Revisado el · Elaborado por el equipo de ByeFile a partir de los textos oficiales · 18 fuentes oficiales enlazadas
¿Cómo debe una clínica o consulta médica destruir historias clínicas y documentos? Triturándolos o entregándolos a una empresa de destrucción certificada, pero solo cuando haya pasado el plazo legal de conservación. A nivel estatal la historia clínica se guarda como mínimo 5 años desde el alta de cada proceso asistencial (Ley 41/2002, art. 17); en Cataluña ciertos documentos se conservan 15 años y en otras comunidades depende de su normativa. Necesitas un contrato de encargado (art. 28 RGPD) y es recomendable un certificado de cada destrucción.
24 preguntas y respuestas
¿Cómo debe una clínica o consulta médica destruir historias clínicas y documentos?
Triturándolos o entregándolos a una empresa de destrucción certificada, pero solo cuando haya pasado el plazo legal de conservación. A nivel estatal la historia clínica se guarda como mínimo 5 años desde el alta de cada proceso asistencial (Ley 41/2002, art. 17); en Cataluña ciertos documentos se conservan 15 años y en otras comunidades depende de su normativa. Necesitas un contrato de encargado (art. 28 RGPD) y es recomendable un certificado de cada destrucción.
¿Cómo destruyen las farmacias recetas y datos de pacientes?
Con una trituradora adecuada o con una empresa especializada, nunca rompiendo los papeles a mano ni tirándolos al contenedor. La AEPD sancionó con 10.000 € a una farmacia (PS/00538/2022) por tirar a un contenedor documentos de pacientes rotos a mano, que seguían siendo legibles. Son datos de salud, así que el riesgo es alto; para los plazos de conservación, consulta la tabla de plazos y la normativa sectorial.
¿Qué deben hacer los dentistas con las fichas de pacientes antiguas?
Conservarlas durante el plazo legal y, pasado este, destruirlas de forma segura. La Ley 41/2002 (art. 17) fija un mínimo de 5 años desde el alta de cada proceso asistencial, aunque puede ser más según el caso; en Cataluña ciertos documentos llegan a 15 años y en otras comunidades depende de su norma propia. Antes de destruir, comprueba que no haya litigios ni otros motivos para conservarlas.
¿Cómo debe un despacho de abogados destruir expedientes de clientes?
Con destrucción certificada, una vez cumplidos los plazos y tras devolver al cliente su documentación si la reclama. El Estatuto General de la Abogacía (art. 48.7) prohíbe retener la documentación del cliente, aunque permite conservar copia; no fija un plazo de archivo de 5 años. Si el despacho es sujeto obligado de la Ley 10/2010, aplican 10 años.
¿Cuándo puede un abogado destruir un expediente archivado?
Cuando haya vencido el plazo que le corresponda en su caso, y no hay un único plazo cerrado. El Estatuto General de la Abogacía no fija 5 años; los plazos salen de otras normas: 10 años si es sujeto obligado de la Ley 10/2010 (art. 25) y la prescripción civil de 5 años (Código Civil, art. 1964.2) y fiscal. Para el plazo de tu colegio, consulta con él.
¿Cómo debe una gestoría o asesoría destruir documentación de clientes?
Primero respetando los plazos y después con destrucción certificada y contrato de encargado. Como referencia, el Código de Comercio exige guardar libros y justificantes 6 años (art. 30), la prescripción tributaria general es de 4 años (LGT, art. 66) y llega a 10 para bases imponibles negativas (art. 66 bis.2). Si tratas datos por cuenta del cliente, él decide si se suprimen o se devuelven.
¿Qué obligaciones tiene una gestoría al terminar la relación con un cliente?
Si trata los datos como encargada, debe suprimir o devolver todos los datos a elección del cliente y borrar las copias (RGPD, art. 28.3.g). La excepción es que una norma obligue a conservarlos. Conviene dejarlo por escrito y documentar la destrucción, porque el responsable debe poder demostrar que cumple (art. 5.2).
¿Cómo debe un hotel destruir las fichas de viajeros y los documentos de huéspedes?
Con trituración segura o destrucción certificada cuando ya no los necesites y haya pasado el plazo que te aplique. No te damos aquí un plazo cerrado porque depende de la normativa sectorial; consulta la tabla de plazos. Como regla general, los datos no pueden guardarse más tiempo del necesario (RGPD, art. 5.1.e) y, si procede suprimirlos, se bloquean hasta que prescriban posibles responsabilidades y luego se destruyen (LOPDGDD, art. 32).
¿Qué deben hacer los hoteles con las copias de DNI y pasaportes?
Conservarlas solo mientras haya una obligación o una finalidad que lo justifique y destruirlas de forma segura después. El plazo concreto depende de la normativa sectorial y no lo fijamos aquí; consulta la tabla de plazos. Lo que sí está claro es que los datos no deben mantenerse más tiempo del necesario (RGPD, art. 5.1.e) y que tirar copias de documentos de identidad a la basura es un riesgo de brecha.
¿Cómo gestiona un colegio la destrucción de expedientes y exámenes?
Aplicando los plazos de la normativa educativa que le corresponda y destruyendo de forma certificada lo que ya no deba conservar. No fijamos aquí plazos concretos porque dependen de esa normativa; consulta la tabla de plazos. En todo caso, los datos de alumnos, muchos de ellos menores, no pueden guardarse más tiempo del necesario (RGPD, art. 5.1.e) y deben protegerse hasta su destrucción.
¿Qué deben hacer las universidades con documentos de alumnos?
Conservar lo que obligue su normativa y destruir de forma segura el resto cuando prescriban los plazos. No damos aquí plazos concretos porque dependen de la normativa educativa y de archivos aplicable. Si la universidad es pública, se aplica además el Esquema Nacional de Seguridad, cuya medida mp.si.5 regula el borrado y la destrucción de soportes, incluidos los no electrónicos como el papel.
¿Cómo destruye una comunidad de vecinos la documentación del administrador?
Con destrucción certificada, una vez revisados los plazos que apliquen a cada documento. No fijamos aquí plazos concretos porque dependen de la normativa sectorial; consulta la tabla de plazos. Si el administrador trata datos por cuenta de la comunidad, al terminar debe suprimirlos o devolverlos según decida la comunidad (RGPD, art. 28.3.g), y conviene guardar el certificado de destrucción.
¿Cómo gestiona un administrador de fincas la documentación antigua?
Clasificándola por plazos, conservando lo que obligue la ley y destruyendo de forma certificada lo vencido. Los plazos concretos dependen de la normativa sectorial, así que consulta la tabla de plazos. Guardar papeles sin límite no es buena idea: el RGPD exige no mantener los datos más tiempo del necesario (art. 5.1.e) y un archivo viejo es un riesgo si alguien accede a él.
¿Cómo deben las administraciones públicas destruir documentos?
Aplicando el Esquema Nacional de Seguridad (RD 311/2022), cuya medida mp.si.5 regula el borrado y la destrucción de soportes, incluidos los no electrónicos como el papel. La disposición adicional 1.ª de la LOPDGDD lo refuerza, y las empresas privadas que prestan servicios a entidades públicas también pueden quedar sujetas. Además, la eliminación en archivos públicos depende de la normativa de archivos aplicable.
¿Qué es la eliminación documental en un archivo público y quién la autoriza?
Es la destrucción de documentos de un archivo público, y no se hace libremente: requiere un procedimiento propio. Quién la autoriza y cómo se tramita depende de la normativa de archivos aplicable, y no lo detallamos aquí. Una vez autorizada, la destrucción física puede encargarse a una empresa con certificado, y si es proveedor de una entidad pública puede estar sujeta al ENS.
¿Cómo debe un autónomo destruir documentos con datos de clientes?
Con una trituradora adecuada o una empresa especializada, y solo cuando haya pasado el plazo de conservación. Como referencia, libros y justificantes se guardan 6 años (Código de Comercio, art. 30) y las facturas, según el plazo de la LGT (4 años de prescripción general). La AEPD ha sancionado a una persona física, una farmacia, con 10.000 € por tirar documentos rotos a mano. ByeFile atiende a profesionales con contratos desde 149 € al año.
¿Tiene que destruir documentos certificadamente un autónomo sin empleados?
La ley no exige un certificado concreto, pero sí proteger los datos hasta su destrucción y poder demostrarlo. El RGPD pide seguridad adecuada (arts. 5.1.f y 32) y responsabilidad proactiva (art. 5.2), y se aplica aunque no tengas empleados si manejas datos de clientes. Un certificado de destrucción es la forma más sencilla de acreditar que cumpliste.
¿Cómo destruyen los bancos y aseguradoras la documentación de clientes?
Respetando los plazos de su normativa sectorial y destruyendo de forma segura lo vencido. Los bancos y otras entidades que sean sujetos obligados de la Ley 10/2010 de prevención del blanqueo conservan 10 años la documentación de diligencia debida (art. 25), con acceso restringido tras 5 años; comprueba si tu entidad lo es. Para el resto de documentos, consulta la tabla de plazos y la normativa aplicable.
¿Cómo deben los departamentos de RRHH destruir currículums y nóminas?
Con destrucción certificada y respetando los plazos de cada documento. Para los currículums no hay un plazo general fijado por la AEPD: sin proceso abierto ni consentimiento deben destruirse. Para nóminas y contratos no hay un plazo expreso; una referencia prudente es el mayor entre 4 años (Seguridad Social y tributario) y 6 (Código de Comercio). El registro de jornada se guarda 4 años (Estatuto de los Trabajadores, art. 34.9).
¿Cómo debe una inmobiliaria destruir contratos y copias de DNI?
Con destrucción certificada una vez vencidos los plazos. Para contratos mercantiles no hay un plazo expreso: como referencia prudente se toma el de 6 años del Código de Comercio (art. 30) y el de prescripción de las acciones del contrato. Si eres sujeto obligado de prevención del blanqueo, se conserva 10 años (Ley 10/2010, art. 25). Las copias de DNI no deben guardarse más tiempo del necesario.
¿Cómo debe una academia o gimnasio eliminar fichas de socios?
Cuando el socio se da de baja y ya no necesites los datos, se bloquean hasta que prescriban posibles responsabilidades y después se destruyen (LOPDGDD, art. 32). No hay un plazo sectorial que podamos darte aquí. Tirar las fichas a la basura sale caro: la AEPD multó con 600 € a un club deportivo por una caja con carnés y fichas, muchas de menores (EXP202414976).
¿Cómo destruyen los talleres y concesionarios los datos de clientes?
Con trituración segura o destrucción certificada, cuando ya no sea necesario conservarlos. Para facturas y justificantes, el plazo de referencia es el de la LGT, 4 años de prescripción general, y para libros y documentación del negocio 6 años (Código de Comercio, art. 30). Pasado el plazo, no los tires a la basura: es una brecha de confidencialidad.
¿Cómo debe una pyme cumplir el RGPD al destruir documentos?
Conservando cada documento solo el tiempo necesario, bloqueando los datos hasta que prescriban las responsabilidades y destruyéndolos de forma segura. Hacen falta además contrato de encargado con la empresa de destrucción (art. 28.3) y poder demostrar el cumplimiento (art. 5.2), por ejemplo con el certificado. El techo de multa es de 10 M€ o el 2 % para las obligaciones de seguridad y de encargado (art. 83.4), y de 20 M€ o el 4 % si se vulneran los principios del art. 5 (art. 83.5), aunque las sanciones vistas a pymes han sido mucho menores.
¿Cómo debe una ONG o asociación destruir fichas de socios y beneficiarios?
Con destrucción certificada cuando ya no necesite los datos, tras bloquearlos durante el plazo de prescripción de responsabilidades (LOPDGDD, art. 32). Si hay datos de menores o personas vulnerables, el cuidado debe ser mayor: la AEPD multó con 600 € a un club por fichas de menores en un contenedor. ByeFile ha colaborado con asociaciones como Justalegría.
Esta información es divulgativa y no sustituye al asesoramiento jurídico. Los plazos pueden variar según tu sector y tu comunidad autónoma: si tienes dudas, consúltalo con tu asesor o con la AEPD.