«¿Cuánto tiempo tengo que guardar esto?» y, casi a la vez, «¿puedo borrarlo ya?». Son dos preguntas que se hacen todas las empresas. La protección de datos dice que no puedes guardar datos personales más tiempo del necesario, pero otras leyes (mercantiles, fiscales, laborales) te obligan a conservar ciertos documentos durante años. La clave está en combinar ambas cosas.
En resumen
- Regla general: los datos se guardan mientras sean necesarios para la finalidad para la que se recogieron.
- Después, si una ley obliga a conservarlos o pueden surgir responsabilidades, se bloquean: se guardan apartados y sin usarse.
- Facturas y contabilidad: seis años según el Código de Comercio; fiscalidad: cuatro años de prescripción.
- Registro de jornada: cuatro años. Grabaciones de cámaras: un mes como máximo, salvo incidentes.
- Currículums: no hay un plazo legal fijo; fija uno corto, infórmalo y cúmplelo.
El principio: no más tiempo del necesario
El RGPD exige que los datos se mantengan:
«de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales» (artículo 5.1.e del RGPD).
Es el llamado principio de limitación del plazo de conservación. En tu registro de actividades deberías indicar, cuando sea posible, los plazos previstos para suprimir cada tipo de dato (artículo 30.1.f del RGPD).
Qué es el bloqueo de datos
Cuando la finalidad termina (el cliente se da de baja, el trabajador se va), muchas veces no puedes borrar todo al momento porque una ley te obliga a conservarlo o porque podrían reclamarte. Para eso existe el bloqueo:
«El bloqueo de los datos consiste en la identificación y reserva de los mismos, adoptando medidas técnicas y organizativas, para impedir su tratamiento, incluyendo su visualización, excepto para la puesta a disposición de los datos a los jueces y tribunales, el Ministerio Fiscal o las Administraciones Públicas competentes» (artículo 32.2 de la LOPDGDD).
En la práctica: los datos se apartan, solo accede quien deba hacerlo y no se usan para nada más (ni para enviar publicidad, por ejemplo). Cuando pasa el plazo de prescripción, se destruyen.
Plazos más habituales
| Datos | Plazo orientativo | Base |
|---|---|---|
| Facturas, contabilidad y documentación del negocio | 6 años desde el último asiento | Artículo 30 del Código de Comercio |
| Documentación con efectos fiscales | 4 años (prescripción) | Artículo 66 de la Ley General Tributaria |
| Contratos con clientes (posibles reclamaciones) | 5 años para acciones personales sin plazo especial | Artículo 1964.2 del Código Civil |
| Nóminas, seguros sociales y documentación laboral | 4 años | Normativa de infracciones y sanciones en el orden social |
| Registro de jornada | 4 años | Artículo 34.9 del Estatuto de los Trabajadores |
| Grabaciones de videovigilancia | 1 mes como máximo, salvo incidentes | Artículo 22.3 de la LOPDGDD |
| Documentación de prevención del blanqueo (solo sujetos obligados) | 10 años | Artículo 25 de la Ley 10/2010 |
Son plazos generales. Algunos sectores tienen normas propias (por ejemplo, la historia clínica en el ámbito sanitario), así que conviene revisar las que afecten a tu actividad.
Clientes
Mientras la relación esté viva, puedes conservar los datos necesarios para prestar el servicio. Cuando termina, lo que esté ligado a obligaciones contables y fiscales (facturas, por ejemplo) se bloquea y se conserva durante los plazos de la tabla. Lo que ya no sirve para nada (notas internas, copias duplicadas, conversaciones antiguas) se debería borrar.
Para las comunicaciones comerciales, el plazo lo marca el propio consentimiento: si la persona se opone o lo retira, dejas de enviarle publicidad. Los contactos que pidieron información y nunca llegaron a ser clientes no deberían quedarse en tu base de datos de forma indefinida: fija un plazo razonable y cúmplelo.
Empleados
Durante la relación laboral, conservas el expediente del trabajador. Cuando se va:
- Nóminas, contratos, documentación de Seguridad Social y registro de jornada se bloquean y se conservan durante los plazos legales.
- La información que solo tenía sentido durante la relación (accesos a sistemas, correo corporativo, fotografías en la web o la intranet) se elimina o se desactiva en un plazo corto.
- Los datos de salud relacionados con la vigilancia de la salud tienen su propio régimen y, en general, los custodia el servicio de prevención.
Currículums y candidatos
No hay una ley que fije un plazo concreto para los currículums. Lo que sí exige el RGPD es que el plazo sea el necesario y que informes de él. Con criterio prudente:
- Los CV de un proceso concreto se conservan mientras dura ese proceso y, como mucho, el tiempo justo para atender posibles reclamaciones.
- Si quieres guardarlos para futuras vacantes, informa al candidato de ese uso y del plazo, y fíjalo corto. Es habitual pedir el consentimiento para esa finalidad.
- Los CV que llegan sin que haya un proceso abierto deberían tratarse igual: informar, fijar un plazo y borrar.
- No guardes currículums en carpetas compartidas o correos sin control.
Cámaras
Las grabaciones de videovigilancia se suprimen en un mes como máximo. Si recogen un hecho que atente contra personas, bienes o instalaciones, puedes conservar esas imágenes y ponerlas a disposición de la autoridad competente en un plazo máximo de 72 horas desde que conoces la grabación (artículo 22.3 de la LOPDGDD). Configura el grabador para que sobrescriba solo.
Cómo organizarlo sin volverte loco
- Haz una tabla con cada tipo de dato, su finalidad y su plazo. Es tu política de conservación.
- Recoge esos plazos en el registro de actividades y en los textos informativos.
- Pon recordatorios: una revisión anual de lo que toca bloquear o destruir es suficiente para la mayoría de pymes.
- Destruye de forma segura: trituradora o empresa de destrucción certificada para el papel; borrado seguro para los equipos que retiras.
- Ojo con las copias de seguridad y los correos: también contienen datos.
Las asesorías y gestorías conservan documentación de muchos clientes y empleados ajenos, y las academias acumulan datos de alumnos curso tras curso: en ambos casos, una política de conservación bien hecha ahorra muchos problemas. La preparamos como parte de nuestro servicio de protección de datos.
¿Lo vemos juntos?
Te ayudamos a definir qué guardar, cuánto tiempo y cómo destruirlo después, adaptado a tu actividad. Para empresas de toda España.