Una tabella dei tempi di conservazione dei dati è utile quando collega ogni categoria a una finalità, a un evento iniziale e a una ragione verificabile per mantenerla. Il GDPR non assegna un numero di mesi universale a clienti, curriculum, marketing o registrazioni video. Alcuni termini derivano dalla legge; altri devono essere stabiliti dal titolare in funzione della necessità del trattamento.
La distinzione conta anche all’interno dello stesso fascicolo. Una fattura, una preferenza commerciale e una registrazione di assistenza riferite al medesimo cliente possono avere tempi diversi. Conservare il documento contabile non autorizza a mantenere attivo tutto il profilo. Questa guida presenta una tabella orientativa e spiega come trasformarla in regole applicabili ai sistemi, senza confondere minimi legali, termini motivati e sospensioni per controversie.
La tabella: termini certi e valutazioni da documentare
La tabella non sostituisce la verifica della disciplina di settore. I riferimenti italiani sono controllati al 29 settembre 2026: per la conservazione tributaria è importante distinguere il testo applicabile oggi dal riordino con decorrenza nel 2027.
| Categoria | Regola da applicare | Evento e verifica essenziale |
|---|---|---|
| Scritture contabili | Dieci anni secondo l’art. 2220 c.c. | Data dell’ultima registrazione; delimitare i documenti coperti |
| Fatture e corrispondenza previste dall’art. 2220 | Conservazione per lo stesso periodo previsto dalla disposizione | Collegare il documento alla gestione contabile pertinente |
| Documentazione rilevante per accertamenti fiscali | Verificare l’art. 22 DPR 600/1973, ancora applicabile alla data della guida | Accertamenti del corrispondente periodo d’imposta non definiti; valutare l’eventuale protrazione |
| Fascicolo del personale | Termini differenziati per obblighi e finalità | Separare retribuzioni, adempimenti, valutazioni e documenti sanitari |
| Curriculum e selezione | Periodo proporzionato alla selezione o alla distinta finalità di future candidature | Chiusura della selezione e riesame dell’utilità; nessun intervallo universale di 6–24 mesi |
| Dati commerciali e marketing | Necessità della finalità, condizioni della base giuridica e gestione di revoca/opposizione | Distinguere profili attivi, prove e informazioni minime di esclusione |
| Immagini di videosorveglianza | Periodo necessario nel contesto; normalmente pochi giorni secondo il Garante | Motivazione più articolata soprattutto oltre 72 ore; verificare norme speciali |
| Access log degli amministratori di sistema | Almeno sei mesi nel campo di applicazione del provvedimento del Garante | Data degli eventi; completezza, inalterabilità e verificabilità |
| Altri log e metadati | Termini legati alla specifica finalità e disciplina applicabile | Non importare automaticamente la regola degli amministratori o delle telecomunicazioni |
| Documenti per controversie | Conservazione dei soli elementi necessari al diritto concreto | Apertura, evoluzione e chiusura della controversia; riesame del vincolo |
Il principio di limitazione della conservazione riguarda dati identificabili. La possibilità prevista dal GDPR di conservare più a lungo per archiviazione nel pubblico interesse, ricerca scientifica o storica o statistica richiede le condizioni e le garanzie dell’articolo 89, paragrafo 1. Non basta chiamare «statistico» un archivio clienti che continua a essere utilizzato individualmente.
Definire categoria, finalità ed evento iniziale
Una categoria troppo ampia impedisce una decisione corretta. «Dati dei dipendenti» include informazioni raccolte per assumere, pagare, organizzare turni, valutare prestazioni e gestire contestazioni. Le ragioni che permettono di conservare una busta paga non sono automaticamente valide per le note di un colloquio o per un documento raccolto inutilmente.
Per ciascuna categoria descrivete l’evento da cui decorre il periodo. Può essere l’ultima registrazione contabile, la conclusione di una selezione, la chiusura di una pratica o la scadenza di un rapporto. Se il sistema conserva soltanto la data di creazione del record, potrebbe non avere l’informazione necessaria per applicare la regola. Questo problema va risolto prima di attivare cancellazioni automatiche.
Distinguete inoltre il periodo operativo dall’archivio destinato a finalità residue. Un contratto concluso può non servire più al personale commerciale e rimanere necessario per un obbligo o per la difesa di un diritto. In quel caso cambiano le persone autorizzate e gli usi consentiti. Il passaggio in archivio non rende lecito ciò che non lo era: deve esistere una ragione concreta per la conservazione residua.
La scheda nel registro dei trattamenti deve essere coerente con questa struttura. L’articolo 30 richiede, ove possibile, i termini previsti per la cancellazione delle diverse categorie; l’informativa privacy deve indicare il periodo oppure, se non è possibile, i criteri utilizzati per determinarlo. Una formula che promette cancellazione immediata alla chiusura dell’account contraddice un archivio documentale decennale non spiegato.
Contabilità: dieci anni non significa conservare tutto
L’articolo 2220 del codice civile stabilisce dieci anni dalla data dell’ultima registrazione per le scritture contabili. La disposizione estende lo stesso periodo alle fatture e alla corrispondenza specificamente indicate. Per applicarla occorre individuare i documenti rilevanti e il corretto riferimento temporale, evitando di impostare «dieci anni dalla registrazione dell’utente» su tutto il database.
Sul piano tributario, l’articolo 22 del DPR 600/1973, nel testo applicabile al 29 settembre 2026, richiede di conservare le scritture fino alla definizione degli accertamenti relativi al corrispondente periodo d’imposta, anche oltre il termine civilistico. Un accertamento pendente può quindi impedire la cancellazione dei documenti necessari. La situazione fiscale va verificata concretamente con chi gestisce l’adempimento, senza convertire questa previsione in una conservazione indefinita di ogni informazione aziendale.
Il decreto legislativo 141/2026 ha approvato un nuovo testo unico in materia di adempimenti e accertamento; il suo articolo 368 ne fissa l’applicazione dal 1° gennaio 2027. Le versioni consolidate delle banche normative possono mostrare già il testo futuro. Nella tabella aziendale registrate la data di applicabilità della fonte e pianificate il controllo dei riferimenti per il passaggio al nuovo testo. Una modifica della numerazione normativa non deve produrre cancellazioni indiscriminate né blocchi permanenti.
Considerate un esempio ipotetico: termina un rapporto di vendita, ma restano fatture soggette a conservazione. Si può eliminare una segmentazione commerciale non più necessaria, disabilitare gli accessi operativi e mantenere i documenti contabili con permessi limitati. La scelta va fatta sul dato e sulla finalità; applicare a tutti i campi il termine più lungo trovato nel fascicolo sarebbe una scorciatoia ingiustificata.
Curriculum e personale: evitare durate inventate
Non esiste nel GDPR una durata generale di sei, dodici o ventiquattro mesi per tutti i curriculum. Il periodo deve essere giustificato rispetto alla selezione e all’eventuale distinta finalità di considerare la candidatura per posizioni successive. Il mercato del lavoro, il tipo di ruolo, la frequenza delle selezioni e l’aggiornamento delle competenze incidono sulla necessità, ma non sostituiscono una decisione documentata.
Per una posizione già assegnata, valutate quali informazioni servono ancora, per quale finalità e per quanto tempo. Un curriculum ricevuto spontaneamente non deve entrare automaticamente in un archivio senza scadenza. La previsione di future opportunità deve essere concreta e trasparente; raccogliere un nuovo consenso non rende, da solo, proporzionata qualsiasi durata o qualunque dato incluso nel documento.
Il sistema dovrebbe distinguere la selezione corrente dalla banca candidati, con regole di riesame diverse. È utile prevedere come aggiornare o eliminare documenti obsoleti e come trattare eventuali informazioni eccedenti, comprese quelle sulla salute. Un candidato non selezionato e un dipendente assunto non hanno necessariamente la stessa struttura documentale né gli stessi obblighi di conservazione.
Per il personale, evitate un unico periodo standard attribuito all’intera cartella. Le norme lavoristiche, contributive e fiscali possono imporre obblighi specifici; la prescrizione di un diritto richiede a sua volta di identificare quale diritto possa essere esercitato. L’organizzazione deve assegnare la valutazione ai referenti competenti, mantenendo separati i dati più delicati e limitando l’accesso alle sole funzioni autorizzate.
Marketing: revoca, opposizione e archivi inattivi
Il GDPR non introduce una scadenza numerica identica per qualsiasi consenso al marketing. Ciò non significa che un contatto possa essere utilizzato per sempre. Bisogna valutare finalità comunicate, aspettative, rapporto con la persona, aggiornamento dei dati e persistenza delle condizioni di liceità. Una revisione periodica è una misura organizzativa da motivare; non va presentata come un termine universale imposto dalla legge.
Quando la persona si oppone al marketing diretto, il trattamento per tale finalità deve cessare. La revoca del consenso richiede di interrompere i trattamenti che si fondavano su quel consenso, ferma la valutazione di eventuali finalità distinte. La gestione dell’opposizione al marketing permette di evitare che un elenco ripristinato o una nuova importazione riattivino una campagna già esclusa.
Una prova della richiesta o un’informazione minima di esclusione possono avere una finalità diversa dall’invio di pubblicità. Anche queste informazioni richiedono una base, una durata e accessi proporzionati. Non conservate sotto l’etichetta «lista di opposizione» tutto il profilo commerciale, lo storico di navigazione e le preferenze della persona: di norma il controllo di esclusione richiede molti meno dati.
I contatti inattivi meritano una decisione esplicita. Valutate se mantenere il canale, chiedere un aggiornamento nei limiti consentiti o eliminare il record. Un’assenza di reclami non prova che un database sia aggiornato o necessario. Registrate la regola scelta e verificate che i sistemi di invio la applichino effettivamente.
Videosorveglianza: 24 ore è un esempio, non la regola universale
Le FAQ attuali del Garante sulla videosorveglianza assegnano al titolare la scelta del periodo in funzione di finalità, contesto e rischio, salvo termini espressamente previsti da norme speciali. Per molte finalità di protezione del patrimonio, il Garante indica la cancellazione dopo pochi giorni, preferibilmente automatica. Una conservazione più lunga, soprattutto oltre 72 ore, richiede un’analisi più articolata della necessità.
Un piccolo esercizio che individua eventuali danni nella giornata può avere ragioni per conservare soltanto 24 ore. Una chiusura prolungata può incidere diversamente sulla necessità. Questi esempi non autorizzano a scegliere sempre il periodo più lungo: occorre capire quando il danno viene rilevato e perché immagini meno recenti siano ancora utili.
Una richiesta specifica dell’autorità giudiziaria o della polizia giudiziaria può rendere necessario prolungare la conservazione delle immagini pertinenti a un’indagine. Separare la sequenza rilevante dal flusso ordinario evita di bloccare senza motivo l’intero archivio. Annotate il vincolo, chi lo ha disposto, i dati interessati e quando riesaminarlo. La guida alla videosorveglianza secondo il Garante approfondisce anche informativa, accessi e valutazione d’impatto.
Log: individuare la regola prima di scegliere i mesi
Il provvedimento del Garante del 27 novembre 2008, modificato nel 2009, prescrive per gli accessi logici degli amministratori di sistema registrazioni complete, inalterabili e verificabili, conservate per un periodo congruo non inferiore a sei mesi. Si tratta quindi di un minimo nello specifico ambito del provvedimento, non di un massimo valido per qualsiasi log.
L’ambito riguarda le funzioni tecniche effettive di amministrazione e l’accesso ai sistemi e agli archivi elettronici. Il provvedimento contempla inoltre l’esclusione per determinati trattamenti amministrativo-contabili a minore rischio oggetto delle misure di semplificazione richiamate. Non equivale a un’esenzione generalizzata per tutte le PMI, né rende ogni dipendente un amministratore di sistema.
Per gli altri log occorre identificare scopo, contenuto, accessi e rischi. Tracce di sicurezza, diagnostica, accessi degli utenti, metadati della posta e dati di traffico dei fornitori di comunicazioni non sono categorie intercambiabili. Applicare automaticamente sei mesi può essere insufficiente in un caso e eccessivo in un altro; bisogna verificare la disciplina realmente pertinente.
La verifica dei metadati della posta elettronica è utile proprio per distinguere raccolte tecniche, contenuto dei messaggi e possibili controlli sui lavoratori. Il fatto che il fornitore offra una conservazione predefinita non dimostra che quel periodo sia corretto per il cliente. La configurazione deve essere verificata insieme alla finalità e alle regole applicabili al contesto lavorativo.
Contenzioso e sospensione delle cancellazioni
Una sospensione per contenzioso, spesso chiamata legal hold, serve a preservare documenti pertinenti a una questione concreta. Non deve diventare un comando indistinto che congela per anni ogni sistema. Individuate fascicolo, persone coinvolte, categorie, periodo rilevante e motivo del vincolo, limitando anche chi può accedere ai dati conservati.
La sospensione deve avere un responsabile e un riesame. Quando la controversia termina, valutate gli ulteriori termini pertinenti e la cessazione della necessità. Non basta mantenere per sempre il valore «pratica legale» nel CRM. Se solo un allegato serve a dimostrare un fatto, valutate se sia necessario conservare anche tutta la corrispondenza non pertinente.
Una richiesta di cancellazione ai sensi dell’articolo 17 non elimina automaticamente obblighi documentali o necessità di difesa, ma impone una decisione motivata sui dati interessati. L’esito può essere parziale: cancellazione per alcune finalità e conservazione limitata per altre. La risposta deve spiegare la distinzione entro i termini previsti per i diritti, senza usare il contenzioso come giustificazione generica.
Dalla tabella alle cancellazioni effettive
Assegnate a ogni regola un proprietario organizzativo e un referente tecnico. Il primo verifica finalità e fondamento; il secondo individua sistemi, copie e dipendenze. Se nessuno è responsabile dell’aggiornamento dell’evento iniziale, anche una tabella corretta rimarrà priva di effetti. Le anomalie devono produrre una coda di verifiche, non una conservazione automatica senza termine.
Prima di attivare una regola, verificate su casi rappresentativi quali dati sarebbero coinvolti. Un record può alimentare fatturazione, assistenza e analisi aggregate: la cancellazione deve rispettare le finalità ancora lecite senza mantenere tutti gli usi originari. Distinguete cancellazione, anonimizzazione effettiva e semplice disabilitazione dell’account; soltanto quest’ultima, da sola, non elimina i dati personali.
Le copie di sicurezza richiedono un disegno coerente. Definite rotazione, accessi e modalità con cui le cancellazioni vengono nuovamente applicate dopo un ripristino. La verifica delle cancellazioni nei backup evita che una copia tecnica reintroduca dati ormai esclusi dai sistemi operativi. La presenza di un backup non è una deroga generale alla limitazione della conservazione.
Conservate prove proporzionate delle esecuzioni e delle eccezioni, senza duplicare il contenuto eliminato. Un verbale può indicare sistema, regola, periodo e risultato del controllo. Se valutate un software per la conformità GDPR, chiedete una dimostrazione del collegamento fra categorie, eventi, responsabilità ed evidenze; non presumete che la presenza di un registro comporti anche cancellazioni automatiche nei sistemi collegati.
Riesaminate le regole quando cambiano servizi, finalità, legge o architettura. Potete adottare anche un calendario interno proporzionato, spiegando che è una scelta organizzativa. La qualità della tabella dipende dalla corrispondenza con ciò che accade ai dati: un termine documentato ma mai applicato non risolve il problema, e una cancellazione automatica priva di base corretta può crearne uno diverso.