Elegir una política de conservación

La pregunta que hay detrás de "cuánto tiempo deberíamos conservar esto"

El principio de limitación del plazo de conservación del RGPD (art. 5(1)(e)) dice que los datos personales deben mantenerse "durante no más tiempo del necesario" para los fines para los que se tratan. Es una obligación legal real, sea cual sea el canal que gestione — pero "necesario" no se define por sí solo, y una empresa que monta un canal desde cero tiene que traducirlo en cifras reales antes del primer día, no después de que lo pregunte un auditor. El marco siguiente es cómo pensar esa traducción; cómo lo ha implementado Provoxis es un ejemplo resuelto, no la única respuesta correcta.

El resultado de un caso debería determinar cuánto tiempo se conserva, no un único plazo general

El error que hay que evitar es elegir un único período de conservación y aplicarlo a todo lo que llega por el canal. Un asunto que resulta no tener nada que ver con el canal en absoluto no necesita la misma conservación que un hallazgo fundamentado, y un hallazgo fundamentado que sigue bajo un procedimiento legal o disciplinario activo necesita de nuevo un trato distinto — eliminar una prueba que una empresa está legalmente obligada a conservar es un problema mucho mayor que eliminarla unos meses antes de lo ideal. Un diseño de conservación sólido empieza preguntando qué implica realmente el resultado de un caso sobre cuánto tiempo sigue importando el registro, no eligiendo una cifra para todos los casos.

Una forma general razonable, independiente de cualquier proveedor concreto:

• Fuera de alcance — un asunto que en realidad no era algo que este canal debiera haber gestionado. Una conservación breve es defendible; hay poco propósito continuado en mantenerlo mucho tiempo.
• Un caso fundamentado sin procedimientos en curso — conservado durante un período significativo de varios años, suficiente para ser útil como registro si el mismo patrón se repite o se plantea una reclamación más adelante, y suficientemente breve como para no conservarse indefinidamente por defecto.
• Un caso bajo un procedimiento legal o disciplinario activo o razonablemente previsible — conservado indefinidamente, o al menos hasta que ese procedimiento concluya realmente, y nunca sujeto a eliminación automática mientras tanto. Aquí es donde la propia excepción del derecho de supresión del RGPD para la formulación, el ejercicio o la defensa de reclamaciones (art. 17(3)(e)) se vuelve directamente relevante — véase el apartado sobre retención legal más abajo para cómo se ejerce eso caso por caso, por encima del calendario que sigan los demás niveles.

Cómo lo ha implementado Provoxis hoy

Los valores por defecto de Provoxis siguen exactamente esa forma. Cuando un gestor cierra un caso, registra el resultado (Fundamentado, Parcialmente fundamentado, No fundamentado, o Remitido externamente) y, por separado, qué nivel de conservación se aplica — los dos son independientes, así que un caso No fundamentado puede seguir estando en el mismo nivel que uno Fundamentado:

• Fuera de alcance — se conserva 60 días tras el cierre, y después queda disponible para su purga automática.
• Estándar — el nivel por defecto para un caso fundamentado sin procedimientos en curso. El plazo depende del país registrado de su cuenta: cuando la ley nacional de ese país que transpone la Directiva fija un plazo concreto, Provoxis lo utiliza — hemos encontrado cifras de entre 3 meses (Chipre) y 5 años (Italia, entre otros) en la UE, con Alemania y Polonia en 3 años. Cuando la ley de un país no fija un plazo concreto, el valor por defecto es 5 años. En cualquier caso, al finalizar el plazo el caso queda disponible para su purga automática.
• Procedimiento disciplinario o legal — para un caso donde el procedimiento sigue en curso. Se conserva indefinidamente; nunca se purga automáticamente. La única forma de salir de este nivel es que un gestor reabra el caso una vez que el procedimiento concluya realmente y elija un nivel distinto al volver a cerrarlo.

Los plazos de "Fuera de alcance" y "Procedimiento disciplinario o legal" son fijos y se aplican del mismo modo en todas las empresas que usan Provoxis hoy; el plazo Estándar se determina automáticamente a partir del país registrado de su cuenta, en lugar de ser algo que usted configure. Es una posición de partida deliberada, no una carencia: los valores por defecto — incluida la cifra específica de cada país — están construidos para satisfacer el principio de limitación del plazo de conservación desde el momento en que un canal se pone en marcha, en lugar de dejar que una empresa diseñe su propio calendario desde cero antes de poder cumplir desde el primer día. Si su propio razonamiento le lleva a un resultado distinto de estas cifras concretas, eso es un resultado legítimo de aplicar usted mismo el marco anterior — el marco importa más que igualar las cifras exactas de Provoxis.

La excepción que necesita todo marco: la retención legal

Sea cual sea el calendario al que llegue, que una eliminación automatizada se ejecute sin supervisión contra un caso bajo un procedimiento legal activo o razonablemente previsible sería un problema real, no solo una molestia — y la excepción del art. 17(3)(e) del RGPD existe precisamente para que la conservación pueda anular el calendario por defecto cuando eso ocurre. En Provoxis, un administrador establece una retención — se exige un motivo, y queda registrado — y el caso queda excluido por completo de la purga automática, con independencia del nivel en el que realmente esté. Liberar una retención también exige un motivo y se registra del mismo modo; solo una vez liberada vuelve el caso a regirse por su nivel.

Por separado, un administrador de la organización puede suprimir manualmente los datos de un caso a petición — para tramitar una solicitud de supresión de un interesado que no esté cubierta por la excepción de reclamaciones legales, por ejemplo. Eso queda bloqueado por completo mientras una retención legal esté activa: la retención tiene que liberarse explícitamente primero, lo cual es en sí mismo una acción registrada, de modo que una retención nunca pueda eludirse en silencio con una eliminación manual.

Fundamento jurídico

• Art. 5(1)(e), RGPD — el principio de limitación del plazo de conservación: los datos personales se mantienen "durante no más tiempo del necesario" para el fin para el que se trataron.
• Art. 17(3)(e), RGPD — la excepción del derecho de supresión para la formulación, el ejercicio o la defensa de reclamaciones, la base de que una retención legal anule la purga automática.