¿Cómo definir una política de conservación de documentos conforme al RGPD?

Una política de conservación es un plazo escrito para cada tipo de documento y una supresión que de verdad se ejecuta.

Respuesta breve

Haz inventario de los tipos de documento que contienen datos personales.
Para cada tipo, fija un plazo de conservación y su base jurídica: obligación legal o interés legítimo documentado.
Cuando termina la finalidad, los datos se bloquean mientras puedan exigirse responsabilidades y después se suprimen, no "cuando alguien se acuerde".
Cada supresión queda registrada, para poder demostrar que cumples el principio de limitación del plazo de conservación.

RGPD, art. 5.1.e), limitación del plazo de conservación: los datos personales se conservan solo el tiempo necesario para la finalidad.
RGPD, art. 17, derecho de supresión: no se aplica cuando la conservación es necesaria para cumplir una obligación legal.
LOPDGDD (Ley Orgánica 3/2018), art. 32: la supresión va precedida del bloqueo; los datos bloqueados solo se ponen a disposición de jueces, tribunales, el Ministerio Fiscal o las administraciones competentes.
Los seis años del art. 30 del Código de Comercio y los cuatro de la Ley General Tributaria prevalecen sobre una solicitud de supresión: primero va la obligación legal.
El registro de actividades de tratamiento (art. 30 RGPD) es el lugar natural para anotar, por categoría, los plazos previstos de supresión.

CV de candidatos no seleccionados: plazo corto fijado por la empresa, a menudo de 6 a 12 meses, informado al candidato de antemano.
Un ex empleado pide la supresión de sus datos: el expediente no puede borrarse entero, porque los registros de jornada tienen un plazo legal de cuatro años.
Imágenes de videovigilancia: como máximo un mes desde su captación (art. 22.3 LOPDGDD), salvo que deban conservarse como prueba, y después se borran.
Una empresa con 300 tipos de documento reduce la lista a 42 categorías con plazo propio y automatiza el resto.

La política existe en papel, pero nunca se ha suprimido nada.
Se acepta cualquier solicitud de supresión, incluso sobre documentos con plazo legal obligatorio.
Las copias de seguridad conservan datos ya suprimidos del sistema principal.
No queda prueba de la supresión, así que el cumplimiento no se puede demostrar.
Se fija "por prudencia" un plazo de 30 años para todo, lo que vulnera el principio de limitación.

Plazo de conservación configurado por tipo de documento, con su base jurídica anotada al lado.
Aviso antes del vencimiento, para que un responsable revise la supresión.
Supresión o anonimización al vencimiento, registrada en el registro de supresiones, también de los archivos adjuntos.
El registro de supresiones queda como prueba ante la AEPD.