Transcurridos más de ocho meses desde la entrada efectiva del Reglamento General de Protección de Datos (RGPD), todavía se desconocen aspectos importantes que son claves a la hora de poner en práctica su implementación por los responsables y encargados del tratamiento.

El Reglamento impone, entre los principios relativos al tratamiento, que los datos personales sean mantenidos de forma que permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento, y le exige al responsable del tratamiento que informe a los interesados del plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo.

Si bien el RGPD no especifica la forma en determinar esos plazos, la Ley Orgánica española que lo desarrolla, al igual que ya lo hacía la antigua, lo regula al hablar del bloqueo de los datos a lo que viene obligado el responsable de llevarlo a efecto cuando se proceda a la rectificación o supresión de los datos de carácter personal.

Es decir, antes de proceder al borrado definitivo de los datos, la Ley permite que los datos personales, una vez hayan dejado de servirse para las finalidades que fueron recogidos (por ejemplo, fin de la relación contractual con un cliente), se bloqueen,  adoptando medidas técnicas y organizativas que limiten su acceso, excepto para su puesta a disposición a los jueces y tribunales, el ministerio Fiscal o Administraciones Públicas competentes, y solo por el plazo de prescripción de las mismas.

En consecuencia, ya sabemos que los plazos por los que se nos permiten conservar los datos personales de los que somos responsables, son los que marcan las derivadas de la prescripción. ¿Y a qué tipo de prescripción debemos de acudir? Pues, claramente, a las que particularmente se determinan para el ejercicio de cada tipo de acción legal.

De este modo, habremos de acudir a una clasificación de los distintos tipos de prescripciones de acciones legales, para saber por cuánto tiempo podremos almacenar los datos derivados de un determinado tratamiento. No es lo mismo el tratamiento de datos de clientes que el de empleados, pues, uno y otro tendrán distinto plazo de prescripción de acciones.

Tipología de datos

En términos generales, podemos establecer una clasificación atendiendo a la tipología de los datos que tratemos. Así, establecemos esta división, en primer lugar, en función de los datos que guardamos de la documentación general de la empresa (datos de contacto, documentación administrativa general relativa a compras de bienes y servicios, etc.), ya que una vez deje de utilizarse a las finalidades de su recogida, el plazo de prescripción legal, atendiendo al art. 30 del Código de Comercio, y plazo que como máximo, podremos mantener bloqueados los datos, es de seis años y, transcurrido dicho plazo deberá procederse a su destrucción.

La segunda tipología la establecemos en función de los datos referidos a impuestos y obligaciones fiscales, cuyo plazo de prescripción se sitúa en el plazo de 4 años, por término general, y de diez años para la comprobación de bases de las cuotas compensadas, según los artículos 66 y 66 bis de la Ley General Tributaria, y hasta 13 años para determinados bienes de inversión.

En tercer lugar, recogemos todos los datos referidos a la gestión de recursos humanos (nóminas, vida laboral, planes de pensiones, datos de candidatos, etc.), que supone el plazo máximo que podremos almacenar esta documentación es de cuatro años una vez extinguida la relación laboral o la finalidad para la que fueron recogidos, en atención al art. 4 de la Ley de infracciones y sanciones en el orden social, en relación con la Ley de Prevención de Riesgos Laborales.

Como tipología especial, hemos de considerar los datos relativos al tratamiento de imágenes y sonidos por video cámaras y libros de registros de visitas, cuyo almacenamiento no podrá exceder de un mes desde la fecha de su recogida, y consecuentemente habrá que proceder a su borrado, conforme determina el art. 22 de la Ley Orgánica de Protección de Datos y garantía de derechos digitales.

Por último, hemos de referirnos a los documentos legales (contratos, acuerdos de confidencialidad, certificados y licencias, etc.) cuyo plazo de prescripción legal se sitúa, conforme al art. 1.964 del Código civil, en los 15 años.

Si necesitas ayuda de un profesional en un contencioso legal, no dudes en ponerte en contacto con AVERUM Abogados.