TL;DR
Veintiún días orientativos sobre los metadatos del correo de los empleados; la prohibición de preguntar por patologías oncológicas concluidas hace más de diez años; el deber de conservar la motivación de la comunicación antiblanqueo que se decidió NO enviar. Tres entradas de registro que casi nadie escribe.
Uno: los metadatos del correo, que los configura el proveedor
El documento de orientación de la autoridad italiana de 6 de junio de 2024 indica veintiún días como periodo orientativo de conservación de los metadatos generados por los programas de gestión del correo — remitente, destinatario, fecha, hora, tamaño. No el contenido: los registros. Es la regla que el responsable incumple más a menudo sin saberlo, porque la incumple la configuración por defecto de la suite que compró: muchas conservan los logs meses o años, nadie las eligió y por eso mismo nadie las inscribió en el registro. Superar los veintiún días no está prohibido en términos absolutos — el documento es de orientación y unas necesidades técnicas documentadas pueden justificarlo — pero sigue aplicándose el art. 4 del Estatuto de los Trabajadores cuando la conservación permite el control a distancia.
Dos: el olvido oncológico no es un plazo de conservación, es una prohibición de recogida
La Ley 193 de 7 de diciembre de 2023 prohíbe pedir información sobre patologías oncológicas cuyo tratamiento activo concluyó, sin recaídas, hace más de diez años; cinco si la enfermedad surgió antes de los veintiún años. Alcanza a contratos bancarios, financieros y de seguros, a la adopción y a las oposiciones. Un cuestionario que pregunta «¿ha padecido alguna vez cáncer?» sin límite temporal es ilícito de origen, y ningún plazo de conservación lo vuelve lícito. El decreto ministerial de 22 de marzo de 2024 identifica además las patologías en las que el derecho madura antes de los diez años: aplicar el plazo general a todas sigue siendo una infracción, por defecto.
Tres: el expediente de quien NO comunicó
El art. 35 del D.Lgs. 231/2007 impone la comunicación de operación sospechosa. Lo que los registros no escriben es la otra mitad: el análisis previo a la decisión y la motivación del archivo interno cuando la comunicación no sale. Ese expediente contiene un juicio sobre una persona identificada — una sospecha valorada y descartada — y es más delicado que la propia comunicación, porque queda interno y no está cubierto por la reserva que la ley reconoce a la comunicación enviada. Hay que decir quién accede y cuánto permanece.
- Qué comparten: ninguna de las tres nace de una decisión de recoger datos. Los logs ya están, el cuestionario es anterior a la ley, el expediente es el residuo de una decisión negativa.
- Qué pasa en una inspección: son archivos reales que el registro no describe, y su ausencia no es un descuido formal — significa que nadie fijó un plazo y, por tanto, que nadie suprime.
- Por dónde empezar: preguntar al proveedor de correo cuánto conserva los logs, releer los cuestionarios de salud, abrir el cajón de las valoraciones antiblanqueo archivadas.
El hilo común
Un registro de actividades describe lo que la organización decidió hacer. Estos tres archivos existen sin que nadie los decidiera: los creó una configuración por defecto, un formulario heredado, un procedimiento que produce papel incluso cuando termina en un no. Ahí es donde envejece el registro, no en las actividades que alguien diseñó.
Las tres están ya en la matriz italiana de plazos de conservación, con la norma citada y el estado de verificación declarado entrada por entrada.
¿Buscas una herramienta para tu trabajo de DPD?
DPO Workspace está creado por un DPD certificado. 30 días de prueba gratuita.
Empieza gratis
