Si quieres eliminar datos antiguos y no sabes qué plazos de conservación aplicar

¿Tienes razón?

No existe un único periodo que aplique por defecto; la clave es la finalidad. Si usted mantiene datos para cumplir una obligación legal, fiscal o contractual, debe conservarlos hasta que esa obligación termine. Si los datos sirven exclusivamente para una finalidad comercial limitada, la conservación debe ser proporcional al objetivo. Otros criterios que determinan la respuesta son: el tipo de dato (sensible o no), si los titulares han dado consentimiento explícito para una finalidad concreta y si existen riesgos de que la conservación prolongada suponga un daño para los titulares.

Tenga en cuenta la obligación de principios como la minimización y la limitación de la finalidad: no se debe guardar más de lo necesario ni usar datos para fines distintos sin fundamento legal o consentimiento. También influye la existencia de receptores o terceros que requieran conservar sus propios registros (por ejemplo, un proveedor o una autoridad). Así que la pregunta no es cuándo borrar en abstracto, sino por qué se guardan esos datos y qué otra norma impide su destrucción.

Cómo se soluciona

1. Haga un inventario de datos. Liste tipos de datos, soportes donde residen, responsables y finalidades. Incluya datos en papel, archivos electrónicos, copias de seguridad y sistemas en la nube. No olvide datos en correos y en dispositivos personales que usan empleados.

1. Identifique obligaciones legales y contractuales. Revise la normativa fiscal, laboral y sectorial que pueda exigir conservación de documentos y las cláusulas contractuales con clientes y proveedores que impongan retención. Si existe una exigencia legal, documente su alcance.

1. Clasifique por riesgo y sensibilidad. Separe datos sensibles de datos ordinarios y priorice la eliminación de lo que no tiene justificación. Para cada categoría, identifique la finalidad primaria y si existe una finalidad secundaria que justifique conservación adicional.

1. Defina criterios de conservación. Para cada finalidad, redacte una regla que explique por qué se conservan los datos y cuándo se deben eliminar. Incluya excepciones justificadas (litigios, auditorías, investigaciones internas). Es importante que las reglas sean razonables y estén documentadas.

1. Diseñe procedimientos operativos. Establezca cómo se eliminarán los datos (borrado seguro, destrucción física), quiénes son responsables, cómo se revisarán las copias de seguridad y qué controles habrá para evitar borrados accidentales. Documente los flujos de datos y los puntos de custodia.

1. Implemente registros y pruebas. Mantenga un registro del ciclo de vida: entrada, uso, acceso, retención y eliminación. Ese registro demuestra a la autoridad o a un auditor que se aplicaron políticas y que la eliminación no fue arbitraria.

1. Comuníquelo a titulares. En los avisos de privacidad y en las políticas internas, explique de forma clara las finalidades y las reglas de conservación. Si se recaban consentimientos, deje constancia del periodo o del criterio aplicado para su eliminación.

Qué puede hacer por su cuenta: inventariar datos y redactar criterios básicos. Dónde conviene ayuda profesional: definir reglas frente a obligaciones fiscales o sectoriales, documentar excepciones por litigio y redactar políticas técnicas de borrado que cumplan con la normativa y las mejores prácticas.

Qué puede pasar

1. Se resuelve internamente con limpieza documentada: muchas organizaciones corrigen el problema aplicando una política de retención y eliminación, con planes de remediación y pruebas que acreditan la conducta proactiva.

1. Conciliación o inspección con autoridad: si hay una denuncia o una revisión, puede surgir un acuerdo que obligue a adoptar medidas correctivas y a mejorar controles. La supervisión supone supervisión de procedimientos y seguimiento.

1. Procedimiento administrativo: si la autoridad detecta incumplimiento de principios de protección de datos, puede imponer medidas correctivas y sanciones administrativas. En juicios civiles, un titular podría reclamar daño por el uso indebido de sus datos. Además, mantener datos innecesarios aumenta el riesgo de brechas, con consecuencias económicas y reputacionales.

Si gana la reclamación, cobrar depende de la solvencia del responsable y de la existencia de mecanismos de reparción; una sentencia no garantiza liquidez inmediata.

Errores que arruinan el caso

• No documentar la motivación para conservar datos: guardar por “por si acaso” debilita su posición.
• Ignorar copias de seguridad y réplicas: borró los datos del sistema pero dejó copias accesibles.
• No coordinar con áreas fiscal y legal: eliminar información que una obligación fiscal exige conservar complica la defensa.
• Usar borrados superficiales: no aplicar técnicas que aseguren irreversibilidad cuando los soportes lo requieren.
• Falta de registro de eliminaciones: si no hay prueba de que se eliminó, la organización no puede demostrar cumplimiento.