Plazos de conservación de datos de clientes 2026: cuándo borrar

En abril de 2026, un auditor revisa la base de datos de un mayorista de Madrid y detecta una anomalía: las fichas de clientes del ejercicio 2012 siguen completas, con datos de contacto e historial de pedidos. El gerente responde con tranquilidad: "Lo guardamos por motivos fiscales." La respuesta es medio cierta y, por tanto, peligrosamente errónea. Ciertos justificantes deben conservarse, pero no la ficha completa del cliente. Lo que se almacena de más es a la vez una infracción del RGPD y un riesgo innecesario sin utilidad operativa.

Los plazos de conservación son la zona donde dos mundos jurídicos chocan frontalmente: el derecho mercantil y tributario obliga a conservar. El RGPD obliga a suprimir cuando la finalidad desaparece. Sin una matriz clara que articule ambos planos, la empresa se expone a una sanción de la AEPD o a una regularización de Hacienda. Ambos cuestan dinero, y ambos son evitables con una matriz de conservación y borrado bien diseñada.

Dos lógicas opuestas: obligación de conservar y limitación de plazo

El RGPD establece en el artículo 5.1.e el principio de limitación del plazo de conservación: los datos personales solo pueden conservarse durante el tiempo necesario para la finalidad del tratamiento. Cuando la finalidad desaparece, el artículo 17 obliga a la supresión o anonimización.

Al mismo tiempo, el Código de Comercio en su artículo 30 impone la conservación de libros, correspondencia, documentación y justificantes durante seis años desde el último asiento. La Ley General Tributaria, en sus artículos 66 a 70, fija en cuatro años el plazo de prescripción de la deuda tributaria, pero exige que los justificantes se conserven mientras la Administración pueda actuar sobre ejercicios no prescritos. Estas obligaciones legales constituyen una base de tratamiento al amparo del artículo 6.1.c del RGPD y justifican prolongar el almacenamiento. El conflicto se resuelve así: durante el plazo de conservación, el tratamiento es lícito; al finalizar, la supresión se impone sin excepciones.

Conviene matizar: conservar no equivale a usar. Una ficha de facturación que debe permanecer seis años por el Código de Comercio no puede seguir utilizándose con fines comerciales si el cliente ha ejercido su derecho de oposición. La finalidad queda reducida a la obligación legal; cualquier otro uso es ilícito.

Plazos principales que conviene conocer

La tabla siguiente recoge los plazos relevantes para datos de clientes en España. Comienzan a contar al cierre del ejercicio o desde la última operación documentada.

Documento	Plazo	Fundamento
Libros y documentos contables	6 años	Art. 30 Código de Comercio
Justificantes con efectos tributarios	hasta prescripción (4 años + extensiones)	Art. 66 y 70 LGT
Acciones personales (civil B2C)	5 años	Art. 1964 Código Civil
Contratos mercantiles	5 años (prescripción general)	Art. 1964 Código Civil
Nóminas y documentación laboral	4 años (Inspección)	Art. 21 LISOS
Alta en newsletter (marketing puro)	hasta retirada, luego supresión	RGPD Art. 17
Prueba de consentimiento	3 años tras revocación	Art. 7 RGPD

La AEPD complementa este marco con guías sectoriales (comercio electrónico, videovigilancia, recursos humanos). Sus referencias no tienen rango de ley, pero conforman la pauta de revisión que se aplica en inspecciones. Quien se aparte de ellas debe poder justificar por qué.

¿Qué datos están realmente sujetos a obligación contable?

Aquí se concentra el malentendido más frecuente en auditorías. La obligación recae sobre el justificante, no sobre la ficha completa. Una factura contiene normalmente nombre, dirección, número de factura, líneas de concepto, importe y datos fiscales. Esos campos deben conservarse íntegros. Los campos accesorios, que no sirven a la contabilidad, no se benefician de la obligación para mantenerse almacenados indefinidamente.

Ejemplo: factura emitida a García Distribución SL el 12.03.2018

Campos sujetos a conservación (6 años):
- Razón social, domicilio fiscal
- NIF/CIF
- Número de factura, fecha, importe
- Lineas de concepto, desglose IVA
- Fecha de cobro

NO cubiertos por la obligación contable:
- Dirección de correo para marketing
- Número de teléfono (salvo que figure en la factura)
- Fecha de nacimiento, sector
- Segmentos de marketing, etiquetas CRM
- Estado newsletter, historial de clics

En la mayoría de CRM, ambos universos conviven en la misma ficha. Para cumplir el RGPD con limpieza, hay que separar el justificante contable del perfil comercial. Los campos contables se archivan en solo lectura con reloj de conservación; el perfil activo sigue su propia lógica – normalmente tres años desde el último contacto o hasta la retirada de consentimiento.

¿Cuándo empieza el plazo de conservación?

Pregunta habitual en auditorías: ¿desde cuándo se cuenta el plazo? El Código de Comercio, en su artículo 30, lo aclara: a partir del último asiento realizado en los libros o, si se trata de correspondencia y justificantes, desde la fecha del documento.

Factura emitida:                  15.03.2018
Cierre del ejercicio:             31.12.2018
Inicio del plazo de conservación: 01.01.2019
Fin del plazo mercantil (6 años): 31.12.2024
Fin de prescripción tributaria:   31.12.2022 (4 años, ejercicio 2018)
Supresión posible/exigible:       01.01.2025 (con cautelas tributarias)

Trampa habitual: muchas bases de datos calculan el plazo desde la fecha de la factura (15.03.2018) y suprimen nueve meses antes de tiempo. Otras lo prolongan hasta mediados del año siguiente y conservan un año adicional sin necesidad. Ambas opciones son problemáticas para el RGPD: la primera pierde documentación con efectos tributarios; la segunda mantiene innecesariamente datos personales.

Un matiz importante: si un documento se integra en otro posterior (por ejemplo, una factura incluida en cuentas anuales pendientes de aprobación), el plazo se realinea con la pieza englobante. Por eso las cuentas anuales arrastran siempre el plazo más largo.

La prescripción civil: el factor que muchos olvidan

Junto al Código de Comercio y a la LGT existe una tercera fuente de obligación: el Código Civil. El artículo 1964, tras la reforma de 2015, fija en cinco años el plazo general de prescripción para acciones personales (antes era de quince).

Para la gestión de datos significa: mientras pueda ejercitarse una acción derivada del contrato, está justificado conservar el expediente y las coordenadas asociadas. Cinco años desde el fin del contrato es la referencia estándar. Para contratos con garantías más largas – por ejemplo construcción con garantía decenal – el plazo se prolonga consecuentemente.

Tipo de contrato	Prescripción	Conservación recomendada
Venta B2C estándar	5 años (Art. 1964)	5 años desde fin de contrato
Garantía decenal LOE	10 años	10 años desde recepción
Reclamación B2B	5 años	5 años desde último acto
Deuda fiscal documentada	hasta 10 años	alineado con CdC

Esta lógica de prescripción es el puente entre las obligaciones contables y la gestión pura de datos de marketing. Conservar las coordenadas de un cliente cinco años después del fin del contrato exige bien un interés legítimo, bien una prescripción civil concreta. "Lo guardamos por si acaso" no se sostiene jurídicamente.

La matriz de borrado como herramienta operativa

En las bases de datos bien gestionadas, cada tipo de registro está asociado a una línea en una matriz de borrado. Conecta el campo, el fundamento jurídico, el plazo y la acción posterior. Ejemplo para un comercio electrónico español:

Tipo de dato          | Campos             | Plazo      | Acción al expirar
----------------------+--------------------+------------+----------------------
Factura               | campos completos   | 6 años     | Supresión
Contrato B2C          | expediente activo  | 5 años f.c.| Anonimización
Alta newsletter       | email, fuente      | hasta ret. | Supresión inmediata
Perfil cliente activo | campos CRM         | 3 años     | Supresión
Nóminas               | datos RR.HH.       | 4 años     | Archivo largo
Candidaturas          | CV, carta          | 2 años     | Supresión
Prueba de consent.    | registro consent.  | 3 años t.r.| Supresión

La matriz no es un ejercicio teórico. Se consulta a diario desde el software de gobernanza de datos para mover los registros al flujo de supresión o anonimización. Sin esa automatización, las rutinas manuales derivan inevitablemente: a veces se borra demasiado pronto, otras se olvida una tabla entera. Ambas desviaciones desaparecen cuando un script ejecuta la matriz, no la memoria de un compañero.

Bloquear en lugar de suprimir: la solución cuando hay obligación paralela

¿Qué hacer si un cliente solicita la supresión de sus datos durante el plazo de conservación mercantil o tributaria? El derecho de supresión del RGPD se cruza con la obligación legal de conservar. La solución la formaliza el artículo 32 de la LOPDGDD: bloqueo en lugar de eliminación.

Bloquear significa restringir el acceso a las personas y fines necesarios para cumplir la obligación legal. En la práctica: asesor fiscal, auditor y, en caso de inspección, la Agencia Tributaria. Marketing, ventas y atención al cliente pierden el acceso. Técnicamente, se establece un indicador de bloqueo en el registro y se configuran filtros de autorización correspondientes.

La AEPD acepta esta práctica y la considera conforme al espíritu del RGPD. Importante: hay que informar al titular de que su solicitud de supresión se ha tramitado como bloqueo y no como eliminación, indicando el plazo residual. La supresión efectiva se produce al vencer el plazo legal.

Caso práctico: un e-commerce regional

Para hacer tangible el encadenamiento, un ejemplo de cifras tomado de un cuaderno de auditoría. Un e-commerce con sede en Barcelona (08001) tiene 48 000 clientes en base. El análisis arroja:

Base total:                          48.000 fichas
Con factura en los últimos 6 años:   31.200 (65 %)
Alta newsletter sin compra:          12.000 (25 %)
Clientes activos con contrato:        3.600 (7,5 %)
Fichas dormidas (sin contacto > 5 a): 1.200 (2,5 %)

La estrategia de limpieza se desarrolla en tres niveles. Las 1 200 fichas dormidas sin base de conservación se suprimen – el último tratamiento queda demasiado atrás y el RGPD exige el borrado. Las 12 000 inscripciones a newsletter sin consentimiento documentado reciben una campaña de reconfirmación: quien no confirma se suprime. Los 31 200 destinatarios de factura se separan: los clientes activos permanecen en el CRM; los antiguos pasan a un archivo bloqueado donde corre el plazo de seis o diez años, sin acceso a marketing.

El resultado a dos años es una base reducida cerca de un 36 %. Los costes de envío postal disminuyen en la misma proporción – un Publicorreo a 0,22 € por envío multiplicado por los destinatarios eliminados arroja un ahorro mensurable. La calidad del dato mejora con claridad, y la posición de riesgo frente a la AEPD queda significativamente más sólida. Una limpieza sistemática de la lista de direcciones y una deduplicación cuidadosa son las dos herramientas que producen ese efecto sin sobresaltos.

Errores recurrentes en la práctica

Cuatro situaciones reaparecen una y otra vez en las inspecciones de la AEPD. Cada una conduce con facilidad a un requerimiento o, en su caso, a una sanción.

1. La conservación a tanto alzado. La empresa conserva todos los datos de cliente diez años, "porque no puede hacer daño". Para la AEPD, eso es almacenamiento sin base jurídica para todos los campos que no estén cubiertos por el justificante contable.

2. La ausencia de matriz de borrado. La organización conoce los plazos legales pero no tiene implementación técnica. Las supresiones son manuales e irregulares. En una inspección no puede acreditar la sistematización.

3. La supresión en bloque. Al cumplir el plazo mercantil de seis años, se borra la ficha completa – incluido un contrato cuya prescripción civil de cinco años desde el fin habría exigido conservación adicional. Ante un litigio, el comerciante se queda sin documento probatorio.

4. El bloqueo sin documentar. Los datos quedan bloqueados pero el rastro solo vive en una nota de Excel. Tras una migración o una baja de personal, el bloqueo desaparece y los datos vuelven a circular – una infracción del RGPD que aflora a la primera solicitud de acceso.

Dónde encaja ListenFix

Los plazos de conservación son materia jurídica. En el plano técnico hacen falta, sin embargo, herramientas capaces de imponer la lógica de bloqueo y supresión. ListenFix se ocupa de la capa de datos: el software identifica fichas con la misma dirección que conviven en contextos distintos y evita que una supresión en un sitio quede neutralizada por una copia en otro.

En concreto: antes de un envío postal a la base activa puede incorporarse una lista de exclusión con todas las fichas bloqueadas (plazo aún vigente) que no deben reactivarse comercialmente. El tratamiento ocurre localmente en el equipo del usuario – la información sensible de bloqueo no abandona el perímetro de la empresa y no requiere contrato de encargado del tratamiento con un proveedor cloud. Para ir un paso más allá, una limpieza periódica de los datos de dirección antes de cada envío fortalece la cadena.

Tres pasos para un régimen de borrado sólido

Para construir una estructura de conservación y borrado robusta, el siguiente recorrido se ha demostrado pragmático.

1. Identificar las categorías de datos. Catalogue los tipos presentes en el sistema: pedidos, contratos, perfiles de marketing, pruebas de consentimiento, datos laborales. Cada categoría recibe su plazo propio.
2. Asociar a cada categoría su fundamento y su plazo. Vincule la categoría a la norma de referencia (Código de Comercio, LGT, Código Civil, RGPD) y deje constancia en el registro de actividades de tratamiento.
3. Implementar rutinas automatizadas de borrado y bloqueo. Es el momento en que el concepto se vuelve implementación. Una rutina semanal o mensual interroga la matriz, identifica las fichas vencidas y las dirige al flujo correspondiente.

Con esta estructura, la obligación jurídica se convierte en ventaja operativa. La base es más ligera, más rápida y resistente ante cualquier solicitud de acceso. Y cuando el auditor abra la base el próximo abril, encontrará exactamente lo que debe encontrar – y nada más.

Descargar ListenFix gratis para preparar supresiones y deduplicaciones antes de cada envío postal.