GDPR y almacenamiento de datos: ¿Cuál es el período de retención adecuado?

Cuando se trata de datos personales, más no siempre es mejor. Según el Reglamento General de Protección de Datos (GDPR), conservar datos personales más tiempo del necesario puede poner a su empresa en riesgo de incumplimiento.

---

¿Qué es la retención de datos bajo GDPR?

La retención de datos se refiere al período de tiempo que una empresa almacena datos personales antes de eliminarlos, anonimizarlos o archivarlos. GDPR sigue un enfoque basado en un propósito, lo que significa que solo puedes conservar datos personales:

• Mientras sea necesario para cumplir con la finalidad para la que fue recabado.
• No más de lo necesario, incluso si se almacena de forma segura.
• Si el motivo por el que recopiló los datos ya no es válido, debe eliminarlos o anonimizarlos.

---

¿Existe un límite de retención de datos GDPR?

El GDPR requiere que:

"Los datos personales se conservarán en una forma que permita la identificación de los interesados durante el tiempo necesario". — Artículo 5, apartado 1, letra e), GDPR

---

Cómo establecer períodos de retención compatibles con GDPR

Las organizaciones deben crear una política de retención de datos que describa:

• ¿Por qué se recopilan datos?
• cuanto tiempo se conserva
• Cuándo y cómo se revisa o elimina
• Procesos de eliminación o anonimización
• ¿Quién es responsable de hacer cumplir la ley?

Su Registro de actividades de procesamiento (ROPA) debe reflejar los plazos de retención.

---

Riesgos de conservar los datos durante demasiado tiempo

• Riesgo de seguridad: Más datos significan un mayor impacto de la infracción.
• Riesgo regulatorio: Incumplimiento de los principios GDPR.
• Multas: Hasta 20 millones de euros o el 4% de la facturación global.

---

Retención y consentimiento del usuario

Si depende del consentimiento del usuario:

• Establezca un período de vencimiento claro (por ejemplo, 12 a 24 meses).
• Renovar el consentimiento para continuar el procesamiento después de eso.
• Eliminar o anonimizar los datos si el consentimiento se retira o vence.

CMPs (Plataformas de gestión de consentimiento) ayudan a hacer cumplir el seguimiento del consentimiento con plazos determinados.

---

Conclusión final

Para cumplir con GDPR:

• Conserve los datos solo el tiempo que sea necesario.
• Documente su justificación de los períodos de retención.
• Audite y elimine periódicamente los registros obsoletos.

Una política de retención de datos clara es esencial para el cumplimiento de la privacidad, la confianza y la reducción de riesgos.

---

Fuentes

• Artículo 5(1)(e) — Limitación de almacenamiento
• EDPB Directrices sobre limitación de almacenamiento
• CNIL Mejores prácticas: retención de datos