La normativa obliga a no suprimir ni destruir datos de ficheros (ni ficheros enteros), sino a bloquearlos los plazos aplicables de cara a la exigibilidad de responsabilidades.
Bloqueo de datos
Los datos de carácter personal deben ser cancelados cuando hayan dejado de ser necesarios para la finalidad para la cual hubiesen sido recabados o registrados o cuan do el titular del datos personal así lo solicite; no obstante, deben conservarse durante el tiempo en que pueda exigirse algún tipo de responsabilidad derivada de una relación u obligación jurídica o de la ejecución de un contrato o de la aplicación de medidas precontractuales solicitadas por el interesado. Es lo que se conoce como «bloqueo», pues la cancelación no comporta la supresión o destrucción inmediata.
El bloqueo consiste en identificar y reservar los datos de forma que no sea posible su tratamiento excepto para poderlos poner a disposición de las administraciones públicas, jueces y tribunales para atender las posibles responsabilidades que hayan podido surgir y sólo durante el plazo de prescripción de estas responsabilidades.
¿Durante cuánto tiempo deben permanecer bloqueados?
No hay un plazo fijo. El Tribunal Constitucional ha establecido lo que se denomina «reserva de ley» a efectos de plazos, es decir, que cada normativa general o sectorial determinará los correspondientes plazos, por lo que no es posible establecer un único plazo. Así, como ejemplo, habría que considerar como plazo el de prescripción de las acciones que prevé la legislación civil (por ejemplo, 15 años para ejercitar acciones personales), o mercantil (por ejemplo, 6 años para la conservación de libros, correspondencia, documentación y justificantes concernientes a su negocio, debidamente ordenados a partir del último asiento realizado) o la normativa laboral (por ejemplo, 5 años para ejercitar el derecho al reconocimiento de las prestaciones), o de prevención del blanqueo de capitales, según sea el caso.
Modo de bloqueo
Una fórmula práctica sería que el personal que tuviera habitualmente acceso a ese datos ya no lo tuviera, limitándose el acceso a una persona con la máxima responsabilidad dentro de la empresa y siempre por requerimiento judicial o administrativo.
Y una vez cumplidos esos plazos, los datos deben suprimirse definitivamente, o bien conservarse previa disociación, de forma que no sea identificada la información con el titular del dato.
Pidan presupuesto sin compromiso de implantación de la normativa vigente
