Cuánto tiempo puede conservar una empresa los datos personales según la Ley 21.719

Una empresa puede tener datos personales durante años sin preguntarse demasiado por qué los conserva. Clientes antiguos, leads que nunca compraron, postulantes a un cargo, asistentes a un evento, usuarios de una campaña, proveedores, trabajadores, registros de soporte o bases históricas pueden seguir disponibles mucho después de que terminó la finalidad original.

Durante mucho tiempo, guardar información pareció una decisión razonable. Servía para consultar antecedentes, cruzar campañas, resolver dudas o “tener respaldo” si algo ocurría. El problema aparece cuando esa conservación deja de tener una razón clara y se transforma en una práctica automática.

Con la Ley 21.719, la conversación cambia. La empresa ya no debería preguntarse solo dónde están los datos o quién accede a ellos. Tiene que preguntarse durante cuánto tiempo corresponde conservarlos y qué debería ocurrir cuando esa finalidad termina.

La ley no entrega un plazo único para todos los datos

Una de las primeras confusiones es buscar un plazo general aplicable a todos los datos personales. En la práctica, ese plazo único no existe. La Ley 21.719 establece que los datos personales pueden conservarse solo durante el período necesario para cumplir los fines del tratamiento; después deben suprimirse o anonimizarse, salvo excepciones legales. Un período mayor requiere autorización legal o consentimiento del titular.

Esto obliga a mirar cada tratamiento por separado. No es lo mismo conservar datos de una relación contractual activa, registros laborales, información contable, datos de una campaña terminada o antecedentes de un postulante que no fue seleccionado. Cada caso tiene una finalidad distinta y puede tener reglas, obligaciones o justificaciones diferentes.

Por eso el plazo de conservación no debería definirse al final del proceso, cuando alguien pide eliminar información. Debería pensarse desde el momento en que la empresa decide capturar o tratar esos datos.

La finalidad manda el tiempo de conservación

El punto más importante es la finalidad. Si una empresa recolecta datos para entregar un servicio, gestionar una compra, responder una solicitud, administrar un contrato o ejecutar una campaña, la conservación debe estar conectada con ese propósito.

Cuando la finalidad termina, la empresa necesita revisar si existe otra razón válida para conservar la información. Puede haber obligaciones legales, contractuales o defensas administrativas o judiciales que justifiquen mantener ciertos datos. Pero esa decisión debería quedar documentada, porque conservar “por si acaso” se vuelve cada vez más difícil de sostener.

Este criterio se conecta directamente con el artículo sobre cómo demostrar cumplimiento de la Ley 21.719 sin quedarse solo en documentos. La empresa no solo debe decir que cumple; necesita explicar por qué conserva determinados datos y qué criterio usa para decidir cuándo eliminarlos o anonimizarlos.

Conservar datos también implica responsabilidad

Guardar información personal no es una decisión neutra. Cada dato conservado agrega una capa de responsabilidad: debe mantenerse seguro, actualizado, accesible solo para quienes lo necesitan y disponible para responder derechos del titular cuando corresponda.

La Ley 21.719 reconoce el derecho de supresión, que permite solicitar la eliminación de datos personales en ciertos casos, entre ellos cuando ya no sean necesarios para los fines del tratamiento, cuando se haya revocado el consentimiento sin otro fundamento legal, cuando se trate de datos caducos o cuando corresponda suprimirlos por una obligación legal.

En términos prácticos, esto significa que la empresa no debería mirar la conservación como un archivo pasivo. Mientras el dato siga existiendo, debe poder administrarlo. Debe saber dónde está, quién lo usa, qué sistemas lo contienen y qué pasaría si el titular pide ejercer sus derechos.

El error de conservar por costumbre

Uno de los hallazgos más comunes al revisar datos personales es la conservación por costumbre. Una base de contactos sigue activa porque nadie la cerró. Un formulario antiguo continúa recibiendo registros. Una planilla histórica se conserva porque “podría servir”. Un proveedor externo mantiene información que la empresa dejó de usar.

Estas situaciones rara vez nacen de una decisión formal. Suelen aparecer por inercia operativa. Las áreas siguen trabajando, las herramientas quedan conectadas y la información permanece disponible aunque la finalidad inicial ya haya terminado.

El artículo sobre inventario de datos personales en empresas ayuda precisamente a detectar esos puntos. Una empresa no puede definir plazos de conservación si todavía no sabe qué datos tiene, dónde viven y quién los utiliza.

El plazo debe estar conectado al mapa de datos

Definir plazos sin mapa puede generar una falsa sensación de orden. Una empresa podría establecer una regla interna para conservar ciertos datos durante un período específico, pero si no sabe en qué sistemas aparece esa información, la regla queda incompleta.

El plazo de conservación debería conversar con el inventario de datos, el Registro de Actividades de Tratamiento y los controles de acceso. Cuando esos tres elementos se conectan, la empresa puede decidir con más claridad qué conservar, qué anonimizar, qué suprimir y qué revisar con proveedores.

Este punto se relaciona con el post sobre Registro de Actividades de Tratamiento y Ley 21.719, porque el RAT debería reflejar no solo qué actividad trata datos, sino cómo se conserva esa información durante su vida útil.

Qué pasa cuando un cliente pide eliminar sus datos

La conservación se vuelve muy concreta cuando una persona ejerce su derecho de supresión. En ese momento, la empresa necesita revisar si todavía existe una razón válida para mantener los datos o si corresponde eliminarlos.

El proceso exige más que borrar un registro visible. Si el dato aparece en CRM, formularios, planillas, plataformas de marketing, proveedores, respaldos o integraciones, la empresa necesita entender el recorrido completo antes de responder.

Este escenario lo desarrollamos en el artículo sobre qué pasa si un cliente pide eliminar sus datos. La conservación y la eliminación son dos caras del mismo trabajo: saber por qué el dato sigue existiendo y qué hacer cuando ya no corresponde mantenerlo.

Anonimizar puede ser una salida, pero no siempre es simple

La Ley 21.719 permite que, terminado el período necesario para cumplir los fines del tratamiento, los datos sean suprimidos o anonimizados, salvo excepciones. Esa alternativa puede ser útil para empresas que necesitan conservar información para análisis, estadísticas, reportes o mejora de procesos sin seguir tratando datos personales identificables.

La anonimización requiere cuidado. No basta con borrar un nombre si el resto de la información permite identificar indirectamente a una persona. Combinaciones como comuna, edad, historial de compras, fecha de atención o características específicas pueden volver a acercar el dato a una persona identificable.

Por eso la anonimización debería definirse con criterio técnico y operativo. En algunos casos bastará con eliminar identificadores directos. En otros será necesario transformar, agrupar o reducir información para evitar que el dato siga siendo personal en la práctica.

Respaldos, copias y sistemas olvidados

Los plazos de conservación suelen fallar en los lugares menos visibles. Respaldos, carpetas compartidas, exportaciones antiguas, correos con adjuntos, integraciones activas y sistemas que nadie revisa pueden conservar datos mucho después de que la empresa cree haberlos eliminado.

Esto conecta con el artículo sobre datos personales que una empresa cree haber eliminado, pero siguen apareciendo. Cuando el dato reaparece, normalmente no se trata de mala intención. Se trata de una operación que no tenía control suficiente sobre sus copias, flujos y repositorios.

Una política de conservación debería incluir esos espacios. Si solo cubre los sistemas principales, deja fuera una parte importante del riesgo operativo.

Marketing y bases históricas

Marketing suele ser una de las áreas donde más se acumulan datos. Campañas, formularios, descargas, eventos, activaciones, listas de correo, segmentaciones y audiencias históricas pueden conservar información durante años. A veces esos datos siguen activos porque alimentan reportes o porque nadie quiere perder una base que podría servir para una acción futura.

El criterio correcto debería partir por la finalidad. Si el dato fue entregado para una campaña puntual, la empresa necesita revisar si puede seguir utilizándolo para otros fines. Si el consentimiento o la información entregada al titular no cubría usos posteriores, mantenerlo activo puede generar un problema.

Este punto se complementa con el contenido sobre formularios, leads y bases de datos frente a la Ley 21.719 y con el artículo sobre documento de aceptación de uso de datos. Lo que se informa al momento de capturar el dato condiciona lo que la empresa puede hacer después.

Proveedores y encargados también deben entrar en la regla

Una empresa puede definir buenos plazos internos y aun así quedar expuesta si sus proveedores conservan datos por más tiempo del necesario. Plataformas de mailing, CRM externos, software de soporte, agencias de marketing, herramientas de analítica, servicios de automatización y operadores tecnológicos pueden mantener información por cuenta de la empresa.

La Ley 21.719 define al tercero mandatario o encargado como quien trata datos personales por cuenta del responsable.  En la práctica, eso obliga a revisar qué información reciben los proveedores, para qué la usan, cuánto tiempo la conservan y qué ocurre cuando termina el servicio o la finalidad del tratamiento.

Este será un tema clave del clúster, porque muchas empresas creen que sus datos están solo dentro de su propia infraestructura. En realidad, buena parte de la operación moderna depende de plataformas externas.

Qué debería revisar una empresa para definir plazos

Una empresa puede partir con una revisión simple, siempre que sea honesta. Lo primero es identificar las categorías de datos que conserva y relacionarlas con la finalidad que justifica su tratamiento. Después debería revisar si existe una obligación legal, contractual o administrativa que exija mantener cierta información durante un período determinado.

El siguiente paso es cruzar esa decisión con sistemas, áreas y proveedores. Un plazo que no se puede ejecutar en la operación sirve poco. La empresa necesita saber dónde aplicar la regla, quién debe hacerlo, qué evidencia queda y cómo se responde si una persona solicita la supresión de sus datos.

Este trabajo debería quedar conectado con el inventario, el RAT y los controles de acceso. Si se gestiona de forma aislada, termina siendo otra política más.

Una señal de madurez

Una empresa madura no conserva datos porque “algún día podrían servir”. Define criterios, los documenta, los ejecuta y los revisa cuando cambia la operación.

Esa madurez no aparece de un día para otro. Parte con preguntas muy concretas: qué datos tenemos, por qué los guardamos, cuánto tiempo corresponde mantenerlos, quién los usa, dónde están las copias y qué ocurre cuando la finalidad termina.

La Ley 21.719 hace más urgente este trabajo, pero el valor va más allá del cumplimiento. Reducir datos innecesarios simplifica la operación, disminuye exposición y facilita responder cuando alguien pregunta por su información.

Evalúa tu proyecto con Datactil

En Datactil ayudamos a empresas a revisar sus datos desde la operación real. Trabajamos con formularios, CRM, planillas, proveedores, accesos, integraciones, automatizaciones, inventarios y Registros de Actividades de Tratamiento para transformar la conversación legal en un plan concreto.

Si tu empresa necesita definir criterios de conservación, eliminación o anonimización de datos personales frente a la Ley 21.719, puedes partir aquí:

Evaluar proyecto con Datactil