Articolo a cura di: Redazione - Studio Legale Calvello

Fatture, registrazioni contabili, documentazione fiscale e dati di clienti e fornitori non possono essere cancellati semplicemente perché il rapporto commerciale è terminato, ma neppure conservati senza una logica temporale definita. Per l’azienda il problema nasce dall’incontro tra obblighi civilistici e tributari di conservazione e principio di limitazione della conservazione previsto dal GDPR.

Il punto, quindi, non è stabilire un unico termine valido per tutti i dati amministrativi. Occorre individuare perché ciascuna informazione viene conservata, quale norma o finalità ne giustifica il mantenimento e cosa deve accadere quando quella ragione viene meno. Una gestione non coordinata può lasciare per anni copie di fatture, anagrafiche e documenti fiscali nei gestionali, negli archivi condivisi, nelle caselle e-mail o nei backup, anche quando non sono più necessari.

Conservazione dei dati contabili e fiscali: il GDPR non cancella gli obblighi di legge

Il Regolamento (UE) 2016/679 stabilisce, all’art. 5, par. 1, lett. e), il principio di limitazione della conservazione: i dati personali devono essere mantenuti in una forma che consenta l’identificazione degli interessati per un periodo non superiore a quello necessario rispetto alle finalità per le quali sono trattati. Questo principio non significa, però, che l’azienda debba eliminare una fattura o un documento contabile appena termina il rapporto con il cliente o con il fornitore.

Quando la conservazione è necessaria per adempiere a un obbligo previsto dalla legge, il trattamento può trovare la propria base giuridica nell’art. 6, par. 1, lett. c), GDPR. È ciò che accade per molta documentazione amministrativa che l’impresa deve mantenere in applicazione della normativa civilistica e tributaria. Le scritture contabili e la relativa documentazione, ad esempio, sono soggette ai termini di conservazione previsti dalla disciplina applicabile, che devono essere coordinati con gli eventuali termini rilevanti ai fini fiscali e con situazioni particolari quali accertamenti o contenziosi pendenti.

Il termine dei dieci anni frequentemente associato alla conservazione contabile non deve quindi essere trasformato in una regola privacy universale applicabile indistintamente a qualsiasi informazione presente nell’area amministrativa. Una fattura, l’anagrafica completa di un cliente, la corrispondenza commerciale, i dati presenti nel gestionale e una copia della stessa fattura rimasta come allegato in una casella e-mail possono rispondere a finalità differenti e avere differenti ragioni di conservazione.

Questo aspetto è particolarmente evidente nella fatturazione elettronica. Il trattamento effettuato dall’Agenzia delle Entrate e quello svolto dall’impresa non vanno confusi: l’esistenza di termini e modalità specifiche nei sistemi dell’amministrazione finanziaria non autorizza automaticamente il titolare del trattamento a conservare senza limiti temporali tutte le copie e tutti i dati presenti nei propri sistemi. Anche l’azienda deve poter ricostruire la propria logica di conservazione e verificare dove i dati siano effettivamente presenti.

Per questo, quando si imposta una corretta politica di conservazione dei dati personali, la documentazione contabile e fiscale richiede un esame specifico: il termine deve essere collegato alla finalità e alla base giuridica effettivamente applicabili, evitando sia cancellazioni premature sia conservazioni indiscriminate.

Fatture, dati di clienti e fornitori: come stabilire concretamente i tempi di conservazione

Il primo errore che riscontriamo nella gestione aziendale è considerare “dato contabile” tutto ciò che si trova nel software amministrativo e applicare automaticamente lo stesso periodo di conservazione all’intero archivio. Il gestionale può invece contenere, accanto ai documenti che devono essere conservati per obbligo di legge, numerose informazioni ulteriori: recapiti, nominativi di referenti, annotazioni interne, storico dei rapporti, coordinate bancarie, corrispondenza, documenti allegati e altri dati personali che richiedono una valutazione autonoma.

La verifica deve partire dalle finalità del trattamento. Finché il rapporto contrattuale è in corso, alcuni dati possono essere necessari per eseguire il contratto. Successivamente, determinate informazioni devono continuare a essere trattate per adempiere agli obblighi contabili e fiscali. Altre possono essere necessarie per l’accertamento, l’esercizio o la difesa di un diritto, quando ne ricorrano concretamente i presupposti. Non è corretto, invece, utilizzare genericamente l’esistenza di possibili future controversie per giustificare una conservazione permanente dell’intero patrimonio informativo.

L’azienda dovrebbe quindi associare alle diverse categorie documentali un termine oppure criteri determinabili di conservazione e tradurre questa scelta nel funzionamento reale dei propri archivi. La stessa logica deve trovare coerenza nel registro delle attività di trattamento, nelle informative rese a clienti e fornitori e nelle procedure interne. Dichiarare nell’informativa un determinato periodo serve a poco se il gestionale continua materialmente a conservare i dati senza scadenza.

La verifica deve comprendere anche i soggetti esterni coinvolti. Commercialisti, fornitori di software gestionali, piattaforme di fatturazione e servizi di conservazione digitale possono trattare dati personali per conto dell’impresa. Quando ricorrono i presupposti dell’art. 28 GDPR, occorre disciplinare correttamente il rapporto con il responsabile del trattamento e verificare, tra gli altri aspetti, cosa accade ai dati alla cessazione del servizio, quali copie rimangono disponibili e secondo quali tempi vengono cancellate o restituite.

Una particolare attenzione va riservata alle duplicazioni. La fattura che deve essere legittimamente conservata può trovarsi contemporaneamente nel sistema di conservazione, nel gestionale, sul server aziendale, nella posta elettronica di più dipendenti e all’interno dei backup. L’obbligo di conservare il documento non comporta necessariamente la necessità di mantenerne un numero indefinito di copie accessibili negli stessi termini e con le stesse modalità.

Per un’impresa che voglia verificare il proprio adeguamento al GDPR, la gestione dei dati contabili e fiscali deve quindi essere affrontata come parte del ciclo di vita dell’informazione: acquisizione, utilizzo, archiviazione, limitazione degli accessi e, quando vengono meno le ragioni che ne giustificano la conservazione, cancellazione o altra gestione conforme alla normativa applicabile. È su questa ricostruzione concreta, più che sull’applicazione meccanica di un numero di anni, che si misura la correttezza della data retention aziendale.

Quando la conservazione diventa eccessiva: responsabilità, controlli e procedure aziendali

Una volta individuati i termini applicabili, il problema si sposta sul piano organizzativo: l’azienda deve essere in grado di dimostrare che quei criteri vengono effettivamente applicati. Il principio di accountability richiede infatti che le scelte sui tempi di conservazione non rimangano dichiarazioni astratte contenute nell’informativa o nel registro dei trattamenti, ma trovino corrispondenza nelle procedure e nei sistemi utilizzati quotidianamente.

Un archivio amministrativo costruito nel corso degli anni può contenere quantità considerevoli di dati personali non più necessari. È frequente, ad esempio, che un’impresa mantenga nel gestionale anagrafiche di clienti cessati da molto tempo, vecchie esportazioni del database, cartelle contenenti copie di fatture, documenti fiscali duplicati, file salvati localmente dai dipendenti e messaggi di posta elettronica con allegati amministrativi. In queste situazioni non basta affermare che alcuni documenti devono essere conservati per legge: occorre distinguere il documento soggetto a un obbligo di conservazione dalle copie, dai dati accessori e dalle informazioni ulteriori per le quali quella stessa giustificazione potrebbe non sussistere.

La conservazione per un periodo superiore a quello necessario può porsi in contrasto con il principio di limitazione della conservazione previsto dall’art. 5 GDPR. La valutazione, però, deve essere effettuata sul trattamento concreto. Non ogni dato risalente nel tempo è automaticamente conservato illegittimamente: possono esistere obblighi normativi ancora operanti, esigenze connesse a verifiche fiscali, contenziosi pendenti o altre basi giuridiche che giustificano il mantenimento di determinate informazioni. Ciò che l’impresa dovrebbe evitare è la conservazione generalizzata “per sicurezza” senza avere individuato una finalità attuale e una base giuridica adeguata.

Il problema assume particolare rilievo quando l’azienda riceve una richiesta di cancellazione da un cliente o da un altro interessato. Il diritto alla cancellazione previsto dall’art. 17 GDPR non comporta necessariamente l’eliminazione immediata di ogni dato riferibile alla persona. Lo stesso articolo contempla, tra le eccezioni, il trattamento necessario per l’adempimento di un obbligo legale e quello necessario per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria. L’impresa deve quindi verificare quali informazioni possano essere cancellate e quali debbano continuare a essere conservate, evitando sia di respingere automaticamente la richiesta sia di eliminare documenti che è tenuta per legge a mantenere.

Una procedura di data retention realmente applicabile dovrebbe consentire di individuare le categorie di dati e documenti, le relative finalità, i termini o i criteri utilizzati per determinarli, i sistemi nei quali sono conservati e le modalità previste alla scadenza. Questa analisi può richiedere anche un aggiornamento della documentazione privacy aziendale, soprattutto quando registro dei trattamenti, informative e procedure sono stati predisposti anni prima e nel frattempo sono cambiati gestionali, fornitori, modalità di archiviazione o processi amministrativi.

La cancellazione deve inoltre essere affrontata sul piano tecnico. Eliminare un record dal gestionale non significa necessariamente aver eliminato ogni copia del dato. Backup, sistemi di disaster recovery e archivi storici possono continuare a contenerlo. Questo non impone necessariamente la cancellazione selettiva immediata da ogni backup, quando tecnicamente incompatibile con la struttura e la funzione del sistema, ma richiede che tempi di retention, accessibilità, ripristino e successiva cancellazione siano governati da regole coerenti. In caso di ripristino di una copia precedente, per esempio, l’organizzazione deve considerare anche il rischio di reintrodurre nei sistemi attivi dati che erano già stati cancellati.

Una gestione indiscriminata aumenta anche l’esposizione dell’impresa in caso di incidente di sicurezza. Più dati personali vengono mantenuti senza necessità, maggiore può essere la quantità di informazioni coinvolte in un accesso abusivo, in un ransomware, nella sottrazione di un archivio o nell’errato invio di documentazione. La corretta conservazione, quindi, non riguarda soltanto la durata del trattamento: deve essere coordinata con autorizzazioni, controllo degli accessi, sicurezza degli archivi e gestione delle copie.

Un caso pratico: il gestionale conserva da anni fatture, anagrafiche e vecchi documenti dei clienti

Consideriamo il caso realistico e anonimizzato di un’azienda che utilizza da molti anni lo stesso gestionale amministrativo. Nel sistema sono presenti fatture e documentazione contabile che devono essere conservati secondo i termini applicabili, ma anche anagrafiche complete di clienti con i quali i rapporti sono cessati da tempo, recapiti di vecchi referenti, allegati, annotazioni interne e documenti duplicati. Ulteriori copie delle fatture sono presenti nelle caselle e-mail dell’amministrazione e nelle cartelle condivise del server.

In una situazione di questo tipo non sarebbe corretto procedere a una cancellazione massiva sulla base della sola anzianità dei dati. L’attività deve partire dalla mappatura delle diverse informazioni e dalla distinzione tra documenti ancora soggetti a obblighi di conservazione e dati per i quali occorre verificare se esista ancora una finalità che ne giustifichi il trattamento. Devono poi essere esaminati il gestionale, il sistema di conservazione, gli archivi accessori e le eventuali copie affidate a fornitori esterni.

L’elemento che richiede maggiore attenzione è proprio il coordinamento tra normativa privacy e obblighi civilistici e fiscali: cancellare indiscriminatamente può essere errato quanto conservare tutto senza scadenza. La gestione può quindi essere riorganizzata attribuendo termini o criteri di retention alle diverse categorie documentali, definendo le modalità di cancellazione o limitazione alla scadenza e allineando a tali scelte il registro dei trattamenti, le informative e le procedure interne. In questo modo l’azienda dispone di una regola verificabile da applicare anche ai documenti che entreranno successivamente nei propri sistemi.

FAQ sulla conservazione dei dati contabili e fiscali

Le fatture devono essere cancellate dopo dieci anni?

Non necessariamente. Il termine decennale previsto dall’art. 2220 c.c. costituisce un riferimento per la conservazione delle scritture contabili e della documentazione indicata dalla norma, ma non deve essere interpretato come un automatismo che impone la cancellazione di qualsiasi dato allo scadere del decimo anno. Occorre considerare anche gli obblighi tributari applicabili e verificare se sussistano ulteriori ragioni legittime di conservazione, come un contenzioso o la necessità di accertare, esercitare o difendere un diritto. Allo stesso modo, il termine decennale non giustifica automaticamente la conservazione per dieci anni di ogni informazione accessoria presente nell’anagrafica del cliente o del fornitore.

Un cliente può chiedere la cancellazione dei propri dati presenti nelle fatture?

Può esercitare il diritto alla cancellazione previsto dal GDPR, ma l’azienda deve verificare concretamente quali dati possano essere eliminati. Quando la conservazione della fattura è ancora necessaria per adempiere a un obbligo legale, l’art. 17 GDPR prevede un’eccezione al diritto alla cancellazione. La richiesta dell’interessato non prevale sull’obbligo dell’impresa di conservare la documentazione quando tale obbligo è ancora vigente. Possono però esistere altri dati riferiti allo stesso cliente che non sono più necessari e che richiedono una valutazione distinta.

È sufficiente indicare dieci anni nell’informativa privacy?

No. Il periodo di conservazione indicato nell’informativa deve corrispondere al trattamento effettivamente svolto e, quando non è possibile indicare un termine preciso, il GDPR consente di indicare i criteri utilizzati per determinarlo. Scrivere genericamente “dieci anni” per tutti i dati amministrativi può essere inesatto se nell’archivio sono presenti informazioni trattate per finalità diverse. È necessario che informativa, registro dei trattamenti, procedure interne e configurazione dei sistemi siano tra loro coerenti.

Cosa succede alle copie delle fatture conservate nelle e-mail o nelle cartelle dei dipendenti?

L’esistenza di un obbligo di conservazione del documento non rende automaticamente necessaria ogni sua duplicazione. L’azienda dovrebbe verificare quali siano gli archivi ufficiali, chi debba accedervi e se copie ulteriori nelle caselle di posta, nei computer o nelle cartelle condivise siano ancora necessarie. Questa verifica permette anche di ridurre la quantità di dati esposta in caso di accesso non autorizzato o incidente informatico.

Come può un’azienda verificare se conserva dati contabili e fiscali troppo a lungo?

È necessario ricostruire quali dati vengono trattati, dove sono conservati, per quali finalità, sulla base di quali obblighi o altre basi giuridiche e per quanto tempo. La verifica dovrebbe comprendere gestionali, sistemi di fatturazione e conservazione digitale, server, cloud, posta elettronica, backup e fornitori esterni. Se l’impresa non dispone di criteri documentati oppure conserva indistintamente tutti i dati dalla creazione dell’archivio, può essere opportuno effettuare una verifica della propria politica di data retention e della relativa documentazione GDPR.

Verificare i tempi di conservazione dei dati contabili e fiscali della propria azienda

Stabilire quanto tempo conservare fatture, documenti contabili e dati fiscali richiede di coordinare obblighi civilistici e tributari, finalità del trattamento e principio di limitazione della conservazione previsto dal GDPR. La situazione diventa più complessa quando i dati sono distribuiti tra gestionali, archivi documentali, posta elettronica, servizi cloud, backup e sistemi gestiti da fornitori esterni.

Noi possiamo esaminare l’organizzazione adottata dall’impresa, verificare i criteri di conservazione applicati e valutarne la coerenza con registro dei trattamenti, informative, rapporti con i responsabili esterni e procedure di cancellazione. Quando emergono archivi storici o dati conservati senza termini definiti, l’intervento deve essere calibrato sui singoli trattamenti, evitando cancellazioni indiscriminate che potrebbero entrare in conflitto con obblighi normativi ancora esistenti.

Se la vostra azienda deve verificare o riorganizzare la conservazione dei dati contabili e fiscali, potete richiedere una valutazione in merito al GDPR e alla privacy aziendale descrivendo attraverso il modulo la situazione e le principali criticità riscontrate.