La gestione dei tempi di conservazione dei dati personali costituisce uno degli elementi fondamentali di un efficace sistema di protezione dei dati.

‍Nella pratica aziendale è frequente riscontrare archivi informatici e cartacei che vengono alimentati nel tempo senza una verifica sulla reale necessità di mantenere le informazioni. Ciò determina un progressivo accumulo di dati non più utili, aumentando la complessità della gestione documentale e rendendo più difficile il governo del patrimonio informativo aziendale.

L'art. 5 del Regolamento (UE) 2016/679 stabilisce che i dati personali devono essere conservati esclusivamente per il tempo necessario al conseguimento delle finalità per cui sono stati raccolti.

La conservazione non può quindi essere indefinita, ma deve essere pianificata tenendo conto delle finalità del trattamento e degli eventuali obblighi normativi applicabili.

Una corretta politica di conservazione richiede innanzitutto la conoscenza del patrimonio informativo aziendale.

‍È necessario individuare dove sono conservati i dati personali, quali categorie di informazioni vengono trattate e per quali finalità.

Solo attraverso questa attività è possibile definire tempi di conservazione coerenti e gestire in modo efficace l'intero ciclo di vita delle informazioni.

La definizione dei tempi di conservazione non può essere generica né uniforme, ogni categoria di dati deve essere valutata singolarmente, verificando l'esistenza di obblighi normativi, esigenze contrattuali, termini prescrizionali o altre ragioni che rendano necessario il mantenimento delle informazioni.

In assenza di tali presupposti, i dati devono essere eliminati una volta esaurita la finalità per la quale sono stati raccolti.

Uno degli errori più frequenti consiste nel conservare indiscriminatamente tutta la documentazione disponibile, nella convinzione che possa risultare utile in futuro;

in realtà, ogni informazione mantenuta senza una reale necessità continua a richiedere attività di gestione, protezione, backup e controllo degli accessi, con un conseguente aumento degli oneri organizzativi e della complessità nella gestione degli archivi.

Per questo motivo è opportuno definire un processo periodico di revisione degli archivi aziendali, con cadenza prestabilita dovrebbero essere verificati i dati ancora necessari allo svolgimento delle attività e quelli che hanno ormai esaurito la loro funzione. Il controllo deve interessare indistintamente cartelle di rete, software gestionali, sistemi documentali, caselle di posta elettronica, dispositivi aziendali, supporti di memoria, archivi cartacei e copie di backup.

Una volta individuati i dati non più necessari, è fondamentale adottare modalità di eliminazione sicure, nello specifico, la semplice eliminazione di un file o lo svuotamento del cestino non garantiscono la reale cancellazione delle informazioni.

Analogamente, la documentazione cartacea non dovrebbe essere smaltita nei normali contenitori dei rifiuti, l'organizzazione dovrebbe prevedere procedure che assicurino la distruzione irreversibile dei dati, ad esempio mediante software di cancellazione sicura per i supporti informatici, distruggidocumenti oppure ricorrendo a operatori specializzati nella distruzione certificata della documentazione riservata. Qualora sia necessario conservare il patrimonio informativo senza identificare gli interessati, può essere valutata l'anonimizzazione dei dati, rendendoli non più riconducibili a persone fisiche.

La gestione della conservazione richiede inoltre misure organizzative precise: è opportuno disciplinare le modalità di archiviazione dei documenti, limitare la creazione di copie non controllate, evitare la proliferazione di archivi personali sui computer dei dipendenti, regolamentare la conservazione delle e-mail e definire responsabilità chiare per le attività di verifica e cancellazione.

‍

Sotto il profilo della sicurezza, la riduzione dei dati conservati costituisce una delle misure più efficaci per limitare le conseguenze di un incidente informatico: minore è il volume delle informazioni archiviate, minore sarà l'impatto potenziale derivante da accessi abusivi, attacchi ransomware, errori operativi o altri eventi che possano compromettere la riservatezza delle informazioni.

Le attività ispettive dell'Autorità Garante confermano come la mancata definizione dei tempi di conservazione, l'assenza di procedure di eliminazione e la conservazione indiscriminata di dati personali costituiscano criticità frequentemente riscontrate durante i controlli.

Una politica di conservazione dei dati efficace non consiste nell'eliminare sistematicamente le informazioni, ma nel governarne l'intero ciclo di vita; ogni dato deve essere raccolto per una finalità determinata, conservato per un periodo definito, sottoposto a verifiche periodiche e rimosso attraverso procedure sicure quando vengono meno i presupposti che ne giustificano il trattamento.

‍

‍

‍

‍