Quanto dura la conservazione dei dati personali?
La durata della conservazione dei dati personali rappresenta uno degli aspetti fondamentali della normativa sulla privacy, in particolare del Regolamento Generale sulla Protezione dei Dati (GDPR).
I principi del GDPR e la durata di conservazione dei dati
Il Regolamento Generale sulla Protezione dei Dati (GDPR) stabilisce principi fondamentali che regolano il trattamento dei dati personali, tra cui quello della “limitazione della conservazione“. Secondo l’articolo 5, paragrafo 1, lettera e) del GDPR, qualsiasi informazione riguardante una persona fisica identificata o identificabile (articolo 4 GDPR), deve essere “conservata in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati“.
Questo principio è strettamente collegato al concetto di “Data Retention“, che si riferisce al periodo durante il quale i dati personali vengono conservati dal titolare del trattamento. Il termine “Data Retention” era già presente nella normativa precedente, ma il GDPR ha introdotto l’obbligo di indicare esplicitamente il periodo di conservazione nell’informativa sulla privacy (articoli 13 e 14 GDPR) e nel registro dei trattamenti (articolo 30 GDPR).
Come evidenziato nel documento del Ministero dell’Università e della Ricerca (MUR), il principio di limitazione della conservazione è correlato anche al principio di minimizzazione dei dati (articolo 5, paragrafo 1, lettera c), secondo cui i dati personali devono essere “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati”.
Il Considerando 39 del GDPR specifica che “il periodo di conservazione dei dati personali sia limitato al minimo necessario” e che “onde assicurare che i dati personali non siano conservati più a lungo del necessario, il titolare del trattamento dovrebbe stabilire un termine per la cancellazione o per la verifica periodica”.
Come viene definita la durata della conservazione dei dati
La determinazione del periodo di conservazione dei dati personali è un elemento cruciale nella gestione della privacy. Il GDPR richiede che il titolare del trattamento definisca criteri chiari per stabilire quanto tempo i dati personali saranno conservati.
-
01Il tempoIl tempo di conservazione di un dato è legato alla finalità del trattamento nel quale è coinvolto
-
02La finalitàLa finalità del trattamento rappresenta lo scopo specifico e legittimo per cui i dati personali vengono raccolti e utilizzati. Ogni trattamento di dati personali deve essere giustificato da una finalità determinata, esplicita e legittima, comunicata all’interessato al momento della raccolta
-
03Finalità diverseSe lo stesso dato è trattato per diverse finalità, si devono stabilire tempi diversi di conservazione in funzione di ognuna
Le casistiche e i tempi
Il Garante per la protezione dei dati personali ha fornito indicazioni specifiche riguardo ai tempi di conservazione dei dati personali in vari contesti. Uno dei punti fondamentali per una corretta conservazione dei dati è la presenza di un’informativa chiara che viene messa a disposizione degli interessati.
Il Garante ha contestato più volte, per esempio, l’uso di formulazioni generiche nelle informative in cui si affermava semplicemente che «i dati sono trattati per il tempo strettamente necessario» oppure «fino alla cessazione del rapporto». Tali espressioni non definiscono un termine chiaro e preciso, violando il principio di trasparenza e la necessità che il titolare indichi il periodo o, in alternativa, i criteri per determinarlo (art. 13 del GDPR).
Alcuni provvedimenti, come riferito anche da fonti specializzate (ad es. report riportati da testate come Roedl.it), hanno evidenziato che per i dati raccolti in occasione di campagne promozionali il Garante considera dirimenti termini di conservazione intorno ai 24 mesi. Una conservazione che ecceda tale periodo senza una giustificazione specifica risulta in contrasto con il principio di minimizzazione stabilito dal GDPR.
Responsabilità e conservazione dei dati
La gestione corretta dei periodi di conservazione dei dati è una responsabilità fondamentale del titolare del trattamento. Il GDPR, all’articolo 25, prevede l’obbligo di implementare misure tecniche e organizzative per garantire che “siano trattati, per impostazione predefinita, solo i dati personali necessari per ogni specifica finalità del trattamento” e che ciò valga anche per “il periodo di conservazione e l’accessibilità”.
-
01Dati relativi a finanziamenti regolarmente estinti
-
02Dati relativi a richieste di finanziamento
-
03Dati relativi a inadempimenti o sofferenze
-
04In caso di un Finanziamento respinto
-
05La Gestione del CV
-
06Conservazione ulteriore per ragioni di legittima difesa processuale
L’Incarico del DPO per monitorare la corretta conservazione dei dati
La nomina di un DPO (Data Protection Officer) infatti è obbligatoria in determinati casi e può essere estremamente utile per garantire la corretta gestione dei periodi di conservazione dei dati. Il DPO fornisce consulenza al titolare del trattamento e monitora la conformità con il GDPR, inclusa la corretta applicazione dei principi di limitazione della conservazione e minimizzazione dei dati.
