Una política de supresión que funciona sin delegado de protección de datos

El art. 5.1 e) del RGPD exige que los datos personales se mantengan de forma que permita identificar a las personas durante no más tiempo del necesario para la finalidad. Es el principio de limitación del plazo de conservación, y es la única obligación de protección de datos que se incumple sola: quien no hace nada la vulnera un poco más cada día.

A eso se suma el art. 5.2, la responsabilidad proactiva. No basta con cumplir: hay que poder demostrarlo. Las dos cosas juntas dan exactamente lo que es una política de supresión: una respuesta escrita a la pregunta de cuándo desaparecen qué datos y por qué. Lo que sigue es una orientación; qué plazos rigen en tu caso y cómo se solapan lo aclaran la Agencia Española de Protección de Datos, tu asesoría fiscal o un asesoramiento jurídico.

En la mayoría de los negocios pequeños existe una regla de supresión de hecho, solo que no está escrita en ninguna parte: se borra cuando se cambia de sistema, cuando una carpeta se llena demasiado o cuando alguien lo pide expresamente. Los tres disparadores tienen el mismo problema: no guardan relación con la finalidad de los datos.

La finalidad es el único reloj que el Reglamento conoce. El art. 17.1 a) lo formula como deber de supresión: si los datos ya no son necesarios para los fines para los que fueron recogidos, hay que suprimirlos sin dilación indebida. Ese deber existe con independencia de que alguien lo pida. El derecho de supresión es la otra cara, no el requisito.

Justo por eso una política de supresión no es un formalismo, sino un alivio. Responde una sola vez a lo que si no se discute caso por caso, y se puede enseñar. Basta una página. Tiene cuatro columnas y una fila por tipo de dato.

Lo que no cabe dentro: opiniones sobre cuánto tiempo «se suele guardar esto». Cada fila necesita un motivo, y el motivo es o bien una finalidad que puedas nombrar o bien una obligación que alguien pueda consultar.

Así queda la página. Las filas de ejemplo encajan en un negocio de servicios; los plazos del segundo grupo dependen del derecho fiscal y mercantil, que en España combina la prescripción tributaria de cuatro años con los seis años del Código de Comercio, y por eso aquí figuran sin cifra.

La tercera columna hace el trabajo y la cuarta marca la diferencia. Un reloj sin disparador no arranca nunca: «tres años» solo es una regla cuando al lado pone desde cuándo. Y el disparador tiene que ser un hecho visible en tus datos: la última cita está en la agenda, el fin de una relación comercial no está en ninguna parte. Por eso «última cita más plazo» es la formulación practicable.

Alguien pide la supresión. El fichero de clientes lo puedes borrar; las facturas no, porque para ellas corre un plazo de conservación fiscal o mercantil. ¿Y ahora?

El Reglamento ha previsto el caso. El art. 17.3 b) exceptúa del deber de supresión los tratamientos necesarios para el cumplimiento de una obligación legal que te sea aplicable. La letra e) exceptúa además lo que haga falta para la formulación, el ejercicio o la defensa de reclamaciones. La respuesta no es «no se puede», sino: para esa única finalidad se queda, para todas las demás no.

El nombre práctico de eso es limitación del tratamiento. El art. 4.3 la define como el marcado de los datos conservados con el fin de limitar su tratamiento en el futuro. El considerando 67 enumera las vías: traslado a otro sistema, bloqueo para las personas usuarias, retirada temporal de un sitio web, y la exigencia de que la limitación se distinga sin lugar a dudas dentro del sistema.

Para tu negocio significa algo concreto: el registro sale del fichero activo. Ya no aparece en la búsqueda de citas, ni en la newsletter, ni en las estadísticas. Está en el archivo de facturas, accesible para la contabilidad y para el caso de una comprobación, y se suprime en cuanto vence el plazo. Esa separación es el núcleo de una política de supresión que funciona.

Hay que distinguirlo del art. 18 del RGPD: ahí es la propia persona interesada quien tiene derecho a exigir la limitación en cuatro casos tasados, por ejemplo mientras se verifica si unos datos impugnados son exactos. Es un derecho de la otra parte, no un sustituto de tu propio deber de supresión. Las dos cosas usan la misma medida técnica por motivos distintos.

Una supresión que solo alcanza a la base de datos principal no es una supresión. Cuatro lugares se pasan por alto una y otra vez:

1. Papel. Fichas de admisión, notas en recepción, listas de citas impresas. Están sujetas a las mismas reglas y necesitan su propio disparador.
2. Copias en sistemas secundarios. La lista de la newsletter, la hoja de las felicitaciones, la exportación que alguien sacó una vez para un análisis.
3. Copias de seguridad. No se pueden depurar una a una de forma razonable. La vía habitual: la supresión surte efecto de inmediato en el sistema productivo, la copia decae por su propio ciclo de conservación, y ese ciclo está nombrado en la política.
4. Proveedores. Quien trata datos por cuenta tuya tiene que ejecutar también la supresión. El art. 28.3 g) exige exactamente eso en el contrato: suprimir o devolver al terminar el servicio, incluidas las copias existentes.

Una palabra sobre la anonimización, porque se cita a menudo como salida. Si un registro se altera de forma que ya no se pueda atribuir a ninguna persona, deja de ser un dato personal: el Reglamento no se aplica y los análisis siguen siendo posibles. Es una vía limpia para las estadísticas. Pero exige imposibilidad real de atribución; quitar el apellido conservando el número de cliente es seudonimización (art. 4.5) y sigue siendo dato personal.

Donde las facturas ya se archivan por sistema, el punto tres de la lista se resuelve casi solo: el software de taller, por ejemplo, separa la orden de reparación del archivo de facturas en vez de mantener las dos cosas en la misma vista.

Una política de supresión que solo existe es un documento. Una que funciona necesita tres cosas, y ninguna es costosa.

Una cita. Una vez al año, mejor si va enganchada a algo que ya ocurre de todos modos. Basta una hora: repasar las filas, suprimir los tipos de dato vencidos, anotar la fecha. Esa fecha es tu prueba conforme al art. 5.2.

Una responsabilidad. Una persona con nombre, no «el equipo». En un negocio de cinco personas suele ser quien administra el software.

Una regla para las altas. Cada tipo de dato nuevo recibe su fila al crearlo, no después. Ese es el punto por el que las políticas envejecen: no por errores, sino por campos nuevos que nadie ha añadido.

Donde tu software conozca los plazos por sí mismo, úsalos. La supresión automática gana a la regla que alguien tiene que recordar. Donde no exista, la hora anual es el sustituto honesto: bastante mejor que el propósito de «ir ordenando sobre la marcha», que en la práctica no cumple nadie.