La limitazione della conservazione richiede di decidere per quanto tempo i dati personali servono a una finalità e di rendere operativa quella decisione. Una tabella con numeri generici non basta: occorre sapere da quale evento decorre il termine, quali documenti comprende, chi può utilizzarli durante l’archiviazione e che cosa succede alla scadenza. Il problema riguarda anche le copie distribuite fra applicazioni, posta elettronica e fornitori.
L’articolo 5, paragrafo 1, lettera e), del GDPR stabilisce il principio generale, con una disciplina specifica per conservazioni più lunghe destinate esclusivamente ad archiviazione nel pubblico interesse, ricerca scientifica o storica e statistica, alle condizioni previste e con le garanzie dell’articolo 89. Questo articolo spiega come costruire una politica applicabile; la tabella dei tempi di conservazione aiuta invece a esaminare categorie documentali particolari.
Partire dalla finalità e dal contenuto
Un archivio clienti può contenere informazioni per consegnare un ordine, emettere una fattura, gestire un reclamo e inviare comunicazioni commerciali. Queste finalità non hanno necessariamente la stessa base giuridica né la stessa durata. Conservare una fattura per legge non permette di mantenere indefinitamente il profilo promozionale associato al cliente. La politica deve distinguere gli utilizzi, anche quando tecnicamente i dati sono presenti nella stessa applicazione.
Descrivete il contenuto necessario per ciascuno scopo. Se un documento contiene molti più dettagli di quelli richiesti dall’obbligo invocato, verificate se occorra conservare l’intero documento oppure una versione ridotta. La minimizzazione dei dati riguarda anche ciò che entra nell’archivio: raccogliere meno informazioni non pertinenti riduce il lavoro successivo di selezione, protezione e cancellazione. Non risolve però gli obblighi di conservare ciò che la legge effettivamente richiede.
Il considerando 39 indica termini per cancellare i dati o verificarne periodicamente la necessità. Una verifica periodica non deve diventare un rinvio automatico: deve poter condurre a una decisione diversa, con un responsabile e una motivazione. La disponibilità di spazio sul server, il costo già sostenuto per raccogliere i dati o la possibilità astratta di usarli in futuro non dimostrano una finalità attuale e lecita.
Individuare durata, decorrenza e risultato finale
Per ogni categoria, separate tre elementi. Il primo è il periodo applicabile; il secondo è l’evento che avvia il conteggio; il terzo è la sorte finale dei dati. “Dieci anni” è incompleto se non si precisa da quando e per quali documenti. Anche “fino alla chiusura del rapporto” richiede una definizione: un account inattivo, una fattura non pagata e una controversia pendente non rappresentano la stessa situazione.
Verificate prima gli obblighi normativi pertinenti. Una durata minima imposta dalla legge non può essere abbreviata sulla sola base di una scelta interna, ma non autorizza automaticamente ogni ulteriore uso dei dati. Quando manca un termine specifico, stabilite un periodo proporzionato alla finalità, considerando aspettative delle persone, necessità effettive e rischi. Documentate le ragioni con sufficiente precisione da poterle riesaminare, senza inventare un obbligo legale dove esiste una vostra scelta.
Definite anche la granularità. Può essere necessario conservare il contratto concluso e cancellare prima le bozze superate, oppure mantenere una registrazione amministrativa ed eliminare allegati non pertinenti. Evitate di applicare a un’intera cartella il termine più lungo presente in un solo documento. Se l’applicazione non permette separazioni, considerate esportazioni selettive o una modifica della configurazione, valutando integrità e recuperabilità delle informazioni da conservare.
Scritture contabili: il termine italiano va letto per intero
L’articolo 2220 del Codice civile prescrive dieci anni dalla data dell’ultima registrazione per le scritture contabili e disciplina anche fatture e corrispondenza commerciale indicate dalla norma. Non stabilisce dieci anni dalla cessazione del rapporto per ogni dato relativo a clienti o dipendenti. La categoria documentale e il criterio di decorrenza devono essere riportati correttamente nella politica.
Occorre inoltre considerare gli obblighi tributari. Alla data del 30 settembre 2026, l’articolo 22 del DPR n. 600/1973 prevede la conservazione delle scritture rilevanti fino alla definizione degli accertamenti relativi al periodo d’imposta, anche oltre il termine civilistico, con le specificazioni della disposizione. Non programmate quindi cancellazioni irreversibili basandovi soltanto sull’età del documento, senza verificare la situazione fiscale pertinente.
Questa regola non giustifica un blocco indifferenziato di tutti i sistemi aziendali. Collegate l’eventuale prosecuzione della conservazione ai documenti interessati e alla ragione concreta. Chi gestisce l’archivio deve ricevere un’indicazione utilizzabile dall’amministrazione, con riesame quando la situazione cambia. I cambiamenti legislativi richiedono aggiornamento della politica: consultare una versione futura di una norma non dimostra che quella disciplina sia già applicabile oggi.
Risorse umane, selezione e marketing
Il fascicolo del personale contiene documenti con funzioni diverse: amministrazione del rapporto, pagamenti, obblighi previdenziali, sicurezza sul lavoro e gestione di contestazioni. Non attribuite a tutti una durata uniforme ricavata dalla prescrizione ordinaria. Individuate gli obblighi specifici e le esigenze documentali; limitate poi accessi e contenuto. Un’esigenza di conservazione amministrativa non rende disponibile l’intera storia lavorativa a chi decide una campagna commerciale o svolge analisi non collegate.
Per i candidati non assunti, definite quanto tempo servono i dati per la selezione e se esista una finalità distinta di valutazione per future posizioni. Non esiste nel GDPR un termine universale di sei, dodici o ventiquattro mesi per ogni curriculum. La riutilizzazione richiede una base e un’informazione appropriate, oltre alla proporzionalità della durata. Il semplice fatto di aver ricevuto spontaneamente un documento non autorizza a tenerlo senza scadenza.
Nel marketing, il mancato ritiro del consenso non dimostra che qualunque conservazione resti necessaria. Valutate aggiornamento dei contatti, aspettative, frequenza e reale continuità del rapporto, oltre alle regole applicabili al canale. Una politica può prevedere controlli sull’inattività, ma deve definire quali eventi siano significativi: un’apertura rilevata automaticamente non equivale sempre a un interesse attuale della persona né rinnova da sola il consenso.
Dopo un’opposizione o una revoca, una registrazione minima può essere necessaria per rispettare quella scelta, se adeguatamente giustificata. Separatela dalla lista utilizzata per inviare messaggi e limitatene lo scopo. Cancellare ogni traccia della scelta e reimportare poi lo stesso contatto da un fornitore può provocare nuovi invii indesiderati. Conservare l’intero profilo pubblicitario “per ricordare la revoca” sarebbe invece un’estensione da motivare, normalmente non necessaria.
Videosorveglianza e registrazioni tecniche
Le FAQ del Garante sulla videosorveglianza, in particolare le risposte 5 e 6, affidano al titolare la scelta proporzionata dei tempi, salvo termini imposti da norme specifiche. Nella maggior parte dei casi le immagini dovrebbero essere cancellate dopo pochi giorni. Quanto più il periodo si prolunga, soprattutto oltre 72 ore, tanto più deve essere argomentata l’analisi della necessità. Non esiste una franchigia generale di sette giorni per ogni impianto.
Il Garante propone l’esempio di un piccolo esercizio che può accorgersi rapidamente di un danno e indica che la chiusura festiva può giustificare tempi maggiori. Sono indicazioni da applicare al contesto, non un obbligo universale di conservare 24 o 48 ore. Una richiesta specifica dell’autorità giudiziaria può rendere necessario prolungare la conservazione delle immagini pertinenti. Il resto dell’archivio deve continuare a seguire la regola ordinaria. Il nostro approfondimento sulla videosorveglianza esamina anche gli altri adempimenti.
Per i log, identificate che cosa registrate e perché: autenticazioni, operazioni amministrative, errori e richieste di assistenza non sono categorie intercambiabili. La sicurezza può richiedere informazioni utili a ricostruire un evento, ma non autorizza una raccolta indiscriminata di contenuti o credenziali. Verificate gli eventuali obblighi specifici applicabili alla categoria e conservate solo gli elementi necessari, con accessi controllati. Un unico termine assegnato a qualsiasi file denominato “log” non sostituisce questa analisi.
Archiviazione limitata e tutela di un diritto
Quando termina l’uso corrente, può restare una finalità lecita di conservazione: un obbligo, una controversia o una necessità proporzionata di accertare, esercitare o difendere un diritto. Non significa continuare a trattare i dati come prima. Separate l’archivio dalla disponibilità operativa e definite chi può accedervi, per quali ragioni e con quale procedura. La protezione deve accompagnare anche esportazioni, copie locali e documenti cartacei.
Se sospendete una cancellazione per una controversia, registrate l’ambito dei documenti, la ragione, il referente e il criterio per rimuovere la sospensione. Non è sempre possibile conoscere subito la data finale, ma è possibile programmare verifiche collegate all’evoluzione del caso. Un ordine interno “non cancellare nulla” senza scopo definito rischia di durare oltre la necessità e di coinvolgere informazioni estranee.
L’archiviazione nel pubblico interesse e la ricerca seguono le condizioni del GDPR e le eventuali regole nazionali, con misure adeguate ai sensi dell’articolo 89. Non basta chiamare un archivio commerciale “storico” per conservarlo più a lungo. Analogamente, una possibile utilità statistica futura non equivale a una finalità già definita. Valutate se il risultato possa essere raggiunto con dati anonimi e quali garanzie siano necessarie quando restano dati personali.
Tradurre la politica nelle applicazioni
Collegate ogni regola a un sistema e a un responsabile operativo. Una procedura deve specificare il campo che avvia il conteggio, le eccezioni gestibili e l’azione finale. Per esempio, la chiusura di una pratica può spostare documenti in un archivio ristretto, mentre la successiva scadenza attiva la cancellazione. Verificate se gli aggiornamenti ordinari del software modificano involontariamente le date utilizzate per calcolare l’età dei dati.
L’automazione è utile solo se applica una regola corretta. Prima dell’attivazione, controllate un campione rappresentativo: documenti recenti che non devono sparire, documenti scaduti, pratiche sospese e informazioni replicate. Un sistema che cancella troppo presto può compromettere obblighi e diritti; uno che non cancella mai non realizza la politica. Conservate evidenze del risultato e degli errori, evitando di duplicare nei rapporti tecnici l’intero contenuto eliminato.
Integrate queste scelte nella protezione dei dati fin dalla progettazione. Durante l’acquisto di un’applicazione, verificate esportazione, selezione delle categorie, configurazione delle scadenze e possibilità di distinguere archivio e uso attivo. Una clausola generica sulla conformità non dimostra che il prodotto gestisca le vostre regole. La procedura deve funzionare anche quando un fornitore cambia o termina il servizio.
Fornitori, copie di sicurezza e ripristino
Chiarite i ruoli e includete nel rapporto con il responsabile del trattamento istruzioni utilizzabili sulla conservazione. Il contratto o altro atto giuridico vincolante previsto dall’articolo 28, in forma scritta anche elettronica, deve disciplinare il trattamento e la sua conclusione. Alla fine dei servizi, il responsabile restituisce o cancella i dati secondo la scelta del titolare ed elimina le copie esistenti, salvo che il diritto dell’Unione o dello Stato membro ne richieda la conservazione.
Le copie di sicurezza richiedono una procedura coerente con la loro funzione. Definite rotazione, accessibilità e gestione delle cancellazioni, senza inventare una deroga permanente perché la modifica di una copia è tecnicamente scomoda. Se la cancellazione selettiva non è immediata, occorrono misure effettive che impediscano l’uso ordinario dei dati e ne gestiscano l’eliminazione nel ciclo previsto, valutando il rispetto delle richieste e degli obblighi applicabili.
Il ripristino è un passaggio critico: una copia precedente può reintrodurre dati cancellati dal sistema attivo. La verifica della cancellazione dopo il ripristino dei backup deve quindi comprendere allegati, profili e repliche. Mantenete le informazioni strettamente necessarie a riapplicare le cancellazioni e proteggetele. Provare che una richiesta è stata eseguita non richiede, di regola, conservare nuovamente tutto ciò che era stato rimosso.
Documentazione e diritti delle persone
Nel registro dei trattamenti, l’articolo 30 richiede, ove possibile, i termini ultimi previsti per cancellare le diverse categorie. La politica può sviluppare questi campi con fonti, decorrenze, eccezioni e responsabili. Nell’informativa privacy, comunicate il periodo oppure, quando non sia possibile determinarlo, i criteri utilizzati. “Conserviamo finché necessario” senza criteri comprensibili spesso non aiuta la persona a capire che cosa accadrà.
La conservazione rientra anche nelle informazioni del diritto di accesso. Una risposta deve riflettere le regole effettive e la situazione dei dati, non un modello che ignora l’archivio intermedio. Verificate la coerenza fra informativa, registro, contratto con il fornitore e configurazione tecnica. Se i documenti indicano durate diverse, individuate la regola corretta e correggete le incoerenze, senza scegliere semplicemente quella più lunga.
Il diritto alla cancellazione non comporta l’eliminazione automatica di dati soggetti a una valida eccezione dell’articolo 17. Le esigenze legali, difensive, di sanità pubblica, archiviazione o ricerca devono però soddisfare le rispettive condizioni; per archiviazione e ricerca rilevano anche le garanzie e il serio pregiudizio agli obiettivi indicati dalla disposizione. Separate ciò che può essere cancellato da ciò che deve restare e spiegate la decisione.
Se non date seguito a una richiesta, comunicate i motivi senza ingiustificato ritardo e al più tardi entro un mese, insieme alle possibilità di reclamo e ricorso. Questa comunicazione non è rinviabile usando l’estensione generale prevista per richieste complesse. Una politica ben costruita rende la risposta più precisa, perché collega ogni conservazione residua alla sua ragione e limita gli accessi durante quel periodo.
Riesaminare le regole quando cambia il trattamento
Stabilite riesami commisurati ai rischi e agli eventi: nuove finalità, modifiche legislative, cambio di fornitore o scoperta di copie dimenticate. Il GDPR non impone a tutte le organizzazioni una revisione annuale identica di ogni tabella. La frequenza scelta deve essere ragionevole e il riesame deve produrre azioni quando necessario. Una scadenza registrata in calendario non dimostra che le cancellazioni avvengano.
Le decisioni del Garante possono offrire esempi utili, senza dimostrare da sole che la conservazione sia la violazione più frequente o più semplice da accertare. Per verificare la vostra politica, seguite un documento dall’origine alla distruzione e chiedete chi ne giustifica la presenza in ciascuna fase. Il risultato utile è una regola comprensibile e applicata, accompagnata da prove proporzionate della sua esecuzione.