Abre la carpeta donde guardas los currículums que te han llegado en los últimos años. Ahora abre tu lista de contactos de clientes, con los que compraron una vez y nunca volvieron. Si eres como la mayoría de las pymes, en ambos sitios hay datos personales que guardas "por si acaso", sin haber decidido nunca hasta cuándo ni para qué.
Ese "por si acaso" tiene un problema. La normativa de protección de datos exige, en esencia, que no se conserven datos personales más tiempo del necesario para la finalidad con la que se recogieron. Lo que no necesitas ni estás obligado a guardar, sobra. Y cada dato de más es un riesgo de más: si hay una fuga, una reclamación o una petición de supresión, cuantos más datos viejos tengas, más complicado resulta.
Las grandes empresas lo resuelven con una política de retención: un documento que dice, para cada tipo de dato, cuánto tiempo se guarda, por qué y qué se hace cuando vence. En una pyme no hace falta un departamento jurídico para tener una, pero sí hace falta hacerla. Y lo más pesado, que es vigilar qué ha caducado, se puede encargar a un agente.
Qué es una política de retención, en sencillo
Una tabla con cuatro columnas:
- Tipo de dato: currículums de candidatos, datos de clientes, facturas, correos de contacto, grabaciones, datos de empleados...
- Para qué lo usas: la finalidad por la que lo recogiste.
- Cuánto tiempo lo guardas: el plazo.
- Qué pasa al vencer: se borra, se anonimiza o se archiva con acceso restringido.
Lo importante es que cada plazo tenga una razón. Hay datos que la ley te obliga a conservar durante un tiempo (los relacionados con obligaciones fiscales, mercantiles o laborales, por ejemplo) y otros que solo puedes guardar mientras sean necesarios para lo que los recogiste o mientras la persona no retire su consentimiento.
Quién fija los plazos: tú, con tu asesor
Aquí hay que ser muy claro: los plazos concretos no los decide un agente ni los copias de internet. Dependen del tipo de dato, de tu sector, de las obligaciones legales que te apliquen y, en muchos casos, de tu situación particular. Para fijarlos:
- Haz un inventario de los datos personales que manejas y dónde están.
- Llévalo a tu asesor o a un profesional de protección de datos, que te dirá qué obligaciones de conservación tienes y qué plazos son razonables en cada caso.
- Anota el resultado en la tabla, con la razón de cada plazo.
Con candidatos, por ejemplo, el criterio habitual es conservar su información mientras dure el proceso de selección y, si quieres guardarla para futuras vacantes, pedirles permiso y decirles por cuánto tiempo. Lo que proceda en tu caso concreto, que lo confirme un profesional.
Qué hace el agente
Una vez definida la tabla, el agente se ocupa de lo que ninguna persona hace con constancia: mirar.
- Recorre tus fuentes de datos, las que le permitas: el programa de clientes, la carpeta de candidaturas, la bandeja de correo, las hojas de cálculo.
- Compara la fecha de cada registro con el plazo de su categoría.
- Marca los datos que ya superaron el plazo y prepara una lista de revisión: qué es, de cuándo es y qué política le aplica.
- Señala casos dudosos, por ejemplo un cliente antiguo que vuelve a tener actividad, o un candidato al que prometiste guardar el perfil para otra vacante.
- Registra lo que se hizo: qué se revisó, cuándo y quién aprobó el borrado, para poder demostrarlo si te lo piden.
- Te avisa con antelación de los plazos que vencen pronto.
Por ejemplo, en una pyme de formación (caso hipotético) con una carpeta llena de candidaturas a puestos de docente de hace varios años, el agente las agrupa por fecha, detecta las que superan el plazo definido y las presenta en una lista, con el nombre del proceso al que pertenecían. La responsable las revisa y confirma cuáles se borran.
Qué sigue haciendo una persona
- Aprobar el borrado. Borrar es irreversible. El agente marca y propone; una persona revisa y confirma. Sin aprobación, no se elimina nada.
- Decidir las excepciones. Un dato puede necesitar conservarse por una reclamación en curso, una inspección o una obligación legal específica. Eso no lo sabe el agente.
- Atender a las personas. Si alguien ejerce su derecho de supresión o de acceso, lo gestiona una persona, con el apoyo del agente si se quiere.
- Revisar la política cada cierto tiempo, porque cambian los servicios, las herramientas y a veces la normativa.
Por dónde empezar
- Elige dos tipos de dato: los currículums y los datos de clientes inactivos suelen ser los más acumulados.
- Define los plazos con tu asesor y apúntalos.
- Pide al agente que solo liste, sin tocar nada, lo que supera el plazo. Revisa la lista con calma.
- Borra lo aprobado, y deja constancia de fecha y de quién lo aprobó.
- Repite con un calendario fijo, por ejemplo cada trimestre, y amplía a más tipos de dato.
Si quieres complementar, puedes leer cómo gestionar solicitudes de derechos RGPD con IA y cómo implantar IA cumpliendo el RGPD.
Qué cuidar
- Copias y duplicados. Un dato suele estar en más de un sitio: el correo, la hoja, la copia de seguridad. Borrar en uno no borra en todos. Anota dónde están.
- Copias de seguridad. Explica en tu política cuánto tardan en renovarse, para no prometer un borrado que técnicamente no es inmediato.
- El propio agente. Que el agente acceda a datos personales también es un tratamiento: limita a qué accede, y no dejes que conserve copias propias más allá de lo necesario.
- No improvises. Si un plazo te genera dudas, consulta antes de borrar o de conservar.
- Transparencia. Tu política de privacidad debe decir, en lenguaje claro, cuánto tiempo guardas cada tipo de dato.
Conclusión
Saber cuándo borrar es tan importante como saber qué guardar. La política de retención, con plazos definidos junto a tu asesor, te ordena el problema; un agente se encarga de mirar cada cierto tiempo qué datos ya los han superado y de presentarte la lista, y una persona revisa y aprueba cada borrado.
En MG Solutions construimos agentes de IA específicos para cada empresa, adaptados a tu forma de trabajar y a tus herramientas, no una plantilla genérica.
Si quieres ver cómo encajaría en tu empresa, escríbenos y lo hablamos.