La base de legitimación del tratamiento de los mismos es el cumplimiento de una misión realizada en interés público, así como el cumplimiento de una obligación legal. Los datos se conservarán únicamente durante el tiempo imprescindible para decidir si procede o no iniciar una investigación sobre los hechos denunciados. En todo caso, transcurridos tres meses desde la introducción de los datos, si la denuncia no ha prosperado, se podrán conservar únicamente a efectos de dejar evidencia del sistema, de forma anonimizada. En caso de que la denuncia haya prosperado se procederá a su supresión y bloqueo del sistema de denuncias internas, conservándose durante un período no superior a diez años. Los datos podrán seguir siendo tratados por la autoridad y órgano competente en caso de investigación de los hechos denunciados.

Únicamente se comunicarán datos a terceros cuando resulte necesario para la adopción de medidas disciplinarias o para la tramitación de los procedimientos judiciales que, en su caso procedan sin perjuicio de la notificación a la autoridad competente de hechos constitutivos del ilícito penal o administrativo.