Cuánto tiempo conservar datos personales

La respuesta a cuánto tiempo conservar datos personales no es una cifra universal. El RGPD exige justificar la duración según la finalidad; otras normas de la Unión, nacionales o sectoriales pueden imponer periodos concretos para ciertos registros. Un calendario conecta ambos niveles al identificar el dato, la razón, el momento inicial y la acción final.

Respuesta rápida Para decidir cuánto tiempo conservar datos personales, combine la necesidad de cada finalidad con los plazos de otras leyes aplicables. El RGPD no fija un número general. La regla útil define categoría, desencadenante, periodo o criterio, excepción y acción final, y después se aplica a sistemas, proveedores, archivos y copias ^1,2.

Última actualización: 26 de agosto de 2026

Empezar por el registro, no por una cifra favorita

Una cifra repetida no es una política de conservación: el mismo periodo puede ser obligatorio para un registro contable y completamente injustificado para imágenes, candidaturas descartadas o datos de navegación. El principio de limitación del plazo exige mantener los datos identificables no más tiempo del necesario para las finalidades ^1,2.

La categoría debe ser suficientemente específica, porque “datos de clientes” mezcla contrato, facturas, tickets, preferencias y quizá grabaciones, aunque cada parte tiene finalidad, riesgo y desencadenante diferentes; si se asigna una sola regla, el plazo más largo suele extenderse a todo sin fundamento.

El RGPD no publica una tabla general; el responsable adopta periodos apropiados, los revisa y puede explicar por qué los datos siguen siendo necesarios ^3,4, combinando la necesidad operativa real con cualquier obligación externa que corresponda al registro y al Estado miembro.

Conservar más no es automáticamente más seguro. Aumenta la información que puede perderse, divulgarse o usarse fuera de contexto, y hace más costosas las solicitudes de acceso. La decisión retiene la prueba exigida y elimina lo que dejó de servir.

La legislación británica vigente aplica una lógica materialmente equivalente de limitación, aunque sus plazos fiscales y societarios pertenecen a su derecho interno. La equivalencia del razonamiento permite compartir el método; no permite importar números británicos a un calendario europeo.

El Derecho nacional aporta algunos periodos reales

El RGPD armoniza el principio, pero no los plazos de cada expediente fiscal, societario, laboral o sectorial; esos periodos se localizan en la norma aplicable al responsable y al registro, y una cifra sin jurisdicción, versión, desencadenante y excepción no está lista para utilizarse.

El dueño del calendario abre la fuente oficial y copia el periodo junto con sus condiciones, registrando título de la norma, artículo o página oficial, fecha de consulta, jurisdicción, hecho inicial, supuestos de ampliación y acción final; “según la legislación aplicable” no indica a sistemas qué hacer.

La verificación no termina al encontrar un número, porque debe comprobarse a qué documento se refiere, cuándo comienza a contarse, si fija un mínimo o un máximo, qué hechos lo amplían y si una reforma posterior cambió alguna condición. Una nota de investigación conserva el fragmento relevante y la fecha de vigencia para que otra persona pueda repetir la decisión.

Si una organización opera en varios Estados miembros, no escoge el periodo más largo y lo aplica a todo por conveniencia, sino que determina qué entidad mantiene el registro, qué obligación le corresponde y si las copias pueden separarse; un deber de una entidad no autoriza a otra a conservar un perfil completo.

Cuando dos normas parecen exigir duraciones distintas para la misma pieza, el responsable documenta su relación, separa los usos permitidos y aplica acceso restringido durante el periodo residual, en vez de convertir el plazo mayor en autorización para toda finalidad. La regla técnica muestra qué copia responde a cada autoridad y qué evento pone fin a cada obligación.

Tampoco se convierte un plazo de reclamaciones en retención automática, porque la posibilidad abstracta de litigio necesita análisis de finalidad, probabilidad, alcance y acceso; un expediente concreto puede recibir una suspensión, pero el resto continúa su calendario.

La lista nunca será universal. Las normas cambian y los sectores añaden requisitos. Por eso cada cifra tiene dueño y fecha de revisión, y un cambio legal reabre las filas afectadas en lugar de prolongar silenciosamente todos los datos.

En España, la Agencia Española de Protección de Datos (AEPD) es el contacto nacional competente para orientación y derechos. La mención dirige al lector al organismo; los periodos sustantivos deben seguir investigándose en la fuente oficial específica que los imponga.

Convertir el calendario en una herramienta operativa

Una hoja útil permite que quien administra un sistema ejecute la misma decisión que quien aprobó la política; separa el razonamiento jurídico de la instrucción técnica, pero los conecta en una fila que puede calcularse y probarse.

Para cada registro, defina primero la categoría y la finalidad y verifique la fuente de la necesidad ². Después fije un desencadenante calculable, el periodo, las excepciones controladas y la acción final. Ejecute esa acción en todas las copias reales y compruebe el resultado.

La fila puede enlazar la norma o análisis, pero debe seguir siendo comprensible: “diez años desde el cierre del expediente, salvo suspensión documentada” puede configurarse, mientras “durante el tiempo legalmente necesario” no permite calcular una fecha ni reconocer una excepción.

La persona dueña no tiene que ejecutar cada borrado, pero responde de traducir la regla a configuraciones, tareas y contratos: finanzas puede ser dueña de facturas; tecnología, de tareas automáticas; privacidad, del control transversal. Si todos aparecen como responsables, nadie explica una anomalía.

Los sistemas se nombran de manera real. Aplicación principal, almacén, buzón compartido, carpeta exportada y proveedor de copias pueden conservar el mismo registro. Configurar una interfaz no elimina las demás copias ni demuestra ejecución.

La acción final puede ser anonimización irreversible. Sustituir el nombre por un código vinculable mediante otra tabla es seudonimización, no salida del ámbito del RGPD. Si se conservarán estadísticas, debe probarse que ya no existe una vía razonable de reidentificación.

El calendario incluye dependencia y prioridad. Cuando una copia respalda dos finalidades, se separan campos o accesos para que la obligación más larga no prolongue el perfil completo. Si el sistema no puede distinguirlas, el defecto es de diseño y no una razón para conservar indefinidamente.

Cada regla tiene evidencia de aprobación y una prueba técnica. La aprobación demuestra el razonamiento; la prueba confirma que el sistema calcula fecha, respeta excepciones y registra resultado. Una sin la otra deja política o automatización sin control.

Un cliente puede generar varios relojes

Imagine una empresa que vende equipos y presta soporte: el pedido contiene dirección de entrega, la factura registra la operación, el ticket describe una avería y el contacto acepta comunicaciones; aunque todo comparta un número de cliente, no existe un único reloj.

La dirección puede dejar de ser necesaria tras entrega e incidencias; la factura sigue el deber nacional aplicable; el ticket puede conservarse durante garantía y reclamaciones; la preferencia dura mientras su finalidad y base sigan vigentes, y, si la persona se opone, cesa la comunicación aunque puede mantenerse una supresión mínima para evitar reingreso.

El calendario crea cuatro filas y no una excepción general para la cuenta: cada fila identifica su propio dato, dueño, finalidad, base, fecha inicial y acción. La dirección operativa puede borrarse del perfil sin alterar la factura restringida; el ticket puede perder adjuntos innecesarios aunque conserve la resolución; la exclusión de marketing puede quedar como una marca mínima sin historial de campañas.

La fecha de “última actividad” se define por finalidad: operaciones registra entrega, finanzas conserva el ejercicio, soporte anota cierre y garantía, y marketing guarda la última elección válida; el calendario toma cada hecho como inicio y calcula por separado, en vez de permitir que cualquier interacción reinicie todos los plazos.

Suponga que la persona abre un correo automático seis meses después de cerrar el soporte: esa apertura no reinicia entrega, factura ni garantía, y solo puede afectar a la finalidad electrónica si esa finalidad sigue siendo válida. El sistema registra el evento en el reloj que le corresponde, no en un campo global que prolonga cada categoría por accidente.

La prueba usa una persona de muestra: el responsable busca su identificador en comercio, contabilidad, soporte y campañas, compara desencadenantes y verifica tareas finales; si un píxel reinicia la “última actividad” de todo el perfil, se separa el reloj en lugar de alargar el plazo.

La misma muestra prueba una situación contraria, como una garantía todavía abierta junto a una preferencia retirada, para confirmar que el sistema conserva la evidencia necesaria sin seguir enviando mensajes. Una herramienta que solo sabe borrar o mantener toda la cuenta necesita separación de campos y permisos antes de poder aplicar correctamente el calendario.

La información al interesado explica periodos o criterios comprensibles. No necesita publicar cada regla interna, pero “mientras sea necesario” sin factores no permite prever nada. Cuando manda una obligación, se identifica con claridad; cuando manda necesidad, se explican sus criterios.

El borrado debe alcanzar las copias reales

Borrar significa sacar datos del uso y recuperación ordinarios, no ocultar una fila; se prueba qué orden recibe el sistema, qué ocurre en índices, adjuntos, cachés, dispositivos y exportaciones, y qué evidencia produce la ejecución. Los encargados aplican instrucciones compatibles y confirman sus ciclos.

Una copia de seguridad inmutable puede no admitir eliminación selectiva sin comprometer integridad; la organización limita acceso, impide uso ordinario, documenta sobrescritura y garantiza que una restauración reaplique supresiones antes de volver a servicio. La limitación técnica no convierte el respaldo en archivo permanente.

La lista de supresiones se protege como un control separado y se ensaya en cada procedimiento de restauración, porque restaurar primero y corregir días después puede reactivar cuentas, campañas o accesos ya cerrados. El equipo define el momento exacto en que los datos restaurados pueden volver a producción y bloquea cualquier uso anterior a esa comprobación.

Los buzones y carpetas personales también cuentan: una factura enviada por correo no sale del calendario por existir fuera del sistema contable, por lo que reducir adjuntos, usar enlaces controlados y definir ubicaciones oficiales limita dispersión antes del vencimiento.

La evidencia puede ser un informe de tareas, una muestra de identificadores ausentes y una revisión de errores. No hace falta guardar otra copia de cada dato borrado para demostrar borrado; basta un registro proporcionado con regla, ejecución, resultado y excepciones.

La supresión llega a datos derivados cuando todavía identifican o perfilan. Un segmento, puntuación o modelo de preferencia puede seguir relacionado con la persona aunque desaparezca el registro principal. El inventario identifica esas dependencias y decide borrado o anonimización real.

Los contratos con proveedores fijan instrucciones, plazos de retorno y subencargados. Una cláusula general no demuestra cumplimiento: la empresa selecciona un identificador vencido y solicita evidencia observable del resultado en servicio, exportaciones y copias administradas.

Las suspensiones son excepciones con fecha de salida

Una reclamación, litigio, investigación o requerimiento puede justificar suspender el borrado de datos concretos; la suspensión no cambia la regla general ni autoriza conservar todos los sistemas, y define alcance, motivo, autoridad, fecha de revisión y persona que puede levantarla.

Cuando llega la fecha ordinaria, el sistema separa los datos sujetos a suspensión y elimina el resto; al terminar la causa, se reanuda el calendario y, si el plazo ya venció, la acción final se ejecuta sin iniciar un periodo nuevo.

La suspensión se prueba en ambos sentidos: un registro cubierto no debe borrarse durante la excepción, y uno parecido pero ajeno debe seguir venciendo. Esa prueba evita que una etiqueta aplicada a nivel de cuenta conserve categorías sin relación y confirma que la liberación devuelve cada dato a su fecha original.

Una lista de suspensiones se revisa activamente. “Hasta nuevo aviso” convierte una decisión temporal en indefinida. Cada excepción necesita evento de salida, como resolución definitiva y expiración del recurso, además de una próxima comprobación.

El alcance se expresa con identificadores, periodos y sistemas, no “todo sobre este cliente”. Si una reclamación afecta a un pedido, se preservan expediente, comunicaciones y pruebas relacionadas; campañas antiguas o grabaciones ajenas continúan su calendario.

Quien crea la suspensión avisa a los dueños y confirma que las tareas automáticas la respetan. El registro conserva solicitante, motivo, fecha, conjuntos y revisión; al liberar, cada conjunto vuelve a su fecha original y la evidencia demuestra el fin.

Un desencadenante calculable evita la conservación infinita

La parte más débil suele ser el comienzo: un periodo no puede configurarse sin saber desde cuándo, y “fin de relación” tampoco sirve si existen relaciones comerciales, contractuales y de soporte con fechas distintas.

Un buen desencadenante se observa y registra, como cierre de cuenta confirmado, terminación de contrato, final del ejercicio, entrega, resolución definitiva o última interacción humana pertinente; el sistema explica qué evento puede modificar la fecha y no la recalcula con aperturas automáticas, migraciones o actividad de otra finalidad.

Los registros activos pueden requerir revisión en lugar de eliminación automática. Una cuenta vigente mantiene determinadas finalidades, no todas. La revisión retira datos antiguos dentro de un expediente todavía abierto cuando ya no sirven.

La definición técnica anticipa estados imperfectos: puede faltar fecha, existir duplicados o llegar eventos fuera de orden, pero la regla no asigna silenciosamente infinito, sino que envía a una cola de excepción con dueño y resolución; su volumen muestra si el desencadenante funciona.

Cuando una copia sustenta dos finalidades, no se conserva la cuenta completa bajo el plazo más largo. La parte obligatoria queda restringida con su autoridad; el campo operativo se borra cuando termina su necesidad. Separar permisos y ubicaciones vuelve ejecutable el análisis.

Antes de automatizar, el equipo calcula manualmente una muestra: inicio, periodo, excepción y resultado esperado. Luego compara con el sistema. Una diferencia puede revelar zona horaria, fecha sustituida o evento que reinicia el reloj; se corrige antes de publicar la tarea.

Las migraciones conservan desencadenantes. Si el nuevo sistema marca todo como creado el día del traslado, el calendario se reinicia artificialmente. Se especifican los campos históricos y se comprueba una muestra después de migrar.

Los datos sin desencadenante no quedan fuera del control. Reciben una fecha provisional de revisión, dueño y plan para reconstruir historia desde fuentes fiables. La excepción no se utiliza como archivo permanente ni se oculta en una métrica agregada.

El registro técnico debe mostrar fallos y reintentos. Una tarea que borra miles de filas y omite diez sin alerta no está funcionando. El responsable distingue ejecutados, bloqueados por suspensión, fallidos y pendientes, y actúa sobre cada grupo.

Los derechos no borran el calendario

Una solicitud de acceso busca datos que todavía se conservan sin obligar a retener preventivamente información vencida, mientras una solicitud de supresión exige revisar si sigue existiendo finalidad u obligación; el calendario aporta el punto de partida, pero la decisión se toma por finalidad y dato ¹.

Si una factura debe mantenerse por obligación legal, puede rechazarse la supresión de esa parte y explicarse, mientras los datos usados solo para campañas pueden tener otro resultado; separar conjuntos permite cumplir ambos deberes sin invocar la factura para conservar el perfil completo.

El expediente de derechos toma una instantánea del calendario al recibir la petición y otra al cerrar, mostrando qué regla cambió, qué dato se borró, cuál quedó restringido y cuándo volverá a revisarse. La comparación evita respuestas que describen una decisión correcta en papel mientras los sistemas siguen ejecutando la regla anterior.

Oposición, retirada o limitación pueden cambiar el uso antes de la fecha final; el sistema bloquea una finalidad sin destruir datos que deben conservarse por otra, y la marca operativa evita que una importación reactive el uso prohibido.

Ante una solicitud pendiente, no se destruyen deliberadamente datos comprendidos para frustrarla. Tampoco se congela toda eliminación rutinaria. El responsable define alcance, preserva lo pertinente y deja continuar reglas no afectadas.

El flujo consulta el calendario en dos direcciones. Al recibir, muestra qué está activo, bajo obligación o suspensión y programado para borrado; al cerrar, devuelve una decisión estructurada a cada sistema. Así la respuesta a la persona coincide con la tarea.

Si se mantiene una parte, se registra finalidad, autoridad, acceso y revisión. Si se borra, la orden incluye copias activas y proveedores y se comprueba. Prometer supresión mientras una exportación sigue disponible es una contradicción verificable.

La minimización continúa durante una restricción. Un expediente retenido para reclamación queda fuera de campañas, análisis y decisiones ordinarias, con acceso limitado. Al terminar la excepción, la fecha original determina eliminación.

La respuesta distingue conservación de uso. Mantener por obligación legal no permite análisis o campañas nuevas. Permisos y finalidades se reducen al mínimo durante el periodo residual y la explicación evita presentar una excepción parcial como rechazo total.

Revisar el calendario significa probar sistemas

La revisión documental encuentra normas desactualizadas, responsables cambiados y descripciones vagas; la operativa descubre si los sistemas hacen lo que dice la hoja. Ambas se planifican juntas, dejan hallazgos trazables y utilizan una muestra capaz de detectar fallos estructurales, no solo ejemplos cómodos.

La frecuencia depende de cambio y riesgo. Un sistema nuevo, adquisición, modificación legal o migración justifican una revisión extraordinaria; en un área estable puede bastar una cadencia planificada si existe vigilancia continua de tareas fallidas. El calendario indica ambas cosas: próxima revisión y eventos que la adelantan.

La muestra incluye casos destinados a fallar: un registro vencido, uno todavía vigente, otro bajo suspensión, uno sin desencadenante y uno eliminado que aparece en una restauración. Si solo se prueban filas sencillas, el resultado no dice nada sobre las ramas que suelen conservar datos de más o borrarlos antes de tiempo.

Cada resultado se compara con una fecha esperada calculada manualmente. Una discrepancia se clasifica como norma incorrecta, evento ausente, configuración defectuosa o ejecución fallida. Borrar el ejemplo descubierto no cierra el hallazgo: se mide el conjunto afectado y se corrige la causa que produjo la desviación.

La prueba de proveedores va más allá del contrato. Se selecciona un identificador vencido, se solicita evidencia de eliminación o restricción y se revisan exportaciones, respaldos y subencargados. Una confirmación de política general no demuestra que la instrucción concreta llegara a cada ubicación.

Las copias se revisan mediante restauración aislada. Antes de habilitar datos, se aplica la lista de supresiones, se conserva una suspensión válida y se verifica que los perfiles borrados no vuelvan. El registro identifica respaldo, controles, resultado y destrucción del entorno temporal para no crear otra copia permanente.

Las métricas se leen contra las decisiones. Un aumento de excepciones, tareas fallidas o registros sin inicio indica un problema estructural aunque una muestra salga limpia. Contar archivos borrados tampoco demuestra calidad si no se sabe cuáles debían permanecer por obligación o suspensión.

La revisión incluye un control negativo sobre acceso: un registro archivado o restringido no debe aparecer en campañas, análisis o búsquedas ordinarias. Así se prueba la diferencia entre conservar y seguir utilizando, que una simple consulta de existencia no puede mostrar.

Al finalizar, el responsable registra reglas, sistemas, muestra, desviaciones, alcance, correcciones y fecha de nueva comprobación. Los hallazgos abiertos llevan medida provisional y dueño. La siguiente revisión empieza por esos fallos y confirma que la corrección funciona, en lugar de repetir una lectura de la hoja.

Un calendario maduro no aparenta completitud con cientos de filas idénticas. Mantiene categorías comprensibles, autoridades verificables y conexión demostrable con sistemas. La pregunta “¿cuánto tiempo?” recibe entonces una respuesta calculable por registro, no una cifra heredada que nadie puede defender.