- RGPD Artículo 5(1)(e): los datos personales no deben mantenerse más tiempo de lo necesario para su propósito declarado
- AML/KYC records: minimum 5 years after relationship end; up to 10 years where required by national law
- Usted debe documentar períodos de retención por categoría de datos - no una sola regla de "7 años para todo"
- Si no se eliminan los datos caducados es en sí una violación del RGPD, incluso si los datos fueron recogidos legalmente
La mayoría de las empresas reguladas invierten fuertemente en la recopilación y protección de datos personales. Mucho menos invierte en despojarlo correctamente. En virtud del RGPD, mantener los datos más allá del período justificado por su propósito original es una violación del principio de limitación de almacenamiento, independientemente de cuán cuidadosamente se obtuvieron los datos mientras lo mantenía.
Para las firmas de leyes, contadores, fintechs y otros profesionales regulados, el desafío es navegar por obligaciones superpuestas: las regulaciones de la LMA exigen una retención mínima de cinco años; los plazos de prescripción para las disputas de contratos empujan hacia siete o diez años; y el RGPD exige que usted mantenga sólo lo necesario. Estas obligaciones deben conciliarse en un calendario de retención documentado.
Relacionados HubSecure
Colección de documentos & guía de Vault B01 Módulo Guía de software de recopilación de documentos de comparación de Dropbox Guía de la biblioteca
Seguridad relacionada, privacidad y recursos de gobernanza
Continuar con HubSecure centro de seguridad y confianza, acuerdo de procesamiento de datos, subprocesadores, flujos de trabajo de cumplimiento, operador de IA gobernado.
Caso de uso relacionado
Esta guía pertenece al grupo de Guías de recopilación segura de documentos. Continúe con el centro de productos para la recopilación segura de documentos.
Principio de limitación de almacenamiento
El artículo 5(1)(e) del RGPD establece que los datos personales deben conservarse en una forma que permita la identificación durante no más tiempo del necesario para los fines para los cuales se procesan. Siguen dos requisitos prácticos: debe poder establecer un propósito para cada categoría de datos que posee y debe tener un activador de eliminación definido para cada categoría.
Períodos de retención comunes por categoría de datos
Registros AML y KYC
4AMLD y 5AMLD exigen que las entidades obligadas conserven los registros de debida diligencia del cliente y los registros de transacciones durante un mínimo de cinco años después de que finalice la relación comercial o se complete la transacción. Las implementaciones nacionales en algunos estados miembros de la UE extienden este período a diez años cuando lo exigen las autoridades supervisoras.
Contratos y registros de facturación
La mayoría de las jurisdicciones de la UE tienen un plazo de seis a diez años para reclamaciones contractuales. Las empresas de servicios profesionales suelen retener cartas de compromiso, acuerdos de honorarios, facturas y correspondencia conexa para este período.
Registros de empleo
Los registros de nómina, los contratos de empleo y los registros disciplinarios se suelen mantener durante seis a siete años después del empleo. Los datos de CV para solicitantes no exitosos deben ser eliminados dentro de dos a seis meses a menos que los candidatos consienten en retener el archivo.
Registros de comercialización y consentimiento
Los registros de consentimiento deben ser retenidos durante la relación más tiempo suficiente para defender una queja, normalmente de dos a tres años. Las listas de comercialización activas deben revisarse y limpiarse al menos anualmente.
Cómo construir su horario de retención
- Inventario de sus categorías de datos — registros de clientes, datos de empleados, datos de perspectivas, registros financieros, imágenes de CCTV, listas de marketing, registros de auditoría
- Determinar la base jurídica y el propósito para la celebración de cada categoría
- Establezca el período de retención basado en mínimo legal, período de limitación o necesidad de negocio documentada, siempre que sea más largo y más justificable
- Definir el gatillo de eliminación - fin del contrato, última fecha de transacción, retiro del consentimiento, terminación del empleado
- Asignación de propiedad - que inicia la eliminación, que verifica que se hizo
- Implementar procedimientos de eliminación en sus sistemas, incluyendo copias de seguridad y archivos
- Examen anual: actualización cuando los procesos o requisitos legales cambian
Nota sobre la anonimato: Los datos genuinamente anónimos quedan fuera del alcance del GDPR. Si puede despojar toda la información de identificación para que la reidentificación sea imposible incluso con datos adicionales, el resultado no es datos personales. La pseudonymised data remains personal data under GDPR.
Errores comunes
- Una política sin procedimientos de eliminación, escribiendo períodos de retención pero nunca eliminando los datos cuando caducan
- Ignorar copias de seguridad — cintas de respaldo y instantáneas en la nube contienen datos personales; deben estar cubiertas por procedimientos de retención
- Los procesadores que olvidan sus acuerdos de procesamiento de datos deben pasar obligaciones de retención a los subprocesadores y proveedores
- Un período para todo — una política de "guarda durante siete años" rara vez sobrevive escrutinio a través de múltiples tipos de datos con diferentes bases legales
¿Es necesario publicar el calendario de retención?
Su aviso de privacidad debe incluir períodos de retención o los criterios utilizados para determinarlos (artículos 13 2) a) y 14 2) a)). El lenguaje vago como "tanto como sea necesario" sin detalles no satisface este requisito.
¿Podemos mantener los datos "simplemente en caso" lo necesitamos para litigio?
Si se anticipa razonablemente un litigio específico, es justificable colocar un aplazamiento legal en registros determinados y debe documentarse. Un enfoque general "mantener todo" no satisface el requisito de limitación de almacenamiento del GDPR.
Automatizar la gestión del ciclo de vida de datos
HubSecure Vault le permite establecer periodos de retención por tipo de registro, con avisos de eliminación automatizados, rutas de auditoría y documentación lista para GDPR.
Míralo en acciónRevisión de los equipos regulados
Preparado por el equipo editorial HubSecure para operadores, líderes de cumplimiento y revisores de TI que evalúan software seguro de operaciones cliente.
Autores · Revisores · Política editorial