Cuánto tiempo conservar los correos de la empresa: obligaciones legales, RGPD y retención en Microsoft 365 y Google

«¿Cuánto tiempo hay que guardar los correos?» es una de las preguntas que más aparecen cuando una empresa ordena su buzón. La respuesta corta es que no hay un plazo único. Hay normas que obligan a conservar documentos mercantiles durante años. Existe un principio que impide conservar datos personales más tiempo del necesario. Y la configuración de Microsoft 365 y de Google Workspace decide, en la práctica, qué sigue existiendo.

Antes de fijar nada conviene separar dos cuestiones que suelen confundirse. La primera es si un correo es un documento de la empresa que la ley obliga a guardar. La segunda es si contiene datos personales y, en ese caso, cuánto tiempo puede tratarse. Un mismo mensaje puede responder a las dos, y cada una tiene su plazo. Para saber qué registros existen en cada plataforma, la guía sobre auditoría de correo en Microsoft 365 y Google Workspace sirve de punto de partida.

Las normas se citan a fecha de octubre de 2026. El texto es informativo y no sustituye el asesoramiento jurídico ni fiscal: el plazo que aplica a cada empresa lo debe confirmar su asesor, junto con el delegado de protección de datos si lo tiene.

No hay un plazo único

No existe una norma general que diga cuántos años hay que guardar el correo de empresa. Lo que existe son reglas por tipo de información: documentos mercantiles, obligaciones fiscales, plazos para reclamar, medidas de prevención del blanqueo para algunos sujetos y límites al tratamiento de datos personales. Cada una dice algo distinto, y ninguna dice «todo el correo durante tantos años».

Por eso el enfoque útil es clasificar. Un contrato firmado por correo, un pedido, una factura o la reclamación de un cliente tienen obligaciones de conservación propias. Una conversación informal sobre un horario o un mensaje de un proveedor que ya no se usa suelen tener una finalidad que se agota pronto. Tratar todo igual es lo que lleva a guardar de más o a borrar lo que había que guardar.

Obligaciones de conservar: Código de Comercio, tributaria y laboral

El Código de Comercio es la referencia para la mayoría de empresas. Su artículo 30 obliga a los empresarios a conservar los libros, la correspondencia, la documentación y los justificantes relacionados con su negocio durante seis años, a partir del último asiento realizado en los libros. Conviene fijarse en el punto de partida: los seis años se cuentan desde el último asiento de los libros, de modo que la fecha de cada correo no marca el inicio del plazo. La obligación sigue vigente si la actividad cesa, y en caso de fallecimiento o de disolución recae en herederos o liquidadores.

El texto habla de correspondencia relacionada con el negocio, no de todo el correo. La interpretación prudente es que el deber alcanza a los mensajes con valor documental para la actividad: contratos, pedidos, facturas, reclamaciones y negociaciones que sirvan para acreditar una operación. Lo que no tiene ese valor no entra en el artículo 30 por estar en el buzón. La norma no fija esa frontera con detalle, así que el criterio debe decidirlo la empresa con su asesor y quedar por escrito.

En lo fiscal, la Ley 58/2003, General Tributaria fija prescripciones distintas. Su artículo 66 establece un plazo de cuatro años para el derecho de la Administración a determinar la deuda tributaria mediante liquidación y para exigir el pago de las deudas liquidadas y autoliquidadas. El artículo 70 añade que las obligaciones formales vinculadas a otras obligaciones tributarias del propio obligado solo pueden exigirse mientras no haya vencido el plazo para determinar esas obligaciones. Un plazo de prescripción no es, por sí mismo, un plazo de conservación. Pero explica por qué los justificantes de operaciones fiscales se guardan durante el periodo en que la Administración puede revisarlas.

Algunas empresas tienen obligaciones adicionales. La Ley 10/2010, de prevención del blanqueo de capitales obliga a los sujetos que enumera a conservar la documentación durante diez años desde que se formaliza el cumplimiento de sus obligaciones, y después a eliminarla. Transcurridos cinco años desde la terminación de la relación de negocios, solo pueden consultarla los órganos de control interno y quienes se encarguen de la defensa legal. Esa regla se aplica solo a los sujetos que la propia ley enumera. Una empresa que no lo sea no debe copiar ese plazo sin más.

En el ámbito laboral, el artículo 59.1 del Estatuto de los Trabajadores establece que las acciones derivadas del contrato de trabajo que no tengan señalado plazo especial prescriben al año de su terminación. Es una regla general, con excepciones, y sirve para situar cuánto tiempo puede discutirse una relación laboral. Las faltas laborales tienen plazos propios, que se explican en la guía sobre evidencias de correo en una investigación interna.

El límite del RGPD y el bloqueo de datos

El RGPD se aplica al correo en cuanto contiene datos personales, y casi siempre los contiene. Su artículo 5.1.e exige que los datos se mantengan de forma que permita identificar a las personas durante no más tiempo del necesario para los fines del tratamiento. Es el principio de limitación del plazo de conservación. Si la finalidad se agota, el dato debe dejar de conservarse en forma identificable.

Una obligación legal de conservar, como la del Código de Comercio, puede justificar que un documento se guarde ese tiempo. No justifica guardar el buzón entero durante seis años. Cumplir el principio exige limitar la conservación a lo que cada norma exige y fijar para el resto un plazo menor, ligado a su finalidad.

Cuando el plazo termina, la LOPDGDD prevé el bloqueo. El artículo 32 de la LOPDGDD obliga a bloquear los datos cuando se rectifican o se suprimen. Bloquear consiste en identificarlos y reservarlos, con medidas técnicas y organizativas que impidan su tratamiento, incluida la visualización. Los datos bloqueados solo pueden ponerse a disposición de jueces y tribunales, del Ministerio Fiscal y de las administraciones competentes, incluidas las autoridades de protección de datos, durante el plazo de prescripción de posibles responsabilidades. Después, deben destruirse.

Si el sistema no permite bloquear, o hacerlo supondría un esfuerzo desproporcionado, la misma norma admite un copiado seguro que deje constancia de la autenticidad de los datos y de la fecha del bloqueo. Esa es la diferencia práctica con borrar: el dato sale del uso ordinario y queda guardado en un lugar reservado para responder a una reclamación.

Correo, metadatos y evidencias: tres plazos

Bajo la palabra «correo» conviven tres cosas distintas: el contenido del mensaje, sus metadatos y las evidencias que se generan cuando alguien investiga o reclama algo. Cada una tiene su plazo.

• El contenido. Los documentos mercantiles siguen el plazo del Código de Comercio. El resto del correo sigue el plazo de su finalidad.
• Los metadatos: remitente, destinatarios, fechas y tiempos de respuesta. Su plazo lo fija la finalidad de la gestión o de la medición, que suele ser más corta que la del documento. Conviene justificarlo por escrito.
• Las evidencias de una investigación o de un procedimiento. Se conservan mientras dure su finalidad. Si hay un litigio abierto, puede aplicarse una retención legal, y esa decisión se toma con asesoramiento, no por inercia.

Separar las tres cosas evita el error más común: conservar el buzón completo porque una parte del contenido debe guardarse. Un sistema que lleva los documentos mercantiles a un repositorio documental, mientras el resto del buzón sigue un plazo corto, encaja mejor con el principio de limitación que uno que lo guarda todo en el mismo sitio.

Microsoft 365: retención y registro de auditoría

En Microsoft 365, la conservación se configura en Microsoft Purview. Las directivas de retención pueden aplicarse a buzones de Exchange y a otras ubicaciones. Las acciones posibles incluyen conservar durante un periodo y eliminar después, o eliminar solo cuando pasa un plazo. La documentación de Microsoft explica además un principio que conviene tener presente: la retención gana al borrado. Mientras un contenido tenga una retención activa, no se elimina de forma permanente, aunque el usuario lo borre de su vista.

La retención para un caso concreto, como un litigio o una investigación formal, es otra herramienta. Se activa para un asunto determinado y no tiene un plazo fijo. Debe liberarse cuando el procedimiento termina, y la empresa debe anotar quién la activó y por qué. Lo que no conviene es activar retenciones amplias, sin fin previsto, y olvidarlas.

Aparte está el registro de auditoría, que sirve para investigar actividad y no es el buzón. Según la documentación de Microsoft sobre las políticas de retención de auditoría, en Audit (Standard) los registros generados desde el 17 de octubre de 2023 se conservan 180 días por defecto. En Audit (Premium), la política predeterminada conserva un año los registros de Exchange, SharePoint, OneDrive y Microsoft Entra de los usuarios con licencia E5 o equivalente. Las organizaciones pueden crear políticas propias de hasta diez años, siempre con las licencias que correspondan. Conviene saberlo con antelación, porque el plazo de cada registro se fija cuando entra en el sistema de auditoría: una política nueva no alarga retroactivamente lo que ya se ha generado.

Google Workspace: registros de Gmail y Vault

En Google Workspace conviene distinguir dos planos. Los eventos de registro de Gmail se conservan seis meses, según la tabla de retención de Google, y los administradores no pueden borrarlos ni cambiar ese plazo. Su latencia es de pocos minutos. Sirven para investigar lo reciente, no para reconstruir un año de actividad.

Google Vault es la herramienta de conservación y de búsqueda de los mensajes. Sus reglas de retención definen cuánto tiempo se conservan. En Gmail, según la ayuda de Vault sobre cómo funciona la retención, el plazo empieza a contar el día en que el mensaje se envió o se recibió. Las reglas predeterminadas sirven de base cuando no hay reglas personalizadas ni retenciones. Google advierte además de que cambiar una regla puede causar pérdida de datos si se acorta el plazo o se quita una regla predeterminada.

Hay dos detalles que cambian los cálculos. El primero: los mensajes eliminados de la papelera siguen disponibles para Vault durante 30 días más, y esa preservación de Gmail prevalece sobre las reglas de Vault que expiren en ese periodo. El segundo: las retenciones (holds) protegen el contenido mientras existan, con independencia de las reglas de retención. Por eso conviene revisar las retenciones activas antes de dar por cerrado un expediente.

Herramientas de terceros

Una herramienta que analiza el correo también conserva algo: metadatos, registros de accesos, resultados de análisis y, en su caso, evidencias. Antes de contratarla conviene preguntar qué guarda, durante cuánto tiempo, si el plazo se puede configurar y qué pasa con esos datos al terminar el contrato.

En EmailDelDia, la conservación se configura por organización. Metadatos, contenidos y evidencias tienen políticas distintas, y la empresa decide cuánto guarda cada cosa dentro de lo contratado. Las evidencias de una investigación se guardan con su hash, su historial de accesos y su fecha de obtención, de modo que pueda comprobarse que no se alteraron. La herramienta no sustituye a Microsoft Purview eDiscovery ni a Google Vault cuando la organización las usa para retenciones legales. Los detalles están en la página de seguridad.

Tabla de plazos para completar

La plantilla siguiente sirve para que el responsable de protección de datos, o quien lleve el registro de actividades de tratamiento, la complete. Las bases legales ya están citadas. Los plazos se dejan en blanco a propósito, porque dependen de cada empresa y de su asesor.

Preguntas frecuentes

¿Cuántos años hay que guardar un correo de empresa?

No hay una cifra única. Un correo con valor documental sigue el plazo de seis años del Código de Comercio, contado desde el último asiento de los libros. Un correo sin ese valor debe conservarse solo lo necesario para su finalidad, y los metadatos suelen tener un plazo más corto. La asesoría debe confirmar cada caso.

¿Los seis años del Código de Comercio se aplican a todos los correos?

El deber se refiere a la correspondencia relacionada con el negocio, y no obliga a guardar todo el buzón durante ese periodo. Conservar todos los mensajes seis años puede chocar con el principio de limitación del RGPD, así que conviene separar lo que tiene valor documental del resto.

¿Qué es el bloqueo de datos y en qué se diferencia de borrar?

Es la reserva de los datos, identificados y apartados del uso ordinario, para atender posibles responsabilidades durante el plazo de prescripción. Durante ese periodo solo pueden ponerse a disposición de jueces, tribunales, el Ministerio Fiscal y las administraciones competentes. Pasado el plazo, deben destruirse, según el artículo 32 de la LOPDGDD.

¿Microsoft 365 y Google conservan el correo por sí solos durante años?

No como archivo. Sin una regla configurada, el destino del correo depende de lo que haga cada persona con su buzón y de la configuración por defecto del proveedor. Una política de conservación se configura de forma expresa en Microsoft Purview o en Google Vault. Los registros de auditoría tienen plazos propios: 180 días o un año en Microsoft, según la licencia, y seis meses para los eventos de registro de Gmail.

¿Los plazos de la Ley General Tributaria o de la Ley 10/2010 valen para cualquier empresa?

No. La Ley General Tributaria fija plazos de prescripción de cuatro años para los derechos que enumera, y no establece por sí misma un plazo de conservación. La Ley 10/2010 se aplica solo a los sujetos obligados que enumera y fija diez años para su documentación. Para la mayoría de empresas, el plazo se decide por la finalidad y por el documento concreto.