¿Cuándo puedo o debo destruir los datos personales?
¿Cuándo puedo o debo destruir los datos personales?
I.- Introducción
En efecto de acuerdo con la Ley Orgánica de Protección de Datos Personales (LOPD), Ley 15/1999 (Base de Datos Economist & Jurist Legislación, Marginal-.) nos indica en el art. 4.1 (sic): «Los datos personales sólo se podrán recoger para su tratamiento´´ y el siguiente apartado art. 4.2; «No se considerará incompatible el tratamiento posterior de éstos (los datos personales) con fines históricos, estadísticos o científicos´´ y para acabar citamos el mismo artículo 4.5: «Los datos de carácter personal serán cancelados cuando hayan dejado de ser necesario o pertinentes para la finalidad para la cual hubieran sido recabados o registrados´´.
«No serán conservados en forma que permita la identificación del interesado durante un período superior al necesario para los fines en base a los cuales hubieran sido recabados o registrados´´
Todo ello deja meridianamente claro que la obtención y conservación de los datos personales siempre debe estar orientada a un fin concreto, que es el que legitima su obtención y posterior tratamiento.
II.- El artículo 16 de la LOPD
Una vez finalizada la eficacia de dicha finalidad, los datos deben ser cancelados. ¿Qué se debe entender por cancelación? Para dar respuesta a esta pregunta recurrimos al Art. 16 «Derecho de rectificación y cancelación´´ en el que su epígrafe 3 se dispone textualmente: «la cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones Públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstos. Cumplido el plazo deberá procederse a la cancelación´´ y el epígrafe 5 del mismo artículo (sic): «Los datos de carácter personal deberán ser conservados durante los plazos previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales entre las personas o entidades responsables del tratamiento y el interesado´´. El contenido de estos dos párrafos transcritos deviene fundamental para dar respuesta a la pregunta que nos ocupa.
Debemos llamar la atención del lector sobre algunas expresiones contenidas en ellas:
– Bloqueo de los datos.
– Posibles responsabilidades.
– Plazo de prescripción (de las responsabilidades).
– Disposiciones aplicables.
Bloqueo de los datos. Dice el artículo 16.3 que la cancelación dará lugar al bloqueo de los datos. No habla de momento de su eliminación, porque los datos deberán conservarse a disposición de diferentes instancias judiciales y administrativas durante el plazo de prescripción de posibles responsabilidades nacidas del tratamiento. El referido plazo de prescripción es variable y su duración está prevista, según el Art. 16.5 en las disposiciones aplicables y, en su caso, en las relaciones contractuales que dieron origen a la recogida de los datos. Y para rematar tan intrincado asunto debemos recurrir a la última disposición del epígrafe 16.3; «Cumplido el citado plazo (de prescripción), deberá procederse a su supresión (de los datos)´´
III.- Plazos de prescripción de responsabilidades
Llegados a este punto nos vemos en la obligación de recurrir a todas aquellas «disposiciones aplicables´´ que son múltiples y de muy diversa naturaleza por encontrarnos ante lo que podríamos llamar una «norma administrativa en blanco´´ en lo relativo a los plazos de prescripción de responsabilidades.
A) Para empezar debemos remitirnos, lógicamente, a la ley que nos ocupa LOPD en su art. 47 que transcribimos íntegramente por su importancia.
«Art. 47:
1. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año.
2. El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido.
3. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador estuviere paralizado durante más de seis meses por causas no imputables al presunto infractor.
4. Las sanciones impuestas por faltas muy graves prescribirán a los tres años, las impuestas por faltas graves a los dos años y las impuestas por faltas leves al año.
5. El plazo de prescripción de las sanciones comenzará a contarse desde el día siguiente a aquel en que adquiera firmeza la resolución por la que se impone la sanción.
6. La prescripción se interrumpirá por la iniciación, con conocimiento del interesado, del procedimiento de ejecución, volviendo a transcurrir el plazo si el mismo está paralizado durante más de seis meses por causa no imputable al infractor.
B) Instrucción 1/1996, de 1 de marzo, de la Agencia de Protección de Datos, sobre ficheros automatizados establecidos con la finalidad de controlar el acceso a los edificios:
Norma quinta.- Cancelación de los datos.
Los datos de carácter personal deberán ser destruidos cuando haya transcurrido el plazo de un mes, contado a partir del momento en que fueron recabados.
La Instrucción 2/1996 de 1 de marzo, de la Agencia de Protección de Datos, sobre ficheros automatizados establecidos con la finalidad de controlar el acceso a los casinos y salas de bingo establece en su norma quinta que los datos de carácter personal deberán ser destruidos cuando haya transcurrido el plazo de seis meses, contado a partir de la fecha del último acceso.
Conclusión: de acuerdo con el régimen sancionador y de las responsabilidades derivadas del mismo, en términos generales los datos deberán conservarse (sin tratamiento) por un plazo de tres años a contar desde la finalización del referido tratamiento. En el bien entendido que si con anterioridad al vencimiento de dicho plazo se notifica el inicio de un expediente sancionador, se deberá estar a lo dispuesto en este artículo en relación con las interrupciones de la prescripción. Al respecto es importante avisar a los responsables de ficheros que un aviso de apertura de expediente de inspección por parte de la Agencia Estatal de Protección de Datos, tiene todas las probabilidades de acabar en expediente sancionador. Y al paso de este comentario, valga decir que el mismo es perfectamente aplicable al resto de consideraciones respecto de todas y cada una de las normas que expondremos a continuación.
C) En el Código de comercio su artículo 30 impone al empresario una genérica obligación de conservación de «libros, correspondencia, documentación y justificantes concernientes a su negocio´´, incluye la de conservación de las facturas. El tenor literal de la norma es:
1. Los empresarios conservarán los libros, correspondencia, documentación y justificantes concernientes a su negocio, debidamente ordenados, durante seis años, a partir del último asiento realizado en los libros, salvo lo que se establezca por disposiciones generales o especiales.
2. El cese del empresario en el ejercicio de sus actividades no le exime del deber a que se refiere el párrafo anterior y si hubiese fallecido recaerá sobre sus herederos. En caso de disolución de sociedades, serán sus liquidadores los obligados a cumplir lo prevenido en dicho párrafo.
D) Impuesto sobre el Valor Añadido:
La Ley 53/2002, de 30 diciembre de Medidas Fiscales, Administrativas y de Orden Social añade un nuevo artículo, el 140, en la Ley 37/1992, de 28 de diciembre, del Impuesto sobre el Valor Añadido, que quedará redactado de la siguiente manera:
`Artículo 140 series. Conservación de las facturas.
Los empresarios y profesionales que realicen operaciones que tengan por objeto oro de inversión, deberán conservar las copias de las facturas correspondientes a dichas operaciones, así como los registros de las mismas, durante un período de cinco años«.
E) Impuesto sobre Sociedades: el Real Decreto legislativo 4/2004, de 5 de marzo, por el que se aprueba el texto refundido de la Ley del Impuesto sobre Sociedades.
Artículo 25. Compensación de bases imponibles negativas.
1. Las bases imponibles negativas que hayan sido objeto de liquidación o autoliquidación podrán ser compensadas con las rentas positivas de los períodos impositivos que concluyan en los 15 años inmediatos y sucesivos.
2. La base imponible negativa susceptible de compensación se reducirá en el importe de la diferencia positiva entre el valor de las aportaciones de los socios, realizadas por cualquier título, correspondiente a la participación adquirida y su valor de adquisición, cuando concurran las siguientes circunstancias:
a) La mayoría del capital social o de los derechos a participar de los resultados de la entidad que hubiere sido adquirida por una persona o entidad o por un conjunto de personas o entidades vinculadas, con posterioridad a la conclusión del período impositivo al que corresponde la base imponible negativa.
b) Las personas o entidades a que se refiere el párrafo anterior hubieran tenido una participación inferior al 25 por ciento en el momento de la conclusión del período impositivo al que corresponde la base imponible negativa.
c) La entidad no hubiera realizado explotaciones económicas dentro de los seis meses anteriores a la adquisición de la participación que confiere la mayoría del capital social.
3. Las entidades de nueva creación podrán computar el plazo de compensación a que se refiere el apartado 1 a partir del primer período impositivo cuya renta sea positiva.
4. Lo dispuesto en el apartado anterior será de aplicación a las bases imponibles negativas derivadas de la explotación de nuevas autopistas, túneles y vías de peaje realizadas por las sociedades concesionarias de tales actividades.
5. El sujeto pasivo deberá acreditar la procedencia y cuantía de las bases imponibles negativas cuya compensación pretenda, mediante la exhibición de la liquidación o autoliquidación, la contabilidad y los oportunos soportes documentales, cualquiera que sea el ejercicio en que se originaron.
F) Ley 58/2003 de 17 de diciembre, General Tributaria:
Artículo 66. Plazos de prescripción:
Prescribirán a los cuatro años los siguientes derechos:
a) El derecho de la Administración para determinar la deuda tributaria mediante la oportuna liquidación.
b) El derecho de la Administración para exigir el pago de las deudas tributarias liquidadas y autoliquidadas.
c) El derecho a solicitar las devoluciones derivadas de la normativa de cada tributo, las devoluciones de ingresos indebidos y el reembolso del coste de las garantías.
G) Real Decreto legislativo 1/1994 de 20 de junio por el que se aprueba el Texto Refundido de la Ley de la Seguridad Social:
Artículo 21. Prescripción:
La obligación de pago de cuotas a la seguridad social prescribirá a los cinco años, a contar desde la fecha en la que preceptivamente debieron ser ingresadas. La prescripción quedará interrumpida por las causas ordinarias, y en todo caso, por cualquier actuación administrativa realizada con conocimiento formal del responsable del pago conducente a la liquidación o recaudación de la deuda y, especialmente, por su reclamación administrativa mediante reclamación de deuda o acta de liquidación.
H) Ley 41/2002 de 14 de noviembre básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica:
Artículo 17. La conservación de la documentación clínica.
1. Los centros sanitarios tienen la obligación de conservar la documentación clínica en condiciones que garanticen su correcto mantenimiento y seguridad, aunque no necesariamente en el soporte original, para la debida asistencia al paciente durante el tiempo adecuado a cada caso y, como mínimo, cinco años contados desde la fecha del alta de cada proceso asistencial.
2. La documentación clínica también se conservará a efectos judiciales de conformidad con la legislación vigente. Se conservará, asimismo, cuando existan razones epidemiológicas, de investigación o de organización y funcionamiento del Sistema Nacional de Salud. Su tratamiento se hará de forma que se evite en lo posible la identificación de las personas afectadas.
3. Los profesionales sanitarios tienen el deber de cooperar en la creación y el mantenimiento de una documentación clínica ordenada y secuencial del proceso asistencial de los pacientes.
4. La gestión de la historia clínica por los centros con pacientes hospitalizados, o por los que atiendan a un número suficiente de pacientes bajo cualquier otra modalidad asistencial, según el criterio de los servicios de salud, se realizará a través de la unidad de admisión y documentación clínica, encargada de integrar en un solo archivo las historias clínicas. La custodia de dichas historias clínicas estará bajo la responsabilidad de la dirección del centro sanitario.
5. Los profesionales sanitarios que desarrollen su actividad de manera individual son responsables de la gestión y de la custodia de la documentación asistencial que generen.
6. Son de aplicación a la documentación clínica las medidas técnicas de seguridad establecidas por la legislación reguladora de la conservación de los ficheros que contienen datos de carácter personal y, en general, por la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal.
I) Real Decreto 561/1993, de 16 de abril, por el que se establecen los requisitos para la realización de ensayos clínicos con medicamentos
Artículo 21. Archivo de la documentación del ensayo.
1. El promotor del ensayo es responsable del archivo de la documentación del ensayo.
2. El investigador se ocupará de que los códigos de identificación de los sujetos se conserven durante al menos quince años después de concluido o interrumpido el ensayo.
3. Las historias clínicas de los pacientes y demás datos originales se conservarán el máximo período de tiempo que permita el hospital, la institución o la consulta privada donde se haya realizado el ensayo.
4. El promotor o el propietario de los datos conservará toda la restante documentación relativa al ensayo durante el período de validez del medicamento. Estos documentos incluirán:
a) El protocolo, incluyendo su justificación, objetivos, diseño estadístico y metodología del ensayo, con las condiciones en las que se efectúe y gestione, así como los pormenores de los productos de investigación que se empleen.
b) Los procedimientos normalizados de trabajo.
c) Todos los informes escritos sobre el protocolo y los procedimientos.
d) El manual del investigador.
e) El cuaderno de recogida de datos de cada sujeto.
f ) El informe final.
g) El certificado de auditoría, cuando proceda.
5. El promotor o el propietario subsiguiente conservará el informe final hasta cinco años después de haberse agotado el plazo de validez del medicamento.
6. Se documentará todo cambio que se produzca en la posesión de los datos.
7. Todos los datos y documentos se pondrán a disposición de las autoridades competentes si éstas así lo solicitan.
8. Se asegurará, en todo caso, la confidencialidad de los datos y documentos contenidos en el archivo.
Una vez se proceda la cancelación de los datos, que no a su destrucción, el responsable del fichero deberá informar de esta circunstancia a todos los cesionarios de acuerdo con lo dispuesto en el art. 16.4; «Si los datos rectificados o cancelados hubieran sido comunicados previamente, el responsable del fichero deberá notificar la rectificación o cancelación efectuada a quien se hayan comunicado, en el caso de que se mantenga el tratamiento por éste último, que deberá también proceder a su cancelación´´. Ni que decir tiene que en el supuesto de uno o varios cesionarios, todos ellos deberán estar a lo indicado anteriormente respecto de los plazos de prescripción de las responsabilidades derivadas de la naturaleza del tratamiento específico que cada uno de ellos haya aplicado a los datos recibidos del cedente. Y vuelta a empezar.
Esperamos haber aportado algo de luz, a través de la sistematización de la información, en un asunto menor en apariencia, pero de gran transcendencia en varios ámbitos de actividad; empresarial, tributario, laboral, sanitario, etc.
...
CONTENIDO EXCLUSIVO PARA SUSCRIPTORES
