Esto implica que las organizaciones deben analizar todos sus tratamientos y determinar los plazos de conservación de cada tipo de información procesada en sus actividades. Ello resulta imprescindible para cumplir el deber de información, estableciendo el RGPD que deberá informarse a los interesados de “el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo”.

Por supuesto, habrá situaciones en las que el plazo de retención de la información vendrá dado por una norma jurídica, como sucede con las imágenes de videovigilancia, los libros de contabilidad o el historial clínico. Sin embargo, habrá ocasiones en las que no exista una previsión legal semejante, por lo que será la propia empresa la que tendrá que evaluar cada tipo de información manejada y determinar durante cuánto tiempo será necesario conservarla. Este proceso de análisis es fundamental para garantizar el cumplimiento de la normativa de protección de datos, y será necesario abordarlo con sumo cuidado; al fin y al cabo, la eliminación de la información demasiado pronto puede constituir un tratamiento ilegítimo de los datos afectados e, igualmente, almacenarla por excesivo tiempo podrá suponer una vulneración del ya mencionado principio de limitación del plazo de conservación.