Elaborar un concepto de supresión con plazos de conservación para datos personales

Los datos personales de candidaturas, contratos de clientes o boletines acaban en muchas empresas en bases de datos y permanecen allí almacenados a menudo mucho más tiempo del que permite el RGPD.

En resumen: un concepto de supresión (Löschkonzept) establece, para cada categoría de datos personales, cuándo deben suprimirse en cuanto desaparece la finalidad del tratamiento y ya no existe ninguna obligación legal de conservación. Se basa en el art. 17 RGPD y en el principio de limitación del plazo de conservación del art. 5, apartado 1, letra e), RGPD. Sin plazos de supresión documentados se exponen multas de hasta 20 M€ o el 4 % del volumen de negocio anual.

¿Qué es un concepto de supresión?

Un concepto de supresión es un documento interno que fija, para cada categoría de datos tratada en la empresa (por ejemplo datos de clientes, datos de candidatos o datos de registro), un plazo de supresión concreto, así como la persona responsable y el procedimiento técnico de la supresión. Aplica en la práctica empresarial el principio de limitación del plazo de conservación del art. 5, apartado 1, letra e), RGPD y hace realmente exigible para los afectados el derecho de supresión del art. 17 RGPD. El punto de partida es, por lo general, el registro de las actividades de tratamiento, del que pueden deducirse las categorías de datos y los lugares de almacenamiento. Afecta no solo a las bases de datos centrales de los departamentos, sino también a los buzones de correo electrónico, los almacenamientos en la nube y los archivos en papel, en los que pueden encontrarse las mismas categorías de datos personales.

¿Por qué es obligatorio un concepto de supresión?

Un concepto de supresión es obligatorio porque, según el RGPD, los datos personales solo pueden conservarse el tiempo que se necesiten para la finalidad original. Si la finalidad desaparece y ya no existe obligación legal de conservación, los datos deben suprimirse; sin plazos y rutinas establecidos, en la práctica esto apenas ocurre de forma sistemática. La falta de un concepto de supresión es una de las objeciones más frecuentes en las inspecciones de protección de datos y puede sancionarse con multas de hasta 20 M€ o el 4 % del volumen de negocio anual. Quien hace revisar sus obligaciones de cumplimiento en el marco de un Company Audit se topa, por tanto, casi siempre también con el tema del concepto de supresión.

¿Cómo se elabora un concepto de supresión en 5 pasos?

Un concepto de supresión surge en cinco pasos consecutivos que se orientan por el registro de las actividades de tratamiento. En lugar de inventar un plazo para cada categoría de datos por separado, muchas empresas se orientan por clases de supresión predefinidas con plazos habituales, que luego se trasladan a sus propias categorías de datos. Una estructura acreditada para las clases de supresión y los plazos la ofrece la norma DIN 66398, que se ha impuesto ampliamente en la práctica:

1. Tomar las categorías de datos y los lugares de almacenamiento del registro de las actividades de tratamiento.
2. Determinar para cada categoría el plazo de supresión (desaparición de la finalidad más los plazos legales de conservación).
3. Establecer rutinas de supresión técnicas y organizativas (también para copias de seguridad y archivos).
4. Documentar las responsabilidades y los ciclos de supresión.
5. Realizar las supresiones con regularidad y registrarlas de forma demostrable.

¿Qué prevalece: la supresión o la obligación de conservación?

Las obligaciones fiscales de conservación prevalecen sobre la supresión: los datos personales solo pueden suprimirse tras el vencimiento del plazo legal correspondiente, aunque la finalidad original del tratamiento ya haya desaparecido. En el plazo de supresión de cada categoría de datos debe quedar, por tanto, firmemente anclado este orden: la desaparición de la finalidad se prolonga con el plazo de conservación aplicable antes de que se active la supresión propiamente dicha. Esto vale igualmente para las copias de seguridad y los archivos, que con frecuencia se pasan por alto aunque allí rigen los mismos plazos.

¿Con qué frecuencia debe revisar el concepto de supresión?

El concepto de supresión debería revisarse cada año para recoger con prontitud nuevas categorías de datos, plazos de conservación modificados o lugares de almacenamiento cambiados. Una rutina anual fija de revisión garantiza que los plazos de supresión, las responsabilidades y las supresiones efectivamente realizadas sigan siendo coherentes con el registro de las actividades de tratamiento y estén documentados de forma demostrable en caso necesario. Además de la revisión anual, conviene actualizar el concepto de supresión cuando se produzca un motivo concreto, por ejemplo al introducir un nuevo sistema informático o cuando cambie un plazo legal de conservación.

¿Qué ocurre sin un concepto de supresión?

Sin concepto de supresión, las empresas se arriesgan a multas de hasta 20 M€ o el 4 % del volumen de negocio anual, ya que un concepto de supresión inexistente o incompleto es un hallazgo frecuente de las autoridades de control. Además, los afectados no pueden hacer valer de forma fiable su derecho de supresión del art. 17 RGPD si no existen plazos ni responsabilidades documentados.

Preguntas frecuentes

¿Quién es responsable del concepto de supresión?

Es responsable la empresa como responsable del tratamiento en materia de protección de datos; la aplicación suele asignarse a responsables documentados para cada categoría de datos, que se recogen en el propio concepto de supresión.

¿Se aplica el concepto de supresión también a las copias de seguridad?

Sí, las rutinas de supresión técnicas y organizativas deben incluir expresamente también las copias de seguridad y los archivos, ya que los datos personales no pueden conservarse allí más tiempo que en el sistema productivo.

¿Qué es la DIN 66398?

La DIN 66398 es una norma que ofrece una estructura acreditada para las clases y los plazos de supresión y que se utiliza con frecuencia como plantilla para elaborar un concepto de supresión empresarial.

¿Pueden suprimirse los datos inmediatamente tras desaparecer la finalidad?

Solo si ya no existe obligación legal de conservación. Los plazos fiscales de conservación prevalecen sobre la supresión, de modo que los datos solo pueden suprimirse realmente tras su vencimiento.

¿Con qué frecuencia deben documentarse las supresiones?

Las supresiones deben realizarse con regularidad y registrarse cada vez de forma demostrable, para que pueda acreditarse en las inspecciones el cumplimiento de los plazos de supresión fijados.

Fuente: art. 17 RGPD, art. 5, apartado 1, letra e), RGPD. Este artículo es información de carácter general y no sustituye el asesoramiento jurídico en un caso concreto. Fecha: julio de 2026.