Retención y borrado verificable

En un almacén con versionado, una regla de caducidad sobre el objeto actual no destruye el dato: marca el objeto como borrado y conserva las versiones anteriores hasta que otra regla específica las expire. Con eliminación suave sucede algo parecido: el objeto borrado se puede recuperar durante el periodo configurado. Las copias de seguridad tienen su propio plazo. Un borrado se prueba mirando todas esas capas.

El RGPD (art. 12.3) fija que el responsable responde a la solicitud de un titular sin demora indebida y, como máximo, en un mes desde su recepción. Ese plazo se puede ampliar dos meses más si la solicitud es compleja o hay muchas, siempre avisando al titular de la ampliación y sus motivos dentro del primer mes. La LGPD y la ley 1581 de 2012 tienen plazos y procedimientos propios: se consulta la norma que aplique al titular y se anota el plazo en el procedimiento, no se recuerda de memoria.

Abre politica-de-retencion.txt y reglas-de-ciclo-de-vida.txt. La política habla de datos y de sus copias; las reglas dicen qué ejecuta cada almacén. Una regla que expira el objeto actual en el plazo correcto pero deja las versiones anteriores en «nunca» incumple la política en silencio: la cuenta de objetos activos parece limpia mientras los datos viejos se acumulan.

Compara cada plazo de la política con la regla que lo ejecuta. Si la regla expira más tarde que la política, la empresa conserva los datos más tiempo del que declaró. Es un incumplimiento de limitación del plazo de conservación, aunque nadie haya accedido a los datos.

Una solicitud de supresión se cierra con una prueba de que el titular ya no aparece, no con la afirmación de que se borró. Cuando no hay prueba y el cierre tarda más del plazo sin ampliación notificada, el cierre no se sostiene ante el titular ni ante la autoridad. Localiza el ticket cerrado sin prueba y calcula cuántos días pasaron entre que se recibió y que se cerró.