Quanto dura la conservazione dei dati personali?

La durata della conservazione dei dati personali rappresenta uno degli aspetti fondamentali della normativa sulla privacy, in particolare del Regolamento Generale sulla Protezione dei Dati (GDPR (EU) 2016/679). Questo articolo esplora i principi che governano la conservazione dei dati, analizza come viene determinata la durata della conservazione e presenta esempi pratici di periodi di conservazione per diverse tipologie di dati.

– I principi del GDPR e la durata di conservazione dei dati

– Come viene definita la durata di conservazione dei dati

– Casistiche ed esempi

– Responsabilità e conservazione dei dati

– L’Incarico del DPO per monitorare la corretta conservazione dei dati

Il Regolamento Generale sulla Protezione dei Dati (GDPR) stabilisce principi fondamentali che regolano il trattamento dei dati personali, tra cui quello della “limitazione della conservazione“. Secondo l’articolo 5, paragrafo 1, lettera e) del GDPR, qualsiasi informazione riguardante una persona fisica identificata o identificabile (articolo 4 GDPR), deve essere “conservata in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati“.

Questo principio è strettamente collegato al concetto di “Data Retention“, che si riferisce al periodo durante il quale i dati personali vengono conservati dal titolare del trattamento. Il termine “Data Retention” era già presente nella normativa precedente, ma il GDPR ha introdotto l’obbligo di indicare esplicitamente il periodo di conservazione nell’informativa sulla privacy (articoli 13 e 14 GDPR) e nel registro dei trattamenti (articolo 30 GDPR).

Come evidenziato nel documento del Ministero dell’Università e della Ricerca (MUR), il principio di limitazione della conservazione è correlato anche al principio di minimizzazione dei dati (articolo 5, paragrafo 1, lettera c), secondo cui i dati personali devono essere “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati”.

Il Considerando 39 del GDPR specifica che “il periodo di conservazione dei dati personali sia limitato al minimo necessario” e che “onde assicurare che i dati personali non siano conservati più a lungo del necessario, il titolare del trattamento dovrebbe stabilire un termine per la cancellazione o per la verifica periodica”.

Se desideri approfondire i principi fondamentali del GDPR e comprendere meglio come applicarli nella progettazione dei tuoi sistemi di trattamento dati, ti consigliamo di consultare il nostro articolo dedicato alla Privacy by Design: https://bsdlegal.it/privacy-by-design-significato/

La determinazione del periodo di conservazione dei dati personali è un elemento cruciale nella gestione della privacy. Il GDPR richiede che il titolare del trattamento definisca criteri chiari per stabilire quanto tempo i dati personali saranno conservati.

Il tempo di conservazione di un dato è legato alla finalità del trattamento nel quale è coinvolto. La finalità del trattamento rappresenta lo scopo specifico e legittimo per cui i dati personali vengono raccolti e utilizzati. Ogni trattamento di dati personali deve essere giustificato da una finalità determinata, esplicita e legittima, comunicata all’interessato al momento della raccolta. La durata della conservazione dei dati è direttamente collegata a questa finalità: i dati possono essere conservati solo per il tempo necessario a raggiungere lo scopo per cui sono stati raccolti. Se lo stesso dato è trattato per diverse finalità, si devono stabilire tempi diversi di conservazione in funzione di ognuna delle diverse finalità”.

Il Garante per la protezione dei dati personali ha fornito indicazioni specifiche riguardo ai tempi di conservazione dei dati personali in vari contesti.

Uno dei punti fondamentali per una corretta conservazione dei dati è la presenza di un’informativa chiara che viene messa a disposizione degli interessati.

• Il Garante ha contestato più volte, per esempio, l’uso di formulazioni generiche nelle informative in cui si affermava semplicemente che «i dati sono trattati per il tempo strettamente necessario» oppure «fino alla cessazione del rapporto». Tali espressioni non definiscono un termine chiaro e preciso, violando il principio di trasparenza e la necessità che il titolare indichi il periodo o, in alternativa, i criteri per determinarlo (art. 13 del GDPR).

Alcuni provvedimenti, come riferito anche da fonti specializzate (ad es. report riportati da testate come Roedl.it), hanno evidenziato che per i dati raccolti in occasione di campagne promozionali il Garante considera dirimenti termini di conservazione intorno ai 24 mesi. Una conservazione che ecceda tale periodo senza una giustificazione specifica risulta in contrasto con il principio di minimizzazione stabilito dal GDPR.

Altri esempi del Garante, includono:

Dati relativi a finanziamenti regolarmente estinti:
“Risulta eccedente, rispetto alle finalità per le quali sono stati originariamente raccolti o successivamente trattati, la conservazione, presso una centrale rischi privata, dei dati dell’interessato relativi ad un rapporto di finanziamento estinto da circa quattro anni senza residui o pendenze.”
Garante 2 maggio 2002, in Bollettino n. 28, pag. 15 [doc. web n. 29972]

“I dati relativi ad eventuali inadempimenti, sanati senza perdite, residui o pendenze nel corso del finanziamento o, comunque, alla data di estinzione del rapporto, possono essere conservati negli archivi di una ‘centrale rischi’ privata per non più di un anno dalla loro regolarizzazione o dalla estinzione, anche anticipata, del rapporto stesso.”
Garante 10 luglio 2002, in Bollettino n. 30, pag. 43 [doc. web n. 622883]

Dati relativi a richieste di finanziamento:
“La conservazione da parte di una ‘centrale rischi’ privata dei dati relativi ad una richiesta di finanziamento è giustificata – per far fronte a fenomeni come il cd. credit shopping, i frazionamenti del credito, le richieste di finanziamento contemporaneamente rivolte a diverse banche o finanziarie – per il tempo necessario alla relativa istruttoria e, comunque, per non più di sei mesi dalla registrazione o di un mese dalla rinuncia dell’interessato o dalla mancata concessione del finanziamento.” Garante 31 luglio 2002, in Bollettino n. 30, pag. 47 [doc. web n. 30000]

Dati relativi a inadempimenti o sofferenze:
“I dati relativi ad inadempimenti o sofferenze ancora pendenti, ovvero a debiti solo parzialmente estinti, possono essere legittimamente conservati negli archivi di una ‘centrale rischi’ privata per la durata del rapporto di finanziamento e, comunque, per non oltre tre anni dalla data del loro ultimo aggiornamento.”
Garante 31 luglio 2002, in Bollettino n. 30, pag. 47 [doc. web n. 30000]

In caso di un Finanziamento respinto:
“I dati relativi ad una richiesta di finanziamento respinta, per ragioni connesse a comportamenti dell’interessato o anche a politiche contrattuali dell’istituto erogante, possono essere conservati da parte degli operatori creditizi e finanziari per sei mesi dalla registrazione dei dati e, comunque, per non più di un mese dalla rinuncia dell’interessato o dalla mancata concessione del finanziamento.”
Garante 30 ottobre 2002, in Bollettino n. 32, pag. 8 [doc. web n. 1066423].

Allo stesso modo, la Commissione Europea, propone un altro esempio pratico di non conformità, che concerne i casi in cui i dati personali vengono conservati troppo a lungo senza aggiornamento.

• La tua azienda/organizzazione gestisce un ufficio di collocamento e a tal fine raccoglie i CV delle persone in cerca di lavoro, che pagano una quota in cambio dei servizi di intermediazione. Hai intenzione di conservare i dati per 20 anni e non hai predisposto alcuna misura per aggiornare i CV. Il periodo di conservazione non sembra proporzionato allo scopo di trovare un impiego per una persona nel breve-medio termine. Inoltre, il fatto di non richiedere aggiornamenti dei CV a intervalli regolari rende inutili alcune ricerche di lavoro dopo un certo periodo di tempo (ad esempio perché quella persona ha acquisito nuove qualifiche).

La Gestione del CV:
Non c’è una vera e propria regola o prassi al riguardo. La corretta retention di un CV dipende dallo scenario di riferimento ed è espressione dell’autonomia del Titolare. Ad esempio, in un resort marittimo, a carattere stagionale, potrebbe essere giustificata una conservazione di 12-15 mesi, per valutare nuovamente il profilo di un candidato l’estate seguente, dopo la pausa invernale, se era stato inizialmente respinto. Mentre la stessa data retention potrebbe risultare eccessiva in altre situazioni di scarso turn-over; una volta chiusa la selezione il Titolare dovrebbe eliminare i CV in suo possesso, per cui una conservazione di 6 mesi potrebbe essere sufficiente.

Il Caso Foodinho e la conservazione dei dati dei rider:
In un provvedimento del Giugno 2021, il Garante contestò alla nota società di food delivery, Foodinho S.r.l., il termine ultimo di conservazione dei dati dei rider, perché vincolato in modo fittizio al termine del rapporto di lavoro “e dopo 4 anni da tale data”. Era stato infatti riscontrato, che i dati dei rider restavano conservati sui server del Titolare anche dopo lunghi periodi di inattività̀: alcuni di essi non avevano ricevuto ordini per più di 3 anni! Questo caso ci ricorda che, soprattutto all’interno di piattaforme con creazione di account personali, è importante stabilire un termine finale di conservazione in assenza di una azione positiva dell’interessato protrattasi per un certo periodo di tempo. Ad esempio, il Garante Francese ha posto un termine di generale di 2 anni di inattività per casistiche simili.

Conservazione ulteriore per ragioni di legittima difesa processuale
Nel provvedimento n. 9980617 del 21 dicembre 2023, il Garante per la protezione dei dati personali ha affrontato un caso delicato: un’importante azienda sanitaria ha smarrito i vetrini e i frammenti istologici di una paziente, conservati nella sua cartella clinica. Questi materiali erano fondamentali per una perizia disposta dalla Corte d’appello, in una causa per risarcimento danni.

Il Garante ha chiarito che, anche se non si tratta di “dati genetici” in senso stretto, i vetrini rientrano nei dati relativi alla salute secondo il GDPR (art. 9), perché legati all’identità della paziente e all’attività sanitaria svolta. Il punto critico? L’azienda non aveva alcuna procedura scritta per la gestione e la custodia di questo tipo di materiali. Eppure, le linee guida del Ministero della Salute e del Consiglio Superiore di Sanità (maggio 2015) indicano chiaramente: i vetrini e i blocchetti in paraffina devono essere conservati almeno per dieci anni.

Ma c’è di più: se nel frattempo è in corso un procedimento giudiziario (civile o penale), l’azienda deve valutare se prolungare ulteriormente la conservazione, anche oltre i dieci anni, consultando il medico che ha eseguito l’esame. Questo serve a garantire che il materiale resti disponibile in caso di necessità istruttorie.

I nuovi standard di conservazione dei metadati generati dagli account mail dei dipendenti
Con un provvedimento, che ha scatenato non poche polemiche nel settore, il Garante ha stabilito una conservazione pari a 21 giorni dei metadati generati dalle mail dei dipendenti del Titolare.

Va detto che si tratta di un termine orientativo, quindi (modificabile?) dal Titolare per motivi specificatamente indicati. Tuttavia, avendo definito un termine, è improbabile che il Garante possa ritenere giustificabili disallineamenti eccessivi.
Inoltre, in caso di superamento del termine, il Garante ha stabilito l’obbligo di ottenere l’accordo sindacale o l’autorizzazione dell’Ispettorato del lavoro, dovendosi ritenere applicabile la relativa disposizione dello Statuto dei Lavoratori (art. 4 co. 2, Legge 300/1970).

La gestione corretta dei periodi di conservazione dei dati è una responsabilità fondamentale del titolare del trattamento. Il GDPR, all’articolo 25, prevede l’obbligo di implementare misure tecniche e organizzative per garantire che “siano trattati, per impostazione predefinita, solo i dati personali necessari per ogni specifica finalità del trattamento” e che ciò valga anche per “il periodo di conservazione e l’accessibilità”.

Il titolare del trattamento (attraverso i Soggetti Autorizzati) dovrà:

• Controllare periodicamente se esistono dati archiviati il cui tempo di conservazione sia scaduto
• Procedere all’aggiornamento costante dei documenti con opportuna classificazione
• Programmare verifiche periodiche in rapporto ai tempi di conservazione
• Eliminare/cancellare periodicamente gli atti non più necessari

Il Responsabile della Protezione dei Dati (DPO) svolge anche un ruolo consultivo importante nel definire politiche appropriate di conservazione dei dati e nel garantire che queste siano conformi al GDPR.

La nomina di un DPO (Data Protection Officer) infatti è obbligatoria in determinati casi e può essere estremamente utile per garantire la corretta gestione dei periodi di conservazione dei dati. Il DPO fornisce consulenza al titolare del trattamento e monitora la conformità con il GDPR, inclusa la corretta applicazione dei principi di limitazione della conservazione e minimizzazione dei dati (per più informazioni sulla figura del DPO, consulta il nostro sito).

Un DPO esperto può aiutare l’organizzazione a:

• Sviluppare una politica di conservazione dei dati conforme al GDPR
• Implementare procedure efficaci per la revisione e la cancellazione dei dati
• Fornire consulenza sull’uso di PETs (Privacy-Enhancing Technologies) come la differential privacy, per mascherare o rendere inaccessibili certi dati nel corso della loro conservazione
• Bilanciare gli interessi legittimi dell’organizzazione con i diritti degli interessati, al fine di definire correttamente la data retention
• Documentare adeguatamente le decisioni relative ai periodi di conservazione, nel rispetto del principio di accountability.

La gestione corretta dei periodi di conservazione dei dati non è solo un obbligo legale, ma anche una buona pratica aziendale che contribuisce a mantenere i dati aggiornati, pertinenti e protetti. Un approccio proattivo alla conservazione dei dati può ridurre i rischi di violazioni e migliorare la fiducia degli interessati nella gestione dei loro dati personali.

L’esempio sulla gestione dei CV è ancora calzante: la loro cancellazione obbliga ciclicamente il Titolare a richiederlo nuovamente nei confronti dell’interessato, che in caso di nuove certificazioni acquisite sarà valutato in modo appropriato rispetto alle sue nuove competenze.

Perché scegliere BSD Legal?

In un panorama normativo sempre più complesso, BSD Legal si distingue come punto di riferimento grazie a un approccio integrato che unisce competenze legali e tecnologiche.

La nostra metodologia si basa su framework riconosciuti a livello internazionale:

• Per gli aspetti tecnologici della sicurezza informatica, adottiamo il modello S.T.R.I.D.E. (framework sistematico per l’identificazione e la classificazione delle minacce informatiche che analizza sei tipologie di vulnerabilità) e i framework OWASP, garantendo un’analisi sistematica delle vulnerabilità e delle minacce potenziali ai vostri sistemi.
• Per quanto riguarda la privacy e la protezione dei dati personali, applichiamo la tassonomia di Solove, un approccio strutturato che permette di identificare e classificare tutte le potenziali violazioni della privacy nel ciclo di vita dei dati.

Questi framework sono fondamentali perché traducono concetti complessi di cybersecurity in metodologie strutturate e riproducibili, consentendo alle organizzazioni di identificare sistematicamente vulnerabilità specifiche, implementare strategie di mitigazione per dimostrare la conformità normativa attraverso un approccio riconosciuto a livello internazionale.

Una vera e propria modellazione delle minacce e rischi privacy in un dato contesto sono infatti un ottimo punto di partenza per stabilire le corrette strategie di data retention.

Se volete approfondire la nostra metodologia, vi invitiamo a visitare il nostro sito.