Las multas del RGPD llegan a los 6110 millones de euros: ¿es "guardarlo todo para siempre" un riesgo de cumplimiento?

A marzo de 2026, las multas acumuladas del RGPD en toda la UE alcanzan unos €6110 millones, repartidos en 2685 casos de sanción registrados, según el CMS GDPR Enforcement Tracker Report de 2025/2026. Algunos casos concretos de ese conjunto de datos llegan a los €1200 millones. Fuera cual fuera el modelo de riesgo de tu organización cuando el RGPD era nuevo, en 2018, ocho años después el patrón sancionador ya no es teórico: es un coste constante y bien documentado para las empresas que tratan mal los datos.

La mayoría de los consejos sobre conservación del correo se fijan en el fallo equivocado. Te dicen cuánto tiempo conservar cada categoría de correo por cumplimiento normativo — siete años de registros financieros, dos años de tickets de soporte —, como si el riesgo fuera siempre borrar algo demasiado pronto. Ese riesgo existe. Pero los reguladores dejan cada vez más claro que el error contrario, guardarlo todo indefinidamente porque borrar cualquier cosa da miedo, es una infracción por derecho propio.

El principio que se saltan casi todas las políticas de conservación

El RGPD no te da un plazo fijo de conservación para el correo, y esa ambigüedad es justo la razón por la que tantas organizaciones optan por "no borrar nunca nada, por si acaso". Pero el artículo 5.1.e), el principio de limitación del plazo de conservación, exige que los datos personales se guarden "durante no más tiempo del necesario" para los fines para los que se recogieron, y el artículo 5.1.c), la minimización de datos, está justo al lado. La conservación indefinida no es una opción segura bajo ninguno de los dos principios. Es precisamente lo que se escribieron para prohibir.

En la práctica, esto significa que una organización tiene que poder responder, para cada categoría de correo que guarda: por qué se conserva y durante cuánto tiempo más. "Puede que algún día lo necesitemos" no es una respuesta que los reguladores acepten, por muy comprensible que sea el impulso.

Ahora los reguladores quieren pruebas, no un documento de política

El otro cambio que conviene señalar: una política de conservación escrita y guardada en una carpeta de cumplimiento ya no basta por sí sola. Lo que piden los reguladores son pruebas auditables de que la política se aplica de verdad: flujos de borrado documentados, calendarios de conservación aplicados a nivel de servidor en lugar de dejados al criterio de cada empleado y procedimientos de retención legal que anulen correctamente la purga rutinaria cuando cabe esperar un litigio.

Esto también se ve en sanciones de ámbitos vecinos. La CNIL francesa y el Garante italiano publicaron en abril de 2026 orientaciones formales que tratan la bandeja de entrada como una extensión de la vida privada de una persona: sus nuevas reglas sobre píxeles de seguimiento en el correo exigen consentimiento previo antes de que nada invisible informe de lo que pasa dentro del buzón de quien lo recibe. Es un mecanismo distinto del de la conservación, pero la postura de fondo es la misma: los reguladores miran específicamente qué hacen las empresas con el contenido del correo, no solo si existe un documento de política en algún sitio.

Un calendario de conservación que aguante de verdad

Nada de esto exige herramientas exóticas. Una estructura defendible es un puñado de categorías, cada una con un motivo documentado y una duración:

Correo operativo rutinario — coordinación interna, organización de agendas, correspondencia del día a día sin relevancia legal o financiera propia. Se suele conservar alrededor de un año y luego se purga.

Correspondencia de atención al cliente — normalmente se guarda más tiempo, a menudo dos años, para cubrir los plazos de garantía y de reclamación.

Registros financieros y con relevancia fiscal — se rigen por lo que exijan las normas fiscales y de auditoría de tu jurisdicción, con frecuencia siete años.

Todo lo que esté bajo retención legal activa — se conserva al margen de su categoría hasta que se levante la retención, por encima de cualquier otro calendario.

Las cifras concretas varían según el sector y el país — no las fija el RGPD, las fija tu regulador o tu propia justificación documentada. Lo que importa es que cada categoría tenga un número asociado y que ese número se aplique de verdad, no solo sobre el papel.

Dónde encaja aquí un archivo personal

Aquí hay una tensión real para las personas y los equipos pequeños: la disciplina de conservación empuja a borrar el correo antiguo del servidor, pero nadie quiere perder quince años de correspondencia porque una norma de cumplimiento diga que el buzón activo ya no debería guardarla. La solución es la misma que para el riesgo de las copias de seguridad — separar lo que se queda en el servidor de aquello de lo que guardas una copia.

MailVault archiva cada carpeta de tu cuenta IMAP u OAuth como archivos .eml sueltos en tu propio disco, con total independencia del buzón de tu proveedor. Eso te da margen para aplicar de verdad un calendario de conservación en la cuenta activa — borrando lo que ya ha pasado su plazo justificado — sin perder el registro de fondo, porque ese registro ya vive en un sitio que controlas tú y en un formato que abre cualquier cliente. Las copias manuales son gratis e ilimitadas; las copias programadas, que mantienen el archivo al día automáticamente, son una función premium de $4/mes o $25/año, con 14 días de prueba en el plan anual.

Lecturas relacionadas: cómo borrar miles de correos antiguos sin riesgo, archivado de correo para autónomos y cómo conservar el correo tras borrarlo del servidor.