La respuesta corta es: máximo 3 meses.
No obstante, contiene bastante matices que vale la pena comentar.
El derogado art. 24 de la LOPDgdd, establecía que el plazo para conservar los datos personales recopilados a través de un canal de denuncias interno es de tres meses (con excepciones) sin que aplicase la obligación de bloqueo.
Dicho artículo fue modificado por la Ley 2/2023, de 20 de febrero reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción (conocida como “Ley Whistleblowing”).
Así, el contenido de dicho precepto se incorporó a la referida Ley Whistleblowing, si bien complementándolo en bastantes aspectos.
En cualquier caso, en lo que se refiere al plazo, se mantiene este plazo de tres meses para conservar los datos en (dentro) el sistema de informaciones (art. 32.4 Ley Whistleblowing), salvo que “la finalidad de la conservación sea dejar evidencia del funcionamiento del sistema “.
No obstante, es importante destacar que es un plazo máximo, pues solo deben conservarse
“durante el tiempo imprescindible para decidir sobre la procedencia de iniciar una investigación sobre los hechos informados” (art. 32.3 Ley Whistleblowing) y, en todo caso, deberán suprimirse de forma inmediata aquellos “datos personales que no sean necesarios para el conocimiento e investigación”.
Por otro lado, aquellas denuncias a las que no se haya dado curso únicamente podrán constar de forma anonimizada, sin que sea de aplicación la obligación de bloqueo prevista en el artículo 32.
Así, según entendemos únicamente podrán conservarse aquellos datos dentro del sistema de denuncia en los siguientes supuestos:
- si no se ha dado curso a la denuncia, únicamente podrán conservarse los datos anonimizados; y
- si se ha dado curso a la denuncia, podrán conservarse los datos con la finalidad de evidenciar el funcionamiento del modelo de prevención de la comisión de delitos del responsable del tratamiento.
Transcurrido dicho plazo de tres meses, los datos podrían seguir siendo tratados fuera del sistema de denuncia por el órgano al que le corresponda llevar a cabo la investigación de los hechos denunciados.
En definitiva, los datos personales recopilados a través del sistema de denuncias interno deben suprimirse transcurrido el plazo máximo de tres meses desde su introducción en el mismo sin que aplique la obligación de bloqueo, salvo las excepciones antes indicadas: (i) si se anonimizan (denuncias no cursadas); (ii) si es para evidenciar el funcionamiento del sistema (denuncias cursadas); (iii) si el tratamiento es fuera del sistema (generalmente, denuncias cursadas).
Autores: Sergio de Juan-Creix | Inés Millet
