Qué comprobar antes de archivar un documento con información personal

Justifica la finalidad de esa copia

Relaciona el documento con el servicio o actuación para el que se necesita y confirma si debe conservarse el original recibido, una versión de trabajo o una referencia. Evita crear una copia adicional por comodidad si ya existe una fuente controlada que cubre el uso. La AEPD exige considerar finalidad y minimización. Si el archivo contiene datos ajenos al propósito o información especialmente delicada, pide revisión al responsable antes de incorporarlo a una colección general. No ocultes la duda cambiando el nombre del archivo.

Comprueba permisos desde un rol real

Revisa el repositorio y los enlaces asociados, no solo los permisos aparentes de una carpeta. Una persona que intervino antes puede conservar un enlace o una copia de trabajo accesible. Prueba con un rol representativo autorizado y otro que no deba acceder, utilizando el procedimiento aprobado y sin compartir credenciales. La capacidad de lectura no implica permiso para reenviar el archivo. Si el archivado mueve el documento entre espacios, verifica qué permisos hereda y si el enlace anterior continúa funcionando.

Asigna la política de conservación aplicable

Identifica quién determina el plazo o criterio de revisión según documento y contexto, y deja constancia de la política que se aplica. No inventes un número de años común para todo el expediente ni borres automáticamente al cerrar el encargo. La AEPD recuerda la limitación de conservación y las medidas de seguridad basadas en riesgos. Distingue archivo activo, acceso restringido y las decisiones de bloqueo o eliminación que correspondan bajo la política validada por el responsable.

Comprueba recuperación y retirada de accesos

Ejemplo hipotético: un documento pasa del espacio de trabajo al archivo restringido. El revisor debe recuperarlo con su referencia, mientras una persona ajena al expediente no puede abrir el enlace antiguo. Verifica además que el índice no expone datos personales innecesarios y que existe un responsable de la futura revisión de conservación. La prueba falla si el archivo desaparece para quien debe custodiarlo o sigue siendo accesible mediante un enlace que se suponía retirado.

Fuentes y documentación

• AEPD: principios del tratamiento — Finalidad, minimización, exactitud, conservación y medidas basadas en riesgos.