El RGPD no fija un plazo único de conservación de datos personales. Lo que sí establece es el principio de limitación del plazo de conservación: los datos deben mantenerse durante el tiempo mínimo necesario para la finalidad para la que se recogieron, y no más. Pero «el tiempo mínimo necesario» varía mucho según el tipo de dato, la normativa sectorial aplicable y las posibles reclamaciones en juego.
El principio de limitación del plazo en el RGPD
El artículo 5.1.e del RGPD establece que los datos personales deben conservarse «de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales».
En la práctica, hay dos fases en la vida de los datos personales:
- Fase activa: los datos se usan para la finalidad para la que se recogieron (ejecutar un contrato, gestionar una relación comercial, tramitar una nómina). Durante esta fase, el acceso es pleno.
- Fase de bloqueo: la finalidad principal ha concluido (el contrato terminó, la relación comercial se interrumpió), pero existen plazos legales de conservación que obligan a mantener los datos. Durante esta fase, los datos deben estar bloqueados: solo accesibles para cumplir obligaciones legales o defender reclamaciones.
Cuando vencen todos los plazos de conservación aplicables y no hay ninguna reclamación pendiente, los datos deben suprimirse de forma definitiva e irreversible.
Plazos de conservación por tipo de dato
La siguiente tabla recoge los plazos mínimos de conservación según el tipo de dato y la normativa que los establece. Son plazos mínimos: debes conservar al menos durante ese tiempo, pero no más de lo necesario.
| Tipo de dato / actividad | Plazo mínimo | Posibilidad de ampliación | Normativa |
| Contratos y documentos laborales | 4 años | Sí, si hay litigio laboral | Estatuto de los Trabajadores |
| Nóminas y cotizaciones SS | 4 años | Sí, si hay reclamación | Ley General de la Seguridad Social |
| Documentos fiscales (IRPF, IVA) | 4 años | Sí, en caso de inspección | Ley General Tributaria |
| Facturas y documentación contable | 6 años (Código de Comercio) | Hasta 10 años si hay fraude fiscal | Código de Comercio |
| Datos de clientes (contrato) | Duración del contrato + prescripción | Variable (hasta 5 años civil) | Código Civil / Ley de prescripción |
| Candidatos no seleccionados | 1 año (recomendación AEPD) | Hasta 2 con consentimiento | Guías AEPD |
| Datos de salud (PRL) | 5 años tras cese actividad | Más si hay enfermedad profesional | Ley 31/1995 PRL |
| Grabaciones videovigilancia | 1 mes | Hasta resolución del incidente | LOPDGDD art. 22 |
| Datos de menores (servicios online) | Hasta retirada del consentimiento | – | LOPDGDD / RGPD |
Cuándo el plazo puede prolongarse
Los plazos de conservación pueden extenderse más allá del mínimo legal en varios supuestos:
- Litigios o reclamaciones en curso: si hay un procedimiento judicial, laboral o administrativo abierto que requiere los datos como prueba, deben conservarse hasta que se resuelva definitivamente.
- Inspecciones en curso: si la empresa está bajo inspección de la AEPD, Hacienda, la Inspección de Trabajo u otro organismo, los datos relacionados deben mantenerse.
- Obligaciones contractuales: algunos contratos con clientes o proveedores pueden imponer plazos de conservación específicos.
Cómo gestionar la supresión cuando vence el plazo
La supresión de datos al vencer el plazo no debe ser un proceso manual e irregular. Lo recomendable es tener un procedimiento definido:
- Identificar en el registro de actividades los plazos de cada categoría de datos.
- Establecer revisiones periódicas (anual o semestral) para identificar datos cuyo plazo ha vencido.
- Documentar las supresiones realizadas (qué categoría, cuándo, quién autorizó).
- Asegurarse de que la supresión es efectiva en todos los sistemas donde estén almacenados los datos (servidores, copias de seguridad, herramientas de terceros).
Este último punto es especialmente importante: de nada sirve borrar los datos del CRM si siguen existiendo en el servidor de backup, en el email archivado o en la herramienta de email marketing.
Qué pasa si conservas datos más tiempo del necesario
Conservar datos más allá de los plazos establecidos es una infracción del principio de limitación del plazo del RGPD. Las consecuencias:
- Mayor impacto en caso de brecha: cuantos más datos conservas, mayor es el alcance de una brecha de seguridad y mayor la multa potencial.
- Sanción de la AEPD: puede considerarse infracción grave, con multas de hasta 10 millones de euros o el 2% del volumen de negocio.
- Respuestas indefendibles a solicitudes de supresión: si un ex cliente pide que borres sus datos y llevas años conservándolos sin base legal, no tienes argumentos.
En Ubimia Compliance incluimos siempre una tabla de plazos de conservación en el Registro de Actividades de Tratamiento de cada cliente. Es uno de los puntos más técnicos del cumplimiento, y también uno de los más fáciles de olvidar si no está bien documentado desde el principio.
El registro de actividades como herramienta para controlar plazos: Registro de actividades de tratamiento
La gestión de plazos de conservación la hace tu DPD automáticamente -> Consúltanos sin compromiso