Los plazos de conservación de los datos personales

Otro aspecto muy recurrente en materia de protección de datos personales es el del tiempo que tenemos que o podemos conservar los datos antes de proceder a eliminarlos definitivamente.

De hecho, uno de los principios expresamente recogidos en el Reglamento General de Protección de Datos (RGPD) es el de “limitación del plazo de conservación” (arte. 5.1,e), según el cual los datos personales tienen que ser conservados de forma que permitan identificar a los interesados durante un periodo no superior al necesario para las finalidades del tratamiento de datos personales. Los datos personales se pueden conservar durante periodos más largos, siempre que se traten exclusivamente con fines de archivo en interés público, con fines de investigación científica o histórica o con fines estadísticos [...].

Por lo tanto, el periodo de conservación de los datos se vincula con la extensión del tratamiento, toda vez que esta conservación se considera una operación de tratamiento.

Se trata de un criterio limitador o minimizador respecto al periodo de conservación -en base a principios de proporcionalidad- en virtud del cual si, una vez ejecutada el tratamiento, ya no se necesitan más unos determinados datos personales, hay que proceder a suprimirlos, bloquearlos,  anonimizarlos o devolverlos.

La norma, pero, no especifica la limitación temporal concreta. En este sentido, la AEPD, en respuesta a diferentes consultas sobre el plazo de conservación de los datos personales, ha resuelto que corresponde al responsable del tratamiento determinar el plazo concreto de conservación en cada caso.

En cuanto a la actividad profesional de la Abogacía, muchos de los datos personales que tratamos derivan de la relación contractual con los clientes y, por lo tanto, el plazo de conservación inicialmente se tendría que extender hasta que finalice, en cada caso, esta vinculación profesional.

Aun así, aunque finalice la relación con el cliente o que hayamos concluido el encargo profesional, tenemos que atender a los plazos de conservación de los datos personales que determine la ley, en función de su tipología o características, y que después analizaremos.

Por otro lado, la propia norma prevé una serie de excepciones que permiten ampliar los plazos generales de conservación de los datos personales:

- Cuando así lo requiera la autoridad en procedimientos judiciales.
- Cuando los datos se utilicen con fines de archivo en interés público, de investigación científica e histórica o con fines estadísticos.

En estos casos, y siempre que sea posible, los datos se tendrán que anonimizar, para impedir la identificación de las personas a las cuales pertenecen.

También, a veces,  puede haber un interés legítimo de conservar indefinidamente determinados datos. Es el caso, por ejemplo, de los expedientes de los empleados, en los que el empresario quiere mantener un registro histórico de las personas que han trabajado para él, si bien no podrá conservar la totalidad los datos, sino solo los necesarios para mantener este registro.

Por lo tanto, si bien lo RGPD y la LOPDGDD no establecen límites temporales concretos de conservación de los datos personales, sí que podemos determinar algunos plazos específicos a partir de la regulación de otras normas sectoriales. Algunos ejemplos son:

• Expedientes de clientes de abogados/as: se tienen que conservar un mínimo de 5 años desde la finalización de la relación con el/la cliente/a, puesto que es el plazo general para ejercitar acciones de responsabilidad civil profesional.
• Laboral/Seguridad Social: Los contratos laborales, nóminas, así como los documentos relativos a afiliaciones, altas, bajas y cotizaciones en la Seguridad Social, se tienen que conservar durante un mínimo de 4 años.
• La legislación tributaria establece un tiempo de conservación para los documentos de naturaleza fiscal o información tributaria de 4 años, plazo durante el cual pueden ser requeridos por las autoridades competentes (p. e., declaraciones del IRPF u otros impuestos).
• Código de Comercio: Las facturas (emitidas y recibos), el libro diario, el registro de inventario y balances y otros documentos de naturaleza mercantil se tienen que conservar durante 6 años.
• Documentos relacionados con la prevención de riesgos laborales (informes, evaluaciones de riesgos, expedientes sobre dolencias o accidentes profesionales, contratos con servicios de prevención, etc.): 5 años.
• Prevención de blanqueo de capitales: la Ley de prevención de blanqueo establece un periodo mínimo de 10 años para la custodia de documentos relativos con la formalización de las obligaciones de esta ley.
• Videovigilancia: Las imágenes y sonido grabados se tienen que destruir en el plazo máximo de un mes, salvo que estén vinculadas con la comisión de un delito o una infracción administrativa que haya dado lugar a diligencias policiales o judiciales. En este caso se tendrán que conservar por el tiempo que sea necesario.
• Ley de Seguridad Privada: Los informes y documentos vinculados a una investigación llevada a cabo por empresas de seguridad privada, se tienen que conservar durante 3 años, incluyendo las imágenes de video, si hay. El acceso a los datos personales que puedan contener, pero, tiene que estar debidamente bloqueado.
• Historial clínico: Según la Ley 21/2000 (Cataluña), sobre derechos de información concerniente a la salud y la autonomía del paciente, y la documentación clínica del paciente, los centros sanitarios restan obligados a conservar la documentación más relevante del historial clínico de una persona durante un mínimo de 15 años desde el alta de cada asistencia médica u hospitalaria.

En resumen, dado que lo RGPD y la LOPDGDD no concretan la limitación del plazo de conservación, se hace necesario, por un lado, atender a la finalidad para la cual se han recaudado los datos -bajo el principio general de proporcionalidad- y, por otro lado, acudir a otras normas para determinar estos plazos de conservación.

Cordialmente,

SECRETARIA TÉCNICA