Retención: conservar diez años una DoP y borrar antes el dato del firmante
Dos obligaciones que van en direcciones opuestas sobre el mismo expediente, y cómo se resuelven sin elegir una.
Lo esencial
- El principio de limitación del plazo de conservación (art. 5.1.e del GDPR) obliga a no guardar datos personales más de lo necesario.
- Otras normas obligan a lo contrario: el CPR exige conservar la DoP diez años, la fiscal impone sus propios plazos.
- No hay contradicción: la retención se define por tipo de dato y de documento, no por expediente.
- Lo que casi nadie tiene es la ejecución: la política existe en un documento y nadie borra nada nunca.
Dos relojes en el mismo expediente
Un expediente de obra contiene la DoP de un material —diez años— y el nombre y el móvil del firmante que la remitió —el tiempo necesario y no más—. Tratarlos con el mismo plazo incumple uno de los dos.
La política sin ejecución no es una política
Casi todas las organizaciones tienen su tabla de retención redactada. Muy pocas tienen constancia de qué se borró y cuándo. En una inspección, lo segundo es lo que se pide.
Qué debería pasar solo
Que cada tipo de documento lleve su plazo, que el borrado se ejecute al cumplirse y que quede registro de qué se borró, cuándo y bajo qué regla.
Cómo se resuelve en la práctica
Hay que borrar datos personales de firmantes a los dos años y conservar las DoP diez.
- Se define la política por tipo de documento.
- El borrado se ejecuta solo al cumplirse el plazo.
- Queda registro de qué se borró y bajo qué regla.
Se cumplen las dos obligaciones sobre el mismo expediente y se puede demostrar, que es la parte que suele faltar.
Preguntas frecuentes
¿Y si necesito el dato para un litigio en curso?
¿Basta con anonimizar?
Una vez al mes, lo que cambia en la normativa que te afecta
Sin promociones. Qué obligación nueva entra en vigor, a quién afecta y qué documentación hay que empezar a pedir.
Y si lo que quieres es dejar de perseguir estos papeles
Pedirlos, insistir, leerlos, validarlos y poder demostrarlo es exactamente lo que hace Code Contract. Sin que tus proveedores se registren en nada: pueden responder al correo con el adjunto.
Programar una demo de 30 minutosSeguir leyendo
- El artículo 25 de eIDAS: por qué «no es cualificada» no significa «no vale»La confusión más cara del cumplimiento digital, explicada con el texto del reglamento delante.
- DoP y CPR: cómo conservar y encontrar la Declaración de Prestaciones 10 añosEl artículo 7.4 del Reglamento (UE) 305/2011 obliga a conservar la DoP diez años. Cómo hacerlo sin depender de una carpeta compartida.
- Ver el sector LegalLas situaciones, la normativa y qué documentos se piden