RGPD para tu pyme: cuánto guardar los datos de tus clientes

El RGPD no da un plazo único para guardar los datos de tus clientes: te obliga a no conservarlos más tiempo del necesario para su finalidad. El número concreto sale de las leyes que te obligan a guardar ciertos documentos y de lo que tú declares al recoger el dato.

Revisado el 2026-10-10. BAI Business ofrece un CRM y publica este artículo. Es orientación general, no asesoramiento jurídico: para tu caso, consulta con un abogado o con tu delegado de protección de datos.

El principio y de dónde salen los plazos

El artículo 5.1.e del Reglamento (UE) 2016/679 (RGPD) exige mantener los datos de forma que se permita identificar a los interesados durante no más tiempo del necesario para los fines del tratamiento (fuente: EUR-Lex, consultado el 2026-10-10). Es un principio, no un número. Los plazos concretos salen de dos sitios:

1. Las leyes que obligan a conservar. Hay datos que debes guardar un mínimo de tiempo aunque el cliente pida borrarlos.
2. La finalidad que declaraste. Para el resto, guardas el dato mientras sirva a ese fin y lo borras después.

Además, el artículo 13.2.a del RGPD te obliga a informar, al recoger los datos, del plazo durante el cual se conservarán o, cuando no sea posible, de los criterios para determinarlo. Tu política de privacidad debe decirlo.

Plazos con norma, uno a uno

Qué	Plazo	Norma	Fuente
Libros, correspondencia, documentación y justificantes del negocio, como facturas y contratos	Seis años desde el último asiento en los libros	Artículo 30.1 del Código de Comercio	BOE
Prescripción del derecho de la Administración a liquidar la deuda tributaria	Cuatro años	Artículo 66 de la Ley General Tributaria	BOE
Registro diario de jornada de las personas trabajadoras	Cuatro años	Artículo 34.9 del Estatuto de los Trabajadores	BOE
Imágenes de videovigilancia	Un mes desde su captación, salvo las que acrediten actos contra personas, bienes o instalaciones	Artículo 22.3 de la LOPDGDD	BOE

Consultado el 2026-10-10. Para el resto de datos, como leads, suscriptores o currículums, no hemos encontrado un plazo legal único: lo defines tú, lo documentas y lo cumples.

Cuando un cliente pide que borres sus datos

El artículo 17 del RGPD reconoce el derecho de supresión, y el artículo 12.3 fija el plazo de respuesta: un mes desde la solicitud, prorrogable otros dos meses si es necesario por la complejidad o el número de solicitudes (consultado el 2026-10-10). El artículo 17.3.b exceptúa el tratamiento necesario para cumplir una obligación legal, como conservar facturas.

Cuando no puedes borrar, bloqueas. El artículo 32 de la LOPDGDD define el bloqueo como la identificación y reserva de los datos, con medidas técnicas y organizativas que impidan su tratamiento, incluida su visualización, salvo para ponerlos a disposición de jueces, tribunales, Ministerio Fiscal o administraciones competentes, y solo durante el plazo de prescripción de las responsabilidades. Pasado ese plazo hay que destruirlos. Si tu sistema no permite bloquear, la ley prevé un copiado seguro con evidencia de la fecha y de que no se manipuló (consultado el 2026-10-10).

En la práctica, ante una solicitud:

1. Comprueba si hay una obligación legal de conservar parte de los datos.
2. Borra lo que no tengas que guardar y bloquea lo que sí.
3. Responde por escrito al solicitante, indicando qué has borrado y qué has bloqueado y por qué.
4. Guarda la solicitud y tu respuesta.

Datos sin plazo legal: tú decides

• Leads y contactos que no compraron. Define cuánto tiempo sin contacto activo los mantienes y bórralos o anonimízalos después. Una revisión anual del CRM evita acumular contactos que nadie gestiona.
• Suscriptores de boletines. El artículo 21.2 del RGPD reconoce el derecho a oponerse en todo momento al tratamiento con fines de mercadotecnia directa (consultado el 2026-10-10). Una baja debe aplicarse a todas las listas, no solo a la del último envío.
• Currículums. Fija un plazo, comunícalo al candidato y renuévalo o elimina el currículum al cumplirse.

Errores frecuentes

• Usar la misma base legal para todo. El artículo 6 del RGPD enumera varias; el interés legítimo exige una ponderación que debes poder documentar.
• Una política de privacidad sin plazos. Decir que guardas los datos «el tiempo necesario» no cumple el artículo 13.2.a.
• Olvidar el CRM antiguo. Los contactos de hace años acumulan riesgo sin aportar valor.
• Creer que los datos de empresa no son personales. El correo nombre@empresa.com identifica a una persona física y es un dato personal.

Dónde encaja BAI

BAI Business es una plataforma de gestión para autónomos y pymes. Según la ficha de su solución de CRM, cada cliente, proveedor o empresa tiene una ficha con su historial, sus etiquetas y quién lo lleva. Con eso puedes marcar el estado de cada contacto, pero la base legal y los plazos los defines tú como responsable del tratamiento. Puedes ver el CRM en la página de CRM para tu negocio.

Preguntas frecuentes

¿Cuánto tiempo puedo guardar los datos de un cliente?

El RGPD no fija un número: el artículo 5.1.e exige conservarlos no más tiempo del necesario para los fines del tratamiento. El plazo concreto sale de la ley sectorial que obligue a conservarlos, como el Código de Comercio para la documentación del negocio, y de la finalidad que declaraste al recogerlos.

¿Cuánto tiempo hay que conservar las facturas?

El artículo 30.1 del Código de Comercio obliga a conservar libros, correspondencia, documentación y justificantes del negocio durante seis años desde el último asiento en los libros (consultado el 2026-10-10). La Ley General Tributaria fija en cuatro años la prescripción del derecho de la Administración a liquidar la deuda tributaria (artículo 66).

¿Qué hago si un cliente me pide que borre sus datos?

Debes responder en el plazo de un mes desde la solicitud, prorrogable dos meses más en casos complejos (artículo 12.3 del RGPD). No tienes que suprimir lo que debas conservar por una obligación legal (artículo 17.3.b); en ese caso lo bloqueas según el artículo 32 de la LOPDGDD (consultado el 2026-10-10).

¿Cuánto tiempo puedo guardar las imágenes de las cámaras?

El artículo 22.3 de la LOPDGDD dice que se suprimirán en el plazo máximo de un mes desde su captación, salvo que hayan de conservarse para acreditar actos que atenten contra la integridad de personas, bienes o instalaciones (consultado el 2026-10-10).

También te puede interesar

• CRM para clínicas privadas: qué exige la protección de datos de salud: el caso de los datos sanitarios.
• WhatsApp Business para empresas: aplicación, API y protección de datos: datos en las conversaciones con clientes.

Fuentes

• Reglamento (UE) 2016/679 (RGPD), texto consolidado, consultada el 10 de octubre de 2026.
• Ley Orgánica 3/2018 (LOPDGDD), BOE, consultada el 10 de octubre de 2026.
• Código de Comercio, BOE, consultada el 10 de octubre de 2026.
• Ley General Tributaria, BOE, consultada el 10 de octubre de 2026.
• Estatuto de los Trabajadores, BOE, consultada el 10 de octubre de 2026.