, repositorios sincronizados, dispositivos, sistemas documentales o servicios en la nube.
La supresión efectiva requiere conocer el funcionamiento de los sistemas utilizados y seleccionar métodos adecuados a los soportes y riesgos. En determinados supuestos será suficiente un borrado seguro; en otros, especialmente cuando un soporte físico no pueda sanearse de modo fiable, será necesaria su destrucción.
Los procedimientos también deben cubrir la documentación en papel, evitando que expedientes con datos personales puedan recuperarse de circuitos ordinarios de residuos.
5. Copias de seguridad y proveedores tecnológicos
Las copias de seguridad pueden conservar información eliminada de los sistemas operativos. Cuando no sea viable borrar registros individuales de una copia, deben establecerse periodos justificados de retención, accesos restringidos y controles que eviten que una restauración vuelva a incorporar datos ya suprimidos.
El recurso a proveedores externos no exime al responsable de sus obligaciones. Cuando el proveedor sea encargado del tratamiento, el contrato regulado en el artículo 28 del RGPD debe prever el destino de los datos al finalizar el servicio, incluida su devolución o supresión conforme a las condiciones legalmente aplicables.
La organización debe coordinarse con sus proveedores y contar con mecanismos proporcionados para verificar que las operaciones de eliminación alcanzan los sistemas sometidos a su responsabilidad.
6. Una política documentada de conservación y supresión
Las decisiones aisladas no permiten gestionar adecuadamente el ciclo de vida de los datos. Una política interna debe identificar tratamientos y sistemas, asignar periodos de conservación por categorías, establecer criterios de bloqueo y supresión, y definir responsables y controles.
Asimismo, debe contemplar archivos físicos, copias de seguridad, servicios externalizados y revisiones periódicas. Siempre que resulte adecuado, la automatización de tareas recurrentes puede reducir errores y mejorar la aplicación homogénea de los plazos.
Las evidencias de ejecución han de ser proporcionadas. Demostrar que se ha suprimido cierta información no exige conservar innecesariamente una reproducción parcial de los datos eliminados.
7. Cómo atender una solicitud de supresión
Cuando una persona solicita eliminar sus datos, el responsable debe identificar la información afectada y comprobar si concurre alguno de los supuestos del artículo 17 del RGPD, así como sus posibles excepciones, entre ellas, el cumplimiento de obligaciones legales y la formulación, el ejercicio o la defensa de reclamaciones.
Con carácter general, el artículo 12.3 del RGPD fija un plazo de un mes para informar sobre las actuaciones realizadas, prorrogable otros dos meses cuando sea necesario por la complejidad o el número de solicitudes. La ampliación y sus motivos deben comunicarse dentro del primer mes.
Si procede la supresión, deberá ejecutarse sin dilación indebida. Cuando corresponda conforme al artículo 19 del RGPD, habrá que comunicarla a los destinatarios de los datos, salvo imposibilidad o esfuerzo desproporcionado, e informar al interesado sobre el resultado de su solicitud.
8. La supresión como medida de cumplimiento y prevención
Conservar información innecesaria incrementa la cantidad de datos potencialmente expuestos ante accesos no autorizados e incidentes de seguridad. Una política eficaz de eliminación reduce esa exposición y facilita el control de los sistemas corporativos.
Además, el artículo 5.2 del RGPD exige responsabilidad proactiva: no basta con cumplir la normativa, sino que debe poder demostrarse. Los procedimientos documentados y las evidencias proporcionadas de su ejecución son relevantes ante inspecciones o reclamaciones.
9. Una obligación integrada en la actividad empresarial
Las empresas deben conocer qué información conservan, por qué la necesitan, durante cuánto tiempo pueden mantenerla y qué debe ocurrir cuando desaparece la finalidad del tratamiento. Ello exige coordinación jurídica, organizativa y tecnológica.
En BETA LEGAL ASSESSORS consideramos que la gestión del ciclo de vida de los datos es una pieza esencial de la seguridad jurídica. Definir plazos adecuados, aplicar correctamente el bloqueo, asegurar la supresión y supervisar a los proveedores permite prevenir incumplimientos y reforzar el control sobre la información.
Cumplir la normativa de protección de datos no consiste únicamente en saber cuándo pueden recogerse y utilizarse los datos personales, sino también en determinar cuándo deben dejar de conservarse y garantizar que su eliminación se realiza correctamente.
Articulo revisado por Gerard Espuga, abogado especialista en Derecho Digital y Protección de Datos
