Clasificación y retención de datos: cuánto tiempo guardar cada dato y por qué

Dos preguntas, una política

Una buena política responde a dos preguntas por cada tipo de dato: ¿qué tan sensible es? (clasificación) y ¿cuánto tiempo hay que guardarlo? (retención). Es como el archivo de una oficina: no guardas igual una nómina que una nota de reunión.

Paso 1: clasifica

• Público: puede verlo cualquiera.
• Interno: solo la organización.
• Confidencial: acceso limitado por rol; incluye la mayoría de los datos personales.
• Restringido: máxima protección; por ejemplo categorías especiales de datos personales.

Cuatro niveles bastan para empezar. Más niveles suelen ser difíciles de aplicar.

Paso 2: fija plazos

Para los datos personales, el RGPD pide no conservarlos más de lo necesario (artículo 5.1.e). Otras normas pueden imponer plazos mínimos, por ejemplo fiscales, laborales o sectoriales. Por eso el plazo se decide con legal y privacidad, no solo desde tecnología. Anota el plazo, el motivo y la norma en la que te apoyas.

Paso 3: decide qué ocurre al vencer

• Eliminar de todos los sistemas, incluidas copias de seguridad según su ciclo.
• Anonimizar si necesitas conservar la información estadística (con cuidado: la anonimización efectiva es exigente).
• Registrar la acción realizada.

Errores habituales

• Plazos «indefinidos» sin justificación.
• Política sin ejecución: nadie borra nada.
• Olvidar las copias en hojas de cálculo, correos y entornos de prueba.

Conexión con la IA

Si entrenas o usas modelos con datos personales, la retención afecta también a los conjuntos de entrenamiento y a los registros de uso. Conviene definirla desde el inicio.

Preguntas frecuentes

¿Qué dice el RGPD sobre cuánto tiempo guardar los datos?

Solo el tiempo necesario para los fines del tratamiento (art. 5.1.e); no fija un plazo general.

¿Quién decide el plazo?

El data owner con apoyo de legal y privacidad.

Contenido informativo, no asesoramiento jurídico. Los plazos concretos dependen de tu sector y país.