Las multas del RGPD llegan a los 6110 millones de euros: ¿es "guardarlo todo para siempre" un riesgo de cumplimiento?

En marzo de 2026, las multas del RGPD registradas en la UE sumaban unos €6.11 mil millones, correspondientes a 2.685 multas con importe y fecha conocidos, según el informe CMS GDPR Enforcement Tracker 2025/2026. El informe registra 3.062 casos si se incluyen los que tienen información incompleta. Algunas multas alcanzan los €1.2 mil millones. Sea cual fuera la evaluación de riesgos de tu organización cuando entró en vigor el RGPD en 2018, ocho años después las sanciones ya no son teóricas: constituyen un coste documentado para las empresas que gestionan mal los datos.

La mayoría de los consejos sobre conservación del correo se fijan en el fallo equivocado. Te dicen cuánto tiempo conservar cada categoría de correo por cumplimiento normativo — siete años de registros financieros, dos años de tickets de soporte —, como si el riesgo fuera siempre borrar algo demasiado pronto. Ese riesgo existe. Pero los reguladores dejan cada vez más claro que el error contrario, guardarlo todo indefinidamente porque borrar cualquier cosa da miedo, es una infracción por derecho propio.

El principio que se saltan casi todas las políticas de conservación

El RGPD no te da un plazo fijo de conservación para el correo, y esa ambigüedad es justo la razón por la que tantas organizaciones optan por "no borrar nunca nada, por si acaso". Pero el artículo 5.1.e), el principio de limitación del plazo de conservación, exige que los datos personales se guarden "durante no más tiempo del necesario" para los fines para los que se recogieron, y el artículo 5.1.c), la minimización de datos, está justo al lado. La conservación indefinida no es una opción segura bajo ninguno de los dos principios. Es precisamente lo que se escribieron para prohibir.

En la práctica, esto significa que una organización tiene que poder responder, para cada categoría de correo que guarda: por qué se conserva y durante cuánto tiempo más. "Puede que algún día lo necesitemos" no es una respuesta que los reguladores acepten, por muy comprensible que sea el impulso.

Ahora los reguladores quieren pruebas, no un documento de política

El otro cambio que conviene señalar: una política de conservación escrita y guardada en una carpeta de cumplimiento ya no basta por sí sola. Lo que piden los reguladores son pruebas auditables de que la política se aplica de verdad: flujos de borrado documentados, calendarios de conservación aplicados a nivel de servidor en lugar de dejados al criterio de cada empleado y procedimientos de retención legal que anulen correctamente la purga rutinaria cuando cabe esperar un litigio.

Esto también se ve en sanciones de ámbitos vecinos. La CNIL francesa y el Garante italiano publicaron orientaciones formales en abril de 2026 que consideran el buzón una extensión de la vida privada — por lo general exigen consentimiento para los píxeles de seguimiento, con exenciones y disposiciones transitorias definidas. Comprueba las reglas del regulador competente para el uso concreto. Es un mecanismo distinto del de la conservación, pero la postura de fondo es la misma: los reguladores miran específicamente qué hacen las empresas con el contenido del correo, no solo si existe un documento de política en algún sitio.

Un calendario de conservación que aguante de verdad

Nada de esto exige herramientas exóticas. Una estructura defendible es un puñado de categorías, cada una con un motivo documentado y una duración:

Correo operativo rutinario — coordinación interna, organización de agendas, correspondencia del día a día sin relevancia legal o financiera propia. Se suele conservar alrededor de un año y luego se purga.

Correspondencia de atención al cliente — normalmente se guarda más tiempo, a menudo dos años, para cubrir los plazos de garantía y de reclamación.

Registros financieros y con relevancia fiscal — se rigen por lo que exijan las normas fiscales y de auditoría de tu jurisdicción, con frecuencia siete años.

Todo lo que esté bajo retención legal activa — se conserva al margen de su categoría hasta que se levante la retención, por encima de cualquier otro calendario.

Las cifras concretas varían según el sector y el país — no las fija el RGPD, las fija tu regulador o tu propia justificación documentada. Lo que importa es que cada categoría tenga un número asociado y que ese número se aplique de verdad, no solo sobre el papel.

Dónde encaja aquí un archivo personal

Un archivo local cambia dónde reside un registro, pero no elimina las obligaciones de conservación. Para el correo empresarial con datos personales, define por qué debe conservarse cada categoría, quién puede acceder y cuándo debe eliminarse. Aplica esa política al correo del servidor, los archivos locales y las copias de seguridad. La conservación continuada necesita un fin válido o una obligación legal; mover el correo fuera del servidor no los crea. Consulta las indicaciones de conservación de la CNIL.

MailVault archiva cada carpeta de tu cuenta IMAP u OAuth como archivos .eml sueltos en tu propio disco, con total independencia del buzón de tu proveedor. Usa la copia local solo para los registros que tengas derecho a conservar e inclúyela en tus controles de acceso y calendario de eliminación. MailVault no ofrece políticas de conservación impuestas de forma centralizada, retenciones legales ni certificación de cumplimiento. Las copias manuales son gratis e ilimitadas; las copias programadas, que mantienen el archivo al día automáticamente, son una función premium de $4/mes o $25/año, con 14 días de prueba en el plan anual. Estas instrucciones sobre la estructura de archivos se refieren al formato Maildir predeterminado. Ajustes → Almacenamiento también ofrece almacenamiento JMAP, que conserva los bytes originales de los mensajes con registros JSON y elimina los duplicados de mensajes idénticos.

Lecturas relacionadas: cómo borrar miles de correos antiguos sin riesgo, archivado de correo para autónomos y cómo conservar el correo tras borrarlo del servidor.