Revisado el · Elaborado por el equipo de ByeFile a partir de los textos oficiales · 3 fuentes oficiales enlazadas
El RGPD obliga a no conservar datos personales más tiempo del necesario (art. 5.1.e), a suprimirlos cuando ya no hacen falta (art. 17) y a protegerlos con seguridad adecuada, también al eliminarlos (arts. 5.1.f y 32). Las multas llegan hasta 20 millones de euros o el 4 % de la facturación (art. 83.5).
Qué dice (y qué no dice) el RGPD
El Reglamento General de Protección de Datos no impone la destrucción como una obligación independiente. La obligación nace de cuatro reglas que, juntas, equivalen a «destruye lo que ya no necesitas y hazlo con seguridad»:
- Limitación del plazo de conservación (art. 5.1.e): los datos se mantienen identificables solo el tiempo necesario para sus fines.
- Derecho de supresión (art. 17.1): hay que suprimirlos sin dilación indebida cuando ya no son necesarios (17.1.a) o se han tratado ilícitamente (17.1.d).
- Integridad y confidencialidad (art. 5.1.f) y seguridad del tratamiento (art. 32): también al eliminar la información.
- Encargado del tratamiento (art. 28.3.g): la empresa que destruye por ti debe suprimir o devolver los datos al terminar el servicio, y suprimir las copias.
Artículos clave de un vistazo
| Artículo | Qué establece |
|---|---|
| 5.1.e | Limitación del plazo de conservación. |
| 5.1.f | Integridad y confidencialidad: seguridad adecuada, incluida la protección contra pérdida, destrucción o daño accidental. |
| 5.2 | Responsabilidad proactiva: debes cumplir y poder demostrarlo. |
| 17.1 | Derecho de supresión. |
| 28.3 | Contrato con el encargado del tratamiento y sus obligaciones (ver contrato de encargado). |
| 32 | Medidas técnicas y organizativas adecuadas al riesgo. |
| 33.1 | Notificación de brechas a la autoridad de control en 72 horas, si es posible. |
| 83.4 y 83.5 | Multas: hasta 10 M€ o 2 %, y hasta 20 M€ o 4 %, según la infracción (la cuantía mayor). |
Multas: cuánto y por qué
El art. 83.4 permite multas de hasta 10.000.000 € o, para una empresa, hasta el 2 % del volumen de negocio anual global (la cuantía mayor) por infringir, entre otras, las obligaciones de seguridad y de encargado (arts. 25 a 39). El art. 83.5 eleva el límite a 20.000.000 € o el 4 % cuando se vulneran los principios básicos del art. 5, como la integridad y la confidencialidad (5.1.f) o la limitación de la conservación (5.1.e).
Esos son los techos. Los importes reales que ha impuesto la AEPD por papeles mal destruidos están en sanciones de la AEPD.
Qué hacer en la práctica
Identifica qué documentos con datos personales tienes
Clientes, empleados, proveedores, pacientes, candidatos.
Consulta cuánto debes conservarlos
Usa la tabla de plazos de conservación y, si dudas, tu asesor.
Bloquea y, al vencer el plazo, destruye
Primero se reservan sin usarlos (art. 32 LOPDGDD); después se destruyen de forma que no se pueda recuperar la información.
Firma el contrato con tu empresa de destrucción
Es un encargado del tratamiento (art. 28 RGPD).
Guarda el certificado de cada destrucción
Es tu prueba documental de responsabilidad proactiva.
Preguntas frecuentes
¿El RGPD obliga a destruir documentos?
No con esas palabras, pero obliga a no conservar datos personales más tiempo del necesario (art. 5.1.e), a suprimirlos cuando ya no hacen falta (art. 17.1.a) y a protegerlos durante todo su ciclo de vida (arts. 5.1.f y 32). Destruir bien los documentos en papel es la forma práctica de cumplirlo.
¿Cuánto puede costar incumplirlo?
El RGPD fija multas de hasta 10 millones de euros o el 2 % de la facturación anual global, y de hasta 20 millones o el 4 % cuando se vulneran los principios básicos como el del art. 5. La AEPD ha impuesto en casos de papeles mal destruidos importes de entre 600 y 10.000 euros.
¿Perder papeles en la basura es una brecha de seguridad?
Sí. La guía de la AEPD incluye la «eliminación incorrecta de datos personales en formato papel» entre los tipos de brecha. Si hay riesgo para las personas, hay que notificarla a la AEPD sin dilación indebida y, si es posible, en 72 horas desde que se tiene constancia (art. 33.1).
Esta información es divulgativa y no sustituye al asesoramiento jurídico. Los plazos pueden variar según tu sector y tu comunidad autónoma: si tienes dudas, consúltalo con tu asesor o con la AEPD.