Articolo a cura di: Redazione - Studio Legale Calvello

Stabilire per quanto tempo conservare i dati personali è uno dei passaggi più delicati nella gestione della privacy aziendale. Il GDPR non prevede un termine unico valido per tutti i trattamenti: la durata deve essere determinata considerando la finalità per cui i dati sono utilizzati, gli eventuali obblighi di legge e, quando rilevanti, le esigenze di tutela dei diritti dell’impresa. Applicare indistintamente lo stesso periodo a clienti, dipendenti, candidati, fornitori, utenti del sito, log informatici o dati utilizzati per il marketing può quindi produrre una gestione non conforme.

Il problema diventa particolarmente concreto quando l’azienda dispone di archivi costruiti nel tempo, database contenenti informazioni di vecchi clienti, account inattivi, caselle e-mail di ex dipendenti, backup, CRM o gestionali nei quali i dati rimangono disponibili senza una scadenza effettiva. In queste situazioni non basta indicare formalmente un periodo di conservazione nell’informativa o nel registro dei trattamenti: occorre verificare che quanto dichiarato corrisponda a ciò che avviene realmente nei sistemi e nelle procedure aziendali.

Il GDPR non stabilisce un unico tempo di conservazione dei dati personali

L’art. 5, paragrafo 1, lettera e), del Regolamento (UE) 2016/679 introduce il principio di limitazione della conservazione: i dati personali devono essere mantenuti in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore a quello necessario al conseguimento delle finalità per le quali sono trattati. Questo significa che la domanda corretta non è semplicemente “quanti anni possiamo conservare i dati?”, ma per quale finalità stiamo conservando questi dati e fino a quando quella finalità giustifica la loro disponibilità?

Non esiste quindi una regola generale secondo cui tutti i dati aziendali possano essere conservati per cinque o dieci anni. In alcuni casi il periodo deriva direttamente da una disposizione normativa; in altri deve essere individuato dal titolare del trattamento sulla base della finalità perseguita e delle caratteristiche concrete del trattamento. Possono assumere rilievo anche termini prescrizionali e documentate esigenze di accertamento, esercizio o difesa di un diritto. Una volta venuta meno la ragione che giustifica la conservazione in forma identificabile, i dati devono essere cancellati o, quando ne ricorrano i presupposti, anonimizzati in modo effettivo.

La questione richiede quindi una valutazione distinta per trattamento. I dati necessari per gestire un rapporto contrattuale con un cliente non hanno necessariamente lo stesso ciclo di vita dei dati utilizzati per attività promozionali; i documenti relativi al personale seguono esigenze diverse rispetto ai curriculum dei candidati non assunti; i log generati dai sistemi informatici pongono problemi differenti rispetto ai dati contenuti nel CRM. Anche all’interno dello stesso archivio possono convivere informazioni soggette a periodi di conservazione differenti.

Per questo la conservazione deve essere collegata alla mappatura dei trattamenti dell’impresa. Il registro delle attività di trattamento, quando dovuto, permette di ricostruire finalità, categorie di dati e interessati, destinatari e termini previsti per la cancellazione. Le informative privacy devono a loro volta indicare il periodo di conservazione oppure, quando non sia possibile determinarlo preventivamente in modo puntuale, i criteri utilizzati per stabilirlo. Registro, informative, procedure interne e configurazione effettiva dei sistemi dovrebbero quindi descrivere una politica coerente, non versioni diverse dello stesso trattamento.

Come stabilire i tempi di conservazione e trasformarli in una vera data retention aziendale

Una corretta data retention policy parte dall’individuazione delle singole finalità. Per ciascun trattamento occorre verificare se esista una norma che impone la conservazione per un determinato periodo oppure stabilisce limiti specifici. Quando manca un termine normativamente predeterminato, l’azienda deve individuare un periodo proporzionato alla finalità e deve essere in grado, secondo il principio di accountability, di spiegare le ragioni della scelta. Non è sufficiente adottare il periodo più lungo utilizzato in azienda e applicarlo automaticamente a tutti i dati.

La valutazione deve considerare anche ciò che accade dopo la cessazione della finalità operativa principale. La fine di un contratto, ad esempio, non comporta necessariamente l’immediata cancellazione di ogni informazione riferita al cliente: alcuni dati possono dover essere mantenuti per obblighi normativi o per esigenze giuridiche effettivamente applicabili. Ciò non significa però che l’intero profilo del cliente, comprese informazioni raccolte per finalità diverse, possa essere conservato indiscriminatamente per lo stesso periodo. È necessario distinguere quali dati rimangono necessari, per quale ulteriore finalità e fino a quale momento.

Questa distinzione è particolarmente importante negli archivi complessi. Un CRM può contenere contemporaneamente dati contrattuali, storico commerciale, consensi, note degli operatori e informazioni utilizzate per attività di marketing. Un sistema HR può raccogliere documentazione amministrativa, dati relativi al rapporto di lavoro, informazioni sulla selezione e altri dati soggetti a presupposti e tempi differenti. La conservazione deve essere progettata tenendo conto di queste differenze, evitando che l’esistenza di un obbligo riferito ad alcuni documenti diventi la giustificazione per mantenere tutto il contenuto dell’archivio.

La stessa attenzione deve essere dedicata alla componente tecnologica. Definire una retention di tre, cinque o dieci anni su un documento interno serve a poco se il gestionale non prevede procedure di cancellazione, i dati rimangono replicati in applicativi non più utilizzati o i fornitori cloud continuano a conservarli senza criteri coerenti. Nei rapporti con i responsabili del trattamento devono quindi essere verificati anche gli accordi ai sensi dell’art. 28 GDPR, le procedure previste alla cessazione del servizio e la sorte delle eventuali copie residue. Backup e sistemi di disaster recovery richiedono una disciplina compatibile con la loro funzione tecnica, evitando che diventino archivi paralleli utilizzati per conservare indefinitamente informazioni che dovrebbero uscire dal normale ciclo di trattamento.

Per un’impresa che non abbia mai affrontato sistematicamente questo tema, il lavoro non consiste quindi nel compilare una semplice tabella di scadenze. Occorre ricostruire dove si trovano i dati, perché vengono conservati, quali norme incidono sui diversi trattamenti, chi può accedervi, quali applicativi ne gestiscono il ciclo di vita e cosa accade alla scadenza. Questo controllo può essere integrato nell’adeguamento GDPR aziendale e nella revisione della documentazione privacy, affinché i tempi dichiarati siano coerenti con l’organizzazione effettiva e possano essere concretamente applicati.

Quando una conservazione eccessiva dei dati può diventare un problema per l’azienda

Conservare dati personali oltre il periodo giustificato dalla finalità del trattamento non rappresenta soltanto un problema documentale. Significa continuare a trattare informazioni quando potrebbe essere venuto meno il presupposto che ne giustificava la disponibilità. Il rischio aumenta quando l’impresa non è in grado di spiegare perché determinati dati siano ancora presenti nei propri sistemi oppure quando i tempi dichiarati nelle informative e nel registro dei trattamenti non corrispondono alla conservazione effettiva.

Una situazione frequente riguarda gli archivi stratificati nel corso degli anni. Vecchi database commerciali, account di clienti non più attivi, curriculum ricevuti molto tempo prima, cartelle di ex dipendenti, caselle di posta elettronica non dismesse, copie locali di documenti e applicativi ormai inutilizzati possono continuare a contenere dati personali senza che nessuno abbia verificato se esista ancora una ragione per conservarli. In questi casi occorre distinguere ciò che deve effettivamente rimanere disponibile per obblighi normativi o altre finalità legittime da ciò che dovrebbe essere cancellato o anonimizzato.

La presenza di dati non più necessari produce anche conseguenze sul piano della sicurezza. Maggiore è la quantità di informazioni conservate, maggiore può essere l’impatto di un accesso abusivo, di un ransomware, della compromissione di un account o della perdita di un dispositivo. Una corretta politica di conservazione interagisce quindi con il principio di minimizzazione e con le misure tecniche e organizzative adottate dall’impresa: eliminare secondo criteri prestabiliti i dati che non devono più essere trattati riduce la quantità di informazioni esposte in caso di incidente.

Un altro punto critico riguarda la cancellazione effettiva. Non sempre eliminare un dato dall’interfaccia utilizzata dall’operatore significa averlo rimosso dall’intera infrastruttura. Lo stesso dato può essere presente nel gestionale, nel CRM, in cartelle condivise, nelle caselle e-mail, presso fornitori esterni e nei sistemi di backup. Per questo una politica di data retention dovrebbe stabilire anche chi è responsabile dell’applicazione delle scadenze, con quale periodicità vengono effettuati i controlli e come viene gestita tecnicamente la cancellazione.

Particolare attenzione deve essere prestata ai fornitori che trattano dati personali per conto dell’azienda. Nei servizi cloud, SaaS, hosting, CRM, gestione del personale o altri servizi esternalizzati, il titolare deve conoscere anche ciò che accade ai dati alla cessazione del rapporto. Gli accordi con i responsabili del trattamento devono essere coerenti con l’art. 28 GDPR e disciplinare, tra gli altri aspetti pertinenti, la cancellazione o restituzione dei dati al termine della prestazione, salvo che il diritto dell’Unione o degli Stati membri ne richieda la conservazione.

La verifica dei tempi di conservazione può quindi rientrare in un più ampio controllo della documentazione e dell’organizzazione privacy aziendale. Quando emergono periodi non definiti, archivi storici privi di criteri di cancellazione o divergenze tra documentazione e sistemi informatici, è opportuno ricostruire trattamento per trattamento la situazione reale e definire criteri applicabili. Il principio di accountability richiede infatti che l’impresa sia in grado di dimostrare le valutazioni compiute, non semplicemente di dichiarare genericamente che i dati vengono conservati “per il tempo necessario”.

Un caso pratico: dati di clienti ed ex clienti conservati senza una scadenza effettiva

Consideriamo il caso, realistico e anonimizzato, di una società che utilizza da molti anni un gestionale commerciale e un CRM nel quale sono confluiti dati di clienti attivi, ex clienti e contatti acquisiti nel corso del tempo. La documentazione privacy indicava alcuni criteri generali di conservazione, ma nell’operatività quotidiana non era stata predisposta una procedura che permettesse di individuare periodicamente i dati arrivati a scadenza. Il risultato era un archivio nel quale informazioni raccolte per finalità differenti rimanevano disponibili senza una distinzione sufficientemente precisa.

L’intervento ha richiesto innanzitutto di ricostruire le finalità dei diversi trattamenti e di distinguere i dati ancora necessari per l’esecuzione dei rapporti in corso da quelli riferiti a rapporti cessati, agli adempimenti che continuavano a richiederne la conservazione e alle eventuali ulteriori finalità. L’aspetto che ha richiesto maggiore attenzione è stato proprio evitare una cancellazione indiscriminata: la corretta applicazione del principio di limitazione della conservazione non significa eliminare automaticamente tutti i dati più vecchi di una determinata data, ma individuare quali informazioni possano ancora essere legittimamente necessarie e quali abbiano invece esaurito la propria funzione.

Su questa base è stato possibile riorganizzare i criteri di conservazione, collegarli ai singoli trattamenti e verificare la coerenza tra documentazione privacy e funzionamento degli strumenti utilizzati dall’impresa. Un controllo di questo tipo consente anche di individuare eventuali limiti tecnici del software e di definire con il reparto IT e con i fornitori le modalità attraverso cui applicare concretamente le scadenze stabilite.

Domande frequenti sui tempi di conservazione dei dati personali

Il GDPR stabilisce un numero massimo di anni per conservare i dati?

No. Il GDPR stabilisce il principio secondo cui i dati personali non devono essere conservati in forma identificabile più a lungo di quanto necessario rispetto alle finalità del trattamento, ma non prevede un termine generale applicabile a tutti i dati. Il periodo può derivare da specifici obblighi normativi oppure deve essere determinato dal titolare sulla base della finalità e delle circostanze del trattamento. Per questo non è corretto adottare automaticamente un unico termine per tutti gli archivi aziendali.

Possiamo conservare tutti i dati dei clienti per dieci anni?

Non necessariamente. L’esistenza di obblighi civilistici, contabili o fiscali che richiedono la conservazione di determinati documenti non comporta automaticamente che qualsiasi dato riferibile al cliente possa essere mantenuto per lo stesso periodo. Occorre distinguere le informazioni che devono continuare a essere conservate da quelle raccolte per finalità ormai esaurite. Il tema specifico della documentazione amministrativa è approfondito nell’articolo privacy e dati contabili e fiscali: tempi di conservazione.

Cosa bisogna fare dei dati quando scade il periodo di conservazione?

Quando non sussiste più una finalità che ne giustifichi il trattamento in forma identificabile, i dati devono essere cancellati oppure, quando appropriato, anonimizzati in maniera effettiva. L’azienda deve però verificare prima se esistano obblighi normativi o altre basi giuridiche che richiedano la conservazione di specifiche informazioni. La procedura dovrebbe considerare anche i diversi sistemi nei quali il dato può essere presente e non soltanto l’applicativo principale.

I dati presenti nei backup devono rispettare i tempi di conservazione?

Anche i backup contenenti dati personali rientrano nell’organizzazione complessiva della conservazione. La loro particolare funzione tecnica richiede però di considerare il ciclo di rotazione, le modalità di ripristino, le misure di sicurezza e l’effettiva possibilità di intervenire sulle singole copie. L’azienda dovrebbe quindi definire una retention dei backup coerente con le finalità di sicurezza e continuità operativa, evitando che le copie di sicurezza diventino un archivio alternativo nel quale i dati rimangono indefinitamente disponibili.

Come possiamo capire se i tempi di conservazione adottati dalla nostra azienda sono corretti?

La verifica dovrebbe partire dalla mappatura dei trattamenti e confrontare finalità, basi giuridiche, obblighi normativi, termini eventualmente applicabili, informative, registro dei trattamenti e funzionamento effettivo di gestionali, CRM, archivi, sistemi HR, cloud e backup. Quando questi elementi non coincidono, può essere necessario rivedere sia la documentazione sia le procedure operative e tecniche di cancellazione.

Verificare la conservazione dei dati nella propria azienda

Se l’azienda conserva da anni dati di clienti, dipendenti, candidati, fornitori o altri interessati senza criteri di cancellazione chiaramente definiti, oppure se i termini indicati nella documentazione privacy non corrispondono a ciò che avviene nei sistemi informatici, è opportuno verificare concretamente trattamento per trattamento quali dati possano essere ancora conservati e quali debbano uscire dal ciclo ordinario di trattamento.

Lo Studio Legale Calvello assiste le imprese nella verifica dei tempi di conservazione, nella revisione della data retention, del registro dei trattamenti e delle informative e nell’analisi delle procedure applicate ai sistemi aziendali e ai fornitori esterni. La valutazione deve essere costruita sulla realtà dell’impresa, perché finalità, obblighi normativi, strumenti utilizzati e caratteristiche dei trattamenti possono determinare esigenze differenti.

Se vuoi verificare la gestione della conservazione dei dati nella tua impresa, puoi richiedere una valutazione in merito al GDPR e alla privacy aziendale descrivendo attraverso il modulo la situazione e le principali criticità riscontrate.