Articolo a cura di: Redazione - Studio Legale Calvello

Per quanto tempo un’azienda può conservare i dati personali di clienti, dipendenti e fornitori? Il GDPR non stabilisce un termine unico valido per ogni trattamento. La durata dipende dalle finalità perseguite, dagli obblighi di legge applicabili e, in determinate circostanze, dalla necessità di tutelare i diritti dell’impresa. Conservare dati troppo a lungo, senza una giustificazione adeguata, può costituire una violazione del GDPR, anche quando le informazioni sono state raccolte legittimamente.

Il problema si presenta soprattutto quando l’azienda accumula negli anni fascicoli del personale, anagrafiche di clienti inattivi, messaggi di posta elettronica, registrazioni delle telecamere e archivi informatici senza aver stabilito quando cancellarli. Per verificare la conformità non basta indicare un termine nell’informativa privacy: occorre che i sistemi aziendali rispettino effettivamente le scadenze previste. Quando emergono archivi non aggiornati, richieste di cancellazione o possibili contestazioni, una valutazione legale consente di distinguere i dati da eliminare da quelli che devono o possono essere ancora conservati.

Quanto tempo può conservare i dati personali un’azienda secondo il GDPR

L’articolo 5, paragrafo 1, lettera e), del Regolamento (UE) 2016/679 stabilisce il principio di limitazione della conservazione: i dati personali devono essere mantenuti in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore a quello necessario al conseguimento delle finalità del trattamento. Il titolare deve quindi individuare una durata giustificabile per ciascuna categoria di informazioni, tenendo conto delle attività svolte e delle disposizioni normative applicabili.

Non esiste, ad esempio, una regola generale secondo cui tutti i dati aziendali devono essere cancellati dopo cinque o dieci anni. Il termine decennale previsto dall’articolo 2220 del Codice civile per la conservazione delle scritture contabili non può essere automaticamente esteso a curriculum, contatti commerciali, immagini di videosorveglianza o registrazioni delle attività informatiche. Anche quando un documento deve essere conservato per un obbligo civilistico o fiscale, occorre verificare quali dati contenga e per quali ulteriori finalità possano essere utilizzati.

Per i dati dei clienti, la durata può variare tra informazioni necessarie all’esecuzione del contratto, documentazione fiscale, corrispondenza commerciale e dati utilizzati per iniziative promozionali. La cessazione del rapporto contrattuale non comporta necessariamente la cancellazione immediata di ogni documento: alcuni devono essere mantenuti per obblighi legali, mentre altri possono risultare necessari per l’accertamento, l’esercizio o la difesa di un diritto. La permanenza indiscriminata di tutte le informazioni nel gestionale, però, non trova giustificazione nella sola possibilità astratta di future controversie.

La stessa distinzione riguarda i dati dei dipendenti ed ex dipendenti. Documenti relativi al rapporto di lavoro, retribuzioni, obblighi previdenziali e adempimenti fiscali possono essere soggetti a termini differenti. Curriculum di candidati non assunti, informazioni raccolte durante le selezioni e dati provenienti da strumenti di controllo richiedono valutazioni autonome. La circostanza che un dato sia stato acquisito nell’ambito del rapporto lavorativo non autorizza il datore di lavoro a conservarlo indefinitamente.

Particolare attenzione merita la videosorveglianza aziendale. Le immagini devono essere conservate per un periodo proporzionato alle finalità di sicurezza perseguite. Una conservazione superiore a pochi giorni richiede una giustificazione adeguata, considerando il contesto e gli eventuali obblighi specifici. Non esiste un’autorizzazione generalizzata a conservare le registrazioni per trenta giorni; la durata deve essere valutata anche alla luce delle indicazioni del Garante Privacy e delle regole applicabili ai controlli sui lavoratori.

Per i dati trattati a fini di marketing occorre distinguere la conservazione delle informazioni utilizzate per le campagne commerciali da quella della documentazione necessaria a dimostrare la liceità dei trattamenti effettuati. La revoca del consenso impedisce di proseguire il trattamento fondato su quel consenso, ma non comporta automaticamente l’eliminazione di ogni evidenza relativa alle attività precedenti. Anche in questo caso, eventuali ulteriori conservazioni devono avere una finalità e una base giuridica proprie.

Il principio si applica ai documenti cartacei, ai database, ai sistemi cloud e alle copie di sicurezza. Il fatto che un software permetta di mantenere i dati senza limiti temporali non rende lecita una conservazione illimitata. Per un’impresa che utilizza più gestionali o fornitori informatici, la difficoltà consiste spesso nell’individuare tutte le copie delle informazioni e nel collegarle alle rispettive scadenze.

Come stabilire e documentare i tempi di conservazione dei dati aziendali

La definizione dei tempi di conservazione richiede di partire dai trattamenti effettivamente svolti. Noi esaminiamo anzitutto quali dati vengono raccolti, per quale finalità, su quale base giuridica e attraverso quali strumenti. Occorre poi verificare se esistano disposizioni che impongano una durata determinata, se siano pendenti controversie o accertamenti e quando venga meno la necessità di mantenere le informazioni.

Per ogni trattamento è opportuno individuare un termine di conservazione oppure, quando non sia possibile indicare una durata predeterminata, criteri oggettivi per stabilirla. Il riferimento può essere la conclusione del contratto, la cessazione del rapporto di lavoro, l’ultima operazione effettuata o un altro evento pertinente. I termini devono essere coerenti con le finalità dichiarate e non possono dipendere esclusivamente dalla comodità organizzativa dell’impresa.

Il registro delle attività di trattamento, previsto dall’articolo 30 GDPR, richiede, ove possibile, l’indicazione dei termini ultimi previsti per la cancellazione delle diverse categorie di dati. La documentazione deve essere coordinata con le informative rese agli interessati ai sensi degli articoli 13 e 14 GDPR, che devono indicare il periodo di conservazione oppure i criteri utilizzati per determinarlo. Un’informativa che dichiari la cancellazione dopo un certo periodo, mentre il gestionale mantiene i dati senza scadenza, può rivelare una difformità tra quanto comunicato e quanto realmente effettuato.

Per questo motivo una policy aziendale di conservazione dei dati, o data retention policy, può costituire uno strumento organizzativo utile. Non si tratta di un documento autonomo imposto indistintamente dal GDPR a tutte le imprese, ma di una procedura che permette di attribuire responsabilità, definire scadenze, stabilire le modalità di cancellazione e documentare le verifiche. La sua complessità deve essere proporzionata alla dimensione aziendale, al numero dei trattamenti e ai rischi per gli interessati.

Un aspetto delicato riguarda i fornitori esterni. Quando un responsabile del trattamento gestisce dati per conto dell’impresa, il contratto disciplinato dall’articolo 28 GDPR deve prevedere, tra l’altro, che al termine della prestazione i dati siano cancellati o restituiti, a scelta del titolare, salvo che il diritto dell’Unione o degli Stati membri ne imponga la conservazione. È necessario verificare anche le condizioni tecniche dei servizi cloud, le procedure di dismissione degli account e la gestione delle copie di backup. La semplice cancellazione dei dati dall’interfaccia di un programma non dimostra necessariamente che tutte le copie siano state eliminate.

Nei sistemi di backup la cancellazione immediata e selettiva può incontrare difficoltà tecniche. L’azienda deve allora valutare misure appropriate, come la limitazione dell’accesso, la gestione del ciclo di sovrascrittura e procedure che impediscano di reintrodurre nei sistemi operativi dati che avrebbero dovuto essere cancellati. La soluzione deve essere documentata e compatibile con gli obblighi applicabili, senza considerare il backup una giustificazione automatica per mantenere indefinitamente informazioni personali.

La verifica può essere svolta nell’ambito di un audit privacy aziendale, confrontando le scadenze dichiarate con le impostazioni dei software e le procedure concretamente adottate. Se l’impresa ha modificato i propri processi o introdotto nuovi applicativi, può rendersi necessario anche l’aggiornamento del registro dei trattamenti. Il DPO, quando designato, svolge le proprie funzioni di consulenza e sorveglianza sull’osservanza del GDPR, mentre le decisioni relative alle finalità, ai mezzi e ai tempi di conservazione rimangono di competenza del titolare del trattamento.

Un sistema di conservazione correttamente organizzato deve infine prevedere come gestire le eccezioni. In presenza di una controversia effettiva, di un obbligo normativo o di una richiesta dell’autorità, può essere necessario sospendere una cancellazione programmata per i dati pertinenti. Tale decisione richiede una motivazione specifica, un perimetro definito e una successiva rivalutazione: non può diventare il motivo per mantenere senza scadenza l’intero archivio aziendale.

Conservazione dei dati oltre i termini: responsabilità, sanzioni e interventi correttivi

Quando un’azienda conserva dati personali oltre il periodo necessario, il problema non riguarda soltanto la mancata cancellazione delle informazioni. Occorre verificare se il trattamento abbia ancora una finalità legittima, se esista una base giuridica che ne consenta la prosecuzione e se siano state rispettate le disposizioni sulla trasparenza e sulla sicurezza. La conservazione ingiustificata dei dati può integrare una violazione del principio di limitazione della conservazione previsto dall’articolo 5 GDPR, anche in assenza di accessi abusivi, sottrazioni di informazioni o altri incidenti informatici.

Il rischio aumenta quando l’impresa mantiene grandi quantità di dati relativi a ex dipendenti, clienti inattivi o persone che hanno semplicemente richiesto un preventivo. La disponibilità di archivi storici può rispondere a esigenze organizzative, ma queste devono essere valutate rispetto alle finalità originarie e agli eventuali obblighi di conservazione. Non è sufficiente affermare che le informazioni potrebbero tornare utili in futuro. L’azienda deve poter spiegare perché determinati dati siano ancora necessari e per quanto tempo intenda mantenerli.

Le conseguenze possono emergere durante un controllo del Garante per la protezione dei dati personali oppure a seguito di un reclamo presentato da un interessato. Una richiesta di cancellazione formulata da un ex cliente, ad esempio, può portare alla verifica delle informazioni ancora presenti nei gestionali, negli archivi documentali e presso i fornitori esterni. L’articolo 17 GDPR disciplina il diritto alla cancellazione, ma prevede anche eccezioni, tra cui quelle relative all’adempimento di obblighi legali e all’accertamento, all’esercizio o alla difesa di un diritto in sede giudiziaria. Il titolare deve quindi valutare concretamente la richiesta, senza presumere che tutti i dati debbano essere cancellati oppure che possano essere conservati indistintamente.

Quando la richiesta dell’interessato rientra nell’ambito degli articoli da 15 a 22 GDPR, il titolare deve rispettare anche le regole procedurali dell’articolo 12. La risposta deve essere fornita senza ingiustificato ritardo e, di regola, entro un mese dal ricevimento, salvo la possibilità di proroga nei casi previsti dalla normativa. Un’azienda che non conosce l’ubicazione dei dati o non dispone di procedure per individuarli può incontrare difficoltà nel rispettare questi termini. La situazione diventa particolarmente delicata quando le informazioni sono distribuite tra più applicativi, archivi cartacei e servizi cloud.

Le violazioni delle disposizioni dell’articolo 5 GDPR rientrano nel regime sanzionatorio dell’articolo 83, paragrafo 5, del Regolamento, che prevede, nei casi applicabili, sanzioni amministrative pecuniarie fino a 20 milioni di euro oppure, per le imprese, fino al 4% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. Si tratta di limiti massimi normativi, non di importi automaticamente applicati. La determinazione della sanzione dipende dalle circostanze del caso concreto, secondo i criteri dell’articolo 83, paragrafo 2, tra cui natura, gravità e durata della violazione, categorie di dati coinvolti, misure adottate e grado di responsabilità del titolare.

Una conservazione eccessiva può incidere anche sulle conseguenze di un eventuale incidente informatico. Se un ransomware compromette un archivio contenente informazioni che avrebbero dovuto essere cancellate, la presenza di quei dati può ampliare il numero degli interessati coinvolti e aggravare le conseguenze della violazione. L’impresa deve valutare separatamente gli obblighi relativi alla conservazione e quelli previsti dagli articoli 33 e 34 GDPR per la gestione delle violazioni dei dati personali. La mancata cancellazione non determina automaticamente un obbligo di notifica, ma può assumere rilievo nella valutazione complessiva dell’accaduto.

Quando emergono irregolarità, l’intervento correttivo dovrebbe iniziare dall’individuazione dei trattamenti interessati e dalla verifica delle rispettive basi giuridiche. Noi riteniamo necessario distinguere i dati che devono essere cancellati da quelli che possono essere mantenuti per obblighi normativi o esigenze giuridiche documentate. Occorre quindi verificare la coerenza tra informative, registro dei trattamenti, contratti con i fornitori e configurazioni dei sistemi informatici. La cancellazione deve essere organizzata in modo controllato, evitando di eliminare documenti soggetti a obblighi di conservazione o necessari per controversie effettivamente esistenti.

Nei casi in cui sia già intervenuta una contestazione, è opportuno ricostruire le ragioni delle scelte aziendali, le procedure precedentemente adottate e le misure correttive concretamente attuate. L’assistenza legale può riguardare anche la predisposizione delle risposte alle richieste dell’autorità e la gestione delle eventuali memorie difensive. Per le imprese che devono affrontare un controllo, abbiamo approfondito le modalità di intervento nell’articolo dedicato all’ispezione del Garante Privacy in azienda.

La revisione dei tempi di conservazione deve tradursi in istruzioni operative per chi gestisce quotidianamente le informazioni. Responsabili HR, uffici amministrativi, personale commerciale e referenti IT devono conoscere le scadenze pertinenti alle rispettive attività. Il DPO, quando nominato, può fornire indicazioni e svolgere verifiche nell’ambito delle proprie funzioni, mentre il titolare conserva la responsabilità di adottare misure organizzative adeguate e di dimostrarne l’effettiva applicazione.

Esempio pratico: un’azienda conserva dati di clienti ed ex dipendenti senza scadenze definite

Consideriamo il caso ipotetico di una società di servizi che utilizza da molti anni lo stesso gestionale per amministrazione, rapporti commerciali e gestione del personale. Nel sistema risultano ancora presenti anagrafiche di clienti con contratti cessati, curriculum di candidati mai assunti e documentazione relativa a ex dipendenti. Le informative privacy indicano genericamente che i dati saranno conservati per il tempo necessario, ma non esiste una procedura interna che stabilisca quando cancellarli.

Durante una verifica emerge che il software non prevede scadenze automatiche e che alcune informazioni sono replicate su un servizio cloud esterno. La società non può procedere a una cancellazione generalizzata, perché parte della documentazione è soggetta a obblighi fiscali, civilistici o lavoristici. Diventa quindi necessario distinguere i trattamenti, individuare i termini applicabili e verificare quali dati non abbiano più una giustificazione per essere conservati.

Un possibile intervento professionale consiste nell’esaminare le categorie di informazioni, ricostruire le finalità dei trattamenti e predisporre un piano di conservazione e cancellazione coordinato con le esigenze dell’amministrazione e dell’ufficio IT. Particolare attenzione viene riservata ai dati presenti presso il fornitore cloud e alle copie di backup, per definire modalità tecniche di eliminazione compatibili con gli obblighi normativi. La società può così organizzare procedure periodiche di verifica, documentare le decisioni adottate e aggiornare le informazioni rese agli interessati, senza confondere la necessità di conservare alcuni documenti con la possibilità di mantenere indiscriminatamente tutti i dati storici.

Domande frequenti sulla conservazione dei dati personali in azienda

Un’azienda può conservare tutti i dati personali per dieci anni?

No. Il termine decennale previsto per determinate scritture contabili e quello ordinario di prescrizione di alcuni diritti non autorizzano a conservare indistintamente ogni informazione personale per dieci anni. Occorre individuare la finalità del trattamento e verificare eventuali obblighi normativi. I dati utilizzati per finalità commerciali, i curriculum dei candidati e le registrazioni di videosorveglianza, ad esempio, richiedono valutazioni specifiche e possono essere soggetti a periodi molto diversi.

Se un cliente chiede la cancellazione dei propri dati, l’azienda deve eliminarli immediatamente?

Non necessariamente. L’articolo 17 GDPR prevede il diritto alla cancellazione quando ricorrono i relativi presupposti, ma contempla eccezioni, tra cui la necessità di adempiere un obbligo legale o di accertare, esercitare o difendere un diritto in sede giudiziaria. L’impresa deve verificare quali informazioni possano essere eliminate e quali debbano essere ancora conservate. La richiesta deve essere gestita rispettando i termini e gli obblighi di risposta previsti dall’articolo 12 GDPR.

I dati personali presenti nei backup devono essere cancellati alla stessa scadenza degli archivi principali?

Il principio di limitazione della conservazione si applica anche alle copie di sicurezza. Quando la cancellazione selettiva immediata non è tecnicamente praticabile, occorre valutare soluzioni organizzative e tecniche adeguate, tra cui la limitazione dell’accesso, cicli di sovrascrittura documentati e procedure che impediscano il ripristino operativo di dati ormai da eliminare. Non è corretto considerare i backup automaticamente esclusi dagli obblighi del GDPR.

È obbligatorio predisporre una policy aziendale sui tempi di conservazione dei dati?

Il GDPR non impone indistintamente a tutte le imprese un documento autonomo denominato data retention policy. Impone però il rispetto del principio di limitazione della conservazione e la capacità di dimostrare la conformità del trattamento. Una procedura scritta può risultare particolarmente utile quando l’azienda gestisce numerose categorie di dati, utilizza diversi software o affida trattamenti a fornitori esterni. La sua necessità organizzativa e il livello di dettaglio dipendono dalle caratteristiche dei trattamenti effettuati.

Cosa deve fare un’azienda che scopre di conservare dati personali da molti anni senza aver stabilito una scadenza?

È opportuno avviare una verifica dei trattamenti interessati, individuare le finalità ancora esistenti e accertare quali obblighi di conservazione siano applicabili. La presenza di dati storici non comporta automaticamente una violazione, ma richiede una giustificazione verificabile. Quando emergono informazioni non più necessarie, occorre programmare la cancellazione o l’anonimizzazione effettiva, aggiornare la documentazione pertinente e adottare procedure che evitino il ripetersi del problema.

Conservazione dei dati aziendali: richiedere una valutazione legale dei tempi e delle procedure GDPR

Un’azienda che conserva dati personali senza scadenze definite, utilizza archivi storici non verificati o non riesce a gestire correttamente le richieste di cancellazione può esporsi a contestazioni e responsabilità. Stabilire i termini applicabili richiede un esame delle finalità del trattamento, degli obblighi normativi, dei rapporti contrattuali e delle caratteristiche dei sistemi informatici utilizzati.

Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assiste le imprese nella valutazione degli obblighi GDPR, nella verifica dei tempi di conservazione, nella revisione della documentazione privacy e nell’individuazione delle misure correttive necessarie. Possiamo esaminare anche situazioni nelle quali siano già emerse irregolarità, richieste degli interessati o contestazioni relative alla gestione dei dati personali.

Se la vostra azienda deve verificare la conformità dei propri archivi o definire procedure di conservazione e cancellazione, richiedete una valutazione legale in materia di GDPR e privacy aziendale attraverso il modulo dedicato. Esamineremo la richiesta per individuare le questioni giuridiche e organizzative che richiedono approfondimento e le possibili modalità di assistenza.