TL;DR
El art. 5.1.e) RGPD impone la limitación del plazo de conservación. La CNIL desarrolla el principio en tres fases: base activa (el tiempo necesario para alcanzar la finalidad), archivo intermedio (expediente cerrado pero con interés administrativo u obligación legal —con separación física o lógica obligatoria—) y archivo definitivo (tratamientos con fines de archivo en interés público). Los referenciales sectoriales dan plazos obligatorios cuando los impone un texto y recomendados en los demás casos: aplicar los recomendados vale como presunción de conformidad, apartarse de ellos es posible si se documenta la decisión.
Un dato, tres vidas
La base activa es el tiempo necesario para realizar la finalidad que justificó la recogida. Ahí los datos son accesibles en el entorno de trabajo inmediato de los servicios operativos: recursos humanos para una selección, el área comercial para un cliente. La CNIL pone el ejemplo del candidato no seleccionado, cuyos datos se conservan como máximo dos años salvo solicitud de supresión.
El archivo intermedio empieza cuando el expediente se cierra. Los datos ya no sirven para alcanzar el objetivo, pero conservan un interés administrativo —la gestión de un eventual litigio— o responden a una obligación legal: los datos de facturación se conservan diez años en virtud del código de comercio, aunque la persona ya no sea cliente. En esa fase solo pueden consultarse de forma puntual y motivada, por personas específicamente habilitadas.
El archivo definitivo afecta únicamente a los tratamientos con fines de archivo en interés público. A diferencia de la base activa, las dos últimas fases no son automáticas: su necesidad se valora tratamiento por tratamiento, y en cada una debe hacerse una selección entre los datos.
La frase que todos se saltan
«Si el archivo intermedio es necesario y está justificado, debe practicarse una separación respecto de la base activa.» Esa separación es física —extracción de los datos a una base de archivo específica, accesible solo a personas habilitadas— o lógica: los datos permanecen donde están pero quedan aislados mediante una limitación de permisos que los hace inaccesibles a quien ya no tiene interés en tratarlos. Un registro que declara diez años de conservación mientras los datos siguen en el CRM, a la vista de todo el equipo comercial, no describe un archivo intermedio: describe diez años de base activa, que es otra cosa y rara vez justificable.
- Un mismo dato puede pertenecer a dos tratamientos distintos con dos plazos diferentes: archivarlo o suprimirlo en uno no impide seguir usándolo en el otro.
- Cuando un texto fija el plazo, ese se aplica —el art. L3243-4 del código de trabajo francés obliga al empresario a conservar copia de la nómina durante cinco años.
- Los referenciales de la CNIL cubren sanidad fuera de investigación, investigación sanitaria, sector social y sociosanitario, y gestión de recursos humanos. Solo enumeran los tratamientos más frecuentes: un tratamiento ausente del referencial no es un tratamiento sin plazo.
- Las disposiciones recogidas en los referenciales solo afectan al derecho nacional: una sociedad establecida en varios Estados debe verificar las demás legislaciones aplicables.
«Plazos legales» no es un plazo de conservación
Es la mención más frecuente en los registros y no dice nada: ni qué fase, ni qué texto, ni desde cuándo se cuenta. Un plazo utilizable tiene tres elementos: la fase, el número de años o meses, y la referencia que lo fundamenta, normativa o doctrinal. Sin el tercero nadie puede comprobar el primero, y un registro no verificable no protege a quien lo produce: documenta su aproximación.
La guía práctica de la CNIL se elaboró con el servicio interministerial de archivos de Francia, precisamente porque el RGPD y el código del patrimonio no dicen lo mismo y una entidad pública debe sostener ambos. Para los tratamientos sin plazo fijado por un texto, la guía ofrece una rejilla de análisis que parte de la finalidad —que es el caso de la mayoría de los tratamientos, y el trabajo que el referencial no hace por usted.
¿Buscas una herramienta para tu trabajo de DPD?
DPO Workspace está creado por un DPD certificado. 30 días de prueba gratuita.
Empieza gratis
