Política de retención

Reglas que determinan qué información se conserva, durante cuánto tiempo, con qué base y qué debe ocurrir al finalizar el plazo, incluida su eliminación o archivo cuando proceda. «Política de retención» es un control o principio de seguridad y privacidad que debe concretarse en decisiones de arquitectura, configuración y operación. No basta con declararlo en una política: debe poder identificarse dónde se aplica, quién lo administra, cómo se revisa y qué evidencia acredita su funcionamiento. La intensidad del control debe ser proporcional al riesgo y a los datos tratados.

En un sistema real, política de retención debe traducirse a una configuración, política o control técnico verificable. La organización necesita saber quién lo administra, qué recursos cubre, qué excepciones existen y cómo se detecta un fallo del control.

Importa siempre que el sistema trate información, usuarios o permisos cuyo uso indebido pueda causar un impacto. La relevancia aumenta con datos personales, acciones privilegiadas, conexiones externas o automatizaciones capaces de modificar información.

No debe utilizarse como sinónimo de «Residencia de datos». Este último se refiere a lugar o región en la que un proveedor almacena o procesa determinados datos. No equivale por sí sola a cumplir las reglas sobre transferencias internacionales, acceso remoto o retención. «Política de retención» tiene un alcance distinto y debe conservarse como concepto propio para evitar decisiones o búsquedas ambiguas.

Los logs operativos se conservan 90 días salvo necesidad justificada, mientras que determinadas evidencias de cumplimiento siguen una política distinta y documentada.