Conservación de datos en outsourcing: cuándo archivar, borrar y exigir pruebas
“Borraremos los datos al terminar el contrato” no basta. Cada categoría necesita plazo, responsable, excepción, método y prueba.
Los datos externalizados tienden a multiplicarse. Un archivo de entrada puede acabar en producción, una copia de seguridad, un informe, un archivo histórico y una carpeta de intercambio. Un documento en papel puede generar una digitalización, una copia de trabajo y una prueba de envío. Si el contrato solo dice “durante el tiempo necesario”, cliente y proveedor pueden entender plazos distintos.
El principio de limitación del plazo de conservación del RGPD exige que los datos personales permitan identificar a una persona solo durante el tiempo necesario para la finalidad. No existe un número universal de años. El plazo depende de finalidad, base jurídica, obligaciones sectoriales, necesidad probatoria y funcionamiento real del proceso.
La conservación es un ciclo de vida
| Estado | Finalidad | Acceso | Salida |
|---|---|---|---|
| Activo | gestión actual | equipo operativo | cierre del caso o lote |
| Archivo intermedio | reclamaciones, liquidación, pruebas | restringido | fin del plazo |
| Bloqueo | litigio, auditoría, legal hold | roles designados | decisión formal |
| Borrado o anonimizado | sin necesidad posterior | sin datos personales | prueba de ejecución |
CNIL describe un ciclo parecido: base activa, archivo intermedio y archivo definitivo o borrado. Mover un archivo a una carpeta llamada “archivo” no limita nada si sigue disponible y se utiliza como dato activo.
Quién decide y quién ejecuta
El responsable determina finalidad, base y plazo. El encargado sigue instrucciones documentadas, protege los datos y ayuda a demostrar cumplimiento. El artículo 28.3.g RGPD exige que, a elección del responsable, los datos se devuelvan o borren al terminar el servicio y que se eliminen las copias, salvo obligación legal de conservación.
“Al finalizar el contrato” es impreciso. El disparador puede ser el último envío, el cierre de una reclamación, la liquidación mensual, la retirada del acceso o la terminación completa. Cada categoría puede necesitar un reloj distinto.
Crea una matriz de conservación real
Incluye documentos principales, archivos temporales, registros, informes, muestras, copias, mensajes y soportes físicos. Para cada elemento documenta categoría y finalidad, base, ubicaciones, inicio del cómputo, periodos activo y archivado, propietario de la decisión, destino final y prueba.
No apliques el mismo plazo a todo. Una lista de direcciones para un envío único, un registro de acceso, una digitalización y un documento contable tienen finalidades distintas. Confirma los plazos legales con asesoría jurídica o con el delegado de protección de datos del sector.
Legal hold: excepción controlada
Un litigio, reclamación, inspección o deber de conservar pruebas puede detener temporalmente el borrado. Registra expediente, base, alcance, responsable, revisión y condición de liberación. El bloqueo debe limitarse a los datos necesarios. Cuando termine, vuelve a aplicarse el calendario normal.
Las copias de seguridad no son una zona ciega
El borrado selectivo inmediato en todas las copias puede ser imposible o dañar su integridad. No justifica conservar indefinidamente. El contrato debe describir ciclos de sobrescritura, acceso restringido, prohibición de devolver datos borrados al uso normal y reaplicación del borrado después de una restauración.
Una copia recupera el sistema tras un fallo; un archivo permite acceso controlado a información antigua. Usar copias como archivo dificulta la gestión de plazos.
El borrado seguro depende del soporte y del riesgo
Borrar un archivo o vaciar la papelera no siempre impide su recuperación. NIST SP 800-88 Rev. 2, publicado el 26 de septiembre de 2025, recomienda un programa de saneamiento basado en riesgo y sensibilidad. Distingue limpieza lógica, purga de mayor garantía y destrucción física. El método depende de la tecnología, reutilización y nivel de seguridad.
Para papel se necesita una cadena cerrada: identificación del lote, contenedor seguro, entrega controlada, destrucción y confirmación. En electrónico hay que considerar sistemas, réplicas, memoria de dispositivos, exportaciones y registros.
Prueba sin crear otro almacén de datos
El registro de borrado debe indicar identificador de proceso, categoría, fechas o lotes, ubicaciones, método, fecha, ejecutor, verificación y excepciones como un bloqueo activo o copias pendientes de sobrescritura. Un informe agregado con detalle disponible cuando esté justificado demuestra el cumplimiento sin copiar datos personales al certificado.
Incluye la conservación en el contrato
Relaciona la matriz con responsabilidades y SLA. Define frecuencia de purga, plazo para peticiones especiales, copias, legal hold, devolución, salida, subcontratistas, papel e informes. Vincúlalo con el control de subcontratistas y la trazabilidad de auditoría.
Implantación en 30 días
- Inventaría categorías y ubicaciones.
- Asigna finalidad, base, disparador y propietario.
- Separa uso activo y archivo intermedio.
- Define bloqueos y ciclos de copias.
- Elige el método según soporte y riesgo.
- Prueba un lote cerrado.
- Verifica registros, pruebas y excepciones.
- Revisa la matriz cada trimestre y tras cambios.
Si estás ordenando correspondencia, digitalizaciones y justificantes, consulta la gestión de correspondencia y e-COK. Habla con BackOffice Outsourcing sobre alcance, informes y controles antes de entregar el primer lote.
Fuentes
- Reglamento (UE) 2016/679 - RGPD, artículos 5, 17 y 28
- CNIL, Define a data retention period
- NIST SP 800-88 Rev. 2, Guidelines for Media Sanitization, 26.09.2025
Preguntas frecuentes
¿El RGPD fija un único plazo de conservación?
No. Depende de finalidad, base jurídica, normas sectoriales y necesidad probatoria. La organización debe justificar cada plazo.
¿Hay que modificar inmediatamente todas las copias?
El procedimiento debe contemplar diseño, sobrescritura y uso restringido. Una restauración no debe devolver los datos borrados al tratamiento ordinario.
¿Qué debe incluir la prueba de borrado?
Al menos alcance, categoría, ubicaciones, método, fecha, ejecutor, verificación y excepciones justificadas.
¿Quién es responsable del calendario?
El responsable define finalidades y plazos; el encargado ejecuta instrucciones documentadas. El contrato reparte decisión, ejecución, informe y excepciones.