Los dos principios que afectan a tus documentos
En la práctica significa que, cuando termina el plazo de conservación, los documentos deben destruirse de un modo que impida que nadie pueda leerlos o reconstruirlos. Tirarlos a un contenedor de papel sin más no suele cumplir esa exigencia.
- Limitación del plazo de conservación (artículo 5.1.e del RGPD): los datos personales no pueden guardarse más tiempo del necesario para la finalidad para la que se recogieron, salvo que una ley exija conservarlos.
- Integridad y confidencialidad (artículo 5.1.f y artículo 32): hay que aplicar medidas técnicas y organizativas que protejan los datos frente a accesos no autorizados, también cuando se eliminan.
El bloqueo de datos antes de destruir
La LOPDGDD (artículo 32) prevé que, cuando hay que suprimir datos, el responsable los bloquee: los conserva sin usarlos, solo a disposición de jueces, tribunales, el Ministerio Fiscal o las administraciones competentes, durante el plazo de prescripción de las posibles responsabilidades. Cuando ese plazo termina, se destruyen.
Por eso conviene tener claro cuánto tiempo debes guardar cada tipo de documento antes de destruirlo. Lo explicamos en nuestra guía de plazos de conservación.
Cómo demostrar que cumples
- Conserva el certificado de destrucción: debe indicar la fecha, el material, el método y quién lo ha destruido.
- Anótalo en tu registro de actividades de tratamiento o en tu documentación interna de protección de datos.
- Elige un proveedor con procedimientos auditados y trazabilidad desde la recogida hasta la destrucción.
- Firma con el proveedor un contrato de encargado del tratamiento, porque accede a datos personales por tu cuenta.
Qué riesgo corres si no lo haces
El RGPD prevé multas de hasta 20 millones de euros o el 4 % de la facturación anual para las infracciones más graves, y la autoridad de control en España es la Agencia Española de Protección de Datos (AEPD). La sanción concreta depende de cada caso, pero un documento con datos personales encontrado en la basura es un ejemplo de brecha que puede acabar en un expediente.
Un aviso
Esta guía es informativa y no sustituye el asesoramiento de un abogado o de un delegado de protección de datos.
Preguntas frecuentes
No hay una obligación expresa de contratar una empresa, pero sí de destruir los datos de forma segura y poder demostrarlo. Para volúmenes grandes o documentación sensible, una empresa con certificado de destrucción es la forma más sencilla de justificarlo.
La fecha, la descripción y cantidad del material, el método de destrucción, el nivel de seguridad aplicado y los datos de la empresa que lo ha destruido. Si destruyes soportes digitales, es útil que lo relacione con números de serie.
Sí. El RGPD se aplica a cualquier persona o entidad que trate datos personales, con independencia de su tamaño.