Si quieres eliminar datos antiguos y no sabes qué plazos de conservación aplicar

¿Tienes razón?

La cuestión no es tanto si debe eliminar datos, sino cómo justificar la conservación. Tres elementos determinan la respuesta. Primero, la finalidad original: si conserva datos para cumplir un contrato o una garantía, la retención está ligada a esa necesidad. Segundo, obligaciones legales o fiscales que exigen conservar documentación; en esos supuestos la empresa debe mantener ciertos documentos mientras subsista la obligación. Tercero, el interés legítimo: cuando guarda datos para defensa jurídica o seguridad, debe justificar por qué el interés empresarial prevalece sobre el derecho a la supresión.

Además, la sensibilidad de los datos cambia la evaluación. Datos básicos de contacto pueden conservarse más tiempo que historiales de salud o evaluaciones psicológicas, que exigen mayor cautela y, por lo general, un tratamiento limitado. Si los datos ya no sirven para la finalidad original y no existe obligación de conservación, lo correcto es eliminarlos o anonimizar la información para usos estadísticos.

La política que adopte debe ser proporcional y documentada: no basta con borrar archivos al azar; tiene que poder explicar qué decisiones tomó y por qué.

Cómo se soluciona

1. Haga un mapa de datos: liste sistemas, bases de datos y repositorios donde haya información personal. Para cada elemento indique la finalidad del tratamiento, la base jurídica y si existen obligaciones legales que exijan conservación. Use este mapa como registro por escrito.

1. Clasifique por riesgo y sensibilidad: marque qué datos son críticos, cuáles son sensibles y cuáles son meramente informativos. Esto facilita priorizar procesos de eliminación o anonimización.

1. Defina criterios de retención por categoría: para cada finalidad establezca una justificación de por qué necesita los datos y una condición que desencadene la eliminación (por ejemplo: fin del contrato, baja del cliente, extinción de la obligación). Documente el criterio en su política de retención.

1. Decide entre eliminación y anonimización: cuando los datos ya no se requieren para su finalidad, elimínelos de forma permanente. Si desea conservar información para análisis estadístico, anonimizela de manera que no sea posible identificar a las personas.

1. Procedimiento operativo: establezca pasos concretos para borrar datos de sistemas activos, copias de seguridad y soportes físicos. Incluya responsables, herramientas y controles para verificar que la eliminación fue efectiva.

1. Controles de terceras partes: exija a proveedores que implementen políticas alineadas y que certifiquen la eliminación cuando procesen datos por su cuenta. Incluya cláusulas en contratos que obliguen a la devolución o destrucción de datos.

1. Documentación y revisión: mantenga registros de los criterios aplicados y de las acciones de eliminación; revise la política periódicamente.

Puede empezar usted mismo con el mapa de datos y criterios básicos. Contrate un abogado para revisar obligaciones legales sectoriales, para redactar la política formal o si hay litigios donde la conservación probatoria es clave.

Qué puede pasar

1) Se arregla internamente: la mayoría de las situaciones se resuelven ajustando la política y eliminando material obsoleto. Esto reduce riesgos y simplifica la gestión.

2) Acuerdo o requisito administrativo: si un afectado reclama por conservación indebida, puede alcanzarse un acuerdo para la eliminación y medidas de reparación; la autoridad puede ordenar la corrección y exigir documentación de cumplimiento.

3) Procedimiento o demanda: conservar datos sin base justificable puede dar pie a sanciones administrativas o a litigios civiles por daño moral. Si pierde en un procedimiento, las medidas pueden incluir obligaciones de destrucción, rectificación y eventuales sanciones administrativas. Recuperar montos de una empresa insolvente puede resultar difícil.

Incluso si una resolución le es favorable, la ejecución práctica de medidas de reparación depende de la capacidad del obligado y de la efectividad de las órdenes judiciales o administrativas.

Errores que arruinan el caso

• No documentar la base de conservación: sin justificación escrita es imposible defender la retención.
• Eliminar sólo archivos visibles y olvidar backups y archivos en la nube.
• Anonimizar mal: pseudonimizar no es anonimizar; datos que permiten reidentificar siguen siendo personales.
• No coordinar con proveedores: una cláusula contractual débil deja responsabilidad en su empresa.
• Mantener datos «por si acaso» sin evaluar el riesgo; eso multiplica exposición y obligaciones.