# RGPD y destrucción de documentos: obligaciones y multas

> Qué dice el RGPD sobre destruir documentos con datos personales: arts. 5, 17, 28, 32, 33 y 83, multas de hasta 20 millones y pasos prácticos. Con fuentes oficiales.

URL canónica: https://byefile.es/legislacion/rgpd-y-destruccion-de-documentos/
Última revisión: 2026-10-23

No dice «destruye» con esas palabras, pero lo exige por cuatro vías. Te las explicamos con el artículo exacto.

**Revisado el 23 de octubre de 2026** · Elaborado por el equipo de ByeFile a partir de los textos oficiales · 3 fuentes oficiales enlazadas

**El RGPD obliga a no conservar datos personales más tiempo del necesario (art. 5.1.e), a suprimirlos cuando ya no hacen falta (art. 17) y a protegerlos con seguridad adecuada, también al eliminarlos (arts. 5.1.f y 32).** Las multas llegan hasta 20 millones de euros o el 4 % de la facturación (art. 83.5).

## En esta página

1. [Qué dice (y qué no dice) el RGPD](#que-dice)
2. [Artículos clave de un vistazo](#articulos)
3. [Multas: cuánto y por qué](#multas)
4. [Qué hacer en la práctica](#practica)

## Qué dice (y qué no dice) el RGPD

El Reglamento General de Protección de Datos no impone la destrucción como una obligación independiente. La obligación nace de cuatro reglas que, juntas, equivalen a «destruye lo que ya no necesitas y hazlo con seguridad»:

- **Limitación del plazo de conservación** (art. 5.1.e): los datos se mantienen identificables solo el tiempo necesario para sus fines.
- **Derecho de supresión** (art. 17.1): hay que suprimirlos sin dilación indebida cuando ya no son necesarios (17.1.a) o se han tratado ilícitamente (17.1.d).
- **Integridad y confidencialidad** (art. 5.1.f) y **seguridad del tratamiento** (art. 32): también al eliminar la información.
- **Encargado del tratamiento** (art. 28.3.g): la empresa que destruye por ti debe suprimir o devolver los datos al terminar el servicio, y suprimir las copias.

## Artículos clave de un vistazo

| Artículo | Qué establece |
| --- | --- |
| 5.1.e | Limitación del plazo de conservación. |
| 5.1.f | Integridad y confidencialidad: seguridad adecuada, incluida la protección contra pérdida, destrucción o daño accidental. |
| 5.2 | Responsabilidad proactiva: debes cumplir y poder demostrarlo. |
| 17.1 | Derecho de supresión. |
| 28.3 | Contrato con el encargado del tratamiento y sus obligaciones (ver [contrato de encargado](https://byefile.es/legislacion/contrato-encargado-del-tratamiento/)). |
| 32 | Medidas técnicas y organizativas adecuadas al riesgo. |
| 33.1 | Notificación de brechas a la autoridad de control en 72 horas, si es posible. |
| 83.4 y 83.5 | Multas: hasta 10 M€ o 2 %, y hasta 20 M€ o 4 %, según la infracción (la cuantía mayor). |

## Multas: cuánto y por qué

El art. 83.4 permite multas de hasta **10.000.000 €** o, para una empresa, hasta el **2 %** del volumen de negocio anual global (la cuantía mayor) por infringir, entre otras, las obligaciones de seguridad y de encargado (arts. 25 a 39). El art. 83.5 eleva el límite a **20.000.000 €** o el **4 %** cuando se vulneran los principios básicos del art. 5, como la integridad y la confidencialidad (5.1.f) o la limitación de la conservación (5.1.e).

Esos son los techos. Los importes reales que ha impuesto la AEPD por papeles mal destruidos están en [sanciones de la AEPD](https://byefile.es/legislacion/sanciones-aepd-documentos-mal-destruidos/).

## Qué hacer en la práctica

1. 01Identifica qué documentos con datos personales tienesClientes, empleados, proveedores, pacientes, candidatos.
2. 02Consulta cuánto debes conservarlosUsa la tabla de plazos de conservación y, si dudas, tu asesor.
3. 03Bloquea y, al vencer el plazo, destruyePrimero se reservan sin usarlos (art. 32 LOPDGDD); después se destruyen de forma que no se pueda recuperar la información.
4. 04Firma el contrato con tu empresa de destrucciónEs un encargado del tratamiento (art. 28 RGPD).
5. 05Guarda el certificado de cada destrucciónEs tu prueba documental de responsabilidad proactiva.

## Preguntas frecuentes

No con esas palabras, pero obliga a no conservar datos personales más tiempo del necesario (art. 5.1.e), a suprimirlos cuando ya no hacen falta (art. 17.1.a) y a protegerlos durante todo su ciclo de vida (arts. 5.1.f y 32). Destruir bien los documentos en papel es la forma práctica de cumplirlo.

El RGPD fija multas de hasta 10 millones de euros o el 2 % de la facturación anual global, y de hasta 20 millones o el 4 % cuando se vulneran los principios básicos como el del art. 5. La AEPD ha impuesto en casos de papeles mal destruidos importes de entre 600 y 10.000 euros.

Sí. La guía de la AEPD incluye la «eliminación incorrecta de datos personales en formato papel» entre los tipos de brecha. Si hay riesgo para las personas, hay que notificarla a la AEPD sin dilación indebida y, si es posible, en 72 horas desde que se tiene constancia (art. 33.1).

## Sigue leyendo

- [Bloqueo de datos: el paso entre suprimir y destruir](https://byefile.es/legislacion/bloqueo-de-datos-lopdgdd/)
- [Plazos de conservación por tipo de documento](https://byefile.es/legislacion/plazos-de-conservacion-de-documentos/)

## Fuentes oficiales

- [Reglamento (UE) 2016/679 (RGPD), DOUE L 119](https://www.boe.es/doue/2016/119/L00001-00088.pdf)
- [Ley Orgánica 3/2018 (LOPDGDD), texto consolidado](https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673)
- [AEPD, Guía para la notificación de brechas de datos personales](https://www.aepd.es/guias/guia-brechas-seguridad.pdf)

Esta información es divulgativa y no sustituye al asesoramiento jurídico. Los plazos pueden variar según tu sector y tu comunidad autónoma: si tienes dudas, consúltalo con tu asesor o con la AEPD.